Vem får se vilka data från produktpasset?

Åtkomsten varierar mellan användargrupper, den är inte densamma för alla

Det digitala produktpasset är inte ett enda dokument som ligger öppet och identiskt för alla: ESPR gör en åtskillnad mellan uppgifter som är synliga för alla och uppgifter som endast är tillgängliga för specifika parter. Artikel 11 i ESPR (förordning (EU) 2024/1781) reglerar den tekniska funktionen hos passet och fastställer att åtkomsten till informationen i passet ordnas enligt användarens roll. En konsument som skannar QR-koden på en stålprofil med telefonen ser annan information än en marknadskontrollmyndighet som konsulterar samma pass i sin kontrollerande uppgift. Tanken bakom denna åtskillnad är att passet ska ge transparens om ett produkts ursprung, sammansättning och circularitet, utan att tvinga företag att lägga ut affärskänslig information för allmänheten.

För produktuppgifter i kedjan, inte för personuppgifter

Det som beskrivs här gäller åtkomsten till produktinformation som ingår i passet enligt ESPR: materialsammansättning, ursprung, prestanda, återvinningsinformation och liknande. Det gäller inte hanteringen av personuppgifter för individer; för det gäller andra regler, såsom GDPR, och dessa faller utanför vad artikel 10 och 11 i ESPR reglerar. Det gäller inte heller ett val för tillverkaren eller importören att själv besluta vem som får se vad: indelningen i åtkomstnivåer fastställs på EU-nivå, allmänt i ESPR och konkret per produktgrupp i de delegerade handlingar som följer per produktkategori. För järn och stål finns denna produktgruppsspecifika utarbetning ännu inte, och därför heller inte vilka uppgifter som senare kommer att vara offentliga och vilka som endast är för marknadsaktörer eller tillsynsmyndigheter. Vad som är fastslaget är principen från själva ESPR: en del av uppgifterna är för allmänheten, en annan del är förbehållen parter med en specifik roll i kedjan eller tillsynen.

Inget fast startdatum för stål ännu

Det finns inget datum när dessa åtkomstregler för järn och stål faktiskt ska träda i kraft. Enligt Europeiska kommissionens arbetsprogram för 2025-2030 förväntas den första delegerade handling som konkret implementerar ESPR år 2026, med förpliktelser som träder i kraft senare. För järn och stål har ingen delegerad handling publicerats ännu, så det finns ännu ingenting slutgiltigt om de exakta åtkomstnivåer som ska gälla för denna produktgrupp. Så snart denna handling är på plats kommer det att bearbetas här. Till dess gäller inga förpliktelser för järn och stål från ESPR att genomföra ett digitalt produktpass med differentierad åtkomst.

Vad en stålhandlare eller bearbetare kan göra med detta nu

Den som redan nu sysslar med detta ämne gör klokt i att först klargöra vilka uppgifter om en produkt som redan delas med kunder eller tillsynsmyndigheter, till exempel via befintliga certifikat, inspektionsrapporter eller leveransdokument — det ger en bild av vad som senare möjligen hamnar i den "offentliga" delen av passet. Därefter är det lämpligt att inventera vilken information som just inte är avsedd för alla, såsom exakta samanställningsdetaljer, processparametrar eller leverantörsuppgifter som betraktas som företagskänslig; det är den information som förväntas falla under en mer begränsad åtkomstnivå när reglerna för stål blir konkreta. För det tredje är det praktiskt att kontrollera vilken roll som senare uppfylls i egen kedja — tillverkare, importör, handlare, förädlare — eftersom rollen i kedjan är avgörande för vilken åtkomstnivå som gäller, inte företagets egen önskan. Slutligen: eftersom den produktgruppsspecifika utformningen för järn och stål ännu måste komma, finns det för närvarande ingen anledning att definitivt ordna system enligt en viss indelning av åtkomsträttigheter; däremot är det lämpligt att redan nu ordna egna uppgifter i vad som troligen blir offentligt och vad som troligen förblir begränsat, så att övergången senare kan göras snabbare.

Där det står: artikel 10 och 11 i ESPR

Artikel 10 i ESPR (Förordning (EU) 2024/1781) beskriver kraven på innehållet i det digitala produktpasset, inklusive arten av information som ska inkluderas. Artikel 11 i samma förordning reglerar den tekniska utformningen och driften av passet, och där är det fastslaget att åtkomsten till uppgifterna differentieras enligt användargrupp, så att inte varje användare ser samma uppgifter. Den exakta utarbetningen per produktgrupp — inklusive för järn och stål — följer av de delegerade handlingar som Kommissionen ännu måste anta på grundval av denna förordning.

Den som vill följa detta ämne gör bäst i att redan nu ordna egen produktinformation enligt vad som troligen blir offentligt och vad som troligen blir begränsat tillgängligt, och hålla utkik efter publiceringen av den delegerade handlingen för järn och stål — så snart den finns kommer indelningen här att göras konkret.

Vad detta baseras på

Själva förordningen finns på EUR-Lex. Vi hänvisar per påstående; du behöver inte tro på oss.

Vad du konkret måste göra

Vad som förväntas av dig

Produktpasset är inget dokument med en enda åtkomstnivå. ESPR utgår från lagerindelad åtkomst: vissa data är synliga för alla via QR-koden på produkten, andra endast för parter med en specifik roll i kedjan, och återigen andra endast för tillsynsmyndigheter. Artikel 10 i ESPR (förordning (EU) 2024/1781) nämner denna distinktion som ett krav för passet, och artikel 11 specificerar hur det får teknisk och organisatorisk form. För ett företag som bearbetar eller återförsäljer stål innebär detta att man måste överväga vem som vid vilken tidpunkt får se vilken del av data.

Att skilja mellan offentlig och begränsad data

En del av passetdata är för alla som skannar QR-koden: en slutanvändare, en inköpare på ett konstruktionsföretag, en inspektör på vägen. En annan del är endast avsedd för parter med rättmätig grund, såsom återvinningsföretag som behöver materialsammansättning eller certifieringsorgan. För ett medelstort metallföretag innebär detta att frågan "vad får alla se och vad inte" redan måste besvaras när passet sammanställs, inte i efterhand. Detta berör direkt frågan om affärskänslig information om stål måste göras offentlig: inte allt som finns i passet behöver vara synligt för alla.

Att koppla åtkomst till rollen i kedjan

Artikel 11 beskriver att åtkomstnivån kan bero på rollen för den part som begär data: tillverkare, importör, distributör, slutanvändare, marknadsövervakning eller avfallsbehandlare. För en stålhandel som köper in och återförsäljer halvfabrikat innebär detta att dess egen roll i kedjan avgör vilka data som är synliga och vilka som inte är det. En återförsäljare som säljer vidare material till ett konstruktionsföretag överför också en del av ansvaret: köparen måste ha tillgång till de data som är relevanta för tillämpning och bearbetning, såsom ståltyp och sammansättning.

Att se till att tillsynsmyndigheterna alltid har åtkomst

Utöver den lagerindelade åtkomsten för marknadsaktörer finns kravet att tillsynsmyndigheterna (marknadsövervakningsenheter och tull) måste ha tillgång till hela passet, även till de delar som inte är offentliga. För ett företag med 10 till 100 anställda innebär detta att det inte får finnas data i passet som förblir "dolda" för inspektioner, inte heller om de är affärskänsliga. Denna distinktion mellan icke-offentlig och icke-kontrollerbär är väsentlig: data kan vara skärmad för allmänheten, men aldrig för de myndigheter som måste kunna kontrollera att passet är korrekt.

Att se till att åtkomststrukturen fungerar tekniskt

Artikel 11 ställer krav på den tekniska utformningen: passet måste vara uppbyggt så att olika åtkomstnivåer faktiskt kan tillämpas, inte bara i teorin. För ett företag som inte har egen IT-avdelning som kan bygga detta innebär detta att valet av värdtjänstleverantör är relevant: tekniken måste säkerställa att en slutanvändare inte av misstag får tillgång till data som endast är avsedd för en återvinner, och vice versa.

Där det går fel i praktiken

Ett par situationer som ofta orsakar förvirring i praktiken:

En återförsäljare tror att passet helt måste vara offentligt och publicerar därför även data som endast var avsedd för nästa part i kedjan, såsom interna processparametrar. Detta sker ofta av försiktighet ("bättre att dela för mycket än för lite"), men utan distinktion mellan åtkomstnivåer hamnar information hos parter som inte bör eller kan använda den.

Ett annat scenario: ett företag utgår istället från att allt som inte uttryckligen är "obligatoriskt offentligt" får skärmas av för alla, inklusive tillsynsmyndigheterna. Denna distinktion mellan offentlig och icke-kontrollerbär förvirras då, med resultatet att en inspektion stannar upp eftersom inspektören inte kan komma åt underliggande data.

Det finns även situationer där en tillverkare låter en tredje part skapa passet utan att fastställa vem som får vilka åtkomsträttigheter. Om det senare uppstår en tvist om vem som har levererat eller ändrat vilka uppgifter kan det finnas ingen dokumentation av vem som hade åtkomst när.

Vidare förekommer det att ett företag likställer åtkomststrukturen för passet med den för ett inspektionscertifikat 3.1, medan det är ett annat dokument med en annan funktion och annan publik. Det leder till förvirring om vad som exakt delas med vem; hur ett inspektionscertifikat 3.1 förhåller sig till produktpasset är därför också en fråga som ofta spelar en roll vid sidan av denna.

Slutligen: ett företag sammanställer uppgifterna utan att göra skillnad mellan vad som är tekniskt känsligt (sammansättning, standard) och vad som är kommersiellt känsligt (leverantörspriser, interna specifikationer), vilket gör att det senare visar sig att konkurrenskänslig information var synlig för alla.

Vad du kan dokumentera

En översikt över vilka passiortdata som är allmänt tillgängliga och vilka som är begränsade, anpassade efter vilka data i stålproduktens produktpass måste stå.
Ett internt beslut om vilka uppgifter som betecknas som affärskänsliga, med motivering till varför, så att detta senare är spårbart.
Överenskommelser med hostingpartnern om vilka åtkomstrroller som stöds (slutanvändare, kedjepartner, tillsynsmyndighet) och hur dessa åtskils tekniskt.
En dokumentation av vem inom det egna företaget som ansvarar för att tilldela och hantera åtkomsträttigheter till passet.
En översikt över vilka parter i kedjan (leverantör, köpare, återvinnare) som behöver vilka uppgifter, kopplat till ämnen som andelen skrot i smältningen eller de legeringselement som måste rapporteras, så att det är klart vilka uppgifter som är relevanta för vilken roll.
En logg över ändringar och åtkomstbegäranden, så att det vid en kontroll kan visas att tillsynsmyndigheter alltid hade tillgång till den fullständiga datasatsen.

Detta är ingen juridisk rådgivning. Den här sidan ger allmän information om regelverket som denna plattform handlar om. Vi känner inte till din situation. Om du är osäker på ditt eget fall rådfrågar du en jurist eller den behöriga tillsynsmyndigheten.

Skriven med AI baserat på källorna ovan, kontrollerad av en människa den 2026-08-22. Stämmer något inte? Låt oss veta — rättelser får prioritet.