Vad förändras i år för matraspassen på grund av GDPR?
Själva Allmänna dataskyddsförordningen förändras inte i år för matrasser. Det som däremot förändras är den kontext i vilken ni kommer att möta den: det digitala produktpasset gör produktinformation allmänt tillgänglig via en QR-kod, och det väcker nya frågor om vilka uppgifter som hör hemma där eller inte. För tillverkare, importörer och försäljare som även samlar in kunduppgifter vid köp eller registrering, är det en ny uppmärksamhetspunkt vid sidan om de befintliga GDPR-skyldighterna.
Det handlar här inte om en ändring av dataskyddslagstiftningen, utan om överensstämmelsen mellan två förordningar som fortsätter att existera sida vid sida: GDPR förblir oförändrad i kraft, och förordningen för det digitala produktpasset lägger ett nytt lager på det. För ert företag är det främst relevant om, och hur, dessa två möts i praktiken.
Vad passet frågar efter och inte
Det digitala produktpasset är avsett för produktinformation: material, ursprung, underhåll, återvinning och liknande uppgifter om själva madrassen. Förordningen fokuserar inte på uppgifter om enskilda kunder. Ändå uppstår ibland en koppling i praktiken, till exempel när en garantiregistrering eller ett servicekontrakt knyts till samma pass eller samma QR-kod som produktinformationen.
Så snart det sker är det inte produktpassets förordning som är bedömningsramen, utan GDPR. Tillsynsmyndigheterna tittar då på de vanliga GDPR-frågorna: finns det en rättslig grund för att behandla uppgifterna, har det gjorts klart för kunden vad uppgifterna används till, och bevaras de inte längre än nödvändigt. Det förändras inte av passportets ankomst; passet gör bara synligare var dessa två världar möts.
Där detta oftare går fel än förväntat
I praktiken uppstår inte blandningen vid själva passet, utan i mjukvaran eller portalen som det administreras med. Vissa system erbjuder bekvämlighet genom att koppla garantier, underhållspåminnelser och kundkontakt till en och samma miljö. Det är funktionellt praktiskt, men innebär att personuppgifter hamnar i ett system som ursprungligen var utformat för produktinformation som måste vara tillgänglig i tio år.
Det är relevant, eftersom bevarandeperioden för passet och bevarandeperioden för kunduppgifter inte automatiskt löper parallellt. Produktinformation får, och måste ofta, förbli långvarigt tillgänglig. Kunduppgifter omfattas av ett annat regelverk, med egna gränser för hur länge och för vad de får bevaras. Vid utformningen av ett system är det därför meningsfullt att på förhand separera vilka uppgifter som faller under vilket regelverk, i stället för att upptäcka det senare.
Frågor ni kan ställa till er leverantör
För företag som låter passet inrättas av en mjukvaruleverantör eller plattform är det klokt att uttryckligen fråga hur produktuppgifter och kunduppgifter separeras från varandra, vem som har åtkomst till vilken del, och om uppgifter om kunder delas med tredje parter. Det är ingen fråga som följer direkt av själva produktpassets förordning, men väl en som följer av den vanliga försiktighetsplikt som GDPR ställer.
hur uppgifter om era produkter och era kunder förblir åtskilda från varandra ger en bild av hur det praktiskt inrättas. För en bredare överblick över hur de olika regelverken förhåller sig till varandra, erbjuder kunskapsbanken med ämnen per situation en utgångspunkt.
Vad detta kan betyda för ert företag
Huruvida detta är relevant för ditt företag, och i vilken omfattning, beror på hur du utformar passet och eventuella kundregisteringar. En butik som endast tillgängliggör produktinformation via QR-koden har en annan situation än en tillverkare som kopplar garanti, underhåll och kundkontakt till samma system. En första indikation på var ditt företag står får du med ett par frågor som kartlägger din situation.
För frågor som återkommer oftare bland företag som hanterar detta finns det en översikt med svar på frågor som andra företag också ställer.
Det som ännu inte är fastställt
Den exakta utformningen av det digitala produktpasset för madrasser, inklusive vilka uppgifter som är obligatoriska att inkludera, följer av en delegerad handling som ännu inte har publicerats. Så länge den inte finns är det inte möjligt att med säkerhet säga hur fälten i passet förhåller sig i detalj till personuppgifter. För den aktuella lagen om dataskydd och för frågor om din specifika behandling av kunduppgifter är Datainspektionen den behörig tillsynsmyndighet, och för förklaring av din egen situation är en jurist rätt kontaktperson.
Kort sammanfattat
Vill du veta var ditt företag står för närvarande, utan att omedelbar behöva gå igenom en helt dossiär? Gör den kostnadsfria snabbkontroller eller läs de avsnitt som ligger närmast din situation.