Czy w przedstawionej sytuacji zapisy dotyczące bezpieczeństwa danych powinny znaleźć się w umowie?

Najemca (poczta polska) żąda imiennego wykazu osób upoważnionych do wejścia do pomieszczeń (osoby wykonują drobne prace remontowe, pomieszczenia nie są ogólnodostępne dla klientów). Upoważnienia zawierają imię i nazwisko, serię i nr dowodu tożsamości, nazwę firmy. W umowie jest zapis dotyczący celu zbierania danych tj. weryfikacji uprawnień do wejścia, brak natomiast innych zapisów dotyczących bezpieczeństwa zebranych danych.

Czy zapisy dotyczące bezpieczeństwa danych powinny znaleźć się w ww. umowie i czy pozyskiwane dane nie są nadmiarowe?