Kõige levinud viga akupakendi ja GDPR-i kombineerimisel on see, et ettevõtted lasevad isikuandmetel järgneda dokumentis, mis on kõigile nähtav. Akupakett on nimelt avalik: keegi, kes QR-koodi skannib, näeb andmeid ilma konto või loata. Andmed, mis sisemises süsteemis tunduvad süütud, nagu tarnija kontaktisiku nimi või töötaja otsene e-posti aadress, ei kuulu enamikul juhtudel sinna.
See viga tekib tavaliselt mitte hooletusest, vaid mugavuse pärast. Pakett koostatakse sageli andmete ülevõtmisega olemasoleva allikatest: hankesusteemist, kvaliteedidokumendist, e-kirjavastusetusvahetus tootjaga. Need allikad on sisekasutuseks loodud ja sisaldavad sageli rohkem kui pakendile vaja on. Ilma teadlikult kontrollimata, mis täpselt avalikku dokumenti satub, liiguvad sellised väljad kaasa.
Miks seda konkreetset riski sageli üle vaadatakse
Batteriidirektiiv ja GDPR on kaks erinevat määrust oma eesmärgiga. Batteriidirektiiv sätestab, millised tooteandmed peavad olema saadaval, nagu koostis, päritolu ja aku jõudlus. GDPR käsitleb füüsilise isiku tuvastamist võimaldavate andmete kaitse. Mõlemad määrused kehtivad korraga, kuid praktikas käsitletakse neid sageli ühe tööprotsessina: kes pakendi esitab, mõtleb eelkõige batteriidirektiivi järgimisele ja mitte sellele, kas väli on isikuandmed.
See on tugevam väiksemates ettevõtetes, kus sama inimene vastutab nii tehniliste andmete esitamise kui ka esimese kontaktpunkti eest tootjale. Piir "toote andmete" ja "inimeste andmete vahel, kes tootet haldavad" on siis vähem selge kui organisatsioonis, kus see on mitme osakonna vahel jaotatud. Ka tarkvaraleverandörid, kes pakendi tehislikult seadistavad, võtavad tavaliselt kõik esitatud väljad üle ilma ise hindamata, kas väli on isikuandmed; see hindamine on pakendi pakkuja, mitte majutusteenuse osutaja kohustus.
Mis täpselt valesti läheb
Praktikas käib see enamasti piiratud arvu korduva välja kohta: nime kvaliteedispetsialist, kes sertifikaadi allkirjastas, otsese telefoninumbri asemel üldise ettevõtte numbri, või manusest nagu arvete skannimise kohta, kus on inimene näha. Iseenesest tundub see süütult, sest ettevõttesiseselt jagati seda alati nii. Erinevus seisneb selles, et pakett jääb kümne aasta jooksul ja kõigile kättesaadavaks, isegi pärast seda, kui asjaomane töötaja ei tööta enam ettevõttes või on rollist muutunud.
Teine korduv punkt on see, et ettevõtted eeldavad, et batteriidirektiiv ise teeb juba erandi GDPR-sse, kuna avaldamine on nüüd kohustuslik. See eeldus on vale: kohustus tooteandmeid avalikustada ei ütle midagi selle kohta, kas konkreetne andmekogu on isikuandmed ja millisel alusel võidakse seda andmekogumit siis töödelda. See on eraldi test, mis peaks toimuma juhtumi kaupa oma andmete töötlemise juures.
Kuidas te seda praktikas vältite
Tuuma on kontrolletapp enne avaldamist: keegi hindab täidetud passi spetsiaalselt selleks, kas selles on nimi, funktsioon, otsene kontaktteave või muu tuvastatav andmeid, mis ei ole tooteinfo jaoks funktsionaalselt vajalik. See ei ole juriidiline harjutus, vaid praktiline kontroll, mis on sarnane dokumendi ülevaatamisega enne selle lahkumist. Kes soovib seda süsteemselt delegeerida, saab selle fikseerida tarnimistrajektoori püsiva osana, sõltumatult tehnilistest ühendustest tarkvara pakkujaga.
Samuti on kasulik teha erinevus sisemiselt säilitatava doossee ja väliselt nähtava passi vahel. Esimene võib sisaldada nimesid ja kontaktandmeid niivõrd, kui see on oma äritegevuse jaoks vajalik; teine on mõeldud tooteinfole. Selles teadmusbaasis, kus see teema on iga olukorra kaupa välja töötatud on näidatud, kuidas need kaks osa üksteisega seostuvad. Kes soovib teada, kuidas passi andmed täpselt tekivad ja kes millise rolli omab, leiab selle tagasi passi andmete kokkupanekust teaduslike andmete ülevaate kaudu.
Kuna see puutepunkt asub kahe regulatsiooni vahel, on jurist või andmekaitsejärelevalve teostaja üldine hindamine teie olukorrast sobiv teekond, kui kahtlete konkreetses väljandis. Kuidas me platvormina käsitleme meile esitatud andmetele juurdepääsu ja nende ladustamist, on kirjeldatud saidil lehekülg selle kohta, kuidas me andmete ja juurdepääsuga ümber käime.
Kas soovite enne sügavamale süvenemist saada ülevaate oma ettevõtte seisust? Mõne küsimusega saate oma olukorrast esmajoones aru, täiesti sidumata ja ilma kontota.