Quem pode consultar que dados do passaporte do produto?

O acesso varia por grupo de utilizador, não é igual para todos

O passaporte de produto digital não é um documento único idêntico aberto para todos: o ESPR faz distinção entre dados visíveis para todos e dados acessíveis apenas a partes específicas. O artigo 11 do ESPR (Regulamento (UE) 2024/1781) regulamenta o funcionamento técnico do passaporte e determina que o acesso às informações no passaporte é organizado de acordo com a função do utilizador. Um consumidor que digitaliza o código QR num perfil de aço com um telemóvel vê informações diferentes de uma autoridade de vigilância do mercado que consulta o mesmo passaporte no exercício da sua função de controlo. A lógica por trás desta distinção é que o passaporte deve oferecer transparência sobre a origem, composição e circularidade de um produto, sem obrigar as empresas a divulgar publicamente as suas informações sensíveis.

Para dados de produto na cadeia, não para dados pessoais

O que aqui se descreve diz respeito ao acesso às informações de produto conforme incluídas no passaporte no contexto do ESPR: composição material, origem, desempenho, informações de reciclagem e similares. Não se trata do tratamento de dados pessoais de indivíduos; para isso aplicam-se outras regras, como o RGPD, que ficam fora do âmbito do que os artigos 10 e 11 do ESPR regulam. Também não se trata de uma liberdade de escolha do fabricante ou importador para determinar por si próprio quem pode ver o quê: a divisão em níveis de acesso é estabelecida a nível da UE, genericamente no ESPR e concretamente por grupo de produto nos atos delegados que se seguem por categoria de produto. Para ferro e aço, essa especificação para o grupo de produto ainda não existe, portanto também não está definido que dados serão exactamente públicos e que dados serão apenas para participantes do mercado ou autoridades de vigilância. O que está estabelecido é o princípio do próprio ESPR: uma parte dos dados é para o público em geral, outra parte é reservada a partes com um papel específico na cadeia ou na vigilância.

Ainda sem data de entrada em vigor fixa para aço

Ainda não há uma data em que estas regras de acesso para ferro e aço entrem efectivamente em vigor. De acordo com o plano de trabalho da Comissão Europeia para 2025-2030, o primeiro ato delegado que concretiza o ESPR é esperado em 2026, com obrigações que entram em vigor algum tempo depois. Para ferro e aço, ainda nenhum ato delegado foi publicado, portanto também não há nada definitivo sobre os níveis de acesso exactos que se aplicarão a este grupo de produto. Assim que esse ato estiver disponível, será processado aqui. Até lá, não existem obrigações do ESPR para ferro e aço de implementar um passaporte de produto digital com acesso diferenciado.

O que um comerciante ou transformador de aço pode fazer com isto agora

Quem já está envolvido com este assunto agora fará bem em primeiro esclarecer que dados sobre um produto são de qualquer forma já partilhados com clientes ou autoridades de supervisão, por exemplo através de certificados existentes, relatórios de inspeção ou documentos de entrega — isto dá uma imagem do que depois pode vir a constar na parte "pública" do passaporte. Depois é útil fazer um inventário de que informações não são destinadas a todos, como detalhes exatos de composição, parâmetros de processo ou informações de fornecedores consideradas sensíveis para a empresa; trata-se da informação de que se espera que fique sujeita a um nível de acesso mais restrito assim que as regras para o aço se tornarem concretas. Em terceiro lugar, é prático verificar quem na própria cadeia desempenhará depois qual papel — fabricante, importador, comerciante, transformador — porque o papel na cadeia é determinante para qual nível de acesso se aplica, não o desejo da própria empresa. Por fim: porque a especificação específica do grupo de produtos para ferro e aço ainda tem de chegar, não há razão neste momento para estabelecer sistemas de forma definitiva sobre uma determinada divisão de direitos de acesso; é sim útil ordenar já os próprios dados no que se presume venha a ser público e no que se presume venha a permanecer restrito, para que a transição possa ser feita mais rapidamente depois.

Onde isto está escrito: artigos 10.º e 11.º do ESPR

O artigo 10.º do ESPR (Regulamento (UE) 2024/1781) descreve os requisitos a que o conteúdo do passaporte digital de produtos deve estar em conformidade, incluindo o tipo de informação que é nele incluído. O artigo 11.º do mesmo regulamento regula a conceção técnica e o funcionamento do passaporte, e nele está estabelecido que o acesso aos dados é diferenciado por grupo de utilizadores, de modo que nem todos os utilizadores veem os mesmos dados. A especificação exata por grupo de produtos — incluindo para ferro e aço — resulta dos atos delegados que a Comissão ainda tem de adotar com base neste regulamento.

Quem quiser acompanhar este assunto fará melhor ordenando já a sua própria informação de produtos de acordo com o que se presume venha a ser público e o que se presume venha a ser de acesso restrito, e ficar atento à publicação do ato delegado para ferro e aço — assim que estiver disponível, a divisão será aqui concretizada.

Base para isto

O regulamento propriamente dito encontra-se na EUR-Lex. Fazemos referências por cada afirmação; não precisa acreditar em nós.

O que deve fazer concretamente

O que se espera de si

O passaporte de produto não é um documento com um único nível de acesso. O ESPR parte do princípio de acesso em camadas: alguns dados são visíveis para todos através do código QR no produto, outros apenas para partes com um papel específico na cadeia, e outros ainda apenas para autoridades de fiscalização. O artigo 10 do ESPR (Regulamento (UE) 2024/1781) menciona esta distinção como requisito para o passaporte, e o artigo 11 especifica como é implementado técnica e organizacionalmente. Para uma empresa que processa ou revende aço, isto significa que é necessário pensar em quem tem acesso a qual parte dos dados e em que momento.

Distinguir entre dados públicos e dados limitados

Uma parte dos dados do passaporte é para todos os que digitalizem o código QR: um utilizador final, um comprador numa empresa de construção, uma autoridade de fiscalização em serviço. Outra parte é destinada apenas a partes com um interesse justificado, como empresas de reciclagem que precisam de composição de materiais, ou organismos de certificação. Para uma empresa de metais de médio porte, isto significa que a questão "o que pode toda a gente ver e o que não pode" já deve estar respondida quando o passaporte é compilado, não depois. Isto toca diretamente a questão se os dados sensíveis da empresa sobre aço devem ser divulgados publicamente: nem tudo que está no passaporte precisa ser visível para todos.

Vincular o acesso ao papel na cadeia

O Artigo 11 descreve que o nível de acesso pode depender do papel da parte que solicita os dados: fabricante, importador, distribuidor, utilizador final, autoridade de vigilância do mercado ou gestor de resíduos. Para um comerciante de aço que compra e revende semifabricados, isto significa que o seu próprio papel na cadeia determina quais os dados visíveis e quais não. Um comerciante que revende material a uma empresa de construção transmite também uma parte da responsabilidade: o comprador deve ter acesso aos dados relevantes para aplicação e processamento, como tipo de aço e composição.

Garantir que os supervisores tenham sempre acesso

Além do acesso em camadas para os operadores do mercado, existe a exigência de que as autoridades de supervisão (autoridades de vigilância do mercado e aduanas) tenham acesso ao pasaporte completo, incluindo as partes que não são públicas. Para uma empresa com 10 a 100 funcionários, isto significa que não podem existir dados no pasaporte que permaneçam "ocultos" à inspeção, nem mesmo se forem comercialmente sensíveis. Essa distinção entre não-público e não-controlável é essencial: os dados podem ser restringidos ao público, mas nunca às autoridades que devem ser capazes de verificar se o pasaporte está correto.

Garantir que a estrutura de acesso funciona tecnicamente

O Artigo 11 estabelece requisitos para a configuração técnica: o pasaporte deve ser estruturado de forma que diferentes níveis de acesso possam ser realmente aplicados, não apenas em teoria. Para uma empresa que não tem seu próprio departamento de TI para construir isto, isto significa que a escolha de um parceiro de hospedagem é relevante: a tecnologia deve garantir que um utilizador final não tenha acesso acidental a dados destinados apenas a um reciclador, e vice-versa.

Onde corre mal na prática

Algumas situações que frequentemente causam falta de clareza na prática:

Um comerciante pensa que o pasaporte deve ser completamente público e, portanto, publica também dados destinados apenas à próxima parte na cadeia, como parâmetros de processos internos. Isto acontece frequentemente por precaução ("melhor partilhar demasiado do que pouco"), mas sem distinção entre níveis de acesso, as informações chegam a partes que não devem ou não podem utilizá-las.

Outro cenário: uma empresa assume que tudo o que não seja explicitamente "obrigatoriamente público" pode ser restringido para todos, incluindo os supervisores. Essa distinção entre público e não-controlável é então confundida, resultando em uma inspeção que fica bloqueada porque o inspetor não consegue aceder aos dados subjacentes.

Existem também situações em que um fabricante faz o passaporte elaborar por um terceiro, sem documentar quem obtém quais direitos de acesso. Se mais tarde surgir uma disputa sobre quem forneceu ou modificou quais dados, não há então registro de quem tinha acesso quando.

Além disso, ocorre que uma empresa equipara a estrutura de acesso do passaporte à de um certificado de inspeção 3.1, enquanto esse é um documento diferente com uma função diferente e um público diferente. Isso gera confusão sobre exatamente o que está sendo compartilhado com quem; como um certificado de inspeção 3.1 se relaciona com o passaporte do produto é portanto uma questão que frequentemente se sobrepõe a esta.

Por fim: uma empresa compila os dados sem distinguir entre o que é tecnicamente (composição, norma) e o que é comercialmente (preços do fornecedor, especificações internas) sensível, de modo que posteriormente fica evidente que informações sensíveis do ponto de vista concorrencial eram visíveis para todos.

O que pode registar

Uma visão geral de quais dados do passaporte são publicamente acessíveis e quais são restritos, alinhados com quais dados no passaporte do produto de aço devem constar.
Uma decisão interna sobre quais dados são marcados como sensíveis ao negócio, com justificativa do porquê, de forma que isso seja rastreável posteriormente.
Acordos com o provedor de hospedagem sobre quais papéis de acesso são suportados (usuário final, parceiro de cadeia, autoridade supervisora) e como são tecnicamente separados.
Um registro de quem dentro da própria empresa é responsável pela concessão e gestão dos direitos de acesso ao passaporte.
Uma visão geral de quais partes na cadeia (fornecedor, cliente, reciclador) precisam de quais dados, vinculados a tópicos como a proporção de sucata na fusão ou os elementos de liga que devem ser reportados, de forma que fique claro quais dados são relevantes para qual papel.
Um registro de modificações e solicitações de acesso, de modo que em uma inspeção possa ser demonstrado que as autoridades supervisoras sempre tiveram acesso ao conjunto completo de dados.

Isto não é aconselhamento jurídico. Esta página fornece informações gerais sobre a regulamentação sobre a qual esta plataforma funciona. Não conhecemos a sua situação. Em caso de dúvida sobre o seu próprio caso, consulte um jurista ou a autoridade de supervisão competente.

Escrito com IA com base nas fontes acima, verificado por um ser humano em 2026-08-22. Há algo incorreto? Avise-nos — as correções têm prioridade.