как се защитават моите продуктни данни в паспорта срещу неправомерна употреба

Правата на достъп и техническите изисквания определят сигурността

Сигурността на данните в цифровия продуктен паспорт произтича от комбинация от права на достъп и технически изисквания, които ESPR поставя пред паспорта. Не всички данни в паспорта са видими за всички: регламентът прави разлика между информация, която е публично достъпна за потребителите и други страни, и информация, предназначена само за конкретни групи, като органи за надзор, участници на пазара в веригата на доставки или ремонтни предприятия. В допълнение, член 11 на ESPR (Регламент (ЕС) 2024/1781) поставя изисквания към техническото проектиране на паспорта, включително изисквания, свързани с надеждността и произхода на данните. Това, което действително хостова паспорта и го техническо устройство, трябва да преведе тези изисквания в конкретни мерки: удостоверяване, криптиране и ограничение на това кой има достъп до кои данни или могат да ги изменя.

Това е за защита на данни, не за борба срещу измама

Въпросът "как се защищават моите данни за продукта от злоупотреба" има две страни, а ESPR регулира преди всичко едната. Регламентът поставя изисквания към системата: кой получава достъп до кои данни, как се контролира произходът на данните и какви технически стандарти се прилагат за съхранение и обмен на данни. Това засяга злоупотребата в смисъла на неоторизиран достъп или манипулация на данни. Това, което ESPR не регулира, е защита срещу недобросъвестна конкуренция, която въпреки това получава достъп до чувствителна за бизнеса информация, защото тази информация трябва да бъде задължително публична — това е избор, който се прави в делегирания регламент за всяка категория продукти, а не нещо, което техническа мярка за сигурност може да промени. Следователно е необходимо да се разделят две неща: кои данни трябва да бъдат задължително публични (това произтича от специфичните за категорията правила) и как се защитават данните, които не са публични (това произтича от членове 10 и 11 на ESPR). Тези, които се притесняват, че конкуренти могат да извлекат точната рецепта, имена на доставчици или вътрешни резултати от тестване от паспорта, трябва да разгледат какво правилата за категория продукти определят като задължително поле, не сигурността на платформата.

Няма още установена дата на влизане в сила на техническото изпълнение

Точна дата, на която техническите и организационните изисквания за сигурност за цифровите продуктни паспорти влизат в сила, не е установена в самия ESPR. Регламентът поставя в членове 10 и 11 рамката, в която Европейската комисия чрез делегирани и изпълнителни акти, за всяка категория продукти, допълнително определя как достъпът, удостоверяването и сигурността на данните се организират технически. Докато не са приети тези изпълнителни акти, общите разпоредби на ESPR служат като отправна точка, но конкретното техническо уточнение — например кой протокол за удостоверяване се използва или как точно работи управлението на правата — следва за всяка категория продукти в момента на приемането на този делегиран акт. Тези, които искат сигурност по този въпрос за конкретна категория продукти, правят добре да следят статуса на този делегиран регламент чрез официалните източници, вместо да чакат обща дата, която не съществува.

Какво могат производителите или вносителите да извлекат от това

За производител или вносител, който възлага съставянето на паспорт, практическият ред е следният. Първо е от значение кои данни регулациите за специфична productова група определят като задължително публични, и кои данни могат да останат с ограничен достъп — това определя какво разкритие има изобщо, независимо от техниката. Впоследствие е от значение как страната, която хоства паспорта, технически ограничава достъпа до непубличните данни: с каква аутентификация, и дали се прави разлика между роли като надзорен орган, рециклиращо предприятие или ремонтьор. След това е въпросът как е организирана идентификацията на самия продукт, защото паспорт е толкова надежден, колкото връзката между продукт и данни: вижте също как ти всеки продукт получава уникален идентификационен код, предоставя, така че данните да не бъдат случайно или намерено свързани с грешния продукт. Накрая има въпросът за физическия достъп: QR кодът на самия продукт е входът към паспорта, и тези, които се чудят какво се случва, ако този код е повреден или нечетлив трябва да знаят, че това е различен риск от утечката на данни — тук се говори за достъпност, а не за злоупотреба на данни. За данни, които се доставят от собствена ERP система, е полезно също да знаете как работи тази връзка, вижте свързване със собствена система, защото безопасността на тази връзка е също част от веригата.

Правна основа: членове 10, 11 и 38 на ESPR

Това обяснение произлиза от три членове на ESPR (Регламент (EU) 2024/1781). Член 10 описва изискванията за дигиталния продуктов паспорт в общ смисъл, включително разлика между публични и ограничено достъпни данни. Член 11 урежда техническия дизайн и работата на паспорта, с изисквания, които засягат надежданост, произход и безопасност на данни, и кой какви данни може да консултира или променя. Член 38 поставя изисквания към участниците в веригата на доставки, което е от значение, защото няколко страни — производител, вносител, дистрибутор — доставляют или консултират данни, и техния роля следователно е важна как се урежда достъпът.

Тези, които в момента подготвят паспорт, могат най-добре първо да проверят кои данни за собствената productова група се задължително публикуват, и да го отделят от въпроса как страната, която хоства, технически защитава достъпа до останалите данни — официалните текстове на членове 10 и 11 служат за основа, допълнени с productово-групо-специфичния актът за изпълнение щом той е наличен.