Kdo smí vidět která data z pasu produktu?

Co konkrétně musíte udělat

Co se od vás očekává

Produktový pas není dokument s jediným přístupovým stupněm. ESPR vychází z vrstveného přístupu: některé údaje jsou viditelné pro všechny prostřednictvím QR kódu na produktu, jiné pouze pro strany se specifickou rolí v řetězci, a opět jiné pouze pro orgány dohledu. Článek 10 ESPR (Nařízení (EU) 2024/1781) toto rozlišení uvádí jako požadavek na pas, a článek 11 rozpracovává, jak to dostane technickou a organizační podobu. Pro podnik, který ocel zpracovává nebo prodává dále, to znamená, že je třeba uvažovat o tom, kdo v jaký čas uvidí kterou část údajů.

Rozlišování mezi veřejnými a omezenými údaji

Část údajů z produktového pasu je pro každého, kdo naskenuje QR kód: konečného uživatele, nákupčího stavební společnosti, orgán dohledu na cestách. Jiná část je určena pouze stranám s oprávněným zájmem, jako jsou recyklační podniky, které potřebují složení materiálu, nebo certifikační orgány. Pro střední metalurgický podnik to znamená, že otázka "co mohou vidět všichni a co ne" musí být zodpovězena již při sestavování produktového pasu, nikoli až potom. To přímo zasahuje otázku zda musí být obchodně citlivé údaje o oceli zveřejněny: ne všechno, co je v pasu obsaženo, musí být viditelné pro všechny.

Vázání přístupu na roli v řetězci

Článek 11 popisuje, že úroveň přístupu může záviset na roli strany, která data požaduje: výrobce, dovozce, distributor, konečný uživatel, subjekt dohledu na trhu nebo zpracovatel odpadu. Pro ocelářský obchod, který nakupuje a dále prodává polotvary, to znamená, že vlastní role v řetězci určuje, která data jsou viditelná a která ne. Obchodní zástupce, který prodává materiál stavební společnosti, tím také předává část odpovědnosti: kupující musí mít přístup k datům, která jsou relevantní pro aplikaci a zpracování, jako je druh oceli a složení.

Zajistit, aby měly dohledující orgány vždy přístup

Vedle vrstvené přístupnosti pro tržní subjekty existuje požadavek, aby měly přístup k úplnému produktovému pasu, včetně částí, které nejsou veřejné, dohledující orgány (orgány pro monitoring trhu a celní orgány). Pro podnik s 10 až 100 zaměstnanci to znamená, že v produktovém pasu nesmí být žádná data, která zůstanou pro kontrolu "skrytá", ani když jsou obchodně citlivá. Tento rozdíl mezi neveřejným a nemožným kontrolovat je zásadní: data mohou být chráněna před veřejností, ale nikdy před orgány, které musí moci zkontrolovat, zda je produktový pas správný.

Zajistit, aby technická struktura přístupu fungovala

Článek 11 stanovuje požadavky na technické uspořádání: produktový pas musí být sestaven tak, aby bylo možné skutečně použít různé úrovně přístupu, a ne jen teoreticky. Pro podnik, který nemá vlastní IT oddělení, které by to mohlo vybudovat, je volba hostingového partnera relevantní: technologie musí zajistit, že koncový uživatel se nesetkne s daty určenými pouze pro recyklátora, a naopak.

Kde to v praxi selže

Několik situací, které v praxi často způsobují nejasnosti:

Obchodní zástupce si myslí, že produktový pas musí být zcela veřejný, a proto zveřejňuje také data určená pouze pro další stranu v řetězci, jako jsou vnitřní parametry procesů. To se často stane z opatrnosti ("raději více než méně sdělím"), ale bez rozlišení mezi úrovněmi přístupu se informace dostanou ke stranám, které s ní nemohou nebo nemají co dělat.

Další scénář: podnik naopak předpokládá, že vše, co není explicitně "povinně veřejné", může být chráněno před všemi, včetně dohledujících orgánů. Tento rozdíl mezi veřejným a nekontrolovatelným je pak zaměňován, s tím že kontrola uvízne, protože inspektor nemůže přistupovat k základním údajům.

Existují také situace, kdy si výrobce nechat pasport vypracovat třetí stranou, aniž by jasně stanovil, kdo získá jaká přístupová práva. Pokud se později objeví spor o tom, kdo jaká data poskytl nebo upravil, není pak zaznamenáno, kdo měl v jakém čase přístup.

Dále se stává, že si podnik vyrovnává strukturu přístupu k pasportu se strukturou inspekčního certifikátu 3.1, zatímco jde o jiný dokument s jinou funkcí a jiným okruhem adresátů. To vede k nejasnosti o tom, co se přesně sdílí s kým; jak se inspekční certifikát 3.1 vztahuje k produktovému pasportu je tedy otázka, která se často objevuje vedle těch ostatních.

A konečně: podnik sestavuje údaje bez rozlišení mezi tím, co je technicky (složení, norma) a co je komerčně (ceny od dodavatelů, interní specifikace) citlivé, čímž se později ukáže, že informace citlivé z hlediska hospodářské soutěže byly viditelné pro každého.

Co si můžete zaznamenat

• Přehled toho, která data produktového pasportu jsou veřejně přístupná a která jsou omezená, přizpůsobená která data v produktovém pasportu oceli musí být obsažena.
• Interní rozhodnutí o tom, která data se označují jako citlivá pro podnik, s odůvodněním, proč tomu tak je, aby to bylo později trasovatelné.
• Dohody s hostingovou stranou o tom, které přístupové role se podporují (konečný uživatel, partner v řetězci, kontrolní orgán) a jak se technicky oddělují.
• Zaznamenání toho, kdo je v rámci vlastního podniku odpovědný za přidělování a správu přístupových práv k pasportu.
• Přehled toho, které strany v řetězci (dodavatel, odběratel, recyklér) potřebují která data, propojený s tématy jako podíl šrotu v tavbě nebo legující prvky, které musí být hlášeny, aby bylo jasné, která data jsou relevantní pro kterou roli.
• Záznam změn a žádostí o přístup, aby bylo možné při kontrole prokázat, že kontrolní orgány měly vždy přístup k úplnému souboru dat.