L'erreur la plus courante dans le chevauchement entre le passeport meuble et le RGPD est que les entreprises supposent qu'un passeport concernant un produit ne contient jamais de données personnelles et ne portent donc pas attention à la vie privée. En pratique, les employés remplissent les champs avec le nom et le numéro de téléphone d'une personne de contact pour la garantie, d'un chef de projet ou d'un installateur. Dès que le passeport est accessible au public via le code QR, il s'agit d'un traitement de données personnelles qui doit être conforme au RGPD, indépendamment du règlement meuble lui-même.
Cette erreur ne résulte pas d'une négligence, mais d'une hypothèse logique : le passeport concerne le meuble, non les personnes. De ce fait, lors de la fourniture de données, on réfléchit rarement à la question de savoir si un champ contient un nom personnel, un numéro de téléphone direct ou une adresse e-mail personnelle. Pour un passeport numérique qui est accessible au public pendant dix ans et consultable dans le monde entier, cette question a un poids plus lourd que pour un devis ou une facture ordinaires.
Pourquoi cela se produit plus facilement que vous ne le pensez
Lors de l'élaboration d'un passeport, ce n'est souvent pas une seule personne qui fournit toutes les données. Un employé commercial remplit les spécifications techniques, un chef de projet ajoute les instructions d'entretien, et quelqu'un du service client ajoute par commodité son propre nom et numéro de portable « pour toute question ». Aucun d'entre eux ne vérifie cela par rapport aux autres données saisies, et il n'y a souvent pas de moment fixe où quelqu'un examine l'ensemble avant que le passeport ne soit mis en ligne. Ainsi, un document est créé qui porte en fait sur une armoire ou un bureau, mais qui contient néanmoins des données personnelles visibles par toute personne disposant d'un téléphone intelligent.
Ce que le RGPD a en outre déjà déterminé
Le RGPD existait bien avant le règlement meuble et ne change pas avec l'introduction du passeport numérique de produit. Celui qui traite des données personnelles doit notamment être en mesure de désigner un objectif et un fondement juridique, et ne doit pas diffuser les données au-delà de ce qui est nécessaire. Mettre un nom et un numéro de portable dans un passeport accessible au public est une forme de traitement pour lequel ces questions se posent : est-ce nécessaire pour l'objectif du passeport, et l'employé concerné est-il conscient que ses données resteront publiques pendant dix ans ? Les autorités chargées du contrôle du RGPD, aux Pays-Bas l'Autorité néerlandaise de protection des données, évaluent ce type de situations selon les règles applicables, indépendamment de la façon dont le règlement meuble lui-même est appliqué.
Comment l'éviter dans la pratique
La mesure la plus simple est une règle fixe : le passeport ne contient que des coordonnées fonctionnelles, comme une adresse de service générale ou un numéro d'entreprise, jamais le nom ou le numéro direct d'un seul employé. Cela évite non seulement une question de RGPD, cela maintient aussi le passeport à jour lorsqu'un employé change de fonction ou quitte l'entreprise. Une deuxième mesure est un moment de contrôle peu de temps avant la publication d'un passeport, au cours duquel quelqu'un vérifie explicitement si celui-ci contient des noms personnels, des numéros de téléphone privés ou d'autres données identifiables. Lorsque plusieurs employés fournissent des données, ce moment de contrôle est souvent le seul moment où quelqu'un a une vue d'ensemble.
Il est aussi judicieux de ne pas mener cette discussion uniquement en interne, mais aussi avec la partie qui héberge le passeport. Qui a accès aux données saisies, combien de temps elles sont conservées et si un contrat de traitement est nécessaire, sont des questions qui doivent être traitées dans l'aperçu des sujets par situation. Chez furnipas.eu, les modalités de stockage et de sécurisation des données sont détaillées ; vous pouvez les lire sur la page sur la protection de la vie privée et la sécurité des données.
Que faire si cela s'est déjà produit
Si un passeport s'avère contenir pendant longtemps des données personnelles qui ne devaient pas s'y trouver, la première étape consiste à adapter ou supprimer le champ concerné. Le fait qu'il y ait ensuite des obligations de notification ou d'autres mesures dépend de la situation concrète et est quelque chose à discuter avec un juriste ou avec l'Autorité de protection des données ; ce n'est pas une question à laquelle on peut répondre de manière générale. Il est cependant judicieux, lors d'une telle découverte, de vérifier immédiatement si le même problème existe dans d'autres passeports non encore publiés, afin que l'erreur ne soit pas répétée.
Que votre entreprise coure ce risque dépend de qui fournit quelles données et de la manière dont ce processus est organisé. Avec le diagnostic rapide gratuit qui donne une première indication en quelques questions vous voyez rapidement où se situent les points d'attention, et dans la collection de questions fréquemment posées vous trouverez plus de contexte sur la façon dont le passeport du meuble se rapporte aux règles existantes telles que le RGPD.