Nee, het digitaal productpaspoort voor staal vervangt of wijzigt de AVG niet. De twee regelingen staan los van elkaar en dat verandert dit jaar niet: de AVG blijft gelden voor persoonsgegevens, ongeacht of een product een paspoort krijgt. Wat wél verandert, is dat bedrijven die een paspoort gaan samenstellen voor het eerst goed moeten kijken welke gegevens daarin komen, en of daar persoonsgegevens tussen zitten.
Dat maakt vooral uit voor bedrijven die zelf gegevens verzamelen en doorgeven aan een leverancier, klant of platform: de kantoormanager die dossiers bijhoudt, de directeur die tekent voor een leveranciersverklaring, en iedereen die betrokken is bij het invullen van technische documentatie. Voor de meeste MKB-bedrijven in de staalhandel en metaalverwerking blijft de impact dit jaar beperkt, omdat de eerste gedelegeerde handeling van de ESPR nog niet is gepubliceerd en de verplichtingen dus nog niet vaststaan.
Wat de verordening wel en niet regelt
De ESPR (de Europese verordening voor ecologisch ontwerp van duurzame producten) beschrijft welke productgegevens straks in een paspoort moeten staan: herkomst, samenstelling, verwerking, recyclinginformatie. Die gegevens gaan in de praktijk vooral over het product, niet over personen. De verordening zegt niets over de AVG en heft ook geen AVG-verplichting op. Toezichthouders die met productpaspoorten te maken krijgen, kijken naar de productgegevens; de Autoriteit Persoonsgegevens blijft de instantie die kijkt naar persoonsgegevens, onafhankelijk van welk paspoort daaraan ten grondslag ligt.
De reden dat deze twee toch bij elkaar komen, is praktisch: een paspoort bevat vaak ook namen van contactpersonen bij een aanbieder, een importeur of een fabrikant, en soms gegevens van een keuringsinstantie. Zodra zo'n naam gekoppeld is aan een functie of e-mailadres, is dat een persoonsgegeven, en dan gelden de gewone AVG-regels: een rechtmatige grondslag, een bewaartermijn, en passende beveiliging. Dat gold al vóór het productpaspoort en blijft ongewijzigd.
Wat er dit jaar concreet verandert
Op dit moment verandert er weinig, omdat de verplichting zelf nog niet is ingegaan. Wat wel verandert, is dat meer bedrijven zich voorbereiden en daarbij tegen dezelfde vraag aanlopen: wie bewaart straks welke gegevens, en waar staan die opgeslagen? Softwareleveranciers die een paspoort-oplossing aanbieden, beginnen dit jaar met het inrichten van datamodellen. Dat is het moment waarop het zinvol is om te vragen waar de data wordt gehost, wie er toegang tot heeft, en of er persoonsgegevens in het paspoort terechtkomen die daar niet per se in horen.
Dat is ook precies waar veel bedrijven nu tegenaan lopen: niet de vraag of de AVG verandert, maar de vraag of hun eigen inrichting van het paspoort onbedoeld meer persoonsgegevens bevat dan nodig. Een technisch dossier met de naam van een kwaliteitsmedewerker, een testrapport met een handtekening, of een QR-code die doorlinkt naar een contactformulier met een e-mailadres: dat zijn allemaal punten waar de twee regelingen elkaar raken, zonder dat de ene de andere vervangt.
Voor wie dit meetelt
De impact verschilt per rol binnen een bedrijf. Voor een directeur van een installatiebedrijf is dit vooral een kwestie van eindverantwoordelijkheid: wie tekent voor de juistheid van het paspoort, en is die persoon zich bewust van de AVG-kant daarvan. Voor een HR-manager is de relevantie meestal indirect, behalve wanneer personeelsgegevens gebruikt worden om herleidbaarheid in de keten aan te tonen. Voor een kantoormanager die dossiers en systemen beheert, is dit vaak het meest concreet: die persoon bepaalt in de praktijk welke velden worden ingevuld en welke gegevens worden opgeslagen.
Wat blijft zoals het was
De AVG-verplichtingen die er al waren, blijven onveranderd: een grondslag voor verwerking, een bewaartermijn die niet langer is dan nodig, en beveiliging die past bij het risico. Het productpaspoort voegt daar geen nieuwe verplichting aan toe, maar kan wel een nieuwe plek zijn waar persoonsgegevens terechtkomen als daar niet bewust op gelet wordt. hoe wij omgaan met privacy en gegevens beschrijft hoe dat in de praktijk van het paspoort wordt ingericht.
Wie wil weten hoe dit voor de eigen situatie uitpakt, vindt in het overzicht van onderwerpen die per situatie zijn uitgezocht de achtergrond bij zowel de verordening als de bestaande regels waarmee die samenloopt. Voor de eigen situatie blijft het raadzaam om bij twijfel een jurist te raadplegen of de Autoriteit Persoonsgegevens te benaderen; dit artikel beschrijft de regelingen, niet de uitkomst voor een specifiek bedrijf.
Wilt u eerst zien of dit voor uw bedrijf gaat spelen? in een paar vragen zien of dit voor u speelt geeft een eerste indicatie, en antwoord op vragen die vaker terugkomen behandelt de vragen die andere lezers al hebben gesteld.