No, il passaporto digitale del prodotto per l'acciaio non sostituisce né modifica il GDPR. Le due normative sono indipendenti l'una dall'altra e questo non cambia quest'anno: il GDPR continua ad applicarsi ai dati personali, indipendentemente dal fatto che un prodotto riceva un passaporto. Ciò che cambia invece è che le imprese che inizieranno a compilare un passaporto devono per la prima volta esaminare attentamente quali dati vi vengono inclusi e se tra questi vi siano dati personali.
Questo è particolarmente importante per le imprese che raccolgono dati e li trasmettono a un fornitore, un cliente o una piattaforma: l'impiegato di segreteria che gestisce fascicoli, il direttore che firma una dichiarazione del fornitore e chiunque sia coinvolto nella compilazione della documentazione tecnica. Per la maggior parte delle PMI nel settore del commercio dell'acciaio e della lavorazione del metallo, l'impatto quest'anno è limitato, perché il primo atto delegato dell'ESPR non è stato ancora pubblicato e gli obblighi non sono ancora definiti.
Cosa regola e cosa no la normativa
L'ESPR (il regolamento europeo sulla progettazione ecocompatibile dei prodotti sostenibili) descrive quali dati del prodotto devono comparire in un passaporto: origine, composizione, lavorazione, informazioni sul riciclaggio. Questi dati nella pratica riguardano principalmente il prodotto, non le persone. La normativa non dice nulla sul GDPR e non introduce nemmeno alcun obbligo GDPR. Le autorità di vigilanza che si occupano di passaporti dei prodotti esaminano i dati del prodotto; l'Autorità per la protezione dei dati personali rimane l'ente competente per i dati personali, indipendentemente da quale passaporto ne sia alla base.
Il motivo per cui questi due ambiti si incontrano è pratico: un passaporto contiene spesso anche i nomi dei referenti presso un fornitore, un importatore o un fabbricante, e talvolta i dati di un organismo di valutazione della conformità. Non appena un nome è associato a una funzione o a un indirizzo e-mail, diventa un dato personale e si applicano le normali regole GDPR: una base giuridica, un periodo di conservazione e misure di sicurezza appropriate. Ciò valeva già prima del passaporto del prodotto e rimane invariato.
Cosa cambia concretamente quest'anno
Al momento cambia poco, perché l'obbligo stesso non è ancora entrato in vigore. Ciò che cambia invece è che più imprese si stanno preparando e si trovano di fronte alla stessa domanda: chi conserverà quali dati e dove saranno archiviati? I fornitori di software che offrono una soluzione di passaporto inizieranno quest'anno a sviluppare modelli di dati. Questo è il momento opportuno per chiedere dove sono ospitati i dati, chi vi ha accesso e se il passaporto contiene dati personali che non vi dovrebbero essere per forza.
Questo è esattamente il punto dove molte imprese incontrano difficoltà: non la questione se il GDPR cambi, ma la questione se la loro stessa strutturazione del passaporto contiene involontariamente più dati personali del necessario. Un fascicolo tecnico con il nome di un responsabile della qualità, una relazione di prova con una firma o un codice QR che rimanda a un modulo di contatto con un indirizzo e-mail: questi sono tutti punti in cui le due normative si incontrano, senza che l'una sostituisca l'altra.
Per chi è rilevante
L'impatto varia a seconda del ruolo ricoperto all'interno di un'impresa. Per un direttore di un'impresa di installazione è principalmente una questione di responsabilità finale: chi sottoscrive l'esattezza del passaporto ed è consapevole dell'aspetto GDPR. Per un responsabile HR la rilevanza è di solito indiretta, salvo quando i dati del personale vengono utilizzati per dimostrare la tracciabilità nella catena. Per un impiegato di segreteria che gestisce fascicoli e sistemi, questo è spesso più concreto: questa persona determina nella pratica quali campi vengono compilati e quali dati vengono archiviati.
Ciò che rimane come era
Gli obblighi del GDPR che già esistevano rimangono invariati: una base giuridica per il trattamento, un periodo di conservazione non più lungo del necessario e misure di sicurezza appropriate al rischio. Il passaporto del prodotto non aggiunge alcun nuovo obbligo, ma può essere un nuovo luogo dove i dati personali arrivano se non si presta attenzione consapevolmente. come gestiamo la privacy e i dati descrive come ciò viene organizzato nella pratica del passaporto.
Chi vuole sapere come si applica alla propria situazione trova in la panoramica degli argomenti esaminati per ogni situazione le basi sia del regolamento che delle norme esistenti con cui si interseca. Per la propria situazione rimane consigliabile consultare un legale in caso di dubbio o contattare l'Autorità per la protezione dei dati; questo articolo descrive le normative, non l'esito per un'azienda specifica.
Volete prima verificare se questo riguarda la vostra azienda? in poche domande vedere se questo vi riguarda fornisce una prima indicazione, e risposta alle domande che tornano più spesso affronta le domande che altri lettori hanno già posto.