Hvad ændres dette år med GDPR for matraspassporten?
Den Generelle Forordning om Databeskyttelse ændrer sig ikke i år for madrasser. Det, der derimod ændrer sig, er konteksten, hvori du håndterer den: det digitale produktpasport gør produktoplysninger offentligt tilgængelige via en QR-kode, og det rejser nye spørgsmål om, hvilke oplysninger der bør være inkluderet, og hvilke der ikke skal være. For fabrikanter, importører og forhandlere, der også registrerer kundedata ved køb eller registrering, er det et nyt opmærksomhedspunkt ud over de eksisterende GDPR-forpligtelser.
Det handler ikke om en ændring af privatlivsbeskyttelseslovgivningen, men om samspillet mellem to regler, der fortsætter med at eksistere side om side: GDPR forbliver uændret gyldig, og forordningen for det digitale produktpasport lægger et nyt lag oven på det. For din virksomhed er det især relevant, om og hvordan de to rammer hinanden i praksis.
Hvad pasportets spørger til og hvad det ikke gør
Det digitale produktpasport er beregnet til produktoplysninger: materialer, oprindelse, vedligeholdelse, genanvendelsesmuligheder og lignende oplysninger om madrassen selv. Forordningen fokuserer ikke på oplysninger om individuelle kunder. Alligevel opstår der nogle gange en forbindelse i praksis, for eksempel når en garantiregistrering eller en servicekontrakt er knyttet til samme pasport eller samme QR-kode som produktoplysningerne.
Så snart det sker, er det ikke produktpasportforordningen, der er vurderingsrammen, men GDPR. Tilsynsmyndigheder ser derefter på de sædvanlige GDPR-spørgsmål: er der et retligt grundlag for at behandle dataene, er det klart kommunikeret til kunden, hvad dataene bruges til, og opbevares de ikke længere end nødvendigt. Det ændrer sig ikke med pasportets ankomst; pasportets gør kun mere synligt, hvor disse to verdener mødes.
Hvor det oftere går galt end forventet
I praksis opstår blandingen ikke ved pasportets selv, men ved den software eller det portal, som det administreres gennem. Nogle systemer tilbyder bekvemmelighed ved at forbinde garanti, vedligeholdelsespåmindelser og kundekontakt til ét miljø. Det er funktionelt praktisk, men betyder dog, at persondata ender op i et system, som oprindeligt er indrettet til produktoplysninger, der skal være tilgængelige i ti år.
Det er relevant, fordi opbevaringsperioden for pasportets og opbevaringsperioden for kundedata ikke automatisk går parallelt. Produktoplysninger kan og skal ofte forblive tilgængelige længe. Kundedata falder under en anden ordning, med egne grænser for, hvor længe og til hvilket formål de må opbevares. Ved tilrettelæggelsen af et system er det derfor fornuftigt at adskille på forhånd, hvilke oplysninger der falder under hvilken ordning, i stedet for at opdage det bagefter.
Spørgsmål, du kan stille din leverandør
For virksomheder, der lader pasportets indrette af en softwareleverandør eller platform, er det klogt at spørge udtrykkeligt om, hvordan produktdata og kundedata adskilles fra hinanden, hvem der har adgang til hvilken del, og om data om kunder deles med tredjeparter. Det er ikke et spørgsmål, der følger direkte af selve produktpasportforordningen, men det er et spørgsmål, der stammer fra den sædvanlige due diligence-pligt under GDPR.
hvordan oplysninger om dine produkter og dine kunder forbliver adskilt fra hinanden giver et billede af, hvordan det indrettes i praksis. For et bredere overblik over, hvordan de forskellige regler forholder sig til hinanden, tilbyder videnbanken med emner pr. situation et udgangspunkt.
Hvad det kan betydne for din virksomhed
Hvorvidt og i hvilket omfang dette gælder for dit firma, afhænger af, hvordan du indretter pasportet og eventuelle kunderegistreringer. En forretning, der kun offentliggør produktinformation via QR-koden, har en anden situation end en fabrikant, der forbinder garantier, vedligeholdelse og kundekontakt til det samme system. Du får en første indikation af, hvor dit firma står, ved hjælp af nogle få spørgsmål, der kortlægger din situation.
For spørgsmål, der ofte dukker op hos virksomheder, der beskæftiger sig hermed, er der en oversigt med svar på spørgsmål, som andre virksomheder også stiller.
Hvad der endnu ikke er fastlagt
Den præcise udformning af det digitale produktpasport for madrasser, herunder hvilke oplysninger, der skal indgå, følger af en delegeret retsakt, som endnu ikke er offentliggjort. Så længe den ikke foreligger, kan det ikke med sikkerhed siges, hvordan felterne i pasportet i detaljer forholder sig til personoplysninger. For den aktuelle status for GDPR'en selv, og for spørgsmål om din specifikke behandling af kundedata, er Datatilsynet den udpegede tilsynsmyndighed, og for forklaringen af din egen situation er en juridisk rådgiver det relevante kontaktpunkt.
Kort opsummeret
Vil du vide, hvor dit firma står på nuværende tidspunkt, uden at skulle gennemgå hele en dokumentsamling med det samme? Foretag den gratis quick-scan eller læs de emner, der ligger tættest på din situation.