jak zapewniam bezpieczeństwo danych w paszporcie produktu

Co konkretnie musisz zrobić

Czego się od Ciebie oczekuje

Rozporządzenie ESPR stawia wymogi wobec produktowego paszportu, które dotyczą nie tylko tego, JAKIE dane się w nim znajdują, ale i TEGO, jak dane są zarządzane i chronione. Artykuł 10 i artykuł 11 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) razem stanowią jego podstawę: artykuł 10 opisuje wymogi, którym musi spełniać paszport, artykuł 11 odnosi się konkretnie do projektu technicznego i funkcjonowania. Dla hurtowni stalowej lub przetwórcy metali, który organizuje to po raz pierwszy, rozbija się to na kilka praktycznych punktów uwagi.

Regulacja dostępu do danych w zależności od roli

Nie każdy, kto konsultuje paszport, musi widzieć te same dane. Pracownik ds. zakupów u konstruktora ma inne potrzeby informacyjne niż nadzorca lub recykler na koniec cyklu życia. Artykuł 10 rozporządzenia ESPR wychodzi z założenia zróżnicowanego dostępu: niektóre dane są publiczne, inne są widoczne tylko dla określonych stron, takich jak uczestnicy rynku lub organy. Dla przedsiębiorstwa liczącego od 10 do 100 pracowników oznacza to, że przed uruchomieniem paszportu musi zostać podjęta decyzja dotycząca tego, kto widzi jaką warstwę danych — i że decyzja ta rzeczywiście została wdrożona technicznie, a nie tylko na papierze.

Zapewnienie pochodzenia i prawidłowości danych

Produktowy paszport ma wartość tylko wtedy, gdy zawarte w nim dane są prawidłowe i możliwe do śledzenia do źródła. Dotyka to wiarygodności całego systemu: jeśli odbiorca nie może ustalić, skąd pochodzi dany, paszport traci swoją funkcję. W praktyce oznacza to, że musi być udokumentowane, kto dostarczył jakie dane — producent, importer czy strona pośrednia — i kiedy się to stało. Dla przedsiębiorstw, które same nie wprowadzają danych, ale je przekazują, ważne jest wiedzieć, jak dane zostały dostarczone w prawidłowym formacie, ponieważ nieprawidłowa dostawa znajduje odzwierciedlenie dalej w łańcuchu i przekłada się na niewiarygodny paszport.

Ochrona przed zmianą po opublikowaniu

Artykuł 11 ESPR stanowi, że cyfrowy paszport produktu musi funkcjonować technicznie w taki sposób, aby dane nie mogły być zmieniane niezauważalnie po ich zarejestrowaniu. Dla przetwórcy metali, który sam nie hostuje paszportu, ale zleca jego hostowanie — na przykład za pośrednictwem platformy takiej jak ta — oznacza to, że wybór partnera hostingowego to również wybór dotyczący sposobu, w jaki ta strona rejestruje, loguje i zabezpiecza zmiany. To nie jest kwestia teoretyczna: jeśli klient lub organ nadzoru kwestionuje dane z paszportu, musi być możliwe wykazanie, kiedy te dane zostały zarejestrowane i przez kogo.

Integracja z istniejącymi systemami biznesowymi

Wiele firm nie chce zarządzać paszportem produktu jako systemem izolowanym, ale chce go połączyć z istniejącą już administracją. Jest to możliwe, ale bezpieczeństwo paszportu nie jest wtedy niezależne od bezpieczeństwa tego systemu leżącego u podstaw. Kto rozważa połączenie paszportu z własnym systemem ERP lub systemem zarządzania zapasamipowinien sprawdzić, kto ma dostęp do tego połączenia i czy wyciek w jednym systemie będzie miał konsekwencje dla drugiego.

Gdzie dzieje się źle w praktyce

W praktyce regularnie powtarza się wiele sytuacji.

W firmach, które zlecają umieszczenie kodu QR na samym produkcie, czasami pomija się fakt, że sam kod nie zapewnia zabezpieczenia — pytanie brzmi, co się dzieje za tym kodem. Kto się zastanawia jak kod QR trafia na stalpowinien się również zastanowić, kto zarządza danymi leżącymi u podstaw i czy rozdzielenie między nośnikiem a zawartością jest jasno określone.

Inna sytuacja powstaje, gdy wiele stron w łańcuchu dostarcza dane dla tego samego paszportu bez wcześniejszego ustalenia, kto może zmienić którą część. To prowadzi do zamieszania, która wersja jest ważna, a czasami do przypadkowego nadpisania prawidłowych danych przez inną stronę.

Również w przypadku małych części czasami dochodzi do błędów: jeśli kod QR na małym kawałku stali jest ograniczony technicznie, czasami wybiera się uproszczony link lub stronę pośrednią — bez zawsze zastanowienia się, czy ten pośredni krok jest zgodny z tymi samymi umowami dotyczącymi bezpieczeństwa co główny paszport.

Czwarta sytuacja: firmy, które samodzielnie przechowują kopię offline danych paszportu do użytku w miejscach bez połączenia, zapominają zsynchronizować tę kopię lub zabezpieczyć ją w taki sam sposób jak wersję online. To realna sprawa, ponieważ nie każde stanowisko pracy ma stabilne połączenie, a pytanie, czy paszport musi również działać offline pojawia się właśnie w tego rodzaju praktycznym rozwiązaniu.

Na koniec: firmy, które się zamykają lub zbywają jednostkę biznesową, czasami zapominają, że dane paszportu nadal istnieją i że dostęp oraz zarządzanie nimi muszą być przekazane — coś, co wiąże się z pytaniem co dzieje się z paszportem, gdy firma się zamyka.

Co możesz dokumentować

Szereg uzgodnień i dokumentów pomaga wykazać bezpieczeństwo danych paszportu:

• Przegląd, kto pełni jaką rolę w dostarczaniu i zarządzaniu danymi, w tym osoba kontaktowa dla każdej strony w łańcuchu.
• Rejestr pochodzenia każdych danych: od którego producenta, importera lub strony pośredniej pochodzą i w jakim momencie zostały dostarczone.
• Umowy z partnerem hostingowym dotyczące logowania zmian, aby można było wykazać, kiedy dane zostały zarejestrowane i czy zostały następnie zmienione.
• Opis ustawionych poziomów dostępu: które dane są publiczne i które są widoczne tylko dla określonych stron.
• Jeśli dotyczy, przegląd połączenia z własnym systemem ERP lub systemem zarządzania zapasami, w tym informację, kto ma dostęp do tego połączenia.
• Plan na wypadek, gdy firma się zamyka lub część jest przenoszona, dzięki czemu zarządzanie i dostęp do istniejących paszportów nie pozostają zawiszone.

To udokumentowanie jest nie tylko przydatne dla organów nadzoru, ale także praktyczne: zapobiega utracie wewnętrznej wiedzy na temat tego, kto co zarządza, w przypadku zmian kadrowych lub przejęcia firmy.