GDPR (Všeobecné nariadenie o ochrane údajov) platil už pred tým, ako sa napísalo jediné slovo o digitálnom produktovom pase alebo regulácii o AI, a toto nariadenie nezmizne len preto, že prídu nové pravidlá. Akonáhle vaša firma spracovávajú osobné údaje — a to robí prakticky každá firma, prostredníctvom personálnych záznamov, údajov o zákazníkoch alebo zariadení, ktoré zaznamenávajú údaje o používaní — GDPR naďalej platí popri novej regulácii.
To, či GDPR zasiahne vašu firmu v konkrétnej situácii, závisí od toho, či sa skutočne spracovávajú osobné údaje. Digitálny produktový pas obsahujúci iba technické údaje o zariadení (materiály, návod na opravu, doba záruky) zvyčajne nespadá pod GDPR. Akonáhle sa pridajú údaje, ktoré sa dajú viaznať na osobu — sériové číslo späté s vlastníkom, údaje o používaní zamestnanca alebo chatbot, ktorý spracúva otázky zákazníkov — situácia sa presúva na pôdu GDPR.
Prečo sa táto téma objavuje často, ako by ste čakali
Nariadenie o ekodesigne (ESPR), digitálny produktový pas a regulácia o AI sú všetky tri nové, a je lákavé myslieť si, že nahradzujú alebo robia GDPR zbytočným. To nie je tak. Tieto nariadenia regulujú iné veci: informácie o produktoch, požiadavky na životné prostredie a zaobchádzanie so systémami AI. GDPR reguluje niečo iné, a to ochranu osobných údajov bez ohľadu na to, ktorý systém alebo zariadenie tieto údaje zaznamenávajú. Štyri rámce sa teda môžu vzťahovať na rovnakú situáciu bez toho, aby jeden nahradil druhého.
Konkrétny príklad to objasní. Inštalačná firma, ktorá inštaluje inteligentné meracie zariadenia, môže mať možno povinnosti voči digitálnemu produktovému pasu samotného zariadenia a súčasne voči GDPR, akonáhle meračič zaznamenáva údaje o spotrebe konkrétnej domácnosti. Obe regulácie potom platia vedľa seba, pre rovnaké zariadenie, ale pre iný jeho aspekt.
Kedy GDPR naozaj vstúpi do hry
GDPR vstúpi do hry, akonáhle sú údaje viazateľné na identifikovanú alebo identifikovateľnú osobu. Môže ísť o personálne údaje pri zavádzaní nového systému AI na pracovisku, o údaje zákazníkov, ktoré dodávateľ spracúva v tvojom mene, alebo o údaje o používaní, ktoré zariadenie zbiera a posiela výrobcovi. Regulátorom GDPR v Holandsku je Úrad na ochranu osobných údajov; ten neposúďuje samotný digitálny produktový pas alebo reguláciu o AI, ale posúdi zaobchádzanie s osobnými údajmi, ktoré hrajú svoju úlohu.
Pre tých, ktorí overia, či sa v konkrétnom projekte spracovávajú osobné údaje, je vhodné to posúdiť na základe každého toku údajov: čo sa zaznamenáva, kto to robí a či sa to dá viaznať na osobu. Toto rozlíšenie určuje, či GDPR platí, nezávisle od otázky, či ide aj o digitálny produktový pas alebo systém AI. ako sa správame s osobnými údajmi pri produktovom pase poskytuje predstavu o tom, ako sa toto rozlíšenie uplatňuje v praxi.
Kedy GDPR nehrá ďalšiu úlohu
Nie každý technický tok údajov spadá pod GDPR. Zloženie materiálov, doby záruky, pokyny na opravu a podobné informácie o produktoch zvyčajne nie sú viazateľné na osobu a nespadajú pod oblasť pôsobnosti GDPR. To neznamená, že neplatia žiadne pravidlá — digitálny produktový pas a ESPR majú vlastné požiadavky na tieto informácie — ale znamená to, že GDPR v tomto konkrétnom toku neustanovuje žiadnu ďalšiu povinnosť.
Toto rozlíšenie je relevantné aj pri nasadzovaní AI na pracovisko. AI systém, ktorý analyzuje iba údaje o strojoch, zvyčajne sa nedotýka GDPR. Akonáhle rovnaký systém hodnotí správanie alebo výkonnosť jednotlivých zamestnancov, obraz sa zmení a GDPR sa objaví vedľa nariadenia o AI. Kto chce toto rozlíšenie overiť pre vlastnú situáciu, môže ho najlepšie predložiť právnikovi alebo Úradu na ochranu osobných údajov; všeobecný článok síce môže toto rozlíšenie načrtnúť, ale nemôže ho určiť pre jednu špecifickú situáciu.
Ako si to overíte pre vlastnú firmu
Pretože GDPR, ESPR, digitálny produktový pas a nariadenie o AI majú každé svoj vlastný rozsah aplikácie, oplatí sa overiť si každú povinnosť samostatne, či sa vzťahuje na vašu firmu, namiesto toho, aby ste ich spracúvali ako jeden celok. V znalostnej banke podľa tém rozpracovanej sa toto rozlíšenie spracúva podľa jednotlivých právnych predpisov, aby ste nemuseli všetko pochopiť naraz.
Chcete si rýchlo urobiť prvý názor na to, či vaša situácia má dotyčné body s digitálnym produktovým pasom alebo nariadením o AI, a tým pádom aj s GDPR? Potom si urobte bezplatnú rýchlu kontrolu v niekoľkých otázkach získať prvú indikáciu, alebo si pozrite odpovede na otázky, ktoré si už položili iní podnikatelia. Pre vlastnú špecifickú situáciu zostáva právnik alebo Úrad na ochranu osobných údajov správnym kontaktným bodom.