Kort svar: som regel ikke, nogle gange dog
Forordningen for digitale produktpaspotter og GDPR'en er to separate regelværker, som eksisterer ved siden af hinanden. Et produktpaspoort handler i sin kerne om produktet: materialer, oprindelse, reparationsoplysninger, overensstemmelse. Det er ikke personoplysninger, så GDPR'en kommer derfor principielt ikke i spil. GDPR'en bliver relevant, så snart der i eller omkring paspoprtet alligevel kommer oplysninger om en fysisk person, for eksempel et navn, en kontaktadresse for en installatør, eller oplysninger om, hvem der har uført en vedligeholdelsesopgave.
For de fleste SMV'er ligger detaljerne derfor ikke i spørgsmålet om, hvorvidt GDPR'en gælder for selve produktpassportet, men i spørgsmålet om, hvilke løse oplysninger der bliver taget med under samlingen heraf. Den, der ønsker at få dette på plads for hver produktgruppe, finder et oversigt i vidensbase med forklaringer pr. emne.
Hvad der normalt står i et produktpaspoort
Produktpasport-forordningen foreskriver, hvilke produktegenskaber der skal være synlige for det næste led i kæden: genanvendelsesfirmaer, tilsynsmyndigheder, nogle gange forbrugeren. Det handler da om ting som sammensætning, bæredygtighedsegenskaber, reparationsmuligheder og dokumentation, der hører til produktet. Det er oplysninger om objektet, ikke om en person, og falder således uden for GDPR'ens anvendelsesområde.
Hvor personoplysninger alligevel kommer i spil
I et firmas praksis opstår der nogle gange overlap. Tænk på et paspoport for en installation, hvor e-mailadressen på kontaktpersonen hos installatøren inkluderes, eller på en vedligeholdelsesjournal, hvori et navn på en montør står. Så snart sådanne oplysninger kan henføres til en person, gælder reglerne, som allerede gjaldt, før der fandtes et produktpaspoort: et grundlag for behandlingen, en opbevaringsperiode, og klarhed om, hvem der må se oplysningerne. Produktpasport-forordningen tilføjer der ingen nye regler for; den løber bare ved siden af GDPR'en.
Dette er også grunden til, at det er fornuftigt at fastlægge på forhånd, når man sammensætter et produktpasport, hvilke felter der udelukkende er rent produkttekniske, og hvilke der vedrører en person. Virksomheder, der selv skal finde ud af dette, støder oftest på dette spørgsmål i produktpasporter, hvor en kontaktperson eller en garantiudbyder er navngivet i stedet for kun virksomheden.
Hvordan tilsynsmyndigheder ser på dette
Tilsynet med produktpasset og tilsynet med GDPR varetages i Danmark af forskellige myndigheder. Tilsynsmyndigheden for produktpasset ser på indholdet og aktualiteten af selve passet; Datatilsynet ser på behandlingen af personoplysninger, uanset om de fremgår af et produktpasport eller andre steder. Begge tilsynsmyndigheder kan i princippet se på samme journalsag, men fra forskellige perspektiver. For den præcise afgrænsning og for spørgsmål om en konkret situation er den relevante tilsynsmyndighed eller en jurist det rette kontaktpunkt; denne artikel beskriver kun, hvordan forordningerne forholdes sig til hinanden.
Hvad dette betyder for valget af en platform
Fordi et produktpas hostes i ti år og forbliver tilgængeligt via en QR-kode, er det vigtig, at en platform gør det klart, hvordan data lagres, og hvem der har adgang til dem, især hvis der alligevel kommer et navn eller kontaktoplysninger ind i et pas. Hvordan prodpas.eu håndterer dette, er beskrevet på siden om sikkerhed og behandling af data.
Når du udarbejder et pas, er det praktisk først at bestemme, hvilken produktgruppe der er relevant, og hvilke data der hører til den, før spørgsmålet om personoplysninger kommer på dagsordenen. Du får et første indtryk heraf ved i et par spørgsmål at se, hvor dit selskab står. Hvis du efter læsning af denne artikel stadig er usikker på et specifikt tilfælde, kan du finde svar på siden med ofte stillede spørgsmål muligvis allerede et svar, eller det er nu tiden til at spørge tilsynsmyndigheden eller din juridiske rådgiver.
Vil du først få et overblik over, hvad der præcist skal reguleres for dine produkter, før du går dybere ind i samspillet med andre regler? Udfør derefter den gratis quick-scan eller læs roligt videre i videnbanken; begge dele kræver ingen konto og ingen forpligtelse.