L'erreur la plus courante lors de la combinaison du passeport batterie avec le RGPD est que les entreprises laissent des données personnelles s'introduire dans un document visible par tous. Le passeport batterie est en effet public : quiconque scanne le code QR peut voir les données, sans avoir besoin d'un compte ou d'une autorisation. Les données qui semblent inoffensives dans un système interne, comme le nom d'une personne de contact chez le fournisseur ou l'adresse e-mail directe d'un collaborateur, n'y ont généralement pas leur place.
Cette erreur ne résulte généralement pas d'une négligence, mais de facilité. Le passeport est souvent constitué en reprenant des données provenant de sources existantes : un système d'approvisionnement, un dossier qualité, une correspondance électronique avec le fabricant. Ces sources ont été créées pour un usage interne et contiennent souvent plus que ce qui est nécessaire pour le passeport. Sans un contrôle conscient de ce qui figure exactement dans le document public, de tels champs s'introduisent sans s'en apercevoir.
Pourquoi ce risque spécifique est souvent négligé
Le règlement sur les batteries et le RGPD sont deux réglementations différentes, chacune ayant son propre objectif. Le règlement sur les batteries prescrit quelles données relatives au produit doivent être disponibles, comme la composition, l'origine et les performances de la batterie. Le RGPD porte sur la protection des données qui identifient une personne physique. Les deux réglementations s'appliquent simultanément, mais sont souvent traitées dans la pratique comme un seul processus de travail : celui qui fournit le passeport pense d'abord à la conformité avec le règlement sur les batteries et non à la question de savoir si un champ contient une donnée personnelle.
Cela se fait plus sentir dans les petites entreprises, où la même personne est responsable à la fois de la fourniture des données techniques et du premier point de contact avec le fabricant. La limite entre « données concernant le produit » et « données concernant les personnes qui gèrent le produit » est alors moins nette que dans une organisation où cela est réparti sur plusieurs départements. De même, les fournisseurs de logiciels qui mettent en place techniquement le passeport reprennent généralement tous les champs fournis sans évaluer eux-mêmes si un champ contient des données personnelles ; cette évaluation relève du prestataire du passeport, non du fournisseur d'hébergement.
Ce qui concrètement mal tourne
Dans la pratique, il s'agit généralement d'un nombre limité de champs récurrents : le nom d'un responsable de la qualité qui a signé le certificat, un numéro de téléphone direct au lieu d'un numéro général de l'entreprise, ou une pièce jointe telle qu'une copie de facture sur laquelle une personne est visible. En soi, cela semble inoffensif, car c'est toujours ainsi que cela a été partagé au sein de l'entreprise. La différence est que le passeport reste accessible pendant dix ans et pour tous, même après que le collaborateur en question ait quitté l'entreprise ou changé de poste.
Un deuxième point récurrent est que les entreprises supposent que le règlement sur les batteries lui-même prévoit déjà une exception au RGPD, parce que la divulgation est de toute façon obligatoire. Cette hypothèse est incorrecte : une obligation de rendre les données relatives au produit publiques ne dit rien sur la question de savoir si une donnée spécifique constitue une donnée personnelle et selon quel fondement cette donnée peut alors être traitée. Il s'agit d'un test distinct qui doit être effectué séparément pour chaque traitement de données spécifique.
Comment l'éviter dans la pratique
Le cœur du processus est une étape de contrôle avant la publication : quelqu'un examine le passeport rempli spécifiquement pour vérifier qu'aucun nom, fonction, coordonnée de contact directe ou autre donnée d'identification ne s'y trouve si cela n'est pas fonctionnellement nécessaire pour les informations relatives au produit. Il ne s'agit pas d'un exercice juridique mais d'une vérification pratique, comparable à la relecture d'un document avant sa diffusion. Celui qui souhaite déléguer cela de manière structurelle peut le consigner comme partie intégrante du processus de fourniture, indépendamment de l'intégration technique avec le fournisseur de logiciels.
Cela aide également à faire la distinction entre le dossier conservé en interne comme preuve de diligence raisonnable et le passeport visible de l'extérieur. Le premier peut contenir des noms et des coordonnées de contact dans la mesure où cela est nécessaire pour le fonctionnement de l'entreprise ; le second est destiné aux informations relatives au produit. Dans la base de connaissances où ce sujet est développé selon chaque situation figure comment ces deux éléments se rapportent l'un à l'autre. Celui qui souhaite savoir comment les données du passeport sont exactement constituées et quel rôle chacun y joue peut le retrouver via un aperçu de la façon dont les données du passeport sont compilées.
Comme ce point de contact se situe à l'intersection de deux règlements, une évaluation générale de votre situation par un juriste ou l'autorité de contrôle de la protection des données est la bonne approche si vous doutez d'un champ spécifique. La façon dont nous, en tant que plateforme, gérons l'accès et le stockage des données qui nous sont fournies est décrite dans la page sur la manière dont nous traitons les données et l'accès.
Voulez-vous d'abord vous faire une idée de la situation de votre entreprise avant d'approfondir ce sujet ? Avec quelques questions, vous obtenez une première indication de votre situation, tout à fait sans engagement et sans qu'aucun compte ne soit nécessaire.