W jaki sposób moje dane produktu w paszporcie są chronione przed niewłaściwym użyciem

Prawa dostępu i wymogi techniczne określają bezpieczeństwo

Bezpieczeństwo danych w cyfrowej karcie produktu wynika z kombinacji praw dostępu i wymogów technicznych, które ESPR stawia karcie. Nie wszystkie dane w karcie są widoczne dla wszystkich: rozporządzenie rozróżnia między informacjami dostępnymi publicznie dla konsumentów i innych stron a informacjami przeznaczonymi wyłącznie dla określonych grup, takich jak organy nadzoru, podmioty rynkowe w łańcuchu dostaw lub serwisy naprawcze. Ponadto artykuł 11 ESPR (Rozporządzenie (UE) 2024/1781) stawia wymogi dotyczące projektowania technicznego karty, w tym wymogi związane z wiarygodnością i pochodzeniem danych. Podmiot faktycznie hostujący kartę i ją techniczny wdrażający musi przełożyć te wymogi na konkretne środki: uwierzytelnianie, szyfrowanie oraz ograniczenie tego, kto może przeglądać lub modyfikować poszczególne dane.

Dotyczy to ochrony danych, a nie zwalczania oszustw

Pytanie "jak moje dane produktu są chronione przed niewłaściwym użyciem" ma dwie strony, a ESPR reguluje przede wszystkim jedną z nich. Rozporządzenie stawia wymogi systemowi: kto uzyskuje dostęp do jakich danych, jak kontrolować pochodzenie danych oraz jakie standardy techniczne obowiązują w przypadku przechowywania i wymiany danych. To wiąże się z niewłaściwym użyciem w sensie nieautoryzowanego dostępu lub manipulacji danymi. To, czego ESPR nie reguluje, to ochrona przed nieuczciwą konkurencją, która uzyskuje dostęp do wrażliwych informacji biznesowych, ponieważ te informacje muszą być obowiązkowo publiczne — jest to wybór dokonywany w rozporządzeniu delegowanym dla każdej grupy produktów, a nie coś, co mogą zmienić techniczne środki bezpieczeństwa. Trzeba więc oddzielić dwie rzeczy: które dane muszą być obowiązkowo publiczne (wynika to z zasad właściwych dla danej grupy produktów) oraz jak chronić dane, które nie mają być publiczne (wynika to z artykułów 10 i 11 ESPR). Kto martwi się, że konkurenci mogą uzyskać z karty dokładny przepis, nazwy dostawców lub wewnętrzne wyniki testów, powinien zatem spojrzeć na to, co przepisy dla danej grupy produktów wskazują jako pole obowiązkowe, a nie na bezpieczeństwo platformy.

Brak ustalonej daty rozpoczęcia wdrażania technicznego

Dokładna data wejścia w życie wymogów bezpieczeństwa technicznego i organizacyjnego dla cyfrowych kart produktu nie jest ustalona w samej ESPR. Rozporządzenie określa w artykułach 10 i 11 ramy, w ramach których Komisja Europejska poprzez akty delegowane i wykonawcze dla każdej grupy produktów szczegółowo określa, jak dostęp, uwierzytelnianie i bezpieczeństwo danych są technicznie kształtowane. Do czasu wydania tych aktów wykonawczych obowiązują ogólne postanowienia ESPR jako punkt wyjścia, jednak konkretne specyfikacje techniczne — na przykład który protokół uwierzytelniania jest używany lub jak dokładnie działa zarządzanie uprawnieniami — dla każdej grupy produktów następują w momencie przyjęcia tego aktu delegowanego. Kto chce mieć pewność w tej sprawie dla konkretnej grupy produktów, powinien śledzić status tego rozporządzenia delegowanego za pośrednictwem oficjalnych źródeł, zamiast czekać na ogólną datę, która nie istnieje.

Co producent lub importer może z tego wyciągnąć

Dla producenta lub importera, który zleca opracowanie paszportu, praktyczna kolejność wygląda następująco. Po pierwsze, istotne jest, które dane przepisy dotyczące konkretnej grupy produktów oznaczają jako obowiązkowo dostępne publicznie, a które dane mogą pozostać dostępne w ograniczony sposób — to określa, jaki jest w ogóle zakres ujawnienia, niezależnie od techniki. Następnie istotne jest, w jaki sposób strona hostująca paszport technicznie chroni dostęp do danych niepublicznych: za pomocą jakiego uwierzytelnienia i czy rozróżnia się role, takie jak organ nadzoru, recykler lub naprawiacz. Potem pojawia się pytanie, jak jest ustalona identyfikacja samego produktu, ponieważ paszport jest tylko tak wiarygodny jak powiązanie między produktem a danymi: zobacz także, jak w jaki każdy produkt otrzymuje unikalny kod identyfikacyjny dostarcza się dane, aby nie doszło do przypadkowego lub umyślnego powiązania danych ze złym produktem. Wreszcie pojawia się kwestia dostępu fizycznego: kod QR na samym produkcie stanowi wejście do paszportu, a ktoś, kto zastanawia się, co się stanie, gdy ten kod będzie uszkodzony lub nieczytelny powinien wiedzieć, że jest to inne ryzyko niż wycieki danych — chodzi o dostępność, a nie o niewłaściwe wykorzystanie danych. W przypadku danych dostarczanych z własnego systemu ERP, warto również wiedzieć, jak działa to powiązanie, zobacz połączenie z własnym systemem, ponieważ bezpieczeństwo tego powiązania jest równie ważną częścią łańcucha.

Podstawa prawna: artykuły 10, 11 i 38 rozporządzenia ESPR

Wyjaśnienie to wynika z trzech artykułów rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781). Artykuł 10 opisuje wymogi dotyczące cyfrowego paszportu produktu w sensie ogólnym, w tym rozróżnienie między danymi publicznymi a danymi o dostępie ograniczonym. Artykuł 11 reguluje projekt techniczny i funkcjonowanie paszportu, zawierając wymogi dotyczące wiarygodności, pochodzenia i bezpieczeństwa danych oraz tego, kto może przeglądać lub modyfikować dane. Artykuł 38 stawia wymogi dla podmiotów w łańcuchu dostaw, co jest istotne, ponieważ wiele stron — producent, importer, dystrybutor — dostarcza lub przegląda dane, a ich rola zatem ma wpływ na sposób regulacji dostępu.

Ktoś, kto w tej chwili przygotowuje paszport, powinien najpierw sprawdzić, które dane dla własnej grupy produktów muszą być obowiązkowo ujawnione publicznie, i trzymać to osobno od pytania, w jaki sposób strona hostująca technicznie chroni dostęp do pozostałych danych — oficjalne teksty artykułów 10 i 11 stanowią dla tego punkt wyjścia, uzupełniony specyficznym dla grupy produktów aktem wykonawczym, gdy tylko będzie dostępny.

Na czym to się opiera

Samo rozporządzenie znajduje się na EUR-Lex. Podajemy odniesienia dla każdego stwierdzenia; nie musisz nam wierzyć.

Co konkretnie należy zrobić

Czego się od Pana/Pani oczekuje

Bezpieczeństwo cyfrowego paszportu produktu to nie kwestia dodawania zamka na koniec. Rozporządzenie ESPR wbudowuje szereg wymogów bezpieczeństwa w samą strukturę paszportu i jednocześnie возлагает odpowiedzialność na strony dostarczające i zarządzające danymi.

Dostęp do danych musi być możliwy do rozdzielenia

Artykuł 10 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) stanowi, że nie wszystkie dane w paszporcie muszą być widoczne dla każdego. Dokonuje się rozróżnienia między danymi dla publiczności, dla uczestników rynku, dla organów nadzoru i dla innych stron mających określony interes. Dla przedsiębiorstwa zatrudniającego od 10 do 100 pracowników oznacza to, że przy opracowaniu paszportu należy zastanowić się, jakie informacje trafiają na jaki poziom widoczności — naprawiacz potrzebuje innych danych niż konsument, a organ nadzoru innych niż obaj. To nie jest kwestia techniczna, ale wybór dokonywany dla każdej grupy produktów, a czasem dla każdego pola danych.

Projekt techniczny musi zapobiegać manipulacji

Artykuł 11 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) określa wymagania dotyczące technicznego i operacyjnego funkcjonowania paszportu, mające na celu zapewnienie, że dane nie mogą być zmieniane, kopiowane ani fałszowane bez wykrycia po ich zapisaniu. Dla producenta lub importera oznacza to, że nie wystarczy umieścić gdziekolwiek plik PDF ze specyfikacjami w Internecie. Paszport musi być skonstruowany w taki sposób — z unikalnym kodem identyfikacyjnym, stałym powiązaniem między produktem a danymi oraz możliwością weryfikacji pochodzenia danych — że trudno jest dokonywać zmian po fakcie. Kto chce sam ustawić to technicznie, często natyka się już na pierwszy krok: jak zapisać, który paszport należy do której sztuki produktu. To zaczyna się od jak przydzielić każdemu produktowi unikalny kod identyfikacyjny?, i często wiąże się z pytaniem czym jest GS1 Digital Link i czy jest mi potrzebny dla paszportu produktu?.

Uczestnicy łańcucha muszą przekazywać dane prawidłowo i aktualnie

Artykuł 38 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) stanowi, że uczestnicy łańcucha dostaw — producenci, importerzy, dystrybutorzy — mają obowiązki związane z prawidłowym przekazywaniem i utrzymywaniem aktualności danych, które trafiają do paszportu. Dla przedsiębiorstwa średniej wielkości oznacza to, że bezpieczeństwo nie kończy się na „dane są bezpieczne na serwerze". Jeśli podwykonawca przekaże błędne lub przestarzałe specyfikacje i wejdą one niekontrolowanie do paszportu, jest to tak samo forma nadużycia danych jak ukierunkowany atak na hosting. Dla firm pracujących z wieloma podwykonawcami konieczne jest ustalenie, kto dostarcza jakie dane i kiedy uważane są za ostateczne.

Gdzie w praktyce dochodzi do błędów

Jedno logowanie dla wszystkich. Firma tworzy paszport za pomocą jednego konta, które jest używane przez całą organizację do modyfikowania danych. Nikt nie może później ustalić, kto dokonał jakiej zmiany, co w praktyce podważa weryfikowalność artykułu 11.

Poufne dane przypadkowo opublikowane. Wewnętrzne wyniki testów, ceny dostawców lub szczegóły receptur trafiają do części publicznej paszportu, ponieważ przy dostarczaniu danych nie rozróżniono między tym, co przeznaczone jest dla konsumentów, a tym, co istotne tylko dla organów nadzoru — dokładnie to rozróżnienie, które umożliwia artykuł 10, ale które nie jest stosowane automatycznie.

Podwykonawca dostarcza dane bez kontroli. Importer przejmuje dane od producenta spoza UE bez ich weryfikacji. Jeśli okaże się, że dane są nieprawidłowe, pytanie o to, kto za to odpowiada, nie zostało wcześniej rozstrzygnięte — sytuacja, którą artykuł 38 próbuje zapobiec poprzez jasne obowiązki dla każdego ogniwa łańcucha.

Zamieszanie między paszportem a systemem bazowym. Firma sądzi, że powiązanie paszportu z własnym systemem ERP automatycznie reguluje bezpieczeństwo, podczas gdy kontrola dostępu, dzienniki zmian i poziomy widoczności są od tego niezależne. Więcej informacji na ten temat znajduje się w czy mogę powiązać paszport produktu z moim systemem ERP lub inwentaryzacji?

Brak planu na wypadek błędu w łańcuchu. Kod QR wskazuje na paszport, ale jeśli zostanie uszkodzony lub paszport będzie niedostępny, pojawia się niejasność co do tego, kto odpowiada za naprawę. To nie tylko wpływa na dostępność, ale również na zaufanie do prawidłowości danych — por. co się stanie, jeśli kod QR na produkcie będzie uszkodzony lub nieczytelny.

Co możesz udokumentować

Przegląd danych widocznych publicznie w paszporcie i tych, które są widoczne tylko dla uczestników rynku lub organów nadzoru — jako podstawa do podziału umożliwionego przez artykuł 10.
Wewnętrzny proces określający, kto może modyfikować dane, z rejestrem zmian dla każdego użytkownika i daty.
Porozumienia z podwykonawcami dotyczące tego, kto dostarcza jakie dane, w jakim formacie i kiedy są uważane za ostateczne — istotne dla obowiązków wynikających z artykułu 38.
Ustalone połączenie między identyfikacją produktu a pasportem, dzięki czemu możliwe jest prześledzenie, który pasport dotyczy którego egzemplarza.
Procedura sprawdzania dostarczonych danych przed ich opublikowaniem w paspporcie, w tym określenie, kto ponosi ostateczną odpowiedzialność.
Przegląd produktów, które wymagają więcej niż jednego paszportu produktu i sposób zarządzania nimi wzajemnie, zobacz mój produkt wymaga więcej niż jednego paszportu produktu — jak to funkcjonuje razem?
Plan na wypadek, gdy przedsiębiorstwo ulegnie likwidacji lub zmieni właściciela, aby bezpieczeństwo danych nie zależało od jednego podmiotu prawnego — zobacz co się dzieje z paszportem produktu, gdy moje przedsiębiorstwo ulegnie likwidacji?

Nie jest to porada prawna. Ta strona zawiera ogólne informacje o regulacjach, których dotyczy ta platforma. Nie znamy twojej sytuacji. W razie wątpliwości dotyczących twojego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane przy wsparciu sztucznej inteligencji na podstawie powyższych źródeł, sprawdzone przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — korekty mają priorytet.