Кой може да видит кои данни от паспорта на продукта?

Какво конкретно трябва да направите

Какво се очаква от вас

Продуктовият паспорт не е документ с един уровен на достъп. ESPR (Европейският регламент за устойчивост на продуктите) предполага разслоена достъп: някои данни са видими за всички чрез QR кода на продукта, други само за страни със специфична роля в веригата, а още други само за надзорни органи. Член 10 на ESPR (Регламент (ЕС) 2024/1781) упоменава това разграничение като изискване за паспорта, а член 11 разработва как то получава техническа и организационна форма. За предприятие, което преработва или препродава стомана, това означава, че трябва да се помисли кой, когато и каква част от данните да вижда.

Разграничаване между публични и ограничени данни

Част от данните на паспорта е за всички, които сканират QR кода: краен потребител, закупувач в строителна фирма, надзорен орган в движение. Друга част е предназначена само за страни с обоснован интерес, като рециклиращи компании, които имат нужда от материалния състав, или сертифицирующи органи. За средно голям метален бизнес това означава, че въпросът "какво могат всички да видят и какво не" трябва да бъде отговорен вече при събирането на паспорта, не впоследствие. Това засяга пряко въпроса дали бизнес-чувствителни данни за стомана трябва да бъдат разкрити публично: не всичко, което е в паспорта, трябва да бъде видимо за всички.

Свързване на достъпа с ролята в веригата

Член 11 описва, че нивото на достъп може да зависи от ролята на страната, която поиска данните: производител, вносител, дистрибьютор, краен потребител, пазарен надзорчик или преработвател на отпадъци. За стална търговия, която закупува и препродава полупродукти, това означава, че собствената роля в веригата определя кои данни са видими и кои не. Търговец, който препродава материал на строителна фирма, преминава с това и част от отговорността: купувачът трябва да има достъп до данните, които са релевантни за приложение и преработка, както са вид стомана и съставляване.

Осигуряване на постоянен достъп на надзорните органи

Освен слоестия достъп за участници на пазара, съществува изискването надзорните органи (органи за наблюдение на пазара и митници) да имат достъп до пълния паспорт, включително до части, които не са публични. За компания със 10 до 100 служители това означава, че в паспорта не могат да има данни, които остават "скрити" от контрол, дори ако са търговски чувствителни. Това разграничение между неявни и неконтролируеми е съществено: данните могат да бъдат защитени от общественост, но никога от органите, които трябва да могат да проверят дали паспортът е правилен.

Осигуряване на технически функциониране на структурата на достъпа

Член 11 определя изисквания към техническата организация: продуктовият паспорт трябва да бъде структуриран по начин, който позволява действително прилагане на различни нива на достъп, не само в теория. За компания, която няма собствено IT отделение, което да може да го изгради, това означава, че изборът на хостинг партньор е релевантен: техниката трябва да гарантира, че крайният потребител не получи случайно достъп до данни, които са предназначени само за преработвател, и обратно.

Където нещата се объркват на практика

Няколко ситуации, които в практиката често водят до неясноти:

Един търговец смята, че продуктният паспорт трябва да бъде напълно публичен, и затова публикува и данни, които са предназначени само за следващата страна в верига, като вътрешни параметри на процеса. Това често се случва от предпазливост ("по-добре повече, отколкото по-малко споделяне"), но без разлика между нива на достъп информацията стига до страни, които не трябва или не могат да я използват.

Друг сценарий: дадено предприятие предполага, че всичко, което не е явно "задължително публично", може да бъде ограничено за всички, включително органите на надзора. Тази разлика между публично и неконтролируемо се смесва, в резултат на което контролата се затрудня, защото инспекторът не може да получи достъп до основните данни.

Има също ситуации, в които производител поръчва паспорта на трета страна, без да определи кой получава какви права на достъп. Ако по-късно възникне спор относно това кой е предоставил или променил кои данни, няма регистрация на това кой имаше достъп и кога.

Освен това се случва компания да приравни структурата на достъп на паспорта към тази на сертификат за проверка 3.1, докато това е различен документ с различна функция и различна целева аудитория. Това води до объркване относно това какво точно се споделя с кого; как сертификат за проверка 3.1 се отнася към productpaspoort е следователно въпрос, който често възниква наред с този.

И накрая: компания събира данните без да прави разграничение между това, което е технически (състав, норма) и което е търговски (цени на доставчиците, вътрешни спецификации) чувствително, поради което впоследствие се оказва, че информация, чувствителна към конкуренцията, е била видима за всички.

Какво можете да документирате

• Преглед на това кои данни на паспорта са публично достъпни и кои са ограничени, адаптирани към кои данни трябва да фигурират в productpaspoort на стоманата .
• Вътрешно решение относно това кои данни се обозначават като чувствителни за компанията, с обосновка защо, така че да може да бъде проследено по-късно.
• Договори с хостинг страната относно това кои роли на достъп се поддържат (крайния потребител, партньор в верига, надзорен орган) и как те се разделят технически.
• Регистрация на това кой в собственото предприятие е отговорен за предоставяне и управление на права на достъп до паспорта.
• Преглед на това кои страни в верига (доставчик, получател, преработчик) се нуждаят от кои данни, свързани с теми като дял на лома в топенето или елементите на легирането, които трябва да бъдат докладвани, така че да е ясно кои данни са релевантни за коя роля.
• Логистика на промени и заявки за достъп, така че при проверка да може да се докаже, че надзорните органи винаги са имали достъп до пълния набор от данни.