A GDPR (az Általános Adatvédelmi Rendelet) már akkor hatályban volt, amikor még egyetlen szó sem esett a digitális termékútlevélről vagy az AI-rendeletről, és az a rendelet nem szűnik meg, mert új szabályok kerülnek az internetre. Amint a vállalkozása személyes adatokat kezel — és szinte minden vállalkozás ezt teszi, személyzeti nyilvántartások, ügyfélmegkeresések vagy olyan berendezések segítségével, amelyek használati adatokat rögzítenek — a GDPR az új szabályozás mellett egyszerűen továbbra is érvényes.
Hogy a GDPR egy adott helyzetben érinti-e a vállalkozását, attól függ, hogy ténylegesen kerül-e sor személyes adatok kezelésére. Egy digitális termékútlevél, amely kizárólag egy berendezésre vonatkozó technikai adatokat tartalmaz (anyagok, javítási útmutató, garancia időtartama), általában a GDPR hatálya alá esik. Amint olyan adatok kerülnek hozzá, amelyek egy személyhez kapcsolódó — egy sorozatszám, amely egy tulajdonoshoz kapcsolódik, egy alkalmazott használati adatai, vagy egy chatbot, amely ügyfélkérdéseket kezel — a helyzet a GDPR-terrénumára tolódik.
Miért térünk erre a témára gyakrabban vissza, mint gondolná
Az ecodesignrendelet (ESPR), a digitális termékútlevél és az AI-rendelet mind a három újdonság, és csábító gondolat, hogy ezek helyettesítik vagy szükségtelenné teszik a GDPR-t. Ez nem így van. Ezek a rendeletek más dolgokat szabályoznak: termékadatokat, környezetvédelmi követelményeket és az AI-rendszerek kezelésének módját. A GDPR valami mást szabályoz, nevezetesen a személyes adatok védelméről, függetlenül attól, hogy melyik rendszer vagy berendezés rögzíti ezeket az adatokat. A négy keretrendszer tehát egyidejűleg alkalmazható ugyanarra a helyzetre, anélkül, hogy az egyik helyettesítené a másikat.
Egy konkrét példa ezt világossá teszi. Egy telepítési vállalkozás, amely intelligens mérőórákat telepít, szembesülhet az eszköz digitális termékútlevelével, és egyidejűleg a GDPR-rel, amint az a mérőóra egy adott háztartás fogyasztási adatait rögzíti. Mindkét rendelet érvényes, egymás mellett, ugyanazon az eszközön, de annak más aspektusára.
Ha a GDPR valóban felmerül
A GDPR akkor merül fel, ha az adatok egy azonosított vagy azonosítható személyhez kapcsolódnak. Ez lehet személyzeti adat, amikor egy új AI-rendszert vezetnek be a munkahelyen, vagy ügyfélmegkeresések, amelyeket egy beszállító az ön nevében kezel, vagy olyan berendezésből gyűjtött és egy gyártónak elkülönített felhasználási adatok. A GDPR felügyelete Hollandiában az Adatvédelmi Hatóság; az nem a digitális termékútlevelet vagy az AI-rendeletet vizsgálja önmagában, de a személyes adatok kezelésének módját, amely ebben szerepet játszik.
Annak felmérésére, hogy egy adott projektben személyes adatok kezelésére kerül-e sor, érdemes az adatfolyamok szerint vizsgálódni: mit rögzítenek, ki rögzíti, és lehet-e egy személyhez kapcsolódni. Ez a megkülönböztetés határozza meg, hogy a GDPR alkalmazandó-e, függetlenül attól, hogy digitális termékútlevél vagy AI-rendszer is felmerül-e. hogyan kezelünk személyes adatokat a termékútlevél keretében képet ad arról, hogy ez a megkülönböztetés a gyakorlatban hogyan működik.
Ha a GDPR nem játszik további szerepet
Nem minden technikai adatfolyam esik a GDPR hatálya alá. Az anyagok összetétele, garantia időtartama, javítási útmutatások és hasonló termékadatok általában nem kapcsolódnak egy személyhez, ezért a GDPR hatálya alá esik. Ez nem azt jelenti, hogy nincsenek szabályok — a digitális termékútlevél és az ESPR saját követelményeket támasztanak ezekre az adatokra — hanem azt, hogy a GDPR ebben az adatfolyamban nem ró további kötelezettséget.
Ez a különbségtétel releváns a mesterséges intelligencia munkahelyi alkalmazása során is. Egy olyan AI-rendszer, amely csak gépadatokat elemez, általában nem érinti az GDPR-t. Amint ugyanez a rendszer az egyes munkavállalók viselkedését vagy teljesítményét értékeli, megváltozik a helyzet, és a GDPR az AI-rendelettel együtt jön képbe. Aki ezt a különbségtételt saját helyzetére nézve szeretné megvizsgálni, azt legjobb egy jogásznak vagy a Személyes Adatok Hatóságának előterjeszteni; egy általános cikk ugyan vázolhatja ezt a különbségtételt, de nem tudja egy konkrét helyzetben megállapítani.
Hogyan ellenőrizze ezt saját vállalkozása számára
Mivel az GDPR, az ESPR, a digitális termékútlevél és az AI-rendelet mindegyikének saját alkalmazási köre van, érdemes minden egyes kötelezettségre vonatkozóan külön megvizsgálni, hogy vonatkoznak-e a vállalkozására, ahelyett, hogy azokat egy egészként kezelné. Az témákonként feldolgozott tudástárban ez a különbségtétel szabályozásonként részletezve van, így nem kell mindent egyszerre megértenie.
Szeretne gyorsan egy első jelzést arról, hogy a helyzetének vannak-e érintkezési pontjai a digitális termékútlevéllel vagy az AI-rendelettel, és ezáltal esetleg az GDPR-val is? Akkor végezze el az ingyenes gyorsszkenelést néhány kérdésben kezdeti jelzést kaphat, vagy tekintse meg a más vállalkozók által már feltett kérdésekre adott válaszokat. A saját, konkrét helyzethez továbbra is egy jogász vagy a Személyes Adatok Hatósága az illetékes kapcsolattartó.