Kort svar: oftast inte, ibland ja
Förordningen för digitala produktpass och GDPR är två separata regler som existerar sida vid sida. Ett produktpass handlar i sin kärna om produkten: material, ursprung, reparationsinformation, överensstämmelse. Det är ingen personuppgift, så GDPR är i princip inte tillämplig där. GDPR blir relevant så snart det finns personuppgifter i eller omkring passet, till exempel ett namn, en kontaktadress för en installatör, eller uppgifter om vem som utfört ett underhålls- eller servicebesök.
För de flesta små och medelstora företag ligger detaljfrågan därför inte i om GDPR är tillämplig på själva produktpasset, utan i vilka lösa uppgifter som tas med när det sammanställs. Värn om denna överblick per produktgrupp hittar du en sammanfattning i kunskapsbas med förklaringar per ämne.
Vad ett produktpass vanligtvis innehåller
Produktpassförordningen föreskriver vilka produktegenskaper som måste vara synliga för nästa aktör i värdekedjan: återvinningsföretag, tillsynsmyndigheter, ibland konsumenten. Det gäller då saker som sammansättning, hållbarhetsegenskaper, reparationsmöjligheter och dokumentation som hör till produkten. Det är information om objektet, inte om en person, och faller därmed utanför GDPR:s tillämpningsområde.
Där personuppgifter ändå kommer in i bilden
I ett företags praktiska verksamhet uppstår det ibland överlappning. Tänk på ett pass för en installation där installatörens kontaktpersons e-postadress ingår, eller en underhållslogg där en montörs namn förekommer. Så snart sådana uppgifter är herlödbara till en person gäller reglerna som redan gällde innan produktpasset fanns: en rättslig grund för behandlingen, en lagringsperiod och klarhet om vem som får se uppgifterna. Produktpassförordningen lägger inte till några nya regler för detta; den löper helt enkelt parallellt med GDPR.
Det är också därför det är rimligt att redan innan du sammanställer ett paspoort bestämma vilka fält som är rent produkttekniska och vilka som rör en person. Företag som själva löser detta stöter oftast på denna fråga när de arbetar med paspoort där en kontaktperson eller en garantihållare nämns i stället för bara företaget.
Hur tillsynsmyndigheterna ser på detta
Tillsynen över produktpasset och tillsynen över GDPR ligger i Sverige hos olika myndigheter. Tillsynsmyndigheten för produktpasset granskar passportets innehål och aktualitet; Integritetsskyddsmyndigheten granskar behandlingen av personuppgifter, oavsett om de finns i ett produktpass eller någon annanstans. Båda tillsynsmyndigheterna kan i teorin granska samma fil, men ur olika perspektiv. För den exakta avgränsningen och för frågor om en konkret situation är den behörig tillsynsmyndigheten eller en jurist rätt kontaktpunkt; denna artikel beskriver endast hur förordningarna förhåller sig till varandra.
Vad detta betyder för valet av plattform
Eftersom ett produktpass hostas i tio år och förblir tillgängligt via en QR-kod är det viktigt att en plattform tydligt presenterar hur data lagras och vem som har tillgång till dem, särskilt om ett namn eller kontaktuppgifter ändå hamnar i ett pass. Hur prodpas.eu hanterar detta beskrivs på sidan om säkerhet och datahantering.
Vid upprättandet av ett paspoort är det praktiskt att först bestämma vilken produktgrupp som är tillämplig och vilka data som hör till den, innan frågan om personuppgifter tas upp. Du får en första uppfattning om detta genom att i några frågor se var ditt företag står. Har du efter att ha läst den här artikeln fortfarande frågor om ett specifikt fall, kan du hitta ett svar på sidan med vanliga frågor möjligt redan ett svar, eller är det nu dags att fråga tillsynsmyndigheten eller din jurist.
Vill du först få en överblick över vad som exakt måste regleras för dina produkter innan du fördjupar dig i samspelet med andra regler? Gör då den kostnadsfria snabbgranskningen eller läs vidare i kunskapsbanken; båda kostar dig inget konto och ingen skyldighet.