¿Quién puede ver qué datos del pasaporte de productos?

Lo que usted debe hacer concretamente

Lo que se espera de usted

El pasaporte de producto no es un documento con un único nivel de acceso. El ESPR se basa en un acceso por niveles: algunos datos son visibles para todos a través del código QR en el producto, otros solo para partes con un papel específico en la cadena, y otros solo para autoridades de control. El artículo 10 del ESPR (Reglamento (UE) 2024/1781) menciona esta distinción como requisito del pasaporte, y el artículo 11 desarrolla cómo adquiere forma técnica y organizativa. Para una empresa que transforma o revende acero, esto significa que hay que pensar en quién tiene acceso a qué parte de los datos en qué momento.

Distinguir entre datos públicos y datos limitados

Una parte de los datos del pasaporte es para todos los que escaneen el código QR: un usuario final, un comprador en una empresa de construcción, una autoridad de control en ruta. Otra parte está destinada solo a partes con un interés legítimo, como empresas de reciclaje que necesitan la composición material, o entidades de certificación. Para una empresa de metales de tamaño medio, esto significa que la pregunta "qué puede ver todo el mundo y qué no" debe responderse ya al compilar el pasaporte, no después. Esto toca directamente la cuestión de si los datos sensibles de la empresa sobre el acero deben hacerse públicos: no todo lo que figura en el pasaporte tiene que ser visible para todos.

Vincular el acceso al papel en la cadena

El artículo 11 describe que el nivel de acceso puede depender del papel de la parte que solicita los datos: fabricante, importador, distribuidor, usuario final, autoridad de vigilancia del mercado o gestor de residuos. Para un comerciante de acero que compra y revende semielaborados, esto significa que su propio papel en la cadena determina qué datos son visibles y cuáles no. Un comerciante que revende material a una empresa de construcción transmite así también una parte de la responsabilidad: el comprador debe tener acceso a los datos que son relevantes para la aplicación y el procesamiento, como el tipo de acero y la composición.

Garantizar que los supervisores siempre tengan acceso

Junto con el acceso escalonado para los actores del mercado, existe el requisito de que las autoridades supervisoras (autoridades de vigilancia del mercado y aduanas) tengan acceso al pasaporte completo, incluidas las partes que no son públicas. Para una empresa de 10 a 100 empleados, esto significa que no puede haber datos en el pasaporte que permanezcan "ocultos" para la inspección, ni siquiera si son comercialmente sensibles. Esa distinción entre no público e no controlable es esencial: los datos pueden protegerse del público, pero nunca de las autoridades que deben poder verificar que el pasaporte es correcto.

Garantizar que la estructura de acceso funcione técnicamente

El artículo 11 establece requisitos sobre la configuración técnica: el pasaporte debe estar estructurado de tal manera que los diferentes niveles de acceso puedan aplicarse efectivamente, no solo en teoría. Para una empresa que no dispone de su propio departamento de TI que pueda construir esto, esto significa que la elección del proveedor de alojamiento es relevante: la tecnología debe garantizar que un usuario final no acceda accidentalmente a datos destinados solo para un reciclador, y viceversa.

Dónde se producen problemas en la práctica

Algunas situaciones que a menudo generan confusión en la práctica:

Un comerciante cree que el pasaporte debe ser completamente público y, por lo tanto, también publica datos destinados solo a la siguiente parte en la cadena, como parámetros de procesos internos. Esto a menudo sucede por precaución ("mejor compartir demasiado que muy poco"), pero sin distinción entre niveles de acceso, la información llega a partes que no deben o no pueden utilizarla.

Otro escenario: una empresa parte del supuesto de que todo lo que no es explícitamente "obligatoriamente público" puede protegerse de todos, incluidas las autoridades supervisoras. Esa distinción entre público e no controlable se confunde entonces, lo que resulta en que una inspección se atasca porque el inspector no puede acceder a los datos subyacentes.

También hay situaciones en las que un fabricante encarga la elaboración del pasaporte a un tercero sin documentar quién obtiene qué derechos de acceso. Si posteriormente surge una disputa sobre quién aportó o modificó qué datos, no hay constancia de quién tenía acceso cuándo.

Además, ocurre que una empresa equipara la estructura de acceso del pasaporte a la de un certificado de inspección 3.1, siendo este un documento diferente con una función y un público distintos. Esto genera confusión sobre qué se comparte exactamente con quién; cómo se relaciona un certificado de inspección 3.1 con el pasaporte de producto es por tanto una pregunta que frecuentemente se plantea junto a estas cuestiones.

Por último: una empresa recopila los datos sin distinguir entre lo que es técnicamente sensible (composición, norma) y lo que es comercialmente sensible (precios de proveedores, especificaciones internas), lo que posteriormente pone de manifiesto que información sensible desde el punto de vista de la competencia era visible para todos.

Lo que usted puede documentar

• Un resumen de qué datos del pasaporte son públicamente accesibles y cuáles están restringidos, adaptado a qué datos en el pasaporte de producto del acero deben constar.
• Una decisión interna sobre qué datos se marcan como información confidencial de la empresa, con justificación de por qué, para que esto sea rastreable posteriormente.
• Acuerdos con el socio de alojamiento sobre qué funciones de acceso se admiten (usuario final, socio de la cadena, autoridad supervisora) y cómo se separan técnicamente.
• Un registro de quién dentro de la propia empresa es responsable de asignar y gestionar derechos de acceso al pasaporte.
• Una descripción general de qué partes en la cadena (proveedor, comprador, reciclador) necesitan qué datos, vinculado a temas como la proporción de chatarra en la colada o los elementos de aleación que deben notificarse, de modo que quede claro qué datos son relevantes para qué función.
• Un registro de cambios y solicitudes de acceso, de modo que en una inspección pueda demostrarse que las autoridades supervisoras siempre tuvieron acceso al conjunto completo de datos.