hvordan beskyttes mine produktoplysninger i passet mod misbrug

Adgangsrettigheder og tekniske krav bestemmer sikkerheden

Sikkerheden for data i det digitale produktpas følger af en kombination af adgangsrettigheder og tekniske krav, som ESPR stiller til passet. Ikke alle data i passet er synlige for alle: forordningen skelner mellem oplysninger, der er offentligt tilgængelige for forbrugere og andre parter, og oplysninger, der kun er beregnet til specifikke grupper såsom tilsynsmyndigheder, markedsdeltagere i forsyningskæden eller reparationsbedrifter. Desuden stiller artikel 11 i ESPR (Europa-Parlamentets og Rådets forordning (EU) 2024/1781) krav til det tekniske design af passet, herunder krav vedrørende pålideligheden og oprindelsen af dataene. Den, der faktisk hoster passet og indretter det teknisk, skal omsætte disse krav til konkrete foranstaltninger: godkendelse, kryptering og begrænsning af, hvem der må se eller ændre hvilke data.

Dette handler om databeskyttelse, ikke om bekæmpelse af svindel

Spørgsmålet "hvordan bliver mine produktdata sikret mod misbrug" har to sider, og ESPR regulerer især den ene. Forordningen stiller krav til systemet: hvem der får adgang til hvilke data, hvordan oprindelsen af dataene kan kontrolleres, og hvilke tekniske standarder, der gælder for lagring og udveksling af data. Det vedrører misbrug i betydningen uautoriseret adgang eller manipulation af data. Hvad ESPR ikke regulerer, er beskyttelse mod urimelig konkurrence, som alligevel får adgang til virksomhedsfølsomme oplysninger, fordi disse oplysninger skal være offentligt tilgængelige — det er et valg, der træffes i den delegerede forordning for hver produktgruppe, ikke noget, som en teknisk sikkerhedsforanstaltning kan ændre. Det er således vigtigt at skelne mellem to ting: hvilke data, der skal være offentligt tilgængelige (det følger af de produktgruppespecifikke regler), og hvordan de data, der ikke skal være offentligt tilgængelige, afskærmes (det følger af artikel 10 og 11 i ESPR). Den, der er bekymret for, at konkurrenter kan hente præcis opskrift, leverandørnavne eller interne testresultater fra passet, skal således se på, hvad produktgruppreglerne betegner som obligatorisk felt, ikke på sikringen af platformen.

Ingen fast dato for den tekniske udformning endnu

En præcis dato for, hvornår de tekniske og organisatoriske sikkerhedskrav for digitale produktpasporter træder i kraft, er ikke fastsat i ESPR selv. Forordningen fastsætter i artikel 10 og 11 rammerne, inden for hvilke Europa-Kommissionen gennem delegerede og gennemførelseshandlinger for hver produktgruppe nærmere præciserer, hvordan adgang, godkendelse og datasikkerhed teknisk udformes. Indtil disse gennemførelseshandlinger foreligger, gælder de almindelige bestemmelser i ESPR som udgangspunkt, men den konkrete tekniske specifikation — for eksempel hvilket godkendelsesprotokol, der anvendes, eller hvordan rettighedsstyring fungerer præcis — følger for hver produktgruppe, når den delegerede forordning vedtages. Den, der ønsker klarhed herom for en specifik produktgruppe, gør klogt i at følge status for denne delegerede forordning via de officielle kilder i stedet for at vente på en generel dato, der ikke findes.

Hvad en fabrikant eller importør kan aflæse heraf

For a manufacturer or importer having a dossier compiled, the practical sequence is as follows. First, it is relevant which data the product group-specific rules mark as mandatory public, and which data may remain of limited accessibility — that determines what exposure there is at all, separate from technique. Next, it is relevant how the party hosting the dossier technically shields access to non-public data: with what authentication, and whether a distinction is made between roles such as market surveillance authority, recycler or repairer. Then comes the question of how the identification of the product itself is arranged, because a dossier is only as reliable as the link between product and data: see also how you hvert produkt får en unik identifikationskode provides, so that data is not accidentally or intentionally linked to the wrong product. Finally, there is the question of physical access: the QR code on the product itself forms the gateway to the dossier, and anyone wondering what happens if that code is damaged or unreadable must know that this is a different risk from data breaches — it concerns availability, not misuse of data. For data supplied from your own ERP system, it is also useful to know how that link works, see link to your own system, because the security of that link is equally part of the chain.

Legal basis: Articles 10, 11 and 38 of the ESPR

This explanation follows from three articles of the ESPR (Regulation (EU) 2024/1781). Article 10 describes the requirements for the digital product dossier in general terms, including the distinction between public and limited access data. Article 11 governs the technical design and operation of the dossier, with requirements that touch on the reliability, provenance and security of data, and on who may consult or modify which data. Article 38 sets requirements for actors in the supply chain, which is relevant because multiple parties — manufacturer, importer, distributor — supply or consult data, and their role thus plays a part in how access is regulated.

Anyone preparing a dossier at this time would do well to first determine which data for their own product group must be made publicly available, and keep that separate from the question of how the hosting party technically secures access to other data — the official texts of Articles 10 and 11 form the starting point for this, supplemented by the product group-specific implementing act once it becomes available.