Hoe lang moet een productpaspoort beschikbaar blijven?

Wat u concreet moet doen

Wie staal of een halffabricaat daarvan op de markt brengt, wil weten hoe lang de bijbehorende digitale gegevens ergens moeten blijven staan. Dat is niet alleen een IT-vraag ("hoeveel jaar huren we opslag") maar ook een organisatorische: iemand moet ervoor instaan dat die gegevens bereikbaar blijven, ook als er intern van alles verandert. Artikel 10 van de ESPR (Verordening (EU) 2024/1781) legt de eis vast dat het productpaspoort beschikbaar moet zijn zolang dat relevant is voor het product in kwestie — de precieze periode wordt per productcategorie in een gedelegeerde handeling uitgewerkt. Voor staal en ijzeren halffabricaten is die handeling er nog niet, dus een concreet aantal jaren is op dit moment niet te geven.

Dat de duur nog niet vaststaat, betekent niet dat er niets te doen is. De verplichting om vooraf te regelen wie verantwoordelijk is voor die beschikbaarheid, en hoe die geregeld is, ligt er al wel.

Wat er van u wordt verwacht

Beschikbaarheid regelen voor de levensduur van het product

Artikel 10 van de ESPR koppelt de bewaartermijn aan het product, niet aan het bedrijf. Praktisch betekent dit dat een staalhandel of metaalverwerker met tien tot honderd medewerkers niet kan volstaan met "we hosten het paspoort zolang we klant zijn bij onze softwareleverancier". De gegevens moeten bereikbaar blijven voor wie het product later gebruikt, verwerkt of demonteert — ook als dat jaren na de eerste verkoop is. Voor halffabricaten die weer in andere producten verdwijnen, kan dat een lange periode zijn. Wie dit uitbesteedt aan een hostingpartij, doet er goed aan om dat contractueel te laten aansluiten op wat er straks in de gedelegeerde handeling komt te staan, in plaats van op een vaste contractduur die toevallig drie of vijf jaar is.

Toegankelijkheid via het register bijhouden

Artikel 13 van de ESPR verplicht tot registratie van het paspoort in een centraal register. Dat register bevat onder meer een verwijzing naar waar het paspoort daadwerkelijk staat. Voor een bedrijf betekent dit dat een registratie geen eenmalige actie is: als het paspoort van hostingpartij wisselt, van formaat verandert, of het bedrijf zelf van infrastructuur switcht, moet die verwijzing kloppen blijven zolang het paspoort moet bestaan. Wat het register van digitale productpaspoorten precies vastlegt en wie dat bijhoudt, is dus direct verbonden aan de vraag hoe lang alles bereikbaar moet blijven: een paspoort dat technisch nog bestaat maar waarvan de registervermelding verwijst naar een niet meer bestaande locatie, voldoet feitelijk niet.

Doorlopende bereikbaarheid, ook bij bedrijfswijzigingen

De verplichting stopt niet bij een fusie, overname, faillissement of stopzetting van de onderneming die het paspoort liet opstellen. Voor een MKB-bedrijf is dit een van de minder voor de hand liggende gevolgen: de bewaarplicht is niet gekoppeld aan het voortbestaan van de onderneming, maar aan het product dat nog in omloop is. Dat roept meteen de vraag op wat er met het productpaspoort gebeurt als een bedrijf stopt — een vraag die door de aard van deze verplichting niet theoretisch is, zeker niet in een sector met veel kleinere, gespecialiseerde toeleveranciers.

Waar het misgaat in de praktijk

Een eerste situatie: een hostingcontract met een IT-leverancier loopt na een paar jaar af, en niemand heeft vooraf afgesproken wat er met de data gebeurt na afloop van dat contract. Het paspoort verdwijnt feitelijk, terwijl het product nog jaren in gebruik is.

Een tweede: bij een overname wordt de productendocumentatie overgedragen, maar de toegang tot het onderliggende systeem waarin de productpaspoorten stonden, niet. De koper heeft het staal, maar niet de sleutel tot de bijbehorende gegevens.

Een derde: een bedrijf registreert het paspoort keurig bij aanmaak, maar vergeet de registervermelding aan te passen wanneer het later overstapt naar een ander systeem om de data te koppelen aan het eigen ERP- of voorraadsysteem. De QR-code op het product verwijst dan naar een adres dat niet meer actief onderhouden wordt.

Een vierde situatie ontstaat bij batchregistratie: een partij staal die als batch is geregistreerd, wordt later opgesplitst en doorverkocht in kleinere delen. Als niet vooraf is vastgelegd hoe batch- versus stukregistratie zich verhoudt tot de bewaarplicht per deellevering, is achteraf onduidelijk wie voor welk deel van de partij nog verantwoordelijk is voor de beschikbaarheid van de gegevens.

Een vijfde: een bedrijf gaat ervan uit dat een bewaartermijn van vijf of tien jaar (zoals in andere regelgeving gebruikelijk is) ook hier automatisch geldt, en richt de opslag daarop in. Omdat de daadwerkelijke termijn voor staal nog per gedelegeerde handeling bepaald moet worden, is die aanname op dit moment niet te onderbouwen — en kan de werkelijke periode zowel korter als langer uitvallen.

Wat u kunt vastleggen

• Een hostingafspraak die niet stopt bij het einde van een contractperiode, maar expliciet voorziet in overdracht of verlenging zodra de bewaartermijn uit de gedelegeerde handeling bekend is.
• Een interne aanwijzing van wie verantwoordelijk is voor het actueel houden van de registervermelding, inclusief wat er moet gebeuren bij een systeemwissel.
• Een procedure voor bedrijfswijzigingen (overname, fusie, stopzetting) waarin is vastgelegd hoe de toegang tot paspoortgegevens wordt overgedragen, niet alleen de gegevens zelf.
• Een overzicht van welke identificatiecodes bij welke batch of welk product horen, zeker bij splitsing van partijen — dit sluit aan op de manier waarop elk product een unieke identificatiecode krijgt.
• Een dossier per productcategorie met de datum van registratie, de gebruikte hostingpartij en eventuele wijzigingen daarin, zodat bij een controle op eenvoudige wijze te tonen is dat de beschikbaarheid steeds geregeld is geweest.
• Een vaste check bij elke wijziging in het databestand dat voor het paspoort wordt aangeleverd, zodat direct duidelijk is of een aanpassing in het bestand ook een aanpassing in de opslagtermijn met zich meebrengt.

Zodra de gedelegeerde handeling voor ijzer en staal een concrete bewaartermijn vastlegt, wordt dat hier aangevuld. Tot die tijd is het vooral zaak om de verantwoordelijkheid voor de beschikbaarheid zelf goed te beleggen — dat onderdeel van de verplichting staat namelijk al wel vast.