kā mani produkta dati pases aizsardzībā tiek aizsargāti pret ļaunprātīgu izmantošanu

Piekļuves tiesības un tehniskās prasības nosaka drošību

Digitālā produkta pases datu drošība izriet no piekļuves tiesību un tehnisko prasību kombinācijas, ko ESPR uzspiež pasportam. Ne visi dati pasportā ir redzami ikvienam: Regula izšķir starp informāciju, kas ir publiski pieejama patērētājiem un citām pusēm, un informāciju, kas paredzēta tikai noteiktām grupām, piemēram, uzraudzības iestādēm, piegādes ķēdes tirgus dalībniekiem vai remonta uzņēmumiem. Turklāt ESPR 11. pants (Regula (ES) 2024/1781) izvirza prasības pases tehniskajam noformējumam, tostarp prasības, kas saistītas ar datu ticamību un izcelsmi. Tas, kas faktiski mitina un tehnisko karti izveido, ir jāpārvērš konkrētos pasākumos: autentifikācijai, šifrēšanai un ierobežošanai tam, kurš var skatīties vai mainīt noteiktus datus.

Šis ir par datu aizsardzību, nevis par krāpšanas apkarošanu

Jautājumam "kā tiek aizsargāti mani produkta dati pret ļaunprātīgu izmantošanu" ir divas puses, un ESPR galvenokārt regulē vienu no tām. Regula izvirza prasības sistēmai: kuram ir piekļuve noteiktiem datiem, kā kontrolēt datu izcelsmi un kādi tehnisko standarti attiecas uz datu glabāšanu un apmaiņu. Tas skar ļaunprātīgu izmantošanu neautorizētas piekļuves vai datu manipulācijas nozīmē. Ko ESPR neregulē, ir aizsardzība pret negodīgu konkurenci, kas tomēr iegūst piekļuvi uzņēmumā jutīgai informācijai tāpēc, ka šī informācija ir jāpieveic publiski — tas ir izvēle, kas par katru produktu grupu tiek pieņemta pārejas regulā, nevis kaut kas, ko varētu mainīt tehniskais drošības pasākums. Tāpēc ir jāatdala divas lietas: kuri dati ir obligāti publiski (tas izriet no produktu grupai specifiskiem noteikumiem) un kā tiek aizsargāti dati, kas nav publiski (tas izriet no ESPR 10. un 11. panta). Kam ir bažas par konkurentiem, kuri no pases var iegūt precīzu receptūru, piegādātāju vārdus vai iekšējus pārbaudes rezultātus, tam jāskatās uz to, ko produktu grupas noteikumi norāda kā obligātu lauku, nevis uz platformas drošību.

Vēl nav noteikts precīzs spēkā stāšanās datums tehniskajai izstrādei

Precīzs datums, kurā stājas spēkā digitālo produkta pasu tehniskās un organizatoriskās drošības prasības, nav noteikts ESPR pamatdokumentā. Regula 10. un 11. pantā nosaka pamatprincipus, pēc kuriem Eiropas Komisija, izmantojot pārejas un īstenošanas aktus, par katru produktu grupu detalizēti nostiprina, kā piekļuve, autentifikācija un datu drošība tiek tehnisko paņēmienu ziņā realizēta. Kamēr tie īstenošanas akti nav pieņemti, ESPR vispārīgie noteikumi kalpoja par pamatpamatprincipu, bet konkrētais tehniskais specifikācijas — piemēram, kādu autentifikācijas protokolu izmantot vai kā tieši darbojas tiesību pārvaldība — seko par katru produktu grupu, kad tiek pieņemta šī pārejas regula. Kurš vēlas par to pārliecību attiecībā uz konkrētu produktu grupu, labākais, kas viņš var darīt, ir sekot šīs pārejas regulas statusam caur oficiāliem avotiem, nevis gaidīt vispārīgu datumu, kas neeksistē.

Ko ražotājs vai importieris no tā var saprast

Ražotājam vai importētajam, kurš pasīvju komplektāciju veic, praktiskie soļi ir šādi. Pirmkārt, ir svarīgi noskaidrot, kuri dati produktu grupai specifiskajos noteikumos ir norādīti kā obligāti jāpublicē, un kuri dati var palikt ar ierobežotu piekļuvi — tas nosaka, kāda informācija vispār tiks izpausta, neatkarīgi no tehnoloģijas. Otrkārt, ir svarīgi tas, kā puse, kas pasīvi uzglabā, tehniskā līmenī blokē piekļuvi neatklātiem datiem: kāda autentifikācija tiek izmantota, un vai tiek izdarīts starpiba starp lomām, piemēram, uzraudzības iestāde, pārstrādes uzņēmums vai remonts. Pēc tam jautājums ir par pašas produkcijas identifikāciju, jo pasīvē ir uzticams tikai tik daudz, cik uzticama ir saikne starp produktu un datiem: skat. arī, kā tu katrs produkts iegūst unikālu identifikācijas kodu sniedz, lai dati netiktu nejauši vai ar nolūku saistīti ar nepareizu produktu. Visbeidzot, ir jautājums par fiziskās piekļuves riskiem: QR kods uz paša produkta ir ieeja pasīvē, un kurš domā, kas notiks, ja šis kods sabojāts vai nolasāms ir jāzina, ka tas ir cits risks nekā datu noplūde — runa ir par pieejamību, nevis par datu ļaunprātīgu izmantošanu. Datiem, kas tiek pasniegti no paša ERP sistēmas, ir arī jēga zināt, kā šī saikne darbojas, skat. saistīt ar savu sistēmu, jo šīs saiknes drošums ir tikpat laba ketē daļa.

Pamats: ESPR 10., 11. un 38. pants

Šis skaidrojums izriet no trim ESPR pantiem (Regula (ES) 2024/1781). 10. pants apraksta digitālā produkta pasīves prasības vispārīgā nozīmē, tostarp atšķirību starp publiski un ierobežoti pieejamiem datiem. 11. pants regulē pasīves tehnisko noformējumu un darbību, ietveroties prasības, kas skar datu uzticamību, avotu un drošību, kā arī to, kas var skatīt vai labot datus. 38. pants nosaka prasības piegādes ķēdes dalībniekiem, kas ir svarīgi, jo vairākas puses — ražotājs, importētājs, izplatītājs — sniedz vai skatīt datus, un viņu loma tādēļ ir svarīga piekļuves regulēšanā.

Kurš šobrīd sagataivo pasīvi, var vispirms pārbaudīt, kuri dati savai produktu grupai ir obligāti publiski jāpasaka, un to turēt atsevišķi no jautājuma, kā dēstošā puse tehniskā līmenī aizsargā piekļuvi pārējiem datiem — to pamats ir 10. un 11. panta oficiālie teksti, papildināti ar produktu grupai specifiskiem īstenošanas aktiem, tiklīdz tie būs pieejami.