Свеждане на данните до минимум: правилото „необходимост да се знае“

Съгласно член 5, параграф 1, буква в) от GDPR принципът за свеждане на данните до минимум означава, че трябва да събирате само личните данни, които са строго необходими за конкретна цел. Например, ако издавате информационен бюлетин, достатъчен е адрес на електронна поща — не е необходимо да изисквате сканирано копие на паспорт или домашен адрес. Основното разграничение е между данните, които са съществени за задачата, и данните, които просто би било добре да разполагате; регламентът изисква първите, а не вторите.

Често срещан изпитен трик е да се представи ситуация, при която допълнителните данни изглеждат полезни, например съхраняване на датата на раждане на клиент за схема за отстъпки, когато е необходима само неговата възрастова група. Запомнете, че „необходимо“ означава, че не можете да постигнете целта без съответните данни — ако можете, допълнителните данни представляват нарушение. Друг ориентир за отхвърляне на неправилни варианти: ако във въпроса са изброени няколко полета с данни, се запитайте кои от тях служат пряко на посочената цел; всичко извън това вероятно не отговаря на изискванията.

За да проверите разбирането си, представете си, че обработвате кандидатури за работа: необходими са ви името на кандидата, данните за контакт и относимите квалификации, но не и семейното му положение или хобитата му. Ако можете мислено да премахнете дадено поле и въпреки това да изпълните задачата, това поле вероятно не издържа проверката за свеждане на данните до минимум. Този мисловен филтър ви помага бързо да откривате нарушения във всяка ситуация, свързана с обработване на данни.