hur ser jag till att uppgifterna i produktpasset är säkra

Vad du konkret måste göra

Vad som förväntas av dig

ESPR ställer krav på produktpasset som inte bara handlar om vilka data som ingår, utan också om hur dessa data hanteras och skyddas. Artikel 10 och artikel 11 i ESPR (förordning (EU) 2024/1781) utgör tillsammans grunden härför: artikel 10 beskriver kraven som passet måste uppfylla, artikel 11 handlar specifikt om den tekniska utformningen och funktionen. För en stålhandel eller metallförädlare som organiserar detta för första gången faller detta isär i ett antal praktiska övervägandefaktorer.

Reglera åtkomsten till data enligt roll

Inte alla som konsulterar passet behöver se samma data. En inköpare på ett konstruktionsföretag behöver annan information än en tillsynsmyndighet eller en återvinningsverksamhet vid slutet av produktens livslängd. Artikel 10 i ESPR förutsätter differentierad åtkomst: vissa data är offentliga, andra är bara synliga för vissa parter som marknadsaktörer eller myndigheter. För ett företag på 10 till 100 anställda betyder detta att innan passet går live måste ett val ha gjorts om vem som får se vilken datalager — och att detta val också tekniskt har genomförts, inte bara på papperet.

Säkerställ ursprunget och riktigheten hos data

Ett produktpass är endast värdefullt om data är korrekt och kan spåras till källan. Det påverkar tillförlitligheten i hela systemet: om en mottagare inte kan ta reda på var en datapunkt kommer ifrån förlorar passet sin funktion. I praktiken betyder detta att det måste dokumenteras vem som har tillhandahållit vilka data — tillverkaren, importören eller en mellanpart — och när detta skedde. För företag som inte själva matar in data utan skickar vidare det är det viktigt att veta hur data tillhandahölls i rätt format, eftersom en felaktig tillhandahållande senare i kedjan resulterar i ett opålitligt pass.

Skydd mot ändring efter publicering

Artikel 11 i ESPR beskriver att den digitala produktpasset måste fungera tekniskt så att data inte kan ändras obemärkt efter att de har registrerats. För en metallbearbetare som inte själv är värd för passet utan låter en värdleverantör vara värd — som via en plattform som denna — betyder detta att valet av värdleverantör också är ett val om hur denna part registrerar, loggar och säkrar ändringar. Detta är ingen teoretisk punkt: om en kund eller tillsynsmyndighet bestrider en uppgift från passet måste det gå att visa när denna uppgift registrerades och av vem.

Koppling till befintliga företagssystem

Många företag vill inte hantera produktpasset som ett isolerat system utan vill koppla det till den administrationsystem som redan finns. Det är möjligt, men säkerheten för passet är då inte oberoende av säkerheten för det underliggande systemet. Den som överväger att koppla passet till sitt eget ERP- eller lagersystemgör bra i att se till vem som har åtkomst till denna koppling och om ett läckage i det ena systemet får följder för det andra.

Där det går fel i praktiken

Ett antal situationer återkommer ofta i praktiken.

För företag som låter QR-koden anbringas på själva produkten glöms det ibland att koden i sig inte erbjuder säkerhet — frågan är vad som händer bakom denna kod. Den som frågar sig hur QR-koden hamnar på ståletmåste också fråga sig vem som hanterar underliggande data och om denna uppdelning mellan bärare och innehål är tydligt dokumenterad.

En annan situation uppstår när flera parter i värdekedjan tillhandahåller uppgifter för samma pass utan att det i förväg är avtalat vem som får ändra vilken del. Det leder till förvirring om vilken version som är giltig och ibland till att korrekta uppgifter av misstag skrivs över av en annan part.

Även med små komponenter går det ibland fel: om en QR-kod på ett litet stål -stycke är tekniskt begränsat väljs ibland en förenklad länk eller en mellansida — utan att man alltid har funderat på om denna mellansteg följer samma säkerhetsbeslut som huvudpasset.

En fjärde situation: företag som själva håller en offline-kopia av passuppgifter för användning på platser utan anslutning glömmer att synkronisera eller säkra denna kopia på samma sätt som onlineversionen. Det är en verklig punkt, för inte alla arbetsplatser har en stabil anslutning och frågan om passet också måste fungera offline är just relevant för denna typ av praktisk utformning.

Slutligen: företag som upphör eller avyttrar en affärsenhet glömmer ibland att passuppgifterna finns kvar och att åtkomst och hantering av dessa måste överföras — något som relaterar till frågan vad som händer med passet när företaget upphör.

Vad du kan dokumentera

Ett antal avtal och dokument hjälper till att göra säkerheten för passuppgifter påvisbar:

• En översikt över vem som har vilken roll vid tillhandahållandet och hanteringen av uppgifter, inklusive kontaktperson per part i värdekedjan.
• En registrering av ursprunget för varje uppgift: från vilken tillverkare, importör eller mellanpart den kommer från och vid vilken tidpunkt den tillhandahölls.
• Avtal med värdleverantören om loggning av ändringar, så att det går att visa när en uppgift registrerades och om den senare ändrades.
• En beskrivning av de åtkomstnivåer som är inställda: vilka uppgifter som är offentliga och vilka som endast är synliga för specifika parter.
• Om tillämpligt, en översikt över kopplingen till sitt eget ERP- eller lagersystem, med angivelse av vem som har åtkomst till denna koppling.
• En plan för situationen då företaget upphör eller en enhet överförs, så att hantering och åtkomst till befintliga pass inte blir svävande.

Denna dokumentering är inte bara användbar gentemot tillsyn utan även praktisk: den förhindrar att intern kunskap om vem som hanterar vad går förlorad vid personalbyten eller företagsövertagande.