less-is-more-791109_1920
>

Krav til dataminimering i GDPR – fordeler for virksomheten

Winfried Adalbert Etzel 
16. okt. 2017

Den nye personopplysningsforordningen (GDPR) kommer og avisene er fulle av skremselspropaganda. Når man ser nærmere på oppgavene virksomheten står ovenfor for å tilpasse seg GDPR, oppdager man fort positive effekter ved implementeringen som går utover lovenes krav og intensjon.

I en tid av Big Data, AI og Internet of Things, hvor praksisen nesten overalt har vært å ta vare på tilnærmende alt (Jeff Bezos ord har blitt ofte sitert: «We never throw away data»), virker et slikt prinsipp progressivt. Men dataminimering har blitt en rød tråd i mange virksomheters aktivitet helt uavhengig av GDPR.

Hva er dataminimering?

GDPR definerer syv grunnleggende prinsipper som skal fungere som bakteppe for behandling av personopplysninger. Disse prinsippene skal være drivere for etterlevelsen av forordningen, oversikten finner du i Art. 5:

Dataminimering - GDPR

Når det gjelder dataminimering må man stille seg to sentrale spørsmål: Er personopplysningene jeg lagrer adekvate, relevante og begrenset til det som er nødvendig for behandlingen? Og hvor lenge trenger jeg egentlig denne informasjonen?

Dagens personopplysningslov uttaler et forbud mot å lage unødvendige personopplysninger (§28 POL).

Dataminimering betyr ifølge det europeiske datatilsynet, at en behandlingsansvarlig bør begrense innsamlingen av personlig informasjon til det som er direkte relevant og nødvendig for å oppnå et spesifikt formål. Den bør også beholde dataene bare så lenge det er nødvendig for å oppfylle formålet. Med andre ord, den behandlingsansvarlige skal kun samle inn de personlige data som er nødvendig og holde dem bare så lenge det trengs.

Med andre ord: Trenger lommelyktappen du laster ned på mobilen din virkelig tilgang til dine kontakter og bilder?

Datatilsynet i Norge har i sin veileder til GDPR beskrevet prinsippet med noen eksempler som er vert å se på.

cellar-2080318_1920

Forskjellen mellom personopplysninger og vin – bare en av dem blir bedre med langtidslagring

 
Fordeler med å spørre: Hva trenger vi egentlig?

Oppbevaring av personlig data «just in case» er en dårlig strategi, ikke bare med tanke på etterlevelsen av personopplysningsloven og GDPR.

For å oppbevare data må den lagres, og lagring kommer til en pris. Dataminimering kan spare store kostnader knyttet til lagring.

Samtidig gjør minimeringen gjenfinning av informasjon lettere. Jo mindre datamengde man må søke gjennom, jo raskere er søket og resultatet blir betydelig mer presis.

Men helt sentralt har oppbevaring av data en stor risiko knyttet til seg. Konsekvensen ved et tap av data må vurderes. I henhold til den årlige rapporten fra IBM og Ponemon er kostnaden knyttet til en data breach på $ 3,6 mil i 2017. I OWASPs liste over personvernrisiko er 3 av de topp 10 årsakene knyttet til oppbevaring av for mye personlig data.

Enkelt sagt: Det du ikke vet har du ikke vondt av.

Når man veier disse argumentene opp mot argumentet: Dette kan jeg kanskje noen gang få behov for, bør valget være lett. Dette gjelder særlig siden personopplysninger er av en forholdsvis kortlevende relevans for de fleste virksomheter.

For å overholde kravene til GDPR, er kartlegging av personlig og sensitiv informasjon i en virksomhet essensielt. Resultatet av en slik kartlegging byr på mange muligheter. Med minimumsprinsippet som driver, kan en slik Data Map brukes for å spore opp unødvendig informasjon og kan bidra med å minske datamengden og øke sikkerheten.