Det digitale dækpasport er grundlæggende opbygget af produktdata: materialsammensetning, tekniske specifikationer, labelværdier og overensstemmelsesdokumenter. Disse er ikke personoplysninger, og GDPR finder grundlæggende ikke anvendelse derpå. Spørgsmålet bliver mere interessant, når en virksomhed begynder at bruge passet i sin egen drift, for eksempel ved at knytte det til et registreringsnummer, en chauffør eller en vedligeholdelseslog med et navn i.
I det øjeblik opstår der et andet lag af data, som ikke er foreskrevet af forordningen, men som skyldes den måde, en virksomhed bruger passet i sine egne processer. Dette lag kan meget vel indeholde personoplysninger, og det er så op til virksomheden selv at vurdere, om og hvordan GDPR finder anvendelse derpå. Skellet mellem de obligatoriske produktdata og de frivilligt tilføjede virksomhedsdata er den detalje, der kommer mest frem i denne sammenhæng.
Hvad passet standardmæssigt indeholder
Datakategorierne for dækpasset fastsættes gennem en delegeret retsakt inden for ESPR-forordningen. Denne retsakt er endnu ikke offentliggjort; arbejdsplanen nævner 2027, og den dato, hvor dækpasporter faktisk bliver obligatoriske, forventes at være omkring 2029. Det, der er klart: de data, som forordningen foreskriver, handler om produktet. Tænk på identificering af dækket, de anvendte materialer, præstationsværdier og dokumentation, der viser, at reglerne er overholdt. Der er i denne ordning ingen grund til at medtage navne, adresser eller øvrige oplysninger om personer. Hvis man ønsker at se, hvilke kategorier der allerede er synlige i praksis, og hvor de kommer fra, finder man et overblik i vidensbanken med forklaring pr. emne.
Hvor personoplysninger alligevel kan dukke op
Virksomheder opbygger ofte deres egen administration omkring passet. En wagenparkforvalter knytter et dæk til et registreringsnummer og en chauffør. En installatørvirksomhed registrerer vedligeholdelsesbesøg med navnet på mekanikeren, der monterede dækket. Et værksted registrerer et kundenavn ved et garantikrav. Disse data er nyttige for virksomhedens egen drift, men de hører ikke til blandt de obligatoriske produktdata i selve passet. De opstår i systemerne rundt omkring: wagenparks administrationssystem, regnskabsbogføringen, CRM-miljøet. Det er dette eget lag, hvor GDPR kan spille en rolle, ikke passet som sådan.
Hvem er ansvarlig for hvilke data
For produktdataene i passet ligger ansvaret hos den, der leverer dataene, normalt producenten eller importøren, som optræder som leverandør. For de data, som en virksomhed selv tilføjer i sin egen administration, gælder et andet forhold: her er virksomheden selv den part, der skal vurdere, om personoplysninger bliver behandlet, og på hvilket grundlag det sker. Dette er en særskilt vurdering, der er uafhængig af de forpligtelser, der følger af ESPR-forordningen. En juridisk konsulent eller Datatilsynet er den rette part til at foretage denne vurdering for en konkret situation.
Hvad dette betyder for aftaler med din leverandør eller host
Så snart en virksomhed gør brug af en softwarepartner eller hostingpartner til at administrere passet, er det hensigtsmæssigt at spørge, hvilke data denne part præcist gemmer, hvor dataene er placeret, og om der er behov for en databehandleraftale. Dette er især relevant, hvis leverandøren også administrerer de supplerende virksomhedsdata, såsom vedligeholdelseslogs eller koblinger med registreringsnumre. Hvordan tyrepas.eu håndterer datalagring og sikring af passets kerndata, er nærmere forklaret på siden sikkerhed og omgang med data. For egen tillsørende administration forbliver vurderingen og aftalen med softwareleverandøren et anliggende for virksomheden selv.
Hvad du selv kan kontrollere
Det er overskueligt først at kortlægge, hvilke data din virksomhed indsamler omkring bandepasporet, og hvilke af disse kan henføres til en person. Handler det udelukkende om produktdata, er GDPR ikke relevant. Så snart navne, registreringsnumre knyttet til en køreindehaver eller andre identificerbare data kommer til, er en særskilt GDPR-vurdering på sin plads. Et første overblik over, hvor din situation står, giver produktscanningen med et par korte spørgsmål. For den præcise afvejning i din egen virksomhed forbliver en jurist eller tilsynsmyndigheden det rette kontaktpunkt.
Vil du se bredere, hvilke spørgsmål der spiller ind omkring bandepasporet, fra rolle i værdikæden til kontraktaftaler med din softwareleverandør? Ofte stillede spørgsmål om bandepasporet giver et overblik, og den gratis hurtigscan viser på få minutter, hvor din virksomhed står.