GDPR (Splošna uredba o varstvu podatkov) je veljal že preden je padla kakšna beseda o digitalni potni listini ali uredbi o umetni inteligenci, in ta uredba ne izgine, ker nastanejo nova pravila. Čim vaše podjetje obdeluje osebne podatke — in to počne skoraj vsako podjetje, preko kadrovskih dosjejev, podatkov strank ali opreme, ki beleži podatke o uporabi — GDPR ob novi zakonodaji enostavno velja naprej.
Ali GDPR vaše podjetje v konkretni situaciji zadeva, je odvisno od vprašanja, ali se resnično obdelujejo osebni podatki. Digitalna potna listina samo s tehničnimi podatki o napravi (materiali, navodila za popravilo, jamstveno dobo) običajno ne spada pod GDPR. Čim se dodata podatka, ki ju je mogoče pripojiti osebi — serijska številka, vezana na lastnika, podatki o uporabi delavca ali chatbot, ki obdeluje vprašanja strank — se situacija premakne na GDPR-področje.
Zakaj se to področje pojavi pogosteje, kot mislite
Uredba o ekodizajnu (ESPR), digitalna potna listina in uredba o umetni inteligenci so vse tri nove, in skušnjava je misliti, da nadomeščajo ali odvečne naredijo GDPR. Tako ne velja. Te uredbe urejajo druge stvari: podatke o proizvodih, okoljske zahteve in ravnanje z AI-sistemi. GDPR ureja kaj drugega, in sicer varstvo osebnih podatkov, ne glede na to, kateri sistem ali naprava te podatke zajema. Štiriri okviri lahko veljajo hkrati v isti situaciji, brez da bi eden drugega nadomeščal.
Primer to konkretno pojasni. Instalacijsko podjetje, ki postavlja pametne merilnike, se lahko sooči z digitalno potno listino za samo napravo in hkrati z GDPR, čim ta merilnik beleži porabe konkretnega gospodinjstva. Oba predpisa veljata skupaj, za isto napravo, vendar za drug njen vidik.
Kdaj GDPR res pride v igro
GDPR pride v igro, čim so podatki pripisljivi prepoznani ali prepoznavni osebi. To so lahko kadrovska podatki pri uvedbi novega AI-sistema na delovnem mestu, podatki strank, ki jih dobavitelj obdeluje v vaše ime, ali podatki o uporabi, ki jih naprava zbira in pošilja proizvajalcu. Nadzorni organ za GDPR v Sloveniji je Urad za varstvo podatkov; ta ne preverja same digitalne potne listine ali uredbe o umetni inteligenci, temveč kako se obdelujejo osebni podatki, ki pri tem igrajo vlogo.
Za tiste, ki preverjajo, ali se v konkretnem projektu obdelujejo osebni podatki, je smiselno to pregledati po podatkovnih tokovih: kaj se beleži, kdo to počne, in ali se to da pripojiti osebi. Ta razlikovanje določa, ali GDPR velja, neodvisno od vprašanja, ali gre tudi za digitalno potno listino ali AI-sistem. kako ravnamo z osebnimi podatki pri potni listini za proizvode daje predstavo, kako se to razlikovanje v praksi obneslo.
Kdaj GDPR ne igra dodatne vloge
Ne vsak tehnični podatkovni tok spada pod GDPR. Sestava materialov, jamstveni roki, navodila za popravilo in podobne podatke o proizvodih običajno ni mogoče pripisati osebi, zato spadajo izven področja GDPR. To ne pomeni, da pravil ni — digitalna potna listina in ESPR postavljata lastne zahteve k tem podatkom — toda GDPR v tem specifičnem toku ne vsiljuje dodatne obveze.
To razlikovanje je relevant tudi pri uporabi AI na delovnem mestu. AI-sistem, ki analizira samo podatke o strojih, običajno ne vpliva na GDPR. Takoj ko isti sistem ocenjuje vedenje ali delovanje posameznih zaposlenih, se slika spremeni in se GDPR pojavlja poleg Uredbe o AI. Kdor želi to razlikovanje preveriti za svojo situacijo, jo lahko najbolje predloži pravniku ali Uradu za varstvo podatkov; splošni članek lahko sicer to razlikovanje opiše, vendar ne more biti določen za eno specifično situacijo.
Kako to preverite za vaše podjetje
Ker imajo GDPR, ESPR, digitalni pasport izdelka in Uredba o AI vsaka svoje področje uporabe, se splača, da za vsako obveznost posebej preverite, ali se nanašajo na vaše podjetje, namesto da bi jih obravnavali kot celoto. V bazi znanja po temah obdelana je to razlikovanje za vsako zakonodajo obdelano, tako da vam ni treba razumeti vsega naenkrat.
Želite hitro prvo nakazalko, ali vaša situacija stiče s poljubno plastjo s polarizacijo s polarizacijo digitalnega pasporta izdelka ali Uredbe o AI in s tem morda tudi z GDPR? Naredite brezplačno hitro analizo v nekaj vprašanjih dobi prvo nakazilo, ali si oglejte odgovore na vprašanja, ki so jih že postavili drugi podjetniki. Za lastno, posebno situacijo ostane pravnik ali Urad za varstvo podatkov pravi stik.