El error más frecuente al combinar el pasaporte de batería con el RGPD es que las empresas dejan que los datos personales se incluyan en un documento que es visible para todos. El pasaporte de batería es público: quien escanea el código QR ve los datos sin necesidad de cuenta ni consentimiento. Los datos que parecen inofensivos en un sistema interno, como el nombre de una persona de contacto del proveedor o la dirección de correo electrónico directo de un empleado, en la mayoría de los casos no deberían estar allí.
Este error generalmente no surge por negligencia, sino por comodidad. El pasaporte se elabora a menudo trasladando datos de fuentes existentes: un sistema de compras, un expediente de calidad, un intercambio de correos electrónicos con el fabricante. Estas fuentes se crearon para uso interno y a menudo contienen más información de la necesaria para el pasaporte. Sin una revisión consciente de lo que exactamente se incluye en el documento público, esos campos se transfieren automáticamente.
Por qué este riesgo específico a menudo se pasa por alto
La Verordnung (EU) 2023/1542 y el RGPD son dos normativas diferentes con objetivos propios. La Verordnung (EU) 2023/1542 establece qué datos de producto deben estar disponibles, como la composición, el origen y el rendimiento de la batería. El RGPD trata sobre la protección de datos que identifican a una persona física. Ambas normativas se aplican simultáneamente, pero en la práctica a menudo se tratan como un único proceso de trabajo: quien presenta el pasaporte piensa en primer lugar en el cumplimiento de la Verordnung (EU) 2023/1542 y no en la pregunta de si un campo contiene un dato personal.
Esto es más pronunciado en empresas más pequeñas, donde la misma persona es responsable tanto de la aportación de datos técnicos como del primer punto de contacto con el fabricante. El límite entre "datos sobre el producto" y "datos sobre las personas que gestionan el producto" es entonces menos claro que en una organización donde esto se divide entre varios departamentos. Además, los proveedores de software que configuran técnicamente el pasaporte normalmente transfieren todos los campos aportados sin evaluar por sí mismos si un campo contiene datos personales; esa evaluación corresponde al proveedor del pasaporte, no a la parte que hospeda.
Qué falla específicamente en la práctica
En la práctica, generalmente se trata de un número limitado de campos recurrentes: el nombre de un empleado de calidad que firmó el certificado, un número de teléfono directo en lugar de un número general de la empresa, o un anexo como una copia de una factura en la que aparece una persona. En sí mismo, esto parece inofensivo, porque siempre se compartió así dentro de la empresa. La diferencia es que el pasaporte permanece accesible durante diez años y para todos, incluso después de que el empleado en cuestión ya no trabaje en la empresa o haya cambiado de puesto.
Un segundo punto recurrente es que las empresas asumen que la Verordnung (EU) 2023/1542 en sí misma ya hace una excepción al RGPD, porque la publicación es obligatoria. Esta suposición es incorrecta: una obligación de hacer público datos de productos no dice nada sobre si un dato específico es un dato personal y bajo qué base se puede procesar ese dato. Esta es una evaluación separada que debe realizarse en cada caso dentro del propio tratamiento de datos.
Cómo evitar esto en la práctica
El núcleo es un paso de control antes de la publicación: alguien evalúa el pasaporte cumplimentado específicamente para determinar si contiene un nombre, función, dato de contacto directo u otro dato identificable que no sea funcionalmente necesario para la información del producto. No es un ejercicio jurídico sino una comprobación práctica, comparable a revisar un documento antes de que salga. Quién quiera delegar esto de forma estructural puede fijarlo como parte permanente de la trayectoria de suministro, independientemente del acoplamiento técnico con el proveedor de software.
También ayuda hacer una distinción entre el expediente que se conserva internamente como prueba de la diligencia debida y el pasaporte que es visible externamente. El primero puede contener nombres y datos de contacto en la medida en que sea necesario para las operaciones comerciales propias; el segundo está destinado a la información del producto. En la base de conocimientos donde este tema se ha trabajado según la situación se explica cómo estos dos componentes se relacionan entre sí. Quién quiera saber cómo se generan exactamente los datos para el pasaporte y qué papel tiene cada uno en ello, lo encontrará a través de un resumen de cómo se recopilan los datos para el pasaporte.
Debido a que este punto de contacto se encuentra entre dos reglamentaciones, una evaluación general de su situación por parte de un abogado o de la autoridad de protección de datos es la ruta más apropiada si tiene dudas sobre un campo específico. Cómo gestionamos nosotros como plataforma el acceso y el almacenamiento de datos que nos suministran, se describe en la página sobre cómo gestionamos los datos y el acceso.
¿Desea obtener primero una idea de dónde se encuentra su empresa antes de profundizar en este tema? Con algunas preguntas obtendrá una primera indicación de su situación, completamente sin compromiso y sin que sea necesario una cuenta.