Vahvistettua määräaikaa ei ole, mutta realistinen arvio on olemassa
Digitaalisen tuotepassin asetus ei määrää määräaikaa, jonka kuluessa teille on tarkastettava, kuuluvatko passissa olevat tiedot GDPR:n soveltamisalaan. Tarkastus on erillinen vaihe, jonka ottaatte käyttöön passin kehittämisen rinnalla joko itse tai yhdessä lakimiehen tai tietosuojaviranomaisen kanssa. Käytännössä tämä kestää muutamasta päivästä yksinkertaisella profiililla, josta puuttuvat tunnistettavat tiedot, muutamaan viikkoon, kun epäselvää on, mitkä kentät sisältävät yhteyshenkilön, sarjanumeron tai luonnollisen henkilön toimitusosoitteen.
Läpimenoaikaan eniten vaikuttaa ei niinkään itse tarkastus vaan sitä edeltävä kysymys: tiedättekö tarkalleen, mitkä tiedot tulevat passiin ja mistä ne tulevat. Yritykset, jotka ovat tehneet tämän inventaarion jo muihin tarkoituksiin, suorittavat tarkastuksen nopeammin kuin yritykset, jotka tekevät tämän ensimmäistä kertaa.
Mitä alumiinin tuotepassin GDPR-tarkastus sisältää tarkalleen
Alumiinin tuotepassi sisältää pohjimmiltaan teknisiä ja materiaalitietoja: seosta, alkuperää, käsittelymenetelmää, kierrätystietoja. Nämä eivät sinänsä ole henkilötietoja. Tarkastus tulee merkitykselliseksi, kun niihin lisätään luonnollisen henkilön tunnistettavia tietoja, esimerkiksi pienen toimittajan yhteyshenkilön nimi, itsenäinen ammatinharjoittaja, joka toimii valmistajana, tai sarjanumero, joka voidaan yhdistää tiettyyn työntekijään, joka on sen luonut.
Tarkastus sisältää yleensä kolme osaa: varmistaa, mitkä kentät täytetään tosiasiassa passiin, arvioida, sisältävätkö ne henkilötietoja, ja dokumentoida, millä perusteella näitä tietoja käsitellään, jos näin on. Lisätietoja siitä, mitä tarkalleen tuli passiin ja miten tietoja siinä käsitellään, löydät sivulta miten käsittelemme tietosuojaa ja tietoja.
Mihin läpimenoaika käytännössä juuttuu
Kolme pullonkaulaa tulee esiin useimmin. Ensinnäkin: kukaan yrityksessä ei tiedä tarkalleen, mitä tietoja ohjelmistotoimittaja tai passin kokoava osapuoli kysyy. Ilman tätä yleiskatsausta tarkastus ei voi alkaa. Toiseksi: kysymys siitä, kuka saa tai sen on suoritettava tarkastus, jää sisäisesti, koska nimettyä tietosuojavastaavaa ei ole määrätty tai koska toimistojohtaja ja IT-osasto osoittavat toisilleen. Kolmanneksi: yrityksissä, jotka tekevät yhteistyötä useiden toimittajien tai alihankkijoiden kanssa, kestää kauemmin määrittää jokaisen osapuolen osalta, ovatko henkilötiedot siirtyvät ja millä perusteella.
Viivästys on siis harvoin itse tarkastuksessa, vaan sen valmistelussa. GDPR-tarkastus, joka tehdään epätäydelliselle tietokannalle, on myöhemmin tehtävä uudelleen.
Keitä praktisesti osallistuu
PK-yrityksessä tämä ei yleensä ole erillinen rooli; toimistojohtaja, henkilöstövastaava tai johtaja ottaa koordinoinnin haltuunsa. Sisällölliseen arviointiin tarvitaan oikeudellista asiantuntemusta, sisäisesti tai ulkoisesti. Kysymyksissä, jotka koskevat passiin osallistuvien työntekijöiden tietojen käsittelyä, myös työntekijöiden edustajisto tai henkilöstöneuvottelukunta vaikuttaa, varsinkin kun syntyy uusia rekisteröintejä tai kytkentöjä. Lisäksi ohjelmistotoimittaja on vakio keskustelukumppani: kyseinen osapuoli määrää osittain, mitkä kentät tallennetaan teknisesti ja missä nämä tiedot säilytetään.
Yleiskatsaus siitä, mitä kaikki siihen liittyy ja missä järjestyksessä, löydät kohdasta tietopankki, jossa käsitellään aiheita tilanneittain. Jokaisessa aiheessa on myös viittaus viralliseen tekstiin, jotta voitte tarkistaa, mistä velvoite juuri tulee.
Kuinka saatte arvion omasta tilanteestanne
Koska läpimenoaika riippuu vahvasti siitä, kuinka paljon tietoja olette jo järjestäneet, yleinen ohjaus ei ole paljoakaan arvoinen. Käytännöllinen ensimmäinen vaihe on tarkistaa, mitä tietoja yrityksenne jo keräävät toimittajista, yhteyshenkilöistä ja työntekijöistä, ja tulevatko ne tiedot myös tuotepassiin. Muutamalla kysymyksellä saada käsitys siitä, missä yrityksenne onnäyttää, kuinka paljon valmistelua vielä tarvitaan ennen kuin GDPR-arviointi voidaan järkevästi aloittaa.
Kysymykseen siitä, sisältyykö yrityksesi erityiseen tuotepassiin henkilötietoja ja mikä on siihen liittyvä oikeusperusta, oikeustieteilijän tai tarvittaessa Tietosuojaviranomaisen tekemä arviointi on oikea yhteyspiste. Tämä artikkeli kuvaa prosessia yleisesti ja ei korvaa sitä neuvontaa.
Lopuksi
Alumiinin tuotepassin GDPR-arvioinnin läpimenoaika ei ole kiinteä luku, vaan tulokset siitä, kuinka hyvin tietonne ovat jo järjestettyjä ennen aloitusta. Jos haluat tietää, mitkä vaiheet yrityksellenne vielä ovat avoimia, katsokaa usein kysyttyjä kysymyksiä tuotepassista tai suorita ilmainen pikadiagnosi nähdäksesi, missä nyt olet.