De meestgemaakte fout bij het combineren van het batterijpaspoort met de AVG is dat bedrijven persoonsgegevens laten meelopen in een document dat voor iedereen zichtbaar wordt. Het batterijpaspoort is namelijk openbaar: wie de QR-code scant, krijgt de gegevens te zien, zonder dat daarvoor een account of toestemming nodig is. Gegevens die in een intern systeem onschuldig lijken, zoals de naam van een contactpersoon bij de leverancier of een rechtstreeks e-mailadres van een medewerker, horen daar in de meeste gevallen niet thuis.
Die fout ontstaat meestal niet uit onzorgvuldigheid, maar uit gemak. Het paspoort wordt vaak samengesteld door gegevens over te nemen uit bestaande bronnen: een inkoopsysteem, een kwaliteitsdossier, een e-mailwisseling met de fabrikant. Die bronnen zijn voor intern gebruik gemaakt en bevatten vaak meer dan nodig is voor het paspoort. Zonder een bewuste controle op wat er precies in het publieke document terechtkomt, schuiven zulke velden mee.
Waarom dit specifieke risico vaak over het hoofd wordt gezien
De batterijenverordening en de AVG zijn twee verschillende regelingen met een eigen doel. De batterijenverordening schrijft voor welke productgegevens beschikbaar moeten zijn, zoals samenstelling, herkomst en prestaties van de batterij. De AVG gaat over de bescherming van gegevens die een natuurlijk persoon identificeren. Beide regelingen gelden tegelijk, maar worden in de praktijk vaak als één werkproces behandeld: wie het paspoort aanlevert, denkt in de eerste plaats aan compliance met de batterijenverordening en niet aan de vraag of een veld een persoonsgegeven bevat.
Dit speelt sterker bij kleinere bedrijven, waar dezelfde persoon verantwoordelijk is voor zowel de aanlevering van technische gegevens als het eerste aanspreekpunt naar de fabrikant. De grens tussen "gegevens over het product" en "gegevens over de mensen die het product beheren" is dan minder scherp dan in een organisatie waar dit over meerdere afdelingen is verdeeld. Ook softwareleveranciers die het paspoort technisch opzetten, nemen doorgaans alle aangeleverde velden over zonder zelf te beoordelen of een veld persoonsgegevens bevat; die beoordeling ligt bij de aanbieder van het paspoort, niet bij de hostingpartij.
Wat concreet misgaat
In de praktijk gaat het meestal om een beperkt aantal terugkerende velden: de naam van een kwaliteitsmedewerker die het certificaat heeft ondertekend, een rechtstreeks telefoonnummer in plaats van een algemeen bedrijfsnummer, of een bijlage zoals een scan van een factuur waarop een persoon te zien is. Op zichzelf lijkt dit onschuldig, omdat het binnen het bedrijf altijd zo werd gedeeld. Het verschil is dat het paspoort tien jaar lang en voor iedereen toegankelijk blijft, ook nadat de medewerker in kwestie niet meer bij het bedrijf werkt of van functie is veranderd.
Een tweede terugkerend punt is dat bedrijven aannemen dat de batterijenverordening zelf al een uitzondering maakt op de AVG, omdat openbaarmaking nu eenmaal verplicht is. Die aanname is onjuist: een verplichting om productgegevens openbaar te maken zegt niets over de vraag of een specifiek gegeven een persoonsgegeven is en onder welke grondslag dat gegeven dan verwerkt mag worden. Dat is een aparte toets, die per geval bij de eigen gegevensverwerking hoort plaats te vinden.
Hoe u dit in de praktijk voorkomt
De kern is een controlestap vóór publicatie: iemand beoordeelt het ingevulde paspoort specifiek op de vraag of er een naam, functie, rechtstreeks contactgegeven of ander herleidbaar gegeven in staat dat niet functioneel nodig is voor de productinformatie. Dat is geen juridische exercitie maar een praktische check, vergelijkbaar met het nalopen van een document voordat het de deur uit gaat. Wie dit structureel wil beleggen, kan dit vastleggen als vast onderdeel van het aanlevertraject, los van de technische koppeling met de softwareleverancier.
Het helpt ook om onderscheid te maken tussen het dossier dat intern wordt bewaard als bewijs van due diligence, en het paspoort dat extern zichtbaar wordt. Het eerste mag namen en contactgegevens bevatten voor zover dat voor de eigen bedrijfsvoering nodig is; het tweede is bedoeld voor productinformatie. In de kennisbank waar dit onderwerp per situatie is uitgewerkt staat hoe deze twee onderdelen zich tot elkaar verhouden. Wie wil weten hoe gegevens voor het paspoort precies tot stand komen en wie daarbij welke rol heeft, vindt dat terug via een overzicht van hoe de gegevens voor het paspoort worden samengesteld.
Omdat dit raakvlak tussen twee regelingen ligt, is een algemene beoordeling van uw situatie door een jurist of de toezichthouder op gegevensbescherming de aangewezen route als u twijfelt over een specifiek veld. Hoe wij als platform omgaan met toegang tot en opslag van gegevens die aan ons worden aangeleverd, staat beschreven op de pagina over hoe wij met gegevens en toegang omgaan.
Wilt u eerst een beeld krijgen van waar uw bedrijf staat voordat u dieper in dit onderwerp duikt? Met een paar vragen krijgt u een eerste indicatie van uw situatie, geheel vrijblijvend en zonder dat daar een account voor nodig is.