hogyan védik meg termékadat-jaim a termékalkalmazottban a visszaélésektől

A hozzáférési jogosultságok és a technikai követelmények meghatározzák a biztonságot

A digitális termékútlevélben szereplő adatok biztonsága az ESPR által a útlevélre előírt hozzáférési jogosultságok és technikai követelmények kombinációjából adódik. Az útlevélben szereplő összes adat nem látható mindenki számára: a rendelet megkülönböztet a fogyasztók és más felek számára nyilvánosan elérhető információ, valamint az olyan specifikus csoportok, mint a felügyeleti hatóságok, az ellátási lánc piaci szereplői vagy a javítócégek számára szánt információ között. Ezen túlmenően az ESPR 11. cikke (az Európai Parlament és a Tanács 2024/1781 számú rendelete) technikai követelményeket ír elő az útlevél kialakítására vonatkozóan, ideértve az adatok megbízhatóságára és eredetére vonatkozó követelményeket. Az útlevelet ténylegesen üzemeltető és technikai szempontból kialakító fél ezeket a követelményeket konkrét intézkedésekké kell, hogy fordítsa: hitelesítés, titkosítás, valamint annak korlátozása, hogy ki mely adatokat tekintheti meg vagy módosíthatja.

Ez az adatvédelemről szól, nem a csalásmegelőzésről

A "hogyan vannak védelme alatt az én termékadat jaim a visszaélésekkel szemben" kérdésnek két oldala van, és az ESPR főként az egyik oldalát szabályozza. A rendelet követelményeket ír elő a rendszerre vonatkozóan: ki kaphat hozzáférést mely adatokhoz, hogyan lehet az adatok eredetét ellenőrizni, és milyen technikai normák vonatkoznak az adatok tárolására és cseréjére. Ez az adatokhoz való jogosulatlan hozzáférés vagy az adatok manipulációjával kapcsolatos visszaélésre vonatkozik. Az ESPR azonban nem szabályozza az olyan tisztességtelen versenytársakkal szembeni védelmet, akik mégis hozzáférnek az üzleti szempontból érzékeny információkhoz, mivel az információnak kötelezően nyilvánosnak kell lennie — ez egy olyan döntés, amelyet a termékcsoportonkénti delegált rendeletben hoznak meg, és nem olyan dolog, amelyre a technikai biztonsági intézkedés hatással lenne. Tehát két dolgot egymástól elkülönítve kell kezelni: mely adatok kötelezően nyilvánosak (ez a termékcsoportra vonatkozó szabályokból adódik) és hogyan vannak abszolválva a nem nyilvános adatok (ez az ESPR 10. és 11. cikkéből adódik). Aki azért aggódik, hogy a versenytársak pontos receptúrát, szállítóneveket vagy belső teszteredményeket húzhatnak ki az útlevélből, annak a termékcsoportra vonatkozó szabályokra kell nézni, hogy mely mezőt jelölnek-e meg kötelezőnek, nem pedig a platform biztonságára.

Még nincs rögzített kezdési dátum a technikai megvalósításhoz

Az ESPR magában nem tartalmaz pontos dátumot arra vonatkozóan, hogy mikor lépnek hatályba a digitális termékútlevelekre vonatkozó technikai és szervezeti biztonsági követelmények. A rendelet a 10. és 11. cikkben rögzíti azt a keretet, amely alapján az Európai Bizottság a delegált és végrehajtási jogi aktusok révén termékcsoportonként részletesen meghatározza a hozzáférés, az azonosítás és az adatbiztonság technikai kialakítását. Amíg ezek a végrehajtási jogi aktusok meg nem jelennek, az ESPR általános rendelkezéseit kell kiindulópontnak tekinteni, azonban a konkrét technikai specifikáció — például mely hitelesítési protokollt használnak vagy hogyan működik pontosan a jogkezelés — termékcsoportonként a delegált rendelet elfogadásának időpontjában válik ismertté. Aki biztos szeretne lenni egy adott termékcsoporttal kapcsolatban, ajánlatos, hogy a delegált rendelet státuszát a hivatalos forrásokból követi nyomon, ahelyett hogy egy, valójában nem létező általános dátumra várakoznék.

Mit olvashat ki ebből egy gyártó vagy importőr

Egy gyártó vagy importőr számára, aki egy passzportot készíttet, a gyakorlati sorrend a következő. Először releváns, hogy mely adatokat jelöli meg a termékcsoport-specifikus szabályozás kötelezően nyilvánosnak, és mely adatokat lehet korlátozottan hozzáférhetőnek tartani — ez határozza meg, hogy egyáltalán milyen mértékben történik nyilvánosságra hozatal, függetlenül a technológiától. Ezt követően releváns, hogy az a fél, amely a passzportot üzemelteti, hogyan zárja le technikai úton a nem nyilvános adatokhoz való hozzáférést: milyen hitelesítéssel, és hogy megkülönböztetés történik-e az olyan szerepek között, mint például felügyeleti szervek, újrahasznosítók vagy javítók. Ezt követően felmerül a kérdés, hogy magának a terméknek az azonosítása hogyan van szervezve, mert egy passzport csak olyan megbízható, mint a termék és az adatok közötti kapcsolat: lásd még, hogyan az egyes termékek hogyan kapnak egyedi azonosítási kódot, nyújt, hogy az adatok nem véletlenül vagy szándékosan a rossz termékhez kerüljenek kapcsolódva. Végül felmerül a fizikai hozzáférésre vonatkozó kérdés: magára a termékre nyomtatott QR-kód képezi a passzportba vezető bejáratot, és annak, aki azt kérdezi, hogy mi történik, ha az a kód megsérül vagy olvashatatlanná válik tudnia kell, hogy ez más kockázat, mint az adatszivárgások — itt az elérhetőségről van szó, nem az adatok visszaéléséről. Az egy saját ERP-rendszerből beszerzett adatok esetében hasznos, ha azt is tudjuk, hogyan működik az a kapcsolódás, lásd saját rendszerhez való kapcsolódás, mivel ennek a kapcsolódásnak a biztonsága szintén része a láncnak.

Jogalap: az ESPR 10., 11. és 38. cikke

Ez a magyarázat az ESPR három cikkéből adódik (az Európai Parlament és a Tanács 2024/1781 (EU) rendelete). A 10. cikk az általános értelemben vett digitális termékpasszporttal szemben támasztott követelményeket írja le, beleértve a nyilvános és korlátózottan hozzáférhető adatok közötti különbségtételt. A 11. cikk a passzport műszaki tervezésére és működésére vonatkozó szabályokat tartalmazza, megbízhatóság, származás és adatbiztonság terén támasztott követelményekkel, valamint azzal, hogy ki milyen adatokhoz férhet hozzá vagy módosíthatja azokat. A 38. cikk követelményeket szab a beszerzési lánc szereplőire, ami azért releváns, mert több fél — gyártó, importőr, forgalmazó — szállít adatokat vagy ér hozzájuk, és szerepe hatással van arra, hogy a hozzáférés hogyan van szabályozva.

Aki jelenleg egy passzportot készít, legjobb, ha először megnézi, hogy mely adatokat kell a saját termékcsoport számára kötelezően nyilvánosságra hozni, és ezt elkülöníti attól a kérdéstől, hogy az üzemeltetőpartner hogyan biztosítja technikai úton az egyéb adatokhoz való hozzáférés biztonságát — a 10. és 11. cikk hivatalos szövegei képezik ennek kiindulópontját, kiegészítve a termékcsoport-specifikus végrehajtási aktussal, amint az rendelkezésre áll.