Rozporządzenie o ochronie danych (RODO) obowiązywało już zanim jedno słowo zostało napisane o cyfrowym paszporcie produktu lub rozporządzeniu o AI, i to rozporządzenie nie znika, ponieważ pojawiają się nowe zasady. Gdy tylko Twoja firma przetwarza dane osobowe — a robi to praktycznie każda firma, poprzez teczki pracowników, dane klientów lub urządzenia rejestrujące dane użytkowania — RODO nadal ma zastosowanie obok nowych przepisów.
To, czy RODO dotyczy Twojej firmy w konkretnej sytuacji, zależy od tego, czy faktycznie przetwarzane są dane osobowe. Cyfrowy paszport produktu zawierający wyłącznie dane techniczne dotyczące urządzenia (materiały, instrukcja naprawy, okres gwarancji) zwykle nie podlega RODO. Gdy pojawią się dane, które można przypisać do osoby — numer seryjny powiązany z właścicielem, dane użytkowania pracownika lub chatbot przetwarzający zapytania klientów — sytuacja przesuwa się na obszar RODO.
Dlaczego ten temat pojawia się częściej niż myślisz
Rozporządzenie ecodesign (ESPR), cyfrowy paszport produktu i rozporządzenie o AI są wszystkie nowe, i łatwo jest myśleć, że zastępują RODO lub czynią ją zbędną. Tak nie jest. Te rozporządzenia regulują inne sprawy: informacje o produktach, wymogi środowiskowe i postępowanie z systemami AI. RODO reguluje coś innego, a mianowicie ochronę danych osobowych, niezależnie od tego, który system lub urządzenie te dane rejestruje. Te cztery ramy mogą zatem mieć jednocześnie zastosowanie do tej samej sytuacji, bez aby jedna zastępowała drugą.
Przykład czyni to konkretnym. Firma instalacyjna montująca inteligentne liczniki może mieć do czynienia z cyfrowym paszportem produktu dla samego urządzenia, a jednocześnie z RODO, gdy licznik rejestruje dane zużycia konkretnego gospodarstwa domowego. Oba przepisy obowiązują wówczas obok siebie, dla tego samego urządzenia, ale dla innego jego aspektu.
Kiedy RODO rzeczywiście wchodzi w grę
RODO wchodzi w grę, gdy dane można przypisać do zidentyfikowanej lub możliwej do zidentyfikowania osoby. Może to dotyczyć danych pracowników przy wdrażaniu nowego systemu AI na terenie pracy, danych klientów przetwarzanych przez dostawcę w Twoim imieniu, lub danych użytkowania zbieranych przez urządzenie i przesyłanych do producenta. Nadzorcą ds. RODO w Holandii jest Urząd Ochrony Danych Osobowych; nie ocenia on samego cyfrowego paszportu produktu ani rozporządzenia o AI, ale ocenia postępowanie z danymi osobowymi, które w tym zakresie odgrywają rolę.
Dla osób sprawdzających, czy w konkretnym projekcie przetwarzane są dane osobowe, przydatne jest spojrzenie na to dla każdego strumienia danych: co jest rejestrowane, przez kogo i czy można to przypisać do osoby. To rozróżnienie określa, czy RODO ma zastosowanie, niezależnie od pytania, czy pojawia się również cyfrowy paszport produktu lub system AI. jak postępujemy z danymi osobowymi w paszporcie produktu pokazuje, jak to rozróżnienie wygląda w praktyce.
Kiedy RODO nie odgrywa dodatkowej roli
Nie każdy techniczny strumień danych podlega RODO. Skład materiałów, okresy gwarancji, instrukcje naprawy i porównywalne informacje o produktach zwykle nie są przypisane do osoby i wychodzą poza zakres RODO. To nie oznacza, że nie obowiązują żadne zasady — cyfrowy paszport produktu i ESPR stawiają własne wymogi dotyczące tych informacji — ale oznacza, że w tym konkretnym strumieniu RODO nie nakłada dodatkowych obowiązków.
To rozróżnienie ma znaczenie również przy wdrażaniu sztucznej inteligencji w miejscu pracy. System sztucznej inteligencji, który analizuje tylko dane maszynowe, zwykle nie dotyka RODO. Gdy ten sam system ocenia zachowanie lub wydajność poszczególnych pracowników, obraz się zmienia i RODO pojawia się obok rozporządzenia o sztucznej inteligencji. Kto chce wyjaśnić to rozróżnienie dla swojej sytuacji, powinien skonsultować się z prawnikiem lub z Urzędem Ochrony Danych Osobowych; artykuł ogólny może to rozróżnienie nakreślić, ale nie może go określić dla jednej konkretnej sytuacji.
Jak to sprawdzić w swojej firmie
Ponieważ RODO, ESPR, cyfrowy paszport produktu i rozporządzenie o sztucznej inteligencji mają każde swój własny zakres zastosowania, warto dla każdego obowiązku oddzielnie sprawdzić, czy dotyczą one Twojej firmy, zamiast traktować je jako całość. W bazie wiedzy opracowanej tematu po temacie to rozróżnienie jest opracowane dla każdego rozporządzenia, dzięki czemu nie musisz wszystkiego rozumieć jednocześnie.
Chcesz szybko uzyskać pierwszą wskazówkę, czy Twoja sytuacja ma punkty wspólne z cyfrowym paszportem produktu lub rozporządzeniem o sztucznej inteligencji, a tym samym możliwie także z RODO? Zrób wtedy bezpłatne szybkie skanowanie w kilku pytaniach otrzymać pierwsze wskazanie, lub sprawdź odpowiedzi na pytania, które już zadali inni przedsiębiorcy. W przypadku własnej, konkretnej sytuacji prawnik lub Urząd Ochrony Danych Osobowych pozostają właściwym punktem kontaktowym.