Réponse courte : généralement non, parfois oui
Le règlement relatif aux passeports produits numériques et le RGPD sont deux réglementations distinctes qui coexistent. Un passeport produit porte en substance sur le produit : matériaux, origine, informations de réparation, conformité. Ce ne sont pas des données à caractère personnel, de sorte que le RGPD ne s'y applique en principe pas. Le RGPD devient pertinent dès que des données d'une personne physique se retrouvent dans ou autour du passeport, par exemple un nom, une adresse de contact d'un installateur, ou des données sur qui a effectué une intervention de maintenance.
Pour la plupart des PME, le détail ne réside donc pas dans la question de savoir si le RGPD s'applique au passeport produit lui-même, mais dans la question de savoir quelles données distinctes sont intégrées lors de sa constitution. Les entreprises qui souhaitent mettre bon ordre à cela par groupe de produits trouveront un aperçu dans le base de connaissances avec explications par sujet.
Ce qu'un passeport produit contient généralement
Le règlement relatif aux passeports produits prescrit quelles propriétés du produit doivent être visibles pour le maillon suivant de la chaîne : les recycleurs, les autorités de contrôle, parfois le consommateur. Il s'agit alors de questions telles que la composition, les caractéristiques de durabilité, les possibilités de réparation et la documentation qui accompagne le produit. C'est de l'information sur l'objet, non sur une personne, et sort donc du champ d'application du RGPD.
Où les données à caractère personnel entrent en jeu
Dans la pratique d'une entreprise, une chevauchement se produit parfois. Pensez à un passeport pour une installation dans lequel l'adresse électronique de la personne de contact chez l'installateur est mentionnée, ou à un carnet d'entretien dans lequel figure le nom d'un technicien. Dès que ces données sont identifiables comme se rapportant à une personne, les règles qui s'y appliquaient avant qu'il existe un passeport produit s'appliquent : un fondement pour le traitement, une durée de conservation, et clarté sur qui peut consulter les données. Le règlement relatif aux passeports produits n'ajoute pas de nouvelles règles à cet égard ; il fonctionne simplement en parallèle avec le RGPD.
C'est aussi la raison pour laquelle, lors de la constitution d'un passeport, il est judicieux de déterminer à l'avance quels champs sont purement techniques du point de vue du produit et lesquels concernent une personne. Les entreprises qui règlent cette question elles-mêmes rencontrent cette question le plus souvent quand des passeports mentionnent une personne de contact ou un garant au lieu de se limiter à l'entreprise.
Comment les autorités de contrôle envisagent cette question
En Néerlande, le contrôle du passeport produit et le contrôle du RGPD relèvent d'instances différentes. L'autorité de contrôle du passeport produit examine le contenu et l'actualité du passeport lui-même ; l'Autorité néerlandaise de protection des données examine le traitement des données à caractère personnel, que ces données figurent dans un passeport produit ou ailleurs. Les deux autorités de contrôle peuvent en théorie examiner le même dossier, mais sous un angle différent. Pour la délimitation précise et pour des questions sur une situation concrète, l'autorité de contrôle compétente ou un juriste est le point de contact approprié ; cet article décrit seulement comment les réglementations se situent l'une par rapport à l'autre.
Ce que cela signifie pour le choix d'une plateforme
Parce qu'un passeport produit est hébergé pendant dix ans et reste accessible via un code QR, il importe qu'une plateforme indique clairement comment les données sont stockées et qui y a accès, d'autant plus si un nom ou une coordonnée de contact se retrouve néanmoins dans un passeport. Comment prodpas.eu traite cela est décrit à la page sur le sécurité et traitement des données.
Lors de l'établissement d'un passeport, il est judicieux de déterminer d'abord quel groupe de produits s'applique et quelles données y correspondent, avant que la question des données à caractère personnel soit abordée. Vous vous en ferez une première idée en voyant en quelques questions où votre entreprise en est. Si vous avez encore des doutes après la lecture de cet article concernant un cas spécifique, vous trouverez sur la page avec questions fréquemment posées peut-être déjà une réponse, ou c'est le moment de poser la question à l'autorité de surveillance ou à votre juriste.
Voulez-vous d'abord vous faire une idée de ce qui doit être régulé exactement pour vos produits, avant de vous plonger dans l'interaction avec d'autres règles ? Effectuez alors l'analyse rapide gratuite ou lisez tranquillement la suite dans la base de connaissances ; les deux ne vous coûtent aucun compte et aucune obligation.