Pevná lehota neexistuje, reálny odhad áno
Nariadenie o digitálnom produktovom pase nepredpisuje lehotu, v ktorej musíte skontrolovať, či údaje v pase spadajú pod GDPR. Táto kontrola je samostatný krok, ktorý v rámci prípravy pasu urobíte vy sami, prípadne spoločne s právnikom alebo osoba zodpovednou za ochranu údajov. V praxi to trvá od niekoľkých dní v prípade jednoduchého profilu bez identifikovateľných údajov, až po niekoľko týždňov, keď je nejasné, ktoré polia obsahujú meno kontaktnej osoby, sériové číslo alebo doručovaciu adresu fyzickej osoby.
Čas potrebný na spracovanie určuje najmä nie samotná kontrola, ale otázka, ktorá jej predchádza: viete presne, ktoré údaje budú v pase obsiahnuté, a od koho pochádzajú. Podniky, ktoré túto inventarizáciu už vykonali na iné účely, ukončia kontrolu rýchlejšie než podniky, ktoré to robia po prvýkrát.
Čo presne zahŕňa kontrola GDPR produktového pasu
Hliníkový digitálny produktový pas obsahuje v podstate technické a materiálové údaje: legúru, pôvod, spôsob spracovania, informácie o recyklácii. Tieto nie sú samy o sebe osobnými údajmi. Kontrola sa stáva relevantnou v okamihu, keď sa objavia identifikovateľné údaje fyzickej osoby, napríklad meno kontaktnej osoby u malého dodávateľa, osoba samostatne zárobková činnosťou pôsobiaca ako výrobca alebo sériové číslo, ktoré sa dá spájať s konkrétnym zamestnancom, ktorý ho vytvoril.
Kontrola sa zvyčajne skladá z troch krokov: zistiť, ktoré polia sa budú v pase skutočne vyplňovať, posúdiť, či obsahujú osobné údaje, a zaznamenať, na akom právnom základe sa tieto údaje spracovávajú, ak áno. Viac informácií o tom, čo presne sa v pase objaví a ako sa v ňom pracuje s údajmi, nájdete na stránke ako postupujeme pri ochrane osobných údajov a spracúvaní údajov.
Kde v praxi dochádza k zdržaniam
Najčastejšie sa vyskytnú tri kritické miesta. Po prvé: nikto v podniku presne nevie, ktoré údaje dodávateľ softvéru alebo strana spracúvajúca pas vôbec požaduje. Bez takéhoto prehľadu nemôže kontrola začať. Po druhé: otázka, kto smie alebo musí kontrolu vykonávať, ostáva v podniku nevyriešená, pretože nie je určená osoba zodpovedná za ochranu údajov alebo si vedenie, HR a IT návzájom prekupujú kompetencie. Po tretie: v podnikoch spolupracujúcich s viacerými dodávateľmi alebo subdodávateľmi trvá dlhšie určiť pre každú stranu, či sa podávajú osobné údaje, a na akom základe.
Zdržanie sa teda zriedka týka samotnej kontroly, ale jej prípravy. Kontrola GDPR vykonaná na neúplnom súbore údajov musí byť následne opätovne vykonaná.
Kto sa do toho prakticky zapája
Vo väčšine malých a stredných podnikov táto úloha samostatne neexistuje; jej koordináciu zvyčajne prevezme vedúci kancelárie, HR špecialista alebo riaditeľ. Na odborný obsah kontroly je potrebná právna expertise, interná alebo externá. Keď ide o spracovanie údajov zamestnancov zapojených do pasu, zohráva úlohu aj podnikový výbor alebo zastúpenie zamestnancov, najmä ak vznikajú nové evidencie alebo väzby. Nezastupiteľným partnerom je aj dodávateľ softvéru: táto strana čiastočne určuje, ktoré polia sa technicky zaznamenávajú a kde sa údaje ukladajú.
Prehľad toho, čo všetko je potrebné urobiť a v akom poradí, nájdete v databáze poznatkov s podrobne spracovanými témami podľa situácie. Tu nájdete aj odkaz na oficiálny text, aby ste si mohli overiť, odkiaľ presne povinnosť pochádza.
Ako si urobite odhad pre vašu konkrétnu situáciu
Pretože doba realizácie silne závisí od toho, koľko údajov máte už v poriadku, všeobecný smerný údaj má malú hodnotu. Praktickým prvým krokom je skontroľovať, ktoré údaje vaša spoločnosť už zaznamenáva o dodávateľoch, kontaktných osobách a zamestnancoch, a či sa tieto údaje dostanú aj do pasu. S niekoľkými otázkami získať indikáciu, kde vaša spoločnosť stojí, ukazuje, koľko prípravy je ešte potrebné predtým, ako bude možné zmysluplne začať posúdenie GDPR.
Pri otázke, či váš špecifický pas obsahuje osobné údaje a ktorý právny základ k tomu patrí, ostáva posúdenie právnika alebo v prípade pochybností Úradu na ochranu osobných údajov správnym kontaktným bodom. Tento článok opisuje proces všeobecne a nenahrádzuje toto odporúčanie.
Nakoniec
Doba realizácie posúdenia GDPR pre aluminum productpasport nie je pevné číslo, ale výsledok toho, ako dobre máte údaje už v poriadku predtým, ako začnete. Ak chcete vedieť, ktoré kroky pre vašu spoločnosť zostávajú otvorené, pozrite si často kladené otázky o productpassporte alebo si vykonajte bezplatnú rýchlu kontrolu, aby ste videli, kde teraz stojíte.