Det vanligaste misstaget när man kombinerar batteripasset med GDPR är att företag låter personuppgifter följa med i ett dokument som blir synligt för alla. Batteripasset är nämligen offentligt: den som skannar QR-koden kan se uppgifterna utan att behöva ett konto eller tillstånd. Uppgifter som verkar ofarliga i ett internt system, som namnet på en kontaktperson hos leverantören eller en arbetares direkta e-postadress, bör i de flesta fall inte finnas där.
Detta misstag uppstår vanligtvis inte på grund av vårdslöshet, utan på grund av enkelhet. Passet sammanställs ofta genom att överföra uppgifter från befintliga källor: ett inköpssystem, en kvalitetsdossier, en e-postkorrespondens med tillverkaren. Dessa källor är utformade för internt bruk och innehåller ofta mer än vad som behövs för passet. Utan en medveten kontroll över vad som exakt hamnar i det offentliga dokumentet följer sådana fält med.
Varför denna specifika risk ofta förbises
Batteridirektivet och GDPR är två olika regelverk med eget syfte. Batteridirektivet föreskriver vilka produktuppgifter som måste vara tillgängliga, såsom sammansättning, ursprung och batteriets prestanda. GDPR handlar om skyddet av uppgifter som identifierar en fysisk person. Båda regelverken gäller samtidigt, men behandlas ofta som en arbetsprocess: den som levererar passet tänker först och främst på överensstämmelse med batteridirektivet och inte på frågan om ett fält innehåller personuppgifter.
Detta är mer påtagligt i mindre företag, där samma person är ansvarig för både leverans av tekniska uppgifter och är första kontaktpunkt mot tillverkaren. Gränsen mellan "uppgifter om produkten" och "uppgifter om människorna som hanterar produkten" är då mindre tydlig än i en organisation där detta är fördelat mellan flera avdelningar. Även programvaruleverantörer som tekniskt konfigurerar passet överför vanligtvis alla levererade fält utan att själva bedöma om ett fält innehåller personuppgifter; denna bedömning ligger på passetleverantören, inte på värdpartner.
Vad som konkret går fel
I praktiken handlar det vanligtvis om ett begränsat antal återkommande fält: namnet på en kvalitetsansvarig som undertecknat certifikatet, ett direktnummer istället för ett allmänt företagsnummer, eller en bilaga som en skanning av en faktura där en person syns. I sig verkar detta ofarligt, eftersom det alltid delades på detta sätt inom företaget. Skillnaden är att passet förblir tillgängligt för alla i tio år, även efter att den aktuella medarbetaren har slutat på företaget eller bytt tjänst.
En andra återkommande punkt är att företag antar att batteridirektivet redan gör ett undantag från GDPR, eftersom offentliggörande nu är obligatorisk. Detta antagande är felaktigt: en skyldighet att offentliggöra produktuppgifter säger ingenting om huruvida en specifik uppgift är en personuppgift och på vilken grund denna uppgift får behandlas. Det är en separat bedömning som bör göras för varje fall vid den egna databehandlingen.
Hur du förhindrar detta i praktiken
Kärnan är en kontrollsteg före publicering: någon granskar det ifyllda passet specifikt för att bedöma om det innehåller ett namn, en titel, direktkontaktuppgifter eller andra identifierbara uppgifter som inte är funktionellt nödvändiga för produktinformationen. Det är ingen juridisk övning utan en praktisk kontroll, jämförbar med att granska ett dokument innan det lämnar organisationen. Den som vill delegera detta strukturellt kan fastställa det som en fast del av leveransprocessen, oberoende av den tekniska integreringen med mjukvaruleverantören.
Det hjälper också att göra en skillnad mellan det dossier som internt sparas som bevis för due diligence och det pass som är extern synligt. Det första får innehålla namn och kontaktuppgifter i den mån det är nödvändigt för den egna verksamheten; det senare är avsett för produktinformation. I kunskapsbanken där detta ämne har utvecklats för varje situation framgår hur dessa två delar förhåller sig till varandra. Den som vill veta hur uppgifterna för passet framkommer exakt och vilken roll var och en har i processen, hittar det via en överblick över hur uppgifterna för passet sammanställs.
Eftersom detta gränssnittet ligger mellan två bestämmelser är en allmän bedömning av er situation av en jurist eller tillsynsmyndigheten för dataskydd den lämpliga vägen om ni är osäker på ett specifikt fält. Hur vi som plattform hanterar åtkomst till och lagring av uppgifter som levereras till oss beskrivs på sidan om hur vi hanterar data och åtkomst.
Vill ni först få en bild av var ert företag står innan ni fördjupar er i detta ämne? Med några frågor får ni en första indikation på er situation, helt oförpliktande och utan att ett konto behövs för det.