miten tuotepassini tiedot suojataan väärinkäytöltä

Pääsyoikeudet ja tekniset vaatimukset määrittävät turvallisuuden

Digitaalisen tuotepassin tietojen turvallisuus perustuu pääsyoikeuksien ja tekniisten vaatimusten yhdistelmään, jotka ESPR asettaa passille. Kaikki passin tiedot eivät ole näkyvissä kaikille: asetus tekee eron tietoihin, jotka ovat avoimesti saatavilla kuluttajille ja muille osapuolille, ja tietoihin, jotka on tarkoitettu vain tietyille ryhmille, kuten valvontaviranomaisille, toimitusketjun markkinatoimijoille tai korjauspalvelun tarjoajille. Lisäksi ESPR:n 11 artikla (Asetus (EU) 2024/1781) asettaa vaatimuksia passin tekniselle suunnittelulle, mukaan lukien vaatimukset, jotka koskevat tietojen luotettavuutta ja alkuperää. Se, joka passia todella isännöi ja järjestää tekniikan, on muutettava nämä vaatimukset konkreettisiksi toimenpiteiksi: todentaminen, salaus ja rajoitus siihen, kuka saa nähdä tai muuttaa mitä tietoja.

Tämä koskee tietojen suojausta, ei petostentorjuntaa

Kysymyksellä "miten tuotetietojani suojataan väärinkäytöltä" on kaksi puolta, ja ESPR säätelee ensisijaisesti toista niistä. Asetus asettaa vaatimuksia järjestelmälle: kuka saa pääsyn mihin tietoihin, kuinka tietojen alkuperä voidaan tarkistaa, ja mitkä tekniset standardit koskevat tietojen tallentamista ja vaihtoa. Se koskee väärinkäyttöä luvattomana pääsynä tai tietojen manipulointina. Mitä ESPR ei säätele, on suoja epärehelliseltä kilpailulta, joka silti saa pääsyn yrityssensitiiivisiin tietoihin, koska nämä tiedot on säädöksen mukaan pakko saattaa julkisesti saataville — se on valinta, jonka kukin tuoteryhmä tekee delegoidussa asetuksessa, ei asia, jota tekninen turvatoimenpide voi muuttaa. On siis tärkeää pitää kaksi asiaa erillään: mitkä tiedot on pakko saattaa julkisesti saataville (se seuraa tuoteryhmäkohtaisista säännöistä) ja kuinka tiedot, jotka eivät ole julkisia, erotetaan (se seuraa ESPR:n 10. ja 11. artiklasta). Joka huolestuu siitä, että kilpailijat voivat saada passista tarkan reseptin, toimittajien nimet tai sisäiset testitulokset, on tarkistettava, mitkä tuoteryhmän säännöt merkitsevät pakollisiksi kentiksi, ei alustan turvallisuutta.

Teknisen täytäntöönpanon ajankohtaa ei ole vielä vahvistettu

Tarkkaa päivämäärää, jolloin digitaalisten tuotepassien tekniset ja organisatoriset turvallisuusvaatimukset tulevat voimaan, ei ole vahvistettu ESPR:n ydinsäännöksiin. Asetus asettaa 10. ja 11. artiklassa puitteet, joiden puitteissa Euroopan komissio täydentää delegoitujen ja täytäntöönpanohallintojen avulla tuoteryhmäkohtaisesti, miten pääsy, todentaminen ja tietojen turvallisuus järjestetään teknisesti. Kunnes nämä täytäntöönpanohallintokehotukset ovat olemassa, sovelletaan ESPR:n yleisiä määräyksiä lähtökohtana, mutta konkreettinen tekninen määritys — esimerkiksi mitä todentamisprotokollaa käytetään tai miten oikeuksien hallinta täsmälleen toimii — seuraa tuoteryhmäkohtaisesti silloin, kun kyseinen delegoitu asetus vahvistetaan. Joka haluaa varmuutta tästä tietystä tuoteryhmästä, tekee hyvää pitämällä silmällä kyseisen delegoidun asetuksen tilaa virallisten lähteiden kautta sen sijaan, että odottaisi yleistä päivämäärää, jota ei ole olemassa.

Mitä valmistaja tai maahantuoja tästä voi päätellä

Valmistajalle tai tuojalle, joka antaa tuotepassin koota, käytännöllinen järjestys on seuraava. Ensin on olennaista, mitkä tiedot tuoteryhmäkohtaiset säännöt määrittävät pakollisesti julkisiksi ja mitkä tiedot saavat jäädä rajoitetun saatavuuden piiriin — tämä määrää, mitä altistumista ylipäätään on olemassa, tekniikasta riippumatta. Seuraavaksi on olennaista, miten passin isännöivä osapuoli teknisesti suojaa pääsyä ei-julkisiin tietoihin: millä todentamisella ja tehdäänkö erilaista käsittelyä rooleille, kuten valvontaviranomaiselle, kierrätysyritykselle tai korjaamolle. Tämän jälkeen tulee kysymys siitä, miten itse tuotteen tunnistaminen on järjestetty, koska tuotepassi on yhtä luotettava kuin tuotteen ja tietojen välinen yhteys: katso myös miten sinä kukin tuote saa yksilöllisen tunnistekoodin annat, jotta tietoja ei vahingossa tai tarkoituksella yhdistetä väärään tuotteeseen. Lopuksi on kysymys fyysisestä pääsystä: itse tuotteella oleva QR-koodi muodostaa portin tuotepassiin, ja jokaisen, joka pohtii, mitä tapahtuu, jos kyseinen koodi vaurioituu tai on lukukelvoton , on tiedettävä, että tämä on eri riski kuin tietovuodot — silloin on kyse saavutettavuudesta, ei tietojen väärinkäytöstä. Omasta ERP-järjestelmästä toimitetuissa tiedoissa on myös hyödyllistä tietää, miten kyseinen yhteys toimii, katso yhdistä omaan järjestelmään, koska kyseisen yhteyden turvallisuus on yhtä lailla osa ketjua.

Perusta: ESPR:n 10, 11 ja 38 artikla

Tämä selitys perustuu ESPR:n kolmeen artiklaan (Asetus (EU) 2024/1781). Artikla 10 kuvailee digitaalisen tuotepassin vaatimukset yleisesti ottaen, mukaan lukien julkisten ja rajoitetun saatavuuden tietojen väliset erot. Artikla 11 säätelee passiin teknistä suunnittelua ja toimintaa vaatimuksilla, jotka koskevat tietojen luotettavuutta, alkuperää ja turvallisuutta sekä sitä, kuka saa tutustua mihin tietoihin tai muuttaa niitä. Artikla 38 asettaa vaatimuksia toimitusketjun osapuolille, mikä on olennaista, koska useat osapuolet — valmistaja, tuoja, jakelija — toimittavat tai tutustuvat tietoihin, ja heidän roolinsa vaikuttaa siihen, miten pääsy säädellään.

Joka haluaa tällä hetkellä valmistella tuotepassia, voi parhaiten ensin tarkistaa, mitkä tiedot omalle tuoteryhmälle on pakollisesti julkistettava, ja pitää sen erillään siitä kysymyksestä, miten isännöivä osapuoli teknisesti suojaa pääsyä muihin tietoihin — artiklojen 10 ja 11 viralliset teksti muodostavat sen pohjan, täydennettynä tuoteryhmäkohtaisella täytäntöönpanotoimilta heti, kun se on saatavilla.