O erro mais comum na interseção entre o passaporte de mobiliário e o RGPD é que as empresas assumem que um passaporte sobre um produto nunca contém dados pessoais e, portanto, não dão atenção à privacidade. Na prática, os colaboradores preenchem campos com o nome e o número de telefone de uma pessoa de contacto para garantia, um gestor de projeto ou um instalador. Assim que o passaporte é consultável publicamente através do código QR, trata-se de um tratamento de dados pessoais que deve cumprir o RGPD, independentemente do próprio regulamento de mobiliário.
Este erro não resulta de negligência, mas de uma suposição lógica: o passaporte diz respeito ao móvel, não às pessoas. Por isso, ao fornecer dados, raramente se questiona se um campo contém um nome pessoal, um número de telefone direto ou um endereço de correio eletrónico pessoal. Para um passaporte digital que pode ser consultado publicamente durante dez anos e em todo o mundo, esta questão é mais importante do que numa proposta ou fatura comum.
Por que isto acontece mais facilmente do que pensa
Na compilação de um passaporte, muitas vezes não é apenas uma pessoa que fornece todos os dados. Um vendedor preenche as especificações técnicas, um gestor de projeto adiciona instruções de manutenção e alguém do atendimento ao cliente coloca convenientemente o seu próprio nome e número de telefone "para questões". Nenhum deles verifica isto em relação aos outros dados inseridos, e muitas vezes não há um momento definido em que alguém avalia o todo antes de o passaporte ser publicado. Assim cria-se um documento que na verdade diz respeito a um armário ou secretária, mas contém dados pessoais que são visíveis para qualquer pessoa com um smartphone.
O que o RGPD já determinava
O RGPD existia muito antes do regulamento de mobiliário e não muda com a chegada do passaporte de produto digital. Quem trata dados pessoais deve, entre outras coisas, ser capaz de indicar um objetivo e uma base legal, e não divulgar dados para além do necessário. Colocar um nome e número de telemóvel num passaporte publicamente acessível é uma forma de tratamento em que estas questões se colocam: é isto necessário para o objetivo do passaporte, e o colaborador em questão está ciente de que os seus dados permanecerão públicos durante dez anos? As autoridades de supervisão do RGPD, nos Países Baixos a Autoridade da Proteção de Dados, avaliam este tipo de situações com base nas regras aplicáveis, independentemente da forma como o próprio regulamento de mobiliário é executado.
Como evitar isto na prática
A medida mais simples é uma regra fixa: o passaporte contém apenas dados de contacto funcionais, como um endereço de serviço geral ou um número de empresa, nunca o nome ou o número direto de um colaborador individual. Isto não só evita uma questão do RGPD, como também mantém o passaporte atualizado quando um colaborador muda de função ou sai da empresa. Uma segunda medida é um ponto de controlo imediatamente antes da publicação de um passaporte, em que alguém verifica explicitamente se existem nomes pessoais, números de telefone privados ou outros dados identificáveis. Com vários colaboradores que fornecem dados, este ponto de controlo é muitas vezes o único momento em que alguém tem uma visão geral de tudo.
Também é útil realizar esta conversa não apenas internamente, mas também com a parte que aloja o passaporte. Quem tem acesso aos dados introduzidos, quanto tempo são retidos e se é necessário um acordo de processamento são questões que pertencem a a visão geral de tópicos por situação. Na furnipas.eu foi explicado como os dados são armazenados e protegidos; pode ler isso em a página sobre privacidade e proteção de dados.
O que fazer se isto já aconteceu
Se verificar-se que um pasaporte contém há mais tempo dados pessoais que não deveriam estar nele, o primeiro passo é ajustar ou eliminar o campo. Se existem obrigações de notificação ou outras medidas, além disso, depende da situação concreta e é uma questão a discutir com um jurista ou com a Autoridade para a Proteção de Dados; não é uma pergunta que possa ser respondida de forma geral. Contudo, é aconselhável que, após tal descoberta, verifique imediatamente se o mesmo problema ocorre noutros pasaportes ainda não publicados, para que o erro não se repita.
Se a sua empresa enfrenta este risco depende de quem fornece que dados e como esse processo está organizado. Com a quick-scan gratuita que em poucas questões dá uma primeira indicação vê rapidamente onde estão os pontos de atenção, e em a coleção de perguntas frequentes encontra mais informações sobre como o pasaporte mobiliário se relaciona com as regras existentes, como o RGPD.