Een vaste termijn bestaat niet, een realistische inschatting wel
De verordening voor het digitaal productpaspoort schrijft geen termijn voor waarbinnen u moet controleren of de gegevens in het paspoort onder de AVG vallen. Die toets is een eigen stap die u, al dan niet samen met een jurist of functionaris gegevensbescherming, naast de opbouw van het paspoort zet. In de praktijk loopt dit van een paar dagen bij een eenvoudig profiel zonder herleidbare gegevens, tot enkele weken wanneer onduidelijk is welke velden een contactpersoon, een serienummer of een leveringsadres van een natuurlijk persoon bevatten.
Wat de doorlooptijd vooral bepaalt, is niet de toets zelf maar de vraag ervoor: weet u precies welke gegevens er in het paspoort komen te staan, en van wie die afkomstig zijn. Bedrijven die deze inventarisatie al voor andere doeleinden hebben gemaakt, ronden de toets sneller af dan bedrijven die dit voor het eerst in kaart brengen.
Wat de AVG-toets van een productpaspoort precies behelst
Het aluminium productpaspoort bevat in de kern technische en materiaalgegevens: legering, herkomst, verwerkingsmethode, recyclinginformatie. Dat zijn op zichzelf geen persoonsgegevens. De toets wordt relevant zodra er herleidbare gegevens van een natuurlijk persoon bijkomen, bijvoorbeeld een naam van een contactpersoon bij een kleine leverancier, een zzp'er die als fabrikant optreedt, of een serienummer dat te koppelen is aan een specifieke medewerker die het heeft aangemaakt.
De toets bestaat doorgaans uit drie onderdelen: nagaan welke velden daadwerkelijk in het paspoort worden gevuld, beoordelen of daarin persoonsgegevens zitten, en vastleggen op welke grondslag die gegevens verwerkt worden als dat zo is. Meer over wat er precies in het paspoort terechtkomt en hoe gegevens daarin worden behandeld, leest u op de pagina over hoe wij met privacy en gegevens omgaan.
Waar de doorlooptijd in de praktijk op vastloopt
Drie knelpunten komen het vaakst terug. Ten eerste: niemand in het bedrijf weet exact welke gegevens de softwareleverancier of de partij die het paspoort samenstelt, überhaupt opvraagt. Zonder dat overzicht kan de toets niet beginnen. Ten tweede: de vraag wie de toets mag of moet uitvoeren blijft intern liggen, omdat er geen vaste functionaris gegevensbescherming is aangewezen of omdat de kantoormanager en de IT-afdeling naar elkaar verwijzen. Ten derde: bij bedrijven die met meerdere leveranciers of onderaannemers werken, duurt het langer om per partij te bepalen of er persoonsgegevens worden doorgegeven, en op welke basis dat gebeurt.
Het vertragen zit dus zelden in de toets zelf, maar in de voorbereiding ervoor. Een AVG-toets die op een onvolledige dataset wordt losgelaten, moet achteraf alsnog over.
Wie u er praktisch bij betrekt
Binnen een MKB-bedrijf is dit meestal geen rol die apart bestaat; de kantoormanager, de HR-verantwoordelijke of de directeur pakt de coördinatie op. Voor de inhoudelijke beoordeling is juridische expertise nodig, intern of extern. Bij vragen over de verwerking van gegevens van medewerkers die bij het paspoort betrokken zijn, speelt ook de ondernemingsraad of personeelsvertegenwoordiging een rol, zeker als er nieuwe registraties of koppelingen ontstaan. Daarnaast is de softwareleverancier een vaste gesprekspartner: die partij bepaalt mede welke velden technisch worden vastgelegd en waar die gegevens worden opgeslagen.
Een overzicht van wat er allemaal bij komt kijken, en in welke volgorde, vindt u in de kennisbank met uitgewerkte onderwerpen per situatie. Daar staat per onderwerp ook de vindplaats in de officiële tekst, zodat u kunt nagaan waar een verplichting precies vandaan komt.
Hoe u een inschatting krijgt voor uw eigen situatie
Omdat de doorlooptijd sterk afhangt van hoeveel gegevens u al op orde heeft, is een algemene richtlijn weinig waard. Een praktische eerste stap is nagaan welke gegevens uw bedrijf nu al vastlegt over leveranciers, contactpersonen en medewerkers, en of die gegevens ook in het paspoort terechtkomen. Met een paar vragen een indicatie krijgen waar uw bedrijf staat, laat zien hoeveel voorbereiding nog nodig is voordat een AVG-toets zinvol kan starten.
Voor de vraag of uw specifieke paspoort persoonsgegevens bevat en welke grondslag daarbij hoort, blijft de beoordeling door een jurist of, bij twijfel, de Autoriteit Persoonsgegevens het aangewezen aanspreekpunt. Dit artikel beschrijft het proces in algemene zin en vervangt dat advies niet.
Tot slot
De doorlooptijd van een AVG-toets voor het aluminium productpaspoort is geen vast getal, maar het resultaat van hoe goed uw gegevens al op orde zijn voordat u begint. Wilt u weten welke stappen voor uw bedrijf nog open staan, bekijk dan de veelgestelde vragen over het productpaspoort of doe de gratis quick-scan om te zien waar u nu staat.