Najpogostejša napaka pri povezovanju baterijske potrdile z GDPR je, da podjetja osebne podatke prepustijo v dokument, ki postane viden vsem. Baterijska potrdilo je namreč javna: kdor skene QR-kodo, vidi podatke, ne da bi za to potreboval račun ali dovoljenje. Podatki, ki v notranjem sistemu delujejo nedolžno, kot je ime osebe za stike pri dobavitelju ali direktni e-poštni naslov zaposlenca, večinoma tam ne sodijo.
Ta napaka običajno ne nastane iz neprevidnosti, ampak iz udobja. Potrdilo se pogosto sestavi s prepisiom podatkov iz obstoječih virov: nabavnega sistema, datoteke kakovosti, e-poštne korespondence s proizvajalcem. Ti viri so bili ustvarjeni za notranjo rabo in pogosto vsebujejo več, kot je potrebno za potrdilo. Brez namenske kontrole, kaj točno pristane v javnem dokumentu, se take polja pripetijo skupaj.
Zakaj se to specifično tveganje pogosto spregledano
Uredba o baterijah in GDPR sta dve različni zakonski uredbi s svojim namenom. Uredba o baterijah predpisuje, kateri podatki o izdelku morajo biti dostopni, kot so sestava, poreklo in zmogljivosti baterije. GDPR se nanaša na zaščito podatkov, ki identificirajo naravno osebo. Obe uredbi veljata hkrati, a se v praksi pogosto obravnavata kot en delovni proces: tisti, ki dostavi potrdilo, misli v prvi vrsti na skladnost z uredbo o baterijah in ne na vprašanje, ali polje vsebuje osebne podatke.
To je bolj izrazito pri manjših podjetjih, kjer je ista oseba odgovorna tako za dostavo tehničnih podatkov kot za prvo stično točko z proizvajalcem. Meja med »podatki o izdelku« in »podatki o ljudeh, ki upravljajo izdelek« je potem manj jasna kot v organizaciji, kjer je to razporejeno na več oddelkov. Tudi programski dobavitelji, ki tehnično nastavijo potrdilo, običajno prepišejo vsa dostavljana polja brez lastne ocene, ali polje vsebuje osebne podatke; ta ocena je naloga ponudnika potrdila, ne gostujočega podjetja.
Kaj se točno dogaja
V praksi gre običajno za omejeno število ponavljajočih se polj: ime delavca kakovosti, ki je podpisal certifikat, direktno telefonsko številko namesto splošne številke podjetja, ali prilogo, kot je skenirano račun, na katerem je vidna oseba. Samo po sebi se to zdi nedolžno, ker je bilo tako vedno deljeno znotraj podjetja. Razlika je v tem, da potrdilo ostane dostopno vsem deset let in tudi potem, ko zaposlenec v vprašanju ne dela več pri podjetju ali je spremenil položaj.
Drugo ponavljajoče se vprašanje je, da podjetja predpostavljajo, da uredba o baterijah že sama po sebi naredi izjemo od GDPR, ker je objavljivanje sila predpisano. Ta predpostavka je napačna: obveza, da se podatki o izdelku objavijo, ne pove ničesar o tem, ali je specifičen podatek osebni podatek in pod katero pravno podlago se ta podatek lahko obdeluje. To je ločena ocena, ki mora v vsakem primeru potrditi lastno obdelavo podatkov.
Kako to v praksi prepreči
Jedro je nadzorni korak pred objavo: nekdo oceni izpolnjeni pasport specifično z vprašanjem, ali vsebuje ime, funkcijo, neposreden stik ali drugi identificljiv podatek, ki ni funkcionalno potreben za informacije o proizvodu. To ni pravna vaja, temveč praktična kontrola, primerljiva s pregledom dokumenta pred tem, ko zapusti pisarno. Kdor to strukturno želi prenesti na drugega, lahko to dokumentira kot stalen del postopka predaje, ločeno od tehnične povezave s ponudnikom programske opreme.
Pomaga tudi razlikovanje med datoteko, ki se interno shranjuje kot dokaz ustrezne pazljivosti, in pasportom, ki je zunaj viden. Prva lahko vsebuje imena in stike v obsegu, v katerem je to potrebno za lastno poslovanje; drugi je namenjen informacijam o proizvodu. V bazi znanja, kjer je ta tema obdelana po situacijah, je navedeno, kako se ta dva dela nanašata drug na drugega. Kdor želi vedeti, kako se podatki za pasport točno oblikujejo in kdo ima pri tem katero vlogo, to najde prek pregleda, kako se podatki za pasport sestavljajo,.
Ker ta stičišče leži med dvema uredbama, je splošna ocena vaše situacije s strani pravnika ali nadzornika za varstvo podatkov pravi korak, če dvomite o določenem polju. Kako kot platforma ravnamo z dostopom do podatkov in shranjevanjem podatkov, ki nam jih dajete, je opisano na strani o tem, kako ravnamo s podatki in dostopom,.
Želite si najprej sliko o tem, kje je vaše podjetje, preden se poglobite v to temo? Z nekaj vprašanji dobite prvi vtis o vaši situaciji,popolnoma neopazno in brez potrebe po računu.