Nie, cyfrowy paszport produktu dla stali nie zastępuje ani nie zmienia RODO. Oba przepisy są od siebie niezależne i w tym roku się to nie zmienia: RODO nadal obowiązuje dane osobowe, niezależnie od tego, czy produkt otrzyma paszport. To, co się zmienia, to fakt, że przedsiębiorstwa przygotowujące paszport muszą po raz pierwszy dokładnie sprawdzić, jakie dane się w nim znalazłyby, i czy wśród nich znajdują się dane osobowe.
Ma to szczególne znaczenie dla przedsiębiorstw, które samodzielnie zbierają dane i przekazują je dostawcy, klientowi lub platformie: menedżera biura, który prowadzi dokumentację, dyrektora, który podpisuje oświadczenie dostawcy, i każdego zaangażowanego w wypełnianie dokumentacji technicznej. Dla większości małych i średnich przedsiębiorstw w handlu stalą i przetwórstwie metalu wpływ w tym roku będzie ograniczony, ponieważ pierwsza delegowana wytyczna ESPR nie została jeszcze opublikowana, a więc obowiązki nie są jeszcze ustalony.
Co rozporządzenie reguluje, a co nie
ESPR (europejskie rozporządzenie w sprawie ekoizajnu produktów zrównoważonych) opisuje, które dane produktów powinny znaleźć się w paszporcie: pochodzenie, skład, przetwarzanie, informacje o recyklingu. W praktyce dane te dotyczą głównie produktu, a nie osób. Rozporządzenie nic nie mówi o RODO i nie nakłada żadnych nowych obowiązków wynikających z RODO. Organy nadzoru zajmujące się paszportami produktów patrzą na dane produktów; Urząd Ochrony Danych Osobowych pozostaje organem, który bada dane osobowe, niezależnie od tego, jaki paszport je poprzedza.
Powodem, dla którego te dwa obszary się jednak spotykają, jest kwestia praktyczna: paszport często zawiera również nazwiska osób kontaktowych u oferenta, importera lub producenta, a czasem dane jednostki notyfikowanej. Gdy tylko takie imię i nazwisko jest połączone z funkcją lub adresem e-mail, stanowi to dane osobowe, a wówczas obowiązują zwykłe reguły RODO: podstawa prawna, okres przechowywania i odpowiednia ochrona. Obowiązywało to już przed paszportem produktu i pozostaje niezmienione.
Co konkretnie zmienia się w tym roku
Na razie zmienia się niewiele, ponieważ sam obowiązek nie weszła jeszcze w życie. To, co się zmienia, to fakt, że więcej przedsiębiorstw przygotowuje się i napotyka takie samo pytanie: kto będzie przechowywać jakie dane i gdzie będą przechowywane? Dostawcy oprogramowania oferujący rozwiązanie paszportowe w tym roku zaczynają konfigurować modele danych. To jest moment, w którym warto zapytać, gdzie dane będą hostowane, kto będzie mieć do nich dostęp i czy paszport będzie zawierać dane osobowe, które tam rzeczywiście nie powinny się znaleźć.
To jest również dokładnie to, na co wiele przedsiębiorstw teraz trafia: nie pytanie, czy RODO się zmienia, ale pytanie, czy ich własna konfiguracja paszportu zawiera nieumyślnie więcej danych osobowych niż to konieczne. Plik techniczny z imieniem i nazwiskiem pracownika ds. jakości, raport z badań z podpisem lub kod QR łączący się z formularzem kontaktowym zawierającym adres e-mail: to wszystkie punkty, w których oba przepisy się stykają, bez zastępowania się nawzajem.
Dla kogo to ma znaczenie
Wpływ różni się w zależności od roli w przedsiębiorstwie. Dla dyrektora firmy montażowej jest to przede wszystkim kwestia odpowiedzialności ostatecznej: kto podpisuje się na prawidłowość paszportu i czy ta osoba jest świadoma strony RODO tego zagadnienia. Dla menedżera HR znaczenie jest zwykle pośrednie, chyba że dane pracowników są wykorzystywane w celu wykazania możliwości śledzenia w łańcuchu. Dla menedżera biura, który zarządza plikami i systemami, jest to często najbardziej konkretne: ta osoba faktycznie określa, które pola są wypełniane i które dane są przechowywane.
Co pozostaje bez zmian
Obowiązki RODO, które już istniały, pozostają bez zmian: podstawa prawna do przetwarzania, okres przechowywania nie dłuższy niż to konieczne, oraz zabezpieczenia odpowiednie do ryzyka. Paszport produktu nie dodaje do tego żadnego nowego obowiązku, ale może być nowym miejscem, gdzie dane osobowe się pojawią, jeśli nie będzie się na to świadomie uważać. jak postępujemy z prywatnością i danymi opisuje, jak to zostanie wdrożone w praktyce paszportu.
Kto chce wiedzieć, jak to się objaśni w jego przypadku, znajdzie w przeglądzie zagadnień opracowanych dla każdej sytuacji tło zarówno rozporządzenia, jak i istniejących przepisów, z którymi się pokrywa. W przypadku własnej sytuacji zaleca się w razie wątpliwości skonsultować się z prawnikiem lub zwrócić się do Urzędu Ochrony Danych Osobowych; artykuł ten opisuje przepisy, nie wynik dla konkretnego przedsiębiorstwa.
Chcesz najpierw sprawdzić, czy to dotyczy Twojej firmy? na kilka pytań sprawdzić, czy cię to dotyczy daje pierwszą wskazówkę, i odpowiedź na pytania, które pojawiają się częściej zajmuje się pytaniami, które inni czytelnicy już zadali.