Dataminimering betyr at personopplysningene skal være adekvate, relevante og begrenset til det som er nødvendig for formålet. Arbeidet begynner før et skjema lanseres, men fortsetter gjennom lagring, visning, eksport og deling. Et felt kan være nødvendig i én arbeidsoppgave uten å måtte være synlig for alle brukere eller følge med i alle rapporter.
Ved planlagt deling av barnebilder kan rutinen for fotografering og publisering brukes til å avgrense hvilke bilder og tilleggstekster som trengs i hver kanal.
Prinsippet følger av artikkel 5 nr. 1 bokstav c i GDPR og er forklart i Datatilsynets personvernprinsipper. Denne veiledningen viser hvordan virksomheten kan gjennomgå felter og kopier, dokumentere konkrete valg og kontrollere at endringer faktisk reduserer databruken. Målet er et arbeidssett med beslutninger som utviklere, fagansvarlige og leverandører kan gjennomføre.
Begynn med oppgaven brukeren skal løse
Beskriv hva skjemaet eller systemet skal gjøre. Et kontaktskjema kan trenge en måte å svare personen på, men trenger ikke nødvendigvis både telefonnummer, privatadresse og fødselsdato. En bestilling kan kreve flere opplysninger, avhengig av leveransen. Det er formålet som bestemmer behovet, ikke hvilke felter som finnes i en standardmal.
Bruk formålsvurderingen for å skille oppgaver som har blitt blandet sammen. Hvis samme skjema både behandler en bestilling og samler opplysninger til en ny analyse, må disse aktivitetene vurderes tydelig. En generell forklaring om bedre kundeservice bør ikke gjøre alle mulige felter nødvendige.
Lag en feltmatrise med en begrunnelse per felt
Registrer feltnavn, betydning, formål, hvem som bruker det og hva som skjer hvis det ikke samles inn. Skill mellom et faktisk behov og en vane. Spør dem som utfører oppgaven om konkrete eksempler på bruk. Hvis ingen kan forklare hva feltet brukes til, bør det undersøkes før videre innsamling fortsetter.
| Felt i et tenkt kontaktskjema | Vurdering | Beslutning i eksemplet |
|---|---|---|
| Kontaktadresse for svar | Trengs for å besvare henvendelsen | Behold nødvendig kontaktmåte |
| Telefonnummer | Brukes bare hvis personen ønsker telefonkontakt | Gjør valget avhengig av ønsket svarmåte |
| Fødselsdato | Ingen dokumentert oppgave krever den | Fjern feltet |
| Saksbeskrivelse | Trengs for å forstå spørsmålet | Behold, med tydelig beskjed om å unngå unødvendige private detaljer |
| Intern kundereferanse | Kan lette kobling ved eksisterende kundeforhold | Tilby der den er relevant, uten å kreve den av alle |
Eksemplet er avgrenset til en enkel henvendelse. En annen tjeneste kan ha et annet behov. Poenget er å vise hvordan beslutningen begrunnes og omsettes til et konkret feltvalg, ikke å fastsette ett universelt skjema for alle virksomheter.
Vurder om oppgaven kan løses med mindre detalj
Spør om et intervall, en status eller en intern referanse er tilstrekkelig i stedet for en presis verdi. Et arrangement kan trenge å vite hvilken praktisk tilrettelegging som er nødvendig uten å be om en full medisinsk historie. En analyse kan ofte bruke samlede tall uten identifiserbare enkeltrader.
Vurder konsekvensene av redusert detalj. Dataminimering betyr ikke å fjerne opplysninger som faktisk er nødvendige for korrekt og sikker behandling. Bruk riktighetsarbeidet til å kontrollere at mindre data fortsatt gir et pålitelig resultat for formålet. Beskriv både nytten og begrensningene ved alternativet.
Skill obligatorisk fra valgfritt på en reell måte
Et valgfritt felt bør kunne stå tomt uten at tjenesten i praksis stopper eller personen blir møtt med gjentatte krav om å fylle det ut. Forklar hvorfor opplysningen etterspørres og hva den brukes til. En stjerne eller en uklar merknad er ikke tilstrekkelig hvis resten av arbeidsprosessen gir et annet inntrykk.
Ikke gjør unødvendige felter lovlige bare ved å kalle dem valgfrie. Også frivillig innsamlede opplysninger trenger et avklart formål og grunnlag. Hvis virksomheten ikke har en legitim og nødvendig bruk, kan riktig tiltak være å fjerne feltet. Kontroller at en eventuell tom verdi håndteres i integrasjoner og rapporter.
Begrens fritekst og vedlegg der det er mulig
Fritekst kan føre til at personer deler flere opplysninger enn virksomheten trenger. Gi en tydelig beskrivelse av hva som er relevant, og vurder mer avgrensede spørsmål når dette passer oppgaven. Unngå å oppfordre til opplasting av hele dokumenter hvis bare en liten del er nødvendig for behandlingen.
Lag en rutine for uoppfordret sensitivt innhold. Den som mottar henvendelsen, bør vite hvordan opplysningene vurderes, begrenses eller håndteres videre. Hvis innholdet omfatter særlige kategorier, må tilleggsvilkårene undersøkes. At personen selv sendte dokumentet, løser ikke automatisk alle spørsmål om virksomhetens videre bruk.
Se på hva ulike roller faktisk trenger å se
Kartlegg visning, søk og eksport for hver arbeidsrolle. En kundebehandler kan trenge kontaktinformasjon uten å se alle økonomiske detaljer. En leder kan trenge samlet status uten alle underliggende enkeltsaker. Beskriv rollen etter oppgaven, og unngå at brede standardgrupper blir en snarvei til hele registeret.
Knytt kontrollen til innebygd personvern. Systemets standardinnstillinger bør støtte den vurderte begrensningen. Hvis brukerne må huske å skjule unødvendige felter hver gang de lager en rapport, er løsningen mer sårbar enn et avgrenset standardoppsett med kontrollert mulighet for utvidelse.
Finn kopier utenfor hovedsystemet
Bruk systemkartet til å finne regneark, eksportmapper, analyseområder og testmiljøer. Spør hvor ansatte legger opplysninger når hovedsystemet ikke løser oppgaven. Slike kopier kan inneholde mer enn det som trengs, og de kan mangle oppdatering og sletterutiner.
Vurder om kopien kan erstattes med en avgrenset visning eller en rapport som bare inneholder nødvendige felter. Hvis en eksport fortsatt trengs, dokumenteres formål, mottaker og videre håndtering. Et nytt rapportverktøy reduserer ikke databruken hvis det bare kopierer hele produksjonsregisteret til enda et sted.
Begrens opplysninger i test og feilsøking
Utvikling og support trenger ikke automatisk fulle produksjonsdata. Undersøk om syntetiske opplysninger, et avgrenset utdrag eller en annen metode kan gjenskape problemet. Beskriv hva som må bevares for at feilen skal kunne undersøkes, og fjern innhold som ikke bidrar til oppgaven.
Hvis reelle opplysninger likevel er nødvendige, må tilgang, grunnlag og oppbevaring vurderes. Kontroller også logger og vedlegg i supportsaken. En skjermdump kan inneholde mer enn feltet som feiler. Avklar hvordan arbeidskopien håndteres etter feilsøkingen, og unngå at et midlertidig unntak blir et varig testregister.
Hypotetisk eksempel: månedsrapporten inneholder hele kundelisten
En tenkt virksomhet lager en rapport for å følge antall åpne henvendelser. Standardeksporten inneholder navn, telefonnummer, fritekst og betalingsopplysninger. Gjennomgangen viser at ledelsen bare trenger antall saker per kategori og utvikling over tid. Rapporten endres til å vise disse opplysningene med passende gruppestørrelser.
Fagansvarlige beholder tilgang til nødvendige enkeltsaker i hovedsystemet. Tidligere arbeidskopier gjennomgås etter formål og oppbevaringsbehov. Eksemplet viser at dataminimering kan skille styringsinformasjon fra saksbehandling uten å gjøre det vanskeligere å følge opp kundene. Den som trenger detaljene, bruker den kontrollerte arbeidsflaten.
Knytt reduksjon til oppbevaring
Vurder når opplysninger ikke lenger trengs. Begrensning av innsamling og begrensning av lagring er forskjellige oppgaver som bør støtte hverandre. Et felt kan være nødvendig ved levering, men unødvendig i en senere analyse. Bruk lagringsbegrensning til å definere videre håndtering per kategori og formål.
Ikke la et teknisk avhengighetsproblem bli en ubegrenset oppbevaringsregel. Hvis et system ikke kan slette eller begrense bestemte opplysninger uten å skade relasjoner, må dere planlegge en kontrollert endring. Dokumenter hva som må bevares og hvorfor, og hvem som kan se det mens løsningen forbedres.
Kontroller endringen i hele dataflyten
Et felt kan være fjernet fra skjemaet samtidig som en integrasjon fortsatt fyller det fra en annen kilde. Kontroller derfor innsamling, database, eksport, varsler og eventuelle leverandørkopier. Bruk et ufarlig kontrollscenario og sammenlign faktisk resultat med beslutningen. Dokumenter hvilke systemer som var omfattet.
Se også etter utilsiktede konsekvenser. Hvis fjerning av et felt fører til at ansatte skriver samme opplysning inn i fritekst, er arbeidsbehovet kanskje ikke forstått. Undersøk årsaken og velg en løsning som både begrenser data og gjør oppgaven mulig. En vellykket endring må fungere for dem som bruker systemet.
Hold nødvendighetsvurderingen vedlikeholdt
Gi felt og rapporter en eier som kan vurdere nye behov. Når en avdeling ønsker flere opplysninger, bør den forklare formål, bruk og konsekvens ved fravær. Bruk samme matrise som ved første gjennomgang, slik at utvidelsen ikke skjer gjennom tilfeldige tillegg i et skjema.
Den ferdige leveransen bør vise hvilke felter som beholdes, begrenses eller fjernes, og hvordan beslutningen er gjennomført. Bevar et avgrenset kontrollbevis og åpne oppgaver. Det gjør dataminimering til en praktisk del av systemforvaltningen med synlig virkning på faktisk innsamling og deling.