GDPR (yleinen tietosuoja-asetus) oli voimassa jo ennen kuin yksikään sana digitaalisesta tuotepassista tai tekoälyasetuksesta oli kirjoitettu, ja tuo asetus ei häviä, koska uusia sääntöjä tulee lisää. Kun yrityksenne käsittelee henkilötietoja — ja lähes kaikki yritykset tekevät niin henkilöstötiedostojen, asiakastietojen tai käyttötietoja rekisteröivien laitteiden kautta — GDPR jatkaa soveltamistaan uuden sääntelyn rinnalla.
Se, koskeeko GDPR yritystäänne tietyssä tilanteessa, riippuu siitä, käsitelläänkö todella henkilötietoja. Digitaalinen tuotepassi, joka sisältää vain tekniset tiedot laitteesta (materiaalit, korjausohjeet, takuuaika), kuuluu yleensä GDPR:n ulkopuolelle. Kun tietoihin lisätään tiedot, jotka ovat jäljitettävissä henkilöön — sarjanumero, joka on yhdistetty omistajaan, työntekijän käyttötiedot tai chatbot, joka käsittelee asiakaskysymyksiä — tilanne siirtyy GDPR:n soveltamisalueelle.
Miksi tämä aihe palaa useammin kuin luulette
Ecodesign-asetus (ESPR), digitaalinen tuotepassi ja tekoälyasetus ovat kaikki uusia, ja on houkuttelevaa ajatella, että ne korvaavat GDPR:n tai tekevät sen tarpeettomaksi. Se ei ole totta. Nämä asetukset säätävät muista asioista: tuotetiedoista, ympäristövaatimuksista ja tekoälyjärjestelmien käsittelystä. GDPR säätää jotain muuta, nimittäin henkilötietojen suojauksesta riippumatta siitä, mikä järjestelmä tai laite nuo tiedot kerää. Neljä kehystä voivat siis olla samanaikaisesti voimassa samassa tilanteessa, ilman että toinen korvaa toista.
Konkreettinen esimerkki selventää asiaa. Asennusyritys, joka asentaa älymittareita, saattaa kohdata sekä laitteen itsensä digitaalisen tuotepassin että GDPR:n sen jälkeen, kun mittari rekisteröi tietyn kotitalouden kulutustietoja. Molemmat säädökset pätevät silloin rinnakkain, samalle laitteelle, mutta eri puolelle siitä.
Milloin GDPR tulee kuvaan
GDPR tulee kuvaan, kun tiedot ovat jäljitettävissä tunnistettuun tai tunnistettavissa olevaan henkilöön. Tämä voi olla henkilöstötietoja uuden tekoälyjärjestelmän käyttöönottosovelluksessa työpaikalla, asiakastietoja, joita toimittaja käsittelee puolestanne, tai käyttötietoja, joita laite kerää ja lähettää valmistajalle. GDPR:n valvontaviranomainen Alankomaissa on Autoriteit Persoonsgegevens; se ei tarkista digitaalista tuotepassia tai tekoälyasetusta sinänsä, mutta se tarkistaa henkilötietojen käsittelyä, jolla on rooli siinä.
Niille, jotka tarkistavat, käsitelläänkö tietyssä projektissa henkilötietoja, on hyödyllistä tarkastella sitä tietovirtojen mukaan: mitä tallennetaan, kuka sen tekee, ja onko se jäljitettävissä henkilöön. Tämä ero määrittää, sovelletaanko GDPR:ää, riippumatta siitä, onko mukana myös digitaalinen tuotepassi tai tekoälyjärjestelmä. kuinka käsittelemme henkilötietoja tuotepassissa antaa kuvan siitä, kuinka tämä ero käytännössä toteutuu.
Milloin GDPR:llä ei ole lisäroolia
Kaikki tekniset tietovirrat eivät kuulu GDPR:n piiriin. Materiaalien koostumus, takuuajat, korjausohjeet ja vastaavat tuotetiedot eivät yleensä ole jäljitettävissä henkilöön, ja ne jäävät silloin GDPR:n soveltamisalan ulkopuolelle. Se ei tarkoita, että mitään sääntöjä ei olisi — digitaalinen tuotepassi ja ESPR asettavat omia vaatimuksiaan tälle tiedolle — mutta se tarkoittaa, että GDPR ei aseta tässä tietovirrassa lisävelvoitteita.
Tämä ero on merkityksellinen myös tekoälyjärjestelmien käytöstä työpaikalla. Tekoälyjärjestelmä, joka analysoi vain konedataa, ei yleensä koske GDPR:ää. Kun sama järjestelmä arvioi yksittäisten työntekijöiden käyttäytymistä tai suoritusta, tilanne muuttuu ja GDPR tulee rinnalle tekoälyasetuksen kanssa. Jos haluat selvittää tämän eron omaan tilanteeseen liittyen, voit esittää sen parhaiten juridikolle tai tietosuojaviranomaiselle; yleinen artikkeli voi kuvailla tätä eroa, mutta ei määrittää sitä yhden tietyn tilanteen osalta.
Kuinka tarkistat tämän omalle yrityksellesi
Koska GDPR:llä, ESPR:llä, digitaalisella tuotesertifikaatilla ja tekoälyasetuksella on kukin omat soveltamisalansa, kannattaa tarkistaa jokaisen velvoitteen osalta erikseen, soveltuvatko ne yritykseesi, sen sijaan että käsittelisit niitä yhtenä kokonaisuutena. Osoitteessa tietovaranto aiheittain järjestettynä tämä ero on avattu sääntelyn mukaisesti, jotta sinun ei tarvitse ymmärtää kaikkea kerralla.
Haluatko nopeasti alustavan indikaation siitä, onko tilanteeseesi liittymiskohtia digitaalisen tuotesertifikaatin tai tekoälyasetuksen kanssa, ja mahdollisesti myös GDPR:n kanssa? Tee sitten ilmainen pika-analyysi muutamissa kysymyksissä saada alustavaa viitteitä, tai katso vastauksia kysymyksiin, joita muut yrittäjät ovat jo esittäneet. Oman, erityisen tilanteen osalta lakimies tai tietosuojaviranomainen on oikea yhteyspisteesi.