O RGPD (o Regulamento Geral sobre a Proteção de Dados) já se aplicava antes de se escrever uma única palavra sobre um passaporte digital do produto ou um regulamento de IA, e esse regulamento não desaparece porque surgem novas regras. Sempre que a sua empresa processa dados pessoais — e praticamente todas as empresas o fazem, através de processos de pessoal, dados de clientes ou equipamentos que registam dados de utilização — o RGPD continua a aplicar-se juntamente com a nova regulamentação.
Se o RGPD afeta a sua empresa numa situação específica depende de saber se há realmente um processamento de dados pessoais. Um passaporte digital do produto que contém apenas dados técnicos sobre um equipamento (materiais, guia de reparação, período de garantia) normalmente fica fora do âmbito do RGPD. Assim que forem adicionados dados que possam ser rastreados até uma pessoa — um número de série associado a um proprietário, dados de utilização de um funcionário, ou um chatbot que processa questões de clientes — a situação muda para o âmbito do RGPD.
Por que este tema surge com mais frequência do que você espera
O regulamento de ecodesign (ESPR), o passaporte digital do produto e o regulamento de IA são todos novos, e é tentador pensar que substituem o RGPD ou o tornam desnecessário. Não é o caso. Estes regulamentos tratam de outras questões: informação sobre produtos, requisitos ambientais e o tratamento de sistemas de IA. O RGPD trata de algo diferente, nomeadamente a proteção de dados pessoais, independentemente do sistema ou equipamento que regista esses dados. Os quatro marcos podem, portanto, aplicar-se simultaneamente à mesma situação, sem que um substitua o outro.
Um exemplo torna isto concreto. Uma empresa de instalação que coloca contadores inteligentes pode ter de lidar com o passaporte digital do produto para o próprio equipamento, e ao mesmo tempo com o RGPD sempre que esse contador regista dados de consumo de uma casa específica. Ambas as regulamentações aplicam-se então lado a lado, ao mesmo equipamento, mas para um aspecto diferente do mesmo.
Quando o RGPD realmente entra em cena
O RGPD entra em cena sempre que os dados possam ser rastreados até uma pessoa identificada ou identificável. Isto pode dizer respeito a dados de pessoal na implementação de um novo sistema de IA no chão da fábrica, a dados de clientes que um fornecedor processa em seu nome, ou a dados de utilização que um equipamento recolhe e envia para um fabricante. A autoridade supervisora do RGPD nos Países Baixos é a Autoridade de Proteção de Dados; esta não avalia o passaporte digital do produto ou o regulamento de IA em si, mas sim o tratamento de dados pessoais que intervêm no processo.
Para quem verifica se há processamento de dados pessoais num projeto específico, é útil analisar isso por fluxo de dados: o que é registado, por quem, e pode ser rastreado até uma pessoa. Esta distinção determina se o RGPD se aplica, independentemente de haver também um passaporte digital do produto ou um sistema de IA envolvido. como lidamos com dados pessoais no passaporte do produto dá uma ideia de como essa distinção funciona na prática.
Quando o RGPD não desempenha um papel complementar
Nem todo o fluxo de dados técnicos fica sob o âmbito do RGPD. A composição de materiais, períodos de garantia, instruções de reparação e informações sobre produtos comparáveis normalmente não podem ser rastreadas até uma pessoa, e portanto ficam fora do âmbito do RGPD. Isto não significa que não existam regras — o passaporte digital do produto e o ESPR estabelecem requisitos próprios para essa informação — mas significa que o RGPD nesse fluxo específico não impõe obrigações adicionais.
Esta distinção é também relevante na aplicação de sistemas de IA no local de trabalho. Um sistema de IA que apenas analisa dados de máquinas geralmente não se aplica ao RGPD. Assim que o mesmo sistema avalia o comportamento ou desempenho de colaboradores individuais, a situação muda e o RGPD aparece ao lado do Regulamento de IA. Quem quiser esclarecer essa distinção para a sua própria situação pode apresentá-la melhor a um jurista ou à Autoridade Nacional de Proteção de Dados; um artigo geral pode esboçar essa distinção, mas não pode estabelecê-la para uma situação específica.
Como verificar isto para a sua própria empresa
Uma vez que o RGPD, o ESPR, o passaporte digital de produtos e o Regulamento de IA têm cada um seu próprio âmbito de aplicação, é vantajoso verificar em separado para cada obrigação se se aplicam à sua empresa, em vez de as tratar como um todo. Na base de conhecimentos por assunto essa distinção está elaborada por regulamento, para que não tenha de compreender tudo ao mesmo tempo.
Quer uma primeira indicação rápida se a sua situação tem pontos de contacto com o passaporte digital de produtos ou com o Regulamento de IA, e possivelmente também com o RGPD? Faça então a verificação rápida gratuita obter uma indicação inicial em algumas perguntas, ou consulte as respostas a perguntas que outros empresários já colocaram. Para a sua situação específica, um jurista ou a Autoridade Nacional de Proteção de Dados continuam a ser o ponto de contacto correto.