I tag NFC ricadono sotto le regole di protezione dei dati?
Un tag vergine che contiene un indirizzo non è un dato personale e non crea alcun obbligo. Lo crea il sistema che alimenta: un registro di chi ha avvicinato il telefono a che cosa e quando, o un identificatore che si può collegare a una persona. Le regole seguono il registro, non l'oggetto che lo ha fatto scattare.
L'oggetto è raramente il problema
Un tag che contiene un indirizzo, le credenziali di una rete o un pezzo di testo su un prodotto non è un dato personale e non lo diventa per il fatto di stare su un tag.
Un tag può contenere dati personali, certo, e allora sono dati personali su un oggetto che chiunque lo maneggi può leggere, che è un argomento a sé.
Se una data installazione ricada sotto un dato quadro normativo, quale quadro si applichi e quali siano le soglie dipende interamente dalla giurisdizione e dalla natura del trattamento. L'autorità è la legge nazionale e il tuo consulente legale, non questa pagina.
Quello che si può dire in generale è dove stia il rischio, e non sta sul tag.
Il registro di solito lo è
Un identificatore che si può collegare a una persona viene in genere trattato come un dato personale, anche quando l'identificatore stesso sembra un numero senza significato.
Quindi l'identificatore di un badge accanto a un nome, un indirizzo per tag accanto a una sessione, o un registro dei tocchi accanto a un account sono tutti registri su persone.
L'identificatore di un tag è esattamente questo tipo di valore. Da solo nomina un oggetto; unito a qualcosa su una persona, nomina la persona.
Le installazioni sbagliano ragionando sul tag invece che sull'unione, e l'unione è il punto in cui l'obbligo compare.
I casi che sorprendono
La presenza e gli accessi, dove un registro di chi era dove e quando nasce come effetto collaterale del fatto che il sistema funzioni.
Gli indirizzi per tag in un'installazione pubblica, che producono dati di posizione sui visitatori senza che nessuno abbia deciso di raccogliere la posizione.
I sistemi rivolti ai dipendenti, dove il rapporto di forze cambia quello che conta come consenso e dove gli obblighi sono di solito più pesanti.
E la conservazione, che è il guasto di cui nessuno si accorge: un sistema che tiene tutto perché la cancellazione non è mai stata specificata.
Che cosa farci
Decidi che cosa l'installazione abbia bisogno di registrare prima che venga costruita, e registra quello invece di tutto ciò che la tecnologia mette a disposizione.
Scrivi per quanto tempo ogni registro viene conservato e che cosa lo cancella, dato che una regola di conservazione che esiste solo come intenzione non esiste.
Tratta i dati per tag come dati di posizione all'interno, che è l'inquadramento che produce decisioni sensate senza aver bisogno di un parere legale per ciascuna.
E fatti consigliare per qualsiasi cosa riguardi i dipendenti, il controllo degli accessi o un'installazione pubblica di grandi dimensioni, perché sono i casi in cui la risposta dipende dalla giurisdizione e il costo di sbagliare è reale.
Domande frequenti
L'identificatore di un tag è un dato personale?
Da solo identifica un oggetto. Unito a qualcosa su una persona identifica la persona, e quell'unione è il punto in cui compaiono gli obblighi.
Un tag su un manifesto crea obblighi?
Non il tag. Li crea la destinazione, perché è lì che una visita viene registrata.
Quale quadro normativo si applica a me?
Dipende dalla giurisdizione e da quello che tratti. L'autorità è la legge nazionale e il tuo consulente legale, non una guida generale.
Qual è l'errore più comune?
La conservazione. I sistemi tengono tutto perché la cancellazione non è mai stata specificata, e quello è il guasto di cui nessuno si accorge.