kan jag be min leverantör om en sekretessförklaring om passportuppgifterna

Ja, det kan du, och det är vanlig praxis

En sekretessförklaring — ofta kallad NDA — kan utan problem begäras av en leverantör som tillhandahåller uppgifter för det digitala produktpasset. ESPR (förordning (EU) 2024/1781) förpliktar leverantörer och andra aktörer i försörjningskedjan att lämna vissa uppgifter, men förordningen säger inget om formen för överenskommelserna däromkring. En sekretessförklaring är ett tillägg till detta, inte en ersättning: uppgifterna måste levereras hur som helst, och förklaringen reglerar endast vad som händer med denna information efter passet.

För känslig produktinformation, inte för själva passportuppgifterna

Den distinktion som är viktig här: uppgifter som hamnar i passet är per definition avsedda att vara synliga för den som konsulterar passet — det är ju själva syftet med QR-databäraren. En sekretessförklaring kan därför inte användas för att förhindra att obligatoriska passportuppgifter slutligen hamnar i passet. En NDA är väl lämplig för: de underliggande tekniska specifikationerna, recepturen, sammansättningsdetaljer eller produktionsprocesser som en leverantör delar för att kunna sammanställa de rätta passportuppgifterna, men som själva inte behöver finnas i passet. En leverantör delar till exempel en fullständig materialsammansättning för att komma fram till en aggregeringssiffra, medan endast denna siffra visas i passet. För sådan bakgrundsinformation är en sekretessförklaring ett normalt och funktionellt instrument, precis som det redan sker med annan leverantörsinformation som inte är avsedd för passet.

Inget fast datum, men en tidpunkt är fastställd: innan den första datainsamlingen

Det finns ingen juridisk tidsfrist för att upprätta en sekretessförklaring — det är en affärsöverenskommelse mellan parterna, inte en förpliktelse enligt ESPR. Det som är fastställt: ju tidigare denna överenskommelse ingås, desto mindre diskussion uppstår när leverantören faktiskt måste lämna uppgifter. Företag som redan nu förbereder sig för produktgrupper för vilka passet gäller, gör klokt i att omedelbar ordna sekretessöverenskommelsen tillsammans med andra överenskommelser om datatorvättande, i stället för att diskutera detta som ett separat ämne senare.

Så här går en tillverkare eller importör praktiskt till väga

Som första steg är det lämpligt att avgöra vilken information som exakt begärs från leverantören och vilket parte av denna som enbart tjänar för att komma fram till passportuppgifterna, utan att själv förekomma i passet — vilka uppgifter måste jag begära från min produktleverantör ger ett utgångspunkt för detta. Sedan är det praktiskt att sekretessförklaringen inte står isolerad, utan ingår i de bredare överenskommelserna om datatorvättande: vem levererar vad, i vilken form, och vad händer därtill. Det är bäst att omedelbar fastslå detta i inköpskontraktet, så att sekretessförklaringen och leveringsverpligtelsen inte motsäger varandra — se hur fixerar jag leveringen av passportuppgifter i mitt inköpskontrakt. En tredje punkt att ta hänsyn till: en sekretessförklaring reglerar hanteringen av information, men säger ingenting om huruvida de levererade uppgifterna är korrekta. Det förblir en separat brännpunkt, se hur kontrollerar jag att min leverantörs uppgifter är korrekta. Slutligen är det klokt att i förklaringen klargöra att denna inte står i vägen för förpliktelsen att faktiskt leverera passportuppgifter — en leverantör som gömmer sig bakom sekretess för att inte leverera ändrar inget på den förpliktelse som följer av artikel 38 i ESPR.

Juridisk grund: artikel 38, 29 och 10 i ESPR

Artikel 38 i ESPR (förordning (EU) 2024/1781) beskriver kraven på aktörer i leverantörskedjan: de måste lämna viss information som är nödvändig för att sammanställa den digitala produktpasset. Denna skyldighet är oberoende av eventuella sekretessavtal mellan parterna — förordningen reglerar vad som måste levereras, inte hur leverantör och köpare sinsemellan komt överens om konfidentialitet för övrigt. Artikel 29 beskriver på motsvarande sätt importörs förpliktelser, som också beror på korrekt datamata från parter utanför EU — relevant för den som importerar produkter från utanför unionen, enligt närmare beskrivning i vad betyder produktpasset om jag importerar produkter från utanför EU. Artikel 10 i ESPR beskriver kraven på själva den digitala produktpasset, inklusive vilka data som måste vara tillgängliga i det — och det är just den gräns som ett sekretessavtal inte kan flytta: vad som är obligatoriskt i passet måste förbli synligt, oavsett vilka avtal som träffas omkring det.

Den som vill dokumentera denna överenskommelse bör låta sekretesspolicyn upprättas som en del av den bredare uppsättningen inköpsavtal med leverantören, så att konfidentialitet och leveringsskyldighet förbinds i ett dokument snarare än att existera separat.

Var detta baseras på

Förordningen själv finns på EUR-Lex. Vi hänvisar för varje påstående; ni behöver inte tro på oss.

Vad du konkret måste göra

Vad som förväntas av dig

Det är möjligt att begära ett sekretessavtal från en leverantör, och i praktiken sker det regelbundet så snart passdata lämnar företaget till en plattform som vår eller till annan part i kedjan. ESPR (förordning (EU) 2024/1781) reglerar vilka data som måste ingå i den digitala produktpasset och vem som måste leverera dem, men förordningen innehåller ingen bestämmelse som förbjuder eller kräver ett sekretessavtal. Det är således en affärsmässig överenskommelse mellan er och er leverantör, separat från själva passkravet.

Leverans av data från leverantören

Artikel 38 i ESPR beskriver vad som förväntas av aktörer i leverantörskedjan när det gäller att tillhandahålla information för produktpasset. För ett företag med 10 till 100 anställda innebär detta i praktiken att en leverantör levererar data om material, sammansättning, ursprung eller andra egenskaper som är nödvändiga för att göra passet fullständigt. Dessa data kan vara konkurrenskänsliga: en receptur, en specifik legering, en leverantör av en kritisk del. Att begära ett sekretessavtal rör alltså inte skyldigheten att leverera, utan sättet på vilket det görs.

Sammanställning av den digitala produktpasset

Artikel 10 i ESPR beskriver de krav som den digitala produktpasset måste uppfylla, inklusive datatillgängligheten för olika parter såsom tillsynsmyndigheter, konsumenter eller återvinningsaktörer. Det innebär att en del av de data som en leverantör levererar slutligen blir synlig för tredje parter via passet. För ett företag som får passet sammanställt är det därför relevant att i förväg diskutera med leverantören vilka data som hamnar i passet och vilka data som endast är internt nödvändiga för att passet ska kunna fyllas i korrekt. Ett sekretessavtal behandlar vanligen denna senare kategori: de underliggande data som inte visas i själva passet, men som är nödvändiga för korrekt sammanställning.

Förpliktelser vid import

Artikel 29 i ESPR beskriver importörs förpliktelser, inklusive att kontrollera att passet är närvarande och korrekt innan en produkt kommer ut på EU-marknaden. För företag som tillverkar eller monterar med komponenter från utanför EU spelar detta en roll: importören behöver vanligen mer data från en utländsk leverantör än bara vad som finns i passet för att kunna genomföra denna kontroll. Den som vill veta mer om detta hittar bakgrund i vad det digitala produktpasset betyder vid import från utanför Europeiska unionen. Även i det förhållandet är en sekretessöverenskommelse ett vanligt instrument för att skydda känslig teknisk eller kommersiell information utan att hindra själva leveransen.

Där det går fel i praktiken

En leverantör vägrar att leverera data med argumentet att informationen är konfidentiell, medan ingen sekretessöverenskommelse någonsin har begärts. Samtalet handlar då om "leverans eller inte", medan den egentliga frågan är "under vilka villkor". Se även vad som ska göras om en leverantör inte levererar data.

En sekretessöverenskommelse tas upp först efter att inköpsavtalet har slutits, när leverantören redan har delat data. Det fungerar tvärtom: överenskommelsen har då ingen kontroll över vad som redan har utbytts.

Ett företag begär en allmän sekretessöverenskommelse, utan att specificera exakt vilka data det handlar om. Leverantören undertecknar något vagare än nödvändigt, eller något som begränsar möjligheterna att sammanställa själva passet.

Det görs ingen skillnad mellan data som visas i passet själv — och därför per definition blir tillgänglig för tredje parter — och data som endast används internt. En sekretessöverenskommelse som säger att "all data" är konfidentiell står då i motsättning till vad passet enligt artikel 10 i ESPR faktiskt måste offentliggöra.

För en leverantör som levererar komponenter för flera produktgrupper samtidigt används en sekretessöverenskommelse för alla dataflöden, medan känsligheten och tillämpliga passestkrav kan skilja sig åt per produktgrupp. Den som arbetar med en sådan leverantör, läser vidare under en leverantör som levererar komponenter för olika produktgrupper.

Vad ni kan dokumentera

En sekretessöverenskommelse (NDA) som specifikt nämner vilka datakategorier som faller under sekretessen, och vilka data som faktiskt är avsedda att visas i passet och därför inte är konfidentiella.
En bestämmelse i inköpsavtalet om leveransen av passetdata, inklusive en hänvisning till sekretessöverenskommelsen som ett separat dokument. Ett utarbetat exempel finns under avtal om leverans av passetdata i inköpsavtalet.
En förteckning över exakt vilka data som behövs från leverantören, så att sekretessöverenskommelsen inte blir bredare än nödvändigt. Se vilka data som efterfrågas hos leverantören.
En överenskommelse om vad som händer med sekretessöverenskommelsen när leverantören byter, så att gamla överenskommelser inte fortsätter på ett sätt som inte längre passar den nya situationen. Relevant under byte av leverantör under använding.
En procedur för att kontrollera levererad data för korrekthet före den ingår i passet, så att en sekretessöverenskommelse inte hindrar en ordentlig kontroll. Mer om detta under kontrollen av data för korrekthet.
Vid användning av flera leverantörer för samma komponent: ett avtal per leverantör, istället för ett dokument som tillämpas på samma sätt för alla. Bakgrunden till detta finns under flera leverantörer för samma komponent.

Detta är inte juridisk rådgivning. Den här sidan ger allmän information om den lagstiftning som denna plattform handlar om. Vi känner inte till er situation. Vid tvivel om er eget fall rådfrågar ni en jurist eller tillsynsmyndigheten.

Skrivet med AI baserat på källorna ovan, kontrollerat av en människa den 2026-09-05. Stämmer något inte? Låt oss veta — korrigeringar får företräde.