Ett madraspport innehåller i sin kärna produktinformation: materialsammansättning, ursprung, reparations- och återvinningsinstruktioner samt uppgifter om tillverkaren eller importören. Personuppgifter om köparen hör i princip inte hemma där. Förordningen är utformad för att följa en madrass som produkt, inte för att registrera vem som sover på den.
Ändå är frågan berättigad, för när ett företag börjar hantera pasporet kommer det faktiskt fram uppgifter om människor: den kontaktperson som hanterar kontot och ibland kund- eller garantiuppgifter som ett företag själv kopplar till en madrass. Det berör Allmän dataskyddsförordning, men då via ett annat spår än själva pasporet.
Vad finns det istället i pasporet
Pasporet är uppbyggt kring produkten: madrashemmodellen, batchen eller det unika serienumret, de använda materialen, om det finns farliga ämnen i den, hur madrassen ska repareras eller återvinnas samt vem tillverkaren eller importören är. Det är uppgifter om en sak, inte uppgifter om en person. Exakt vilka kategorier som blir obligatoriska anges i själva förordningen och i den delegerade akten som följer per produktgrupp; för madrasser har den ännu inte publicerats. förordningen förklarad per ämne i kunskapsbanken anger per begrepp vad som redan är fastslaget och vad som följer.
Där personuppgifter dyker upp
Så snart ert företag skapar ett konto för att få pasport utarbetade och hostade ger ni oftast en kontaktperson: ett namn, en titel, en affärs-e-postadress. Det är personuppgifter, även om kontot självt är kopplat till den juridiska personen, med registreringsnummer och organisationsnummer, och inte till en enskild person. Hur en plattform hanterar dessa uppgifter, hur länge de behålls och vem som kan komma åt dem är precis vad GDPR handlar om. hur data och integritet hanteras beskriver det för matrapas.eu.
Affärskontot och GDPR
Ett affärskonto ändrar ingenting på ditt företags GDPR-skyldigheter som personuppgiftsansvarig eller personuppgiftsbiträde; vilken roll som gäller beror på situationen. Förordningen för madrasser reglerar produkten. GDPR reglerar separat hur ditt företag hanterar uppgifter om människor, inklusive de anställda som hanterar pasporet. Båda regelverken existerar sida vid sida och ersätter inte varandra.
Vad om ni kopplar kunduppgifter till pasporet
Vissa företag vill gå längre än förordningen kräver: koppla ett serienummer till ett köpdatum, en garantitid eller köparens namn, exempelvis för reklamationshantering eller ett hotell som registrerar madrasser per rum. Det är ett eget val för företaget, ingen förpliktelse från madrassförordningen. Så snart det händer uppstår en ny behandling av personuppgifter för vilken de vanliga GDPR-reglerna gäller: en rättslig grund, en lagringsperiod och klarhet om vem som har tillgång till dem. Om det gäller er kan ni först utforska det för er själva med några frågor. Hur ni precis utformar sådan koppling diskuterar ni bäst med en jurist eller er egen dataskyddsamordnare.
Vem bär ansvaret
Förordningen fastslår vilka produktuppgifter som minst måste finnas i ett pasport och vem som får leverera dem: tillverkaren eller importören. De förblir ansvariga för korrektheten i dessa uppgifter, även om en tredje part hostar pasporet. För allt annat som behandlas av personuppgifter gäller den vanliga fördelningen från GDPR mellan personuppgiftsansvarig och personuppgiftsbiträde. Vilken roll ditt företag spelar i det är inte densamma i varje fall och är upp till dig eller din rådgivare att fastställa.
Tillsynsmyndigheter enligt madratsförordningen granskar produktuppgifterna i passet; Myndigheten för skydd av personuppgifter granskar hanteringen av personuppgifter. Det är två separata tillsynslinjer som fungerar oberoende av varandra.
Vill ni först läsa igenom noggrant hur andra begrepp från förordningen hänger ihop innan ni tar ytterligare steg? läsa igenom de vanligaste frågorna om madratspasset ger där en bra utgångspunkt för, precis som en icke-bindande granskning av er egen situation via den kostnadsfria snabbkontroll.