Den mest almindelige fejl i samspillet mellem møbelpasset og GDPR er, at virksomheder antager, at et pas om et produkt aldrig indeholder personoplysninger, og derfor ikke lægger vægt på privatlivsbeskyttelse. I praksis udfylder medarbejderne felter med navn og telefonnummer på en kontaktperson for garanti, en projektleder eller en installør. Så snart passet er offentligt tilgængeligt via QR-koden, er det en behandling af personoplysninger, der skal overholde GDPR, uafhængigt af møbelforordningen selv.
Denne fejl opstår ikke af uagtsomhed, men ud fra en logisk antagelse: passet handler om møblet, ikke om mennesker. Derfor stilles der sjældent spørgsmål ved dataindsamlingen om, hvorvidt et felt indeholder et personnavn, et direkte telefonnummer eller en personlig e-mailadresse. For et digitalt pas, der i ti år kan konsulteres offentligt og verden over, vejer dette spørgsmål tungere end ved et almindeligt tilbud eller en faktura.
Hvorfor dette sker lettere end du tror
Ved sammensætningen af et pas leverer ofte ikke én person alle data. En sælger udfylder tekniske specifikationer, en projektleder tilføjer vedligeholdelsesinstruktioner, og nogen fra kundeservice sætter naturligvis sit eget navn og 06-nummer ved "spørgsmål". Ingen af dem kontrollerer dette mod andre input, og der er ofte intet fast tidspunkt, hvor nogen vurderer helheden, før passet går live. Således opstår et dokument, der faktisk handler om et skab eller et skrivebord, men alligevel indeholder personoplysninger, der er synlige for alle med en smartphone.
Hvad GDPR derudover allerede fastslog
GDPR eksisterede længe før møbelforordningen og ændres ikke med ankomsten af det digitale produktpas. Enhver, der behandler personoplysninger, skal blandt andet kunne angive et formål og et retligt grundlag og ikke videreudgive data mere end nødvendigt. At sætte et navn og mobilnummer i et offentligt tilgængeligt pas er en form for behandling, hvor disse spørgsmål gør sig gældende: er dette nødvendigt for passets formål, og er den pågældende medarbejder klar over, at hans oplysninger vil være offentligt tilgængelige i ti år? Tilsynsmyndigheder for GDPR, i Danmark Datatilsynet, vurderer denne slags situationer på grundlag af gældende regler, uafhængigt af hvordan møbelforordningen selv håndhæves.
Hvordan du undgår dette i praksis
Den enkleste foranstaltning er en fast regel: i passet er der kun funktionelle kontaktoplysninger, såsom en generel serviceadresse eller et virksomhedsnummer, aldrig navn eller direkte nummer på en enkelt medarbejder. Det undgår ikke blot et GDPR-spørgsmål, det holder også passet aktuelt, når en medarbejder skifter funktion eller går ud af stillingen. En anden foranstaltning er et kontrolpunkt kort før et pas udgives, hvor nogen eksplicit kontrollerer, om der er personnavn, private telefonnumre eller andre identificerbare oplysninger i det. Med flere medarbejdere, der leverer data, er dette kontrolpunkt ofte det eneste tidspunkt, hvor nogen får overblik over helheden.
Det er også værdifuldt ikke kun at føre denne samtale internt, men også med den part, der hoster passet. Hvem der har adgang til indførte data, hvor længe de opbevares, og om der er behov for en databehandleraftale, er spørgsmål, der hører hjemme i oversigten over emner per situation. Hos furnipas.eu er det beskrevet, hvordan data gemmes og sikres; det læser du på siden om privatlivsbeskyttelse og datasikkerhed.
Hvad skal man gøre, hvis det allerede er sket
Hvis det viser sig, at et paspoort i længere tid har indeholdt personoplysninger, som ikke skulle have været der, er det første skridt at justere eller slette feltet. Hvorvidt der desuden gælder indberetningspligter eller andre trin, afhænger af den konkrete situation og er noget, man bør diskutere med en jurist eller med Datatilsynet; det er ikke et spørgsmål, der kan besvares på generel basis. Det er dog klogt at kontrollere straks efter sådan en opdagelse, om det samme problem forekommer i andre endnu ikke offentliggjorte pasporter, så fejlen ikke gentages.
Hvorvidt dit virksomhed løber denne risiko, afhænger af, hvem der leverer hvilke oplysninger, og hvordan denne proces er organiseret. Med den gratis quick-scan, som på få spørgsmål giver en første indikation ser du hurtigt, hvor der er opmærksomhedspunkter, og i samlingen af ofte stillede spørgsmål finder du mere baggrundsinformation om, hvordan meubelpaspoorten forholder sig til gældende regler som GDPR.