Lyhyt vastaus: yleensä ei, joskus kyllä
Digitaalisten tuotepassien asetus ja GDPR ovat kaksi erillistä sääntelyä, jotka ovat rinnakkain. Tuotepassi koskee ytimessään tuotetta: materiaaleja, alkuperää, korjaustietoja, vaatimuksenmukaisuutta. Nämä eivät ole henkilötietoja, joten GDPR ei perusteellisesti sovellu niihin. GDPR tulee merkitykselliseksi vasta siinä vaiheessa, kun passiissa tai sen ympärillä tulee luonnollisen henkilön tietoja, esimerkiksi nimi, asentajan yhteystiedot tai tiedot henkilöstä, joka on suorittanut huollon.
Suurimmalla osalla pk-yrityksistä kysymys ei siis ole siitä, sovelletaanko GDPR:ää tuotepassiin itseensä, vaan siitä, mitkä erilliset tiedot otetaan mukaan sen laadintavaiheessa. Joilla on kiinnostus saada tämä järjestykseen tuoteluokittain, löytävät yleiskatsauksen osoitteesta tietokanta, jossa on selityksiä aiheittain.
Mitä tuotepassissa yleensä on
Tuotepassi-asetus määrittelee, mitkä tuoteominaisuudet on oltava näkyvillä ketjun seuraavalle osapuolelle: kierrättäjille, valvontaviranomaisille, joskus kuluttajalle. Kyse on asioista kuten koostumus, kestävyyskriteerit, korjausmahdollisuudet ja tuotteeseen liittyvä dokumentaatio. Se on tietoa objektista, ei henkilöstä, ja jää näin ollen GDPR:n soveltamisalan ulkopuolelle.
Kun henkilötiedot kuitenkin tulevat esille
Käytännössä yrityksen toiminnassa ilmenee joskus päällekkäisyyttä. Ajattele passia asennuksesta, johon sisältyy asentajan yhteyshenkilön sähköpostiosoite, tai huoltokirjaa, johon on merkitty montörin nimi. Heti kun nämä tiedot ovat jäljitettävissä henkilölle, niihin sovelletaan säännöt, jotka olivat voimassa ennen tuotepassia: oikeusperuste käsittelylle, säilytysaika ja selkeys siitä, keillä on oikeus nähdä tiedot. Tuotepassi-asetus ei lisää näihin uusia sääntöjä; se vain on rinnan GDPR:n kanssa.
Tämä on myös syy siihen, että passin laadinnassa on järkevää etukäteen päättää, mitkä kentät ovat puhtaasti tuotteisiin liittyviä ja mitkä koskettavat henkilöä. Yritykset, jotka ratkaisevat tämän itsenäisesti, törmäävät tähän kysymykseen useimmiten passeissa, joissa nimetään yhteyshenkilö tai takuunhaltija yrityksen sijaan.
Miten valvontaviranomaiset katsovat tätä
Tuotepassin valvonta ja GDPR:n valvonta ovat Suomessa eri viranomaisten tehtävissä. Tuotepassin valvontaviranomainen katsoo passin sisältöä ja ajantasaisuutta; Suomen tietosuojaviranomainen katsoo henkilötietojen käsittelyä huolimatta siitä, ovatko ne tuotepassissa vai muualla. Molemmat valvontaviranomaiset voivat teoriassa katsoa samaa asiakirjaa, mutta eri näkökulmasta. Tarkan rajauksen ja konkreettisen tilanteen kysymyksiin valtuutettu valvontaviranomainen tai lakimies on oikea kontakti; tämä artikkeli kuvaa vain sitä, miten säännökset suhteutuvat toisiinsa.
Mitä tämä tarkoittaa alustan valinnalle
Koska tuotepassia isännöidään kymmenen vuotta ja se pysyy saavutettavissa QR-koodilla, on tärkeää, että alusta tekee selväksi, miten tietoja säilytetään ja keillä on niihin pääsy, varsinkin jos passiissa on silti nimi tai yhteystiedot. Se, miten prodpas.eu käsittelee tätä, on kuvattu sivulla tietoturva ja tietojen käsittely.
Passin laadinnassa on käytännöllistä määrittää ensin, mikä tuoteluokka koskee ja mitkä tiedot siihen liittyvät, ennen kuin henkilötietojen kysymys tulee esille. Ensimmäisen käsityksen siitä saat näkemällä muutamassa kysymyksessä, missä yrityksesi on. Jos sinulla on epäilyksiä tämän artikkelin lukemisen jälkeen tietystä tapauksesta, löydät vastauksen mahdollisesti sivulta tai on aika kysyä sääntelyviranomaiselta tai lakimieheltäsi. usein kysytyissä kysymyksissä tai tämä on aika kysyä asiaa sääntelyviranomaiselta tai lakimieheltäsi.
Haluatko ensin saada kuvan siitä, mitä täsmälleen on säädettävä tuotteillesi, ennen kuin tutustut muiden säännösten yhteisvaikutukseen? Tee sitten ilmainen pikakysely tai lue rauhassa eteenpäin tietokannasta; molemmat ovat sinulle ilmaisia eivätkä vaadi tiliä tai velvoitteita.