Eroarea cea mai frecventă în combinarea pașaportului bateriei cu GDPR constă în faptul că companiile lasă datele cu caracter personal să fie incluse într-un document care devine vizibil pentru toți. Pașaportul bateriei este, în fapt, public: oricine scanează codul QR vede datele, fără a fi necesară o conturi sau consimțământ. Datele care par inofensive într-un sistem intern, cum ar fi numele unei persoane de contact la furnizor sau o adresă de e-mail directă a unui angajat, în cele mai multe cazuri nu ar trebui să fie acolo.
Eroarea nu apare de obicei din nepăsare, ci din comoditate. Pașaportul este adesea compilat prin preluarea datelor din surse existente: un sistem de achiziții, un dosar de calitate, o corespondență prin e-mail cu producătorul. Aceste surse au fost create pentru uz intern și conțin adesea mai mult decât este necesar pentru pașaport. Fără o verificare conștientă a ceea ce ajunge exact în documentul public, astfel de câmpuri se includ în mod neintenționat.
De ce acest risc specific este adesea trecut cu vederea
Regulamentul privind bateriile și GDPR sunt două reglementări diferite cu propriul scop. Regulamentul privind bateriile prescrie ce date privind produsul trebuie să fie disponibile, cum ar fi compoziție, origine și performanță ale bateriei. GDPR se referă la protecția datelor care identifică o persoană fizică. Ambele reglementări se aplică simultan, dar în practică sunt adesea tratate ca un singur proces de lucru: cel care furnizează pașaportul gândește în primul rând la conformitatea cu Regulamentul privind bateriile și nu la întrebarea dacă un câmp conține date cu caracter personal.
Acest lucru se manifestă mai puternic la companiile mai mici, unde aceeași persoană este responsabilă atât de furnizarea datelor tehnice cât și de punctul de contact inițial cu producătorul. Granița dintre "date despre produs" și "date despre oamenii care gestionează produsul" este mai puțin clară decât într-o organizație în care acest lucru este distribuit pe mai multe departamente. De asemenea, furnizorii de software care configurează din punct de vedere tehnic pașaportul preiau de obicei toate câmpurile furnizate fără a evalua ei înșiși dacă un câmp conține date cu caracter personal; această evaluare incumbă furnizorului pașaportului, nu părții care găzduiește.
Ce merge concret greșit
În practică, este de obicei vorba de un număr limitat de câmpuri recurente: numele unui angajat de calitate care a semnat certificatul, un număr de telefon direct în loc de un număr de telefon general al companiei, sau un anexă cum ar fi o scanare a unei facturi pe care apare o persoană. În sine, aceasta pare inofensivă, deoarece s-a partajat întotdeauna așa în cadrul companiei. Diferența constă în faptul că pașaportul rămâne accesibil timp de zece ani și pentru toți, chiar și după ce angajatul în cauză nu mai lucrează la companie sau și-a schimbat funcția.
Un al doilea punct recurent este faptul că companiile presupun că Regulamentul privind bateriile în sine face deja o excepție de la GDPR, deoarece publicarea este oricum obligatorie. Această presupunere este incorectă: o obligație de a face publice datele despre produs nu spune nimic despre întrebarea dacă o dată specifică este o dată cu caracter personal și pe ce bază poate fi atunci procesată acea dată. Aceasta este o evaluare separată, care trebuie să aibă loc pentru fiecare caz în cadrul prelucrării propriilor date.
Cum evitați aceasta în practică
Nucleul este o etapă de control înainte de publicare: cineva evaluează pasaportul completat în mod specific pentru a verifica dacă conține un nume, o funcție, un contact direct sau alte date identificabile care nu sunt necesare din punct de vedere funcțional pentru informațiile produsului. Aceasta nu este un exercițiu juridic, ci o verificare practică, comparabilă cu revizuirea unui document înainte ca acesta să plece din birou. Dacă doriți să delegați acest lucru în mod structural, puteți să o consemnați ca parte fixă a procesului de aportare, independent de cuplarea tehnică cu furnizorul de software.
Ajută, de asemenea, la a face o distincție între dosarul păstrat intern ca dovadă a due diligence și pasaportul care devine vizibil extern. Primul poate conține nume și date de contact în măsura în care este necesar pentru propria operare a afacerii; cel de-al doilea este destinat informațiilor produsului. În banca de cunoștințe unde acest subiect este elaborat pe situații se explică modul în care aceste două componente se raportează una la cealaltă. Oricine dorește să afle cum sunt generate exact datele pentru pasaport și ce rol are fiecare persoană, va găsi aceasta în o prezentare generală a modului în care sunt asamblate datele pentru pasaport.
Deoarece acest punct de contact se află între două reglementări, o evaluare generală a situației dvs. de către un jurist sau autoritatea de supraveghere pentru protecția datelor este calea indicată dacă aveți îndoieli cu privire la un câmp specific. Modul în care gestionăm noi, ca platformă, accesul la și stocarea datelor care ne sunt furnizate este descris în pagina despre modul în care gestionăm datele și accesul.
Doriți mai întâi să vă faceți o imagine a poziției în care se află compania dvs. înainte de a aprofunda acest subiect? Cu câteva întrebări veți obține o primă indicație a situației dvs., în întregime fără angajament și fără a fi nevoie de cont.