Pevná lhůta neexistuje, realistický odhad však ano
Nařízení o digitálním produktovém pasu nestanoví lhůtu, v níž byste měli ověřit, zda data v pasu spadají pod GDPR. Toto ověření je samostatný krok, který podniknete – případně se právníkem nebo pracovníkem na ochranu osobních údajů – vedle samotné tvorby pasu. V praxi se doba pohybuje od několika dní u jednoduchého profilu bez identifikovatelných údajů až na několik týdnů, když není zřejmé, která pole obsahují kontaktní osobu, sériové číslo nebo dodací adresu fyzické osoby.
Dobu trvání určuje především ne samotné ověření, ale otázka, která mu předchází: přesně víte, jaká data budou v pasu obsažena, a od koho pochází. Společnosti, které si tuto inventarizaci již pro jiné účely vytvořily, ověření skončí rychleji než společnosti, které si to mapují poprvé.
Co přesně obsahuje ověření GDPR produktového pasu
Hliníkový digitální produktový pas obsahuje v podstatě technické a materiálové údaje: slitinu, původ, způsob zpracování, informace o recyklaci. Samy o sobě to nejsou osobní údaje. Ověření se stává relevantním, jakmile se přidají identifikovatelné údaje fyzické osoby, například jméno kontaktní osoby u malého dodavatele, osoba samostatně výdělečně činná, která se projeví jako výrobce, nebo sériové číslo, které lze spojit se specifickým zaměstnancem, který jej vytvořil.
Ověření se obvykle skládá ze tří částí: kontrola, která pole se ve skutečnosti v pasu vyplní, posouzení, zda obsahují osobní údaje, a zaznamenání právního základu pro zpracování těchto údajů, pokud tomu tak je. Více o tom, co přesně v pasu skončí a jak se s daty zachází, si přečtěte na stránce jak zpracováváme ochranu soukromí a údaje.
Kde se doba trvání v praxi zasekne
Nejčastěji se vracejí tři překážky. Zaprvé: nikdo v podniku přesně neví, jaké údaje softwarový dodavatel nebo strana, která pas sestavuje, vůbec žádá. Bez tohoto přehledu se ověření nemůže začít. Zadruhé: otázka, kdo má nebo musí provést ověření, zůstává interní, protože nebyl stanoven žádný pevný pracovník na ochranu osobních údajů, nebo se manažer kanceláře a IT oddělení navzájem odkazují. Zatřetí: u společností, které pracují s více dodavateli nebo subdodavateli, trvá déle určit u každé strany, zda se předávají osobní údaje, a na jakém právním základě k tomu dochází.
Zpoždění tedy zřídka spočívá v samotném ověření, ale v přípravě na něj. Ověření GDPR, které se aplikuje na neúplný soubor dat, musí být následně znovu provedeno.
Koho do toho prakticky zapojíte
V malém a středním podniku to obvykle není zvláštní role; manažer kanceláře, osoba odpovědná za HR nebo ředitel si na sebe vezmu koordinaci. Pro obsahový posudek je potřeba právní odbornost, interně nebo externě. Na otázky týkající se zpracování údajů zaměstnanců, kteří se na pasu podílejí, hraje roli také zaměstnanecká rada nebo zástupce zaměstnanců, zejména pokud dojde k novým registracím nebo vazbám. Kromě toho je softwarový dodavatel stálým partnerem v rozhovoru: tato strana částečně určuje, která pole se technicky zaznamenávají a kde se data uchovávají.
Přehled všeho, co se na to váže, a v jakém pořadí, najdete v znalostní bázi s rozpracovanými tématy podle situace. Tam je u každého tématu také uvedeno, kde je základ v oficiálním textu, takže si můžete ověřit, odkud přesně povinnost pochází.
Jak získáte odhad pro vaši konkrétní situaci
Protože doba trvání silně závisí na tom, kolik dat máte již v pořádku, má obecná příručka malou hodnotu. Praktickým prvním krokem je zjistit, jaká data vaše společnost nyní již zaznamená o dodavatelích, kontaktních osobách a zaměstnancích, a zda se tato data také dostanou do pasportu. S několika otázkami si můžete udělat představu o tom, kde se vaše společnost nacházíukazuje, kolik příprav je ještě třeba, než bude možné smysluplně zahájit posouzení podle GDPR.
Pokud jde o otázku, zda váš konkrétní pasport obsahuje osobní údaje a jaký základ pro jejich zpracování se uplatňuje, posouzení právníka nebo v případě pochybností Úřadu pro ochranu osobních údajů zůstává vhodným místem kontaktu. Tento článek popisuje proces v obecné rovině a nenahrazuje tuto radu.
Konečně
Doba trvání posouzení podle GDPR pro hliníkový produktový pas není pevné číslo, ale výsledek toho, jak dobře máte svá data v pořádku, než začnete. Chcete-li vědět, jaké kroky pro vaši společnost zbývají, podívejte se na často kladené otázky o produktovém pasu nebo si udělejte bezplatný quick-scan, abyste viděli, kde se nyní nacházíte.