kako so moji podatki o proizvodih v potnem listu zaščiteni pred zlorabo

Dostopne pravice in tehnični zahtevki določajo varnost

Varnost podatkov v digitalnem produktnem potrdilu izhaja iz kombinacije dostopnih pravic in tehničnih zahtevkov, ki jih postavlja ESPR digitalnemu potrdilu. Vsi podatki v potrdilu niso vidni vsem: Uredba razlikuje med informacijami, ki so javno dostopne potrošnikom in drugim stranem, ter informacijami, ki so namenjene samo določenim skupinam, kot so nadzorni organi, gospodarskih subjektov v dobavni verigi ali servisnim podjetjem. Poleg tega člen 11 ESPR (Uredba (EU) 2024/1781) postavlja zahtevke za tehnično zasnovo potrdila, vključno z zahtevki, ki se nanašajo na zanesljivost in izvor podatkov. Tisti, ki digitalno potrdilo dejansko gostuje in tehnično načrtuje, mora te zahtevke prevesti v konkretne ukrepe: avtentifikacija, šifriranje in omejitev dostopa do podatkov in njihovega spreminjanja.

To se nanaša na varstvo podatkov, ne na preprečevanje goljufij

Vprašanje »kako so moji podatki o proizvodih zaščiteni pred zlorabo« ima dva vidika, ESPR pa ureja predvsem enega. Uredba postavlja zahtevke sistemu: kdo dobi dostop do katerih podatkov, kako nadzirati izvor podatkov in kateri tehnični standardi veljajo za shranjevanje in izmenjavo podatkov. To se nanaša na zlorabo v smislu nepooblaščenega dostopa ali manipulacije podatkov. Kar ESPR ne ureja, je zaščita pred nepoštenimi konkurenčnimi praksami, ki kljub temu dobijo dostop do podatkov, občutljivih za podjetje, ker morajo biti ti podatki obvezno javni — to je odločitev, ki se v delegirani uredbi sprejme za vsako skupino proizvodov, ne pa nekaj, na kar bi kaj spremenilo tehnično varnostni ukrep. Zato je treba dve stvari ločiti: kateri podatki morajo biti obvezno javni (to izhaja iz posebnih pravil za skupino proizvodov) in kako se podatki, ki niso javni, ščitijo (to izhaja iz členov 10 in 11 ESPR). Kdor se boji, da lahko konkurenti iz potrdila pridobijo natančne recepture, imena dobaviteljev ali notranje rezultate testiranja, mora pogledati, kaj pravila za skupino proizvodov določajo kot obvezno polje, ne pa varnosti platforme.

Še ni določenega roka za tehnično izvedbo

Točna datum, od katere nastopijo tehnični in organizacijski zahtevki varnosti digitalnih produktnih potrdil, ni določena v jedru ESPR. Uredba v členih 10 in 11 postavi okvire, v katerih Evropska komisija s pomočjo delegiranih in izvedbenih aktov za vsako skupino proizvodov dodatno opredeli, kako se dostop, avtentifikacija in varnost podatkov tehnično izvedejo. Dokler ti izvedbeni akti ne obstajajo, splošne določbe ESPR veljajo kot izhodišče, toda konkretna tehnična specifikacija — na primer, kateri protokol avtentifikacije se uporabi ali kako natančno deluje upravljanje pravic — za vsako skupino proizvodov sledi v trenutku, ko se delegirana uredba sprejme. Kdor si želi gotovost za določeno skupino proizvodov, bi moral spremljati stanje te delegirane uredbe prek uradnih virov, namesto da bi čakal na splošni rok, ki ne obstaja.

Kaj lahko iz tega prečita proizvajalec ali uvoznik

Za proizvajalca ali uvoznika, ki da pripraviti pasport, je praktični vrstni red naslednji. Najprej je pomembno, katere podatke produktno-specifična pravila določajo kot javno obvezna, in katere podatke sme biti dostop omejen — to določa, kaj je sploh izpostavljeno, neodvisno od tehnike. Nato je pomembno, kako stranka, ki je gostiteljica pasporta, tehnično zaščiti dostop do njavno nedostopnih podatkov: s kakšno avtentifikacijo in ali se pravi razlika med vlogami, kot so nadzorni organ, recikler ali popravilo. Nato se pojavi vprašanje, kako je urejena samo identifikacija proizvoda, saj je pasport zanesljiv le toliko, kolikor je povezava med proizvodom in podatki: glejte tudi, kako bi vsak proizvod dobi edinstveno identifikacijsko kodo podali, tako da podatki niso po nesreči ali namerno povezani s krivim proizvodom. Nazadnje pa je vprašanje glede fizičnega dostopa: QR-koda na samem proizvodu predstavlja vhod v pasport, in kdor se sprašuje, kaj se zgodi, če je ta koda poškodovana ali neberljiva mora vedeti, da je to drugačno tveganje kot puščanje podatkov — gre za dostopnost, ne za zlorabo podatkov. Za podatke, ki se zagotavljajo iz lastnega sistema ERP, je koristno tudi vedeti, kako ta povezava deluje, glejte povezati z lastnim sistemom, ker je varnost te povezave prav tako del verige.

Pravna podlaga: členi 10, 11 in 38 ESPR

Ta razlaga izhaja iz treh členov ESPR (Uredba (EU) 2024/1781). Člen 10 opisuje zahteve za digitalni produktni pasport v splošnem smislu, vključno z razliko med javnimi in omejeno dostopnimi podatki. Člen 11 ureja tehnično zasnovo in delovanje pasporta z zahtevami, ki se nanašajo na zanesljivost, izvor in varnost podatkov ter na to, kdo ima dostop do katerih podatkov ali jih lahko spreminja. Člen 38 postavlja zahteve za subjekte v oskrbovalni verigi, kar je pomembno, ker več strank — proizvajalec, uvoznik, distributor — zagotavlja ali brskaje podatke, zato je njihova vloga relevantna pri tem, kako je dostop urejen.

Kdor v tem trenutku pripravlja pasport, bi moral najprej preveriti, kateri podatki za lastno produktno skupino postanejo obvezno javno objavljeni, in to ločiti od vprašanja, kako stranka, ki je gostiteljica, tehnično zaščiti dostop do ostalih podatkov — uradni besedili členov 10 in 11 so za to izhodišče, dopolnjeni s produktno-specifičnim izvršilnim aktom takoj, ko je na voljo.