Minimalizace osobních údajů versus povinnost uchovávání dat

Princip minimalizace osobních údajů patří v právu ochrany osobních údajů k jedné ze základních zásad. Nemá význam jen sám o sobě, ale úzce souvisí s respektem k autonomii subjektů údajů, s omezením rizika deanonymizace již anonymizovaných údajů a rizika spojeného s kybernetickým incidentem. Méně dat se lépe chrání a případný incident nemusí způsobit takové škody, jako incident týkající se většího množství dat. Zároveň však právní řád – unijní i národní – stále častěji ukládá správcům a dalším aktérům povinnost systematicky shromažďovat a uchovávat rozsáhlé záznamy o provozu systémů, uživatelích digitálních služeb či o událostech z oblasti kybernetické bezpečnosti, které mají často povahu osobních údajů.

Na jedné straně tedy stojí požadavek data minimisation by design and by default[1], na straně druhé povinné logování, auditní stopy, identifikace uživatelů a dlouhodobé uchovávání záznam . . .