GDPR (Generel Forordning om Databeskyttelse) gjaldt allerede, før der blev skrevet ét ord om et digitalt produktpas eller en AI-forordning, og denne forordning forsvinder ikke, fordi der kommer nye regler til. Når din virksomhed behandler personoplysninger — og det gør næsten enhver virksomhed gennem personalejournaler, kundedata eller udstyr, der registrerer brugsdata — gælder GDPR fortsat side om side med den nye regulering.
Om GDPR påvirker din virksomhed i en specifik situation, afhænger af, hvorvidt der faktisk behandles personoplysninger. Et digitalt produktpas med kun tekniske oplysninger om et apparat (materialer, reparationsvejledning, garantiperiode) falder typisk uden for GDPR's område. Fra det øjeblik der tilføjes oplysninger, der kan føres tilbage til en person — et serienummer forbundet med en ejer, brugsdata fra en medarbejder, eller en chatbot, der behandler kundeforespørgsler — skifter situationen til GDPR-territorium.
Hvorfor dette emne kommer op oftere end du måske tror
Ecodesignforordningen (ESPR), det digitale produktpas og AI-forordningen er alle tre nye, og det er fristende at tro, at de erstattet eller gør GDPR unødvendig. Det er ikke tilfældet. Disse forordninger regulerer andre ting: produktoplysninger, miljøkrav og håndtering af AI-systemer. GDPR regulerer noget helt tredje, nemlig beskyttelsen af personoplysninger, uanset hvilket system eller apparat, der registrerer disse oplysninger. De fire rammer kan således være gældende på samme tid i den samme situation, uden at den ene erstatter den anden.
Et eksempel gør dette konkret. En installationsfirma, der installerer intelligente målere, kan blive påvirket af det digitale produktpas for selve apparatet, og samtidig af GDPR, når måleren registrerer forbrugsdata for en specifik husstand. Begge reguleringer gælder da side om side for det samme apparat, men for et forskelligt aspekt deraf.
Hvornår GDPR kommer i billede
GDPR kommer i billede, når oplysninger kan føres tilbage til en identificeret eller identificerbar person. Det kan dreje sig om personaleopgørelser ved indførelse af et nyt AI-system på arbejdspladsen, kundedata, som en leverandør behandler på dine vegne, eller brugsdata, som et apparat indsamler og videresender til en fabrikant. Tilsynsmyndigheden for GDPR i Danmark er Datatilsynet; det kontrollerer ikke det digitale produktpas eller AI-forordningen selv, men derimod håndteringen af personoplysninger, der spiller en rolle i forbindelse hermed.
For den, der undersøger, om der behandles personoplysninger i et specifikt projekt, er det nyttigt at se på hver datastrøm: hvad registreres, af hvem, og kan det føres tilbage til en person. Denne forskel afgør, om GDPR er gældende, uafhængigt af spørgsmålet om der også kommer et digitalt produktpas eller et AI-system i spil. hvordan vi håndterer personoplysninger i produktpasset giver et billede af, hvordan denne forskel udspiller sig i praksis.
Hvornår GDPR ikke spiller en supplerende rolle
Ikke alle tekniske datastrømme falder under GDPR. Materialsammensetning, garantiperioder, reparationsvejledninger og lignende produktoplysninger er typisk ikke sporbare til en person og falder således uden for GDPR's område. Det betyder ikke, at der ikke gælder regler — det digitale produktpas og ESPR stiller egne krav til disse oplysninger — men det betyder, at GDPR ikke pålægger yderligere forpligtelser i denne specifikke strøm.
Dette skel er også relevant, når AI bruges på arbejdspladsen. Et AI-system, der kun analyserer maskindata, berører typisk ikke GDPR. Så snart samme system vurderer adfærd eller præstationer hos individuelle medarbejdere, ændres billedet, og GDPR kommer sammen med AI-forordningen i fokus. Hvis man ønsker at præcisere dette skel for egen situation, gør man det bedst ved at forelægge det for en jurist eller Datatilsynet; en generel artikel kan skitsere skellet, men kan ikke fastsætte det for én specifik situation.
Sådan kontrollerer du det for dit eget firma
Fordi GDPR, ESPR, det digitale produktpas og AI-forordningen hver har deres eget anvendelsesområde, er det værd at kontrollere separat for hver forpligtelse, om de gælder for dit firma, i stedet for at behandle dem som én helhed. I vidensbankens emne for emne er skellet udarbejdet for hver lovgivning, så du ikke behøver at forstå alt på én gang.
Ønsker du hurtigt en første indikation af, om din situation har berøringspunkter med det digitale produktpas eller AI-forordningen, og dermed muligvis også med GDPR? Tag da den gratis hurtigscanning kan du få en første indikation i nogle få spørgsmål, eller se på svar på spørgsmål, som andre iværksættere allerede har stillet. For egen, specifik situation forbliver en jurist eller Datatilsynet det rigtige kontaktpunkt.