Stručná odpověď: obvykle ne, někdy ano
Nařízení o digitálních produktových pasech a GDPR jsou dvě oddělená právní předpisy, která existují vedle sebe. Produktový pas se v podstatě týká produktu: materiálů, původu, informací o opravě, shody. Nejde o osobní údaje, takže GDPR se na to v zásadě nevztahuje. GDPR se stává relevantní, jakmile se v pasu nebo kolem něho objeví údaje příslušné fyzické osoby, například jméno, kontaktní adresa instalatéra nebo údaje o tom, kdo provedl údržbu.
Pro většinu malých a středních podniků tedy nejde v detailu o otázku, zda se GDPR vztahuje na samotný produktový pas, ale o to, které samostatné údaje se při jeho přípravě zahrnou. Kdo chce mít tuto záležitost v pořádku pro každou skupinu produktů, najde přehled v vědomostní databáze s vysvětlením na téma.
Co se obvykle v produktovém pasu nachází
Nařízení o produktovém pasu předepisuje, které vlastnosti produktu musí být viditelné pro dalším aktér v řetězci: recyklery, dohledové orgány, někdy spotřebitele. Jde o záležitosti jako složení, vlastnosti trvale udržitelného vývoje, možnosti opravy a dokumentaci náležející k produktu. Jedná se o informace o předmětu, nikoli o osobě, a proto se nevztahují na GDPR.
Kde se přesto objevují osobní údaje
V praxi podnikání se někdy setkáváme s překrýváním. Vezměme si pas pro instalaci, v níž je uvedena e-mailová adresa kontaktní osoby u instalatéra, nebo deník údržby obsahující jméno montéra. Jakmile jsou takové údaje připisovatelné osobě, vztahují se na ně pravidla, která platila již předtím, než existoval produktový pas: právní základ pro zpracování, doba uchovávání a jasnost o tom, kdo má právo údaje vidět. Nařízení o produktovém pasu pro ně nepřidává žádná nová pravidla; běží jednoduše vedle GDPR.
To je také důvod, proč je při přípravě pasu rozumné předem určit, která pole jsou čistě technická a která se týkají osoby. Podniky, které si to ujasní samy, se s touto otázkou setkávají nejčastěji u pasů, v nichž se místo pouze firmy jmenuje kontaktní osoba nebo subjekt záruky.
Jak se k tomu staví dohledové orgány
Dohled nad produktovým pasem a dohled nad GDPR v České republice leží v rukou různých institucí. Dohledový orgán pro produktový pas se soustřeďuje na obsah a aktuálnost samotného pasu; Úřad pro ochranu osobních údajů se soustřeďuje na zpracování osobních údajů, bez ohledu na to, zda jsou v produktovém pasu nebo jinde. Oba dohledové orgány mohou teoreticky zkoumat tutéž složku, ale z jiné perspektivy. Pro přesné vymezení a pro otázky týkající se konkrétní situace je příslušný dohledový orgán nebo právník vhodným kontaktem; tento článek popisuje pouze to, jak se právní předpisy k sobě vztahují.
Co to znamená pro volbu platformy
Protože je produktový pas hostován deset let a zůstane přístupný přes QR kód, je důležité, aby platforma jasně vysvětlila, jak jsou údaje uchovávány a kdo k nim má přístup, zvláště pokud se v pasu přece jen objeví jméno nebo kontaktní údaj. Jak s tím prodpas.eu nakládá, je popsáno na stránce o bezpečnosti a nakládání s údaji.
Při přípravě pasu je praktické nejprve určit, která skupina produktů je použitelná a které údaje k ní patří, dříve než se otázka osobních údajů dostane na řadu. První představu o tom získáte pomocí v několika otázkách vidět, kde vaše podnik stojí. Pokud si po přečtení tohoto článku stále nejste jisti konkrétním případem, možná najdete odpověď na stránce s často kladených otázkách případně už máte odpověď, nebo je nyní čas se zeptat dohledu nebo vašeho právníka.
Chcete si nejdřív udělat představu o tom, co musí být přesně upraveno pro vaše produkty, než se pustíte do zkoumání překrytí s dalšími pravidly? Pak si vezměte bezplatný quick-scan nebo si pokojně přečtěte více v databázi znalostí; obojí vás nestojí žádný účet ani žádný závazek.