Ne, digitalni proizvodni potni list za jeklo ne nadomešča ali ne spreminja GDPR. Dva predpisa sta samostojna in to se letos ne spreminja: GDPR še naprej velja za osebne podatke, ne glede na to, ali izdelek dobi potni list. Kar se pa res spreminja, je to, da morajo podjetja, ki bodo sestavljala potni list, prvič dobro pogledati, kateri podatki jih bodo vanj prišli, in ali med njimi obstajajo osebni podatki.
To je posebej pomembno za podjetja, ki sama zbirajo podatke in jih posredujejo dobavitelju, stranki ali platformi: urednik pisarn, ki vodi datoteke, direktor, ki podpisuje izjavo dobavitelja, in vsi, ki so vpleteni v izpolnjevanje tehnične dokumentacije. Za večino MSP v trgovini s jekalom in predelavi kovin je vpliv letos omejen, ker še ni objavljena prva delegirana uredba ESPR in zato obveznosti še niso določene.
Kaj predpis ureja in kaj ne
ESPR (evropska uredba o trajnostnih konstrukcijskih zahtevah za proizvode) opisuje, kateri podatki o izdelku bodo morali biti v potnem listu: izvor, sestava, obdelava, informacije o recikliranju. Ti podatki se v praksi nanašajo predvsem na izdelek, ne na osebe. Predpis ne govori o GDPR in tudi ne uvaja nobene obveznosti po GDPR. Nadzorni organi, ki se ukvarjajo s proizvodnimi potnimi listi, gledajo na podatke o izdelku; Urad za varstvo podatkov ostaja organ, ki gledа na osebne podatke, ne glede na to, kateri potni list je njegova osnova.
Razlog, zakaj se ta dva kljub temu srečata, je praktičen: potni list pogosto vsebuje tudi imena kontaktnih oseb pri ponudniku, uvozniku ali proizvajalcu, včasih pa tudi podatke o notificiranem telesu. Ko je takšno ime povezano s funkcijo ali e-poštnim naslovom, je to osebni podatek in takrat veljajo navadna pravila GDPR: zakonita pravna osnova, rok hrambe in ustrezna varnost. To je veljalo že pred potnim listom in ostaja nespremenjeno.
Kaj se letos konkretno spreminja
Trenutno se malo spreminja, ker sama obveznost še ni začela veljati. Kar se pa res spreminja, je to, da se več podjetij pripravlja in pri tem naleti na isto vprašanje: kdo bo nato hranil katere podatke in kje bodo shranjeni? Dobavitelji programske opreme, ki ponujajo rešitev potnega lista, začenjajo letos s strukturiranjem podatkovnih modelov. To je pravilen trenutek, da se vprašamo, kje so podatki gostiteljski, kdo ima dostop do njih in ali so v potnem listu osebni podatki, ki tam niso nujno potrebni.
To je prav tisto, na kar se trenutno naletavajo mnoga podjetja: ne vprašanje, ali se GDPR spreminja, ampak vprašanje, ali njihova lastna postavitev potnega lista namenoma ali nenamerno vsebuje več osebnih podatkov, kot je potrebno. Tehnični dossier z imenom kvalitetnega sodelavca, testno poročilo s podpisom ali QR-koda, ki se povezuje s kontaktnim obrazcem z e-poštnim naslovom: to so vse točke, kjer se dva predpisa dotikata, ne da bi en drugega nadomestil.
Za koga je to pomembno
Vpliv se razlikuje glede na vlogo v podjetju. Za direktorja podjetja za montažo je to predvsem vprašanje končne odgovornosti: kdo podpisuje pravilnost potnega lista in se ta oseba zaveda strani GDPR. Za direktorja za človeške vire je ustreznost običajno posredna, razen če se podatki o zaposlenih uporabljajo za dokazovanje sledljivosti v verigi. Za urnika pisarn, ki upravlja datoteke in sisteme, je to pogosto najbolj konkretno: ta oseba v praksi odloča, katera polja se izpolnijo in kateri podatki se shranijo.
Kaj ostaja kot prej
Obveznosti GDPR, ki so že obstajale, ostanejo nepromenjene: pravna podlaga za obdelavo, obdobje hrambe, ki ni daljše od potrebnega, in varnost, ki ustreza tveganju. Digitalno produktno potrdilo temu ne dodaja nove obveznosti, lahko pa postane novo mesto, kjer osebni podatki pristanejo, če se temu ne posveči dovolj pozornosti. kako ravnamo s podatki o zasebnosti in podatki opisuje, kako se to v praksi potrdila izvaja.
Kdor želi vedeti, kako se to obrestuje za lastno situacijo, najde v pregled tem, ki so izbrane po situaciji razlago tako za uredbo kot za obstoječa pravila, s katerimi se prepletata. Za lastno situacijo ostaja priporočljivo, da se ob dvomih posvetujete s pravnikom ali se obrnete na Urad za varstvo osebnih podatkov; ta članek opisuje predpise, ne pa izida za posamezno podjetje.
Želite najprej videti, ali se to odvija v vašem podjetju? v nekaj vprašanjih videti, ali vas to zadeva daje prvo indikacijo in odgovore na vprašanja, ki se pogosteje pojavljajo obravnava vprašanja, ki so si jih že zastavili drugi bralci.