Kdo smí vidět která data z digitálního pasu?

Co konkrétně musíte dělat

Digitální pasport produktu není otevřenou knihou pro každého, kdo k němu má přístup. ESPR rozlišuje mezi údaji, které jsou viditelné pro všechny, jakmile někdo naskenuje QR kód, a údaji, které vidí pouze určité strany — myslí se tím například dozorčí orgán, recyklér nebo další článek v řetězci. Pro výrobce nebo dovozce hliníkových polotovarů je toto rozlišení důležité, protože ne všechno, co dodáš, je automaticky veřejné.

Co se od vás očekává

Rozlišování mezi veřejným a omezeným přístupem

Článek 10 ESPR (Nařízení (EU) 2024/1781) popisuje, že pasport produktu obsahuje různé druhy informací a že ne všechny informace jsou určeny stejné cílové skupině. Pro podnik s 10 až 100 zaměstnanci to znamená, že složení pasportu musí být rozplánováno předem: které údaje jsou určeny pro koncového uživatele nebo pro kohokoli, kdo scanu QR kód, a které údaje jsou určeny pro konkrétní stranu, jako je orgán dohledu na trhu, celní orgán nebo recyklační podnik dále v řetězci. Toto rozdělení není něco, co se přidá později — je součástí struktury pasportu od začátku.

Přístupová práva technicky zajistit

Článek 11 ESPR (Nařízení (EU) 2024/1781) pojednává o technickém návrhu a provozu pasportu a z něj vyplývá, že přístup k určitým údajům může být vázán na roli uživatele. Pro litovnu nebo výrobce profilů to znamená, že platforma, pomocí níž se pasport sestavuje a hostuje, musí podporovat strukturu rolí: spotřebitel, který scanu, vidí něco jiného než orgán dohledu na trhu, který se přihlásí s oprávněními, a ten zase vidí něco jiného než recyklér, který na konci životnosti potřebuje údaje o složení materiálu. To je jeden z důvodů, proč je praktické to přenechat platformě místo vytváření vlastního PDF s QR kódem: struktura práv se musí přizpůsobovat tomu, kdo scanu.

Určit, která data považujete za obchodně citlivá

Část údajů, které se dostanou do pasportu, se týká výrobní znalosti, receptury slitin nebo vztahů se suppliers. Článek 10 poskytuje prostor k rozlišování mezi tím, co se zveřejňuje a co zůstane s omezeným přístupem, ale toto rozlišování se neobjeví automaticky — podnik si musí sám uvědomit, která data považuje za citlivá a proč. Tato úvaha je podrobněji popsána v otázce musím zveřejňovat obchodně citlivá data o svém hliníku, a úzce souvisí s otázkou, která data by vůbec měla být v pasportu.

Vědět, kdo jaká data potřebuje a proč

Pro podnik této velikosti je praktické vědět předem, které strany v praxi budou žádat o přístup: zákazník, který sám opět sestavuje pasport produktu pro zpracovaný výrobek, auditor, recyklér nebo dozorčí orgán při kontrole. To vyžaduje přehled o tom, která data jdou na kterou vrstvu pasportu — veřejné, omezené nebo pouze pro dohled — a tento přehled se liší od otázky, která data musí být v obsahu, jak je popsáno v jaké údaje jsou v digitálním produktovém pasu hliníku.

Kde se věci v praxi pokazují

Ve výchozím nastavení se všechny údaje zveřejňují. Podnik poskytne všechny údaje bez rozlišení mezi tím, co musí být veřejné a co může být omezeno, s výsledkem, že citlivé údaje o složení slitiny jsou viditelné pro všechny, kdo scanu.

Nezohledňuje se role recyklléra. Na konci životnosti recyklér potřebuje jiná data než spotřebitel na začátku — například podrobné informace o složení slitiny podle EN-AWoznačení. Pokud jsou tyto informace dostupné pouze v zjednodušené veřejné formě, recyklér jim nemůže dostát.

Přístupová práva se nezohledňují při výběru platformy. Podnik zvolí řešení, které nabízí pouze statický QR kód s jedním pevným datovým souborem bez možnosti rozlišovat cílové skupiny. Jakmile se ukáže, že určitá data musí mít omezenou dostupnost, není to technicky možné zajistit.

Není rozlišeno mezi technickou složkou a pasem. Data určená pro interní použití nebo pro inspektora se zaměňují s tím, co musí být v pasaportu pro veřejnost. Rozdíl mezi těmito dvěma dokumenty je vysvětlen v jaký je rozdíl mezi mým technickým spisem a digitálním produktovým pasem.

Za aktuálnost přístupových práv není odpovědný nikdo. Zaměstnanec, který měl dříve přístup k omezeným datům, odchází ze společnosti, nebo nový subjekt v řetězci nezískává přístup, čímž se data nedostanou k těm, kdo je potřebují. To souvisí s otázkou jak často musím aktualizovat data v produktovém pasuneboť přístup a aktualita se často prolínají.

Co si nyní můžete zaznamenat

• Přehled toho, která data v pasu jsou veřejně viditelná a která mají omezenou dostupnost, s krátkou zdůvodněním pro každou kategorii.
• Seznam subjektů, které budou podle očekávání potřebovat přístup k omezeným datům — myslíme na inspektory, zákazníky dále v řetězci a recyklátory — a která data jsou pro každého z nich relevantní.
• Interní dohoda o tom, kdo je v rámci podniku odpovědný za přidělování a rušení přístupových práv, a jak často je to kontrolováno.
• Zdůvodnění volby určitých dat jako obchodního tajemství, včetně rozlišení, které se při tom dělá mezi tím, co se zveřejňuje a co ne.
• Krátký popis toho, jak zvolená platforma technicky upravuje přístup — prostřednictvím rolí, přihlášení nebo samostatných datových vrstev — aby to bylo možné prokázat při kontrole.