come garantisco che i dati nel passaporto del prodotto siano sicuri

Accesso, tracciabilità e protezione da manomissioni sono il nucleo

La sicurezza del passaporto di prodotto ruota attorno a tre elementi: solo le parti autorizzate possono visualizzare o modificare determinati dati, i dati sono tracciabili fino a chi li ha forniti, e nessuno può modificare un passaporto successivamente senza lasciare tracce. L'ESPR (Regolamento (UE) 2024/1781) lo stabilisce come requisito del sistema in cui opera il passaporto, non come scelta discrezionale della parte che lo compila. Ciò significa che una piattaforma che ospita passaporti deve averlo già risolto tecnicamente — il commerciante di acciaio o il trasformatore di metalli che fa creare il passaporto non deve costruirlo da sé, ma è bene che sappia cosa è garantito e cosa non lo è.

Per chi si applica e cosa rimane escluso

Questi requisiti di sicurezza si applicano al passaporto di prodotto digitale stesso: il file di dati raggiungibile tramite il codice QR e il sistema che archivia e visualizza quel file. Riguardano la questione di chi può visualizzare i dati, chi può modificarli, e se l'origine di una modifica è documentata. Non riguardano la questione se il contenuto del passaporto sia corretto — questa è una questione di accuratezza dei dati, non di sicurezza. Non riguardano neanche il codice QR fisico sul prodotto: come viene applicato e se rimane leggibile è descritto nella pagina su come il codice QR finisce sull'acciaio, ed è una questione diversa dalla sicurezza dei dati dietro quel codice. E questi requisiti non dicono nulla su un sistema IT specifico o su un prodotto fornitore: il regolamento prescrive funzionalità, non tecnologia.

È importante anche distinguere chi può visualizzare quali dati. Non tutti i dati in un passaporto sono destinati a tutti — alcune informazioni sono per l'utente finale, alcune per un esperto di mercato, alcune solo per un'autorità di vigilanza. Questo accesso stratificato è parte dello stesso problema di sicurezza, ma la precisa distribuzione sarà definita ulteriormente per ciascun gruppo di prodotti e quindi non è ancora fissata in dettaglio.

Nessuna data di entrata in vigore definitiva, ma un quadro già stabilito

Non c'è ancora una data definitiva in cui questi requisiti di sicurezza entreranno in vigore per ferro e acciaio. Il piano di lavoro della Commissione europea prevede un primo atto delegato nel 2026, con obblighi che entreranno in vigore successivamente; non appena tale atto sarà pubblicato, la data sarà indicata qui. Quello che è già stabilito è il quadro della stessa ESPR: l'articolo 10 e l'articolo 11 descrivono i requisiti per il passaporto e per la progettazione tecnica, e questo testo non cambierà — rimangono solo da definire l'applicazione specifica per prodotto e la data di entrata in vigore. Fino a quel momento non c'è alcun obbligo legale di mantenere un passaporto di prodotto per l'acciaio, ma i requisiti di sicurezza che entreranno in vigore sono già leggibili nel regolamento.

Cosa ne consegue nella pratica

Quando si implementa un passaporto, la questione della sicurezza ritorna in una sequenza fissa. Primo: chi fornisce i dati e la sua tracciabilità è documentata? Un passaporto è compilato con dati del fabbricante o dell'importatore, e deve essere possibile tracciare successivamente chi ha inserito quale dato. Secondo: chi può modificare il passaporto dopo la pubblicazione? Il regolamento richiede che un passaporto non possa essere modificato senza lasciare tracce — una modifica deve essere visibile o verificabile, non semplicemente sovrascritta in silenzio. Terzo: chi visualizza quali dati? Un commerciante di acciaio che trasmette il passaporto a un cliente non ha bisogno di preoccuparsi lui stesso dei diritti di accesso all'interno del sistema — questa è la responsabilità della parte che ospita il passaporto — ma è bene sapere che non tutti i dati devono essere accessibili al pubblico.

Chi vuole collegare un pasaporto di prodotto a un sistema ERP o di gestione dell'inventario esistente farebbe bene a porre questa questione di sicurezza in anticipo: i dati che fluiscono automaticamente da un sistema interno a un pasaporto pubblico devono rimanere protetti durante il trasporto contro modifiche non autorizzate. Ulteriori informazioni su questo argomento sono disponibili nella pagina su il collegamento del pasaporto a un sistema proprio. Anche la questione per quanto tempo un pasaporto deve rimanere disponibile e inalterato dopo la pubblicazione è collegata a questi requisiti di sicurezza; questo argomento è trattato separatamente nella pagina su quanto a lungo un pasaporto di prodotto rimane disponibile.

Per l'imprenditore che non dispone di un proprio reparto IT, in pratica si riduce a una domanda di controllo da rivolgere alla parte che ospita il pasaporto: può dimostrare chi ha fornito quali dati, esiste una protezione contro le modifiche non marcate e l'accesso ai dati sensibili è schermato dalla parte pubblica del pasaporto? Non sono domande giuridiche ma pratiche, e possono essere poste senza necessità di conoscere il regolamento stesso.

Dove si trova: articolo 10 e articolo 11 dell'ESPR

L'articolo 10 dell'ESPR (Regolamento (UE) 2024/1781) descrive i requisiti che il pasaporto di prodotto digitale deve soddisfare, incluso l'accesso ai dati da parte di diversi tipi di utenti. L'articolo 11 riguarda specificamente la progettazione tecnica e il funzionamento del pasaporto, e contiene i requisiti sulla tracciabilità, la protezione dalla manipolazione e il funzionamento del sistema sottostante. Insieme, entrambi gli articoli costituiscono il quadro da cui derivano i requisiti di sicurezza; l'ulteriore implementazione tecnica seguirà con gli atti delegati che devono ancora essere pubblicati.

Chi ora vuole già iniziare a lavorare con un pasaporto di prodotto farebbe bene a iniziare a mettere in ordine i propri flussi di dati — registrare chi fornisce quali dati e come vengono gestiti — in modo che in seguito non sia necessario cambiare molto una volta che l'obbligo e i dettagli tecnici sono definitivamente stabiliti.

Su cosa si basa

Il regolamento stesso è disponibile su EUR-Lex. Facciamo riferimento a ogni affermazione; non dovete crederci.

Cosa deve fare concretamente

Cosa ci si aspetta da voi

L'ESPR pone requisiti al pasaporto di prodotto che non riguardano solo quali dati contiene, ma anche come questi dati vengono gestiti e protetti. L'articolo 10 e l'articolo 11 dell'ESPR (Regolamento (UE) 2024/1781) formano insieme la base per questo: l'articolo 10 descrive i requisiti che il pasaporto deve soddisfare, l'articolo 11 riguarda specificamente la progettazione tecnica e il funzionamento. Per una commerciante di acciaio o un trasformatore di metalli che organizza questo per la prima volta, questo si divide in una serie di punti pratici di attenzione.

Regolare l'accesso ai dati per ruolo

Non tutti coloro che consultano il pasaporto devono vedere gli stessi dati. Un acquirente presso un'azienda di costruzioni ha bisogno di informazioni diverse rispetto a un'autorità di controllo o a un riciclatore alla fine della vita utile. L'articolo 10 dell'ESPR presuppone un accesso differenziato: alcuni dati sono pubblici, altri sono visibili solo a determinate parti come operatori di mercato o autorità. Per un'azienda con 10-100 dipendenti, ciò significa che prima che il pasaporto diventi operativo, deve essere presa una decisione su chi vedrà quale livello di dati — e che tale decisione sia effettivamente implementata tecnicamente, non solo su carta.

Garantire l'origine e l'accuratezza dei dati

Un pasaporto di prodotto ha valore solo se i dati in esso contenuti sono corretti e tracciabili verso la fonte. Ciò tocca l'affidabilità dell'intero sistema: se un utente non riesce a determinare da dove proviene un dato, il pasaporto perde la sua funzione. In pratica, questo significa che deve essere registrato chi ha fornito quale dato — il fabbricante, l'importatore o un intermediario — e quando ciò è accaduto. Per le aziende che non inseriscono dati stesse ma li trasmettono, è importante sapere come i dati sono stati forniti nel formato corretto, perché una fornitura errata si traduce in un pasaporto inaffidabile più avanti nella catena.

Protezione contro la modifica dopo la pubblicazione

L'articolo 11 dell'ESPR descrive che il passaporto digitale del prodotto deve funzionare tecnicamente in modo tale che i dati non possano essere modificati inosservati dopo essere stati registrati. Per un trasformatore di metalli che non ospita il passaporto personalmente ma lo fa ospitare — come tramite una piattaforma come questa — ciò significa che la scelta di un partner di hosting è anche una scelta su come quel partner registra, registra e protegge le modifiche. Non è un punto teorico: se un cliente o un'autorità di controllo contesta un dato del passaporto, deve essere dimostrabile quando quel dato è stato registrato e da chi.

Integrazione con i sistemi aziendali esistenti

Molte aziende non vogliono gestire il passaporto del prodotto come sistema isolato, ma collegarlo con l'amministrazione che esiste già. È possibile, ma la sicurezza del passaporto non è quindi indipendente dalla sicurezza di quel sistema sottostante. Chi considera di collegare il passaporto al proprio sistema ERP o di inventario, farebbe bene a guardare a chi ha accesso a quel collegamento e se una falla in un sistema ha conseguenze per l'altro.

Dove le cose vanno storte nella pratica

Un numero di situazioni ricorre regolarmente nella pratica.

Nelle aziende che fanno applicare il codice QR sul prodotto stesso, a volte si trascura il fatto che il codice in sé non offre protezione — la domanda è cosa succede dietro quel codice. Chi si chiede come il codice QR si trova sull'acciaio, deve anche chiedersi chi gestisce i dati sottostanti e se quella separazione tra supporto e contenuto è chiaramente documentata.

Un'altra situazione sorge quando più parti nella catena forniscono dati per lo stesso passaporto, senza aver precedentemente concordato chi può modificare quale parte. Ciò porta a confusione su quale versione sia quella valida, e talvolta a una sovrascrittura accidentale di dati corretti da parte di un'altra parte.

Anche con piccoli componenti succede a volte: se un codice QR su un piccolo pezzo di acciaio è tecnicamente limitato, a volte si sceglie un collegamento semplificato o una pagina intermedia — senza sempre aver riflettuto se quel passaggio intermedio segue gli stessi accordi di sicurezza del passaporto principale.

Una quarta situazione: le aziende che mantengono loro stesse una copia offline dei dati del passaporto per l'uso in luoghi senza connessione, dimenticano di sincronizzare o proteggere quella copia allo stesso modo della versione online. È un punto reale, perché non tutti i posti di lavoro hanno una connessione stabile, e la domanda se il passaporto deve funzionare anche offline sorge proprio in questo genere di allestimento pratico.

Infine: le aziende che cessano l'attività o si disfano di una divisione commerciale, a volte dimenticano che i dati del passaporto rimangono in esistenza e che l'accesso e la gestione di questi devono essere trasferiti — qualcosa che ha a che fare con la domanda cosa succede al passaporto se l'azienda cessa l'attività.

Quello che potete documentare

Un numero di accordi e documenti aiuta a rendere la sicurezza dei dati del passaporto dimostrabile:

Una panoramica di chi ha quale ruolo nella fornitura e gestione dei dati, incluso il contatto per ciascuna parte della catena.
Una registrazione dell'origine di ogni dato: da quale produttore, importatore o parte intermedia proviene e in quale momento è stato fornito.
Accordi con il partner di hosting sulla registrazione delle modifiche, in modo che sia dimostrabile quando un dato è stato registrato e se è stato successivamente modificato.
Una descrizione dei livelli di accesso impostati: quali dati sono pubblici e quali sono visibili solo a parti specifiche.
Se applicabile, una panoramica dell'integrazione con il proprio sistema ERP o di inventario, con indicazione di chi ha accesso a tale integrazione.
Un piano per la situazione in cui l'azienda cessa l'attività o una divisione viene trasferita, in modo che la gestione e l'accesso ai passaporti esistenti non rimangono sospesi.

Questa documentazione non è solo utile nei confronti del controllo, ma anche pratica: previene che la conoscenza interna su chi gestisce cosa vada persa in caso di cambio di personale o acquisizione aziendale.

Questo non è un parere legale. Questa pagina fornisce informazioni generali sulla normativa di cui si occupa questa piattaforma. Non conosciamo la vostra situazione. In caso di dubbi sulla vostra situazione specifica, consultate un avvocato o l'autorità di controllo competente.

Scritto con AI sulla base delle fonti di cui sopra, controllato da una persona il 2026-09-05. C'è qualcosa che non va? Farcelo sapere — le correzioni hanno la priorità.