Nej, den digitala produktdokumentationen för stål ersätter eller ändrar inte GDPR. De två regelverken är oberoende av varandra och det förändras inte under det här året: GDPR gäller fortfarande för personuppgifter, oavsett om en produkt får en dokumentation. Vad som däremot förändras är att företag som ska sammanställa en dokumentation för första gången måste noggrant granska vilka data som kommer att ingå i den, och om det finns personuppgifter bland dem.
Det är särskilt viktigt för företag som själva samlar in data och lämnar vidare dem till en leverantör, kund eller plattform: kontorschefen som upprätthåller arkiv, direktören som undertecknar en leverantörsdeklaration, och alla som är inblandade i ifyllningen av teknisk dokumentation. För de flesta små och medelstora företag inom stålhandeln och metallbearbetningen är påverkan begränsad under det här året, eftersom den första delegerade handlingen från ESPR ännu inte har publicerats och förpliktelserna därför ännu inte är fastställda.
Vad som förordningen reglerar och vad som den inte reglerar
ESPR (Europas förordning om ekologisk design av hållbara produkter) beskriver vilka produktdata som ska ingå i en dokumentation: ursprung, sammansättning, bearbetning, återvinningsinformation. Dessa data behandlar i praktiken främst produkten, inte personer. Förordningen säger inget om GDPR och upphäver inte heller någon GDPR-förpliktelse. Tillsynsmyndigheter som hanterar produktdokumentationer tittar på produktdata; Datainspektionen fortsätter att vara den myndighet som granskar personuppgifter, oberoende av vilken dokumentation som ligger till grund för det.
Anledningen till att dessa två faktiskt möts är praktisk: en dokumentation innehåller ofta även namn på kontaktpersoner hos en leverantör, en importör eller en tillverkare, och ibland data om en notifierad enhet. Så snart ett sådant namn är kopplat till en funktion eller e-postadress är det en personuppgift, och då gäller de vanliga GDPR-reglerna: en rättslig grund, en lagringsperiod och lämplig säkerhet. Det gällde redan före produktdokumentationen och förblir oförändrat.
Vad som konkret förändras under det här året
Just nu förändras inte mycket, eftersom själva förpliktelsen ännu inte har trätt i kraft. Vad som däremot förändras är att fler företag förbereder sig och stöter på samma fråga: vem lagrar vilka data senare, och var lagras de? Programvaruföretag som erbjuder en dokumentationslösning börjar under det här året att etablera datamodeller. Det är det tillfälle då det är meningsfullt att fråga var data är värd, vem som har åtkomst till den, och om det finns personuppgifter i dokumentationen som inte nödvändigtvis behöver vara där.
Det är också exakt vad många företag står inför nu: inte frågan om GDPR förändras, utan frågan om deras egen utformning av dokumentationen oavsiktligt innehåller fler personuppgifter än nödvändigt. En teknisk dokumentation med namn på en kvalitetspecialist, en testrapport med en underskrift, eller en QR-kod som länkar till ett kontaktformulär med en e-postadress: dessa är alla punkter där de två regelverken möts, utan att det ena ersätter det andra.
För vem detta har betydelse
Påverkan skiljer sig åt beroende på roll inom ett företag. För en direktör på ett installationsföretag är detta främst en fråga om slutliga ansvar: vem undertecknar för riktigheten i dokumentationen, och är denna person medveten om GDPR-aspekten. För en HR-chef är relevansen vanligtvis indirekt, förutom när personaluppgifter används för att visa spårbarhet i kedjan. För en kontorschef som hanterar arkiv och system är detta ofta mest konkret: denna person bestämmer i praktiken vilka fält som fylls i och vilka data som lagras.
Vad som förblir som det var
De GDPR-skyldigheter som redan fanns kvarstår oförändrade: en rättslig grund för behandling, en lagringsperiod som inte är längre än nödvändig, och säkerhet som motsvarar risken. Produktpasset lägger inte till några nya skyldigheter, men kan bli en ny plats där personuppgifter hamnar om man inte är uppmärksam på detta. hur vi hanterar sekretess och data beskriver hur det genomförs i praktiken för passet.
Den som vill veta hur detta fungerar i sin egen situation hittar i översikten över ämnen som har sorterats per situation bakgrunden till både förordningen och de befintliga regler som den samverkar med. För den egna situationen rekommenderas det att rådfråga en jurist vid osäkerhet eller kontakta Datainspektionen; denna artikel beskriver reglerna, inte resultatet för ett specifikt företag.
Vill du först se om detta är relevant för ditt företag? i ett par frågor se om detta är relevant för dig ger en första indikation, och svar på frågor som kommer upp oftare behandlar de frågor som andra läsare redan har ställt.