Najčešća greška pri kombiniranju digitalnog putovnice baterije s Uredbom (EU) 2016/679 je što poduzeća dopuštaju da osobni podaci budu uključeni u dokument koji je vidljiv svima. Digitalna putovnica baterije je naime javna: tko god skenira QR-kod, vidi podatke bez potrebe za računom ili dopuštenjem. Podaci koji se čine bezazleni u internom sustavu, kao što je naziv kontaktne osobe dobavljača ili izravna e-mail adresa zaposlenika, u većini slučajeva tamo ne bi trebali biti.
Ta greška obično ne nastaje zbog nemara, već zbog jednostavnosti. Putovnica se često sastavlja preuzimanjem podataka iz postojećih izvora: sustava nabave, dosijea kvalitete, e-mail korespondencije s proizvođačem. Ti su izvori napravljeni za internu upotrebu i često sadrže više nego što je potrebno za putovnicu. Bez svjesne kontrole što će točno završiti u javnom dokumentu, takva polja dolaze u putovnicu.
Zašto se ovo specifično rizično često ignora
Uredba o batelijama i Uredba (EU) 2016/679 su dva različita regulatorna okvira sa svojom svrhom. Uredba o batelijama propisuje koje podatke o proizvodima trebaju biti dostupni, kao što su sastav, podrijetlo i učinkovitost baterije. Uredba (EU) 2016/679 bavi se zaštitom podataka koji identificiraju fizičku osobu. Obje uredbe vrijede istovremeno, ali se u praksi često tretiraju kao jedan radni proces: tko predaje putovnicu, prije svega razmišlja o usklađenosti s Uredbom o batelijama, a ne o pitanju je li polje osobni podatak.
To je izraženije u manjim poduzećima gdje ista osoba odgovara kako za predaju tehničkih podataka tako i za prvi kontakt s proizvođačem. Granica između "podataka o proizvodu" i "podataka o osobama koje upravljaju proizvodom" tada je manje jasna nego u organizaciji gdje je to podijeljeno između više odjela. Također, dobavljači softvera koji tehnički postavljaju putovnicu obično preuzimaju sva predana polja bez da sami procijene je li polje osobni podatak; ta procjena je odgovornost pružatelja putovnice, a ne strane koja je domaćin.
Što se konkretno događa pogrešno
U praksi se obično radi o ograničenom broju ponavljajućih polja: ime kvalitetnog menadžera koji je potpisao certifikat, izravni telefonski broj umjesto općeg poslovnog broja, ili prilog kao što je skeniranje faktore na kojoj se vidi osoba. Sama po sebi, ovo izgleda bezazleno jer se unutar poduzeća uvijek dijelilo na taj način. Razlika je što putovnica ostaje javno dostupna deset godina, za svakoga, čak i nakon što radnik u pitanju više nije u poduzeću ili je promijenio funkciju.
Drugi ponavljajući punkt je što poduzeća pretpostavljaju da Uredba o batelijama sama po sebi već čini izuzetak od Uredbe (EU) 2016/679 jer je javna dostupnost ionako obavezna. Ta je pretpostavka pogrešna: obaveza da se podaci o proizvodu objave javno ne govori ništa o tome je li specifičan podatak osobni podatak i na kojoj osnovi se taj podatak tada smije obraditi. To je odvojena procjena koja bi trebala biti provedena u svakom slučaju pri vlastitoj obradi podataka.
Kako to u praksi izbjegavate
Srž je kontrolni korak prije objavljivanja: netko procjenjuje ispunjeni proizvodni popis specifično s pitanjem sadrži li ime, funkciju, izravni kontakt ili drugi podatak koji se može identificirati koji nije funkcionalno potreban za informacije o proizvodu. To nije pravna vježba već praktična provjera, usporediva s pregledom dokumenta prije nego što napusti uradu. Tko želi strukturalno delegirati to, može to zapisati kao stalni dio procedury dostave, odvojen od tehničke integracije sa dobavljačem softvera.
Pomaže i razlikovati između dosijea koji se interno čuva kao dokaz due diligence-a i proizvodnoga popisa koji je vanjski vidljiv. Prvi može sadržavati imena i kontaktne podatke u mjeri u kojoj je to potrebno za vlastito poslovanje; drugi je namijenjen informacijama o proizvodu. U bazi znanja gdje je ova tema razrađena po situaciji stoji kako se ta dva dijela odnose jedan prema drugom. Tko želi znati kako se podaci za proizvodni popis točno dostavljaju i koja je uloga svakog sudionika, nalazi to povratnom vezom putem pregleda kako se podaci za proizvodni popis sastavljaju.
Budući da se ovo dodiruje između dva propisa, opća procjena vaše situacije od strane pravnika ili nadzornog tijela za zaštitu podataka je preporučeni put ako ste u nedoumici oko određenog polja. Kako mi kao platforma upravljamo pristupom i pohranom podataka koji nam se dostavljaju, opisano je na stranici o tome kako upravljamo podacima i pristupom.
Želite li prvo steći uvid u gdje vaše poduzeće stoji prije nego što dublje uronjete u ovu temu? S nekoliko pitanja dobivate prvi pokazitelj vaše situacije, potpuno neobavezujuće i bez potrebe za računom.