Un passeport matelas contient essentiellement des informations sur le produit : composition des matériaux, origine, instructions de réparation et de recyclage, et données relatives au fabricant ou à l'importateur. Les données personnelles de l'acheteur n'y ont en principe pas leur place. Le règlement a été rédigé pour suivre un matelas en tant que produit, non pour enregistrer qui y dort.
Pourtant, la question est légitime, car dès qu'une entreprise gère le passeport, des données de personnes entrent réellement en jeu : la personne de contact qui gère le compte, et parfois des données clients ou de garantie qu'une entreprise associe elle-même à un matelas. Cela relève du Règlement général sur la protection des données, mais par une autre voie que le passeport lui-même.
Ce qui figure bel et bien dans le passeport
Le passeport est construit autour du produit : le modèle de matelas, le lot ou le numéro de série unique, les matériaux utilisés, la présence ou non de substances dangereuses, la façon de réparer ou de recycler le matelas, et l'identité du fabricant ou de l'importateur. Ce sont des données sur une chose, non des données sur une personne. Les catégories exactement obligatoires sont énoncées dans le règlement lui-même et dans l'acte délégué qui suit par groupe de produits ; pour les matelas, cet acte n'a pas encore été publié. le règlement expliqué par sujet dans la base de connaissances indique pour chaque notion ce qui est d'ores et déjà établi et ce qui suivra encore.
Où les données personnelles peuvent entrer en jeu
Dès que votre entreprise crée un compte pour faire établir et héberger des passeports, vous y indiquez généralement une personne de contact : un nom, une fonction, une adresse e-mail professionnelle. Ce sont des données personnelles, même si le compte lui-même est associé à la personne morale, avec le numéro d'inscription au registre du commerce et des numéros de TVA, et non à une personne physique. La façon dont une plateforme traite ces données, la durée pendant laquelle elles sont conservées et qui peut y accéder, c'est précisément ce que le RGPD régit. la manière dont sont traitées les données et la vie privée décrit cela pour matrapas.eu.
Le compte professionnel et le RGPD
Un compte professionnel ne change rien aux obligations de votre entreprise en vertu du RGPD en tant que responsable du traitement ou prestataire ; le rôle applicable dépend de la situation. Le règlement relatif aux matelas régit le produit. Le RGPD régit à côté de cela la manière dont votre entreprise traite les données de personnes, y compris celles de vos propres collaborateurs qui gèrent le passeport. Les deux règlements coexistent et ne se remplacent pas l'un l'autre.
Et si vous associez des données clients au passeport
Certaines entreprises veulent aller plus loin que ne l'exige le règlement : associer un numéro de série à une date d'achat, une durée de garantie, ou le nom de l'acheteur, par exemple pour le traitement des réclamations ou un hôtel qui enregistre les matelas par chambre. C'est un choix propre à l'entreprise, pas une obligation découlant du règlement sur les matelas. Dès que cela se produit, un nouveau traitement de données personnelles commence, auquel s'appliquent les règles habituelles du RGPD : une base juridique, une durée de conservation, et clarté sur qui peut y accéder. Si cela vous concerne, vous pouvez d'abord l'explorer par vous-même avec quelques questions. La façon d'organiser exactement une telle association, vous la discutez de préférence avec un juriste ou votre propre délégué à la protection des données.
À qui incombe la responsabilité
Le règlement détermine quelles données de produits doivent au minimum figurer dans un passeport et qui peut les fournir : le fabricant ou l'importateur. Ils restent responsables de l'exactitude de ces données, même si un tiers héberge le passeport. Pour tout ce qui est traité en plus en tant que données personnelles, la répartition ordinaire du RGPD entre responsable du traitement et prestataire s'applique. Le rôle que votre entreprise y joue n'est pas dans tous les cas le même et c'est à vous ou à votre conseiller de le déterminer.
Les autorités de contrôle du règlement sur les matelas examinent les données produit dans le passeport ; l'Autorité de la protection des données examines la gestion des données personnelles. Ce sont deux lignes de contrôle distinctes qui fonctionnent indépendamment l'une de l'autre.
Voulez-vous d'abord lire attentivement comment d'autres concepts du règlement s'articulent avant d'entreprendre d'autres étapes ? lire les questions les plus fréquemment posées sur le passeport matelas fournit un bon point de départ pour cela, tout comme un regard sans engagement sur votre propre situation via le quick-scan gratuit.