kan ik van mijn leverancier een geheimhoudingsverklaring vragen over paspoortgegevens

Ja, dat kan, en het is gangbare praktijk

Een geheimhoudingsverklaring — vaak een NDA genoemd — kan zonder probleem gevraagd worden aan een leverancier die gegevens levert voor het digitale productpaspoort. De ESPR (Verordening (EU) 2024/1781) verplicht leveranciers en andere actoren in de toeleveringsketen om bepaalde gegevens door te geven, maar de verordening zegt niets over de vorm van de afspraken daaromheen. Een geheimhoudingsverklaring is een aanvulling daarop, geen vervanging: de gegevens moeten hoe dan ook geleverd worden, en de verklaring regelt alleen wat er daarna met die informatie gebeurt buiten het paspoort.

Voor gevoelige productinformatie, niet voor paspoortgegevens zelf

Het onderscheid dat hierbij telt: gegevens die in het paspoort terechtkomen zijn per definitie bedoeld om zichtbaar te zijn voor wie het paspoort raadpleegt — dat is nu eenmaal het doel van de QR-datadrager. Een geheimhoudingsverklaring kan dus niet gebruikt worden om te voorkomen dat verplichte paspoortgegevens uiteindelijk in het paspoort belanden. Waarvoor een NDA wél zinvol is: de onderliggende technische specificaties, receptuur, samenstellingsdetails of productieprocessen die een leverancier deelt om de juiste paspoortgegevens te kunnen samenstellen, maar die zelf niet in het paspoort hoeven te staan. Een leverancier deelt bijvoorbeeld een volledige materiaalsamenstelling om tot een aggregatiecijfer te komen, terwijl alleen dat cijfer in het paspoort verschijnt. Voor dat soort achterliggende informatie is een geheimhoudingsverklaring een normaal en werkbaar instrument, net zoals dat al gebeurt bij andere leveranciersinformatie die niet voor het paspoort bedoeld is.

Geen vaste datum, wel een moment dat vastligt: vóór de eerste gegevensuitvraag

Er is geen wettelijke termijn verbonden aan het opstellen van een geheimhoudingsverklaring — dat is een zakelijke afspraak tussen partijen, niet een verplichting uit de ESPR. Wat wel vaststaat: hoe eerder deze afspraak gemaakt wordt, hoe minder discussie er ontstaat op het moment dat de leverancier daadwerkelijk gegevens moet aanleveren. Bedrijven die nu al voorbereidingen treffen voor productgroepen waarvoor het paspoort gaat gelden, doen er goed aan de geheimhoudingsafspraak gelijk te regelen met de andere afspraken over gegevenslevering, in plaats van dit als los onderwerp achteraf te bespreken.

Zo pakt een fabrikant of importeur dit praktisch aan

Als eerste stap is het zinvol om te bepalen welke informatie precies gevraagd wordt aan de leverancier en welk deel daarvan puur dient om tot de paspoortgegevens te komen, zonder zelf in het paspoort te verschijnen — welke gegevens moet ik bij mijn leverancier van producten opvragen geeft daarvoor een aanknopingspunt. Vervolgens is het praktisch om de geheimhoudingsverklaring niet los te laten staan, maar mee te nemen in de bredere afspraken over gegevenslevering: wie levert wat, in welke vorm, en wat gebeurt daarmee. Dat kan het best meteen goed vastgelegd worden in het inkoopcontract, zodat de geheimhoudingsverklaring en de leveringsverplichting elkaar niet tegenspreken — zie hoe leg ik de levering van paspoortgegevens vast in mijn inkoopcontract. Een derde punt om rekening mee te houden: een geheimhoudingsverklaring regelt de omgang met informatie, maar zegt niets over of de geleverde gegevens ook klopt. Dat blijft een apart aandachtspunt, zie hoe controleer ik of de gegevens van mijn leverancier kloppen. Tot slot is het verstandig om helder te maken in de verklaring dat deze niet in de weg staat aan de verplichting om paspoortgegevens daadwerkelijk te leveren — een leverancier die zich achter geheimhouding verschuilt om níet te leveren, verandert niets aan de verplichting die uit artikel 38 van de ESPR volgt.

De juridische basis: artikel 38, 29 en 10 van de ESPR

Artikel 38 van de ESPR (Verordening (EU) 2024/1781) beschrijft de vereisten voor actoren in de toeleveringsketen: zij dragen bepaalde informatie over die nodig is om het digitale productpaspoort samen te stellen. Deze verplichting staat los van eventuele geheimhoudingsafspraken tussen partijen — de verordening regelt wat er geleverd moet worden, niet hoe leverancier en afnemer dat onderling afspreken over vertrouwelijkheid van de rest. Artikel 29 beschrijft op vergelijkbare wijze de verplichtingen van importeurs, die eveneens afhankelijk zijn van correcte gegevenslevering door partijen buiten de EU — relevant voor wie producten van buiten de Unie invoert, zoals nader beschreven in wat betekent het productpaspoort als ik producten van buiten de EU invoer. Artikel 10 van de ESPR beschrijft de vereisten voor het digitale productpaspoort zelf, waaronder welke gegevens daarin toegankelijk moeten zijn — en dat is precies de grens die een geheimhoudingsverklaring niet kan verleggen: wat verplicht in het paspoort moet staan, blijft zichtbaar, ongeacht welke afspraken daaromheen gemaakt worden.

Wie deze afspraak wil vastleggen, kan de geheimhoudingsverklaring het beste laten opstellen als onderdeel van de bredere set inkoopafspraken met de leverancier, zodat vertrouwelijkheid en leveringsverplichting in één document op elkaar aansluiten in plaats van los naast elkaar te bestaan.

Waar dit op gebaseerd is

De verordening zelf staat op EUR-Lex. Wij verwijzen per bewering; u hoeft ons niet te geloven.

Wat u concreet moet doen

Wat er van u wordt verwacht

Een geheimhoudingsverklaring vragen aan een leverancier kan, en in de praktijk gebeurt dat ook regelmatig zodra paspoortgegevens de deur uitgaan naar een platform als het onze of naar een andere partij in de keten. De ESPR (Verordening (EU) 2024/1781) regelt wélke gegevens er in het digitale productpaspoort moeten staan en wie ze moet aanleveren, maar de verordening bevat geen bepaling die een geheimhoudingsverklaring verplicht of verbiedt. Dat is dus een zakelijke afspraak tussen u en uw leverancier, los van de paspoortverplichting zelf.

Aanleveren van gegevens door de leverancier

Artikel 38 van de ESPR beschrijft wat er van actoren in de toeleveringsketen wordt verwacht als het gaat om het beschikbaar stellen van informatie voor het productpaspoort. Voor een bedrijf van 10 tot 100 medewerkers betekent dit in de praktijk dat een leverancier gegevens aanlevert over materialen, samenstelling, herkomst of andere kenmerken die nodig zijn om het paspoort compleet te maken. Die gegevens kunnen concurrentiegevoelig zijn: een receptuur, een specifieke legering, een leverancier van een kritiek onderdeel. Het vragen van een geheimhoudingsverklaring raakt dus niet de verplichting om te leveren, maar de manier waarop dat gebeurt.

Samenstellen van het digitale productpaspoort

Artikel 10 van de ESPR beschrijft de vereisten waaraan het digitale productpaspoort moet voldoen, waaronder de toegankelijkheid van gegevens voor verschillende partijen zoals toezichthouders, consumenten of recyclers. Dat betekent dat een deel van de gegevens die een leverancier aanlevert, uiteindelijk zichtbaar wordt voor derden via het paspoort. Voor een bedrijf dat het paspoort laat samenstellen, is het dan ook relevant om vooraf met de leverancier te bespreken welke gegevens in het paspoort terechtkomen en welke gegevens alleen intern nodig zijn om dat paspoort correct te kunnen invullen. Een geheimhoudingsverklaring gaat typisch over die tweede categorie: de onderliggende data die niet in het paspoort zelf verschijnt, maar wel nodig is om tot een correcte samenstelling te komen.

Verplichtingen bij invoer

Artikel 29 van de ESPR beschrijft de verplichtingen van importeurs, waaronder het controleren of het paspoort aanwezig en correct is voordat een product op de EU-markt komt. Voor bedrijven die produceren of assembleren met onderdelen van buiten de EU speelt dit een rol: de importeur heeft doorgaans meer gegevens nodig van een buitenlandse leverancier dan alleen wat er in het paspoort komt, om die controle uit te kunnen voeren. Wie hier meer over wil weten, vindt achtergrond bij wat het productpaspoort betekent bij invoer van buiten de Europese Unie. Ook in die relatie is een geheimhoudingsverklaring een gangbaar instrument om gevoelige technische of commerciële informatie af te schermen zonder de aanlevering zelf te belemmeren.

Waar het misgaat in de praktijk

Een leverancier weigert gegevens aan te leveren met als argument dat de informatie vertrouwelijk is, terwijl er nooit om een geheimhoudingsverklaring is gevraagd. Het gesprek gaat dan over "wel of niet leveren", terwijl de eigenlijke vraag "onder welke voorwaarden" is. Zie ook wat te doen als een leverancier de gegevens niet levert.

Een geheimhoudingsverklaring wordt pas ná het sluiten van de inkoopovereenkomst ter sprake gebracht, als de leverancier al gegevens heeft gedeeld. Dat werkt averechts: de verklaring heeft dan geen grip meer op wat er al is uitgewisseld.

Een bedrijf vraagt een algemene geheimhoudingsverklaring, zonder te specificeren welke gegevens het precies gaat om. De leverancier tekent iets vagers dan nodig, of juist iets dat de eigen mogelijkheden om het paspoort samen te stellen beperkt.

Er wordt geen onderscheid gemaakt tussen gegevens die in het paspoort zelf verschijnen — en dus per definitie raadpleegbaar worden voor derden — en gegevens die alleen intern worden gebruikt. Een geheimhoudingsverklaring die stelt dat "alle gegevens" vertrouwelijk zijn, is dan in tegenspraak met wat het paspoort volgens artikel 10 van de ESPR juist openbaar moet maken.

Bij een leverancier die onderdelen levert voor meerdere productgroepen tegelijk wordt één geheimhoudingsverklaring gebruikt voor alle gegevensstromen, terwijl de gevoeligheid en de toepasselijke paspoorteisen per productgroep kunnen verschillen. Wie met zo'n leverancier werkt, leest verder bij een leverancier die onderdelen voor verschillende productgroepen levert.

Wat u kunt vastleggen

Een geheimhoudingsverklaring (NDA) die specifiek benoemt welke categorieën gegevens onder de geheimhouding vallen, en welke gegevens juist bedoeld zijn om in het paspoort te verschijnen en dus niet vertrouwelijk zijn.
Een bepaling in het inkoopcontract over de aanlevering van paspoortgegevens, inclusief een verwijzing naar de geheimhoudingsverklaring als afzonderlijk document. Een uitgewerkt voorbeeld staat bij afspraken over de levering van paspoortgegevens in het inkoopcontract.
Een overzicht van welke gegevens precies nodig zijn van de leverancier, zodat de geheimhoudingsverklaring niet breder wordt dan nodig. Zie welke gegevens bij de leverancier worden opgevraagd.
Een afspraak over wat er gebeurt met de geheimhoudingsverklaring bij wisseling van leverancier, zodat oude verklaringen niet blijven doorlopen op een manier die niet meer past bij de nieuwe situatie. Relevant bij het wisselen van leverancier tijdens gebruik.
Een procedure om aangeleverde gegevens te controleren op juistheid vóórdat ze het paspoort ingaan, zodat een geheimhoudingsverklaring niet in de weg staat van een goede check. Meer hierover bij het controleren van gegevens op juistheid.
Bij gebruik van meerdere leveranciers voor hetzelfde onderdeel: een afspraak per leverancier, in plaats van één document dat voor iedereen op dezelfde manier wordt toegepast. Achtergrond hierbij staat bij meerdere leveranciers voor hetzelfde onderdeel.

Dit is geen juridisch advies. Deze pagina geeft algemene informatie over de regelgeving waar dit platform over gaat. Wij kennen uw situatie niet. Bij twijfel over uw eigen geval raadpleegt u een jurist of de bevoegde toezichthouder.

Geschreven met AI op basis van de bronnen hierboven, gecontroleerd door een mens op 2026-09-05. Klopt er iets niet? Laat het weten — correcties krijgen voorrang.