Kto może przeglądać które dane z paszportu produktu?

Dostęp różni się w zależności od grupy użytkowników, nie jest taki sam dla wszystkich

Cyfrowe pasporty produktów nie są jednym dokumentem, który jest identycznie otwarty dla wszystkich: ESPR rozróżnia między danymi widocznymi dla wszystkich a danymi dostępnymi tylko dla określonych stron. Artykuł 11 ESPR (Rozporządzenie (UE) 2024/1781) reguluje techniczną pracę paszportu i określa, że dostęp do informacji w paszporcie jest organizowany zgodnie z rolą użytkownika. Konsument skanujący kod QR na profilu stalowym telefonem widzi inne informacje niż organ nadzoru rynku korzystający z tego samego paszportu w ramach swojego zadania kontrolnego. Ideą tego rozróżnienia jest to, że paszport powinien zapewniać przejrzystość dotyczącą pochodzenia, składu i gospodarki w obiegu zamkniętym produktu, bez zmuszania przedsiębiorstw do ujawniania informacji wrażliwych dla biznesu wszystkim.

Dla danych produktów w łańcuchu, nie dla danych osobowych

To, co opisane jest tutaj, dotyczy dostępu do informacji produktowych, które są zawarte w paszporcie w ramach ESPR: skład materiałowy, pochodzenie, parametry, informacje o recyklingu i tym podobne. Nie dotyczy to postępowania z danymi osobowymi osób fizycznych; w tym przypadku obowiązują inne przepisy, takie jak RODO, które są poza zakresem artykułów 10 i 11 ESPR. Nie chodzi też o swobodę producenta lub importera do samodzielnego decydowania, kto co może widzieć: podział na poziomy dostępu jest ustalany na poziomie UE, ogólnie w ESPR i konkretnie dla każdej grupy produktów w delegowanych aktach prawnych, które mają zastosowanie do każdej kategorii produktów. Dla żelaza i stali ta grupa produktów - konkretne rozporządzenie - nie istnieje jeszcze, więc również nie wiadomo jeszcze, które dane będą jawne, a które dostępne tylko dla uczestników rynku lub organów nadzoru. To, co jest ustalone, to zasada z samej ESPR: część danych jest przeznaczona dla ogółu społeczeństwa, a inna część zarezerwowana dla stron pełniących określoną rolę w łańcuchu lub w nadzorze.

Brak ustalonej daty wejścia w życie dla stali

Nie ma jeszcze daty, od której te reguły dostępu do żelaza i stali faktycznie wejdą w życie. Zgodnie z planem pracy Komisji Europejskiej na lata 2025-2030 pierwszy delegowany akt konkretyzujący ESPR oczekiwany jest w 2026 roku, z obowiązkami, które będą miały zastosowanie później. Dla żelaza i stali nie opublikowano jeszcze delegowanego aktu prawnego, więc również nie ma nic ostatecznego dotyczącego dokładnych poziomów dostępu, które będą miały zastosowanie do tej grupy produktów. Gdy tylko taki akt będzie dostępny, zostaną uwzględnione tutaj. Do tego czasu nie ma obowiązków wynikających z ESPR dla żelaza i stali związanych z prowadzeniem cyfrowego paszportu produktu ze zróżnicowanym dostępem.

Co handlowiec stalowy lub przetwórca może z tym zrobić teraz

Kto zajmuje się już tym tematem, powinien rozsądnie najpierw wyjaśnić sobie, które dane produktu są już tak czy inaczej udostępniane klientom lub organom nadzoru, na przykład poprzez istniejące certyfikaty, raporty z badań lub dokumenty dostawy — to daje obraz tego, co później może znaleźć się w "publicznej" części paszportu. Następnie warto zinwentaryzować, które informacje nie są przeznaczone dla wszystkich, takie jak dokładne szczegóły składu, parametry procesu lub informacje o dostawcach uważane za wrażliwe biznesowo; to informacje, które — gdy zasady dla stali staną się konkretne — powinny podlegać bardziej ograniczonemu poziomowi dostępu. Po trzecie, praktyczne jest sprawdzenie, kto w łańcuchu dostaw będzie pełnił później jaką rolę — producent, importer, handlowiec, przetwórca — bo rola w łańcuchu dostaw determinuje, jaki poziom dostępu ma zastosowanie, a nie życzenie samego przedsiębiorstwa. Wreszcie: ponieważ specyficzne dla grupy produktów szczegółowe określenie dla żelaza i stali dopiero będzie opracowywane, nie ma teraz jeszcze powodu, aby ostatecznie wdrażać systemy zgodnie z określonym podziałem uprawnień dostępu; warto jednak teraz już uporządkować dane własne na to, co przypuszczalnie stanie się publiczne i co przypuszczalnie pozostanie ograniczone, aby przejście później przebiegło szybciej.

Gdzie to znajduje się: artykuł 10 i 11 rozporządzenia ESPR

Artykuł 10 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) określa wymagania dotyczące treści cyfrowego paszportu produktu, w tym rodzaj zawartych w nim informacji. Artykuł 11 tego samego rozporządzenia reguluje projektowanie techniczne i funkcjonowanie paszportu i stanowi, że dostęp do danych jest zróżnicowany ze względu na grupę użytkowników, tak aby każdy użytkownik nie widział tych samych danych. Dokładne opracowanie dla każdej grupy produktów — w tym dla żelaza i stali — wynika z aktów delegowanych, które Komisja musi jeszcze przyjąć na podstawie tego rozporządzenia.

Kto chce śledzić ten temat, powinien już teraz uporządkować własne informacje o produkcie na to, co przypuszczalnie będzie publiczne i co będzie przypuszczalnie dostępne w ograniczonym zakresie, i obserwować publikację aktu delegowanego dla żelaza i stali — kiedy tylko się pojawi, szczegółowy podział zostanie tutaj udostępniony.

Na czym opiera się ta informacja

Samo rozporządzenie znajduje się na EUR-Lex. Informujemy o każde stwierdzeniu; nie musisz nam ufać.

Co konkretnie musisz zrobić

Czego się od Ciebie oczekuje

Paszport produktu nie jest dokumentem z jednym poziomem dostępu. ESPR zakłada dostęp warstwowy: niektóre dane są widoczne dla wszystkich za pośrednictwem kodu QR na produkcie, inne tylko dla stron pełniących określoną rolę w łańcuchu, a jeszcze inne tylko dla organów nadzoru. Artykuł 10 ESPR (Rozporządzenie (UE) 2024/1781) wymienia to rozróżnienie jako wymóg dla paszportu, a artykuł 11 określa, jak to zostaje technicznie i organizacyjnie wdrożone. Dla przedsiębiorstwa zajmującego się przetwarzaniem lub odsprzedażą stali oznacza to, że należy zastanowić się nad tym, kto i w jakim momencie ma dostęp do której części danych.

Rozróżnianie między danymi publicznymi a ograniczonymi

Część danych paszportu jest dostępna dla każdego, kto skanuje kod QR: dla użytkownika końcowego, pracownika ds. zakupów w firmie budowlanej, organów nadzoru w terenie. Inna część jest przeznaczona wyłącznie dla stron mających uzasadniony interes, takich jak przedsiębiorstwa recyklingowe wymagające składu materiału, lub jednostki certyfikujące. Dla średniego przedsiębiorstwa zajmującego się metalem oznacza to, że pytanie "co wszyscy mogą widzieć, a czego nie" musi być rozstrzygnięte już przy opracowywaniu paszportu, nie później. Dotyczy to bezpośrednio pytania czy poufne dane handlowe dotyczące stali muszą być upubliczniane: nie wszystko, co znajduje się w paszporcie, musi być widoczne dla wszystkich.

Powiązać dostęp z rolą w łańcuchu

Artykuł 11 opisuje, że poziom dostępu może zależeć od roli strony żądającej danych: producenta, importera, dystrybutora, użytkownika końcowego, organu nadzoru rynku lub przetwórcy odpadów. Dla handlowca stali kupującego i sprzedającego haluprodukty oznacza to, że jego własna rola w łańcuchu określa, które dane są widoczne, a które nie. Handlowiec, który sprzedaje materiał dalej przedsiębiorstwu zajmującemu się konstrukcją, przekazuje w ten sposób również część odpowiedzialności: kupujący musi mieć dostęp do danych istotnych dla zastosowania i przetwarzania, takich jak rodzaj stali i skład.

Zapewnienie, aby organy nadzoru zawsze miały dostęp

Oprócz warstwowego dostępu dla uczestników rynku, istnieje wymóg, aby organy nadzoru (organy nadzoru rynku i służby celne) miały dostęp do pełnego paszportu, w tym do części, które nie są publiczne. Dla przedsiębiorstwa liczącego od 10 do 100 pracowników oznacza to, że w paszporcie nie mogą znajdować się dane, które pozostają "ukryte" przed kontrolą, nawet jeśli są handlowo wrażliwe. To rozróżnienie między niepublicznym a niekontrolowanym jest kluczowe: dane mogą być ograniczone dla publiczności, ale nigdy dla organów, które muszą móc sprawdzić, czy paszport jest prawidłowy.

Zapewnienie technicznego funkcjonowania struktury dostępu

Artykuł 11 stanoví требования к технической структуре: paszport musi być skonstruowany w taki sposób, aby różne poziomy dostępu mogły być faktycznie stosowane, nie tylko teoretycznie. Dla przedsiębiorstwa, które nie ma własnego działu IT zdolnego do tego zbudowania, oznacza to, że wybór dostawcy hostingu jest istotny: technika musi zapewnić, że użytkownik końcowy nie uzyska przypadkowo dostępu do danych przeznaczonych wyłącznie dla recyklera, i odwrotnie.

Gdzie dzieje się źle w praktyce

Kilka sytuacji, które w praktyce często powodują niejasności:

Trader uważa, że paszport musi być w pełni publiczny i dlatego publikuje również dane przeznaczone wyłącznie dla następnej strony w łańcuchu, takie jak parametry procesów wewnętrznych. Dzieje się to często z ostrożności ("lepiej za dużo niż za mało udostępniać"), ale bez rozróżnienia między poziomami dostępu informacje trafiają do stron, które nie powinny ich mieć lub nie mogą ich wykorzystać.

Inny scenariusz: przedsiębiorstwo zakłada, że wszystko, co nie jest wyraźnie "obowiązkowe publiczne", może być ograniczone dla wszystkich, w tym dla organów nadzoru. To rozróżnienie między publicznym a niekontrolowanym zostaje wtedy pomieszane, w wyniku czego kontrola się utyka, ponieważ inspektor nie może uzyskać dostępu do danych podstawowych.

Istnieją również sytuacje, w których producent zleca utworzenie paszportu stronie trzeciej, bez ustalenia, kto otrzyma jakie prawa dostępu. Jeśli później dojdzie do sporu dotyczącego tego, kto dostarczył lub zmienił jakie dane, nie ma wówczas rejestracji, kto miał dostęp i kiedy.

Ponadto zdarza się, że przedsiębiorstwo przyrównuje strukturę dostępu paszportu do struktury certyfikatu badania 3.1, podczas gdy jest to inny dokument z inną funkcją i innym odbiorcą. Prowadzi to do nieporozumień co do tego, co dokładnie jest udostępniane komu; jak certyfikat badania 3.1 się ma do paszportu produktu jest zatem pytaniem, które często pojawia się obok tego.

Wreszcie: przedsiębiorstwo kompiluje dane bez rozróżniania między tym, co jest wrażliwe technicznie (skład, norma) a tym, co jest wrażliwe handlowo (ceny dostawców, wewnętrzne specyfikacje), w wyniku czego okazuje się później, że informacje wrażliwe konkurencyjnie były widoczne dla wszystkich.

Co możesz dokumentować

Przegląd, które dane paszportu są publicznie dostępne i które są ograniczone, dostosowany do które dane w paszporcie produktu ze stali muszą być zawarte.
Wewnętrzna decyzja dotycząca tego, które dane są oznaczane jako wrażliwe dla przedsiębiorstwa, wraz z uzasadnieniem dlaczego, aby można to było później przypisać.
Umowy z dostawcą usług hostingowych dotyczące obsługiwanych ról dostępu (użytkownik końcowy, partner łańcucha, organ nadzoru) oraz sposobu ich technicznego rozdzielenia.
Dokumentacja dotycząca osób odpowiedzialnych w ramach własnego przedsiębiorstwa za przyznawanie uprawnień dostępu do paszportu i ich zarządzanie.
Przegląd tego, które strony w łańcuchu (dostawca, odbiorca, recykler) potrzebują jakich danych, powiązanych z zagadnieniami takimi jak udział złomu w stopieniu lub elementy stopowe, które muszą być zgłaszane, aby jasne było, które dane są istotne dla której roli.
Dziennik zmian i wniosków dostępu, aby w przypadku kontroli można było wykazać, że organy nadzoru zawsze miały dostęp do pełnego zestawu danych.

To nie jest porady prawna. Ta strona zawiera ogólne informacje na temat przepisów, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości dotyczących Twojego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane przy użyciu AI na podstawie źródeł powyżej, sprawdzone przez człowieka dnia 2026-08-22. Coś się nie zgadza? Daj nam znać — korekty mają pierwszeństwo.