Najczęstszy błąd łączenia karty produktu baterii z RODO polega na tym, że firmy pozostawiają dane osobowe w dokumencie, który jest widoczny dla wszystkich. Karta produktu baterii jest bowiem publiczna: osoba skanująca kod QR widzi dane bez konieczności posiadania konta lub udzielenia zgody. Dane, które wydają się nieszkodliwe w systemie wewnętrznym, takie jak imię i nazwisko osoby kontaktowej u dostawcy lub bezpośredni adres e-mail pracownika, w większości przypadków nie powinny się tam znaleźć.
Błąd ten zwykle nie wynika z niedbalstwa, ale z wygody. Karta produktu jest często kompilowana przez przejęcie danych z istniejących źródeł: systemu zakupów, dokumentacji jakości, korespondencji e-mailowej z producentem. Źródła te zostały stworzone do użytku wewnętrznego i często zawierają więcej informacji niż jest niezbędne do karty produktu. Bez świadomej kontroli nad tym, co dokładnie trafi do dokumentu publicznego, takie pola są przenoszone.
Dlaczego to konkretne ryzyko jest często przeoczone
Rozporządzenie w sprawie baterii i RODO to dwa różne przepisy z własnymi celami. Rozporządzenie w sprawie baterii określa, które dane produktu muszą być dostępne, takie jak skład, pochodzenie i parametry baterii. RODO dotyczy ochrony danych, które identyfikują osobę fizyczną. Oba przepisy obowiązują jednocześnie, ale w praktyce są często traktowane jako jeden proces robczy: osoba dostarczająca kartę produktu myśli przede wszystkim o zgodności z rozporządzeniem w sprawie baterii, a nie o tym, czy dane w polu są danymi osobowymi.
Jest to szczególnie widoczne w mniejszych firmach, gdzie ta sama osoba odpowiada zarówno za dostarczenie danych technicznych, jak i za pierwszego kontaktu z producentem. Granica między "danymi dotyczącymi produktu" a "danymi dotyczącymi osób zarządzających produktem" jest wtedy mniej wyraźna niż w organizacji, gdzie jest to rozdzielone na wiele działów. Dostawcy oprogramowania, którzy technicznie konfigurują kartę produktu, zazwyczaj przejmują wszystkie dostarczone pola bez samodzielnej oceny, czy dane w polu są danymi osobowymi; ta ocena leży po stronie dostawcy karty produktu, a nie strony hostingowej.
Co konkretnie idzie źle
W praktyce zwykle chodzi o ograniczoną liczbę powtarzających się pól: imię i nazwisko pracownika ds. jakości, który podpisał certyfikat, bezpośredni numer telefonu zamiast ogólnego numeru biura, lub załącznik, taki jak skan faktury, na którym widać osobę. Sam w sobie wydaje się to nieszkodliwe, ponieważ w firmie zawsze było tak udostępniane. Różnica polega na tym, że karta produktu pozostaje dostępna publicznie przez dziesięć lat, również po tym, jak pracownik w kwestii już nie pracuje w firmie lub zmienił funkcję.
Drugim powtarzającym się punktem jest założenie firm, że samo rozporządzenie w sprawie baterii już stanowi wyjątek od RODO, ponieważ upublicznienie jest obowiązkowe. Takie założenie jest błędne: obowiązek upublicznienia danych produktu nic nie mówi o tym, czy konkretne dane są danymi osobowymi i na jakiej podstawie te dane mogą być przetwarzane. Jest to odrębna ocena, która powinna być przeprowadzona indywidualnie w ramach własnego przetwarzania danych.
Jak tego uniknąć w praktyce
Istotą jest krok kontrolny przed publikacją: ktoś ocenia wypełniony paszport w szczególności pod kątem tego, czy zawiera on nazwę, funkcję, bezpośrednie dane kontaktowe lub inne dane umożliwiające identyfikację, które nie są funkcjonalnie konieczne dla informacji o produkcie. To nie jest ćwiczenie prawne, ale praktyczne sprawdzenie, porównywalne z przejrzeniem dokumentu przed jego wyjściem. Jeśli ktoś chce to robić strukturalnie, może to wpisać jako stały element ścieżki dostarczania danych, niezależnie od powiązania technicznego z dostawcą oprogramowania.
Pomaga to również rozróżnić między dokumentacją przechowywana wewnętrznie jako dowód due diligence a paszportem widocznym zewnętrznie. Pierwsza może zawierać nazwy i dane kontaktowe w zakresie, w jakim jest to konieczne dla własnej działalności biznesowej; druga jest przeznaczona do informacji o produkcie. W bazie wiedzy, gdzie ten temat został opracowany dla każdej sytuacji opisane jest, jak te dwa elementy się do siebie odnoszą. Osoby, które chcą wiedzieć, jak dokładnie dochodzi do powstania danych dla paszportu i jaka rola przypadła poszczególnym stronom, znajdują to w przeglądzie sposobu, w jaki dane dla paszportu są zestawiane.
Ponieważ to zagadnienie leży na przecięciu dwóch regulacji, ogólna ocena Twojej sytuacji przez prawnika lub nadzorcę ochrony danych jest właściwą drogą, jeśli masz wątpliwości dotyczące określonego pola. Opis tego, jak my jako platforma postępujemy z dostępem do i przechowywaniem danych, które są nam dostarczane, znajduje się na stronie dotyczącej tego, jak postępujemy z danymi i dostępem.
Chcesz najpierw zorientować się w sytuacji Twojej firmy, zanim zaglębisz się w ten temat? Za pomocą kilku pytań otrzymasz wstępne wskazanie Twojej sytuacji, całkowicie dobrowolnie i bez konieczności posiadania konta.