Yleisin virhe huonekalujen tuotepassin ja GDPR:n välisessä soveltamisessa on, että yritykset olettavat, että tuotepassi, joka koskee tuotetta, ei koskaan sisällä henkilötietoja, ja siksi eivät kiinnitä huomiota tietosuojaan. Käytännössä työntekijät täyttävät kenttiä takuun yhteyshenkilön, projektipäällikön tai asentajan nimellä ja puhelinnumerolla. Kun tuotepassi on julkisesti saatavilla QR-koodin kautta, kyseessä on henkilötietojen käsittely, joka on GDPR:n mukaista, riippumatta huonekaluverorduksesta itsestään.
Tämä virhe ei johdu huolimattomuudesta vaan loogisesta oletuksesta: tuotepassi koskee huonekalua, ei ihmisiä. Siksi tietoja annettaessa harvoin pohditaan, sisältääkö kenttä henkilönimen, suoran puhelinnumeron tai henkilökohtaisen sähköpostiosoitteen. Digitaalisella pasportilla, jota voidaan konsultoida kymmenen vuotta julkisesti ja maailmanlaajuisesti, tämä kysymys painaa enemmän kuin tavallisella tarjouksella tai laskulla.
Miksi näin tapahtuu useammin kuin luulet
Tuotepassia laadittaessa usein useampi kuin yksi henkilö antaa tietoja. Myyntiedustaja täyttää tekniset tiedot, projektipäällikkö lisää huolto-ohjeita, ja asiakaspalvelun henkilö asettaa mukavuuden vuoksi omansa nimen ja 06-numeron "kysymyksiä varten". Kukaan heistä ei tarkista tätä muita syöttöjä vastaan, ja usein ei ole määriteltyä hetkeä, jolloin joku arvioi kokonaisuuden ennen kuin tuotepassi julkaistaan. Näin syntyy asiakirja, joka faktisesti koskee kaappia tai pöytää, mutta silti sisältää henkilötietoja, jotka ovat näkyvissä kaikille, joilla on älypuhelin.
Mitä GDPR määritteli jo ennen tätä
GDPR oli olemassa kauan ennen huonekaluverordusta ja muuttuu huonekaluverorduksen myötä. Jokaisen, joka käsittelee henkilötietoja, on pystyttävä osoittamaan tarkoituksen ja oikeusperustan sekä olemaan jakamatta tietoja enemmän kuin tarpeen. Nimen ja matkapuhelinnumeron asettaminen julkisesti saatavilla olevaan tuotepassiin on käsittelyn muoto, jossa nämä kysymykset ovat merkityksellisiä: onko tämä välttämätöntä tuotepassin tarkoitukselle, ja onko kyseinen työntekijä tietoinen siitä, että hänen tietonsa ovat julkisesti saatavilla kymmenen vuotta? GDPR:n valvontaviranomaiset, Suomessa Tietosuojavaltuutettu, arvioivat tämäntyyppisiä tilanteita niille soveltuvien sääntöjen perusteella, riippumatta siitä, miten huonekaluverordusta itsessään noudatetaan.
Kuinka vältät tämän käytännössä
Yksinkertaisin toimenpide on kiinteä sääntö: tuotepassissa ovat vain toiminnalliset yhteystiedot, kuten yleinen palveluosoite tai liiketunniste, ei koskaan yhden työntekijän nimeä tai suoraa numeroa. Tämä ei vain estä GDPR-kysymystä, vaan pitää tuotepassin ajan tasalla, kun työntekijä vaihtaa tehtävää tai poistuu palveluksesta. Toinen toimenpide on tarkastuskohta juuri ennen kuin tuotepassi julkaistaan, jolloin joku nimenomaisesti tarkistaa, sisältääkö siinä henkilönimiä, yksityisiä puhelinnumeroita tai muita tunnistettavia tietoja. Useiden tiedonantajien ollessa kyseessä tämä tarkastuskohta on usein ainoa hetki, jolloin joku näkee kokonaisuuden.
On myös järkevää käydä tämä keskustelu paitsi sisäisesti myös tuotepassia isännöivän osapuolen kanssa. Siihen, kuka pääsee käsiksi syötettyihin tietoihin, kuinka kauan ne säilytetään ja tarvitaanko käsittelysopimusmuotoa, ovat kysymyksiä, jotka kuuluvat tilannekohtaisten aiheiden katsaukseen. Furnipas.eu:ssa on kuvailtu, kuinka tietoja säilytetään ja suojataan; voit lukea sen tietosuojan ja tietoturvan sivulla.
Mitä tehdä, jos näin on jo tapahtunut
Jos käy ilmi, että passi on sisältänyt henkilötietoja, joita siellä ei olisi pitänyt olla, pitkään aikaan, ensimmäinen askel on muokata tai poistaa kyseinen kenttä. Se, ovatko siinä jälkeen ilmoitusvelvollisuudet tai muut toimenpiteet voimassa, riippuu konkreettisesta tilanteesta ja on asia, josta kannattaa neuvotella juristin tai Henkilötietoviranomaisen kanssa; tämä ei ole kysymys, johon voidaan vastata yleisellä tasolla. On kuitenkin järkevää tarkastaa tällaisen löytämisen yhteydessä välittömästi, esiintyykö sama ongelma muissa, vielä julkaisemattomissa passeissa, jotta virhe ei toistu.
Riippuu siitä, kuinka moni yritystään riskin edessä, riippuu siitä, kuka toimittaa mitkä tiedot ja miten prosessi on järjestetty. Kun ilmaisen pikakatselmuksen avulla, joka muutamalla kysymyksellä antaa ensimmäisen indikaation, näet nopeasti, missä huomioitavat asiat ovat, ja usein kysyttyjen kysymysten kokoelmassa löydät siitä lisätaustaa siitä, miten meubelpaspoort suhtautuu olemassa oleviin säännöksiin, kuten GDPR:ään.