kako su moji podaci o proizvodima u pašu zaštićeni od zlouporabe

Prava pristupa i tehnički zahtjevi određuju sigurnost

Sigurnost podataka u digitalnoj putovnici za proizvod slijedi iz kombinacije prava pristupa i tehnijskih zahtjeva koje ESPR nameće putovnici. Nisu svi podaci u putovnici vidljivi svima: uredba pravi razliku između informacija koje su javno dostupne potrošačima i ostalim stranama te informacija namijenjenih samo specifičnim skupinama kao što su nadzorni organi, sudionici na tržištu u dobavnom lancu ili popravni obrti. Osim toga, članak 11. ESPR-a (Uredba (EU) 2024/1781) postavlja zahtjeve za tehnički dizajn putovnice, uključujući zahtjeve koji se odnose na pouzdanost i porijeklo podataka. Onaj tko zapravo drži putovnicu i tehnički je ustrojava mora te zahtjeve prevesti u konkretne mjere: autentifikaciju, enkripciju i ograničenje tko smije vidjeti ili mijenjati koje podatke.

To se odnosi na zaštitu podataka, a ne na sprječavanje prijevare

Pitanje "kako se moji podaci o proizvodu štite od zlouporabe" ima dvije strane, a ESPR prije svega regulira jednu od njih. Uredba postavlja zahtjeve za sustav: tko dobija pristup kojim podacima, kako kontrolirati porijeklo podataka i koji tehnički standardi vrijede za pohranu i razmjenu podataka. To se tiče zlouporabe u smislu neovlaštenog pristupa ili manipulacije podacima. Što ESPR ne regulira jest zaštita od nečestite konkurencije koja ipak dobija pristup poslovnim osjetljivim informacijama jer su te informacije obavezno javne — to je izbor koji se u delegiranoj uredbi po skupini proizvoda donosi, a ne nešto što tehnička mjera sigurnosti može promijeniti. Dakle, važno je razlikovati dvije stvari: koji su podaci obavezno javni (to slijedi iz posebnih pravila za skupinu proizvoda) i kako se štite podaci koji nisu javni (to slijedi iz članaka 10. i 11. ESPR-a). Tko se brine da konkurenti mogu iz putovnice izvući točnu recepturu, imena dobavljača ili interne rezultate testiranja, trebao bi pogledati što pravila za skupinu proizvoda označavaju kao obavezno polje, a ne sigurnost platforme.

Nema još utvrđenog datuma stupanja na snagu tehnijske razrade

Točan datum na koji će tehnički i organizacijski zahtjevi sigurnosti za digitalne putovnice za proizvode biti na snazi nije utvrđen u samoj jezgri ESPR-a. Uredba u članku 10. i 11. postavlja okvire unutar kojih Europska komisija kroz delegirane akte i akte o provedbi po skupini proizvoda dalje određuje kako se pristup, autentifikacija i zaštita podataka tehnički oblikuju. Dok tih akta o provedbi nema, opće odredbe ESPR-a služe kao polazište, ali konkretna tehnička specifikacija — na primjer koji protokol za autentifikaciju se koristi ili kako točno funkcionira upravljanje pravima — slijedi po skupini proizvoda u trenutku donošenja delegirane uredbe za tu skupinu. Tko želi biti siguran u vezi s time za određenu skupinu proizvoda, trebao bi pratiti status delegirane uredbe kroz službene izvore umjesto čekanja na opći datum koji ne postoji.

Što proizvodnji ili uvoznici mogu zaključiti iz toga

Za proizvođača ili uvoznika koji je naručio izrada putovnice, praktičan redoslijed je sljedeći. Prvo je važno koji podatci pravila specifična za skupinu proizvoda smatraju obavezno javnima i koji podatci mogu ostati ograničenog pristupa — to određuje što je uopće izloženo, neovisno o tehnici. Zatim je važno kako stranka koja hostira putovnicu tehnički štiti pristup neobjavljenim podacima: koje autentifikacije koristi i je li se pravi razlika između uloga poput nadzornog tijela, reciklera ili popravitelja. Potom se postavlja pitanje kako je uređena sama identifikacija proizvoda, jer je putovnica samo toliko pouzdana koliko je veza između proizvoda i podataka: vidi također kako svaki proizvod dobiva jedinstveni kod identificiranja daješ, kako se podaci ne bi slučajno ili namjerno povezali s krivim proizvodom. Na kraju dolazi pitanje fizičkog pristupa: QR-kod na samom proizvodu čini ulaz u putovnicu, a tko se pita što se dogodi ako je taj kod oštećen ili nečitljiv mora znati da je to drugačiji rizik od curenja podataka — radi se o dostupnosti, ne o zlouporabi podataka. Za podatke koji se prikupljaju iz vlastite ERP-sustava, korisno je znati kako ta veza funkcionira, vidi povezivanje sa vlastitim sustavom, jer je sigurnost te veze jednako dio lanca.

Pravna osnova: članak 10., 11. i 38. ESPR-a

Ovo objašnjenje proizlazi iz tri članka ESPR-a (Uredba (EU) 2024/1781). Članak 10. opisuje zahtjeve za digitalni putovnicu proizvoda u općoj mjeri, uključujući razliku između javnih i ograničeno dostupnih podataka. Članak 11. uređuje tehničku koncepciju i rad putovnice, s zahtjevima koji se tiču pouzdanosti, podrijetla i sigurnosti podataka te tko smije pregledati ili promijeniti koje podatke. Članak 38. postavlja zahtjeve za subjekte u opskrbnom lancu, što je relevantno jer više strana — proizvođač, uvoznik, distributor — prikupljaju ili pregledavaju podatke, pa njihova uloga utječe na to kako se pristup uređuje.

Tko u ovom trenutku priprema putovnicu, može najbolje prvo provjeriti koji su podatci za vlastitu skupinu proizvoda obavezno objavljeni, i to odvojiti od pitanja kako stranka koja hostira tehnički štiti pristup ostalim podacima — službeni tekstovi članaka 10. i 11. služe kao polazišna točka, dopunjeni skupino-specifičnom izvršnom mjerom čim postane dostupna.