Ingen fastställd tidsfrist finns, men en realistisk bedömning väl
Förordningen för det digitala produktpasset föreskriver ingen tidsfrist inom vilken ni måste kontrollera om uppgifterna i passet omfattas av GDPR. Denna kontroll är ett eget steg som ni, tillsammans med en jurist eller dataskyddansvarig eller inte, genomför vid sidan av uppbyggnaden av passet. I praktiken varierar detta från några dagar för en enkel profil utan spårbara uppgifter, till några veckor när det är oklart vilka fält som innehåller en kontaktperson, ett serienummer eller en leveransadress för en fysisk person.
Det som främst avgör genomloppstiden är inte kontrollen i sig utan frågan innan: vet ni exakt vilka uppgifter som ska stå i produktpasset, och varifrån de kommer. Företag som redan har gjort denna inventering för andra ändamål slutför kontrollen snabbare än företag som kartlägger detta för första gången.
Vad GDPR-kontrollen av ett produktpass exakt innebär
Aluminiumproduktpasset innehåller i huvudsak tekniska och materialuppgifter: legering, ursprung, bearbetningsmetod, återvinningsinformation. Dessa är i sig inte personuppgifter. Kontrollen blir relevant så snart det kommer spårbara uppgifter om en fysisk person till, till exempel namnet på en kontaktperson hos en liten leverantör, en egenföretagare som fungerar som tillverkare, eller ett serienummer som kan kopplas till en specifik anställd som har skapat det.
Kontrollen består vanligtvis av tre delar: kontrollera vilka fält som faktiskt fylls i i passet, bedöma om det innehåller personuppgifter, och dokumentera på vilken grund dessa uppgifter behandlas om så är fallet. Mer om vad som exakt hamnar i produktpasset och hur uppgifter behandlas där läser ni på sidan om hur vi hanterar integritet och uppgifter.
Var genomloppstiden i praktiken fastnar
Tre flaskhalsar återkommer oftast. För det första: ingen i företaget vet exakt vilka uppgifter som programvaruleverantören eller denpart som sammanställer passet överhuvudtaget begär. Utan denna översikt kan kontrollen inte börja. För det andra: frågan om vem som får eller måste genomföra kontrollen blir intern, eftersom det inte finns någon utsedd dataskyddansvarig eller för att kontorschefen och IT-avdelningen hänvisar till varandra. För det tredje: hos företag som arbetar med flera leverantörer eller underleverantörer tar det längre tid att bestämma per part om personuppgifter överförs, och på vilken grund det sker.
Fördröjningen ligger således sällan i själva kontrollen, utan i förberedelsen innan. En GDPR-kontroll som utfördes på en ofullständig datamängd måste senare göras om.
Vilka ni praktiskt involverar
Inom ett mindre eller medelstort företag är detta vanligtvis inte en roll som existerar separat; kontorschefen, HR-ansvarig eller direktören tar hand om koordineringen. För det innehållsmässiga bedömandet krävs juridisk expertis, internt eller externt. Vid frågor om behandlingen av uppgifter om anställda som är involverade i passet spelar även arbetstagarrepresentationen eller personalrepresentationen en roll, särskilt om det uppstår nya registreringar eller kopplingar. Dessutom är programvaruleverantören en fast samtalskontakt: denna part bestämmer delvis vilka fält som tekniskt registreras och var dessa uppgifter lagras.
En översikt över vad som ingår och i vilken ordning hittar ni i kunskapsbankenen med utarbetade ämnen per situation. Där anges per ämne också källan i den officiella texten, så att ni kan kontrollera var en skyldighet exakt kommer från.
Hur ni får en bedömning för er egen situation
Eftersom genomloppstiden är starkt beroende av hur mycket data du redan har ordning på är en allmän riktlinje av ringa värde. Ett praktiskt första steg är att kontrollera vilka data ditt företag redan registrerar om leverantörer, kontaktpersoner och medarbetare, och om dessa data också kommer att finnas i passet. Med några frågor få en indikation på var ditt företag står, visar hur mycket förberedelse som fortfarande är nödvändig innan en GDPR-granskning kan börja på ett meningsfullt sätt.
Vad gäller frågan om ditt specifika pass innehåller personuppgifter och vilken rättslig grund som gäller för detta, förblir bedömningen av en jurist eller, vid osäkerhet, Datainspektionen den lämpliga kontaktpunkten. Den här artikeln beskriver processen i allmänna termer och ersätter inte den rådgivningen.
Slutligen
Genomloppstiden för en GDPR-granskning av aluminium-produktpasset är inte ett fast tal, utan resultatet av hur väl dina data redan är ordnade innan du börjar. Vill du veta vilka steg som fortfarande är öppna för ditt företag kan du kontrollera vanliga frågor om produktpasset eller gör den kostnadsfria snabbgranskningen för att se var du står.