Wat is data-minimalisatie?
Data-minimalisatie is een van de zeven beginselen van de Algemene Verordening Gegevensbescherming (AVG). Artikel 5 lid 1 sub c bepaalt dat persoonsgegevens ‘toereikend, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt’ moeten zijn. In gewone taal: verzamel niet meer gegevens dan nodig, niet preciezer dan nodig, en bewaar ze niet langer dan nodig.
Toepassing in de praktijk
Data-minimalisatie betekent per gegevenscategorie afwegen of die echt nodig is voor het concrete doel. Een gemeente die vroegsignalen verwerkt heeft het signaal (naam, adres, type achterstand) nodig, maar niet automatisch het volledige financiële profiel van het huishouden. Een schuldhulporganisatie heeft inkomensgegevens nodig om een Vtlb te berekenen, maar niet noodzakelijk de complete medische geschiedenis. Steeds opnieuw geldt: wat is het minimum om dit doel te bereiken?
Documentatie en verantwoording
De AVG vraagt verwerkingsverantwoordelijken om hun keuzes te documenteren. Een verwerkingsregister (art. 30) houdt bij welke gegevenscategorieën voor welk doel worden verwerkt. Bij verwerkingen met hoog risico is een Data Protection Impact Assessment (DPIA) verplicht, waarin de minimalisatie expliciet wordt afgewogen. Privacy-by-design-documentatie laat zien hoe minimalisatie is ingebouwd in de architectuur van het systeem.
Bewaartermijnen
Data-minimalisatie strekt zich ook uit tot tijd: gegevens mogen niet langer worden bewaard dan nodig voor het doel. Bewaartermijnen verschillen per type gegeven en context — financiële documentatie minimaal vijf jaar, zorggegevens vaak twintig jaar of langer onder de Wgbo. Wanneer een wettelijke bewaartermijn afloopt, moeten gegevens worden vernietigd of geanonimiseerd, tenzij een nieuwe rechtsgrond geldt.