Najčastejšou chybou pri vzájomnom vzťahu medzi pasportom nábytku a GDPR je, že podniky predpokladajú, že pasport produktu nikdy neobsahuje osobné údaje, a preto nevenujú pozornosť ochrane osobných údajov. V prakticke zamestnanci vypĺňajú polia menom a telefonnym číslom kontaktnej osoby pre záruku, vedúceho projektu alebo montéra. Akonáhle je pasport prostredníctvom QR kódu verejne dostupný, jedná sa o spracovanie osobných údajov, ktoré musí spĺňať GDPR, bez ohľadu na samotnú nariadenie o nábytku.
Táto chyba nevzniká z nedbanlivosti, ale z logického predpokladu: pasport sa týka nábytku, nie ľudí. Preto sa pri poskytovaní údajov zriedka zvažuje otázka, či pole obsahuje meno osoby, priame telefonne číslo alebo osobný e-mail. Pri digitálnom pasporte, ktorý je desať rokov verejne a svetovej dostupný, táto otázka váži viac ako pri bežnej ponuke alebo faktúre.
Prečo sa to deje ľahšie, ako si myslíte
Pri spracovávaní pasportu neposkytuje údaje zvyčajne len jedna osoba. Predajny zamestnanec vypĺňa technické špecifikácie, vedúci projektu pridá inštrukcie na údržbu a niekto z klientskej služby si tam pohodlne pridá svoje meno a číslo 06 "na otázky". Nikto z nich to nie je skontrolovať voči ostatným vstupom a často nie je stanovený pevný čas, kedy by niekto vyhodnotil celok skôr, ako sa pasport spustí. Tak vzniká dokument, ktorý sa síce týka skrine alebo biura, ale napriek tomu obsahuje osobné údaje viditeľné pre každého so smartfónom.
Čo okrem toho už určila GDPR
GDPR existovala dlho pred nariadením o nábytku a nemení sa príchodom digitálneho produktového pasu. Kto spracúva osobné údaje, musí mať okrem iného schopnosť určiť účel a právny základ a nesmie šíriť údaje ďalej, ako je potrebné. Vložiť meno a mobilné číslo do verejne prístupného pasu je forma spracovania, kde sa tieto otázky objavujú: je to potrebné na účel pasu a je dotknutý zamestnanec si vedomý, že jeho údaje budú desať rokov verejne prístupné? Orgány dohľadu nad GDPR, v Holandsku Autoriteit Persoonsgegevens, posudzujú takéto situácie na základe platných pravidiel, nezávisle od toho, ako sa samotné nariadenie o nábytku presadzuje.
Ako si to v praxi priprávite
Najjednoduchší opatrením je pevné pravidlo: v pase sú len funkčné kontaktné údaje, ako napríklad všeobecná adresa služieb alebo číslo podniku, nikdy meno alebo priame číslo jedného zamestnanca. To nielen vylúči problém GDPR, ale tiež udržiava pas aktuálny, keď zamestnanec zmení funkciu alebo odíde zo služby. Druhé opatrenie je kontrolný bod tesne predtým, ako sa pas zverejní, pri ktorom si niekto explicitne overí, či v ňom sú osobné mená, súkromné telefónne čísla alebo iné identifikovateľné údaje. Pri viacerých zamestnancoch dodávajúcich údaje je tento kontrolný bod často jediným časom, keď má niekto prehľad o celku.
Je tiež užitočné viesť túto diskusiu nielen interné, ale aj so stranou, ktorá pas hostí. Kto má prístup k zadaným údajom, ako dlho sa uchovávajú a či je potrebná zmluva o spracovaní, sú otázky, ktoré patria do prehľadu tém podľa situácie. V furnipas.eu je rozpracované, ako sa údaje ukladajú a chránia; to si prečítate na stránke o ochrane osobných údajov a bezpečnosti údajov.
Čo robiť, ak sa to už stalo
Ak sa ukáže, že pasport už dlhší čas obsahuje osobné údaje, ktoré v ňom nemali byť, prvým krokom je upraviť alebo odstrániť príslušné pole. To, či sa uplatňujú povinnosti oznamovania alebo sú potrebné ďalšie kroky, závisí od konkrétnej situácie a je to otázka, ktorú je vhodné prediskutovať s právnikom alebo s Úradom na ochranu osobných údajov; nejde o otázku, ktorú je možné zodpovedať všeobecne. Je však rozumné skontrolovať, či tento problém neexistuje aj v iných ešte nepublikovaných pasportoch, aby sa chyba neopakovala.
To, či vaša spoločnosť čelí tomuto riziku, závisí od toho, kto aké údaje dodáva a ako je tento proces organizovaný. S bezplatným rýchlym skenom, ktorý pomocou niekoľkých otázok poskytuje prvú orientáciu, rýchlo vidíte, kde sú kritické body, a v zbierke často kladených otázok nájdete viac informácií o tom, ako sa pasport nábytku vzťahuje na existujúce pravidlá, ako je GDPR.