Minimização dos dados: a regra da «necessidade de conhecimento»

A minimização dos dados, nos termos do artigo 5.º, n.º 1, alínea c), do GDPR, significa que deve recolher apenas os dados pessoais estritamente necessários para uma finalidade específica. Por exemplo, se gerir um boletim informativo, basta um endereço de correio eletrónico — não precisa de solicitar uma digitalização do passaporte nem a morada do domicílio. O contraste essencial é entre os dados indispensáveis à tarefa e os dados que seria apenas conveniente possuir; o regulamento exige os primeiros, não os segundos.

Um truque comum nos exames consiste em apresentar um cenário em que os dados adicionais parecem úteis, como guardar a data de nascimento de um cliente para um programa de descontos quando apenas é necessário conhecer o seu grupo etário. Lembre-se de que «necessário» significa que não é possível alcançar a finalidade sem esses dados — se for possível, os dados adicionais constituem uma violação. Outra dica de eliminação: se uma pergunta enumerar vários campos de dados, pergunte a si próprio quais deles servem diretamente o objetivo declarado; tudo o que for além disso será provavelmente não conforme.

Para testar os seus conhecimentos, imagine que está a tratar candidaturas a emprego: precisa do nome do candidato, dos seus dados de contacto e das qualificações relevantes, mas não do seu estado civil nem dos seus passatempos. Se conseguir eliminar mentalmente um campo e ainda assim concluir a tarefa, esse campo provavelmente não passa no teste da minimização. Este filtro mental ajuda-o a identificar rapidamente violações em qualquer cenário de tratamento de dados.