Cine are dreptul să vadă ce date din pasaportul produsului?

Ceea ce trebuie să faceți în mod concret

Ceea ce se așteaptă de la dumneavoastră

Pasaportul produsului nu este un document cu un singur nivel de acces. ESPR se bazează pe acces stratificat: unele date sunt vizibile pentru toți prin codul QR de pe produs, altele doar pentru părți cu un rol specific în lanț, iar altele doar pentru autorități de supraveghere. Articolul 10 din ESPR (Regulamentul (UE) 2024/1781) menționează această distincție ca cerință pentru pasaport, iar articolul 11 detaliază modul în care aceasta capătă formă din punct de vedere tehnic și organizatoric. Pentru o întreprindere care prelucrează sau revinde oțel, aceasta înseamnă că trebuie gândit cine are acces la ce parte a datelor și când.

Distincție între datele publice și cele cu acces restricționat

O parte din datele pasaportului este pentru toți cei care scanează codul QR: un utilizator final, o persoană responsabilă de achiziții la o întreprindere de construcții, o autoritate de supraveghere în teren. O altă parte este destinată doar părților cu un interes justificat, cum ar fi întreprinderile de reciclare care au nevoie de compoziția materialului sau organisme de certificare. Pentru o întreprindere medie de prelucrare a metalelor, aceasta înseamnă că întrebarea "ce pot vedea toți și ce nu" trebuie răspunsă deja la asamblarea pasaportului, nu ulterior. Aceasta atinge direct întrebarea dacă datele sensibile din punct de vedere comercial despre oțel trebuie divulgate publicului: nu totul din pasaport trebuie să fie vizibil pentru toți.

Cuplarea accesului la rolul din lanț

Articolul 11 descrie că nivelul de acces poate depinde de rolul părții care solicită datele: fabricant, importator, distribuitor, utilizator final, autoritate de supraveghere a pieței sau agent de tratare a deșeurilor. Pentru o casă de comerț cu oțel care cumpără și revinde semifabricate, aceasta înseamnă că propria sa rolă în lanț determină ce date sunt vizibile și ce nu. Un negociant care revinde material unei întreprinderi de construcții transmite, de asemenea, o parte din responsabilitate: cumpărătorul trebuie să aibă acces la datele relevante pentru aplicație și prelucrare, cum ar fi tipul de oțel și compoziția.

Asigurați-vă că autoritățile de supraveghere au întotdeauna acces

Pe lângă accesul stratificat pentru participanții la piață, există cerința ca instituțiile de supraveghere (autoritățile de monitorizare a pieței și vama) să aibă acces la pasaportul complet, inclusiv la părțile care nu sunt publice. Pentru o întreprindere cu 10 până la 100 de angajați, aceasta înseamnă că în pasaport nu trebuie să existe date care să rămână „ascunse

Asigurarea funcționării tehnice a structurii de acces

Articolul 11 stabilește cerințe privind organizarea tehnică: pasaportul trebuie construit în așa fel încât nivelurile diferite de acces să poată fi aplicate efectiv, nu doar în teorie. Pentru o întreprindere care nu dispune de propriul departament IT care să poată construi aceasta, înseamnă că alegerea unui furnizor de găzduire este relevantă: tehnologia trebuie să asigure că un utilizator final nu ajunge accidental la date care sunt destinate doar unui reciclator, și invers.

Unde nu funcționează în practică

Câteva situații care în practică provoacă adesea confuzie:

Un comerciant crede că pașaportul trebuie să fie complet public și publică prin urmare și date care erau destinate doar părții următoare din lanț, cum ar fi parametrii interni ai procesului. Acest lucru se întâmplă adesea din precauție ("mai bine prea multe decât prea puține informații partajate"), dar fără diferențiere între niveluri de acces, informațiile ajung la părți care nu trebuie sau nu pot să le folosească.

Un alt scenariu: o companie consideră că tot ceea ce nu este explicit "obligatoriu public" poate fi protejat pentru toată lumea, inclusiv pentru autoritățile de supraveghere. Această distinție între public și necontrolabil este apoi confundată, cu rezultatul că o inspecție se blochează deoarece inspectorul nu poate accesa datele subiacente.

Există, de asemenea, situații în care un producător solicită unui terț să elaboreze pasaportul, fără a stabili cine obține ce drepturi de acces. Dacă mai târziu apare o dispută cu privire la cine a furnizat sau a modificat care date, nu există atunci nicio înregistrare a cine avea acces și când.

Mai departe, se întâmplă ca o întreprindere să asimileze structura de acces a pasaportului cu cea a unui certificat de inspecție 3.1, în timp ce aceasta este un document diferit cu o funcție și o audiență diferită. Aceasta duce la confuzie cu privire la ceea ce se distribuie exact și cui; cum se raportează un certificat de inspecție 3.1 la pasaportul de produs este, de asemenea, o întrebare care se pune adesea alături de acestea.

În sfârșit: o întreprindere compilează datele fără a face o distincție între ceea ce este sensibil din punct de vedere tehnic (compoziție, normă) și ceea ce este sensibil din punct de vedere comercial (prețuri furnizor, specificații interne), ceea ce face ca mai târziu să se dovedească că informații sensibile din punct de vedere concurențial erau vizibile pentru toți.

Ce puteți documenta

• Un prezentare generală a datelor pasaportului care sunt accesibile publicului și care sunt limitate, adaptate la ce date trebuie să fie în pasaportul produsului de oțel trebuie să stea.
• O decizie internă cu privire la datele care sunt marcate ca fiind sensibile din punct de vedere comercial, cu o justificare pentru care, astfel încât aceasta să fie trasabilă mai târziu.
• Acorduri cu terța parte de găzduire cu privire la care roluri de acces sunt acceptate (utilizator final, partener din lanț, autoritate de supraveghere) și cum sunt acestea separate din punct de vedere tehnic.
• O înregistrare a cine din cadrul propriei întreprinderi este responsabil pentru acordarea și gestionarea drepturilor de acces la pasaport.
• Un prezentare generală a ce părți din lanț (furnizor, cumpărător, reciclator) au nevoie de care date, conectate la subiecte cum ar fi ponderea deșeurilor de oțel în topitură sau elementele de aliere care trebuie să fie raportate, astfel încât să fie clar ce date sunt relevante pentru ce rol.
• Un jurnal de modificări și cereri de acces, astfel încât la o inspecție să poată fi demonstrat că autoritățile de supraveghere au avut întotdeauna acces la setul complet de date.