Der findes ingen fast frist, men en realistisk vurdering findes
Forordningen om det digitale produktpas foreskriver ingen frist for, inden for hvilken I skal kontrollere, om dataene i passet falder under GDPR. Denne kontrol er et selvstændigt trin, som I, eventuelt sammen med en advokat eller databeskyttelsesansvarlig, udfører ved siden af opbygningen af passet. I praksis strækker dette sig fra nogle få dage for en enkelt profil uden sporbare data til nogle få uger, når det er uklart, hvilke felter der indeholder en kontaktperson, et serienummer eller en leveringsadresse for en fysisk person.
Hvad der især bestemmer gennemløbstiden, er ikke kontrollen i sig selv, men spørgsmålet forud for den: kender I præcis de data, der skal være i passet, og hvor de kommer fra. Virksomheder, som allerede har foretaget denne kortlægning til andre formål, afslutter kontrollen hurtigere end virksomheder, som gør dette for første gang.
Hvad en GDPR-kontrol af et produktpas præcist omfatter
Aluminiumsproduktpasset indeholder i sin essens tekniske og materialedata: legering, oprindelse, forarbejdningsmetode, recyclingsinformation. Disse er i sig selv ikke personoplysninger. Kontrollen bliver relevant, så snart der tilføjes sporbare data fra en fysisk person, for eksempel navne på en kontaktperson hos en lille leverandør, en selvstændig, der optræder som producent, eller et serienummer, der kan knyttes til en specifik medarbejder, som har oprettet det.
Kontrollen består normalt af tre dele: at kontrollere, hvilke felter der faktisk udfyldes i passet, at vurdere, om der er personoplysninger i dem, og at dokumentere, på hvilket grundlag disse data behandles, hvis det er tilfældet. Mere om, hvad der præcist indgår i passet, og hvordan data behandles heri, kan I læse på siden om hvordan vi håndterer privatlivets fred og data.
Hvor gennemløbstiden i praksis opstår problemer
Tre knudepunkter dukker oftest op. For det første: ingen i virksomheden ved præcist, hvilke data softwareleverandøren eller den part, der samler passet, anmoder om overhovedet. Uden dette overblik kan kontrollen ikke begynde. For det andet: spørgsmålet om, hvem der må eller skal foretage kontrollen, bliver uafklaret internt, fordi der ikke er udpeget en fast databeskyttelsesansvarlig, eller fordi kontormanageren og IT-afdelingen peger på hinanden. For det tredje: hos virksomheder, der arbejder med flere leverandører eller underleverandører, tager det længere tid at fastslå for hver part, om der videregives personoplysninger, og på hvilket grundlag det sker.
Forsinkelsen ligger således sjældent i kontrollen selv, men i forberedelsen af den. En GDPR-kontrol, der udføres på et ufuldstændigt datasæt, skal efterfølgende gøres igen.
Hvem I praktisk involverer
Inden for en mindre virksomhed er dette normalt ikke en rolle, der eksisterer særskilt; kontormanageren, HR-ansvarlig eller direktøren påtager sig koordineringen. Til den faglige vurdering kræves juridisk ekspertise, internt eller eksternt. Vedrørende spørgsmål om behandlingen af data fra medarbejdere, der er involveret i passet, spiller arbejdstagerrepræsentationen eller medarbejderrepræsentationen også en rolle, især hvis der opstår nye registreringer eller koblinger. Desuden er softwareleverandøren en fast samtalepartner: denne part afgør blandt andet, hvilke felter der teknisk registreres, og hvor disse data gemmes.
Et overblik over, hvad alt dette medfører, og i hvilken rækkefølge, finder I i videnbanken med udførligt behandlede emner pr. situation. Der står også pr. emne, hvor det finder sted i den officielle tekst, så I kan kontrollere, hvor en forpligtelse præcist kommer fra.
Hvordan I får en vurdering for jeres egen situation
Fordi gennemløbstiden afhænger stærkt af, hvor mange data du allerede har på plads, er en generel retningslinje ikke værd meget. Et praktisk første skridt er at kontrollere, hvilke data dit firma allerede indsamler om leverandører, kontaktpersoner og medarbejdere, og om disse data også kommer ind i passet. Med nogle få spørgsmål få en indikation af, hvor dit firma står, viser hvor meget forberedelse der stadig er nødvendig, før en GDPR-vurdering kan starte meningsfuldt.
Når det gælder spørgsmålet om dit specifikke pas indeholder personoplysninger, og hvilken retsgrundlag der gælder herfor, forbliver vurderingen af en juridisk fagperson eller, i tilfælde af tvivl, Datatilsynet det rette kontaktpunkt. Denne artikel beskriver processen på generelt grundlag og erstatter ikke det advis.
Endelig
Gennemløbstiden for en GDPR-vurdering af aluminiums produktpasset er ikke et fast tal, men resultatet af, hvor godt dine data allerede er på plads, før du starter. Hvis du vil vide, hvilke trin der stadig venter dit firma, kan du kigge på ofte stillede spørgsmål om produktpasset eller foretage den gratis quick-scan for at se, hvor du står i dag.