ako zabezpečím, aby boli údaje v produktovom pase bezpečné

Prístup, pôvod a ochrana proti manipulácii sú jadrom

Bezpečnosť produktového pasu spočíva na troch veciach: len oprávnené strany môžu vidieť alebo meniť určité údaje, údaje sa dajú vysledovať až k osobám, ktoré ich poskytli, a nikto nemôže pas neskôr nenápadne zmeniť. ESPR (Nariadenie (EÚ) 2024/1781) to stanovuje ako požiadavku na systém, v ktorom pas funguje, nie ako voľné rozhodnutie strany, ktorá pas zostavuje. To znamená, že platforma, ktorá hostuje pasy, to musí mať už technicky zorganizované — obchodník s ocelou alebo spracovateľ kovu, ktorý si dá pas vytvoriť, si to nemusí budovať sám, ale je dobré vedieť, čo je garantované a čo nie.

Pre koho to platí a čo z toho vynechávame

Tieto bezpečnostné požiadavky platia pre samotný digitálny produktový pas: súbor údajov dostupný prostredníctvom QR kódu a systém, ktorý tento súbor ukladá a zobrazuje. Zaoberajú sa otázkou, kto smie údaje vidieť, kto ich smie meniť a či je pôvod zmeny jasný. Nezaujímajú ich, či je obsah pasu správny — to je otázka správnosti údajov, nie bezpečnosti. Nezaobera sa to ani fyzickým QR kódom na produkte: ako sa aplikuje a či zostane čitateľný, je popísané na stránke o tom, ako sa QR kód dostane na oceľ, a to je iná otázka ako bezpečnosť údajov za tým kódom. A tieto požiadavky sa netýkajú konkrétneho IT systému alebo produktu dodávateľa: nariadenie predpisuje funkcionalitu, nie techniku.

Dôležité je tiež rozlíšenie, ktoré údaje smie vidieť kto. Nie každý údaj v pase je určený pre každého — niektoré informácie sú pre koncového používateľa, niektoré pre trhového odborníka, niektoré len pre dohľadný orgán. Tento vrstvený prístup je súčasťou tej istej bezpečnostnej otázky, ale presné rozdelenie sa ďalej vypĺňa podľa skupiny produktov a zatiaľ nie je v podrobnostiach stanovené.

Zatiaľ žiadny pevný dátum vstupu do platnosti, ale pevný rámec

Zatiaľ neexistuje definičný dátum, kedy sa tieto bezpečnostné požiadavky na oceľ budú vzťahovať. Plán práce Európskej komisie predpokladá prvé delegované opatrenie v roku 2026, s povinnosťami nadobúdajúcimi účinnosť neskôr; keď sa toto opatrenie zverejní, dátum sa tu uvedie. Čo je už teraz jasné, je rámec samotnej ESPR: články 10 a 11 popisujú požiadavky na pas a na technický návrh, a tento text sa už nebude meniť — iba konkrétna produktová implementácia a dátum vstupu do platnosti sa ešte musia ustalviť. Dovtedy neexistuje žiadna zákonná povinnosť viesť produktový pas pre oceľ, ale požiadavky na bezpečnosť, ktoré sa budú vzťahovať, sú už čitateľné v nariadení.

Čo z toho vyplýva v praxi

Pri zavedení pasu sa bezpečnostná otázka vracia v pevnom poradí. Po prvé: kto dodáva údaje a je ten pôvod zaznamenán? Pas sa zostavuje z údajov výrobcu alebo dovozcúa a neskôr musí byť možné vysledovať, kto ktorý údaj zadal. Po druhé: kto smie pas po zverejnení ešte meniť? Nariadenie vyžaduje, že pas sa nesmie nenápadne zmeniť — zmena musí byť viditeľná alebo overiteľná, nie len ticho prepísaná. Po tretie: kto vidí ktoré údaje? Obchodník s ocelou, ktorý pas posúva klientovi, sa nemusí sám starať o prístupové práva v rámci systému — to je zodpovednosť strany, ktorá pas hostuje — ale je dobré vedieť, že nie všetky údaje musia byť verejne dostupné.

Kto chce prepojiť digitálny produktový pas na existujúci systém ERP alebo zásoby, mal by si položiť túto bezpečnostnú otázku skoro: údaje, ktoré automaticky prúdia z interného systému na verejný pas, musia ostať chránené pred neoprávnenou zmenou. Viac o tom nájdete na stránke o prepojení pasu na vlastný systémAj otázka, ako dlho musí ostať pas dostupný a nezmenený po publikácii, súvisí s týmito bezpečnostnými požiadavkami; táto téma sa spracováva osobitne na stránke o trvalom dostupnosti produktového pasu.

Pre podnikateľa, ktorý nemá vlastnú IT-odd delenie, sa to v praxi redukuje na kontrolnú otázku postaveného pasu: môže dokázať, kto aké údaje dodal, existuje zámka proti nezaznamenané zmene a je prístup k citlivým údajom oddelený od verejnej časti pasu? To nie sú právne otázky, ale praktické, a možno ich položiť bez potreby poznať samu nariadenie.

Kde sa to nachádza: článok 10 a článok 11 ESPR

Článok 10 ESPR (Nariadenie (EÚ) 2024/1781) popisuje požiadavky, ktoré musí spĺňať digitálny produktový pas, vrátane prístupu k údajom rôznymi typmi používateľov. Článok 11 sa zaoberá konkrétne technickým návrhom a fungovaním pasu a obsahuje požiadavky na sledovateľnosť, ochranu pred manipuláciou a fungovanie základného systému. Oba články spolu tvoria rámec, z ktorého vyplývajú bezpečnostné požiadavky; ďalšie technické vyplnenie nasleduje so zverejnením delegovaných aktov, ktoré sa majú ešte publikovať.

Kto chce teraz začať s produktovým pasom, mal by začať usporiadaním vlastných tokov údajov — zaznamenaním, kto aké údaje dodáva a ako sa vedú — aby sa po naplnení povinnosti a finalizácii technických detailov muselo zmeniť len málo.

Na čom je to založené

Samotné nariadenie sa nachádza na EUR-Lex. Odkazujeme podľa tvrdenia; nemusíte nám veriť.

Čo konkrétne musíte urobiť

Čo sa od vás očakáva

ESPR kladie požiadavky na produktový pas, ktoré sa netýkajú len toho, ktoré údaje v ňom sú, ale aj toho, ako sa tieto údaje spravujú a chránia. Články 10 a 11 ESPR (Nariadenie (EÚ) 2024/1781) tvoria spolu základ: článok 10 popisuje požiadavky, ktoré musí pas spĺňať, článok 11 sa zaoberá konkrétne technickým návrhom a fungovaním. Pre oceliarskú prevádzku alebo spracovávateľa kovov, ktorý toto organizuje prvýkrát, sa to delí na niekoľko praktických aspektov.

Regulácia prístupu k údajom podľa roly

Nie každý, kto si pas pozrie, potrebuje vidieť rovnaké údaje. Nákupčí v stavebnej spoločnosti potrebuje iné informácie ako dozorný orgán alebo recyklér na konci životnosti. Článok 10 ESPR vychádza z diferencovaného prístupu: niektoré údaje sú verejné, iné sú viditeľné len pre určité strany, ako napríklad tržné subjekty alebo orgány. Pre podnik s 10 až 100 zamestnancami to znamená, že pred uvedením pasu do prevádzky sa musí rozhodnúť, kto vidí jednotlivé vrstvy údajov — a že táto voľba je technicky uskutočnená, nie len na papieri.

Zabezpečenie pôvodu a správnosti údajov

Produktový pas má hodnotu len vtedy, ak sú v ňom údaje správne a sledovateľné k zdroju. To sa týka spoľahlivosti celého systému: ak nemôže odberateľ zistiť, odkiaľ údaj pochádza, pas stráca svoju funkciu. V praxi to znamená, že sa musí zaznamenať, kto aký údaj dodal — výrobca, dovozcovia alebo sprostredkovateľská strana — a kedy sa tak stalo. Pre spoločnosti, ktoré údaje samy nevpisujú, ale ich iba ďalej posúvajú, je dôležité vedieť, ako sú údaje dodané v správnom formáte, pretože nesprávne dodané údaje sa prekladajú na nespoľahlivý pas ďalej v reťazci.

Ochrana pred zmenou po publikácii

Článok 11 Nariadenia ESPR opisuje, že digitálny produktový pas musí technicky fungovať tak, aby sa údaje nemohli nepostrehnuteľne zmeniť po ich zaznamenení. Pre spracovateľa kovov, ktorý si pas nemúže hostovať sám, ale nechá si ho hostovať — napríklad cez platformu ako táto — to znamená, že voľba hostingovej spoločnosti je zároveň voľbou, ako táto spoločnosť zaznamenáva, loguje a chráni zmeny. To nie je teoretický bod: ak zákazník alebo dozorný orgán spochybní údaj z pasu, musí byť preukázateľne zrejmé, kedy bol tento údaj zaznamenný a kto ho zaznamenul.

Prepojenie s existujúcimi podnikovými systémami

Mnohé podniky si nechcú produktový pas spravovať ako izolovaný systém, ale chcú ho prepojiť s administratívou, ktorá už existuje. To je možné, ale bezpečnosť pasu nie je oddelená od bezpečnosti tohto základného systému. Kto zvažuje prepojenie pasu s vlastným systémom ERP alebo skladom, mal by zvážiť, kto má prístup k tomuto prepojeniu a či by únik v jednom systéme mal následky pre druhý.

Kde v praxi dochádza k chybám

V praxi sa stále opakuje množstvo situácií.

U podnikov, ktoré si nechávajú umiestňovať QR kód priamo na produkt, sa niekedy prehliadka, že samotný kód nezabezpečuje — otázkou je, čo sa deje za týmto kódom. Kto si položí otázku ako sa QR kód dostane na oceľ, mal by si položiť aj otázku, kto spravuje základné údaje a či je táto diferenciácia medzi nosičom a obsahom jasne zaznamenná.

Ďalšia situácia nastane, keď viacero strán v reťazci dodávajú údaje na rovnaký pas bez toho, aby bolo vopred dohodnuté, kto ktorú časť smie zmeniť. To vedie k nejasnostiam, ktorá verzia je platná, a niekedy k neúmyselnému prepísaniu správnych údajov inou stranou.

Aj v prípade malých súčiastok sa to niekedy pokazí: ak je QR kód na malom kusu ocele technicky obmedzený, niekedy sa zvolí zjednodušený odkaz alebo medzistrán — pričom sa nie vždy zvážilo, či táto medzistrán dodržiava rovnaké bezpečnostné dohody ako hlavný pas.

Štvrtá situácia: podniky, ktoré si sami vedú offline kópiu údajov pasu na použitie na miestach bez pripojenia, zabúdajú synchronizovať túto kópiu alebo ju bezpečiť rovnakým spôsobom ako online verziu. To je reálny bod, pretože nie každé pracovisko má stabilné pripojenie, a otázka, či musí pas fungovať aj offline je práve v zmysle tejto praktickej organizácie.

Nakoniec: podniky, ktoré skončia alebo odpredajú podnikovú jednotku, niekedy zabúdajú, že údaje pasu ostávajú a že prístup a správa musia byť prevedené — niečo, čo súvisí s otázkou čo sa stane s pasom, keď podnik skončí.

Čo si môžete zaznamenať

Viacero dohôd a dokumentov pomáha, aby bola bezpečnosť údajov pasu preukázateľná:

Prehľad toho, kto má akú úlohu v dodávaní a správe údajov, vrátane kontaktnej osoby za každú stranu v reťazci.
Registrácia pôvodu každého údaja: z ktorého výrobcu, dovozcov alebo medzistrany pochádza a v akom čase bol dodaný.
Dohody s hostingovou spoločnosťou o logovaní zmien, aby bolo preukázateľne jasné, kedy bol údaj zaznamenný a či bol neskôr zmenený.
Opis úrovní prístupu, ktoré boli nastavené: ktoré údaje sú verejné a ktoré sú viditeľné iba pre špecifické strany.
Ak je to vhodné, prehľad prepojenia s vlastným systémom ERP alebo skladom, v ktorom je uvedené, kto má prístup k tomuto prepojeniu.
Plán na situáciu, v ktorej podnik skončí alebo bude jednotka prevedená, aby správa a prístup k existujúcim pasom nezostali nejasnými.

Táto registrácia nie je prospešná iba voči dohľadu, ale aj prakticky: zabraňuje tomu, aby sa interné vedomosti o tom, kto čo spravuje, stratili pri zmene personálu alebo prevzatí podniku.

Toto nie je právna porada. Táto stránka poskytuje všeobecné informácie o predpisoch, na ktoré sa táto platforma zaoberá. Nepoznáme vašu situáciu. V prípade pochybností o vašom prípade sa obráťte na právnika alebo príslušný orgán dohľadu.

Napísané s AI na základe vyššie uvedených zdrojov, overené človekom 2026-09-05. Je niečo zle? Dajte nám vedieť — opravy majú prioritu.