jak jsou moje produktové údaje v pasu chráněny proti zneužití

Přístupová práva a technické požadavky určují zabezpečení

Zabezpečení údajů v digitálním produktovém pasu vychází z kombinace přístupových práv a technických požadavků, které na pas klade ESPR. Ne všechny údaje v pasu jsou viditelné pro všechny: nařízení rozlišuje mezi informacemi, které jsou veřejně přístupné spotřebitelům a dalším stranám, a informacemi určenými pouze pro určité skupiny, jako jsou orgány dohledu, účastníci trhu v dodavatelském řetězci nebo opravárenské firmy. Kromě toho článek 11 ESPR (Nařízení (EU) 2024/1781) klade požadavky na technické schéma pasu, včetně požadavků týkajících se spolehlivosti a původu údajů. Kdo pas skutečně hostuje a technicky jej zřizuje, musí tyto požadavky převést do konkrétních opatření: ověřování autenticity, šifrování a omezení přístupu k jednotlivým údajům a jejich změnám.

Jde o ochranu údajů, nikoli o boj proti podvodům

Otázka "jak jsou moje údaje o produktu chráněny před zneužitím" má dvě stránky, a ESPR upravuje především jednu z nich. Nařízení klade požadavky na systém: kdo získá přístup k jakým údajům, jak kontrolovat původ údajů a které technické normy platí pro ukládání a výměnu dat. To se dotýká zneužití ve smyslu neoprávněného přístupu nebo manipulace s údaji. Co ESPR neupravuje, je ochrana proti nekalé soutěži, která přesto získá přístup k obchodně citlivým informacím, protože tyto informace musí být povinně veřejné — to je volba, kterou se u jednotlivých skupin produktů stanoví v delegovaném nařízení, ne něco, co by technické bezpečnostní opatření mohlo změnit. Jde tedy o to oddělit dvě věci: které údaje musí být povinně veřejné (to vychází z pravidel specifických pro skupinu produktů) a jak jsou údaje, které nejsou veřejné, chráněny (to vychází z článků 10 a 11 ESPR). Kdo se obává, že konkurenti mohou z pasu vytěžit přesný recept, jména dodavatelů nebo interní výsledky testů, měl by se zaměřit na to, co pravidla skupiny produktů označují jako povinné pole, nikoli na zabezpečení platformy.

Zatím žádné pevné datum zahájení technické implementace

Přesné datum, kdy se technické a organizační požadavky na bezpečnost digitálních produktových pasů stanou účinnými, není stanoveno v jádru samotné ESPR. Nařízení v článcích 10 a 11 stanovuje rámec, v němž Evropská komise prostřednictvím delegovaných a prováděcích opatření dále specifikuje pro každou skupinu produktů, jak budou technicky formovány přístup, autentizace a bezpečnost údajů. Dokud tato prováděcí opatření nejsou přijata, platí obecná ustanovení ESPR jako výchozí bod, avšak konkrétní technická specifikace — například který protokol autentizace se použije nebo jak přesně bude fungovat správa práv — následuje pro každou skupinu produktů v okamžiku, kdy bude dané delegované nařízení přijato. Kdo si chce být jistý v této věci pro konkrétní skupinu produktů, měl by sledovat stav tohoto delegovaného nařízení prostřednictvím oficiálních zdrojů místo toho, aby čekal na obecné datum, které neexistuje.

Co z toho může výrobce nebo dovozce odečíst

Pro producenta nebo dovozce, který si nechá sestavit pasport, je praktický postup následující. Nejprve je relevantní, jaká data produktospecifické předpisy označují jako povinně veřejná a jaká data mohou zůstat s omezeným přístupem — to určuje, jaké informace vůbec budou zpřístupněny, nezávisle na technologii. Dále je relevantní, jak subjekt hostující pasport technicky zabezpečuje přístup k neveřejným datům: jakou autentizaci používá a zda rozlišuje mezi rolemi, jako jsou regulační orgán, recykler nebo opravář. Poté vyvstane otázka, jak je zajištěna identifikace samotného produktu, protože pasport je věrohodný pouze v míře, v jaké je spojení mezi produktem a daty spolehlivé: viz také jak zajistit, každý produkt obdrží jedinečný identifikační kód aby data nebyla omylem nebo úmyslně spojena s nesprávným produktem. Nakonec je zde otázka fyzického přístupu: QR kód na samotném produktu tvoří vstup do pasportu, a pokud si někdo položí otázku, co se stane, pokud bude tento kód poškozen nebo nečitelný, měl by vědět, že se jedná o jiné riziko než úniky dat — jde o dostupnost, nikoli o zneužití dat. Pro data dodávaná z vlastního systému ERP je navíc užitečné vědět, jak toto propojení funguje, viz propojení s vlastním systémem, protože bezpečnost tohoto propojení je stejně tak součástí řetězce.

Právní základ: články 10, 11 a 38 ESPR

Toto vysvětlení vychází ze tří článků ESPR (Nařízení (EU) 2024/1781). Článek 10 popisuje požadavky na digitální produktový pas v obecné rovině, včetně rozlišení mezi veřejnými a omezeně přístupnými daty. Článek 11 upravuje technické řešení a provoz pasu s požadavky dotýkajícími se věrohodnosti, původu a bezpečnosti dat a toho, kdo má přístup k jakým datům nebo je může upravovat. Článek 38 stanovuje požadavky na subjekty v dodavatelském řetězci, což je relevantní, protože více stran — výrobce, dovozce, distributor — dodává nebo přistupuje k datům, a jejich role tedy ovlivňuje způsob, jakým je přístup upraven.

Kdo v současnosti připravuje pas, měl by nejprve ověřit, která data jsou pro vlastní skupinu produktů povinně veřejně zveřejňována, a oddělit ji od otázky, jak subjekt poskytující hosting technicky zabezpečuje přístup k ostatním datům — oficiální znění článků 10 a 11 slouží jako výchozí bod, doplněné produktospecifickými prováděcími akty, jakmile budou k dispozici.