De meestgemaakte fout bij de samenloop tussen het meubelpaspoort en de AVG is dat bedrijven ervan uitgaan dat een paspoort over een product nooit persoonsgegevens bevat, en dus geen aandacht aan privacy besteden. In de praktijk vullen medewerkers velden in met de naam en het telefoonnummer van een contactpersoon voor garantie, een projectleider of een installateur. Zodra het paspoort via de QR-code openbaar raadpleegbaar is, is dat een verwerking van persoonsgegevens die aan de AVG moet voldoen, los van de meubelverordening zelf.
Deze fout ontstaat niet uit onzorgvuldigheid maar uit een logische aanname: het paspoort gaat over het meubel, niet over mensen. Daardoor wordt er bij het aanleveren van gegevens zelden stilgestaan bij de vraag of een veld een persoonsnaam, een direct telefoonnummer of een persoonlijk e-mailadres bevat. Bij een digitaal paspoort dat tien jaar lang openbaar en wereldwijd te raadplegen is, telt die vraag zwaarder dan bij een gewone offerte of factuur.
Waarom dit gemakkelijker gebeurt dan u denkt
Bij het samenstellen van een paspoort levert vaak niet één persoon alle gegevens aan. Een verkoopmedewerker vult technische specificaties in, een projectleider voegt onderhoudsinstructies toe, en iemand van de klantenservice zet er gemakshalve zijn eigen naam en 06-nummer bij "voor vragen". Niemand van hen controleert dit tegen de andere invoer, en er is vaak geen vast moment waarop iemand het geheel beoordeelt voordat het paspoort live gaat. Zo ontstaat een document dat feitelijk over een kast of bureau gaat, maar toch persoonsgegevens bevat die voor iedereen met een smartphone zichtbaar zijn.
Wat de AVG daarnaast al bepaalde
De AVG bestond al ruim voor de meubelverordening en verandert niet door de komst van het digitaal productpaspoort. Wie persoonsgegevens verwerkt, moet onder meer een doel en een rechtsgrond kunnen aanwijzen, en gegevens niet verder verspreiden dan nodig. Een naam en mobiel nummer in een openbaar toegankelijk paspoort zetten, is een vorm van verwerking waarbij die vragen spelen: is dit nodig voor het doel van het paspoort, en is de betrokken medewerker zich ervan bewust dat zijn gegevens tien jaar lang openbaar blijven staan? Toezichthouders op de AVG, in Nederland de Autoriteit Persoonsgegevens, beoordelen dit soort situaties op basis van de daarvoor geldende regels, los van hoe de meubelverordening zelf wordt gehandhaafd.
Hoe u dit in de praktijk voorkomt
De eenvoudigste maatregel is een vaste regel: in het paspoort komen alleen functionele contactgegevens, zoals een algemeen serviceadres of een bedrijfsnummer, nooit de naam of het directe nummer van één medewerker. Dat voorkomt niet alleen een AVG-vraagstuk, het houdt het paspoort ook actueel wanneer een medewerker van functie verandert of uit dienst gaat. Een tweede maatregel is een controlemoment vlak voordat een paspoort gepubliceerd wordt, waarbij iemand expliciet nagaat of er persoonsnamen, privételefoonnummers of andere herleidbare gegevens in staan. Bij meerdere aanleverende medewerkers is dat controlemoment vaak het enige moment waarop iemand het geheel overziet.
Het is ook zinvol om dit gesprek niet alleen intern te voeren, maar ook met de partij die het paspoort host. Wie toegang heeft tot de ingevoerde gegevens, hoe lang die bewaard blijven en of er een verwerkersovereenkomst nodig is, zijn vragen die thuishoren in het overzicht van onderwerpen per situatie. Bij furnipas.eu is uitgewerkt hoe gegevens worden opgeslagen en beveiligd; dat leest u op de pagina over privacy en gegevensbeveiliging.
Wat te doen als het al is gebeurd
Als blijkt dat een paspoort al langere tijd persoonsgegevens bevat die er niet in hadden gehoord, is de eerste stap het veld aanpassen of verwijderen. Of er daarnaast meldingsplichten of andere stappen spelen, hangt af van de concrete situatie en is iets om met een jurist of met de Autoriteit Persoonsgegevens te bespreken; dat is geen vraag die in algemene zin te beantwoorden is. Wel is het verstandig om bij zo'n ontdekking meteen te kijken of hetzelfde probleem in andere, nog niet gepubliceerde paspoorten speelt, zodat de fout niet herhaald wordt.
Of uw bedrijf dit risico loopt, hangt af van wie welke gegevens aanlevert en hoe dat proces is ingericht. Met de gratis quick-scan die in een paar vragen een eerste indicatie geeft ziet u snel waar aandachtspunten zitten, en in de verzameling veelgestelde vragen vindt u meer achtergrond bij hoe het meubelpaspoort zich verhoudt tot bestaande regels zoals de AVG.