cum mă asigur că datele din pasaportul de produs sunt securizate

Acces, origine și protecție împotriva manipulării sunt nucleul

Securitatea pasaportului de produs se rezumă la trei aspecte: doar părțile autorizate pot vizualiza sau modifica anumite date, datele pot fi urmărite până la cine le-a furnizat, și nimeni nu poate adapta un pasaport ulterior fără a fi observat. ESPR (Regulamentul (UE) 2024/1781) stabilește aceasta ca o cerință pentru sistemul în care funcționează pasaportul, nu ca o alegere separată a părții care asamblează pasaportul. Aceasta înseamnă că o platformă care găzduiește pasapoarte trebuie să aibă deja acest lucru reglementat din punct de vedere tehnic — negociatorul de oțel sau transformatorul metalic care comandă crearea pasaportului nu trebuie să construiască acest lucru singur, dar este bine să știe ce este și ce nu este garantat.

Pentru cine se aplică aceasta și ce este exclus

Aceste cerințe de securitate se aplică pasaportului digital de produs în sine: fișierul cu date accesibil prin codul QR și sistemul care stochează și afișează acel fișier. Ele se referă la cine poate vizualiza datele, cine le poate modifica și dacă originea unei modificări este stabilită. Ele nu se referă la întrebarea dacă conținutul pasaportului este corect — aceasta este o problemă de acuratețe a datelor, nu o problemă de securitate. Ele nu se referă nici la codul QR fizic pe produs: cum este aplicat și dacă rămâne lizibil este descris pe pagina despre cum ajunge codul QR pe oțel, și aceasta este o altă problemă decât securitatea datelor din spatele acelui cod. Și aceste cerințe nu spun nimic despre un sistem IT specific sau un produs furnizor: regulamentul prescrie funcționalitate, nu tehnică.

De asemenea, este important să se facă distincția între cine poate vedea ce date. Nu fiecare dată dintr-un pasaport este destinată tuturor — unele informații sunt pentru utilizatorul final, unele pentru un expert de piață, unele doar pentru un organism de supraveghere. Acel acces stratificat face parte din aceeași problemă de securitate, dar distribuția exactă va fi completată pe baza grupurilor de produse și, prin urmare, nu este încă stabilită în detaliu.

Nicio dată de intrare fixă deocamdată, dar un cadru bine definit

Nu există încă o dată definitivă în care aceste cerințe de securitate vor intra în vigoare pentru fier și oțel. Planul de lucru al Comisiei Europene prevede o primă măsură delegată în 2026, cu obligații care vor intra în vigoare ulterior; de îndată ce acea măsură este publicată, data va fi menționată aici. Ceea ce este deja stabilit este cadrul din ESPR însuși: articolul 10 și articolul 11 descriu cerințele pentru pasaport și pentru proiectarea tehnică, și acest text nu se mai schimbă — doar elaborarea specifică pentru fiecare produs și data de intrare în vigoare trebuie să mai vină. Până atunci, nu există nicio obligație legală de a avea un pasaport de produs pentru oțel, dar cerințele de securitate care vor intra în vigoare, sunt deja citibile în regulament.

Ce rezultă din aceasta în practică

Atunci când se configurează un pasaport, întrebarea de securitate revine într-o ordine fixă. În primul rând: cine furnizează datele și este acea origine stabilită? Un pasaport este asamblat din date ale producătorului sau importatorului, și trebuie să fie posibil să se urmărească ulterior cine a introdus care dată. În al doilea rând: cine poate modifica pasaportul după publicare? Regulamentul cere ca un pasaport să nu poată fi adaptat fără a fi observat — o modificare trebuie să fie vizibilă sau controlabilă, nu pur și simplu suprascrisă în tăcere. În al treilea rând: cine vede ce date? Un negociant de oțel care transmite pasaportul unui client nu trebuie să se îngrijoreze personal de drepturile de acces în cadrul sistemului — aceasta este responsabilitatea părții care găzduiește pasaportul — dar este bine să știe că nu fiecare dată trebuie să fie accesibilă publicului.

Cine dorește să conecteze o fișă de produs la un sistem ERP sau de inventar existent, este bine să pună această întrebare de securitate devreme: datele care curg automat din sistemul intern către o fișă publică trebuie să rămână protejate în tranzit împotriva modificării neautorizate. Mai multe detalii se găsesc pe pagina despre conectarea fisei de produs la sistemul propriu. Și întrebarea cât timp o fișă trebuie să rămână disponibilă și nemodificată după publicare este legată de aceste cerințe de securitate; acest subiect este tratat separat pe pagina despre cât timp o fișă de produs rămâne disponibilă.

Pentru antreprenorul care nu are o departament IT propriu, în practică se reduce la o întrebare de control adresată părții care găzduiește fișa: poate demonstra cine a furnizat care date, există o barieră împotriva modificării nedetectate și accesul la datele sensibile este izolat de partea publică a fisei? Acestea nu sunt întrebări juridice, ci practice, și pot fi puse fără a fi nevoie de cunoștințe despre regulament în sine.

Unde se găsește aceasta: articolul 10 și articolul 11 al ESPR

Articolul 10 al ESPR (Regulamentul (UE) 2024/1781) descrie cerințele pe care fișa digitală de produs trebuie să le îndeplinească, inclusiv accesul la date de diferiți tipuri de utilizatori. Articolul 11 se referă specific la proiectarea tehnică și funcționarea fisei, iar acolo se stabilesc cerințele privind urmăribilitatea, protecția împotriva manipulării și funcționarea sistemului subiacent. Ambele articole formează împreună cadrul din care decurg cerințele de securitate; detaliile tehnice suplimentare vor urma cu actele delegate care urmează să fie publicate.

Cine dorește să înceapă cu o fișă de produs acum, este mai bine să înceapă prin a pune în ordine fluxurile proprii de date — să înregistreze cine furnizează care date și cum sunt ele ținute la zi — astfel încât mai târziu să nu fie necesar să se schimbe prea mult o dată ce obligația și detaliile tehnice sunt definitiv stabilite.

Baza acestui material

Regulamentul însuși se găsește pe EUR-Lex. Facem referiri pentru fiecare afirmație; nu trebuie să ne crezi pe cuvânt.

Ceea ce trebuie să faceți în mod concret

Ceea ce se așteaptă de la dumneavoastră

ESPR stabilește cerințe pentru fișa de produs care nu se referă doar la ce date conține, ci și la cum sunt acele date gestionate și protejate. Articolul 10 și articolul 11 al ESPR (Regulamentul (UE) 2024/1781) formează împreună baza pentru aceasta: articolul 10 descrie cerințele pe care fișa trebuie să le îndeplinească, articolul 11 se referă specific la proiectarea tehnică și funcționare. Pentru un comerciant de oțel sau un prelucrător de metale care organizează aceasta pentru prima dată, se împarte într-un număr de puncte practice de atenție.

Reglementarea accesului la date după rol

Nu toți cei care consultă fișa trebuie să vadă aceleași date. Un cumpărător la o întreprindere de construcții are nevoie de alte informații decât un inspector de conformitate sau un reciclator la sfârșitul duratei de viață. Articolul 10 al ESPR pornește de la acces diferențiat: unele date sunt publice, altele sunt vizibile doar pentru anumite părți, cum ar fi operatorii economici sau autoritățile. Pentru o companie cu 10 până la 100 de angajați, aceasta înseamnă că, înainte ca fișa să devină operațională, trebuie luată o decizie cu privire la cine vede care nivel de date — și că această decizie a fost implementată din punct de vedere tehnic, nu doar pe hârtie.

Asigurarea originii și corectitudinii datelor

O fișă de produs este valoroasă doar dacă datele din ea sunt corecte și urmăribile la sursă. Aceasta afectează fiabilitatea întregului sistem: dacă un destinatar nu poate verifica de unde provine o dată, fișa își pierde funcția. Practic, aceasta înseamnă că trebuie înregistrat cine a furnizat care dată — fabricantul, importatorul sau o parte intermediară — și când s-a întâmplat. Pentru companiile care nu introduc singure date, dar le transmit mai departe, este important să știe cum datele au fost furnizate în formatul corect, deoarece o furnizare greșită se traduce mai târziu în lanț printr-o fișă de produs neverodignă.

Protecția împotriva modificării după publicare

Articolul 11 al ESPR descrie că pașaportul digital de produs trebuie să funcționeze din punct de vedere tehnic în așa fel încât datele să nu poată fi modificate neobservat după ce au fost înregistrate. Pentru un prelucrător de metale care nu găzduiește el însuși pașaportul, ci o face să fie găzduit — cum ar fi prin intermediul unei platforme ca aceasta — aceasta înseamnă că alegerea unui partener de găzduire este și o alegere privind modul în care acea parte înregistrează, consemnează și asigură modificările. Nu este un punct teoretic: dacă un client sau o autoritate de supraveghere contestă o dată din pașaport, trebuie să fie demonstrabil când a fost înregistrată acea dată și de cine.

Conectarea cu sistemele comerciale existente

Multe companii doresc să nu gestioneze pașaportul produsului ca sistem izolat, ci să-l conecteze cu administratia care există deja. Este posibil, dar securitatea pașaportului nu este atunci independentă de securitatea sistemului respectiv. Cine ia în considerare conectarea pașaportului la propriul sistem ERP sau de inventar, este bine să analizeze cine are acces la acea conectare și dacă o scurgere într-un sistem are consecințe pentru celălalt.

Unde nu funcționează în practică

Un număr de situații se repetă constant în practică.

La companiile care fac să fie aplicat codul QR pe produsul însuși, uneori se trece cu vederea faptul că codul în sine nu oferă nicio securitate — întrebarea este ce se întâmplă înainte codul respectiv. Cine se întreabă cum ajunge codul QR pe oțel, trebuie de asemenea să se întrebe cine gestionează datele din spate și dacă separarea dintre suport și conținut este clar stabilită.

O altă situație apare atunci când mai multe părți din lanț furnizează date pentru același pașaport, fără a fi convenit în prealabil cine poate modifica ce parte. Aceasta duce la confuzie cu privire la care versiune este cea valabilă și uneori la suprascriere accidentală a datelor corecte de către o altă parte.

De asemenea, la piesele mici se întâmplă greșeli: dacă un cod QR pe o mică bucată de oțel este din punct de vedere tehnic limitată, uneori se alege pentru o legătură simplificată sau o pagină intermediară — caz în care nu s-a gândit întotdeauna dacă acel pas intermediar urmează aceleași acorduri de securitate ca pașaportul principal.

O patra situație: companiile care păstrează ele însele o copie offline a datelor pașaportului pentru utilizare în locații fără conexiune, uită să sincronizeze acea copie sau s-o asigure în același mod ca versiunea online. Este un punct real, pentru că nu fiecare loc de muncă dispune de o conexiune stabilă, și întrebarea dacă pașaportul trebuie să funcționeze și offline se pune tocmai în acest gen de aranjament practic.

În sfârșit: companiile care se opresc sau care disipar o divizie comercială, uita uneori că datele pașaportului rămân existente și că accesul și gestionarea acestora trebuie transferate — ceva ce are legătură cu întrebarea ce se întâmplă cu pașaportul dacă compania se oprește.

Ce puteți documenta

Un număr de acorduri și documente ajută pentru a face ca securitatea datelor pașaportului să fie demonstrabilă:

Un rezumat al cine are ce rol în furnizarea și gestionarea datelor, inclusiv contactul pe parte din lanț.
O înregistrare a originii fiecărei date: de la care producător, importator sau parte intermediară provine și în ce moment a fost furnizată.
Acorduri cu partenerul de găzduire privind consemnarea modificărilor, ainsi încât să fie demonstrabil când a fost înregistrată o dată și dacă a fost modificată ulterior.
O descriere a nivelurilor de acces care au fost stabilite: ce date sunt publice și care sunt vizibile doar pentru anumite părți.
Dacă este cazul, o prezentare generală a conectării cu propriul sistem ERP sau de inventar, cu informații despre cine are acces la acea conectare.
Un plan pentru situația în care compania se oprește sau o parte este transferată, asi încât gestionarea și accesul la pașapoartele existente să nu rămână în suspensie.

Această înregistrare nu este doar utilă în raport cu supravegherea, ci și din punct de vedere practic: previne pierderea cunoștințelor interne cu privire la cine gestionează ce, la schimbări de personal sau la preluarea unei companii.

Aceasta nu este o consultanță juridică. Această pagină oferă informații generale despre reglementarea pe care se bazează această platformă. Nu cunoaștem situația dvs. În caz de îndoieli privind situația dvs. specifică, consultați un jurist sau autoritatea competentă de supraveghere.

Scris cu ajutorul AI pe baza surselor de mai sus, verificat de o persoană pe 2026-09-05. Nu este ceva în neregulă? Spune-ne — corecțiile au prioritate.