Az akkumulátor-útlevél és a GDPR kombinálása során leggyakrabban elkövetett hiba az, hogy a vállalkozások személyes adatokat tartalmaznak egy olyan dokumentumban, amely mindenki számára látható lesz. Az akkumulátor-útlevél ugyanis nyilvános: aki beolvassa a QR-kódot, láthatja az adatokat, ehhez nem szükséges fiók vagy engedély. Az olyan adatok, amelyek egy belső rendszeren ártalmatlannak tűnnek, például a beszállító egy kapcsolattartó személyének neve vagy egy alkalmazott közvetlen e-mail-címe, a legtöbb esetben ott nem helyesek.
Ez a hiba általában nem gondatlanságból, hanem kényelemből származik. Az útlevelet gyakran úgy állítják össze, hogy adatokat vesznek át meglévő forrásokból: egy beszerzési rendszerből, egy minőségi dossziéból, egy e-mail-levelezésből a gyártóval. Ezeket a forrásokat belső használatra készítették, és gyakran több információt tartalmaznak, mint amennyi szükséges az útlevélhez. A nyilvános dokumentumba bekerülő adatok tudatos ellenőrzése nélkül az ilyen mezők is átcsúsznak.
Miért szokták figyelmen kívül hagyni ezt a konkrét kockázatot
Az akkumulátor-rendelet és a GDPR két különböző szabályozás, mindegyiknek saját célja. Az akkumulátor-rendelet előírja, mely termékadatoknak kell elérhetőknek lennie, mint például az összetétel, az eredet és az akkumulátor teljesítménye. A GDPR a természetes személyt azonosító adatok védelméről szól. Mindkét szabályozás egyidejűleg érvényes, de a gyakorlatban gyakran egyetlen munkafolyamatnak tekintik: aki az útlevelet benyújtja, elsősorban az akkumulátor-rendelettel való megfelelésre gondol, nem pedig arra, hogy egy mező személyes adat-e.
Ez erősebben hat a kisebb vállalkozásoknál, ahol ugyanaz a személy felel mind a technikai adatok benyújtásáért, mind az első kapcsolattartási pontért a gyártó felé. A "termékadatok" és a "terméket kezelő emberek adatai" közötti határ ekkor kevésbé éles, mint egy olyan szervezetnél, ahol ez több osztály között oszlik meg. A szoftverszállítók is, akik az útlevelet technikai szempontból felállítják, általában az összes benyújtott mezőt átvesznek, anélkül, hogy maguk megítélnék, egy mező személyes adat-e; ez az értékelés az útlevél szállítójánál, nem a tárhelyszolgáltatónál végzendő.
Mit konkrétan megy félre
A gyakorlatban általában néhány ismétlődő mezőről van szó: egy olyan minőségigazgatási dolgozó neve, aki aláírta a tanúsítványt, egy közvetlen telefonszám az általános vállalati szám helyett, vagy egy melléklet, például egy olyan számla beolvasása, amelyen egy személy látható. Önmagában ez ártalmatlannak tűnik, mert a vállalat belül mindig így osztotta meg. A különbség az, hogy az útlevél tíz évig és mindenki számára hozzáférhető marad, akkor is, miután az érintett alkalmazott nem dolgozik már a vállalatnál, vagy megváltozott a pozíciója.
Egy második ismétlődő pont az, hogy a vállalkozások azt feltételezik, hogy az akkumulátor-rendelet maga már kivételt tesz a GDPR-ből, mert a nyilvánosságra hozatal egyébként kötelező. Ez a feltételezés helytelen: a termékadatok nyilvánosságra hozatalára vonatkozó kötelezettség nem mond semmit arról, hogy egy konkrét adat személyes adat-e, és milyen alapon lehet azt feldolgozni. Ez egy külön vizsgálat, amely a saját adatfeldolgozás során kell hogy végbemenjen.
Hogyan kerülheti ezt el a gyakorlatban
Az lényege egy ellenőrzési lépés a közzétételezés előtt: valaki áttekinti a kitöltött passzust kifejezetten azzal az ügyességgel, hogy van-e benne olyan név, funkció, közvetlen kapcsolattartási adat vagy egyéb azonosítható adat, amely a termékadatokhoz nem szükséges. Ez nem jogi gyakorlat, hanem gyakorlati ellenőrzés, hasonlóan egy dokumentum áttekintéséhez, mielőtt elhagyja a céget. Aki ezt rendszeresen szeretné delegálni, rögzítheti az átadási folyamat állandó részéként, függetlenül a szoftverszállítóval való műszaki csatolástól.
Az is segít megkülönböztetni a belső használatra őrzött dosszié és a külsőleg látható passzust. Az első tartalmazhat neveket és kapcsolattartási adatokat, amennyiben ez szükséges a saját üzleti működéshez; az utóbbi termékinformációra szolgál. Az ismeretbázisban, ahol ezt a témát szituációnként feldolgozták, leírják, hogyan viszonyulnak egymáshoz ezek az összetevők. Aki tudni szeretné, hogyan jönnek létre pontosan a passzushoz szükséges adatok, és ki milyen szerepet játszik benne, az a következőn keresztül találja meg: a passzushoz szükséges adatok összeállításáról szóló áttekintés.
Mivel ez két szabályozás érintkezési felülete, a jogi szakember vagy az adatvédelmi felügyelő általános értékelése az ajánlott megoldás, ha az adott mező tekintetében kétséges. Hogyan kezeljük mi platformként a hozzáférést és az adatok tárolásást, amelyeket nekünk szállítanak, leírásban szerepel: a pagina az adatok kezeléséről és a hozzáférésről.
Szeretne képet kapni arról, hogy cége hol áll, mielőtt mélyebbre merülne ebbe a témába? Az néhány kérdésből egy első jelzést kap helyzetéről,teljesen szándékmentesen és anélkül, hogy ehhez szüksége lenne egy fiókra.