Ako sú moje produktové údaje v pase chránené pred zneužitím

Prístupové práva a technické požiadavky určujú bezpečnosť

Bezpečnosť údajov v digitálnom produktovom pase vychádza z kombinácie prístupových práv a technických požiadaviek, ktoré ESPR kladie na pas. Nie všetky údaje v pase sú viditeľné pre každého: nariadenie robí rozlíšenie medzi informáciami, ktoré sú verejne prístupné spotrebiteľom a ďalším stranám, a informáciami, ktoré sú určené len pre špecifické skupiny, ako sú kontrolné orgány, účastníci trhu v dodávateľskom reťazci alebo opravovateľské podniky. Okrem toho článok 11 ESPR (Nariadenie (EÚ) 2024/1781) kladie požiadavky na technický návrh pasu, vrátane požiadaviek týkajúcich sa spoľahlivosti a pôvodu údajov. Ten, kto pas skutočne hostuje a technicky upravuje, musí tieto požiadavky premeniť na konkrétne opatrenia: autentifikáciu, šifrovanie a obmedzenie toho, kto smie vidieť alebo meniť ktoré údaje.

Ide o ochranu údajov, nie o boj proti podvedom

Otázka "ako sú moje údaje o produkte chránené pred zneužitím" má dve stránky a ESPR reguluje predovšetkým jednu z nich. Nariadenie kladie požiadavky na systém: kto dostane prístup ku ktorým údajom, ako kontrolovať pôvod údajov a ktoré technické normy platia pre ukladanie a výmenu údajov. To sa dotýka zneužitia v zmysle neoprávneného prístupu alebo manipulácie údajov. Čo ESPR neupravuje, je ochrana pred neférovým konkurenčným zneužitím, ktoré napriek tomu dostane prístup k informáciám citlivým na podnikanie, pretože tieto informácie musia byť povinne verejné — to je voľba, ktorá sa v delegovanom nariadení robí pre každú skupinu produktov osobitne, nie je to niečo, čo by technické bezpečnostné opatrenie mohlo zmeniť. Je teda potrebné oddeliť dve veci: ktoré údaje sú povinne verejné (to vyplýva z pravidiel špecifických pre skupinu produktov) a ako sú chránené údaje, ktoré nie sú verejné (to vyplýva z článkov 10 a 11 ESPR). Ten, koho znepokojuje, že konkurenti môžu z pasu vytiahnuť presnú receptúru, mená dodávateľov alebo vnútorné výsledky testov, by sa mal pozrieť na to, čo pravidlá skupiny produktov označujú ako povinné pole, nie na bezpečnosť platformy.

Zatiaľ žiadny pevný dátum vstupu do platnosti technického vykonania

Presný dátum, kedy budú technické a organizačné bezpečnostné požiadavky na digitálne produktové pasy účinné, nie je stanoveného v samotnej osnove ESPR. Nariadenie stanovuje v článkoch 10 a 11 rámec, v rámci ktorého Európska komisia prostredníctvom delegovaných a vykonávacích opatrení ďalej podľa skupiny produktov konkretizuje, ako sa technicky formalizujú prístup, autentifikácia a ochrana údajov. Kým nebudú k dispozícii tieto vykonávacie opatrenia, všeobecné ustanovenia ESPR slúžia ako východzí bod, ale konkrétne technické špecifikácie — napríklad ktorý protokol na autentifikáciu sa použije alebo ako presne funguje správa práv — nasledujú pre každú skupinu produktov v momente, keď sa prijme toto delegované nariadenie. Kto chce mať istotu v tejto záležitosti pre konkrétnu skupinu produktov, je vhodné sledovať stav delegovaného nariadenia prostredníctvom oficiálnych zdrojov namiesto čakania na všeobecný dátum, ktorý neexistuje.

Čo si z toho môže fabrikant alebo dovozca odniesť

Pre výrobcu alebo dovocu, ktorý si nechá zostaviť pas, je praktické poradie nasledovné. Najskôr je relevantné, ktoré údaje určité pravidlá špecifické pre skupinu produktov deklarujú ako povinne verejne zverejňované, a ktoré údaje môžu zostať s obmedzeným prístupom — to určuje, čo je vôbec vystavené, bez ohľadu na techniku. Ďalej je relevantné, ako strana, ktorá pas hostí, technicky chráni prístup k neverejným údajom: s akej autentifikáciou a či sa rozlišuje medzi úlohami, ako sú orgán dohľadu, recyklér alebo opravár. Potom nasleduje otázka, ako je usporiadaná identifikácia samotného produktu, pretože pas je spoľahlivý len natoľko, nakoľko je spoľahlivá väzba medzi produktom a údajmi: pozri tiež, ako to každý produkt dostane jedinečný identifikačný kód poskytneš, aby sa údaje náhodou alebo úmyselne nepriradili k nesprávnemu produktu. Nakoniec tu je otázka fyzického prístupu: QR kód na samotnom produkte tvorí vstup do pasu, a kto si položí otázku, čo sa stane, ak je tento kód poškodený alebo nečitateľný, ten by mal vedieť, že ide o iné riziko ako úniky údajov — ide o dostupnosť, nie o zneužitie údajov. Pre údaje, ktoré sa dodávajú z vlastného ERP systému, je navyše užitočné vedieť, ako táto väzba funguje, pozri prepojenie s vlastným systémom, pretože zabezpečenie tejto väzby je rovnako súčasťou reťazca.

Právny základ: článok 10, 11 a 38 ESPR

Toto vysvetlenie vychádza z troch článkov ESPR (Nariadenie (EÚ) 2024/1781). Článok 10 popisuje požiadavky na digitálny produktový pas všeobecne, vrátane rozlíšenia medzi verejnými a s obmedzeným prístupom dostupnými údajmi. Článok 11 upravuje technický dizajn a fungovanie pasu s požiadavkami, ktoré sa týkajú spoľahlivosti, pôvodu a zabezpečenia údajov, a toho, kto má prístup alebo môže meniť ktoré údaje. Článok 38 stanovuje požiadavky na subjekty v dodávateľskom reťazci, čo je relevantné, pretože viaceré strany — výrobca, dovozca, distribútor — dodávajú alebo konzultujú údaje a ich úloha tak zohráva úlohu v tom, ako je regulovaný prístup.

Kto v súčasnosti prípravu pasu pripravuje, môže najlepšie najskôr skontrolovať, ktoré údaje pre vlastnú skupinu produktov budú povinne verejne zverejnené, a to držať oddelené od otázky, ako technicky zabezpečí prístup ku zvyšným údajom strana poskytujúca hosting — oficiálne znenia článkov 10 a 11 tvoria jej základňu, doplnené špecifickými vykonávacím aktom pre skupinu produktov, akonáhle budú k dispozícii.