Il n'existe pas de délai fixe, mais une estimation réaliste, si
Le règlement relatif au passeport produit numérique ne fixe aucun délai dans lequel vous devez vérifier si les données du passeport relèvent du RGPD. Ce contrôle est une étape distincte que vous entreprendrez, avec ou sans l'aide d'un juriste ou d'un délégué à la protection des données, parallèlement à l'élaboration du passeport. En pratique, cela varie de quelques jours pour un profil simple sans données identifiantes, à quelques semaines lorsqu'il n'est pas clair quels champs contiennent un contact, un numéro de série ou l'adresse de livraison d'une personne physique.
Ce qui détermine surtout la durée, ce n'est pas le contrôle lui-même mais la question qui le précède : savez-vous exactement quelles données figureront dans le passeport et d'où elles proviennent. Les entreprises qui ont déjà établi cet inventaire à d'autres fins terminent le contrôle plus rapidement que celles qui le font pour la première fois.
Ce que comprend précisément le contrôle RGPD d'un passeport produit
Le passeport produit aluminium contient essentiellement des données techniques et matérielles : alliage, origine, méthode de transformation, informations de recyclage. Ce ne sont pas en soi des données personnelles. Le contrôle devient pertinent dès lors que des données identifiantes d'une personne physique s'ajoutent, par exemple le nom d'une personne de contact chez un petit fournisseur, un travailleur indépendant agissant en tant que fabricant, ou un numéro de série pouvant être relié à un collaborateur spécifique qui l'a créé.
Le contrôle comprend généralement trois volets : vérifier quels champs sont effectivement remplis dans le passeport, évaluer s'il y figure des données personnelles et établir sur quelle base légale ces données sont traitées le cas échéant. Pour en savoir plus sur ce qui figure exactement dans le passeport et comment les données y sont traitées, consultez la page sur comment nous traitons la confidentialité et les données.
Où la durée se heurte à des obstacles en pratique
Trois goulots d'étranglement reviennent le plus souvent. D'abord : personne dans l'entreprise ne sait exactement quelles données le fournisseur de logiciels ou la partie qui constitue le passeport demande réellement. Sans ce panorama, le contrôle ne peut pas commencer. Deuxièmement : la question de savoir qui peut ou doit mener le contrôle reste en interne, car aucun délégué à la protection des données n'est formellement désigné ou parce que le gestionnaire administratif et le service informatique se renvoient la balle. Troisièmement : dans les entreprises qui travaillent avec plusieurs fournisseurs ou sous-traitants, il faut plus de temps pour déterminer au cas par cas si des données personnelles sont transmises et sur quelle base.
Le retard réside donc rarement dans le contrôle lui-même, mais dans sa préparation. Un contrôle RGPD appliqué à un ensemble de données incomplet doit être refait ultérieurement.
Qui vous associer concrètement
Dans une PME, ce n'est généralement pas un rôle distinct ; le gestionnaire administratif, le responsable RH ou le directeur prend en charge la coordination. Pour l'évaluation substantielle, une expertise juridique est nécessaire, interne ou externe. Pour les questions concernant le traitement des données des collaborateurs impliqués dans le passeport, le comité d'entreprise ou le représentant du personnel jouent également un rôle, en particulier si de nouveaux enregistrements ou couplages apparaissent. En outre, le fournisseur de logiciels est un interlocuteur permanent : cette partie détermine également quels champs sont techniquement enregistrés et où ces données sont stockées.
Un aperçu de tout ce que cela implique et de l'ordre dans lequel, vous le trouverez dans la base de connaissances avec des sujets développés selon la situation. Pour chaque sujet, vous y trouverez également la référence dans le texte officiel, afin que vous puissiez vérifier d'où provient exactement une obligation.
Comment obtenir une estimation pour votre propre situation
Parce que le délai dépend fortement du nombre de données que vous avez déjà en ordre, une directive générale a peu de valeur. Une première étape pratique est de vérifier quelles données votre entreprise enregistre actuellement sur les fournisseurs, les personnes de contact et les collaborateurs, et si ces données sont également incluses dans le passeport. Avec quelques questions une indication du stade auquel se trouve votre entreprise, montre combien de préparation est encore nécessaire avant qu'un audit RGPD puisse utilement commencer.
Pour la question de savoir si votre passeport spécifique contient des données personnelles et quelle base juridique s'y applique, l'évaluation par un juriste ou, en cas de doute, l'Autorité de protection des données reste le point de contact approprié. Cet article décrit le processus en termes généraux et ne remplace pas cet avis.
Enfin
La durée d'un audit RGPD pour le passeport produit aluminium n'est pas un chiffre fixe, mais le résultat de la qualité des données que vous avez déjà en ordre avant de commencer. Si vous voulez savoir quelles étapes restent ouvertes pour votre entreprise, consultez les questions fréquemment posées sur le passeport produit ou effectuez le scan rapide gratuit pour voir où vous en êtes.