L'errore più comune nel combinare il passaporto della batteria con il GDPR è che le aziende lasciano scorrere i dati personali in un documento visibile a chiunque. Il passaporto della batteria è infatti pubblico: quando qualcuno scansiona il codice QR, visualizza i dati senza necessità di account o autorizzazione. I dati che sembrano innocui in un sistema interno, come il nome di una persona di contatto presso il fornitore o l'indirizzo e-mail diretto di un dipendente, nella maggior parte dei casi non dovrebbero trovarsi lì.
Questo errore di solito non nasce dalla negligenza, ma dalla facilità. Il passaporto viene spesso compilato trasferendo dati da fonti esistenti: un sistema di approvvigionamento, un fascicolo di qualità, uno scambio di e-mail con il produttore. Queste fonti sono state create per uso interno e spesso contengono più informazioni di quanto necessario per il passaporto. Senza un controllo consapevole di ciò che finisce esattamente nel documento pubblico, tali campi si trascinano automaticamente.
Perché questo rischio specifico viene spesso trascurato
La verordine sulle batterie e il GDPR sono due normative diverse, ciascuna con il proprio scopo. La verordine sulle batterie prescrive quali dati del prodotto devono essere disponibili, come la composizione, l'origine e le prestazioni della batteria. Il GDPR riguarda la protezione dei dati che identificano una persona fisica. Entrambe le normative si applicano contemporaneamente, ma nella pratica sono spesso trattate come un unico processo di lavoro: chi fornisce il passaporto pensa prima di tutto alla conformità alla verordine sulle batterie e non alla questione se un campo contiene dati personali.
Questo è più critico nelle aziende più piccole, dove la stessa persona è responsabile sia della fornitura di dati tecnici che del primo punto di contatto con il produttore. Il confine tra "dati sul prodotto" e "dati sulle persone che gestiscono il prodotto" è meno netto rispetto a un'organizzazione in cui questa responsabilità è distribuita tra più dipartimenti. Inoltre, i fornitori di software che configurano tecnicamente il passaporto di solito trasferiscono tutti i campi forniti senza valutare autonomamente se un campo contiene dati personali; questa valutazione rimane responsabilità del fornitore del passaporto, non della parte che effettua l'hosting.
Cosa accade concretamente nella pratica
In pratica, di solito si tratta di un numero limitato di campi ricorrenti: il nome di un responsabile della qualità che ha firmato il certificato, un numero di telefono diretto anziché un numero di telefono generale dell'azienda, o un allegato come la scansione di una fattura in cui è visibile una persona. Di per sé questo sembra innocuo, perché all'interno dell'azienda è sempre stato condiviso così. La differenza è che il passaporto rimane accessibile a tutti per dieci anni, anche dopo che il dipendente in questione non lavora più presso l'azienda o ha cambiato funzione.
Un secondo punto ricorrente è che le aziende presumono che la verordine sulle batterie stessa già preveda un'eccezione al GDPR, perché la divulgazione è comunque obbligatoria. Questa presunzione è errata: un obbligo di rendere pubblici i dati del prodotto non dice nulla sulla questione se un dato specifico sia un dato personale e sulla base di quale fondamento quel dato può essere trattato. Questa è una valutazione separata che deve essere effettuata caso per caso in relazione al trattamento dei dati della propria azienda.
Come evitarlo nella pratica
Il nucleo è una fase di controllo prima della pubblicazione: qualcuno esamina il passaporto compilato specificamente per verificare se contiene un nome, una qualifica, un dato di contatto diretto o altro dato identificativo che non è funzionalmente necessario per le informazioni sul prodotto. Non è un esercizio giuridico ma un controllo pratico, paragonabile alla revisione di un documento prima che esca dall'azienda. Chi vuole affidare questo compito strutturalmente, può stabilirlo come parte fissa del percorso di fornitura, indipendentemente dall'integrazione tecnica con il fornitore di software.
Aiuta anche a distinguere tra il fascicolo conservato internamente come prova della due diligence e il passaporto reso visibile esternamente. Il primo può contenere nomi e dati di contatto nella misura in cui ciò è necessario per le operazioni aziendali proprie; il secondo è destinato alle informazioni sul prodotto. In la banca dati dove questo argomento è elaborato per ogni situazione è spiegato come questi due componenti si relazionano tra loro. Chi vuole sapere come esattamente vengono generati i dati per il passaporto e chi ha quale ruolo a riguardo, lo trova tramite una panoramica di come vengono compilati i dati per il passaporto.
Poiché questo punto di contatto si trova tra due normative, una valutazione generale della vostra situazione da parte di un avvocato o dell'autorità di controllo sulla protezione dei dati è la strada appropriata se avete dubbi su un campo specifico. Come noi come piattaforma gestiamo l'accesso e l'archiviazione dei dati che ci vengono forniti è descritto su la pagina su come gestiamo i dati e l'accesso.
Volete prima farvi un'idea della situazione della vostra azienda prima di approfondire ulteriormente questo argomento? Con poche domande ottenete una prima indicazione della vostra situazione, completamente senza impegno e senza la necessità di un account.