Kto może wyświetlać dane z paszportu produktu?

Co konkretnie należy zrobić

Czego się od Pana/Pani oczekuje

Cyfrowy paszport produktu nie jest dokumentem z jednym poziomem dostępu. ESPR zakłada dostęp warstwowy: niektóre dane są dostępne dla każdego, kto skanuje kod QR, inne dane są przeznaczone wyłącznie dla określonych stron, takich jak uczestnicy rynku, organy nadzoru lub osoby zajmujące się naprawą. Rozróżnienie to musi być widoczne w sposobie, w jaki paszport jest technicznie skonfigurowany.

Rozróżnianie między danymi publicznymi a ograniczonymi

Artykuł 10 ESPR (Rozporządzenie (UE) 2024/1781) wymienia, które kategorie danych należą do paszportu produktu, ale nie każda kategoria jest widoczna dla każdego odwiedzającego. Dla przedsiębiorstwa zatrudniającego od 10 do 100 pracowników oznacza to, że przy opracowywaniu paszportu dokonuje się wyboru: które dane są odpowiednie dla konsumenta stojącego przy półce, a które dane są faktycznie przeznaczone dla mechanika, recyklera lub inspektora rynku. Rozróżnienie to jest niezależne od pytania jakie dane znajdują się w paszporcie produktu — to pytanie dotyczy treści, to pytanie dotyczy tego, kto widzi, którą część tej treści.

Połączenie dostępu z rolą użytkownika

Artykuł 11 ESPR (Rozporządzenie (UE) 2024/1781) opisuje projekt techniczny i funkcjonowanie cyfrowego paszportu produktu, a w nim wynika, że dostęp do danych może być zróżnicowany w zależności od kategorii użytkownika. W praktyce dla przedsiębiorstwa oznacza to, że platforma, na której hostowany jest paszport, musi umieć rozróżniać między konsumentem szukającym ogólnych informacji o produkcie, uczestnikiem rynku, który potrzebuje dalszych danych łańcuchowych, a organem nadzorczym posiadającym szerszy zestaw danych. Kto musi sam to zaaranżować technicznie, stoi przed znacznym wyzwaniem; kto pozwala hostować paszport na platformie, która już obsługuje ten warstwowy dostęp, nie musi sam budować tej części.

Ochrona informacji wrażliwych dla biznesu bez uchylania się od obowiązku

Nie wszystkie dane, które należą do paszportu, są odpowiednie do pełnej jawności. ESPR pozostawia miejsce na ograniczenie określonych danych do określonych grup użytkowników, ale to nie jest wolna przepustka do całkowitego pominięcia informacji wrażliwych. Co w tym można, a co nie, opisane jest szerzej w czy muszę ujawniać publicznie wrażliwe dla biznesu dane dotyczące moich produktów. W kwestii tego, kto co może widzieć, istotnym punktem jest to, że ochrona jest kwestią poziomu dostępu, a nie usuwania danych z paszportu.

Zapewnienie, że właściwa strona ma dostęp do właściwych danych

Trzecim elementem jest kwestia bardziej praktyczna: paszport musi być tak skonfigurowany, aby organ nadzorczy, uczestnik rynku znajdujący się dalej w łańcuchu lub osoba zajmująca się naprawą mogła faktycznie uzyskać dostęp do danych, które są dla niej istotne, bez konieczności polegania na producencie, który musi coś znaleźć i przesłać. Wiąże się to również z pytaniem Czy muszę umieszczać informacje o naprawie i części zamienne w paszporcie produktu — informacja naprawcza ma wartość tylko wtedy, gdy strona wykonująca naprawę może do niej faktycznie uzyskać dostęp w momencie, gdy jest to konieczne.

Gdzie w praktyce dochodzi do błędów

Kilka sytuacji pojawia się regularnie w praktyce.

Przedsiębiorstwo umieszcza wszystkie dane na jednym publicznie dostępnym poziomie, łącznie z informacjami, które faktycznie były przeznaczone wyłącznie dla organów nadzoru. To rozwiązuje techniczne wyzwanie dostępu warstwowego poprzez jego całkowite unikanie, ale jednocześnie wystawia wrażliwe dla biznesu lub inne wrażliwe dane na widok publiczny.

Inne przedsiębiorstwo robi coś przeciwnego: w ramach ostrożności jak największa część jest umieszczana za logowaniem lub ograniczonym dostępem, łącznie z danymi, które są faktycznie przeznaczone dla konsumenta. Rezultatem jest paszport, który po skanowaniu kodu QR wyświetla niewiele więcej niż odwołanie "skontaktuj się", podczas gdy zamysłem było, aby informacje podstawowe były od razu widoczne.

Trzecia sytuacja pojawia się, gdy przedsiębiorstwo pracuje z wieloma grupami produktów i dla każdej grupy stosuje inną platformę lub inne podejście. Poziomy dostępu skonfigurowane dla jednego paszportu nie mają wtedy automatycznie zastosowania do drugiego, a organy nadzoru lub partnerzy łańcucha dostaw, którzy konsultują się z różnymi produktami tego samego przedsiębiorstwa, napotykają niespójny dostęp.

Czwarta sytuacja: przedsiębiorstwo uważa, że dostęp do paszportu jest ustawieniem jednorazowym, podczas gdy dane i użytkownicy z nimi związani zmieniają się w czasie. To wiąże się z pytaniem jak często muszę aktualizować dane w produktpaszporcie — zmieniona lista składników lub nowa metoda recyklingu ma małą wartość, jeśli strona, która potrzebuje tej informacji, nie ma dostępu do zaktualizowanej wersji.

Piąta sytuacja ma miejsce u przedsiębiorstw, które eksportują w UE i uważają, że poziomy dostępu różnią się w zależności od języka lub kraju członkowskiego. Dostęp jest powiązany z rolą użytkownika, a nie z językiem, w którym dane są wyświetlane — rozróżnienie, które jest również ważne w kontekście pytania Czy muszę oferować paszport produktu w wielu językach.

Co możesz udokumentować

• Przegląd kategorii danych, które w paszporcie są dostępne publicznie, i które ograniczone są do określonych grup użytkowników, w tym uzasadnienie tego wyboru.
• Opis ról, które otrzymują dostęp do każdego poziomu: konsument, uczestnik rynku, organ nadzoru, naprawa lub recykling.
• Umowy z platformą hostingową dotyczące sposobu technicznego egzekwowania poziomów dostępu i kto jest odpowiedzialny w przypadku konieczności dostosowania tego dostępu.
• Ustanowiona procedura aktualizacji praw dostępu w przypadku zmian danych lub gdy nowe grupy użytkowników stają się istotne.
• Dokumentacja dotycząca tego, które dane zostały oznaczone jako wrażliwe dla przedsiębiorstwa i na jakim poziomie dostępu zostały umieszczone.
• Wewnętrzny punkt kontaktowy do pytań organów nadzoru lub partnerów łańcucha dostaw dotyczących dostępu do określonych danych w paszporcie.

W przypadku przedsiębiorstw pracujących z wieloma grupami produktów zaleca się ustalenie tych umów jednorazowo centralnie, aby nie było konieczności ponownego podejmowania tych samych wyborów dla każdego paszportu. Kto ma wątpliwości, czy dana grupa produktów już podlega tym obowiązkom, znajdzie pierwszy punkt zaczepienia u czy cyfrowy paszport produktu dotyczy moich produktów.