GDPR (den allmänna dataskyddsförordningen) gällde redan innan ett enda ord skrevs om ett digitalt produktpass eller en AI-förordning, och denna förordning försvinner inte bara för att nya regler tillkommer. Så snart ert företag behandlar personuppgifter — och nästan alla företag gör det, via personalakter, kunduppgifter eller utrustning som registrerar användningsdata — fortsätter GDPR att gälla vid sidan av den nya regelverket.
Huruvida GDPR påverkar ert företag i en specifik situation beror på frågan om personuppgifter faktiskt behandlas. Ett digitalt produktpass med endast tekniska uppgifter om en enhet (material, reparationsanvisning, garantitid) faller normalt utanför GDPR. Så snart det tillkommer uppgifter som kan härledas till en person — ett serienummer kopplat till en ägare, användningsdata från en anställd, eller en chattbot som behandlar kundfrågor — flyttas situationen in på GDPR-området.
Varför detta ämne kommer upp oftare än du tror
Ecodesignförordningen (ESPR), det digitala produktpasset och AI-förordningen är alla tre nya, och det är frestande att tro att de ersätter eller gör GDPR överflödig. Det gör de inte. Dessa förordningar reglerar andra saker: produktinformation, miljökrav och hantering av AI-system. GDPR reglerar något helt annat, nämligen skyddet av personuppgifter, oavsett vilket system eller vilken enhet som registrerar dessa uppgifter. De fyra ramverken kan således gälla samtidigt i samma situation, utan att det ena ersätter det andra.
Ett exempel gör detta konkret. Ett installationsföretag som installerar smarta mätare kan behöva hantera det digitala produktpasset för själva enheten, samtidigt som GDPR gäller när mätaren registrerar förbrukningsdata från ett specifikt hushåll. Båda regelverken gäller då vid sidan om varandra, för samma enhet, men för en olika aspekt av den.
När GDPR väl kommer in i bilden
GDPR kommer in i bilden så snart uppgifter kan härledas till en identifierad eller identifierbar person. Det kan gå om personaluppgifter när ett nytt AI-system införs på arbetsplatsen, om kunduppgifter som en leverantör behandlar för er räkning, eller om användningsdata som en enhet samlar in och skickar vidare till en tillverkare. Tillsynsmyndigheten för GDPR i Sverige är Datainspektionen; denna granskar inte själva det digitala produktpasset eller AI-förordningen, utan väl hanteringen av personuppgifter som spelar en roll däri.
För den som undersöker huruvida personuppgifter behandlas i ett specifikt projekt är det lämpligt att titta på det per dataström: vad registreras, av vem, och kan det härledas till en person. Denna skillnad avgör om GDPR är tillämplig, oberoende av frågan om det också finns ett digitalt produktpass eller ett AI-system inblandat. hur vi hanterar personuppgifter i produktpasset ger en bild av hur denna skillnad fungerar i praktiken.
När GDPR spelar ingen tilläggsroll
Inte varje teknisk dataström omfattas av GDPR. Materialsammansättning, garantitider, reparationsinstruktioner och liknande produktinformation kan normalt inte härledas till en person och faller då utanför GDPR:s tillämpningsområde. Det betyder inte att det inte finns några regler — det digitala produktpasset och ESPR ställer egna krav på denna information — men väl att GDPR inte i denna specifika dataström föreskriver någon tilläggsförpliktelse.
Denna distinktion är också relevant när AI används på arbetsplatsen. Ett AI-system som endast analyserar maskindata berör vanligtvis inte GDPR. Så fort samma system utvärderar beteende eller prestationer hos enskilda anställda ändras bilden, och GDPR kommer vid sidan av AI-förordningen in i bilden. Den som vill fråga om denna distinktion för sin egen situation gör bäst i att förelägga den för en jurist eller Myndigheten för dataskydd; en allmän artikel kan väl skissera denna distinktion, men kan inte fastställa den för en specifik situation.
Hur du kontrollerar detta för ditt eget företag
Eftersom GDPR, ESPR, det digitala produktpasset och AI-förordningen vart och ett har sitt eget tillämpningsområde, lönar det sig att separat kontrollera för varje förpliktelse om den gäller ditt företag, i stället för att behandla dem som en helhet. I kunskapsbanken per ämne bearbetad är denna distinktion utarbetad per regelgivning, så att du inte behöver förstå allt på en gång.
Vill du snabbt få en första indikation på om din situation har kontaktpunkter med det digitala produktpasset eller AI-förordningen, och därmed möjligen också med GDPR? Gör då den kostnadsfria snabbscanningen få en första indikation i några frågor, eller se svar på frågor som andra företagare redan ställde. För din egen specifika situation återstår en jurist eller Myndigheten för dataskydd som rätt kontaktpunkt.