Non, le passeport numérique des produits pour l'acier ne remplace ni ne modifie le RGPD. Les deux réglementations sont indépendantes l'une de l'autre et cela ne changera pas cette année : le RGPD continue à s'appliquer aux données à caractère personnel, que le produit reçoive ou non un passeport. Ce qui change en revanche, c'est que les entreprises qui vont constituer un passeport doivent d'abord bien examiner quelles données y seront incluses et si des données à caractère personnel figurent parmi celles-ci.
Cela a surtout des conséquences pour les entreprises qui collectent elles-mêmes des données et les transmettent à un fournisseur, un client ou une plateforme : le responsable administratif qui tient les dossiers, le directeur qui signe une déclaration de conformité du fournisseur, et toute personne impliquée dans le remplissage de la documentation technique. Pour la plupart des PME du secteur du négoce d'acier et de la transformation des métaux, l'impact reste limité cette année, car le premier acte délégué du ESPR n'a pas encore été publié et les obligations ne sont donc pas encore établies.
Ce que la réglementation règle et ne règle pas
Le ESPR (le règlement européen sur la conception écologique des produits durables) décrit quelles données de produit doivent figurer dans un passeport : provenance, composition, traitement, informations de recyclage. Ces données portent surtout sur le produit dans la pratique, et non sur des personnes. La réglementation ne dit rien sur le RGPD et ne crée pas non plus d'obligation en vertu du RGPD. Les autorités de surveillance qui s'occupent des passeports de produit examinent les données de produit ; l'autorité pour la protection des données reste l'organisme qui examine les données à caractère personnel, indépendamment du passeport qui peut les sous-tendre.
La raison pour laquelle ces deux réglementations se rencontrent malgré tout est d'ordre pratique : un passeport contient souvent aussi des noms de personnes de contact chez un fournisseur, un importateur ou un fabricant, et parfois des données d'un organisme d'évaluation de la conformité. Dès qu'un tel nom est associé à une fonction ou à une adresse e-mail, il s'agit d'une donnée à caractère personnel, et les règles ordinaires du RGPD s'appliquent : une base juridique licite, une durée de conservation et une protection appropriée. Cela s'appliquait déjà avant le passeport de produit et cela reste inchangé.
Ce qui change concrètement cette année
Pour l'instant, peu de choses changent, car l'obligation elle-même n'est pas encore en vigueur. Ce qui change en revanche, c'est que davantage d'entreprises se préparent et se heurtent à la même question : qui conservera à l'avenir quelles données et où seront-elles stockées? Les fournisseurs de logiciels qui proposent une solution de passeport commencent cette année à mettre en place des modèles de données. C'est le moment où il est utile de demander où les données sont hébergées, qui y a accès et si des données à caractère personnel figurent dans le passeport sans que cela soit nécessaire.
C'est précisément le problème auquel se heurtent actuellement de nombreuses entreprises : non pas la question de savoir si le RGPD change, mais si leur propre organisation du passeport contient involontairement plus de données à caractère personnel que nécessaire. Un dossier technique avec le nom d'un agent qualité, un rapport d'essai avec une signature, ou un code QR qui renvoie à un formulaire de contact avec une adresse e-mail : ce sont autant de points où les deux réglementations se rencontrent, sans que l'une remplace l'autre.
Pour qui cela a des conséquences
L'impact varie selon le rôle au sein d'une entreprise. Pour un directeur d'une entreprise d'installation, c'est surtout une question de responsabilité ultime : qui signe pour l'exactitude du passeport, et cette personne est-elle consciente de l'aspect RGPD. Pour un responsable des ressources humaines, la pertinence est généralement indirecte, sauf si des données relatives au personnel sont utilisées pour démontrer la traçabilité dans la chaîne. Pour un responsable administratif qui gère les dossiers et les systèmes, c'est souvent plus concret : cette personne détermine en pratique quels champs seront remplis et quelles données seront stockées.
Ce qui reste inchangé
Les obligations en vertu du RGPD qui existaient déjà restent inchangées : un fondement pour le traitement, une période de conservation pas plus longue que nécessaire, et une sécurité adaptée au risque. Le passeport produit n'ajoute aucune nouvelle obligation, mais peut être un nouvel endroit où les données personnelles arrivent si l'on n'y prête pas attention. comment nous gérons la confidentialité et les données décrit comment cela est mis en place dans la pratique du passeport.
Celui qui souhaite savoir comment cela se traduit pour sa propre situation trouvera dans l'aperçu des sujets qui ont été sélectionnés selon la situation les éléments contextuels relatifs à la fois au règlement et aux règles existantes avec lesquelles il s'articule. Pour sa propre situation, il demeure recommandé de consulter un juriste ou de contacter l'Autorité de protection des données en cas de doute ; cet article décrit les dispositions, non pas le résultat pour une entreprise spécifique.
Voulez-vous d'abord vérifier si cela s'applique à votre entreprise ? en quelques questions, déterminer si cela vous concerne donne une première indication, et réponses aux questions qui reviennent fréquemment traite les questions que d'autres lecteurs ont déjà posées.