Najčastejšia chyba pri kombinácii batériového pasu s GDPR spočíva v tom, že podniky nechávajú osobné údaje zahrnuté v dokumente, ktorý je viditeľný pre každého. Batériový pas je totiž verejný: ktokoľvek si môže naskenovať QR kód a vidieť údaje bez potreby účtu alebo súhlasu. Údaje, ktoré sa v internom systéme zdajú nevinné, ako napríklad meno kontaktnej osoby u dodávateľa alebo priama e-mailová adresa zamestnanca, tam v drvivej väčšine prípadov nepatria.
Táto chyba obyčajne nevznikne z nedbanlivosti, ale z pohodlnosti. Pas sa často zostavuje prenesením údajov z existujúcich zdrojov: nákupný systém, zápisník kvality, e-mailová korešpondencia s výrobcom. Tieto zdroje boli vytvorené na interné použitie a často obsahujú viac, ako je potrebné pre pas. Bez vedomej kontroly toho, čo presne skončí vo verejnom dokumente, sa takové polia presúvajú spolu s ním.
Prečo sa toto špecifické riziko často prehliadne
Nariadenie o batériách a GDPR sú dve odlišné právne úpravy s vlastným účelom. Nariadenie o batériách predpisuje, ktoré produktové údaje musia byť k dispozícii, ako je zloženie, pôvod a výkonnosť batérie. GDPR sa zaoberá ochranou údajov, ktoré identifikujú fyzickú osobu. Obe právne úpravy platia súčasne, ale v praxi sa často považujú za jeden pracovný proces: kto predkladá pas, myslí v prvom rade na súlad s nariadením o batériách a nie na otázku, či pole obsahuje osobné údaje.
Toto sa prejavuje silnejšie v menších podnikoch, kde rovnaká osoba zodpovedá za predloženie technických údajov aj za prvý kontakt s výrobcom. Hranica medzi "údajmi o produkte" a "údajmi o ľuďoch, ktorí produkt spravujú" je potom menej ostrá ako v organizácii, kde je to rozdelené do viacerých oddelení. Aj poskytovatelia softvéru, ktorí pas technicky vytvárajú, zvyčajne prevezú všetky predložené polia bez toho, aby sami posúdili, či pole obsahuje osobné údaje; toto posúdenie patrí poskytovateľovi pasu, nie hostingovej službe.
Čo konkrétne ide zle
V praxi ide zvyčajne o obmedzený počet opakujúcich sa polí: meno špecialista na kvalitu, ktorý certifikát podpísal, priame telefónne číslo namiesto všeobecného čísla spoločnosti, alebo príloha ako scan faktúry, na ktorej je viditeľná osoba. Samo osebe sa to zdá nevinné, pretože v rámci spoločnosti sa to vždy tak zdieľalo. Rozdiel je v tom, že pas zostáva prístupný všetkým počas desiatich rokov, aj potom, čo príslušný zamestnanci firmu opustil alebo zmenil funkciu.
Druhým opakujúcim sa bodom je, že spoločnosti predpokladajú, že samotné nariadenie o batériách už robí výnimku z GDPR, pretože zverejnenie je v každom prípade povinné. Toto predpoklad je nesprávny: povinnosť zverejniť produktové údaje neznamená nič o otázke, či je špecifický údaj osobným údajom a na akom právnom základe je tento údaj spracovávateľný. Ide o samostatný test, ktorý by sa mal v jednotlivých prípadoch vykonať pri vlastnom spracovaní údajov.
Ako sa tomu v praxi vyhnete
Jadrom je kontrolný krok pred zverejnením: niekto zhodnotí vyplnené pasové údaje špecificky z hľadiska toho, či obsahuje meno, funkciu, priame kontaktné údaje alebo iné identifikovateľné údaje, ktoré nie sú funkčne potrebné pre informácie o produkte. Nejde o právne cvičenie, ale o praktickú kontrolu, porovnateľnú s preverením dokumentu pred jeho odchodom z dverí. Kto chce to robiť štruktúrne delegovať, môže to stanoviť ako pevnú súčasť procesu dodania, oddelene od technického prepojenia so softvérovým dodávateľom.
Pomáha to aj rozlišovať medzi súborom, ktorý sa uchovávajú internej ako dôkaz starostlivosti, a pasovým údajom, ktorý je externý viditeľný. Prvý môže obsahovať mená a kontaktné údaje, pokiaľ je to potrebné pre vlastné podnikové operácie; druhý je určený na informácie o produkte. V znalostnej základni, kde je táto téma spracovaná v jednotlivých situáciách sa uvádza, ako sa tieto dve časti navzájom vzťahujú. Kto chce vedieť, ako sa údaje pre pasový údaj presne vytvárajú a kto má pritom akú úlohu, nájde to späť prostredníctvom prehľadu spôsobu zostavenia údajov pre pasový údaj.
Pretože táto oblasť dotýkajúca sa leží medzi dvoma nariadeniami, všeobecné posúdenie vašej situácie právnikom alebo dozorom na ochranu údajov je správna cesta, ak si nie ste istí konkrétnym poľom. Ako platforma zaobchadzáme s prístupom k údajom, ktoré sa nám dodávajú, a ich uskladňovaním, je popísané na stránke o tom, ako zaobchadzáme s údajmi a prístupom.
Chcete si najskôr urobiť predstavu o tom, kde sa vaša spoločnosť nachádza, skôr než sa ponoriť hlbšie do tejto témy? S niekoľkými otázkami dostanete prvú predstavu o vašej situácii, úplne bez záväznosti a bez nutnosti účtu.