Vem får se vilken data från produktpasset?

Vad du konkret måste göra

Vad som förväntas av dig

Det digitala produktpasset är inte ett dokument med en enda åtkomstnivå. ESPR utgår från lagvis åtkomst: vissa uppgifter är för alla som skannar QR-koden, andra uppgifter är endast avsedda för specifika parter såsom marknadsaktörer, tillsynsmyndigheter eller reparatörer. Den skillnaden måste återspeglas i sättet på vilket passet är tekniskt utformat.

Göra skillnad mellan offentliga och begränsade uppgifter

Artikel 10 i ESPR (Förordning (EU) 2024/1781) anger vilka kategorier av uppgifter som hör hemma i ett produktpass, men inte varje kategori är synlig för varje besökare. För ett företag med 10 till 100 anställda innebär detta att ett val måste göras när passet sammanställs: vilka uppgifter är lämpliga för konsumenten vid hyllan, och vilka uppgifter är faktiskt avsedda för en montör, en återvinningsaktör eller en marknadsinspektör. Den skillnaden är åtskild från frågan vilka uppgifter ingår i produktpasset för produkter — denna fråga handlar om innehållet, denna fråga handlar om vem som får se vilken del av det innehållet.

Koppla åtkomst till användarens roll

Artikel 11 i ESPR (Förordning (EU) 2024/1781) beskriver den tekniska utformningen och funktionen av det digitala produktpasset, och i den framgår det att åtkomsten till uppgifter kan vara differentierad beroende på användarens kategori. För ett företag innebär detta i praktiken att den plattform på vilken passet är värd, måste kunna skilja mellan en konsument som söker allmän produktinformation, en marknadsaktör som behöver ytterligare kedjuppgifter, och en tillsynsmyndighet som har tillgång till ett bredare set av uppgifter. Den som själv måste ordna detta tekniskt ställs inför en betydande uppgift; den som låter plattformen vara värd av en plattform som redan stöder denna lagvis åtkomst behöver inte bygga denna del själv.

Skydda företagskänslig information utan att undvika skyldigheterna

Inte alla uppgifter som hör hemma i ett pass är lämpliga för full offentlighet. ESPR ger utrymme för att begränsa vissa uppgifter till specifika användargrupper, men det är ingen fribiljett att helt utesluta känslig information. Vad som kan och inte kan göras i det avseendet beskrivs mer utförligt i måste jag offentliggöra företagskänslig information om mina produkter. För frågan om vem som får se vad är den relevanta punkten att skydd är en fråga om åtkomstnivå, inte om radering av uppgifter från passet.

Se till att rätt part kan komma till rätt uppgifter

Ett tredje element är mer praktisk till sin natur: passet måste vara utformat så att en tillsynsmyndighet, en marknadsaktör längre fram i kedjan eller en reparatör faktiskt kan komma till de uppgifter som är relevanta för dem, utan att de för det är beroende av tillverkaren som måste slå något upp och skicka vidare. Det gäller även frågan ska jag sätta information om reparation och reservdelar i produktpasset — reparationsinformation har bara värde om den part som utför reparationen faktiskt kan komma till det, när det behövs.

Där det går fel i praktiken

Ett antal situationer återkommer regelbundet i praktiken.

Ett företag lägger alla uppgifter på en nivå som är allmänt tillgänglig, inklusive information som faktiskt var avsedd endast för tillsynsmyndigheter. Det löser den tekniska uppgiften med lagvis åtkomst genom att helt enkelt undvika det, men exponerar därmed också företagskänslig eller på annat sätt känslig information.

Ett annat företag gör det motsatta: av försiktighet säkerställs så mycket som möjligt bakom en inloggning eller begränsad åtkomst, även uppgifter som faktiskt var avsedda för konsumenten. Resultatet är ett pass som vid skanning av QR-koden visar lite mer än en hänvisning "ta kontakt", medan avsikten var att basinformation skulle vara direkt synlig.

En tredje situation uppstår när ett företag arbetar med flera produktgrupper och använder en annan plattform eller ett annat tillvägagångssätt för varje grupp. Åtkomstnivåer som är inställda för det ena passet gäller då inte automatiskt för det andra, och tillsynsmyndigheter eller kedjeaktörer som konsulterar olika produkter från samma företag stöter på inkonsekvent åtkomst.

En fjärde situation: ett företag utgår från att åtkomst till passet är en engångsinställning, medan data och de användare som hör till den förändras över tid. Det väcker frågan hur ofta måste jag uppdatera uppgifterna i produktpasset — en ändrad komponentlista eller en ny återvinningsmetod har lite värde om den part som behöver denna information inte får åtkomst till den uppdaterade versionen.

En femte situation förekommer hos företag som exporterar inom EU och tror att åtkomstnivåer skiljer sig åt per språk eller per medlemsstat. Åtkomsten är kopplad till användarens roll, inte till det språk i vilket data presenteras — en skillnad som också är relevant när man ställer frågan måste jag erbjuda produktpasset på flera språk.

Vad ni kan dokumentera

• En översikt över vilka datakategorier i passet som är allmänt tillgängliga och vilka som är begränsade till specifika användargrupper, inklusive skälet för detta val.
• En beskrivning av vilka roller som får åtkomst till vilken nivå: konsument, marknadsaktör, tillsynsmyndighet, reparatör eller återvinnare.
• Överenskommelser med värdplattformen om hur åtkomstnivåer tekniskt upprätthålls och vem som ansvarar om denna åtkomst måste justeras.
• En fastställd procedur för uppdatering av åtkomsträttigheter när data ändras eller när nya användargrupper blir relevanta.
• Dokumentation om vilka uppgifter som har markerats som affärskänsliga och på vilken åtkomstnivå de är placerade.
• En intern kontaktpunkt för frågor från tillsynsmyndigheter eller kedjeaktörer om åtkomst till specifika uppgifter i passet.

För företag som arbetar med flera produktgrupper rekommenderas att dessa överenskommelser fastställs centralt en gång, så att samma val inte behöver göras på nytt för varje pass. Den som är osäker på om en viss produktgrupp redan omfattas av dessa skyldigheter kan hitta en första utgångspunkt i gäller det digitala produktpasset för mina produkter.