Det vanligaste misstaget i överlappningen mellan möbelpassen och GDPR är att företag antar att ett pass om en produkt aldrig innehåller personuppgifter, och därför inte ägnar uppmärksamhet åt integritet. I praktiken fyller anställda i fält med namn och telefonnummer för en kontaktperson för garanti, en projektledare eller en installatör. Så snart passet är allmänt tillgängligt via QR-koden är det en behandling av personuppgifter som måste uppfylla GDPR, oberoende av möbelförordningen själv.
Det här felet uppstår inte av oaktsamhet utan från ett logiskt antagande: passet handlar om möbeln, inte om människor. Därför ställs frågan sällan vid datainsamlingen om ett fält innehåller ett personnamn, ett direkt telefonnummer eller en personlig e-postadress. För ett digitalt pass som är allmänt tillgängligt och kan konsulteras världsomspännande i tio år väger den frågan tyngre än för en vanlig offert eller faktura.
Varför detta händer lättare än du tror
Vid sammansättningen av ett pass levererar ofta inte en person alla data. En försäljningsrepresentant fyller i tekniska specifikationer, en projektledare lägger till underhållsinstruktioner, och någon från kundtjänsten lägger bekvämt sitt eget namn och 06-nummer vid "för frågor". Ingen av dem kontrollerar detta mot övrig inmatning, och det finns ofta ingen fastställd tidpunkt då någon granskar helheten innan passet publiceras. På så sätt uppstår ett dokument som faktiskt handlar om ett skåp eller ett skrivbord, men som ändå innehåller personuppgifter som är synliga för alla med en smartphone.
Vad GDPR redan föreskrev därutöver
GDPR fanns redan långt före möbelförordningen och ändras inte genom införandet av det digitala produktpasset. Den som behandlar personuppgifter måste bland annat kunna ange ett syfte och en rättslig grund, och inte sprida data längre än nödvändigt. Att lägga ett namn och mobilnummer i ett allmänt tillgängligt pass är en form av behandling där dessa frågor gäller: är detta nödvändigt för passét syfte, och är den berörda anställde medveten om att hans eller hennes uppgifter kommer att vara allmänt tillgängliga i tio år? Tillsynsmyndigheter för GDPR, i Nederland Autoritetet för personuppgifter, bedömer denna typ av situationer enligt gällande regler, oberoende av hur möbelförordningen själv tillämpas.
Hur du förhindrar detta i praktiken
Den enklaste åtgärden är en fast regel: i passet finns endast funktionella kontaktuppgifter, såsom en allmän serviceadress eller ett företagsnummer, aldrig namn eller direktnummer för en enskild anställd. Det förhindrar inte bara en GDPR-fråga, det håller också passet aktuellt när en anställd byter funktion eller slutar i tjänsten. En andra åtgärd är en kontrollpunkt strax innan ett pass publiceras, där någon uttryckligen kontrollerar om det finns personnamn, privata telefonnummer eller andra härledbara uppgifter i det. Med flera bidragande anställda är denna kontrollpunkt ofta den enda gången någon har överblick över helheten.
Det är också värdefullt att föra denna diskussion inte bara internt utan också med parten som host passet. Vem som har tillgång till inmatade data, hur länge de sparas och om ett databehandlingsavtal är nödvändigt, är frågor som hör hemma i översikten över ämnen per situation. På furnipas.eu är det utarbetat hur data lagras och säkras; det läser du på sidan om integritet och datasäkerhet.
Vad man gör om det redan har hänt
Om det framgår att ett paspoort länge har innehållit personuppgifter som inte borde ha varit där, är det första steget att justera eller radera fältet. Huruvida det dessutom finns rapporteringsskyldigheter eller andra åtgärder beror på den konkreta situationen och är något att diskutera med en jurist eller med Myndigheten för dataskydd; det är inte en fråga som går att besvara på allmän basis. Det är dock klokt att omedelbar kontrollera när sådan upptäckt görs om samma problem förekommer i andra paspoort som ännu inte publicerats, så att felet inte upprepas.
Huruvida ditt företag löper denna risk beror på vem som levererar vilka uppgifter och hur processen är organiserad. Med den kostnadsfria snabbscanningen som med några få frågor ger en första indikation ser du snabbt var uppmärksamhetspunkter finns, och i samlingen med ofta ställda frågor hittar du mer bakgrund om hur meubelpaspoorten förhåller sig till befintliga regler som GDPR.