Organisaatio käsittelee henkilötietoja vain siinä määrin, kun se on tarpeellista käsittelyn tarkoituksen kannalta.
Organisaation tulisi rajoittaa henkilötietojen kerääminen vähimmäistasolle, joka on olennainen ja tarvittava kerättävien henkilötietojen käsittelytarkoitusta varten.
Periaatteen toteutuminen tulisi varmistaa säännöllisesti kokonaisuuden näkökulmasta verraten hallintajärjestelmän dokumentaatiot (esim. tietojen käyttötarkoitukset) käytännössä organisaation hallussa oleviin henkilötietoihin.
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.