O erro mais comum ao combinar o passaporte da bateria com o RGPD é que as empresas deixam dados pessoais passarem em um documento que fica visível para todos. O passaporte da bateria é público: quando alguém escaneia o código QR, vê os dados, sem precisar de uma conta ou consentimento. Dados que parecem inofensivos em um sistema interno, como o nome de uma pessoa de contacto no fornecedor ou um endereço de correio eletrónico direto de um funcionário, na maioria dos casos não devem estar lá.
Este erro geralmente não resulta de negligência, mas de conveniência. O passaporte é frequentemente compilado transferindo dados de fontes existentes: um sistema de compras, um dossiê de qualidade, uma troca de correios com o fabricante. Essas fontes foram criadas para uso interno e frequentemente contêm mais do que é necessário para o passaporte. Sem uma verificação deliberada do que vai exatamente para o documento público, tais campos passam por ela.
Por que este risco específico é frequentemente negligenciado
O Regulamento da bateria e o RGPD são dois regulamentos diferentes com um objectivo próprio. O Regulamento da bateria especifica quais dados de produtos devem estar disponíveis, como composição, origem e desempenho da bateria. O RGPD trata da proteção de dados que identificam uma pessoa natural. Ambos os regulamentos se aplicam simultaneamente, mas na prática são frequentemente tratados como um único processo de trabalho: quem entrega o passaporte pensa principalmente em conformidade com o Regulamento da bateria e não na questão de saber se um campo contém dados pessoais.
Isto é mais pronunciado em empresas mais pequenas, onde a mesma pessoa é responsável tanto pela apresentação de dados técnicos como pelo primeiro ponto de contacto com o fabricante. A linha entre "dados sobre o produto" e "dados sobre as pessoas que gerenciam o produto" é então menos clara do que numa organização onde isto é dividido por vários departamentos. Os fornecedores de software que configuram tecnicamente o passaporte também transferem normalmente todos os campos fornecidos sem avaliar por si próprios se um campo contém dados pessoais; essa avaliação cabe ao fornecedor do passaporte, não à parte que aloja.
O que exatamente dá errado
Na prática, geralmente envolve um número limitado de campos recorrentes: o nome de um funcionário de qualidade que assinou o certificado, um número de telefone direto em vez de um número geral da empresa, ou um anexo como uma varredura de uma fatura em que uma pessoa é visível. Por si só, isto parece inofensivo, porque sempre foi partilhado assim dentro da empresa. A diferença é que o passaporte permanece acessível por dez anos e para todos, mesmo depois de o funcionário em questão deixar a empresa ou mudar de função.
Um segundo ponto recorrente é que as empresas assumem que o próprio Regulamento da bateria já faz uma exceção ao RGPD, porque a divulgação é obrigatória de qualquer forma. Esta suposição é incorreta: uma obrigação de divulgar dados de produtos não diz nada sobre a questão de saber se um dado específico é um dado pessoal e sob qual base esse dado pode ser processado. Esta é uma avaliação separada que deve ter lugar para cada caso na sua própria processamento de dados.
Como evitar isto na prática
O núcleo é uma etapa de controlo antes da publicação: alguém avalia o pasaporte preenchido especificamente para verificar se contém um nome, função, contacto directo ou outro dado identificável que não seja funcionalmente necessário para as informações do produto. Não se trata de um exercício jurídico, mas de uma verificação prática, comparável à revisão de um documento antes de sair da empresa. Quem deseje delegar isto estruturalmente pode defini-lo como parte fixa da rota de entrega, independentemente da ligação técnica com o fornecedor de software.
Também ajuda a fazer uma distinção entre o dossiê que é mantido internamente como prova de due diligence e o pasaporte que fica visível externamente. O primeiro pode conter nomes e contactos na medida em que sejam necessários para o funcionamento interno da empresa; o segundo destina-se às informações do produto. Em a base de conhecimento onde este assunto foi trabalhado por situação está como estes dois componentes se relacionam. Quem quiser saber exactamente como os dados do pasaporte são compilados e que papel cada um tem, encontra-o através de uma visão geral de como os dados do pasaporte são compilados.
Uma vez que este ponto de intersecção fica entre dois regulamentos, uma avaliação geral da sua situação por um jurista ou pela autoridade de protecção de dados é o caminho indicado se tiver dúvidas sobre um campo específico. Como nós, como plataforma, lidamos com o acesso e o armazenamento de dados que nos são fornecidos, está descrito em a página sobre como lidamos com dados e acesso.
Quer primeiro ter uma visão da situação da sua empresa antes de se aprofundar neste tema? Com algumas perguntas terá uma primeira indicação da sua situação, completamente sem obrigação e sem necessidade de uma conta.