Yleisin virhe digitaalisen batteriipassin ja GDPR:n yhdistämisessä on, että yritykset sallivat henkilötietojen siirtymisen asiakirjaan, joka tulee näkyviin kaikille. Batteriipassi on nimittäin julkinen: jokainen, joka skannaa QR-koodin, näkee tiedot ilman että tarvitsee tiliä tai lupaa. Tiedot, jotka sisäisessä järjestelmässä näyttävät harmittomilta, kuten toimittajan yhteyshenkilön nimi tai työntekijän suora sähköpostiosoite, eivät useimmiten kuulu sinne.
Tämä virhe ei yleensä aiheudu huolimattomaisuudesta vaan mukavuudesta. Passaportti kootaan usein siirtämällä tietoja olemassa olevista lähteistä: ostojärjestelmästä, laatutiedostosta, sähköpostienvaihdosta valmistajan kanssa. Nämä lähteet on laadittu sisäiseen käyttöön ja ne sisältävät usein enemmän kuin mitä passaporttiin tarvitaan. Ilman tietoista tarkastusta siitä, mitä tarkalleen ottaen päättyy julkiseen asiakirjaan, tällaiset kentät siirtyvät mukana.
Miksi tämä erityinen riski usein jää huomiotta
Batterijoiden säännöstö ja GDPR ovat kaksi erillistä säädöstöä, joilla on omat tavoitteensa. Batterijoiden säännöstö määrittää, mitkä tuotetiedot on oltava saatavilla, kuten koostumus, alkuperä ja akun suorituskyvyt. GDPR käsittelee luonnollisen henkilön tunnistavien tietojen suojaamista. Molemmat säädöstöt pätevät samanaikaisesti, mutta käytännössä ne usein käsitellään yhtenä työtoimintona: kuka tahansa, joka toimittaa passin, ajattelee ensisijaisesti batterijoiden säännöstön noudattamisen ja ei pohdi sitä, sisältääkö kenttä henkilötietoja.
Tämä pätee vahvemmin pienemmissä yrityksissä, joissa sama henkilö vastaa sekä teknisten tietojen toimittamisesta että ensimmäisestä yhteyspisteestä valmistajan kanssa. Ero "tuotetietojen" ja "tietoja tuotteen hoitavista henkilöistä" välillä ei ole yhtä terävä kuin organisaatiossa, jossa tämä on jaettu useille osastoille. Myös ohjelmistotoimittajat, jotka tekevät passin teknisesti, ottavat yleensä kaikki toimitetut kentät käyttöön arvioimatta itse, sisältääkö kenttä henkilötietoja; tämä arviointi kuuluu passin tarjoajalle, ei hosting-osapuolelle.
Mitä käytännössä menee pieleen
Käytännössä kyse on yleensä rajallisesta määrästä toistuvia kenttiä: laatutyöntekijän nimeä, joka on allekirjoittanut sertifikaatin, suoraa puhelinnumeroa yleisen yrityksen numeron sijasta, tai liitettä, kuten laskun skannaus, jossa henkilö näkyy. Sinänsä tämä näyttää harmittomalta, koska sitä jaettiin aina yrityksen sisällä. Ero on, että passaportti pysyy kymmenen vuoden ajan saatavilla kaikille, myös sen jälkeen, kun kyseinen työntekijä ei enää työskentele yrityksessä tai on vaihtanut tehtävää.
Toinen toistuva seikka on, että yritykset olettavat batterijoiden säännöstön jo tekevän poikkeuksena GDPR:ään, koska julkistaminen on joka tapauksessa pakollista. Tämä oletus on väärä: velvoite julkistaa tuotetiedot ei kerro mitään siitä, onko tietty tieto henkilötieto ja millä perusteella sitä saa käsitellä. Se on erillinen testaus, joka kuuluu suorittaa kussakin tapauksessa omassa tietojenkäsittelyssä.
Kuinka välttää tämä käytännössä
Ydin on valvontavaihe ennen julkaisemista: joku arvioi täytettyä passia nimenomaan sen osalta, sisältääkö se nimen, tehtävän, suoraa yhteystietoa tai muuta tunnistettavaa tietoa, joka ei ole toiminnallisesti välttämätöntä tuotetietojen kannalta. Tämä ei ole juridinen harjoitus vaan käytännöllinen tarkistus, joka on verrattavissa asiakirjan läpikäyntiin ennen sen lähettämistä. Kuka haluaa jakaa tämän systemaattisesti, voi määritellä sen kiinteäksi osaksi toimittamisprosessia, riippumatta teknisestä yhteydestä ohjelmistotoimittajaan.
Se auttaa myös tekemään eron sisäisen tiedoston ja vahvistuksen säilyttämisen välillä sekä ulkoisesti näkyvän passin välillä. Ensimmäinen voi sisältää nimiä ja yhteystietoja siinä määrin kuin se on tarpeellista omalle liiketoiminnalle; jälkimmäinen on tarkoitettu tuotetiedoiksi. Sisään tietopankissa, jossa tämä aihe on käsitelty tilanneittain näkyy, kuinka nämä kaksi osaa liittyvät toisiinsa. Kuka haluaa tietää, kuinka passin tiedot tarkalleen muodostuvat ja kuka siihen osallistuu, löytää sen kohdasta yleiskatsaus siitä, kuinka passin tiedot kootaan.
Koska tämä koskettaa kahden säädöksen välistä rajapintaa, asianmukainen keino on ottaa yhteyttä lakimieheen tai tietosuojaviranomaisen yleiseen arviointiin, jos epäilet jonkin tietyn kentän osalta. Kuinka käsittelemme alustana saamiamme tietoihin pääsyä ja tallennusta, on kuvattu sivulla kuinka käsittelemme tietoja ja pääsyä.
Haluatko ensin saada käsityksen siitä, missä yrityksesi on ennen kuin sukellat syvemmälle tähän aiheeseen? Muutaman kysymyksen avulla saat ensimmäisen käsityksen tilanteestasitäysin sitovattomasti eikä sitä varten tarvita tiliä.