Nej, det digitale produktpasport for stål erstatter eller ændrer ikke GDPR. De to regler står uafhængigt af hinanden, og det ændres ikke i år: GDPR forbliver gældende for personoplysninger, uanset om et produkt får et pasport. Det, der ændres, er, at virksomheder, der skal sammensætte et pasport, for første gang skal se nærmere på, hvilke data der kommer ind i det, og om der er personoplysninger blandt dem.
Det betyder især noget for virksomheder, der selv indsamler data og videregiver dem til en leverandør, kunde eller platform: kontorlederen, der vedligeholder arkiver, direktøren, der undertegner en leverandørerklæring, og alle, der er involveret i udfyldelsen af teknisk dokumentation. For de fleste små og mellemstore virksomheder inden for stålhandel og metalbearbejdelse forbliver virkningen i år begrænset, fordi den første delegerede handling fra ESPR endnu ikke er blevet offentliggjort, og forpligtelserne derfor endnu ikke er fastsat.
Hvad forordningen regulerer og hvad den ikke regulerer
ESPR (Den europæiske forordning om bæredygtige produkters økodesign) beskriver, hvilke produktdata, der skal stå i et pasport: oprindelse, sammensætning, behandling, genanvendelsesoplysninger. Disse data handler i praksis primært om produktet, ikke om personer. Forordningen siger intet om GDPR og ophæver heller ingen GDPR-forpligtelse. Tilsynsmyndigheder, der får med produktpasporter at gøre, ser på produktdataene; Datatilsynet forbliver den myndighed, der ser på personoplysninger, uafhængigt af, hvilket pasport der ligger til grund herfor.
Grunden til, at disse to alligevel mødes, er praktisk: et pasport indeholder ofte også navne på kontaktpersoner hos en leverandør, importør eller producent, og nogle gange data fra en inspektionsorgan. Såsnart sådan et navn er knyttet til en funktion eller e-mailadresse, er det en personoplysning, og så gælder de sædvanlige GDPR-regler: et lovligt grundlag, en opbevaringsperiode og passende sikkerhed. Det var tilfældet før produktpassportet og forbliver uændret.
Hvad der konkret ændres i år
I øjeblikket ændres der ikke meget, fordi selve forpligtelsen endnu ikke er trådt i kraft. Det, der ændres, er, at flere virksomheder forbereder sig og løber ind i det samme spørgsmål: hvem gemmer hvilke data i fremtiden, og hvor gemmes de? Softwareleverandører, der tilbyder en pasport-løsning, begynder i år at etablere datamodeller. Det er det tidspunkt, hvor det giver mening at spørge, hvor dataene hostes, hvem der har adgang til dem, og om der er personoplysninger i passettet, der ikke nødvendigvis hører der til.
Det er også præcis, hvad mange virksomheder løber ind i nu: ikke spørgsmålet om, hvorvidt GDPR ændres, men spørgsmålet om, hvorvidt deres egen indretning af pasportgen utilsigtet indeholder flere personoplysninger end nødvendigt. En teknisk dokumentation med en kvalitetsmedarbejders navn, en testrapport med en signatur, eller en QR-kode, der linker til en kontaktformular med en e-mailadresse: det er alle punkter, hvor de to regler mødes, uden at den ene erstatter den anden.
For hvem det betyder noget
Virkningen varierer afhængig af rolle inden for en virksomhed. For direktøren i en installationsfirma handler det primært om slutansvar: hvem undertegner for pasportets rigtighed, og er denne person bevidst om GDPR-siden af det. For en HR-manager er relevansen normalt indirekte, undtagen når medarbejderdata bruges til at påvise sporbarhed i kæden. For en kontorchef, der administrerer arkiver og systemer, er det ofte mest konkret: denne person afgør i praksis, hvilke felter der udfyldes, og hvilke data der gemmes.
Hvad der forbliver som før
GDPR-forpligtelserne, som allerede fandtes, forbliver uændrede: et behandlingsgrundlag, en opbevaringsperiode, der ikke er længere end nødvendigt, og sikkerhed, der svarer til risikoen. Produktpasset tilføjer ingen nye forpligtelser hertil, men kan være et nyt sted, hvor personoplysninger kommer hen, hvis man ikke er opmærksom på det. hvordan vi håndterer privatliv og data beskriver, hvordan dette praktisk tilrettelægges i passets rammer.
Den, der gerne vil vide, hvordan dette udspiller sig i egen situation, finder i oversigten over emner, der er udvalgt pr. situation baggrunden for både forordningen og de gældende regler, som den overlapper med. For egen situations vedkommende anbefales det at konsultere en jurist ved tvivl eller at henvende sig til Datatilsynet; denne artikel beskriver reglerne, ikke resultatet for en specifik virksomhed.
Vil De først se, om dette gælder for Deres virksomhed? på få spørgsmål se, om dette gælder for Dem giver en første indikation, og svar på spørgsmål, som kommer op igen og igen behandler de spørgsmål, som andre læsere allerede har stillet.