No, el pasaporte digital de productos para el acero no sustituye ni modifica el RGPD. Las dos regulaciones son independientes entre sí y esto no cambia este año: el RGPD sigue siendo de aplicación para los datos personales, independientemente de si un producto recibe un pasaporte. Lo que sí cambia es que las empresas que vayan a elaborar un pasaporte deben examinar cuidadosamente qué datos incluyen en él y si contienen datos personales.
Esto es especialmente relevante para las empresas que recopilan datos por sí mismas y los transmiten a un proveedor, cliente o plataforma: el administrativo que mantiene los ficheros, el director que firma una declaración de conformidad, y cualquier persona implicada en la cumplimentación de documentación técnica. Para la mayoría de las PYMES en el comercio del acero y la transformación de metales, el impacto este año es limitado, porque el primer acto delegado de la ESPR aún no ha sido publicado y, por lo tanto, las obligaciones aún no están establecidas.
Qué regula y qué no regula la verordación
El ESPR (Reglamento de Diseño Ecológico para Productos Sostenibles) describe qué datos del producto deben constar en un pasaporte: origen, composición, procesamiento, información sobre reciclaje. En la práctica, estos datos se refieren principalmente al producto, no a personas. La verordación no dice nada sobre el RGPD y tampoco impone ninguna obligación de RGPD. Las autoridades de supervisión que se ocupen de pasaportes de productos examinan los datos del producto; la Autoridad de Protección de Datos sigue siendo la entidad que examina los datos personales, independientemente de qué pasaporte sea la base para ello.
La razón por la que estos dos aspectos se solapan en la práctica es que un pasaporte suele contener también nombres de personas de contacto en una empresa, un importador o un fabricante, y a veces datos de un organismo de inspección. Tan pronto como ese nombre esté vinculado a un cargo o una dirección de correo electrónico, constituye un dato personal, y se aplican las normas ordinarias de RGPD: una base legal, un período de retención y protección adecuada. Esto ya era aplicable antes del pasaporte de productos y sigue siendo así.
Qué cambia concretamente este año
De momento, hay pocos cambios, porque la obligación en sí aún no ha entrado en vigor. Lo que sí cambia es que más empresas se preparan y se encuentran con la misma pregunta: ¿quién conservará qué datos y dónde se almacenarán? Los proveedores de software que ofrecen una solución de pasaporte comienzan este año a configurar modelos de datos. Es el momento en el que tiene sentido preguntar dónde se alojan los datos, quién tiene acceso a ellos y si el pasaporte contiene datos personales innecesarios.
Este es exactamente el problema al que muchas empresas se enfrentan ahora: no la cuestión de si el RGPD cambia, sino si su propia configuración del pasaporte contiene inadvertidamente más datos personales de los necesarios. Un fichero técnico con el nombre de un responsable de calidad, un informe de pruebas con una firma, o un código QR que enlaza con un formulario de contacto con una dirección de correo electrónico: estos son todos puntos donde las dos regulaciones se superponen, sin que una sustituya a la otra.
Para quién es relevante esto
El impacto varía según el rol dentro de la empresa. Para un director de una empresa de instalación, se trata principalmente de responsabilidad última: quién firma la exactitud del pasaporte y es consciente del aspecto de RGPD de la misma. Para un responsable de recursos humanos, la relevancia suele ser indirecta, excepto cuando se utilizan datos de personal para demostrar la trazabilidad en la cadena. Para un administrativo que gestiona ficheros y sistemas, esto suele ser más concreto: esa persona determina en la práctica qué campos se rellenan y qué datos se almacenan.
Qué sigue siendo como antes
Las obligaciones de la RGPD que ya existían siguen siendo inalteradas: una base legal para el tratamiento, un plazo de conservación que no sea más largo que el necesario, y una seguridad que se ajuste al riesgo. El pasaporte de producto no añade ninguna obligación nueva, pero puede ser un nuevo lugar donde los datos personales lleguen si no se presta atención consciente a ello. cómo nos relacionamos con la privacidad y los datos describe cómo se organiza esto en la práctica del pasaporte.
Quien desee saber cómo se refleja esto en su propia situación, encontrará en el resumen de temas que se han seleccionado por situación los antecedentes tanto del reglamento como de las normas existentes con las que se superpone. Para la propia situación, sigue siendo recomendable que, en caso de duda, consulte a un abogado o se dirija a la Autoridad de Protección de Datos; este artículo describe las normas, no el resultado para una empresa específica.
¿Desea comprobar primero si esto aplica a su empresa? en unas pocas preguntas ver si esto le afecta proporciona una primera indicación, y respuesta a preguntas que se repiten con frecuencia aborda las preguntas que ya han formulado otros lectores.