Chi può visualizzare quali dati dal passaporto del prodotto?

L'accesso varia a seconda del gruppo di utenti, non è lo stesso per tutti

Il passaporto digitale del prodotto non è un unico documento identico e aperto a tutti: l'ESPR distingue tra i dati visibili a tutti e i dati accessibili solo a parti specifiche. L'articolo 11 dell'ESPR (Regolamento (UE) 2024/1781) disciplina il funzionamento tecnico del passaporto e stabilisce che l'accesso alle informazioni nel passaporto è organizzato in base al ruolo dell'utente. Un consumatore che scansiona il codice QR su un profilo di acciaio con uno smartphone vede informazioni diverse rispetto a un'autorità di vigilanza del mercato che consulta lo stesso passaporto nel contesto dei suoi compiti di controllo. Il principio alla base di questa distinzione è che il passaporto deve fornire trasparenza sull'origine, la composizione e la circolarità di un prodotto, senza obbligare le imprese a divulgare pubblicamente informazioni riservate.

Per i dati dei prodotti nella catena, non per i dati personali

Ciò che è descritto qui riguarda l'accesso alle informazioni sui prodotti come registrate nel passaporto nel contesto dell'ESPR: composizione dei materiali, origine, prestazioni, informazioni sul riciclaggio e simili. Non riguarda il trattamento dei dati personali degli individui; per questo si applicano altre regole, come il GDPR, che esulano da quanto disciplinato dagli articoli 10 e 11 dell'ESPR. Inoltre, non si tratta di una discrezionalità del fabbricante o dell'importatore nel decidere autonomamente chi può vedere cosa: la suddivisione in livelli di accesso è stabilita a livello dell'UE, genericamente nell'ESPR e concretamente per ogni categoria di prodotti negli atti delegati che seguiranno per ogni categoria di prodotto. Per ferro e acciaio, questa definizione specifica per il gruppo di prodotti non esiste ancora, pertanto non è ancora stabilito esattamente quali dati saranno pubblici e quali riservati ai partecipanti al mercato o alle autorità di controllo. Ciò che è tuttavia certo è il principio dell'ESPR stessa: una parte dei dati è destinata al pubblico generale, un'altra parte è riservata ai soggetti con un ruolo specifico nella catena o nella vigilanza.

Nessuna data fissa di entrata in vigore per l'acciaio

Non esiste ancora una data in cui queste regole di accesso per ferro e acciaio entreranno effettivamente in vigore. Secondo il programma di lavoro della Commissione europea per il 2025-2030, il primo atto delegato che attua concretamente l'ESPR è previsto nel 2026, con obblighi che entreranno in vigore successivamente. Per ferro e acciaio non è stato ancora pubblicato alcun atto delegato, pertanto non c'è ancora nulla di definitivo sui livelli di accesso precisi che si applicheranno a questo gruppo di prodotti. Non appena tale atto sarà disponibile, verrà elaborato qui. Fino a quel momento, per ferro e acciaio non valgono obblighi derivanti dall'ESPR di mantenere un passaporto digitale del prodotto con accesso differenziato.

Ciò che un commerciante di acciaio o un trasformatore possono fare con questa informazione adesso

Chi adesso già si occupa di questo argomento farebbe bene a chiarire prima di tutto quali dati su un prodotto vengono comunque già condivisi con i clienti o le autorità di vigilanza, ad esempio tramite certificati esistenti, rapporti di ispezione o documenti di consegna — questo dà un'idea di quali informazioni potrebbero finire nella parte "pubblica" del passaporto. Successivamente è utile inventariare quali informazioni invece non sono destinate a tutti, come i dettagli precisi della composizione, i parametri di processo o le informazioni sui fornitori considerate sensibili dal punto di vista commerciale; si tratta dell'informazione che presumibilmente ricadrà sotto un livello di accesso più ristretto non appena le norme per l'acciaio diventeranno concrete. In terzo luogo è pratico verificare chi nella propria catena svolgerà quale ruolo — fabbricante, importatore, commerciante, trasformatore — perché il ruolo nella catena è determinante per quale livello di accesso è applicabile, non il desiderio dell'azienda stessa. Infine: poiché la specificazione per gruppo di prodotti per il ferro e l'acciaio deve ancora arrivare, al momento non c'è motivo di allestire i sistemi in modo definitivo secondo una determinata suddivisione dei diritti di accesso; è però utile ordinare già i propri dati in quello che presumibilmente diventerà pubblico e quello che presumibilmente rimane ristretto, così il passaggio successivo potrà essere effettuato più rapidamente.

Dove si trova: articoli 10 e 11 dell'ESPR

L'articolo 10 dell'ESPR (Regolamento (UE) 2024/1781) descrive i requisiti cui deve soddisfare il contenuto del passaporto digitale del prodotto, inclusa la natura delle informazioni che vi vengono inserite. L'articolo 11 dello stesso regolamento disciplina la progettazione tecnica e il funzionamento del passaporto, e stabilisce che l'accesso ai dati è differenziato per gruppo di utenti, in modo che non ogni utente veda gli stessi dati. L'attuazione precisa per gruppo di prodotti — anche per il ferro e l'acciaio — risulta dagli atti delegati che la Commissione deve ancora adottare sulla base di questo regolamento.

Chi vuole seguire questo argomento farebbe bene a ordinare già le proprie informazioni sui prodotti secondo quello che presumibilmente diventerà pubblico e quello che presumibilmente rimane a accesso limitato, e a tenere d'occhio la pubblicazione dell'atto delegato per il ferro e l'acciaio — una volta che sarà pubblicato, la classificazione verrà resa concreta qui.

Su cosa si basa

Il regolamento stesso è disponibile su EUR-Lex. Facciamo riferimento a ogni affermazione; non dovete crederci.

Cosa deve fare concretamente

Cosa ci si aspetta da voi

Il passaporto dei prodotti non è un documento con un unico livello di accesso. L'ESPR prevede un accesso stratificato: alcuni dati sono visibili a tutti attraverso il codice QR sul prodotto, altri solo alle parti con un ruolo specifico nella catena, e altri ancora solo alle autorità di vigilanza. L'articolo 10 dell'ESPR (Regolamento (UE) 2024/1781) menziona questa distinzione come requisito per il passaporto, e l'articolo 11 specifica come tale distinzione assume forma tecnica e organizzativa. Per un'azienda che trasforma o rivende acciaio, ciò significa che occorre riflettere su chi, in quale momento, accede a quale parte dei dati.

Distinguere fra dati pubblici e dati limitati

Una parte dei dati del passaporto è accessibile a chiunque esegua la scansione del codice QR: un utente finale, un acquirente presso un'impresa di costruzioni, un'autorità di vigilanza in ispezione. Un'altra parte è destinata solo alle parti con un interesse legittimo, come le imprese di riciclaggio che hanno bisogno della composizione materiale, o gli enti di certificazione. Per un'azienda metalmeccanica di medie dimensioni, ciò significa che la domanda "chi può vedere e chi non può" deve avere una risposta già al momento della compilazione del passaporto, non successivamente. Ciò incide direttamente sulla questione se i dati sensibili relativi all'acciaio devono essere resi pubblici: non tutto ciò che figura nel passaporto deve essere visibile a tutti.

Collegare l'accesso al ruolo nella catena

L'articolo 11 descrive che il livello di accesso può dipendere dal ruolo della parte che richiede i dati: fabbricante, importatore, distributore, utente finale, autorità di vigilanza del mercato o gestore dei rifiuti. Per un commerciante di acciaio che acquista e rivende semilavorati, ciò significa che il proprio ruolo nella catena determina quali dati sono visibili e quali no. Un commerciante che rivende il materiale a un'impresa di costruzioni trasferisce anche una parte della responsabilità: l'acquirente deve avere accesso ai dati pertinenti per l'applicazione e la lavorazione, come il tipo di acciaio e la composizione.

Garantire che le autorità di vigilanza abbiano sempre accesso

Oltre all'accesso stratificato per gli operatori di mercato, esiste l'obbligo che le autorità di vigilanza (autorità di vigilanza del mercato e doganali) abbiano accesso al passaporto completo, comprese le parti non pubbliche. Per un'azienda con 10-100 dipendenti, ciò significa che nel passaporto non possono figurare dati "nascosti" al controllo, nemmeno se commercialmente sensibili. Questa distinzione fra non-pubblico e non-controllabile è essenziale: i dati possono essere riservati al pubblico, ma mai alle autorità che devono poter verificare se il passaporto è corretto.

Garantire che la struttura di accesso funzioni tecnicamente

L'articolo 11 pone requisiti tecnici: il passaporto deve essere strutturato in modo che i diversi livelli di accesso possano effettivamente essere applicati, non solo in teoria. Per un'azienda che non dispone di un proprio reparto IT in grado di realizzare questo, la scelta del partner di hosting è rilevante: la tecnologia deve garantire che un utente finale non acceda accidentalmente a dati destinati solo a un riciclatore, e viceversa.

Dove le cose vanno storte nella pratica

Alcune situazioni che in pratica causano spesso confusione:

Un commerciante ritiene che il passaporto debba essere completamente pubblico e pubblica così anche dati destinati solo alla prossima parte della catena, come i parametri di processo interno. Ciò accade spesso per prudenza ("meglio condividere troppo che troppo poco"), ma senza una distinzione tra i livelli di accesso, le informazioni raggiungono parti che non dovrebbero o non potrebbero utilizzarle.

Un altro scenario: un'azienda presuppone che tutto ciò che non è esplicitamente "obbligatorio essere pubblico" possa essere riservato a tutti, incluse le autorità di vigilanza. Questa distinzione fra pubblico e non-controllabile viene confusa, con il risultato che un controllo si blocca perché l'ispettore non può accedere ai dati sottostanti.

Ci sono anche situazioni in cui un produttore fa creare il passaporto da una terza parte, senza documentare chi ottiene quali diritti di accesso. Se successivamente sorge una controversia su chi ha fornito o modificato quali dati, non c'è allora alcuna registrazione di chi aveva accesso quando.

Inoltre accade che un'impresa equipari la struttura di accesso del passaporto a quella di un certificato di ispezione 3.1, mentre si tratta di un documento diverso con una funzione e un pubblico diversi. Ciò crea confusione su cosa esattamente viene condiviso con chi; come un certificato di ispezione 3.1 si relaziona al passaporto di prodotto è dunque una domanda che spesso si accompagna a questa.

Infine: un'impresa compila i dati senza distinguere tra ciò che è tecnicamente (composizione, norma) e ciò che è commercialmente (prezzi fornitori, specifiche interne) sensibile, per cui successivamente risulta che informazioni sensibili dal punto di vista della concorrenza erano visibili a tutti.

Quello che potete documentare

Una panoramica di quali dati del passaporto sono accessibili al pubblico e quali limitati, allineati con quali dati nel passaporto di prodotto dell'acciaio devono essere presenti.
Una decisione interna su quali dati vengono contrassegnati come sensibili per l'impresa, con motivazione del perché, in modo che questo sia successivamente tracciabile.
Accordi con la parte che fornisce l'hosting su quali ruoli di accesso sono supportati (utente finale, partner della catena, autorità di vigilanza) e come questi vengono separati tecnicamente.
Una registrazione di chi all'interno della propria impresa è responsabile dell'assegnazione e della gestione dei diritti di accesso al passaporto.
Una panoramica di quali parti della catena (fornitore, acquirente, riciclatore) hanno bisogno di quali dati, collegata a tematiche come la percentuale di rottame nella fusione o gli elementi di lega che devono essere dichiarati, in modo che sia chiaro quali dati sono rilevanti per quale ruolo.
Un registro delle modifiche e delle richieste di accesso, in modo che durante un controllo possa essere dimostrato che le autorità di vigilanza hanno sempre avuto accesso al set di dati completo.

Questo non è un parere legale. Questa pagina fornisce informazioni generali sulla normativa di cui si occupa questa piattaforma. Non conosciamo la vostra situazione. In caso di dubbi sulla vostra situazione specifica, consultate un avvocato o l'autorità di controllo competente.

Scritto con IA sulla base delle fonti sopra indicate, controllato da un essere umano il 2026-08-22. C'è qualcosa che non va? Farcelo sapere — le correzioni hanno la priorità.