kan jeg bede min leverandør om en fortrolighedserklæring vedrørende pasoplysninger

Ja, det kan gøres, og det er almindelig praksis

En fortrolighedserklæring — ofte kaldet en NDA — kan uden problemer anmodes fra en leverandør, der leverer data til det digitale produktpas. ESPR'en (Forordning (EU) 2024/1781) forpligter leverandører og andre aktører i forsyningskæden til at videregive bestemte data, men forordningen siger intet om form for de omliggende aftaler. En fortrolighedserklæring er et tillæg hertil, ikke en erstatning: data skal leveres under alle omstændigheder, og erklæringen regulerer kun, hvad der herefter sker med disse oplysninger uden for passet.

For følsom produktinformation, ikke for selve pasdata

Den afgørende sondring er: data, der kommer ind i passet, er pr. definition beregnet til at være synlige for den, der konsulterer passet — det er netop formålet med QR-datablokken. En fortrolighedserklæring kan derfor ikke bruges til at forhindre, at obligatoriske pasdata til sidst kommer ind i passet. Hvad en NDA derimod er relevant for: de underliggende tekniske specifikationer, receptur, sammensætningsdetaljer eller produktionsprocesser, som en leverandør deler for at kunne udarbejde de rigtige pasdata, men som ikke behøver at stå i passet selv. En leverandør deler for eksempel en komplet materialesammensætning for at opnå et aggregeret tal, mens kun det tal vises i passet. For denne type bagvedliggende information er en fortrolighedserklæring et normalt og praktisk instrument, ligesom det allerede er tilfældet for anden leverandørinformation, der ikke er beregnet til passet.

Ingen fast dato, men et moment der er fastsat: før første dataanmodning

Der er ingen lovbestemt frist knyttet til udarbejdelsen af en fortrolighedserklæring — det er en forretningsmæssig aftale mellem parter, ikke en forpligtelse fra ESPR'en. Det, der står fast: jo tidligere denne aftale indgås, desto mindre diskussion opstår på det tidspunkt, hvor leverandøren skal levere data. Virksomheder, der allerede nu forbereder sig til produktgrupper, som passet kommer til at gælde for, gør klogt i at ordne fortrolighedsaftalen samtidig med de øvrige aftaler om datalevering, i stedet for at behandle dette som et separat emne senere.

Sådan går en fabrikant eller importør praktisk til værks

Som første trin er det fornuftigt at fastlægge, hvilken information der præcis anmodes fra leverandøren, og hvilket del heraf tjener udelukkende til at nå frem til pasdata, uden selv at skulle stå i passet — hvilke data skal jeg anmode min produktleverandør om giver et udgangspunkt herfor. Herefter er det praktisk, at fortrolighedserklæringen ikke står alene, men indgår i de bredere aftaler om datalevering: hvem leverer hvad, i hvilken form, og hvad gøres der dermed. Det gøres bedst ved straks at fastsætte det ordentligt i indkøbskontrakten, så fortrolighedserklæringen og leveringspligten ikke modsiger hinanden — se hvordan fastlægger jeg leveringen af pasportdata i min indkøbskontraktEt tredje punkt at være opmærksom på: en fortrolighedserklæring regulerer omgangen med information, men siger intet om, hvorvidt de leverede data også er korrekte. Det er fortsat et separat fokuspunkt, se hvordan kontrollerer jeg, om dataene fra min leverandør er korrekteEndelig er det fornuftigt at præcisere i erklæringen, at denne ikke er til hinder for pligten til faktisk at levere pasdata — en leverandør, der skjuler sig bag fortrolighed for ikke at levere, ændrer intet ved den forpligtelse, der følger af artikel 38 i ESPR'en.

Det juridiske grundlag: artikel 38, 29 og 10 i ESPR'en

Artikel 38 i ESPR (Forordning (EU) 2024/1781) beskriver kravene til aktører i forsyningskæden: de skal videregive visse oplysninger, der er nødvendige for at udarbejde det digitale produktpas. Denne forpligtelse er uafhængig af eventuelle fortrolighedsaftaler mellem parterne — forordningen regulerer, hvad der skal leveres, ikke hvordan leverandør og køber indbyrdes aftaler om fortrolighed for resten. Artikel 29 beskriver på tilsvarende måde importørers forpligtelser, som ligeledes afhænger af korrekt datalevering fra parter uden for EU — relevant for dem, der importerer produkter fra uden for Unionen, som nærmere beskrevet i hvad betyder produktpasset, når jeg importerer produkter fra uden for EU. Artikel 10 i ESPR beskriver kravene til det digitale produktpas selv, herunder hvilke data der skal være tilgængelige i det — og det er netop grænsen, som en fortrolighedserklæring ikke kan flytte: hvad der skal stå obligatorisk i passet, forbliver synligt, uanset hvilke aftaler der indgås herom.

Den, der ønsker at fastholde denne aftale, bør helst få fortrolighedserklæringen udarbejdet som en del af det bredere sæt af indkøbsaftaler med leverandøren, så fortrolighed og leveringspligt er forbundet i ét dokument i stedet for at eksistere løst ved siden af hinanden.

Hvor dette er baseret på

Verordningen selv findes på EUR-Lex. Vi henviser pr. påstand; du behøver ikke tro på os.

Hvad du konkret skal gøre

Hvad der forventes af dig

Du kan anmode en leverandør om en fortrolighedserklæring, og det sker også regelmæssigt i praksis, når pasportdata forlader virksomheden til en platform som vores eller til anden part i værdikæden. ESPR (Forordning (EU) 2024/1781) regulerer, hvilke data der skal indgå i det digitale produktpas, og hvem der skal levere dem, men forordningen indeholder ingen bestemmelse, der forpligter eller forbyder en fortrolighedserklæring. Det er derfor en forretningsaftale mellem Dem og Deres leverandør, uafhængig af pasporten selv.

Leverandørens dataafleveringer

Artikel 38 i ESPR beskriver, hvad der forventes af aktører i forsyningskæden, når det gælder om at stille informationer til rådighed for produktpasset. For en virksomhed med 10 til 100 medarbejdere betyder det i praksis, at en leverandør leverer data om materialer, sammensætning, herkomst eller andre karakteristika, der er nødvendige for at gøre passet fuldstændigt. Disse data kan være konkurrencefølsomme: en opskrift, en specifik legering, en leverandør af en kritisk komponent. At anmode om en fortrolighedserklæring berører således ikke forpligtelsen til at levere, men måden, hvorpå det sker.

Samenstilling af det digitale produktpas

Artikel 10 i ESPR beskriver kravene, som det digitale produktpas skal opfylde, herunder tilgængeligheden af data for forskellige parter såsom tilsynsmyndigheder, forbrugere eller recycler. Det betyder, at en del af de data, som en leverandør leverer, i sidste ende bliver synlig for tredjeparter via passet. For en virksomhed, der får passet sammensat, er det derfor også relevant at drøfte på forhånd med leverandøren, hvilke data der skal ind i passet, og hvilke data der kun er nødvendige internt for at kunne udfylde passet korrekt. En fortrolighedserklæring vedrører typisk denne anden kategori: de underliggende data, der ikke optræder i selve passet, men som er nødvendig for at nå til en korrekt samenstilling.

Forpligtelser ved import

Artikel 29 i ESPR beskriver importørers forpligtelser, herunder at kontrollere, om passet er til stede og korrekt, før et produkt kommer på EU-markedet. For virksomheder, der producerer eller samler med komponenter uden for EU, spiller dette en rolle: importøren har som regel brug for flere data fra en udenlandsk leverandør end blot det, der kommer i passet, for at kunne foretage den kontrol. Den, der ønsker at vide mere herom, finder baggrund ved hvad produktpasset betyder ved import fra uden for Den Europæiske Union. I denne relation er også en fortrolighedserklæring et almindeligt instrument til at beskytte følsom teknisk eller kommerciel information uden at hindre leveringen selv.

Hvor det går galt i praksis

En leverandør nægter at levere data med den begrundelse, at oplysningerne er fortrolige, mens der aldrig er blevet anmodet om en fortrolighedserklæring. Samtalen handler så om "levere eller ikke levere", mens det egentlige spørgsmål er "under hvilke betingelser". Se også hvad du skal gøre hvis en leverandør ikke leverer data.

En fortrolighedserklæring tages først på banen efter indgåelsen af indkøbsaftalen, når leverandøren allerede har delt data. Det virker modstridende: erklæringen har så ingen kontrol over det, der allerede er blevet udvekslet.

En virksomhed anmoder om en generel fortrolighedserklæring uden at præcisere, hvilke data det drejer sig præcist om. Leverandøren skriver under på noget mere uklart end nødvendigt, eller netop noget, der begrænser deres egen muligheder for at sammensætte paspoitet.

Der skabes ingen skelnen mellem data, der optræder i selve paspoitet — og derfor per definition bliver tilgængelige for tredjeparter — og data, der kun bruges internt. En fortrolighedserklæring, der siger, at "alle data" er fortrolige, står så i modstrid med, hvad paspoitet ifølge artikel 10 i ESPR faktisk skal gøre offentligt tilgængeligt.

Hos en leverandør, der leverer dele til flere produktgrupper på samme tid, bruges én fortrolighedserklæring til alle datastrømme, mens følsomheden og de gældende pasporthkrav kan variere fra produktgruppe til produktgruppe. Den, der arbejder med en sådan leverandør, læser videre under en leverandør, der leverer dele til forskellige produktgrupper.

Hvad du kan dokumentere

En fortrolighedserklæring (NDA), der specifikt nævner, hvilke kategorier af data, der falder under fortrolighed, og hvilke data, der skal optræde i paspoitet og derfor ikke er fortrolige.
En bestemmelse i indkøbsaftalen om levering af paspoortdata, herunder en henvisning til fortrolighedserklæringen som et separat dokument. Et udfyldt eksempel findes under aftaler om levering af pasportdata i indkøbskontrakten.
En oversigt over, præcist hvilke data, der er brug for fra leverandøren, så fortrolighedserklæringen ikke bliver bredere end nødvendigt. Se hvilke data der anmodes fra leverandøren.
En aftale om, hvad der sker med fortrolighedserklæringen ved skift af leverandør, så gamle erklæringer ikke fortsætter med at gælde på en måde, der ikke længere passer til den nye situation. Relevant under skift af leverandør under brug.
En procedure til at kontrollere leverede data for nøjagtighed, før de indgår i paspoitet, så en fortrolighedserklæring ikke hindrer en ordentlig kontrol. Mere herom under kontrol af data for nøjagtighed.
Ved brug af flere leverandører til den samme del: en aftale pr. leverandør i stedet for ét dokument, der gælder for alle på samme måde. Baggrund for dette findes under flere leverandører for den samme del.

Dette er ikke juridisk rådgivning. Denne side giver generel information om den lovgivning, som denne platform handler om. Vi kender ikke din situation. Hvis du er usikker på din egen situation, skal du konsultere en jurist eller den kompetente tilsynsmyndighed.

Skrevet med AI baseret på kilderne ovenfor, kontrolleret af menneske den 05-09-2026. Er der noget, der ikke er korrekt? Giv os besked — rettelser har prioritet.