Moet ik bedrijfsgevoelige gegevens over mijn staal openbaar maken?

Niet alles in het paspoort wordt automatisch openbaar

Nee, niet elk gegeven over een stalen product hoeft voor iedereen zichtbaar te zijn. Het digitale productpaspoort is opgebouwd uit verschillende gegevenscategorieën, en de ESPR gaat ervan uit dat niet elke categorie voor elke gebruiker toegankelijk is. Er wordt onderscheid gemaakt tussen informatie die via de QR-code voor iedereen te raadplegen is — denk aan basisgegevens over herkomst, samenstelling op hoofdlijnen en circulariteit — en informatie die alleen beschikbaar is voor specifieke partijen zoals toezichthouders, marktdeelnemers verderop in de keten of certificeringsinstanties. Concurrentiegevoelige productie- of procesdetails vallen doorgaans in die tweede categorie, maar hoe die verdeling er per productgroep exact uitziet, wordt pas concreet zodra de productspecifieke uitvoeringsregels voor ijzer en staal zijn vastgesteld.

Voor wie dit geldt en wat erbuiten valt

Dit onderscheid in toegangsniveaus geldt voor iedereen die gegevens aanlevert voor een digitaal productpaspoort onder de ESPR: fabrikanten, importeurs en andere actoren in de toeleveringsketen van staal en ijzeren halffabricaten. Het gaat om gegevens die nodig zijn om aan de eisen van het paspoort te voldoen — zoals herkomst, samenstelling, milieu-impact en end-of-life-informatie. Het gaat nadrukkelijk niet om een verplichting om alles wat een bedrijf weet over zijn eigen productieproces publiek te maken. Recepturen, precieze legeringsverhoudingen buiten wat wettelijk vereist is, interne procesparameters of leveranciersrelaties die niet nodig zijn om aan de eisen te voldoen, vallen buiten wat het paspoort vraagt. De ESPR regelt wélke gegevenscategorieën in een paspoort thuishoren en wie daar toegang toe heeft — niet dat elk bedrijfsgeheim wordt prijsgegeven omdat er nu eenmaal een paspoort komt.

Nog geen vaste datum, wel een duidelijk werkplan

Er is nog geen vaststaande datum waarop deze regels concreet voor ijzer en staal gaan gelden. Volgens het ESPR-werkplan 2025-2030 wordt de eerste gedelegeerde handeling die productgroepen aanwijst in 2026 verwacht, met verplichtingen die daar achttien maanden later op volgen. Pas in die gedelegeerde handeling wordt vastgelegd welke gegevens voor ijzer en staal precies openbaar worden, welke beperkt toegankelijk blijven, en voor wie. Tot die publicatie is er geen wettelijke verplichting om paspoortgegevens over staal aan te leveren of openbaar te maken, en is elke uitspraak over de precieze verdeling tussen openbaar en afgeschermd voor deze productgroep nog niet te onderbouwen. Zodra de gedelegeerde handeling voor ijzer en staal is gepubliceerd, wordt die datum en die verdeling hier opgenomen.

Zo pak je dit in de praktijk aan

Wie zich hier nu al op wil voorbereiden, begint met het in kaart brengen van welke gegevens over een product wettelijk verplicht worden gesteld zodra de regels ingaan, en welke gegevens daarbuiten vallen. Dat onderscheid is de basis: alleen wat voor het paspoort vereist is, hoeft aangeleverd te worden, en niet alles wat aangeleverd wordt is automatisch openbaar. Een tweede stap is nagaan welke gegevens al vertrouwelijk worden behandeld in bestaande contracten of certificeringstrajecten — die structuur is vaak herbruikbaar bij het indelen van paspoortgegevens naar toegangsniveau. Een derde stap is navragen bij een platform dat het paspoort samenstelt, zoals ferropas.eu, hoe de aanlevering van gegevens wordt gescheiden van de publicatie ervan, zodat vooraf duidelijk is welk deel van de aangeleverde informatie zichtbaar wordt via de QR-code en welk deel beperkt toegankelijk blijft. Ten slotte is het verstandig te wachten met definitieve interne afspraken over welke data wel en niet gedeeld wordt, tot de productspecifieke uitvoeringsregels voor ijzer en staal zijn gepubliceerd — pas dan staat vast wat verplicht is.

Waar dat staat: artikel 10 en artikel 38 van de ESPR

De basis hiervoor ligt in artikel 10 van de ESPR (Verordening (EU) 2024/1781), dat de vereisten voor het digitale productpaspoort beschrijft, waaronder de indeling van gegevens naar toegankelijkheid voor verschillende gebruikers. Artikel 38 van dezelfde verordening beschrijft de vereisten voor actoren in de toeleveringsketen, oftewel wie welke gegevens moet aanleveren om een paspoort samen te stellen. Beide artikelen regelen de aanlevering en indeling van gegevens in algemene zin; de productspecifieke invulling voor ijzer en staal — en daarmee de precieze grens tussen openbare en beperkt toegankelijke gegevens voor deze productgroep — volgt uit de nog te publiceren gedelegeerde handeling.

Wie nu al wil weten welke gegevens voor een specifiek stalen product relevant zullen worden, kan het beste de eigen productgegevens alvast ordenen naar herkomst, samenstelling en levenscyclusinformatie, en de publicatie van de gedelegeerde handeling voor ijzer en staal volgen om te zien welke van die gegevens straks verplicht en welke openbaar worden.

Waar dit op gebaseerd is

De verordening zelf staat op EUR-Lex. Wij verwijzen per bewering; u hoeft ons niet te geloven.

Wat u concreet moet doen

Wat er van u wordt verwacht

Het productpaspoort maakt gegevens over een product zichtbaar voor partijen in de keten en, voor een deel, voor het algemeen publiek. Dat roept bij veel staalhandelaren en metaalverwerkers dezelfde vraag op: moet alles wat we weten over onze legering, ons procesrecept of onze leverancier zichtbaar worden? Het antwoord ligt genuanceerder dan "alles openbaar" of "alles geheim".

Alleen gegevens delen die het paspoort daadwerkelijk vereist

Artikel 10 van de ESPR (Verordening (EU) 2024/1781) omschrijft welke categorieën informatie een digitaal productpaspoort moet bevatten. Dat is een afgebakende set: gegevens die nodig zijn om het product te identificeren, de samenstelling, duurzaamheidskenmerken en dergelijke. Het is niet een verplichting om elk onderliggend document, elke procesparameter of elke interne berekening te delen. Voor een bedrijf van 10 tot 100 medewerkers betekent dit in de praktijk dat er onderscheid gemaakt kan worden tussen de uitkomst die in het paspoort komt (bijvoorbeeld een waarde voor CO2-uitstoot of een samenstellingspercentage) en de onderliggende bedrijfsvoering die tot die uitkomst leidt. Welke gegevens precies vereist zijn, staat beschreven op de pagina over welke gegevens er in het productpaspoort van staal komen.

Onderscheid maken tussen wat publiek is en wat alleen voor bepaalde partijen zichtbaar is

Niet elk gegeven in het paspoort is voor iedereen even goed zichtbaar. De ESPR voorziet in gelaagde toegang: sommige informatie is voor het brede publiek, andere informatie is voorbehouden aan marktdeelnemers, toezichthouders of andere specifiek aangewezen partijen. Voor een bedrijf dat zich zorgen maakt over de herkomst van grondstoffen of de precieze samenstelling van een legering, is dit onderscheid relevant: niet alles wat vastgelegd wordt, ligt automatisch op straat. Wie precies welke laag mag inzien, staat toegelicht op de pagina over wie welke gegevens uit het productpaspoort mag inzien.

Gegevens aanleveren aan de partij die het paspoort samenstelt, ook als die niet openbaar worden

Artikel 38 van de ESPR beschrijft verplichtingen voor actoren in de toeleveringsketen: fabrikanten, importeurs en andere schakels moeten de informatie aanleveren die nodig is om aan de paspoortvereisten te voldoen. Dat is een andere verplichting dan openbaarmaking. Een bedrijf levert gegevens aan de partij die het paspoort samenstelt (in dit geval het platform), maar dat wil niet zeggen dat elk cijfer dat wordt aangeleverd ook letterlijk terugkomt in de publieke weergave. Voor een mkb-staalhandel betekent dit dat er een knip ligt tussen "wat wij intern en aan onze contractpartij delen om het paspoort te kunnen maken" en "wat er uiteindelijk zichtbaar is in de QR-code voor een willekeurige lezer".

Herleidbaarheid naar een specifieke receptuur of leverancier vermijden waar dat niet nodig is

Veel bedrijfsgevoeligheid in de staalsector zit niet in de eindwaarde, maar in de weg ernaartoe: welke leverancier welk schroot levert, in welke verhouding legeringselementen zijn toegevoegd, of welk smeltproces is gebruikt. De paspoortvereisten vragen om uitkomsten en kenmerken van het product, niet om een reconstructie van het productieproces tot in detail. Dat betekent dat het aandeel schroot in de smelt weliswaar vastgelegd moet worden, zoals beschreven op de pagina over het aandeel schroot in de smelt vastleggen, maar dat dit los staat van de vraag of ook de identiteit van elke individuele leverancier van dat schroot bekend moet worden gemaakt.

Waar het misgaat in de praktijk

Een handelaar levert bij het invullen van het paspoortformulier meteen het volledige interne kwaliteitsdossier aan, inclusief procesparameters die nooit voor het paspoort bedoeld waren, uit angst iets te missen.

Een constructiebedrijf weigert legeringspercentages door te geven aan de partij die het paspoort samenstelt, uit vrees dat dit automatisch openbaar wordt, terwijl aanlevering aan die partij iets anders is dan publicatie.

Een importeur neemt aan dat omdat de herkomst van een bepaalde partij staal gevoelig is, deze helemaal niet vastgelegd hoeft te worden — terwijl vastlegging en openbare zichtbaarheid twee verschillende vragen zijn.

Een metaalverwerker deelt in een reflex de naam en adresgegevens van zijn eigen ertsleverancier, terwijl de vraag naar herkomst zich richt op andere informatie; zie de toelichting over het vastleggen van de herkomst van ijzererts.

Een bedrijf gaat ervan uit dat concurrenten via het paspoort precies kunnen zien hoe een specifieke staalsoort tot stand is gekomen, terwijl vastlegging van staalsoort en norm — toegelicht op de pagina over staalsoort en norm vastleggen in het productpaspoort — een andere reikwijdte heeft dan een volledige procesbeschrijving.

Wat u kunt vastleggen

Een overzicht van welke gegevens het bedrijf aanlevert aan de partij die het paspoort samenstelt, los van wat uiteindelijk publiek zichtbaar wordt.
Een interne afspraak over wie binnen het bedrijf beslist welke procesgegevens wel en niet worden gedeeld met ketenpartijen.
Een vastlegging van de bron en onderbouwing van elk cijfer dat in het paspoort terechtkomt, zodat die apart staat van de bredere bedrijfsdocumentatie.
Afspraken met leveranciers over welke gegevens zij aanleveren en in welke vorm, zodat niet meer wordt gedeeld dan nodig.
Een dossier waarin onderscheid wordt gemaakt tussen gegevens die onder de publieke laag van het paspoort vallen en gegevens die alleen voor specifieke partijen inzichtelijk zijn.

Dit is geen juridisch advies. Deze pagina geeft algemene informatie over de regelgeving waar dit platform over gaat. Wij kennen uw situatie niet. Bij twijfel over uw eigen geval raadpleegt u een jurist of de bevoegde toezichthouder.

Geschreven met AI op basis van de bronnen hierboven, gecontroleerd door een mens op 2026-08-22. Klopt er iets niet? Laat het weten — correcties krijgen voorrang.