hur skyddas mina produktdata i passet mot missbruk

Åtkomsträttigheter och tekniska krav bestämmer säkerheten

Säkerheten för data i det digitala produktpasset följer av en kombination av åtkomsträttigheter och tekniska krav som ESPR ställer på passet. Inte all data i passet är synlig för alla: förordningen gör skillnad mellan information som är allmänt tillgänglig för konsumenter och andra parter, och information som endast är avsedd för specifika grupper som tillsynsmyndigheter, marknadsaktörer i leverantörskedjan eller reparatörsföretag. Dessutom ställer artikel 11 i ESPR (Förordning (EU) 2024/1781) krav på den tekniska utformningen av passet, inklusive krav som rör tillförlitligheten och ursprunget för uppgifterna. Den som faktiskt hostar passet och utformar det tekniskt måste översätta dessa krav till konkreta åtgärder: autentisering, kryptering och begränsning av vem som får se eller ändra vilka uppgifter.

Det handlar om dataskydd, inte om bedrägeribekämpning

Frågan "hur skyddas mina produktuppgifter mot missbruk" har två sidor, och ESPR reglerar i första hand en av dem. Förordningen ställer krav på systemet: vem som får tillgång till vilka uppgifter, hur ursprunget för uppgifterna kan kontrolleras och vilka tekniska standarder som gäller för lagring och utbyte av data. Det berör missbruk i betydelsen obehörig åtkomst eller manipulering av uppgifter. Vad ESPR inte reglerar är skydd mot illojal konkurrens som ändå får tillgång till känslig företagsinformation eftersom denna information är obligatoriskt offentlig — det är ett val som görs i den delegerade förordningen per produktgrupp, inte något som en teknisk säkerhetsmätning kan förändra. Det är därför viktigt att hålla två saker isär: vilka uppgifter som är obligatoriskt offentliga (det följer av de produktgruppsspecifika reglerna) och hur de uppgifter som inte är offentliga skyddas (det följer från artikel 10 och 11 i ESPR). Den som är oroad över att konkurrenter kan hämta exakt receptur, leverantörsnamn eller interna testresultat från passet bör därför titta på vad produktgruppreglerna anger som obligatoriskt fält, inte på säkerheten för plattformen.

Inget fast startdatum för den tekniska utarbetningen ännu

Ett exakt datum då de tekniska och organisatoriska säkerhetskraven för digitala produktpass träder i kraft är inte fastställt i själva ESPR:s kärna. Förordningen fastställer i artikel 10 och 11 ramarna inom vilka Europeiska kommissionen genom delegerade och genomförandeåtgärder per produktgrupp närmare preciserar hur åtkomst, autentisering och datasäkerhet utformas tekniskt. Till dess att dessa genomförandeåtgärder finns på plats gäller de allmänna bestämmelserna i ESPR som utgångspunkt, men den konkreta tekniska specifikationen — till exempel vilket autentiseringsprotokoll som används eller hur rättighetshantering fungerar exakt — följer per produktgrupp när den delegerade förordningen antas. Den som vill ha säkerhet om detta för en specifik produktgrupp gör klokt i att följa status för den delegerade förordningen genom officiella källor, i stället för att vänta på ett allmänt datum som inte finns.

Vad en tillverkare eller importör kan utläsa från detta

För en tillverkare eller importör som låter sammanställa ett paspoort är den praktiska ordningsföljden följande. För det första är det relevant vilka uppgifter som produktgruppspecifika regler anger som obligatoriskt offentliga och vilka uppgifter som får förbli med begränsad åtkomst — det avgör vad som exponeras överhuvudtaget, oberoende av teknik. För det andra är det relevant hur den part som är värd för paspoorten, tekniskt skyddar åtkomsten till icke-offentliga uppgifter: med vilken autentisering, och om det görs skillnad mellan roller såsom tillsynsmyndighet, återvinningsaktör eller reparatör. Därefter är frågan hur identifieringen av produkten självständigt är utformad, för ett paspoort är endast så pålitligt som kopplingen mellan produkt och data: se även hur du varje produkt får en unik identifieringskod tillhandahåller, så att uppgifter inte av misstag eller uppsåtligt kopplas till fel produkt. Slutligen finns det frågan om fysisk åtkomst: QR-koden på själva produkten utgör inloppet till paspoorten, och den som undrar vad som händer om denna kod är skadad eller oläslig måste veta att detta är en annan risk än dataöverträdelser — det handlar då om tillgänglighet, inte om missbruk av uppgifter. För uppgifter som levereras från ett eget ERP-system är det dessutom användbart att veta hur denna koppling fungerar, se koppla till ett eget system, eftersom säkerheten för denna koppling är lika mycket en del av kedjan.

Rättslig grund: artikel 10, 11 och 38 i ESPR

Denna förklaring härrör från tre artiklar i ESPR (Förordning (EU) 2024/1781). Artikel 10 beskriver kraven på det digitala produktpasset i allmän mening, inklusive skillnaden mellan offentliga uppgifter och uppgifter med begränsad åtkomst. Artikel 11 reglerar den tekniska utformningen och driften av passet, med krav som påverkar tillförlitligheten, ursprunget och säkerheten för uppgifter, och vem som får konsultera eller ändra vilka uppgifter. Artikel 38 ställer krav på aktörer i leveranskedjan, vilket är relevant eftersom flera parter — tillverkare, importör, distributör — levererar eller konsulterar uppgifter, och deras roll spelar därför in i hur åtkomsten regleras.

Den som för närvarande förbereder ett paspoort gör bäst i att först kontrollera vilka uppgifter som är obligatoriskt offentligt tillständ för den egna produktgruppen, och hålla det isär från frågan om hur värdpartiet tekniskt säkrar åtkomsten till övriga uppgifter — de officiella texterna för artiklarna 10 och 11 utgör grunden för detta, kompletterat med de produktgruppspecifika genomförandebesluten när dessa är tillgängliga.

Var detta baseras på

Förordningen själv finns på EUR-Lex. Vi hänvisar för varje påstående; ni behöver inte tro på oss.

Vad du konkret måste göra

Vad som förväntas av dig

Säkerheten för det digitala produktpasset är inte en fråga om att lägga till ett lås i efterhand. ESPR bygger in ett antal säkerhetskrav i själva utformningen av passet, och placerar dessutom ansvar på de parter som levererar och hanterar uppgifter.

Åtkomsten till uppgifter måste kunna särskiljas

Artikel 10 i ESPR (Förordning (EU) 2024/1781) fastslår att inte alla uppgifter i passet behöver vara synliga för alla. Det görs en skillnad mellan uppgifter för allmänheten, för marknadsaktörer, för tillsynsmyndigheter och för andra parter med ett specifikt intresse. För ett företag mellan 10 och 100 anställda innebär detta att vid sammanställningen av passet måste överväganden göras om vilken information som hamnar på vilken synlighetsnivå — en reparatör behöver andra uppgifter än en konsument, och en tillsynsmyndighet åter andra än båda. Det är ingen teknisk detalj, utan ett val som görs per produktgrupp och ibland per datafält.

Den tekniska utformningen måste förhindra manipulation

Artikel 11 i ESPR (förordning (EU) 2024/1781) ställer krav på den tekniska och operativa funktionen hos passet, i syfte att data inte kan ändras, kopieras eller förfalskas obemärkt efter att de har registrerats. För en tillverkare eller importör innebär detta att det inte räcker att publicera en PDF med specifikationer någonstans på nätet. Passet måste utformas på ett sätt — med en unik identifieringskod, en fast koppling mellan produkt och data och en verifierbar ursprung för data — som gör det svårt att göra hemliga ändringar i efterhand. Den som själv vill ställa in detta tekniskt möter ofta redan vid första steget: hur fastställs vilket pass som tillhör vilken enhet. Det börjar med hur ger jag varje produkt en unik identifieringskod?, och hänger ofta samman med frågan vad är GS1 Digital Link och behöver jag det för produktpasset?.

Aktörer i kedjan måste lämna data korrekt och aktuell

Artikel 38 i ESPR (förordning (EU) 2024/1781) fastslår att aktörer i försörjningskedjan — tillverkare, importörer, distributörer — har förpliktelser när det gäller att korrekt och aktuellt lämna vidare de data som hamnar i passet. För ett medelstort företag innebär detta att säkerheten inte slutar vid "data är säker på en server". Om en underleverantör lämnar felaktig eller föråldrad information, och den tas emot okontrollerat i passet, är det lika mycket en form av datamissbruk som en riktad attack på hosten. För den som arbetar med flera underleverantörer är det lämpligt att i förväg avklara vilka data som varje part levererar och när de anses slutgiltiga.

Där det går fel i praktiken

En inloggning för alla. Ett företag upprättar passet med ett konto som används av hela organisationen för att ändra data. Ingen kan senare spåra vem som gjorde vilka ändringar, vilket i praktiken urholkar verifierbarheten i artikel 11.

Konfidentiell data av misstag offentlig. Interna testresultat, leverantörspriser eller recepturdetaljer hamnar i den offentliga delen av passet eftersom ingen åtskillnad gjordes mellan vad som är avsett för konsumenter och vad som endast är relevant för tillsynsmyndigheter — exakt den åtskillnad som artikel 10 möjliggör, men som inte tillämpas automatiskt.

Underleverantör levererar data utan kontroll. En importör tar över information från en tillverkare utanför EU utan att verifiera den. Om den informationen visar sig vara felaktig är frågan om vem som är ansvarig inte avklarad i förväg — en situation som artikel 38 just försöker förhindra genom tydliga förpliktelser för varje led i kedjan.

Förvirring mellan passet och det underliggande systemet. Ett företag tror att koppling av passet till sitt eget ERP-system automatiskt löser säkerheten, medan åtkomsthantering, ändringsloggar och synlighetsnivåer är oberoende av detta. Mer om detta finns i kan jag koppla produktpasset till mitt ERP- eller lagersystem?

Ingen plan för vad som händer vid ett fel i kedjan. En QR-kod pekar på passet, men om den skadas eller passet inte längre är tillgängligt uppstår det oklarheter om vem som är ansvarig för återställning. Det påverkar inte bara tillgänglighet utan även förtroendet för datakorrektionen — se vad händer om QR-koden på produkten skadas eller blir oläslig.

Vad ni kan dokumentera

En översikt över vilka data i passet som är offentligt synliga och vilka som endast är det för marknadsaktörer eller tillsynsmyndigheter — som grund för den indelning som artikel 10 möjliggör.
En intern process för vem som får ändra data, med en logg över ändringar per användare och datum.
Avtal med underleverantörer om vilka data som varje part levererar, i vilket format och när de anses slutgiltiga — relevant för förpliktelserna i artikel 38.
En etablerad koppling mellan produktidentifikation och passet, så att det går att spåra vilket pass som tillhör vilken enhet.
En procedur för att kontrollera levererade data innan de publiceras i passet, inklusive vem som bär slutansvaret.
En överblick över vilka produktgrupper som behöver flera pass och hur de hanteras tillsammans, se min produkt behöver flera produktpass — hur fungerar det tillsammans?
En plan för situationen då företaget upphör eller byter ägare, så att dataskyddet inte förblir beroende av en juridisk person — se vad händer med produktpasset om mitt företag upphör?

Detta är inte juridisk rådgivning. Den här sidan ger allmän information om den lagstiftning som denna plattform handlar om. Vi känner inte till er situation. Vid tvivel om er eget fall rådfrågar ni en jurist eller tillsynsmyndigheten.

Skrivet med AI baserat på källorna ovan, kontrollerat av en människa den 2026-09-05. Stämmer något inte? Låt oss veta — korrigeringar får företräde.