Dataminimering er ét af principperne i GDPR artikel 5. Litra c i stk. 1 siger, at personoplysninger skal være begrænset til hvad der er nødvendigt i forhold til formålet. Det lyder blødt, men det er en af de bestemmelser, der bliver håndhævet hårdest, fordi den er nem at måle en løsning op imod.
Prøven er formålet, ikke bekvemmeligheden
Man skal starte med at skrive formålet ned og derefter spørge, hvilke oplysninger der faktisk er nødvendige for at nå det. Er formålet at afgøre, om en kunde må købe en flaske spiritus, er det nødvendige svar, om personen er fyldt 18 år. Navn, adresse og fødselsdato er ikke nødvendige for det spørgsmål, uanset hvor praktisk det ville være at have dem liggende til noget andet.
Argumentet om, at oplysningerne kan blive nyttige senere, holder ikke. Et fremtidigt formål, der ikke er beskrevet, er ikke et formål.
Afgørelsen om det digitale kørekort
Datatilsynet traf 15. november 2023 afgørelse mod Digitaliseringsstyrelsen om det digitale kørekort. Løsningen behandlede oplysninger om cirka 2,2 mio. kørekortindehavere, selv om kun cirka 1,7 mio. rent faktisk brugte den. Tilsynet fandt det i strid med dataminimering og gav påbud om sletning med en frist på fire uger.
Sagen er værd at kende, fordi der ikke var tale om en lækage eller om oplysninger, der blev misbrugt. Der var bare flere personer i systemet, end formålet krævede. Det var nok.
Sådan ser minimering ud i praksis
Ved aldersverifikation med MitID findes der et flow, hvor tjenesten beder om alderen som scope, fx age_verify:16. Svaret kommer tilbage som et claim med værdien 16:true eller 16:false. Hverken CPR-nummer eller fødselsdato bliver udleveret, og så er der ikke noget at opbevare, sikre eller slette.
AltID bygger på det samme princip. Aldersbeviset i appen viser, at man er over en bestemt alder, uden at dele navn, adresse eller CPR-nummer.
Når minimering møder kundekendskab
Det er ikke alle opgaver, der kan skæres så langt ned. Skal der laves KYC, kræver hvidvaskloven navn og CPR-nummer, og der er intet minimeringsprincip, der kan skrive det krav væk. Forskellen er, at grundlaget så er en retlig forpligtelse med et afgrænset indhold. Man henter det, loven nævner, og stopper der.