Ustalony termin nie istnieje, realistyczna ocena istnieje
Rozporządzenie w sprawie cyfrowego paszportu produktu nie przewiduje terminu, w którym musi Pani/Pan sprawdzić, czy dane w paszporcie podlegają RODO. Ta weryfikacja to odrębny krok, który Pani/Pan podejmuje, ewentualnie wraz z prawnikiem lub inspektorem ochrony danych, obok tworzenia paszportu. W praktyce trwa to od kilku dni w przypadku prostego profilu bez danych umożliwiających identyfikację, do kilku tygodni, gdy niejasne jest, które pola zawierają dane kontaktowe, numer seryjny lub adres dostawy osoby fizycznej.
To, co przede wszystkim wpływa na czas realizacji, to nie sama weryfikacja, ale pytanie poprzedzające: czy Pani/Pan dokładnie wie, jakie dane znajdą się w paszporcie i skąd pochodzą. Przedsiębiorstwa, które tę inwentaryzację przeprowadziły już w innych celach, kończą weryfikację szybciej niż przedsiębiorstwa, które robią to po raz pierwszy.
Na czym polega weryfikacja RODO produktowego paszportu
Aluminiowy produktowy paszport zawiera w istocie dane techniczne i materiałowe: stop, pochodzenie, metodę przetwarzania, informacje o recyklingu. Samo w sobie nie są to dane osobowe. Weryfikacja staje się istotna, gdy pojawiają się dane umożliwiające identyfikację osoby fizycznej, na przykład nazwa kontaktowa pracownika małego dostawcy, osoba pracująca na własny rachunek, która występuje jako producent, lub numer seryjny, który można powiązać z konkretnym pracownikiem, który go utworzył.
Weryfikacja zwykle składa się z trzech części: sprawdzenie, które pola będą rzeczywiście wypełniane w paszporcie, ocena, czy zawierają dane osobowe, i określenie, na jakiej podstawie te dane są przetwarzane, jeśli tak jest. Więcej na temat tego, co dokładnie trafia do paszportu i jak dane są w nim traktowane, przeczytać można na stronie dotyczącej jak postępujemy z prywatnością i danymi.
Gdzie w praktyce napotykane są przeszkody
Trzy wąskie gardła występują najczęściej. Po pierwsze: nikt w przedsiębiorstwie nie wie dokładnie, jakie dane dostawca oprogramowania lub strona opracowująca paszport w ogóle żąda. Bez tego przeglądu weryfikacja nie może się rozpocząć. Po drugie: pytanie o to, kto może lub musi przeprowadzić weryfikację, pozostaje wewnątrz przedsiębiorstwa, ponieważ nie wyznaczono stałego inspektora ochrony danych lub menadżer biura i dział IT kierują się na siebie nawzajem. Po trzecie: w przedsiębiorstwach pracujących z wieloma dostawcami lub podwykonawcami trwa dłużej określenie dla każdej strony, czy dane osobowe są przekazywane i na jakiej podstawie.
Opóźnienia rzadko tkwią w samej weryfikacji, ale w przygotowaniu do niej. Weryfikacja RODO przeprowadzona na niepełnym zbiorze danych musi być powtórzona.
Kogo praktycznie zaangażować
W przedsiębiorstwie MŚP zwykle nie jest to rola, która istnieje oddzielnie; menadżer biura, osoba odpowiedzialna za HR lub dyrektor podejmują koordynację. Do oceny merytorycznej potrzebna jest wiedza prawna, wewnętrzna lub zewnętrzna. W przypadku pytań dotyczących przetwarzania danych pracowników zaangażowanych w paszport rolę pełni również rada pracownicza lub przedstawicielstwo pracowników, zwłaszcza jeśli powstają nowe rejestracje lub powiązania. Ponadto dostawca oprogramowania jest stałym partnerem rozmów: ta strona w dużej mierze określa, które pola są technicznie rejestrowane i gdzie te dane są przechowywane.
Przegląd wszystkiego, co to obejmuje, i w jakiej kolejności, znajduje się w bazie wiedzy z opracowanymi tematami dla każdej sytuacji. Tam dla każdego tematu podana jest również lokalizacja w tekście urzędowym, dzięki czemu można sprawdzić, skąd dokładnie pochodzi obowiązek.
Jak uzyskać oszacowanie dla Pani/Pana własnej sytuacji
Ponieważ czas realizacji w dużej mierze zależy od tego, ile danych masz już uporządkowanych, ogólna wytyczna ma małą wartość. Praktycznym pierwszym krokiem jest sprawdzenie, jakie dane Twoja firma już teraz zbiera na temat dostawców, osób kontaktowych i pracowników, oraz czy dane te trafią również do produktu. Z kilkoma pytaniami uzyskać wskazówkę, na jakim etapie znajduje się Twoja firma, pokazuje, ile przygotowań jest jeszcze potrzebne, zanim test RODO będzie miał sens.
W kwestii tego, czy Twój konkretny produkt zawiera dane osobowe i jakie podstawy prawne się do niego stosują, ocena dokonana przez prawnika lub, w razie wątpliwości, przez Urząd Ochrony Danych Osobowych pozostaje właściwym punktem kontaktowym. Artykuł ten opisuje proces w ujęciu ogólnym i nie zastępuje tej porady.
Wreszcie
Czas realizacji testu RODO dla produktu aluminium nie jest stałą liczbą, ale wynikiem tego, jak dobrze Twoje dane są już uporządkowane, zanim zaczniesz. Jeśli chcesz wiedzieć, jakie kroki są jeszcze otwarte dla Twojej firmy, sprawdź często zadawane pytania dotyczące produktu lub wykonaj bezpłatny quick-scan, aby zobaczyć, na jakim etapie się znajdujesz.