¿Quién puede ver qué datos del pasaporte de producto?

El acceso se articula en capas, no es igual para todos

El pasaporte digital de productos funciona con diferentes niveles de acceso: no todos los usuarios ven los mismos datos. El ESPR (Reglamento (UE) 2024/1781) establece que el pasaporte indique por categoría de usuario qué datos son accesibles. Un consumidor que escanee el código QR generalmente ve información diferente a la de una autoridad de vigilancia del mercado, un servicio aduanal o una empresa posterior en la cadena que procesa el semiproducto de aluminio. Algunos datos son públicos y visibles para todos, otros están restringidos y solo son accesibles para las partes con un papel o competencia demostrable, como la vigilancia o la aplicación. Qué datos corresponden a qué capa se determinará finalmente por grupo de productos en el acto delegado que se elabore para ese grupo — en el caso de los semiproductos de aluminio, es el acto que sigue esta plataforma.

A quién le aplica esto y qué queda fuera del pasaporte

Este tema se refiere al acceso a datos incluidos en el propio pasaporte digital de productos: características técnicas, composición, origen, información sobre reutilización y reciclaje, e información sobre productos comparables tal como se determine para semiproductos de aluminio. No se refiere al acceso a documentos empresariales internos, presupuestos, contratos u otra información que un fabricante o importador mantiene por separado y que no forma parte del pasaporte. Tampoco se refiere a la cuestión de quién puede crear o modificar el pasaporte — esa es una cuestión separada de gestión y responsabilidad, independiente de quién puede consultarlo. La información confidencial empresarial que no es obligatoria en el pasaporte no tiene que ponerse visible: el reglamento distingue explícitamente entre datos accesibles para todos y datos que permanecen limitados a partes específicas, precisamente para poder proteger información empresarial confidencial.

Aún sin fecha fija, pero con un principio establecido

El principio del acceso por capas ya está en el ESPR mismo, pero la concreción exacta — qué dato corresponde a qué capa para semiproductos de aluminio — se derivará del acto delegado para este grupo de productos. Según el plan de trabajo de la Comisión Europea para 2025-2030, se espera ese acto alrededor de 2027, después del cual se aplica un período transitorio antes de que la obligación entre realmente en vigor. Esta plataforma asume por tanto que el pasaporte de producto para aluminio se hará obligatorio alrededor de 2029, pero esa fecha aún no está fija. Una vez publicado el acto delegado y la fecha indicativa dé paso a una fecha fija, se actualizará aquí. Hasta entonces, no existe obligación legal de mantener un pasaporte con acceso por capas para semiproductos de aluminio, y por lo tanto tampoco existe aún un desglose concreto de datos por grupo de usuarios establecido para este producto.

Qué significa esto para el enfoque del pasaporte

Para un fabricante o importador de productos semielaborados de aluminio, la consecuencia práctica es que la clasificación de datos en públicos y protegidos no la determina él mismo, sino que se deriva de las normas que se aplicarán al grupo de productos. Quien se oriente ahora ya hace bien en identificar qué datos sobre el producto están disponibles —composición, origen de las materias primas, contenido de reciclado, especificaciones técnicas— y cuáles de ellos podrían ser sensibles para la empresa. Ese inventario es útil tan pronto como el acto delegado aclare qué nivel se aplica a qué dato. Al compilar un pasaporte a través de esta plataforma, la clasificación en niveles de acceso se aplica automáticamente una vez que se fije; el fabricante o importador no necesita determinar por sí mismo quién puede ver qué dato, pero sí proporciona los datos subyacentes a partir de los cuales se construye ese pasaporte. Por lo tanto, es conveniente trabajar ya ahora en un inventario completo y estructurado de datos de producto, aunque la clasificación exacta de acceso aún no sea definitiva.

La base: artículos 10 y 11 de la ESPR

Que el pasaporte de producto funcione con acceso diferenciado se deriva del artículo 10 de la ESPR (Reglamento (UE) 2024/1781), que establece los requisitos generales del pasaporte de producto digital, incluido el principio de que se determine por categoría de usuario qué datos son accesibles. El artículo 11 del mismo reglamento trata del diseño técnico y el funcionamiento del pasaporte, y garantiza que este sistema de derechos de acceso diferenciados se mantenga también técnicamente —por ejemplo, mediante la forma en que se almacenan, vinculan y proporcionan los datos a través del portador de datos. Ambos artículos dejan la concreción específica por grupo de productos a posteriores actos delegados, lo que explica por qué para los productos semielaborados de aluminio aún no existe una clasificación de acceso exacta.

Quien quiera prepararse ya ahora, lo mejor es empezar por ordenar sus propios datos de producto según las líneas que la ESPR ya indica —acceso público versus posiblemente confidencial— para que esos datos estén listos tan pronto como el acto delegado para el aluminio fije la clasificación definitiva.

En qué se basa esto

El Reglamento en sí está disponible en EUR-Lex. Hacemos referencias por cada afirmación; no tiene que creernos.

Lo que debe hacer concretamente

El pasaporte digital de producto no es un libro abierto para todos los que tengan acceso a él. El ESPR establece una distinción entre datos que son visibles para cualquiera cuando escanea el código QR, y datos que solo ciertas partes pueden ver — piense en una autoridad de vigilancia, un reciclador, o el siguiente eslabón de la cadena. Para un fabricante o importador de semiproductos de aluminio, esa distinción es relevante, porque no todo lo que suministra es automáticamente público.

Lo que se espera de usted

Distinguir entre acceso público y acceso restringido

El artículo 10 del ESPR (Reglamento (UE) 2024/1781) describe que el pasaporte de producto contiene diferentes tipos de información, y que no toda la información está destinada al mismo grupo objetivo. Para una empresa de 10 a 100 empleados, esto significa que la composición del pasaporte debe clasificarse de antemano: qué datos están destinados al usuario final o a cualquier persona que escanee el código QR, y qué datos están destinados a una parte específica como una autoridad de vigilancia del mercado, una autoridad aduanal o una empresa de reciclaje más adelante en la cadena. Esa clasificación no es algo que se añada posteriormente — está ya integrada en el diseño del pasaporte.

Organizar tecnológicamente los derechos de acceso

El artículo 11 del ESPR (Reglamento (UE) 2024/1781) trata el diseño técnico y el funcionamiento del pasaporte, y de él se deduce que el acceso a ciertos datos puede vincularse al papel del usuario. Para una fundición o fabricante de perfiles, esto significa que la plataforma con la que se compone y aloja el pasaporte debe admitir una estructura de funciones: un consumidor que escanea ve algo diferente que una autoridad de vigilancia del mercado que accede con permisos, y a su vez algo diferente que el reciclador que al final de la vida útil necesita datos sobre la composición del material. Esta es una de las razones por las que es práctico encargar esto a una plataforma en lugar de crear un PDF propio con código QR: la estructura de permisos debe adaptarse a quién escanea.

Determinar qué datos considera su empresa como sensibles comerciales

Parte de los datos que llegan a un pasaporte afectan a conocimientos de producción, fórmulas de aleaciones, o relaciones con proveedores. El artículo 10 deja espacio para distinguir entre lo que se hace público y lo que permanece de acceso restringido, pero esa distinción no surge automáticamente — una empresa debe registrar por sí misma qué datos considera sensibles y por qué. Esta consideración se describe con más detalle en la pregunta ¿tengo que hacer públicos datos sensibles comerciales sobre mi aluminio, y está estrechamente vinculada a la pregunta de qué datos deben incluirse en el pasaporte en primer lugar.

Saber quién necesita qué datos, y por qué

Para una empresa de este tamaño es práctico saber de antemano qué partes solicitarán acceso en la práctica: un cliente que a su vez compone un pasaporte de producto para un producto procesado, un auditor, un reciclador, o una autoridad de vigilancia en una inspección. Esto requiere un resumen de qué datos van a qué capa del pasaporte — público, restringido, o únicamente para vigilancia — y ese resumen es diferente de la pregunta sobre qué datos deben incluirse en el contenido, como se describe en qué datos incluye el pasaporte digital de productos de aluminio.

Dónde surgen problemas en la práctica

Todo se publica por defecto como público. Una empresa proporciona todos los datos sin distinguir entre lo que debe ser público y lo que puede permanecer restringido, con el resultado de que los datos de composición sensibles de una aleación son visibles para cualquiera que escanee.

No se tiene en cuenta el papel del reciclador. Al final de la vida útil, un reciclador necesita datos diferentes a los de un consumidor al principio — por ejemplo, información detallada sobre la composición de la aleación según la designación EN-AW. Si esa información solo está disponible en una forma simplificada y pública, al reciclador le falta lo que necesita.

Los derechos de acceso no se consideran al elegir una plataforma. Una empresa elige una solución que ofrece únicamente un código QR estático con un único archivo de datos fijo, sin posibilidad de distinguir entre grupos destinatarios. Una vez que resulta que ciertos datos deben tener acceso limitado, ya no es técnicamente posible implementarlo.

No se establece distinción entre el expediente técnico y el pasaporte. Los datos destinados al uso interno o para una autoridad de control se confunden con lo que debe figurar en el pasaporte público. La diferencia entre estos dos documentos se explica en cuál es la diferencia entre mi expediente técnico y el pasaporte de producto digital.

Nadie es responsable de mantener actualizados los derechos de acceso. Un empleado que anteriormente tenía acceso a datos limitados abandona la empresa, o una nueva parte en la cadena no recibe asignado el acceso, por lo que los datos no llegan a quienes los necesitan. Esto está vinculado a la pregunta con qué frecuencia debo actualizar los datos en el pasaporte del producto, pues el acceso y la actualidad suelen ir de la mano.

Lo que puede registrar ahora

Un resumen de qué datos del pasaporte son públicamente visibles y cuáles tienen acceso limitado, con una breve justificación por cada categoría.
Una lista de las partes que se espera que necesiten acceso a datos limitados — por ejemplo, autoridades de control, clientes posteriores en la cadena, y recicladores — y qué datos son relevantes para cada una de ellas.
Un acuerdo interno sobre quién dentro de la empresa es responsable de asignar y revocar derechos de acceso, y con qué frecuencia se comprueba.
Una justificación de la decisión de clasificar ciertos datos como información confidencial de la empresa, incluida la distinción que se establece entre lo que sí y lo que no se hace público.
Una breve descripción de cómo la plataforma elegida regula técnicamente el acceso — mediante funciones, mediante inicio de sesión, o mediante capas de datos separadas — para que esto pueda demostrarse en una inspección.

Esto no es asesoramiento jurídico. Esta página ofrece información general sobre la regulación en la que se basa esta plataforma. No conocemos su situación. En caso de duda sobre su caso concreto, consulte a un abogado o a la autoridad competente de vigilancia.

Escrito con IA sobre la base de las fuentes anteriores, revisado por una persona el 2026-08-22. ¿Algo no es correcto? Comuníquenoslo — las correcciones tienen prioridad.