GDPR (obecné nařízení o ochraně osobních údajů) se uplatňovala již předtím, než bylo napsáno jediné slovo o digitálním produktovém pasu nebo nařízení o AI, a toto nařízení nezmizí, protože přicházejí nová pravidla. Jakmile vaše společnost zpracovává osobní údaje — a to dělá prakticky každá společnost prostřednictvím personálních spisů, údajů o zákaznících nebo zařízení, která zaznamenávají údaje o používání — nadále se GDPR vedle nové právní úpravy jednoduše uplatňuje.
To, zda se GDPR vaší společnosti v konkrétní situaci týká, závisí na otázce, zda se skutečně zpracovávají osobní údaje. Digitální produktový pas obsahující pouze technické údaje o zařízení (materiály, návod k opravě, lhůta záruky) obvykle spadá mimo oblast GDPR. Jakmile přidáte údaje, které lze připsat osobě — sériové číslo spojené s vlastníkem, údaje o používání zaměstnance nebo chatbot, který zpracovává dotazy zákazníků — situace se přesune na území GDPR.
Proč se toto téma vrací častěji, než byste čekali
Nařízení o ecodesignu (ESPR), digitální produktový pas a nařízení o AI jsou všechny tři nové, a je lákavé myslet si, že nahrazují nebo činí GDPR zbytečnou. Není tomu tak. Tato nařízení upravují jiné věci: informace o produktech, požadavky na životní prostředí a nakládání se systémy AI. GDPR upravuje něco jiného, a to ochranu osobních údajů bez ohledu na to, který systém nebo zařízení tyto údaje zaznamenává. Čtyři rámce se tedy mohou uplatňovat současně na stejnou situaci, aniž by jeden druhého nahradil.
Konkrétní příklad to objasní. Instalační společnost, která instaluje chytré měřiče, se může setkat s digitálním produktovým pasem pro samotné zařízení a současně s GDPR, jakmile tento měřič zaznamenává údaje o spotřebě konkrétní domácnosti. Obě právní úpravy se pak uplatňují vedle sebe, pro stejné zařízení, ale pro jeho jiný aspekt.
Kdy se GDPR dostane do popředí
GDPR se dostane do popředí, jakmile jsou údaje připisovatelné identifikované nebo identifikovatelné osobě. Může jít o personální údaje při zavedení nového systému AI na pracovišti, o údaje o zákaznících, které zpracovává dodavatel vaším jménem, nebo o údaje o používání, které zařízení sbírá a zasílá výrobci. Dohledem nad GDPR v Nizozemsku je Úřad pro ochranu osobních údajů; ten neposuzuje digitální produktový pas nebo samotné nařízení o AI, ale nakládání s osobními údaji, která se toho účastní.
Pokud chce někdo zjistit, zda se v konkrétním projektu zpracovávají osobní údaje, je vhodné se na to podívat pro každý datový tok zvlášť: co se zaznamenává, kdo to dělá a lze to připsat osobě. Toto rozlišení určuje, zda se GDPR uplatňuje, nezávisle na otázce, zda se také jedná o digitální produktový pas nebo systém AI. jak nakládáme s osobními údaji v produktovém pasu dává obraz o tom, jak se toto rozlišení v praxi projeví.
Kdy GDPR nehraje dodatečnou roli
Ne každý technický datový tok spadá pod GDPR. Složení materiálů, lhůty záruk, pokyny k opravě a podobné informace o produktu obvykle nejsou připisovatelné osobě a spadají mimo rozsah GDPR. To neznamená, že se neuplatňují žádná pravidla — digitální produktový pas a ESPR stanovují vlastní požadavky na tyto informace — ale znamená to, že GDPR v tomto specifickém toku neklade žádnou dodatečnou povinnost.
Tento rozdíl je také relevantní při nasazování AI na pracovišti. Systém AI, který pouze analyzuje data strojů, obvykle se Nařízením GDPR nedotýká. Jakmile stejný systém hodnotí chování nebo výkon jednotlivých zaměstnanců, situace se mění a vedle Nařízení o AI se objevuje Nařízení GDPR. Kdo chce tento rozdíl pro svou situaci prověřit, měl by jej nejlépe předložit právníkovi nebo Úřadu pro ochranu osobních údajů; článek v obecné rovině sice tento rozdíl může nastínit, ale pro jednu specifickou situaci jej nemůže stanovit.
Jak to pro svou firmu ověříte
Protože Nařízení GDPR, Nařízení ESPR, digitální produktový pas a Nařízení o AI mají každé své vlastní oblasti použití, stojí za to prověřit si zvlášť pro každou povinnost, zda se na vaši firmu vztahují, místo aby jste je behandovali jako celek. V znalostní bázi podle tématu zpracované je tento rozdíl rozpracován pro každou právní úpravu, takže nemusíte rozumět všemu najednou.
Chcete si rychle udělat první představu o tom, zda vaše situace souvisí s digitálním produktovým pase nebo Nařízením o AI a tím pádem také s Nařízením GDPR? Pak si vezměte bezplatný quick-scan v několika otázkách získat první náznaky, nebo si prohlédněte odpovědi na otázky, které si už kladli jiní podnikatelé. Pro vlastní, specifickou situaci zůstává právník nebo Úřad pro ochranu osobních údajů správným kontaktním místem.