kuidas kaitstakse minu tooteandreid digitaalses tootjapässis kuritarvitamise eest

Juurdepääsuõigused ja tehnilised nõuded määravad turvalisuse

Digitaalse tootepasse andmete turvalisus tuleneb ESPR-ga seotud juurdepääsuõiguste ja tehniliste nõuete kombinatsioonist. Mitte kõik andmed passis ei ole kõigile nähtavad: määruse kohaselt eristatakse teave, mis on tarbijatele ja muudele osapoolte jaoks avalikult ligipääsetav, ja teave, mis on ette nähtud ainult konkreetsete rühmade jaoks, nagu järelevalveasutused, tarne- ja tarkvararidis olevad turumajanduse osalejad või parendamisfirmad. Lisaks esitab ESPR artikkel 11 (Määrus (EL) 2024/1781) nõudeid passi tehnilistele disainile, sealhulgas nõudeid, mis on seotud andmete usaldusväärsuse ja päritoluga. Kes passi tegelikult majutab ja tehniliselt korraldab, peab need nõuded tõlkima konkreetsete meetmete järgi: autentimine, krüptimine ja piirangud selle kohta, kes milliseid andmeid võib vaadata või muuta.

See puudutab andmekaitset, mitte pettuste tõkestamist

Küsimus "kuidas on minu tooteteave kaitstud kuritarvituse eest" omab kahte külge, ja ESPR reguleerib peamiselt ühte neist. Määruse kohaselt esitatakse nõudeid süsteemile: kes saab milliseid andmeid, kuidas kontrollida andmete päritolu ja millised tehnilised standardid kehtivad andmete salvestamisele ja vahetamisele. See puudutab kuritarvitust juurdepääsuõigusteta juurdepääsu või andmete manipuleerimise mõttes. Mida ESPR ei reguleeri, on kaitse ebaausast konkurentsist, mis siiski saab juurdepääsu ärivõimaluste teabele, sest see teave peab olema kohustuslikult avalik — see on valik, mille määruses on iga tooteklassi jaoks tehtud, mitte midagi, millele tehnilised turvameetmed midagi muudavad. Seega on vaja kahte asja eraldi hoida: millised andmed on kohustuslikult avalikud (see tuleneb tooteklassi-spetsifilistest reeglitest) ja kuidas andmed, mis ei ole avalikud, on kaitstud (see tuleneb ESPR artiklite 10 ja 11 alusel). Kes on mures selle pärast, et konkurendid võivad passist välja võtta täpse retseptuuri, tarnijate nimesid või sisemisi testandmeid, peaksid seega vaatama, mida tooteklassi reeglid kohustusliku väljana märgivad, mitte platvormi turvalisust.

Tehnilise väljatöötamise jaoks pole veel kindlat jõustumiskuupäeva määratud

Täpset kuupäeva, millal digitaalsete tootepasside tehnilised ja organisatsioonilised turvameetmed jõustuvad, ei ole määratud ESPR-i tuuma osas. Määrus sätestab artiklites 10 ja 11 raamistiku, mille piires Euroopa Komisjon delegeeritud ja täitevaktidega täpsustab iga tootegruppide jaoks, kuidas juurdepääs, autentimine ja andmete kaitse tehniliselt kujundatakse. Kuni need täitevaktid on olemas, kehtestavad ESPR-i üldised sätted lähtepunktina, kuid konkreetne tehniline spetsifikatsioon – näiteks millist autentimisprotokoll kasutatakse või kuidas õiguste haldus täpselt toimib – järgneb iga tootegrupis sel ajal, mil see delegeeritud määrus vastuvõetakse. Kes tahab selles küsimuses kindlust saada konkreetse tootegruppi puudutavas osas, teeb hästi, kui jälgib selle delegeeritud määruse staatust ametlike allikate kaudu, selle asemel et oodata üldist kuupäeva, mis ei eksisteeri.

Mida saab tootja või importija sellest järeldada

Tootajale või importöörile, kes litsendab koostada passi, on praktiline järjekord järgmine. Esiteks on asjakohaseks see, milliseid andmeid määravad tootegrupi spetsiifilised eeskirjad avalikult kohustuslikuks, ja milliseid andmeid võib piiratavalt juurdepääsetavad jääda — see määrab, mis üldse avatakse, sõltumata tehnikast. Järgmiselt on asjakohaseks see, kuidas pass hostiv osapool tehnilistelt juurdepääsu piiratavate andmete suhtes kindlustab: millist autentimist kasutades ja kas eristatakse rolle nagu järelevalvaja, ringlussevõtja või remondija. Seejärel tekib küsimus, kuidas on korraldatud toote enda tuvastamine, sest pass on usaldusväärne ainult sel määral, kuivõrd seotus toote ja andmete vahel on õige: vaata ka, kuidas sa iga toode saab unikaalse identifitseerimiskoodi annid, nii et andmeid ei ühendataks kogemata ega tahtlikult valele tootele. Lõpuks on küsimus füüsilisest juurdepääsust: QR-kood toote ise peal moodustab sissepääsu passi, ja kes imestab, mis juhtub siis, kui see kood on kahjustatud või loetamatu peab teadma, et see on teine risk kui andmelekked — sel juhul käib see kättesaadavusest, mitte andmete väärkasutamisest. Andmete puhul, mis omistatakse oma ERP-süsteemist, on kasulik ka teada, kuidas see ühendus toimib, vaata ühendamine oma süsteemiga, sest selle ühenduse turvamine on samuti ühenduse osa.

Õiguslik alus: ESPR artikkel 10, 11 ja 38

See selgitus tuleneb ESPR kolmest artiklist (Määrus (EL) 2024/1781). Artikkel 10 kirjeldab digitaalse tootepassi nõudeid üldises mõttes, sealhulgas eristatakse avalike ja piiratavalt juurdepääsetavate andmete vahel. Artikkel 11 reguleerib passi tehnilist kujundust ja toimimist, kusjuures nõuded puudutavad andmete usaldusväärsust, päritolu ja turvamist, ning seda, kes võib milliseid andmeid vaadata või muuta. Artikkel 38 sätestab nõudeid tarneahela osapooltele, mis on asjakohaseks, sest mitmed osapooled — tootaja, importöör, distributor — annavad andmeid edasi või vaatavad neid, ja nende roll mängib seega rolli juurdepääsu reguleerimises.

Kes hetkel passi ettevalmistab, peaks esmalt kontrollima, milliseid andmeid oma tootegrupi kohta peavad olema avalikult ilmutatud, ja hoidma seda eraldi küsimusest, kuidas hostiv osapool tehnilistelt muude andmete juurdepääsu kindlustab — artiklite 10 ja 11 ametlikud tekstid moodustavad selleks aluseks, täiendatuna tootegrupi spetsiifikas täitevtoiminguga nii pea, kui see on kättesaadav.