Το πιο συνηθισμένο σφάλμα κατά τον συνδυασμό του διαβατηρίου μπαταρίας με το GDPR είναι ότι τα εταιρείες επιτρέπουν προσωπικὰ δεδομένα νὰ συμπεριληφθοῦν σὲ ένα έγγραφο που είναι ορατὸ σὲ όλους. Τὸ διαβατήριο μπαταρίας είναι δημόσιο: όποιος σκανάρει τὸν κωδικὸ QR, βλέπει τὰ δεδομένα χωρὶς νὰ χρειάζεται λογαριασμὸ ἢ άδεια. Δεδομένα που φαίνονται αθώα σὲ ένα εσωτερικὸ σύστημα, ὅπως τὸ όνομα ενὸς επαφῆς στὸν προμηθευτὴ ἢ ἡ άμεση διεύθυνση ηλεκτρονικοῦ ταχυδρομείου ενὸς υπαλλήλου, δὲν ἀνήκουν συνήθως ἐκεῖ.
Τὸ σφάλμα αυτὸ δὲν προκύπτει συνήθως ἀπὸ ἀμέλεια, ἀλλὰ ἀπὸ διευκόλυνση. Τὸ διαβατήριο συντάσσεται συχνὰ μεταφέροντας δεδομένα ἀπὸ υπάρχουσες πηγές: ένα σύστημα αγορῶν, ένα αρχείο ποιότητας, μια ανταλλαγὴ ηλεκτρονικοῦ ταχυδρομείου με τὸν κατασκευαστή. Αὐτὲς οἱ πηγές δημιουργήθησαν γιὰ εσωτερική χρήση και περιέχουν συχνὰ περισσότερα ἀπὸ ὅσα χρειάζονται γιὰ τὸ διαβατήριο. Χωρὶς ἕναν συνειδητὸ έλεγχο ἀυτοῦ που θὰ καταλήξει στὸ δημόσιο έγγραφο, τέτοια πεδία συμπεριλαμβάνονται.
Γιατί αυτὸς ὁ συγκεκριμένος κίνδυνος δὲν παρατηρεῖται συχνὰ
Ἡ Κανονισμὸς περὶ μπαταριῶν (EU) 2023/1542 και τὸ GDPR είναι δύο διαφορετικὲς ρυθμίσεις με δικὸ τους σκοπό. Ὁ Κανονισμὸς περὶ μπαταριῶν ορίζει ποιὰ δεδομένα προϊόντος πρέπει νὰ είναι διαθέσιμα, ὅπως ἡ σύνθεση, ἡ προέλευση και οἱ παράμετροι τῆς μπαταρίας. Τὸ GDPR ἀφορᾶ τὴν προστασία δεδομένων που ταυτοποιοῦν ἕναν φυσικὸ πρόσωπο. Κι οἱ δύο κανονισμοί ισχύουν ταυτοχρόνως, ἀλλὰ στὴν πράξη αντιμετωπίζονται συχνὰ ὡς μία ενιαία διαδικασία: ὅποιος παρέχει τὸ διαβατήριο, σκέπτεται πρῶτα κύρια τὴν συμμόρφωση μὲ τὸν Κανονισμὸ περὶ μπαταριῶν και ὄχι τὸ ἐρώτημα κατὰ πόσον ένα πεδίο περιέχει προσωπικὰ δεδομένα.
Αὐτὸ ἰσχύει ἐντονότερα στὶς μικρότερες ἐπιχειρήσεις, ὅπου ἡ ίδια πρόσωπο είναι υπεύθυνη τόσο γιὰ τὴν παροχὴ τεχνικῶν δεδομένων ὅσο καὶ γιὰ τὸ πρῶτο σημείο επαφῆς προς τὸν κατασκευαστή. Τὸ όριο μεταξὺ "δεδομένων σχετικῶν μὲ τὸ προϊόν" και "δεδομένων σχετικῶν μὲ τὰ ἄτομα που διαχειρίζονται τὸ προϊόν" είναι τότε λιγότερο σαφὲς ἀπὸ ὅσο θὰ ἦταν σὲ μία ὀργάνωση ὅπου αὐτὰ διανέμονται σὲ πολλὰ τμήματα. Ἐπίσης, οἱ προμηθευτὲς λογισμικοῦ που δημιουργοῦν τεχνικὰ τὸ διαβατήριο, συνήθως μεταφέρουν όλα τὰ παρεχόμενα πεδία χωρὶς νὰ αξιολογήσουν μόνοι τους κατὰ πόσον ένα πεδίο περιέχει προσωπικὰ δεδομένα. Αὐτὴ ἡ αξιολόγηση ἀνήκει στὸν πάροχο τοῦ διαβατηρίου, ὄχι στὸν φιλοξενοῦντα φορέα.
Τί ακριβῶς πάει στραβά
Στὴν πράξη, συνήθως πρόκειται γιὰ ἕναν περιορισμένο ἀριθμὸ επαναλαμβανόμενων πεδίων: τὸ ὄνομα ενὸς υπαλλήλου ποιότητας που υπέγραψε τὸ πιστοποιητικό, ἕναν ἀριθμό τηλεφώνου άμεσης επικοινωνίας ἀντὶ ενὸς γενικοῦ ἀριθμοῦ ἐπιχείρησης, ἢ ἕνα συνημμένο αρχείο ὅπως μία σάρωση ενὸς τιμολογίου ὅπου φαίνεται ένα ἄτομο. Ἂν τὸ πάρουμε ἀπομονωμένα, αὐτὸ φαίνεται αθώο, γιατὶ πάντα μοιραζόταν ἔτσι ἐσωτερικὰ στὸ ἐταιρείας. Ἡ διαφορὰ είναι ὅτι τὸ διαβατήριο παραμένει δημόσιο γιὰ δέκα χρόνια και εὐάλωτο σὲ ὅλους, ἀκόμη καὶ ἀφότου ὁ υπάλληλος ἐν λόγῳ δὲν εργάζεται πλέον στὸ ἐταιρείας ἢ ἔχει αλλάξει θέση.
Ἕναν δεύτερο επαναλαμβανόμενο σημείο είναι ὅτι τὰ ἐταιρείες θεωροῦν ὅτι ὁ ίδιος ὁ Κανονισμὸς περὶ μπαταριῶν ήδη περιέχει μία ἐξαίρεση ἀπὸ τὸ GDPR, ἐπειδὴ ἡ δημοσίευση είναι τελικὰ υποχρεωτική. Αὐτὴ ἡ ὑπόθεση είναι λανθασμένη: μία υποχρέωση νὰ γίνουν δημόσιὰ τὰ δεδομένα τοῦ προϊόντος δὲν λέει τίποτα σχετικὰ μὲ τὸ ἐρώτημα κατὰ πόσον ένα συγκεκριμένο δεδομένο είναι προσωπικὸ δεδομένο και σὺν ποίας βάσης τότε αὐτὸ τὸ δεδομένο ἐπιτρέπεται νὰ ἐπεξεργαστεῖ. Αὐτὸ είναι ἕναν ξεχωριστὴ αξιολόγηση, η ὁποία θὰ πρέπει νὰ γίνει γιὰ κάθε περίπτωση στὴν δικὴ σας ἐπεξεργασία δεδομένων.
Πώς το αποφεύγετε αυτό στην πράξη
Ο πυρήνας είναι ένα βήμα ελέγχου πριν από τη δημοσίευση: κάποιος αξιολογεί το συμπληρωμένο διαβατήριο ειδικά για το ερώτημα εάν περιέχει ένα όνομα, λειτουργία, άμεση επαφή ή άλλα στοιχεία αναγνώρισης που δεν είναι λειτουργικά απαραίτητα για τις πληροφορίες προϊόντος. Δεν πρόκειται για νομική άσκηση αλλά για έναν πρακτικό έλεγχο, συγκρίσιμο με την επανάληψη ενός εγγράφου πριν φύγει από την πόρτα. Όποιος θέλει να το αναθέσει διαρθρωτικά, μπορεί να το καθορίσει ως σταθερό μέρος της διαδικασίας παράδοσης, ανεξάρτητα από την τεχνική σύνδεση με τον προμηθευτή λογισμικού.
Βοηθά επίσης να γίνει διάκριση μεταξύ του φακέλου που διατηρείται εσωτερικά ως απόδειξη της δέουσας επιμέλειας και του διαβατηρίου που γίνεται ορατό εξωτερικά. Το πρώτο μπορεί να περιέχει ονόματα και στοιχεία επαφής στο βαθμό που είναι απαραίτητα για τη δική σας επιχειρηματική λειτουργία· το δεύτερο προορίζεται για πληροφορίες προϊόντος. Στην τράπεζα γνώσης όπου αυτό το θέμα έχει αναλυθεί σε κάθε κατάσταση περιγράφεται πώς αυτά τα δύο μέρη σχετίζονται μεταξύ τους. Όποιος θέλει να γνωρίζει πώς δημιουργούνται ακριβώς τα δεδομένα για το διαβατήριο και ποιος έχει ποιο ρόλο σε αυτό, θα το βρει μέσω μιας επισκόπησης του τρόπου σύνθεσης των δεδομένων για το διαβατήριο.
Επειδή αυτό το σημείο επαφής βρίσκεται μεταξύ δύο κανονισμών, μια γενική αξιολόγηση της κατάστασής σας από έναν νομικό ή την αρχή προστασίας δεδομένων είναι η κατάλληλη διαδρομή εάν αμφιβάλλετε για ένα συγκεκριμένο πεδίο. Ο τρόπος με τον οποίο ως πλατφόρμα χειριζόμαστε την πρόσβαση και την αποθήκευση των δεδομένων που μας παρέχονται περιγράφεται στην τη σελίδα σχετικά με το πώς χειριζόμαστε τα δεδομένα και την πρόσβαση.
Θέλετε πρώτα να πάρετε μια εικόνα του πού βρίσκεται η εταιρεία σας προτού να βουτήξετε βαθύτερα σε αυτό το θέμα; Με μερικές ερωτήσεις λαμβάνετε μια πρώτη ένδειξη της κατάστασής σας, εντελώς ανεπιφύλακτα και χωρίς να χρειάζεται λογαριασμό.