L'errore più comune nell'interazione tra il passaporto dei mobili e il GDPR è che le aziende presumono che un passaporto di un prodotto non contenga mai dati personali e quindi non prestano attenzione alla privacy. In pratica, i dipendenti compilano i campi con il nome e il numero di telefono di una persona di contatto per la garanzia, un project manager o un installatore. Non appena il passaporto è pubblicamente consultabile tramite il codice QR, si tratta di un trattamento di dati personali che deve conformarsi al GDPR, indipendentemente dal regolamento sui mobili stesso.
Questo errore non nasce da negligenza ma da un'assunzione logica: il passaporto riguarda il mobile, non le persone. Per questo motivo, quando i dati vengono forniti, raramente ci si ferma a chiedersi se un campo contiene un nome di una persona, un numero di telefono diretto o un indirizzo e-mail personale. Nel caso di un passaporto digitale che può essere consultato pubblicamente e a livello mondiale per dieci anni, questa domanda è più importante che in una normale offerta o fattura.
Perché questo accade più facilmente di quanto pensi
Durante la compilazione di un passaporto, spesso non è una sola persona a fornire tutti i dati. Un impiegato di vendita inserisce le specifiche tecniche, un project manager aggiunge le istruzioni di manutenzione e qualcuno del servizio clienti aggiunge convenientemente il proprio nome e numero di telefono mobile per "domande". Nessuno di loro verifica questo rispetto agli altri dati immessi e spesso non c'è un momento fisso in cui qualcuno valuta l'insieme prima che il passaporto sia pubblicato. Così nasce un documento che di fatto riguarda un armadio o una scrivania, ma contiene comunque dati personali visibili a chiunque abbia uno smartphone.
Ciò che il GDPR ha già determinato
Il GDPR esisteva già molto prima del regolamento sui mobili e non cambia con l'arrivo del passaporto digitale del prodotto. Chi tratta dati personali deve, tra l'altro, poter indicare uno scopo e una base giuridica e non deve diffondere i dati più di quanto necessario. Inserire un nome e un numero di cellulare in un passaporto pubblicamente accessibile è una forma di trattamento in cui queste domande si pongono: è necessario per lo scopo del passaporto e il dipendente in questione è consapevole che i suoi dati rimarranno pubblicamente disponibili per dieci anni? Le autorità di vigilanza sul GDPR, nei Paesi Bassi l'Autorità per la protezione dei dati personali, valutano questo tipo di situazioni secondo le regole applicabili, indipendentemente da come viene applicato il regolamento sui mobili stesso.
Come lo evitate nella pratica
La misura più semplice è una regola fissa: nel passaporto figurano solo dati di contatto funzionali, come un indirizzo di servizio generale o un numero aziendale, mai il nome o il numero diretto di un singolo dipendente. Questo non solo evita una questione GDPR, ma mantiene anche il passaporto aggiornato quando un dipendente cambia funzione o lascia il servizio. Una seconda misura è un momento di controllo poco prima della pubblicazione di un passaporto, in cui qualcuno verifica esplicitamente se contiene nomi personali, numeri di telefono privati o altri dati identificabili. Quando più dipendenti forniscono dati, questo momento di controllo è spesso l'unico momento in cui qualcuno ha una visione d'insieme.
È inoltre utile condurre questa discussione non solo internamente, ma anche con la parte che ospita il passaporto. Chi ha accesso ai dati inseriti, per quanto tempo vengono conservati e se è necessario un accordo di trattamento sono domande che appartengono a la panoramica degli argomenti per situazione. Su furnipas.eu è illustrato come vengono archiviati e protetti i dati; è possibile leggerlo su la pagina sulla privacy e la sicurezza dei dati.
Cosa fare se è già accaduto
Se risulta che un passaporto contiene da tempo dati personali che non avrebbero dovuto esservi, il primo passo consiste nell'adattare o eliminare il campo. Se oltre a ciò si applicano obblighi di notifica o altre misure dipende dalla situazione concreta e è una questione da discutere con un giurista o con l'Autorità per la protezione dei dati; non è una domanda cui è possibile rispondere in senso generale. È comunque opportuno, al momento di tale scoperta, verificare immediatamente se lo stesso problema si presenta in altri passaporti non ancora pubblicati, in modo che l'errore non si ripeta.
Che la vostra azienda corra questo rischio dipende da chi fornisce quali dati e da come è organizzato quel processo. Con la scansione rapida gratuita che in poche domande fornisce una prima indicazione vedrete rapidamente dove si trovano i punti di attenzione, e in la raccolta di domande frequenti trovate ulteriori informazioni su come il passaporto dei mobili si rapporta alle norme esistenti come il RGPD.