Nejčastější chyba v souladu mezi pasportem nábytku a GDPR je, že podniky předpokládají, že pasport produktu nikdy neobsahuje osobní údaje, a proto nevěnují pozornost ochraně soukromí. V praxi zaměstnanci vyplňují pole jménem a telefonním číslem kontaktní osoby pro záruku, projektového manažera nebo instalatéra. Jakmile je pasport veřejně dostupný přes QR kód, jedná se o zpracování osobních údajů, které musí být v souladu s GDPR, nezávisle na samotné nařízení o nábytku.
Tato chyba nevzniká z nedbalosti, ale z logického předpokladu: pasport se týká nábytku, ne lidí. Proto se při dodávce údajů zřídka zvažuje, zda pole obsahuje osobní jméno, přímé telefonní číslo nebo osobní e-mailovou adresu. U digitálního pasportu, který je deset let veřejně a celosvětově přístupný, má tato otázka větší váhu než u běžné nabídky nebo faktury.
Proč se to stane snadněji, než si myslíte
Při sestavování pasportu často neposkytuje všechny údaje jedna osoba. Prodejce vyplní technické specifikace, projektový manažer přidá pokyny k údržbě a někdo ze zákaznického servisu tam pro pohodlí přidá své vlastní jméno a číslo na 06 "pro dotazy". Nikdo z nich to nekontroluje proti ostatním vstupům a často není stanoven pevný moment, kdy by někdo zhodnotil celek, než pasport spustí. Takto vznikne dokument, který se fakticky týká skříně nebo stolu, ale přesto obsahuje osobní údaje viditelné všem se chytrým telefonem.
Co už GDPR navíc určila
GDPR existoval dlouho před nařízením o nábytku a nebude se měnit příchodem digitálního produktového pasu. Kdo zpracovává osobní údaje, musí být schopen určit účel a právní základ a nesmí údaje šířit dále, než je nezbytné. Uvedení jména a mobilního čísla ve veřejně přístupném pasu je formou zpracování, u níž se tyto otázky uplatňují: je to nezbytné pro účel pasu a je si dotčený zaměstnanec vědom, že jeho údaje budou deset let veřejně přístupné? Dozorčí orgány pro GDPR, v Nizozemsku Autoritas Persoonsgegevens, posuzují takovéto situace na základě příslušných pravidel, nezávisle na tom, jak se samo nařízení o nábytku prosazuje.
Jak tomu v praxi předcházíte
Nejjednodušší opatření je pevné pravidlo: pas obsahuje pouze funkční kontaktní údaje, jako je obecná servisní adresa nebo číslo podniku, nikdy ne jméno nebo přímé číslo jednoho zaměstnance. To nejen řeší problém GDPR, ale také udržuje pas aktuální, když zaměstnanec změní funkci nebo odejde ze služby. Druhé opatření je kontrolní bod těsně před publikováním pasu, kdy si někdo explicitně ověří, zda pas obsahuje osobní jména, soukromá telefonní čísla nebo jiné identifikovatelné údaje. V případě více dodávajících zaměstnanců je tento kontrolní bod často jediným místem, kde si někdo udělá přehled o celku.
Je také vhodné vést tuto diskusi nejen interně, ale také se stranou, která pas hostuje. Otázky týkající se toho, kdo má přístup k zadaným údajům, jak dlouho se uchovávají a zda je potřeba smlouva o zpracování, jsou otázky, které patří do přehledu témat podle situace. Na furnipas.eu je vypracováno, jak se data ukládají a zabezpečují; to si přečtete na stránce o ochraně osobních údajů a bezpečnosti dat.
Co dělat, pokud se to již stalo
Pokud se ukáže, že pasport po dlouhou dobu obsahuje osobní údaje, které v něm neměly být, prvním krokem je pole upravit nebo smazat. Zda se vedle toho vyskytují povinnosti hlášení nebo další kroky, závisí na konkrétní situaci a je to věc, kterou je třeba projednat s právníkem nebo s Úřadem na ochranu osobních údajů; nejde o otázku, kterou lze odpovědět obecně. Je však rozumné při takové zjištění ihned ověřit, zda se stejný problém nevyskytuje v jiných, ještě nepublikovaných pasportech, aby se chyba neopakovala.
Zda vaše společnost má toto riziko, závisí na tom, kdo jaké údaje poskytuje a jak je tento proces organizován. S bezplatným quick-scan, který v několika otázkách poskytuje první indicii, vidíte rychle, kde jsou body zájmu, a v sbírce často kladených otázek zjistíte více pozadí o tom, jak se meublový pasport vztahuje k existujícím pravidlům, jako je GDPR.