Най-честата грешка при комбиниране на паспорта за батерии с GDPR е, че предприятията позволяват личните данни да се включат в документ, който е видим за всички. Паспортът за батерии е публичен: когато някой сканира QR кода, вижда данните, без да е необходима сметка или разрешение. Данните, които изглеждат безопасни във вътрешна система, като например име на контактно лице при доставчика или пряк имейл адрес на служител, в повечето случаи там не трябва да бъдат.
Тази грешка обикновено не произтича от небрежност, а от удобство. Паспортът често се съставя чрез прехвърляне на данни от съществуващи източници: система за закупки, папка за качество, имейл кореспонденция с производителя. Тези източници са създадени за вътрешно използване и често съдържат повече информация, отколкото е необходимо за паспорта. Без съзнателна проверка на това, което точно попада в публичния документ, такива полета се придвижват заедно.
Защо този специфичен риск често се пропуска
Регламентът за батерии и GDPR са две различни разпоредби със своя собствена цел. Регламентът за батерии предписва кои производствени данни трябва да бъдат налични, като например състав, произход и характеристики на батерията. GDPR се занимава със защитата на данните, които идентифицират физическо лице. Двете разпоредби действат едновременно, но в практиката често се третират като един работен процес: тези, които подават паспорта, мислят преди всичко за съответствие с Регламента за батерии и не се питат дали поле съдържа лични данни.
Това е по-силно изразено в по-малките предприятия, където един и същ човек е отговорен както за подаването на технически данни, така и за първата точка на контакт с производителя. Границата между "данни за продукта" и "данни за хората, които управляват продукта" е тогава по-малко ясна, отколкото в организация, където това е разпределено между няколко отдела. Също така доставчиците на софтуер, които технически настройват паспорта, обикновено прехвърлят всички подадени полета без да преценяват сами дали поле съдържа лични данни; тази преценка попада на подателя на паспорта, не на хостинг партньора.
Какво конкретно се случва
В практиката обикновено има ограничен брой повтарящи се полета: име на служител по качеството, който е подписал сертификата, прям телефонен номер вместо общ номер на компанията, или приложение като сканиране на фактура, в която се вижда лице. Само по себе си това изглежда безопасно, защото винаги беше споделяно така в компанията. Разликата е, че паспортът остава достъпен десет години и за всички, дори след като съответният служител вече не работи в компанията или си е сменил функцията.
Втора повтаряща се точка е, че предприятията предполагат, че самият Регламент за батерии вече прави изключение от GDPR, тъй като публичното разкриване е задължително. Това предположение е неправилно: задължение да се направят производствени данни публични не казва нищо за въпроса дали специфичен данък е личен данък и под каква основа този данък може да бъде обработен. Това е отделна преценка, която трябва да се извърши в отношението на собствената обработка на данни във всеки отделен случай.
Как да избегнете това на практика
Сърцевината е контролна стъпка преди публикуване: някой оценява попълненото удостоверение специално относно въпроса дали съдържа име, длъжност, преки контактни данни или други преки идентификатори, които не са функционално необходими за информацията за продукта. Това не е правна упражнение, а практическа проверка, подобна на преглед на документ преди той да излезе. Ако желаете да делегирате това последователно, можете да го фиксирате като постоянна част от процеса на доставка, отделно от техническото свързване със софтуерния доставчик.
Помага също да се направи разграничение между досието, което се пази вътрешно като доказателство за надлежната проверка, и удостоверението, което е видимо отвън. Първото може да съдържа имена и контактни данни до толкова, до колкото е необходимо за собственото управление на предприятието; второто е предназначено за информация за продукта. В базата от знания, където този предмет е разработен за всяка ситуация е описано как тези два компонента се отнасят един към друг. Ако желаете да узнаете как точно се събират данните за удостоверението и кой има каква роля, можете да намерите това чрез преглед на това как се събират данните за удостоверението.
Тъй като този контакт лежи между две наредби, обща оценка на вашата ситуация от юрист или надзорния орган по защита на данните е препоръчаният път, ако се съмнявате за конкретно поле. Как ние като платформа управляваме достъпа до и съхранението на данните, които ни се доставят, е описано на страницата за това как управляваме данни и достъп.
Желаете ли първо да получите представа за това в каква ситуация се намира вашето предприятие, преди да се потопите по-дълбоко в този предмет? С няколко въпроса получавате първа индикация на вашата ситуация, напълно без задължения и без да е необходима сметка.