Najpogostejša napaka pri sočasni uporabi mebljenega potnega lista in GDPR je, da podjetja predpostavljajo, da potni list o proizvodu nikoli ne vsebuje osebnih podatkov in zato ne posvečajo pozornosti zasebnosti. V praksi zaposleni izpolnijo polja z imenom in telefonsko številko stika za garancijo, vodjo projekta ali monterja. Takoj ko je potni list preko QR-kode javno dostopen, je to obdelava osebnih podatkov, ki mora biti skladna z GDPR, neodvisno od same uredbe o pohištvu.
Ta napaka ne nastane iz malomarnosti, ampak iz logične predpostavke: potni list se nanaša na pohištvo, ne na ljudi. Zato se pri predložitvi podatkov redko postavlja vprašanje, ali polje vsebuje osebno ime, neposredno telefonsko številko ali osebni e-poštni naslov. Pri digitalnem potnem listu, ki je deset let javno in svetovno dostopen, je to vprašanje bolj važno kot pri običajni ponudbi ali računu.
Zakaj se to zgodi lažje, kot si mislite
Pri sestavljanju potnega lista običajno ne predloži podatkov ena sama oseba. Prodajni predstavnik izpolni tehnične specifikacije, vodja projekta doda navodila za vzdrževanje, in nekdo iz službe za stranke za lažjo predstavo doda svoje lastno ime in telefonsko številko "za vprašanja". Nihče od njih tega ne preveri glede na druge vnose, in pogosto ni določenega trenutka, ko bi nekdo ocenil celoto, preden potni list postane dostopen. Tako nastane dokument, ki se dejansko nanaša na omaro ali pisalno mizo, vendar kljub temu vsebuje osebne podatke, ki so vidni vsem s pametnim telefonom.
Kaj je GDPR poleg tega že določil
GDPR je obstajal že dolgo pred uredbo o pohištvu in se ne spremeni s prihodom digitalnega potnega lista proizvoda. Kdor obdeluje osebne podatke, mora med drugim navesti namen in pravno podlago ter podatke ne sme razmnoževati više kot je potrebno. Ime in mobilno številko vnesti v javno dostopen potni list je oblika obdelave, pri kateri se poavljajo ta vprašanja: je to potrebno za namen potnega lista in se je zadevni zaposleni zaveden, da bodo njegovi podatki deset let javno dostopni? Nadzorni organi za GDPR, v Nizozemski Uradni urad za zaščito podatkov, ocenjujejo take situacije na podlagi veljavnih pravil, neodvisno od tega, kako se sama uredba o pohištvu izvršuje.
Kako to v praksi preprečite
Najenostavnejši ukrep je stalno pravilo: potni list vsebuje samo funkcionalne kontaktne podatke, kot so splošni servisni naslov ali številka podjetja, nikoli imena ali neposredne številke enega zaposlenega. To ne preprečuje le vprašanja GDPR, temveč tudi ohranja aktualnost potnega lista, ko se zaposleni seli na drugo funkcijo ali zapusti službo. Drugi ukrep je nadzorni trenutek tik preden je potni list objavljen, ko nekdo izrecno preveri, ali so v njem osebna imena, zasebne telefonske številke ali drugi herleidivi podatki. Pri več zaposlenih, ki predložijo podatke, je ta nadzorni trenutek pogosto edini trenutek, ko jih nekdo celostno vidi.
Prav tako je smiselno ta razgovor voditi ne samo interno, ampak tudi s pogodbencem, ki gosti potni list. Kdo ima dostop do vnesenih podatkov, kako dolgo se hranijo in ali je potrebna pogodba o obdelavi, so vprašanja, ki spadajo v pregled tem po situaciji. Pri furnipas.eu je razloženo, kako se podatki shranjujejo in varujejo; to preberete na strani o zasebnosti in varnosti podatkov.
Kaj storiti, če se je že zgodilo
Če se izkaže, da pas že dlje časa vsebuje osebne podatke, ki tam ne bi smeli biti, je prvi korak prilagoditev ali izbris polja. Ali so poleg tega veljavne obveznosti obveščanja ali drugi koraki, je odvisno od konkretne situacije in je vprašanje, ki ga je treba obravnavati s pravnikom ali Uradom za varstvo osebnih podatkov; to ni vprašanje, na katero je mogoče odgovoriti na splošno. Vendar je pametno, da takoj po odkritju preverite, ali isti problem obstaja v drugih, še ne objavljenih pasih, da se napaka ne ponovi.
Ali vaše podjetje tvega to nevarnost, je odvisno od tega, kdo dobavlja katere podatke in kako je ta proces urejen. S brezplačno hitro analizo, ki v nekaj vprašanjih daje prvi pokazatelj hitro vidite, kje so točke, ki zahtevajo pozornost, in v zboru pogostih vprašanj najdete več ozadja o tem, kako se meblni pas nanaša na obstoječa pravila, kot je GDPR.