Il GDPR (il Regolamento generale sulla protezione dei dati) valeva già prima che fosse scritta una sola parola su un passaporto digitale del prodotto o su un regolamento sull'intelligenza artificiale, e quel regolamento non scompare perché vengono aggiunte nuove norme. Non appena la vostra azienda tratta dati personali — e lo fa praticamente ogni azienda, attraverso fascicoli del personale, dati dei clienti o apparecchiature che registrano dati di utilizzo — il GDPR continua ad applicarsi accanto alla nuova normativa.
Se il GDPR riguarda la vostra azienda in una situazione specifica dipende dal fatto che vengono effettivamente trattati dati personali. Un passaporto digitale del prodotto con solo dati tecnici su un apparecchio (materiali, manuale di riparazione, periodo di garanzia) generalmente non rientra nel GDPR. Non appena vengono aggiunti dati riconducibili a una persona — un numero di serie collegato a un proprietario, dati di utilizzo di un dipendente, o un chatbot che elabora richieste di clienti — la situazione si sposta verso il territorio del GDPR.
Perché questo argomento ricompare più spesso di quanto pensi
Il regolamento sull'ecodesign (ESPR), il passaporto digitale del prodotto e il regolamento sull'intelligenza artificiale sono tutti e tre nuovi, ed è facile pensare che sostituiscano o rendano superfluo il GDPR. Non è così. Questi regolamenti disciplinano altre questioni: informazioni sui prodotti, requisiti ambientali e la gestione dei sistemi di intelligenza artificiale. Il GDPR disciplina qualcos'altro, vale a dire la protezione dei dati personali, indipendentemente da quale sistema o apparecchio registri tali dati. I quattro quadri normativi possono quindi applicarsi contemporaneamente alla stessa situazione, senza che uno sostituisca l'altro.
Un esempio lo rende concreto. Un'impresa di installazione che installa contatori intelligenti potrebbe avere a che fare con il passaporto digitale del prodotto per l'apparecchio stesso, e allo stesso tempo con il GDPR non appena il contatore registra i dati di consumo di una famiglia specifica. Entrambi i regolamenti si applicano allora uno accanto all'altro, per lo stesso apparecchio, ma per un aspetto diverso di esso.
Quando il GDPR entra effettivamente in gioco
Il GDPR entra in gioco non appena i dati sono riconducibili a una persona identificata o identificabile. Può trattarsi di dati del personale nell'implementazione di un nuovo sistema di intelligenza artificiale in fabbrica, di dati dei clienti elaborati da un fornitore per vostro conto, o di dati di utilizzo che un apparecchio raccoglie e trasmette a un produttore. L'autorità di controllo del GDPR nei Paesi Bassi è l'Autorità per la protezione dei dati; essa non valuta il passaporto digitale del prodotto o il regolamento sull'intelligenza artificiale in sé, ma bensì il trattamento dei dati personali che vi giocano un ruolo.
Per chi verifica se dati personali vengono trattati in un progetto specifico, è utile esaminarlo per flusso di dati: cosa viene registrato, da chi, ed è riconducibile a una persona. Questa distinzione determina se il GDPR si applica, indipendentemente dalla questione se sia coinvolto anche un passaporto digitale del prodotto o un sistema di intelligenza artificiale. come trattiamo i dati personali nel passaporto del prodotto fornisce un'idea di come questa distinzione si concretizza nella pratica.
Quando il GDPR non svolge un ruolo aggiuntivo
Non ogni flusso di dati tecnici rientra nel GDPR. La composizione dei materiali, i periodi di garanzia, le istruzioni di riparazione e le informazioni sui prodotti comparabili generalmente non sono riconducibili a una persona e quindi non rientrano nell'ambito di applicazione del GDPR. Ciò non significa che non vi siano norme — il passaporto digitale del prodotto e l'ESPR stabiliscono requisiti propri per tali informazioni — ma significa che il GDPR non impone obblighi aggiuntivi in quel flusso specifico.
Questa distinzione è rilevante anche quando si utilizza l'IA sul posto di lavoro. Un sistema di IA che analizza solo i dati delle macchine di solito non riguarda il GDPR. Nel momento in cui lo stesso sistema valuta il comportamento o le prestazioni dei singoli dipendenti, la situazione cambia e il GDPR insieme al Regolamento sull'IA entrano in gioco. Chi vuole chiarire questa distinzione per la propria situazione, farebbe bene a sottoporla a un legale o all'Autorità garante per la protezione dei dati personali; un articolo generale può sì illustrare questa distinzione, ma non stabilirla per una situazione specifica.
Come verificare questo per la vostra azienda
Poiché il GDPR, l'ESPR, il digital product passport e il Regolamento sull'IA hanno ciascuno il proprio ambito di applicazione, conviene verificare per ogni obbligo separatamente se si applica alla vostra azienda, invece di trattarli come un insieme unico. Nel database di conoscenze per argomento questa distinzione è articolata per ogni normativa, in modo che non dobbiate comprenderla tutta in una volta.
Volete una prima indicazione rapida se la vostra situazione ha punti di contatto con il digital product passport o il Regolamento sull'IA, e quindi potenzialmente anche con il GDPR? Allora fate la nostra quick-scan gratuita ottenere una prima indicazione in poche domande, oppure consultate le risposte alle domande che altri imprenditori hanno già posto. Per la vostra situazione specifica, rimane un legale o l'Autorità garante per la protezione dei dati personali il punto di contatto giusto.