Hvem må se hvilke data fra produktpasset?

Adgang er gradvist, ikke ens for alle

Det digitale produktpas fungerer med forskellige adgangsniveauer: ikke alle brugere ser de samme data. ESPR (Forordning (EU) 2024/1781) fastslår, at passet pr. brugergruppe skal angive, hvilke data der er tilgængelige. En forbruger, der scanner QR-koden, får som regel andre oplysninger end en markedstilsynsmyndighed, en toldtjeneste eller en virksomhed senere i værdikæden, der behandler aluminiumproduktet. Nogle data er offentlige og synlige for alle, andre er beskyttet og kun tilgængelige for parter med en påvisbelig rolle eller beføjelse, såsom tilsyn eller håndhævelse. Hvilke data der falder ind under hvilken lag, bestemmes i sidste ende pr. produktgruppe i den delegerede retsakt, der udarbejdes for den pågældende gruppe — for aluminiumsprodukter er det den retsakt, som denne platform følger.

For hvem dette gælder og hvad der falder uden for passet

Dette emne handler om adgangen til data, som er indeholdt i selve det digitale produktpas: tekniske karakteristika, sammensætning, oprindelse, genbrug- og genbrugsinformationer og lignende produktdata, som faststilles for aluminiumsprodukter. Det handler ikke om adgangen til interne virksomhedsdokumenter, pristilbud, kontrakter eller andre oplysninger, som en producent eller importør gemmer separat, og som ikke er en del af passet. Det handler heller ikke om spørgsmålet om, hvem der må oprette eller ændre passet — det er en særskilt sag om forvaltning og ansvar, adskilt fra spørgsmålet om, hvem der må indsé det. Forretningsfølsomt information, som ikke skal være i passet, skal heller ikke gøres synlig: forordningen skelner udtrykkeligt mellem data, som er tilgængelige for alle, og data, som forbliver begrænset til bestemte parter, netop for at kunne beskytte fortrolig virksomhedsinformation.

Ingen fast dato endnu, men et fastslået princip

Princippet om gradvis adgang er allerede indeholdt i selve ESPR, men den præcise udformning — hvilken data der falder ind under hvilket lag for aluminiumsprodukter — følger først af den delegerede retsakt for denne produktgruppe. Ifølge Kommissionens arbejdsplan for 2025-2030 forventes denne retsakt omkring 2027, hvorefter der gælder en overgangsperiode, før forpligtelsen træder i kraft. Denne platform går derfor foreløbigt ud fra, at produktpasset for aluminium bliver obligatorisk omkring 2029, men denne dato er endnu ikke fastsat. Så snart den delegerede retsakt er offentliggjort, og den vejledende dato erstattes af en fast dato, opdateres det her. Indtil da gælder der ingen lovpligtig forpligtelse til at føre et pas med gradvis adgang for aluminiumsprodukter, og der er således heller ikke fastslået nogen konkret opdeling af data pr. brugergruppe for dette produkt endnu.

Hvad dette betyder for tilgangen til passet

For a manufacturer or importer of aluminium semi-finished products, the practical consequence is that the classification of data into public and restricted is not determined by themselves, but follows from the rules that will apply to the product group. Those who orient themselves now would be well advised to map out which data about the product are available — composition, source of raw materials, recycling content, technical specifications — and which of these may be commercially sensitive. That overview is useful once the delegated act clarifies which layer applies to which data. When compiling a passport via this platform, the classification into access levels is automatically applied once it is established; the manufacturer or importer does not then have to determine themselves who may see which data, but does provide the underlying data from which that passport is built. It is therefore worthwhile to work now on a complete and structured overview of product data, even though the exact access classification is not yet final.

The basis: Article 10 and 11 of the ESPR

The fact that the product passport works with differentiated access follows from Article 10 of the ESPR (Regulation (EU) 2024/1781), which sets out the general requirements for the digital product passport, including the principle that per user category it is determined which data are accessible. Article 11 of the same regulation concerns the technical design and operation of the passport, and ensures that this system of differentiated access rights is also technically maintained — for example through the way data are stored, linked and made available via the data carrier. Both articles leave the concrete implementation per product group to later delegated acts, which explains why for aluminium semi-finished products no exact access classification yet exists.

Those who want to prepare now can best start by organizing their own product data along the lines that the ESPR already indicates — publicly accessible versus possibly confidential — so that those data are ready once the delegated act for aluminium establishes the final classification.

Hvad dette er baseret på

Selve forordningen finder du på EUR-Lex. Vi henviser pr. påstand; du behøver ikke at tro os.

Hvad du konkret skal gøre

Det digitale produktpas er ikke en åben bog for alle, der har adgang til det. ESPR skaber en forskel mellem data, der er synlige for alle, når nogen scanner QR-koden, og data, der kun er tilgængelige for bestemte parter — tænk på en tilsynsmyndighed, en genanvender eller det næste led i værdikæden. For en fabrikant eller importør af aluminiumhalvfabrikata er denne forskel relevant, fordi ikke alt, hvad du leverer, er automatisk offentligt.

Hvad der forventes af dig

Skelne mellem offentlig og begrænset adgang

Artikel 10 i ESPR (Forordning (EU) 2024/1781) beskriver, at produktpasset indeholder forskellige slags oplysninger, og at ikke alle oplysninger er beregnet til samme målgruppe. For en virksomhed med 10 til 100 medarbejdere betyder det, at passets sammensætning skal inddeles på forhånd: hvilke data er beregnet til slutbrugeren eller en vilkårlig scanner af QR-koden, og hvilke data er beregnet til en specifik part som en markedstilsynsmyndighed, en toldmyndighed eller en genanvendingsvirksomhed længere nede i værdikæden. Denne inddeling er ikke noget, der tilføjes efterfølgende — det er allerede en del af passets design.

Etablere adgangsrettigheder teknisk

Artikel 11 i ESPR (Forordning (EU) 2024/1781) handler om det tekniske design og driften af passet, og heraf følger, at adgang til bestemte data kan bindes til brugerens rolle. For en støberi eller profilfabrikant betyder det, at den platform, hvormed passet samles og hostes, skal understøtte en rollestruktur: en forbruger, der scanner, ser noget anderledes end en markedstilsynsmyndighed, der logger ind med beføjelser, og som igen ser noget anderledes end genanvenderen, der ved slutningen af levetiden har behov for data om materialsamensætning. Dette er en af grundene til, at det er praktisk at overlade dette til en platform i stedet for at bygge ens eget PDF med QR-kode: rettighedsstrukturen skal følge med, hvem der scanner.

Afgøre, hvilke data du som virksomhed betragter som følsomme

En del af de data, der kommer ind i et pas, vedrører produktionsviden, legeringsreceptur eller leverandørrelationer. Artikel 10 giver mulighed for at skelne mellem, hvad der offentliggøres, og hvad der forbliver med begrænset adgang, men denne skelnen opstår ikke automatisk — en virksomhed skal selv fastlægge, hvilke data den betragter som følsomme, og hvorfor. Denne afvejning er beskrevet mere omfattende i spørgsmålet skal jeg offentliggøre følsomme forretningsdata om mit aluminium, og er tæt forbundet med spørgsmålet om, hvilke data der overhovedet skal være i passet.

Vide, hvem der har brug for hvilke data, og hvorfor

For en virksomhed af denne størrelse er det praktisk at vide på forhånd, hvilke parter der i praksis vil anmode om adgang: en kunde, der selv samler et produktpas for et forarbejdet produkt, en revisor, en genanvender eller en tilsynsmyndighed under en inspektion. Det kræver et overblik over, hvilke data der går til hvilket lag i passet — offentligt, begrænset eller udelukkende til tilsyn — og dette overblik er noget andet end spørgsmålet om, hvilke data der substantielt skal være der, som beskrevet under hvilke data kommer der i produktpasset for aluminium.

Hvor det går galt i praksis

Alt sættes som standard offentligt til skue. En virksomhed leverer alle data uden at skelne mellem, hvad der skal være offentligt, og hvad der kan forblive begrænset, med det resultat, at følsomme samensætningsdata for en legering er synlige for alle, der scanner.

Der tages ikke hensyn til genanvenderens rolle. Ved slutningen af levetiden har en genanvender behov for andre data end en forbruger ved begyndelsen — for eksempel detaljerede oplysninger om legeringssamensætning i henhold til EN-AW-betegnelsen. Hvis disse oplysninger kun er tilgængelige i en offentlig, forenklet form, mangler genanvenderen det, han har behov for.

Adgangsrettigheder tages ikke i betragtning ved valg af platform. En virksomhed vælger en løsning, der kun tilbyder en statisk QR-kode med én fast datafil, uden mulighed for at skelne mellem målgrupper. Så snart det bliver klart, at visse data skal have begrænset adgang, er det teknisk ikke muligt at implementere.

Der skelnes ikke mellem det tekniske dossier og passet. Data, der er beregnet til internt brug eller til en tilsynsmyndighed, forveksles med det, der skal fremgå af det offentlige pas. Forskellen mellem disse to dokumenter er forklaret under hvad er forskellen mellem min tekniske dokumentation og det digitale produktpas.

Ingen er ansvarlig for at holde adgangsrettigheder opdateret. En medarbejder, der tidligere havde adgang til begrænsede data, forlader virksomheden, eller en ny part i værdikæden får ikke adgang tildelt, hvorved data ikke når frem til den, der skal bruge dem. Dette hænger sammen med spørgsmålet hvor ofte skal jeg opdatere dataene i produktpasset, for adgang og aktualitet går ofte hånd i hånd.

Det, du kan dokumentere

Et overblik over, hvilke data i passet der er offentligt synlige, og hvilke der er begrænset tilgængelige, med en kort begrundelse pr. kategori.
En liste over parter, der efter forventning har brug for adgang til begrænsede data — såsom tilsynsmyndigheder, kunder længere nede i værdikæden og genbrugere — og hvilke data der er relevante for hver af dem.
En intern aftale om, hvem inden for virksomheden der er ansvarlig for at tildele og tilbagekalde adgangsrettigheder, og hvor ofte det kontrolleres.
En begrundelse for valget om at klassificere visse data som forretningsfølsomme, herunder det skel, der foretages mellem det, der gøres offentligt, og det, der ikke gøres.
En kort beskrivelse af, hvordan den valgte platform teknisk regulerer adgang — via roller, via login eller via separate datalayers — således at dette kan demonstreres under en kontrol.

Dette er ikke juridisk rådgivning. Denne side giver generel information om den lovgivning, som denne platform handler om. Vi kender ikke din situation. Ved tvivl om dit eget tilfælde bør du rådfølge en jurist eller den relevante tilsynsmyndighed.

Skrevet med AI ud fra kilderne ovenfor, kontrolleret af menneske den 2026-08-22. Stemmer der noget ikke? Lad mig det vide — rettelser får prioritet.