Ne, digitální produktový pas pro ocel GDPR nenahrazuje ani nemění. Tyto dva právní předpisy jsou na sobě nezávislé a to se letos nemění: GDPR nadále platí pro osobní údaje, bez ohledu na to, zda produkt získá pas. Co se však změní, je, že společnosti, které budou psaní pas skládat, si poprvé budou muset pořádně prohlédnout, jaké údaje v něm budou, a zda se mezi nimi vyskytují osobní údaje.
To je důležité zejména pro společnosti, které samy shromažďují údaje a předávají je dodavateli, zákazníkovi nebo platformě: manažer kanceláře, který vede spisy, ředitel, který podepisuje prohlášení dodavatele, a všichni, kdo se podílejí na vyplňování technické dokumentace. U většiny malých a středních podniků v oboru ocelářského obchodu a metalurgické výroby zůstane dopad letos omezený, protože první prováděcí opatření ESPR dosud nebylo zveřejněno a povinnosti proto ještě nejsou stanoveny.
Co nařízení upravuje a co ne
ESPR (evropské nařízení o ekodesignu udržitelných produktů) popisuje, jaké údaje o produktech by měly brzy v pasu být: původ, složení, zpracování, informace o recyklaci. Tyto údaje se v praxi týkají především produktu, nikoli osob. Nařízení se nevyslovuje k GDPR a nezvyšuje žádné povinnosti podle GDPR. Dohledající orgány, které se budou zabývat produktovými pasy, budou zkoumat údaje o produktech; Úřad pro ochranu osobních údajů zůstává institucí, která kontroluje osobní údaje, nezávisle na tom, který pas je jejich základem.
Důvod, proč se tyto dva právní předpisy přesto setkávají, je praktický: pas často obsahuje také jména kontaktních osob u poskytovatele, dovozce nebo výrobce a někdy údaje o zkušebně. Jakmile je takové jméno spojeno s funkcí nebo e-mailovou adresou, jedná se o osobní údaj a pak platí běžná pravidla GDPR: právní základ, doba uchovávání a příslušné zabezpečení. To platilo již před produktovým pasem a zůstává nezměněno.
Co se letos konkrétně změní
V současné době se mění jen málo, protože samotná povinnost dosud nevešla v platnost. Co se však změní, je, že se více společností připravuje a přitom se setkává se stejnou otázkou: kdo by měl uchovávat jaké údaje a kde budou uloženy? Dodavatelé softwaru, kteří nabízejí řešení pasů, začínají letos s nastavením datových modelů. To je chvíle, kdy má smysl ptát se, kde jsou data hostována, kdo k nim má přístup a zda pas obsahuje osobní údaje, které tam nemusejí být.
To je přesně to, s čím se teď setkává mnoho společností: ne otázka, zda se GDPR změní, ale otázka, zda jejich vlastní struktura pasu bez úmyslu obsahuje více osobních údajů, než je nezbytné. Technický spis se jménem zaměstnance zajišťujícího kvalitu, testovací zpráva s podpisem nebo QR kód, který odkazuje na kontaktní formulář s e-mailovou adresou: to jsou všechny body, kde se dva právní předpisy setkávají, aniž by jeden nahrazoval druhý.
Pro koho je to relevantní
Dopad se liší v závislosti na roli v rámci společnosti. Pro ředitele instalační společnosti je to především otázka konečné odpovědnosti: kdo podepisuje správnost pasu a je si tato osoba vědoma aspektu GDPR. Pro manažera HR je relevance obvykle nepřímá, kromě případů, kdy se údaje o zaměstnancích používají k prokázání sledovatelnosti v řetězci. Pro manažera kanceláře, který spravuje spisy a systémy, je to často nejkonkrétněji: tato osoba v praxi určuje, která pole se vyplňují a jaké údaje se ukládají.
Co zůstává jako dřív
Povinnosti podle GDPR, které již existovaly, zůstávají beze změny: právní základ pro zpracování, doba uchovávání, která není delší než nutná, a zabezpečení přiměřené riziku. Digitální produktový pas nepřidává žádnou novou povinnost, ale může být novým místem, kde se osobní údaje objeví, pokud se na to vědomě nedbá. jak zacházíme se soukromím a údaji popisuje, jak se to v praxi produktového pasu realizuje.
Kdo si chce ověřit, jak se to týká jeho situace, najde v přehled témat vybraných pro jednotlivé situace pozadí jak nařízení, tak stávajících pravidel, se kterými se prolíná. Pro vlastní situaci je vždy vhodné v případě pochybností konzultovat právníka nebo kontaktovat Úřad na ochranu osobních údajů; tento článek popisuje právní úpravy, nikoli výsledek pro konkrétní společnost.
Chcete nejdřív zjistit, zda se vás to týká? na několika otázkách zjistit, zda se vás to týká dává první představu, a odpovědi na otázky, které se vracejí řeší otázky, které si už položili další čtenáři.