Hvem må se hvilke data fra produktpasset?

Hvad du konkret skal gøre

Hvad der forventes af dig

Produktpasset er ikke et dokument med ét adgangsniveau. ESPR går ud fra lagdelt adgang: nogle data er synlige for alle via QR-koden på produktet, andre kun for parter med en specifik rolle i kæden, og igen andre kun for tilsynsmyndigheder. Artikel 10 i ESPR (Forordning (EU) 2024/1781) nævner denne sondring som et krav til passet, og artikel 11 præciserer, hvordan det får teknisk og organisatorisk form. For en virksomhed, der forarbejder eller videresælger stål, betyder det, at der må tænkes over, hvem der får adgang til hvilken del af dataene på hvilket tidspunkt.

At skelne mellem offentlige og begrænsede data

En del af pasportdataene er tilgængelige for alle, der scanner QR-koden: en slutbruger, en indkøber i en konstruktionsvirksomhed, en tilsynsmand på farten. En anden del er kun beregnet til parter med en berettiget interesse, såsom genanvendelsesvirksomheder, der har brug for materialsammensetning, eller certificeringsorganer. For en mellemstor metalvirksomhed betyder det, at spørgsmålet "hvad må alle se, og hvad ikke" allerede skal være besvaret ved opsamlingen af passet, ikke efterfølgende. Dette berører direkte spørgsmålet om virksomhedsfølsomme data om stål skal offentliggøres: ikke alt, hvad der står i passet, skal være synligt for alle.

At forbinde adgang med rollen i kæden

Artikel 11 beskriver, at adgangsniveauet kan afhænge af rollen for den part, der anmoder om dataene: producent, importør, distributør, slutbruger, markedstilsynsmyndighed eller affaldsbehandler. For en stålhandel, der køber halffabrikata og videresælger dem, betyder det, at egen rolle i kæden bestemmer, hvilke data der er synlige, og hvilke der ikke er. En forhandler, der videresælger materiale til en konstruktionsvirksomhed, giver dermed også en del af ansvaret videre: køber skal have adgang til de data, der er relevante for anvendelse og forarbejdning, såsom ståltype og sammensætning.

At sikre, at tilsynsmyndigheder altid har adgang

Ud over lagdelt adgang for markedsaktører er der kravet om, at tilsynsmyndigheder (markedstilsynsmyndigheder og told) skal have adgang til det fulde pasport, også til dele, der ikke er offentlige. For en virksomhed med 10 til 100 medarbej dere betyder det, at der ikke må være data i passet, som forbliver "skjult" for kontrol, selv ikke hvis de er kommercielt følsomme. Denne sondring mellem ikke-offentligt og ikke-kontrollerbart er vigtig: data kan afskærmes fra offentligheden, men aldrig fra de myndigheder, der skal kunne kontrollere, at passet er korrekt.

At sikre, at adgangsstrukturen fungerer teknisk

Artikel 11 stiller krav til den tekniske udformning: passet skal være struktureret således, at forskellige adgangsniveauer faktisk kan gennemtvinges, ikke kun i teorien. For en virksomhed, der ikke selv har en it-afdeling, der kan bygge dette, betyder det, at valget af værtspartner er relevant: teknologien skal sikre, at en slutbruger ikke ved et uheld får adgang til data, der kun er beregnet til en genanvender, og omvendt.

Hvor det går galt i praksis

Et par situationer, der ofte giver uklarhed i praksis:

En forhandler tror, at passet skal være fuldstændig offentligt, og offentliggør derfor også data, der kun var beregnet til den næste part i kæden, såsom interne procesparametre. Det sker ofte af forsigtighed ("bedre at dele for meget end for lidt"), men uden sondring mellem adgangsniveauer ender information hos parter, der ikke skal have den eller kan bruge den.

Et andet scenarie: en virksomhed går ud fra, at alt, som ikke eksplicit er "obligatorisk offentligt", må afskærmes fra alle, inklusive tilsynsmyndigheder. Denne sondring mellem offentligt og ikke-kontrollerbart bliver så blandet sammen, med det resultat, at en kontrol bliver hengende, fordi inspektøren ikke kan få adgang til de underliggende data.

Der er også situationer, hvor en fabrikant får pasporet lavet af en tredjemand uden at dokumentere, hvem der får hvilke adgangsrettigheder. Hvis der senere opstår en tvist om, hvem der har leveret eller ændret hvilke data, er der ingen dokumentation af, hvem der havde adgang hvornår.

Desuden forekommer det, at en virksomhed sidestiller pasportets adgangsstruktur med den for en inspektionscertifikat 3.1, selvom det er et helt andet dokument med en anden funktion og et andet publikum. Det skaber forvirring om, hvad der præcist deles med hvem; hvordan et inspektionscertifikat 3.1 forholder sig til produktpasset er derfor også et spørgsmål, der ofte kommer op sideløbende med dette.

Endelig: en virksomhed sammensætter dataene uden at skelne mellem, hvad der er teknisk følsomt (sammensætning, standard) og hvad der er kommercielt følsomt (leverandørpriser, interne specifikationer), hvilket senere viser sig at resultere i, at konkurrencesensitiv information er synlig for alle.

Hvad De kan dokumentere

• Et overblik over, hvilke pasportdata der er offentligt tilgængelige, og hvilke der er begrænsede, tilpasset hvilke data der skal være i stålproduktpasset skal være til stede.
• En intern beslutning om, hvilke data der betegnes som virksomhedsfølsomme, med begrundelse for hvorfor, således at dette senere kan spores.
• Aftaler med hostingpartneren om, hvilke adgangsroller der understøttes (slutbruger, kædepart­ner, tilsynsmyndighed), og hvordan disse teknisk adskilles.
• En dokumentation af, hvem inden for den egne virksomhed, der er ansvarlig for at tildele og administrere adgangsrettigheder til pasporet.
• Et overblik over, hvilke parter i kæden (leverandør, køber, genanvender) der har brug for hvilke data, koblet til emner som andelen af skrot i smelten eller de legeringselementer, der skal anmeldes, således at det er klart, hvilke data der er relevante for hvilken rolle.
• En log over ændringer og adgangsanmodninger, således at det ved en kontrol kan påvises, at tilsynsmyndigheder altid havde adgang til det komplette datasæt.