jak zajistím, aby byly údaje v produktovém pasu bezpečné

Co konkrétně musíte udělat

Co se od vás očekává

ESPR stanovuje požadavky na produktový pas, které se netýkají pouze toho, KTERÁ data v něm budou, ale také toho, JAK budou tato data spravována a chráněna. Články 10 a 11 ESPR (Nařízení (EU) 2024/1781) dohromady tvoří základ: článek 10 popisuje požadavky, kterým musí pas vyhovovat, článek 11 se konkrétně zabývá technickým návrhem a fungováním. Pro stálnici v oceli nebo zpracovatele kovů, kdo to organizuje poprvé, se to rozděluje na řadu praktických hledisek.

Regulace přístupu k datům podle role

Ne každý, kdo si pas prohlédne, musí vidět stejné údaje. Nákupčí u stavební společnosti potřebuje jiné informace než dohledový orgán nebo recyklér na konci životního cyklu. Článek 10 ESPR vychází z diferencovaného přístupu: některá data jsou veřejná, jiná jsou viditelná pouze pro určité strany, jako jsou tržní účastníci nebo orgány. Pro firmu s 10 až 100 zaměstnanci to znamená, že než pas vstoupí v platnost, musí být učiněno rozhodnutí o tom, kdo uvidí kterou vrstvu dat — a toto rozhodnutí musí být také technicky implementováno, ne pouze na papíru.

Zajištění původu a správnosti dat

Produktový pas má smysl pouze tehdy, pokud jsou v něm obsažená data správná a sledovatelná až do zdroje. To se týká spolehlivosti celého systému: pokud si příjemce nemůže ověřit, odkud údaj pochází, pas ztrácí svou funkci. V praxi to znamená, že musí být zdokumentováno, kdo které údaje dodal — výrobce, dovozce nebo zprostředkovatel — a kdy k tomu došlo. Pro firmy, které samy data nezadávají, ale je předávají dál, je důležité vědět, jak byla data dodána ve správném formátu, protože nesprávné dodání se dál v řetězci promítá do nespolehlivého pasu.

Ochrana proti změně po zveřejnění

Článek 11 ESPR popisuje, že digitální produktový pas musí být technicky nastaven tak, aby byla data po jejich zaznamenání měna nezměnitelně. Pro zpracovatele kovů, který pas sám nehostituje, ale nechá jej hostovat — například prostřednictvím platformy jako je tato — to znamená, že volba poskytovatele hostingu je také volbou, jak tato strana zaznamenává, protokoluje a zabezpečuje změny. Nejde o teoretickou otázku: pokud zákazník nebo kontrolní orgán nějaké údaje z pasu zpochybní, musí být dokazatelné, kdy byl daný údaj zaznamenán a kým.

Propojení se stávajícími podnikovými systémy

Mnoho podniků si přeje nespravovat produktový pas jako izolovaný systém, ale propojit jej se správou, která již existuje. To je možné, ale bezpečnost pasu pak není oddělena od bezpečnosti základního systému. Kdo zvažuje propojení pasu se svým vlastním systémem ERP nebo systémem zásob, měl by se podívat na to, kdo má přístup k tomuto propojení a zda by úniky v jednom systému měly důsledky pro druhý.

Kde to v praxi selže

V praxi se vždy vrací řada situací.

U podniků, které si nechávají QR kód nanášet přímo na produkt, se někdy přehlíží, že samotný kód sám o sobě neposkyuje zabezpečení — otázkou je, co se děje za tímto kódem. Kdo se ptá, jak se QR kód dostane na ocel, měl by si také položit otázku, kdo spravuje základní data a zda je oddělení mezi nositelem a obsahem jasně dokumentováno.

Další situace vzniká, když více stran v řetězci dodává údaje pro stejný pas bez předchozích dohod, kdo kterou část smí upravovat. To vede k nejasnostem o tom, která verze je platná, a někdy k neúmyslnému přepsání správných údajů druhou stranou.

Také u malých součástí se to někdy pokazí: jestliže QR kód na malém kousku oceli má technické omezení, někdy se zvolí zjednodušený odkaz nebo mezistranka — přičemž se často nepromyslelo, zda tato meziúloha dodržuje stejné bezpečnostní dohody jako hlavní pas.

Čtvrtá situace: podniky, které si samy uchovávají offline kopii dat pasu pro použití v místech bez připojení, zapomenou tuto kopii synchronizovat nebo zabezpečit stejným způsobem jako online verzi. Toto je skutečný bod, protože ne každé pracovní místo má stabilní připojení, a otázka, zda musí pas fungovat také offline, hraje právě při tomto druhu praktického uspořádání.

Nakonec: podniky, které skončí nebo se zbavují obchodní jednotky, někdy zapomenou, že data pasu zůstávají existovat a že přístup a správa těchto údajů musí být předány — něco, co souvisí s otázkou, co se s pasem stane, když podnik skončí.

Co si můžete zaznamenat

Řada dohod a dokumentů pomáhá učinit zabezpečení údajů pasu dokazatelným:

• Přehled toho, kdo má jakou roli při dodávce a správě údajů, včetně kontaktní osoby za každou stranu v řetězci.
• Registrace původu každého údaje: od kterého výrobce, dovozce nebo zprostředkující strany pochází a v jakém čase byl dodán.
• Dohody s poskytovatelem hostingu o protokolování změn, aby bylo dokazatelné, kdy byl údaj zaznamenán a zda byl následně upraven.
• Popis úrovní přístupu, které jsou nastaveny: která data jsou veřejná a která jsou viditelná pouze pro určité strany.
• Pokud je to relevantní, přehled propojení s vlastním systémem ERP nebo systémem zásob, včetně informace o tom, kdo má přístup k tomuto propojení.
• Plán pro situaci, kdy podnik skončí nebo bude část převedena, aby správa a přístup k existujícím pasům nezůstaly nezodpovězeny.

Tato dokumentace není užitečná pouze pro dohled, ale také z praktického hlediska: zabraňuje tomu, aby interní znalosti o tom, kdo co spravuje, byly ztraceny při změně personálu nebo převzetí podniku.