Den mest almindelige fejl ved kombinering af batteripasporet med GDPR er, at virksomheder lader personoplysninger flyde med i et dokument, som bliver synligt for alle. Batteripasporet er nemlig offentligt: når nogen scanner QR-koden, kan de se dataene uden behov for konto eller tilladelse. Oplysninger, der virker harmløse i et internt system, såsom navn på en kontaktperson hos leverandøren eller en medarbejders direkte e-mailadresse, hører i de fleste tilfælde ikke derhen.
Denne fejl opstår normalt ikke på grund af uagtsomhed, men på grund af bekvemmelighed. Pasporet sammensættes ofte ved at overtage data fra eksisterende kilder: et indkøbssystem, en kvalitetsdossier, en mailkorrespondance med producenten. Disse kilder er udarbejdet til internt brug og indeholder ofte mere end nødvendigt for pasporet. Uden bevidst kontrol af, hvad der præcist ender op i det offentlige dokument, flyder sådanne felter med.
Hvorfor denne specifikke risiko ofte bliver overset
Batteriforordningen og GDPR er to forskellige lovgivninger med hver sit formål. Batteriforordningen foreskriver, hvilke produktdata der skal være tilgængelige, såsom sammensætning, oprindelse og batteriydeevne. GDPR handler om beskyttelse af data, der identificerer en fysisk person. Begge lovgivninger gælder samtidigt, men behandles i praksis ofte som én arbejdsproces: den, der leverer pasporet, tænker først og fremmest på overholdelse af batteriforordningen og ikke på spørgsmålet om, hvorvidt et felt indeholder personoplysninger.
Dette vejer tungere for mindre virksomheder, hvor samme person er ansvarlig for både levering af tekniske data og første kontaktpunkt med producenten. Grænsen mellem "data om produktet" og "data om de mennesker, der administrerer produktet" er mindre skarp end i en organisation, hvor denne opgave er fordelt på flere afdelinger. Softwareleverandører, der teknisk opsætter pasporet, overtager normalt også alle leverede felter uden selv at vurdere, om et felt indeholder personoplysninger; denne vurdering påhviler pasportudbyderen, ikke hostingparten.
Hvad der konkret går galt
I praksis handler det normalt om et begrænset antal tilbagevendende felter: navn på en kvalitetsmedarbejder, der har underskrevet certifikatet, et direkte telefonnummer i stedet for et generelt firmanummer, eller en vedhæftet fil, såsom scan af en faktura, hvor en person er synlig. I sig selv virker det harmløst, fordi det altid blev delt sådan inden for virksomheden. Forskellen er, at pasporet forbliver tilgængeligt for alle i ti år, også efter at den pågældende medarbejder ikke længere arbejder i virksomheden eller har skiftet funktion.
Et andet tilbagevendende punkt er, at virksomheder antager, at batteriforordningen i sig selv allerede laver en undtagelse fra GDPR, fordi offentliggørelse nu engang er obligatorisk. Denne antagelse er forkert: en forpligtelse til at gøre produktdata offentlige siger intet om, hvorvidt et specifikt datapunkt er en personoplysning, og under hvilket grundlag sådan et datapunkt må behandles. Dette er en separat vurdering, der bør foretages for hver enkelt sag som led i ens egen databehandling.
Sådan undgår du det i praksis
Kernen er et kontroltrin før offentliggørelse: nogen vurderer det udfyldte pas specifikt for at afgøre, om der er et navn, en funktionsbetegnelse, direkte kontaktoplysning eller andet identifikationsbart datum i det, som ikke er funktionelt nødvendigt for produktoplysningerne. Det er ikke en juridisk øvelse, men en praktisk kontrol, som kan sammenlignes med gennemlæsning af et dokument, før det forlader virksomheden. Hvis nogen strukturelt ønsker at overdrage dette, kan det fastsættes som en fast del af leveringsprocessen, uafhængigt af den tekniske integration med softwareleverandøren.
Det hjælper også at skelne mellem dossieren, som opbevares internt som bevis for due diligence, og passet, som bliver synligt eksternt. Det første må indeholde navne og kontaktoplysninger for så vidt, det er nødvendigt for virksomhedens egen drift; det andet er beregnet til produktoplysninger. I videnbanken, hvor dette emne er behandlet for hver situation ses, hvordan disse to elementer forhold til hinanden. Den, der ønsker at vide, hvordan data til passet netop bliver til, og hvem der har hvilken rolle, finder det tilbage via et overblik over, hvordan data til passet samles.
Fordi dette berøringspunkt ligger mellem to regulativer, er en generel vurdering af din situation fra en jurist eller den ansvarlige for databeskyttelse den angivne vej, hvis du er i tvivl om et specifikt felt. Hvordan vi som platform håndterer adgang til og opbevaring af data, som bliver leveret til os, er beskrevet på siden om, hvordan vi håndterer data og adgang.
Vil du først få et billede af, hvor din virksomhed står, før du dykker dybere ned i dette emne? Med nogle få spørgsmål får du en første indikation af din situation, helt uforpligtende og uden at der er behov for en konto.