Dažniausia klaida derinus akumuliatoriaus pasportą su GDPR yra tai, kad įmonės leidžia asmeninei informacijai persidengti dokumente, kuris tampa viešai matomus. Akumuliatoriaus pasportas totiž yra viešas: skenavus QR kodą, duomenys tampa matomi, tam nereikalinga paskyra ar sutikimas. Duomenys, kurie vidiniuose sistemose atrodo nekalti, pavyzdžiui, kontaktinio asmens pavadinimas tiekėjo pusėje arba tiesioginis darbuotojo el. pašto adresas, daugeliu atvejų ten neturėtų būti.
Ši klaida dažniausiai kyla ne dėl neatsargumo, o dėl patogumo. Pasportas dažnai sudaromas perimant duomenis iš esamų šaltinių: pirkimo sistemos, kokybės bylos, el. pašto susirašinėjimo su gamintoju. Šie šaltiniai buvo sukurti vidiniam naudojimui ir dažnai apima daugiau nei reikalinga pasportui. Be sąmoningo patikrinimo, kas tiksliai atsiduria viešame dokumente, tokie laukai persiduoda.
Kodėl šis specifinis rizikos veiksnys dažnai nepastebimas
Akumuliatorių reglamentas ir GDPR yra dvi skirtingos nuostatai su savo tikslu. Akumuliatorių reglamentas nustato, kurie produkto duomenys turi būti prieinami, pavyzdžiui, sudėtis, kilmė ir akumuliatoriaus savybės. GDPR susijusi su fizinio asmens identifikuojančių duomenų apsauga. Abu reglamentai galioja tuo pačiu metu, bet praktikoje dažnai yra traktuojami kaip vienas darbo procesas: pasportą pateikiantis asmuo pirmiausia galvoja apie akumuliatorių reglamento atitiktį ir ne apie tai, ar laukas yra asmens duomenys.
Tai labiau pasireiškia mažesnėse įmonėse, kur tą patį asmenį atsakingas ir už techninių duomenų pateikimą, ir yra pirmasis kontaktinis asmuo su gamintoju. Riba tarp "produkto duomenų" ir "duomenų apie žmones, kurie tvarko produktą" yra ne tokia aiški, kaip organizacijoje, kurioje tai paskirstyta kelioms skyrių. Taip pat programinės įrangos tiekėjai, techniškai nustatydami pasportą, paprastai perimą visus pateiktus laukus nevertindami, ar laukas yra asmens duomenys; šis vertinimas lieka pasporto pateikėjaus atsakomybe, o ne talpinimo šalies.
Kas konkrečiai nepavyksta
Praktikoje dažniausiai pasitaiko ribotas skaičius pasikartojančių laukų: kokybės darbuotojo, pasirašiusio sertifikatą, vardas, tiesioginis telefono numeris vietoj bendro įmonės numerio, arba priedas, pavyzdžiui, faktūros nuotrauka, kurioje matomas asmuo. Savaime tai atrodo nekaltu, nes įmonėje tai visada buvo dalijamasi taip. Skirtumas yra tas, kad pasportas išlieka dešimt metų prieinamas visiems, taip pat po to, kai atitinkamas darbuotojas nustoja dirbti įmonėje arba pakeičia pareigybę.
Antrasis pasikartojantis punktas yra tai, kad įmonės mano, jog akumuliatorių reglamentas pats jau nustato GDPR išimtį, nes viešinimas yra privalomas. Šis prielaida yra klaidinga: pareiga viešinti produkto duomenis nieko nesako apie tai, ar konkretus duomenys yra asmens duomenys ir kokiame pagrinde jie gali būti apdoroti. Tai atskiras patikrinimas, kuris turi būti atliktas kiekvienam atvejui atliekant nuolatinę duomenų apdorojimo vertę.
Kaip tai išvengyti praktikoje
Šerdis yra kontrolės žingsnis prieš publikavimą: kažkas vertina užpildytą pasportą konkrečiai siekdamas patikrinti, ar jame nėra vardo, pareigų, tiesioginio kontaktinio duomens ar kito identifikuojamojo duomens, kurie nėra funkcioniškai reikalingi produkto informacijai. Tai nėra teisinė procedūra, o praktinis patikrinimas, panašus į dokumento peržiūrą prieš jį išleidžiant. Kas norėtų tai daryti nuolat, gali tai nustatyti kaip fiksuotą atvežimo proceso dalį, atskirtą nuo techninės integracijos su programinės įrangos tiekėju.
Tai taip pat padeda atskirti failą, kuris laikomas viduje kaip due diligence įrodymas, nuo pasporto, kuris yra matomas išorėje. Pirmasis gali turėti vardus ir kontaktinius duomenis tiek, kiek tai reikalinga savai verslo operacijai; antrasis yra skirtas produkto informacijai. Į žinių bazę, kurioje šis klausimas yra išsamiai nagrinėtas kiekvienam atvejui žiūrėkite, kaip šios dvi dalys yra susijusios viena su kita. Norintieji sužinoti, kaip pasporto duomenys tiksliai susidaro ir kokį vaidmenį atliko kiekvienas, gali rasti tai per duomenų, susidedančių pasporto duomenims, sudarymą apžvalgą.
Kadangi tai yra susikertantis dviejų taisyklių laukas, bendrą jūsų situacijos vertinimą atlikti teisininkui arba duomenų apsaugos priežiūros institucijai yra tinklamadarbus, jei abejojate dėl konkretaus lauko. Kaip mes, kaip platforma, tvarkome prieigą prie duomenų ir jų saugojimą, kurie mums yra pateikiami, yra aprašyta puslapyje apie tai, kaip mes tvarkome duomenis ir prieigą.
Ar norite gauti vaizdą apie tai, kurioje vietoje yra jūsų įmonė, prieš gilindamiesi į šią temą? Su keliamais klausimais gausite pirmąjį jūsų situacijos indekacijos variantą, visiškai neprivalomą ir be paskyros.