Wie mag welke gegevens uit het productpaspoort inzien?

Wat u concreet moet doen

Wat er van u wordt verwacht

Het digitaal productpaspoort is geen document met één toegangsniveau. De ESPR gaat uit van gelaagde toegang: sommige gegevens zijn voor iedereen die de QR-code scant, andere gegevens zijn alleen bedoeld voor specifieke partijen zoals marktdeelnemers, toezichthouders of reparateurs. Dat onderscheid moet terug te zien zijn in de manier waarop het paspoort technisch is ingericht.

Onderscheid maken tussen publieke en beperkte gegevens

Artikel 10 van de ESPR (Verordening (EU) 2024/1781) noemt welke categorieën gegevens in een productpaspoort thuishoren, maar niet elke categorie is voor elke bezoeker zichtbaar. Voor een bedrijf van 10 tot 100 medewerkers betekent dit dat er bij het samenstellen van het paspoort een keuze wordt gemaakt: welke gegevens zijn geschikt voor de consument die aan het schap staat, en welke gegevens zijn eigenlijk bedoeld voor een monteur, een recycler of een marktinspecteur. Dat onderscheid staat los van de vraag welke gegevens komen er in het productpaspoort van producten — die vraag gaat over de inhoud, deze vraag gaat over wie welk deel van die inhoud te zien krijgt.

Toegang koppelen aan de rol van de gebruiker

Artikel 11 van de ESPR (Verordening (EU) 2024/1781) beschrijft het technisch ontwerp en de werking van het digitaal productpaspoort, en daarin komt terug dat toegang tot gegevens gedifferentieerd kan zijn naargelang de categorie gebruiker. Voor een bedrijf betekent dit in de praktijk dat het platform waarop het paspoort wordt gehost, onderscheid moet kunnen maken tussen een consument die algemene productinformatie zoekt, een marktdeelnemer die verdere ketengegevens nodig heeft, en een toezichthoudende autoriteit die over een ruimere set gegevens beschikt. Wie dit zelf technisch moet inrichten, loopt tegen een aanzienlijke opgave aan; wie het paspoort laat hosten door een platform dat deze gelaagde toegang al ondersteunt, hoeft dit onderdeel niet zelf te bouwen.

Bedrijfsgevoelige informatie afschermen zonder de verplichting te ontlopen

Niet alle gegevens die in een paspoort thuishoren, zijn geschikt voor volledige openbaarheid. De ESPR biedt ruimte om bepaalde gegevens te beperken tot specifieke gebruikersgroepen, maar dat is geen vrijbrief om gevoelige informatie helemaal weg te laten. Wat daarin wel en niet kan, staat uitgebreider beschreven bij moet ik bedrijfsgevoelige gegevens over mijn producten openbaar maken. Voor de vraag wie wat mag zien is het relevante punt dat afscherming een kwestie van toegangsniveau is, niet van het schrappen van gegevens uit het paspoort.

Zorgen dat de juiste partij bij de juiste gegevens kan

Een derde element is praktischer van aard: het paspoort moet zo zijn ingericht dat een toezichthouder, een marktdeelnemer verderop in de keten of een reparateur daadwerkelijk bij de gegevens kan die voor hen relevant zijn, zonder dat zij daarvoor afhankelijk zijn van de fabrikant die iets moet opzoeken en doorsturen. Dat raakt ook aan de vraag moet ik informatie over reparatie en onderdelen in het productpaspoort zetten — reparatie-informatie heeft alleen waarde als de partij die de reparatie uitvoert er ook echt bij kan, op het moment dat dat nodig is.

Waar het misgaat in de praktijk

Een aantal situaties komt in de praktijk regelmatig terug.

Een bedrijf zet alle gegevens op één publiek toegankelijk niveau, inclusief informatie die eigenlijk alleen voor toezichthouders bedoeld was. Dat lost de technische opgave van gelaagde toegang op door hem simpelweg te vermijden, maar zet daarmee ook bedrijfsgevoelige of anderszins gevoelige gegevens in de etalage.

Een ander bedrijf doet het tegenovergestelde: uit voorzichtigheid wordt zoveel mogelijk achter een inlog of beperkte toegang gezet, ook gegevens die juist voor de consument bedoeld zijn. Het gevolg is een paspoort dat bij het scannen van de QR-code weinig meer laat zien dan een verwijzing "neem contact op", terwijl de bedoeling was dat basisinformatie direct zichtbaar is.

Een derde situatie ontstaat wanneer een bedrijf met meerdere productgroepen werkt en voor elke groep een ander platform of een andere aanpak gebruikt. Toegangsniveaus die voor het ene paspoort zijn ingericht, gelden dan niet automatisch voor het andere, en toezichthouders of ketenpartners die verschillende producten van hetzelfde bedrijf raadplegen, treffen inconsistente toegang aan.

Een vierde situatie: een bedrijf gaat ervan uit dat toegang tot het paspoort een eenmalige instelling is, terwijl gegevens en de gebruikers die daarbij horen, in de tijd veranderen. Dat raakt aan de vraag hoe vaak moet ik de gegevens in het productpaspoort bijwerken — een gewijzigde onderdelenlijst of een nieuwe recyclingmethode heeft weinig waarde als de partij die deze informatie nodig heeft, geen toegang krijgt tot de bijgewerkte versie.

Een vijfde situatie doet zich voor bij bedrijven die exporteren binnen de EU en denken dat toegangsniveaus per taal of per lidstaat verschillen. Toegang is gekoppeld aan de rol van de gebruiker, niet aan de taal waarin de gegevens worden getoond — een onderscheid dat ook van belang is bij de vraag moet ik het productpaspoort in meerdere talen aanbieden.

Wat u kunt vastleggen

• Een overzicht van welke gegevenscategorieën in het paspoort publiek toegankelijk zijn en welke beperkt zijn tot specifieke gebruikersgroepen, inclusief de reden voor die keuze.
• Een beschrijving van welke rollen toegang krijgen tot welk niveau: consument, marktdeelnemer, toezichthouder, reparateur of recycler.
• Afspraken met het hostingplatform over hoe toegangsniveaus technisch worden gehandhaafd, en wie verantwoordelijk is als die toegang moet worden aangepast.
• Een vastgelegde procedure voor het bijwerken van toegangsrechten wanneer gegevens wijzigen of wanneer nieuwe gebruikersgroepen relevant worden.
• Documentatie over welke gegevens als bedrijfsgevoelig zijn aangemerkt en op welk toegangsniveau die zijn geplaatst.
• Een intern aanspreekpunt voor vragen van toezichthouders of ketenpartners over de toegang tot specifieke gegevens in het paspoort.

Voor bedrijven die met meerdere productgroepen werken, is het raadzaam deze afspraken eenmalig centraal vast te leggen, zodat niet voor elk paspoort opnieuw dezelfde keuzes gemaakt moeten worden. Wie twijfelt of een bepaalde productgroep al onder deze verplichtingen valt, vindt een eerste aanknopingspunt bij geldt het digitaal productpaspoort voor mijn producten.