Hvem må se hvilke data fra produktpasset?

Hvad du konkret skal gøre

Hvad der forventes af dig

Det digitale produktpasport er ikke et dokument med ét adgangsniveau. ESPR udgår fra lagdelt adgang: nogle oplysninger er for alle, der scanner QR-koden, andre oplysninger er kun beregnet til specifikke parter som markedsaktører, tilsynsmyndigheder eller reparatører. Denne forskel skal afspejles i den måde, hvorpå pasportets tekniske opbygning er organiseret.

Skelne mellem offentlige og begrænsede oplysninger

Artikel 10 i ESPR (Forordning (EU) 2024/1781) nævner, hvilke kategorier af oplysninger der skal være i et produktpasport, men ikke alle kategorier er synlige for alle besøgende. For en virksomhed med 10 til 100 ansatte betyder det, at der ved udarbejdelsen af pasportets skal foretages et valg: hvilke oplysninger er passende for forbrugeren, der står ved hylderne, og hvilke oplysninger er faktisk beregnet til en montør, en genbruger eller en markedskontrolør. Denne forskel adskiller sig fra spørgsmålet hvilke oplysninger skal være i produktpasset for produkter — det spørgsmål omhandler indholdet, dette spørgsmål omhandler, hvem der får at se hvilken del af det indhold.

Tilknyt adgang til brugerens rolle

Artikel 11 i ESPR (Forordning (EU) 2024/1781) beskriver det digitale produktpasports tekniske design og drift, og det fremgår heraf, at adgang til oplysninger kan være differentieret afhængigt af brugerens kategori. For en virksomhed betyder det i praksis, at den platform, hvorpå pasportets hostes, skal kunne skelne mellem en forbruger, der søger generel produktinformation, en markedsaktør, der har behov for yderligere kædedata, og en tilsynsmyndighed, der har adgang til et bredere sæt oplysninger. Den, der skal indrette dette selv teknisk, står over for en betydelig opgave; den, der lader pasportets hoste af en platform, der allerede understøtter denne lagdelte adgang, behøver ikke at bygge denne del selv.

Skjule virksomhedsfølsom information uden at undvige forpligtelsen

Ikke alle oplysninger, der hører til i et pasport, er egnet til fuldstændig offentliggørelse. ESPR giver plads til at begrænse visse oplysninger til specifikke brugergrupper, men det er ikke en fribillet til at udelade følsom information helt. Hvad der kan og ikke kan i den sammenhæng, beskrives mere udførligt under skal jeg offentliggøre virksomhedsfølsom information om mine produkter. For spørgsmålet om, hvem der må se hvad, er det relevante punkt, at afskærmning er et spørgsmål om adgangsniveau, ikke om at slette oplysninger fra pasportets.

Sikre, at den rigtige part får adgang til de rigtige oplysninger

Et tredje element er af mere praktisk karakter: pasportets skal være indrettet således, at en tilsynsmyndighed, en markedsaktør senere i kæden eller en reparatør faktisk kan få adgang til de oplysninger, der er relevante for dem, uden at de er afhængige af, at fabrikanten skal slå noget op og sende det videre. Det berører også spørgsmålet skal jeg skrive oplysninger om reparation og komponenter i produktpasset — reparationsinformation har kun værdi, hvis den part, der udfører reparationen, faktisk kan få adgang til den, på det tidspunkt hvor det er nødvendigt.

Hvor det går galt i praksis

En række situationer dukker regelmæssigt op i praksis.

En virksomhed sætter alle oplysninger på ét offentligt tilgængeligt niveau, herunder information, der faktisk kun var beregnet til tilsynsmyndigheder. Det løser den tekniske opgave med lagdelt adgang ved blot at undgå den, men udsætter dermed også virksomhedsfølsom eller anden følsom information for offentlighed.

En anden virksomhed gør det modsatte: af forsigtighed sættes så meget som muligt bag en login eller begrænset adgang, også oplysninger, der faktisk var beregnet til forbrugeren. Resultatet er et pasport, der ved scanning af QR-koden ikke viser mere end en henvisning "kontakt os", mens hensigten var, at grundlæggende information var direkte synlig.

En tredje situation opstår, når en virksomhed arbejder med flere produktgrupper og bruger forskellige platforme eller tilgange for hver gruppe. Adgangsniveauer, der er indrettet for det ene pas, gælder ikke automatisk for det andet, og tilsynsmyndigheder eller kædeaktører, der konsulterer forskellige produkter fra samme virksomhed, møder inkonsistent adgang.

En fjerde situation: en virksomhed går ud fra, at adgang til passet er en engangsindstilling, mens data og de brugere, der er forbundet hermed, ændrer sig over tid. Det rejser spørgsmålet hvor ofte skal jeg opdatere oplysningerne i produktpasset — en ændret styklisteeller en ny recyclingmetode har ringe værdi, hvis den part, der har brug for disse oplysninger, ikke får adgang til den opdaterede version.

En femte situation opstår hos virksomheder, der eksporterer inden for EU, og som tror, at adgangsniveauer er forskellige pr. sprog eller pr. medlemsstat. Adgang er knyttet til brugerens rolle, ikke til det sprog, som dataene vises på — en sondring, der også er vigtig, når vi spørger skal jeg tilbyde produktpasset på flere sprog.

Hvad du kan dokumentere

• Et overblik over, hvilke datakategorier i passet der er offentligt tilgængelige, og hvilke der er begrænset til specifikke brugergrupper, samt årsagen til dette valg.
• En beskrivelse af, hvilke roller der får adgang til hvilket niveau: forbruger, markedsaktør, tilsynsmyndighed, reparatør eller recycler.
• Aftaler med hostingplatformen om, hvordan adgangsniveauer teknisk håndhæves, og hvem der er ansvarlig, hvis denne adgang skal ændres.
• En fastlagt procedure for opdatering af adgangsrettigheder, når data ændres, eller når nye brugergrupper bliver relevante.
• Dokumentation over, hvilke data der er markeret som forretningsfølsomt, og på hvilket adgangsniveau disse er placeret.
• Et internt kontaktpunkt for spørgsmål fra tilsynsmyndigheder eller kædeaktører om adgang til specifikke data i passet.

For virksomheder, der arbejder med flere produktgrupper, er det tilrådeligt at fastlægge disse aftaler en gang centralt, så de samme valg ikke skal træffes igen for hvert pas. Hvis nogen er i tvivl om, hvorvidt en bestemt produktgruppe allerede falder under disse forpligtelser, finder man et første ankerpunkt hos gælder det digitale produktpas for mine produkter.