Nejčastější chyba při kombinování bateriového pasu s GDPR spočívá v tom, že společnosti nechávají osobní údaje procházet dokumentem, který je viditelný pro všechny. Bateriový pas je totiž veřejný: pokud někdo naskenuje QR kód, zobrazí se mu údaje bez nutnosti účtu či souhlasu. Údaje, které se v interním systému zdají nevinné, například jméno kontaktní osoby u dodavatele nebo přímá e-mailová adresa zaměstnance, zde ve většině případů nepatří.
Tato chyba obvykle nevzniká z nedbalosti, ale z pohodlnosti. Pas se často sestavuje tak, že se údaje přebírají z existujících zdrojů: nákupního systému, spisu o kvalitě, e-mailové korespondence s výrobcem. Tyto zdroje byly vytvořeny pro interní použití a často obsahují více informací, než je pro pas potřeba. Bez vědomé kontroly toho, co přesně skončí ve veřejném dokumentu, se taková pole přenesou.
Proč je toto specifické riziko často přehlíženo
Nařízení o bateriích a GDPR jsou dvě různá právní předpisy s vlastním účelem. Nařízení o bateriích stanovuje, které údaje o produktu musí být k dispozici, například složení, původ a výkonnost baterie. GDPR se týká ochrany údajů, které identifikují fyzickou osobu. Oba právní předpisy platí současně, ale v praxi se často vnímají jako jeden pracovní proces: ten, kdo pas dodává, si v první řadě myslí na soulad s nařízením o bateriích, a ne na otázku, zda pole obsahuje osobní údaje.
To je zraznější u menších společností, kde je jedna osoba odpovědná jak za dodání technických údajů, tak za první kontakt s výrobcem. Hranice mezi "údaji o produktu" a "údaji o lidech, kteří se o produkt starají" je pak méně jasná než v organizaci, kde je to rozděleno mezi více oddělení. Také poskytovatelé software, kteří technicky pas nastavují, obvykle přebírají všechna dodaná pole beze své vlastní úvahy, zda pole obsahuje osobní údaje; toto posouzení leží na poskytovateli pasu, nikoli na hostingové straně.
Co konkrétně selhává
V praxi se obvykle jedná o omezený počet opakujících se polí: jméno pracovníka kvality, který certifikát podepsal, přímé telefonní číslo místo obecného čísla společnosti nebo příloha jako naskenovaná faktura, na níž je vidět osoba. Samo o sobě se to zdá nevinné, protože se to v rámci společnosti vždy takto sdílelo. Rozdíl spočívá v tom, že pas zůstává po dobu deseti let přístupný pro všechny, a to i poté, co dotyčný zaměstnanec již ve společnosti nepracuje nebo změnil funkci.
Druhým opakujícím se bodem je, že společnosti předpokládají, že samotné nařízení o bateriích již obsahuje výjimku z GDPR, protože zveřejnění je nyní povinné. Tento předpoklad je nesprávný: povinnost zveřejnit údaje o produktu neříká nic o tom, zda je konkrétní údaj osobním údajem a na základě jakého právního důvodu může být takový údaj zpracováván. Jde o samostatné posouzení, které by mělo proběhnout v každém případě v rámci vlastního zpracování údajů.
Jak to v praxi předejít
Jádrem je kontrolní krok před publikací: někdo posoudí vyplněný pas konkrétně s ohledem na to, zda obsahuje jméno, funkci, přímý kontakt nebo jiné identifikovatelné údaje, které nejsou funkčně potřebné pro informace o produktu. Nejde o právní cvičení, ale o praktickou kontrolu, kterou lze přirovnat ke kontrole dokumentu před jeho odesláním. Kdo chce tento postup delegovat strukturálně, může si jej zajistit jako pevnou součást procesu dodání dat, oddělená od technického propojení s poskytovatelem softwaru.
Pomáhá to také rozlišit mezi spisem, který se interně uchovává jako důkaz péče, a pasem, který je externě viditelný. První smí obsahovat jména a kontaktní údaje v rozsahu, kdy jsou potřebné pro vlastní chod firmy; druhý je určen pro informace o produktu. V databázi znalostí, kde je toto téma zpracováno podle situace je popsáno, jak se tyto dva prvky k sobě vztahují. Kdo chce vědět, jak přesně vznikají údaje pro pas a jakou roli má každá osoba, najde to v přehledu způsobu, jakým se údaje pro pas shromažďují.
Protože se jedná o rozhraní mezi dvěma právními předpisy, je vhodné řešení nechat právníka nebo správce ochrany osobních údajů posoudit vaši situaci, máte-li pochybnosti o konkrétním poli. Jak my jako platforma postupujeme s přístupem k datům a jejich uchováváním, která nám byla poskytnuta, je popsáno v stránce o tom, jak s daty a přístupem zacházíme.
Chcete se nejdřív dozvědět, kde vaše firma stojí, než se hlouběji ponoříte do tohoto tématu? Pomocí několika otázek získáte první představu o vaší situaci, zcela bez závazku a bez nutnosti mít účet.