kaip mano produktų duomenys pase saugomi nuo piktnaudžiavimo

Prieigos teisės ir techniniai reikalavimai nulemia saugumą

Duomenų saugumas skaitmeniniame produkto pase kyla iš prieigos teisių ir techninių reikalavimų derinio, kuriuos ESPR kelia produkto pasui. Ne visi duomenys pase yra matomi visiems: reglamentas skiria informaciją, kuri yra vieši prieinama vartotojams ir kitoms šalims, nuo informacijos, skirtos tik konkrečioms grupėms, pavyzdžiui, priežiūros institucijoms, rinkos dalyviams tiekimo grandinėje ar remonto paslaugų teikėjams. Be to, ESPR 11 straipsnis (Reglamentas (ES) 2024/1781) kelia reikalavimus paso techninio projektavimo, įskaitant reikalavimus, susijusius su duomenų patikimumu ir šaltiniu. Tas, kuris faktiškai talpina pasą ir jį techniškai organizuoja, turi perkelti tuos reikalavimus į konkrečias priemones: autentifikaciją, šifravimą ir apribojimą, kas kokius duomenis gali matyti arba keisti.

Tai susijusi su duomenų apsauga, o ne su sukčiavimo prevencija

Klausimas "kaip mano produkto duomenys yra apsaugoti nuo piktnaudžiavimo" turi dvi puses, ir ESPR daugiausia reguliuoja vieną iš jų. Reglamentas kelia reikalavimus sistemai: kas turi prieigą prie kokių duomenų, kaip kontroliuoti duomenų šaltinį ir kokios techninės normos galioja duomenų saugojimui ir mainymui. Tai liečia piktnaudžiavimą neautorizuotos prieigos ar duomenų manipuliacijos prasme. Ko ESPR nereguliauja, yra apsauga nuo nesąžiningos konkurencijos, kuri vis tiek gauna prieigą prie verslo jautrios informacijos, nes ta informacija turi būti atvirai pasiekiama — tai sprendimas, kuris iš kiekvienos produktų grupės atliekamas per deleguotą reglamentą, o ne tai, ką gali pakeisti techninė saugumo priemonė. Todėl svarbu atskirai vertinti dvi dalykus: kurie duomenys yra privalomi atvirai prieinami (tai išplaukia iš produkto grupei specifinių taisyklių) ir kaip apsaugomi duomenys, kurie nėra atvirai prieinami (tai išplaukia iš ESPR 10 ir 11 straipsnių). Tie, kuriems rūpi konkurentai, kurie iš paso gali pasiimti tikslią receptūrą, tiekėjų pavadinimus arba vidinius bandymų rezultatus, turėtų žiūrėti į tai, ką produkto grupės taisyklės nurodo kaip privalomą lauką, o ne į platformos saugumą.

Dar nėra nustatytos konkrečios datos techniniam įgyvendinimui

Tikslus terminas, kada techniniai ir organizaciniai skaitmeninio produkto paso saugumo reikalavimai įsigalios, ESPR branduolyje nėra nustatytas. Reglamentas 10 ir 11 straipsniuose nustato pagrindus, kuriuose Europos Komisija per deleguotus ir įgyvendinamąjį reglamentą kiekvienai produktų kategorijai toliau detalizuoja, kaip techniškai įgyvendinti prieigą, autentifikaciją ir duomenų apsaugą. Kol tie įgyvendinamieji reglamentai bus priimti, ESPR bendrosios nuostatos yra vadovaujantis principas, tačiau konkretus techninis aprašymas — pavyzdžiui, kuris autentifikacijos protokolas naudojamas arba kaip tiksliai veikia teisių valdymas — bus nustatytas kiekvienai produktų kategorijai, kai ta deleguota reglamentacija bus patvirtinta. Norintys gauti tikrumą dėl konkrečios produktų kategorijos turėtų stebėti tos deleguotos reglamentacijos statusą per oficialius šaltinius, o ne laukti bendros datos, kuri neegzistuoja.

Ką gamintoja arba importuotojas iš to gali suvokti

Gamintojui arba importuotojui, kuris užsako pasportą, praktinė tvarka yra tokia. Pirma, svarbu žinoti, kuriuos duomenis tos produktų grupės taikomos taisyklės nustato kaip privalomą atsiskleisti, o kuriuos duomenis gali likti su ribotu pasiekiamumu — tai nulemia, kiek apskritai yra atsiskleidimo, nepriklausomai nuo technikos. Antra, svarbu, kaip pasportą talpinanti šalis techniškai apsaugo prieigą prie neviešų duomenų: kokia autentifikacija, ir ar atliekamas skirtumas tarp vaidmenų, tokių kaip priežiūros institucija, atliekų tvarkytojas arba remontuotojas. Tada iškyla klausimas, kaip sutvarkyta paties produkto identifikacija, nes pasportas yra patikimas tik tiek, kiek patikima ryšis tarp produkto ir duomenų: žr. taip pat, kaip tu kiekvienas produktas gauna unikalų identifikacijos kodą teikia, kad duomenys netyčia arba tyčia nebūtų susieti su kitu produktu. Galiausiai iškyla klausimas dėl fizinio prieigos: QR kodas pačiame produkte yra įėjimas į pasportą, ir kas nerimauja, kas atsitiks, jei tas kodas būtų pažeistas arba neįskaitomas turi žinoti, kad tai yra kitas rizikos veiksnys nei duomenų saugos pažeidimai — čia kalbama apie prieinamumą, o ne apie duomenų piktnaudžiavimą. Duomenims, kurie teikiami iš jūsų ERP sistemos, taip pat naudinga žinoti, kaip ta ryšys veikia, žr. susieti su jūsų sistema, nes tos ryšio apsauga yra neatsiejama keitimo dalininko keitimo dalis.

Pagrindas: ESPR 10, 11 ir 38 straipsniai

Šis aiškimas kyla iš trijų ESPR straipsnių (Reglamentas (ES) 2024/1781). 10 straipsnis apibūdina skaitmeniniam produkto pasportui keliamus reikalavimus bendrai, įskaitant skirtumą tarp viešų ir riboto pasiekiamumo duomenų. 11 straipsnis reglamentuoja pasporto techninį projektavimą ir veikimą, keliami reikalavimai, kurie daro įtaką duomenų patikimumui, kilmei ir apsaugai, ir kas kokie duomenys gali peržiūrėti arba keisti. 38 straipsnis nustato reikalavimus tiekimo grandinėje dalyvaujančioms šalims, kurie yra svarbūs, nes kelios šalys — gamintojas, importuotojas, platintojas — teikia arba peržiūri duomenis, todėl jų vaidmuo turi įtakos tam, kaip sutvarkyta prieiga.

Kas šiuo metu rengia pasportą, geriausiai pirmiausia patikrintų, kurie duomenys jo produktų grupei privalomojo viešinio atsiskleidimo apimtyje, ir atskirai laikytų nuo klausimo, kaip talpinanti šalis techniškai apsaugo prieigą prie kitų duomenų — oficialūs 10 ir 11 straipsnių tekstai yra tam išeities taškas, papildytas produktų grupei specifiniais įgyvendinimo aktais, kai tik jie bus prieinami.