Najczęstszym błędem w zbieżności między paszportem mebla a RODO jest założenie przez firmy, że dokument dotyczący produktu nigdy nie zawiera danych osobowych, a zatem nie zwracają uwagi na ochronę prywatności. W praktyce pracownicy wypełniają pola imieniem i numerem telefonu osoby kontaktowej ds. gwarancji, kierownika projektu lub instalatora. Gdy paszport jest publicznie dostępny za pośrednictwem kodu QR, stanowi to przetwarzanie danych osobowych, które musi być zgodne z RODO, niezależnie od samego rozporządzenia o meblach.
Błąd ten nie wynika z niedbałości, lecz z logicznego założenia: paszport dotyczy mebla, a nie ludzi. W rezultacie przy dostarczaniu danych rzadko zastanawia się, czy pole zawiera imię i nazwisko, bezpośredni numer telefonu czy osobisty adres e-mail. W przypadku cyfrowego paszportu, który przez dziesięć lat jest publicznie dostępny na całym świecie, pytanie to jest ważniejsze niż w zwykłej ofercie czy fakturze.
Dlaczego dzieje się to łatwiej niż myślimy
Przy opracowywaniu paszportu dane dostarczane są zwykle nie przez jedną osobę. Pracownik sprzedaży wprowadza specyfikacje techniczne, kierownik projektu dodaje instrukcje konserwacji, a ktoś z obsługi klienta wpisuje dla wygody swoje imię i numer 06 przy „pytaniach kontaktowych". Nikt z nich nie sprawdza tego w stosunku do pozostałych danych wejściowych i często nie ma ustalonego momentu, w którym ktoś ocenia całość przed publikacją paszportu. W ten sposób powstaje dokument, który formalnie dotyczy szafy lub biurka, ale zawiera dane osobowe widoczne dla każdego ze smartfonem.
Co RODO określał już wcześniej
RODO istniało już na długo przed rozporządzeniem o meblach i nie zmienia się wraz z pojawieniem się cyfrowego paszportu produktu. Kto przetwarza dane osobowe, musi między innymi wskazać cel i podstawę prawną oraz nie rozpowszechniać danych dalej niż to konieczne. Umieszczenie imienia i numeru telefonu komórkowego w publicznie dostępnym paszporcie to forma przetwarzania, przy którym pojawiają się takie pytania: czy jest to konieczne do celu paszportu i czy zainteresowany pracownik jest świadomy, że jego dane będą publicznie dostępne przez dziesięć lat? Organy nadzoru ds. RODO, w Holandii Urząd Ochrony Danych Osobowych, oceniają takie sytuacje na podstawie obowiązujących przepisów, niezależnie od sposobu egzekwowania samego rozporządzenia o meblach.
Jak to w praktyce zapobiegać
Najprostszym środkiem jest ustalona zasada: w paszporcie znajdują się wyłącznie funkcjonalne dane kontaktowe, takie jak ogólny adres serwisu czy numer firmy, nigdy imię i nazwisko ani bezpośredni numer pracownika. To nie tylko eliminuje kwestię RODO, ale też utrzymuje paszport aktualnym, gdy pracownik zmieni funkcję lub odejdzie. Drugim środkiem jest moment kontroli tuż przed publikacją paszportu, w którym ktoś wyraźnie sprawdza, czy zawiera on imiona i nazwiska osób, prywatne numery telefonów czy inne dane umożliwiające identyfikację. W przypadku wielu pracowników dostarczających dane, ten moment kontroli jest często jedynym momentem, w którym ktoś widzi całość.
Warto też prowadzić tę rozmowę nie tylko wewnętrznie, ale także ze stroną hostującą paszport. Pytania dotyczące dostępu do wprowadzonych danych, czasu ich przechowywania i tego, czy wymagana jest umowa przetwarzającego, powinny być rozpatrywane w przeglądzie tematów według sytuacji. Na furnipas.eu wyjaśniono, jak dane są przechowywane i zabezpieczone; można to przeczytać na stronie o ochronie prywatności i bezpieczeństwie danych.
Co zrobić, jeśli już się to stało
Jeśli okaże się, że paszport zawiera od dłuższego czasu dane osobowe, które nie powinny się w nim znaleźć, pierwszym krokiem jest dostosowanie lub usunięcie tego pola. Czy oprócz tego obowiązują obowiązki zawiadomienia lub konieczne są inne kroki, zależy od konkretnej sytuacji i jest kwestią do omówienia z prawnikiem lub z Urzędem Ochrony Danych Osobowych; nie jest to pytanie, na które można dać odpowiedź w sensie ogólnym. Jednak rozsądnie jest przy takim odkryciu natychmiast sprawdzić, czy ten sam problem dotyczy innych, jeszcze nieopublikowanych paszportów, aby błąd się nie powtórzył.
Czy Twoje przedsiębiorstwo ponosi to ryzyko, zależy od tego, kto dostarcza jakie dane i jak proces jest zorganizowany. Z bezpłatnym szybkim skanem, który w kilku pytaniach daje wstępne wskazanie szybko zobaczysz, gdzie znajdują się punkty wymagające uwagi, a w zbiorze często zadawanych pytań znajdziesz więcej informacji na temat tego, jak paszport mebli ma się do istniejących przepisów, takich jak RODO.