Najčešća greška pri sučeljavanju između pasoša namještaja i GDPR-a je što poduzeća pretpostavljaju da pasoš o proizvodu nikada ne sadrži osobne podatke i stoga ne obraćaju pažnju na privatnost. U praksi zaposlenici popunjavaju polja s imenom i brojem telefona kontaktne osobe za jamstvo, voditelja projekta ili instaltera. Čim je pasoš javno dostupan putem QR-koda, to je obrada osobnih podataka koja mora biti u skladu s GDPR-om, neovisno o samoj uredbi o namještaju.
Ova greška ne nastaje zbog nemar već iz logičke pretpostavke: pasoš se odnosi na namještaj, a ne na ljude. Zbog toga se pri prikupljanju podataka rijetko postavlja pitanje je li polje sadrži osobno ime, izravan telefonski broj ili osobnu e-mail adresu. Za digitalni pasoš koji je deset godina javno i svjetski dostupan za pretraživanje, to pitanje ima veću težinu nego kod običnog ponude ili računa.
Zašto se to mijenja lakše nego što mislite
Pri sastavljanju pasoša često jedan jedini čovjek ne pruža sve podatke. Prodajni predstavnik popunjava tehničke specifikacije, projektni voditelj dodaje upute održavanja, a netko iz klijentske službe zahaluznije stavlja svoje vlastito ime i broj 06 uz "za upite". Nijedan od njih ne provjerava to prema ostalim unošenim podacima, i često nema fiksne točke gdje bi netko sve to procijenio prije nego što pasoš bude aktivan. Tako nastaje dokument koji se zapravo odnosi na ormar ili stol, ali ipak sadrži osobne podatke koji su vidljivi svima sa pametnim telefonom.
Što je GDPR već tada odredio
GDPR je postojao mnogo prije uredbe o namještaju i ne mijenja se dolaskom digitalnog pasoša proizvoda. Tko obrađuje osobne podatke, mora moći navesti svrhu i pravnu osnovu, te ne smije distribuirati podatke šire nego što je potrebno. Postavljanje imena i mobilnog broja u javno dostupan pasoš je oblik obrade pri kojem se ta pitanja postavljaju: je li to potrebno za svrhu pasoša i je li dotični zaposlenik svjestan da će njegovi podaci biti javno dostupni deset godina? Nadzorni organi za GDPR, u Nizozemskoj Autoriteit Persoonsgegevens, ocjenjuju takve situacije na temelju primjenjivih pravila, neovisno o tome kako se sama uredba o namještaju provodi.
Kako to u praksi spriječiti
Najjednostavnija mjera je fiksno pravilo: u pasoš dolaze samo funkcionalni kontaktni podaci, kao što su opća adresa servisa ili broj poduzeća, nikad ime ili izravan broj jednog zaposlenika. To ne samo da izbjegava GDPR-pitanje, već čini pasoš aktualnim kada zaposlenik promijeni funkciju ili napusti tvrtku. Druga mjera je kontrolna točka neposredno prije objavljivanja pasoša, gdje netko eksplicitno provjerava postoje li osobna imena, privatni telefonski brojevi ili drugi hrljedivi podaci u njemu. Kada više zaposlenika pruža podatke, ta kontrolna točka je često jedino vrijeme kada netko imá cijeli pregled.
Također je korisno vesti ovaj razgovor ne samo interno, već i s partnerom koji je domaćin pasoša. Tko ima pristup unesenim podacima, koliko dugo se oni čuvaju i je li potreban ugovor o obradi, pitanja su koja spadaju u pregled tema po situaciji. Na furnipas.eu detaljno je razrađeno kako se podaci pohranjuju i štite; to čitajte na stranici o privatnosti i zaštiti podataka.
Što učiniti ako se već dogodilo
Ako se pokaže da je putovnica duže vremena sadržavala osobne podatke koji tamo nisu trebali biti, prvi korak je prilagoditi ili izbrisati to polje. Trebaju li se pored toga primijeniti obaveze obavijesti ili drugi koraci, ovisi o konkretnoj situaciji i nešto je što treba razmotriti s pravnikom ili s Upravom za zaštitu podataka; to nije pitanje na koje se može odgovoriti na općenitoj razini. Ipak je pametno da se kod takvog otkrića odmah provjeri jesu li isti problemi prisutni u ostalim, još neizdalim putovnicama, kako greška ne bi bila ponovljena.
Ovisi li vaše poduzeće izloženo tom riziku ovisno je o tome tko koje podatke daje i kako je taj proces organiziran. Sa besplatnom quick-scan provjerom koja u nekoliko pitanja daje prvi pregled brzo ćete vidjeti gdje se nalaze točke pažnje, a u zbirci često postavljanih pitanja pronašli ste više pozadine o tome kako se meblno putovnica odnosi na postojeća pravila kao što je GDPR.