Kto może przeglądać dane z cyfrowego paszportu produktu?

Dostęp przybiera formę warstw, nie taki sam dla wszystkich

Cyfrowy paszport produktu działa z różnymi poziomami dostępu: nie każdy użytkownik widzi te same dane. Rozporządzenie (UE) 2024/1781 (ESPR) określa, że paszport wskazuje dla każdej kategorii użytkownika, które dane są dostępne. Konsument skanujący kod QR, otrzymuje zwykle inne informacje niż organ nadzoru rynku, służba celna lub przedsiębiorstwo dalej w łańcuchu, które przetwarza półwyrób aluminiowy. Niektóre dane są publiczne i widoczne dla wszystkich, inne są chronione i dostępne tylko dla stron z wykazaną rolą lub uprawnieniami, takimi jak nadzór lub egzekucja. Które dane przypadają do której warstwy, jest ostatecznie określane dla każdej grupy produktów w akcie delegowanym opracowywanym dla tej grupy — dla półwyrobów aluminiowych jest to akt, który śledzi niniejsza platforma.

Dla kogo to ma zastosowanie i co pozostaje poza pasportem

Ten temat dotyczy dostępu do danych zawartych w samym cyfrowym paszporcie produktu: właściwości techniczne, skład, pochodzenie, informacje o ponownym użyciu i recyklingu oraz podobne dane produktu, takie jak te określone dla półwyrobów aluminiowych. Nie dotyczy dostępu do wewnętrznych dokumentów przedsiębiorstwa, ofert, umów lub innych informacji, które producent lub importer przechowuje osobno i które nie stanowią części paszportu. Nie dotyczy również kwestii, kto może utworzyć lub zmienić paszport — to odrębna kwestia zarządzania i odpowiedzialności, oddzielona od kwestii, kto może go przeglądać. Informacje wrażliwe dla biznesu, które nie muszą być obowiązkowo zawarte w paszporcie, nie muszą być ujawniane: rozporządzenie wyraźnie rozróżnia między danymi dostępnymi dla wszystkich a danymi ograniczonymi do określonych stron, właśnie aby móc chronić poufne informacje biznesowe.

Jeszcze nie ma ustalonej daty, ale zasada jest ustalona

Zasada dostępu warstwowego jest już zawarta w samej ESPR, ale dokładne określenie — które dane przypadają do której warstwy dla półwyrobów aluminiowych — wynika dopiero z aktu delegowanego dla tej grupy produktów. Zgodnie z planem działania Komisji Europejskiej na lata 2025-2030, akt ten spodziewany jest około 2027 roku, po czym obowiązuje okres przejściowy, zanim wymóg faktycznie wejdzie w życie. Platforma ta zakłada zatem na razie, że paszport produktu dla aluminium będzie obowiązkowy około 2029 roku, ale ta data nie jest jeszcze ustalona. Gdy tylko akt delegowany zostanie opublikowany i data orientacyjna ustąpi miejsca dacie stałej, zostanie to tutaj zaktualizowane. Do tego czasu nie obowiązuje żaden wymóg ustawowy do prowadzenia paszportu z dostępem warstwowym dla półwyrobów aluminiowych, a zatem nie jest jeszcze ustalony konkretny podział danych dla grupy użytkowników tego produktu.

Co to oznacza dla podejścia do paszportu

Dla producenta lub importera półfabrykatów aluminiowych praktyczną konsekwencją jest to, że podział danych na publicznie dostępne i chronione nie jest określany samodzielnie, ale wynika z zasad mających zastosowanie do grupy produktów. Ci, którzy chcą się już teraz orientować, powinni sporządzić mapę dostępnych danych dotyczących produktu — składu, pochodzenia surowców, zawartości materiałów wtórnych, specyfikacji technicznych — oraz określić, które z nich mogą być wrażliwe dla biznesu. Ten przegląd będzie przydatny, gdy rozporządzenie delegowane wyjaśni, które warstwy dotyczą których danych. Przy tworzeniu paszportu za pośrednictwem tej platformy podział na poziomy dostępu jest automatycznie stosowany, gdy tylko zostanie ustalony; producent lub importer nie musi wówczas samodzielnie decydować, kto widzi które dane, ale dostarcza dane bazowe, z których powstaje ten paszport. Dlatego warto już teraz pracować nad pełnym i ustrukturyzowanym przeglądem danych produktu, nawet jeśli dokładny podział dostępu nie jest jeszcze ostateczny.

Podstawa: artykuł 10 i 11 ESPR

Fakt, że cyfrowy paszport produktu działa z zróżnicowanym dostępem, wynika z artykułu 10 ESPR (Rozporządzenie (UE) 2024/1781), który określa ogólne wymagania dotyczące cyfrowego paszportu produktu, w tym zasadę, że dla każdej kategorii użytkownika określa się, które dane są dostępne. Artykuł 11 tego samego rozporządzenia dotyczy projektu technicznego i funkcjonowania paszportu oraz zapewnia, że ten system zróżnicowanych praw dostępu jest również utrzymywany technicznie — na przykład poprzez sposób, w jaki dane są przechowywane, powiązane i udostępniane za pośrednictwem nośnika danych. Oba artykuły pozostawiają konkretne wypełnienie dla każdej grupy produktów późniejszym rozporządzeniom delegowanym, co wyjaśnia, dlaczego dla półfabrykatów aluminiowych nie istnieje jeszcze dokładny podział dostępu.

Ci, którzy chcą już teraz przygotować się, powinni zacząć od uporządkowania własnych danych produktu zgodnie z liniami, które wskazuje już ESPR — dostęp publiczny w stosunku do potencjalnie poufnego — aby dane były gotowe, gdy rozporządzenie delegowane dotyczące aluminium ustali definitywny podział.

Na czym to jest oparte

Samo rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam ufać.

Co konkretnie musisz zrobić

Cyfrowe karty produktu nie są otwartą książką dla każdego, kto ma do nich dostęp. Rozporządzenie ESPR rozróżnia między danymi, które są widoczne dla każdego, gdy ktoś zeskanuje kod QR, a danymi, które widzą tylko określone strony — na przykład organ nadzoru, recykler lub następny uczestnik w łańcuchu. Dla producenta lub importera półfabrykatów aluminiowych to rozróżnienie jest istotne, ponieważ nie wszystko, co dostarczasz, jest automatycznie publiczne.

Co się od ciebie oczekuje

Rozróżnianie między dostępem publicznym a ograniczonym

Artykuł 10 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) opisuje, że karta produktu zawiera różne rodzaje informacji, i że nie wszystkie informacje są przeznaczone dla tej samej grupy docelowej. Dla przedsiębiorstwa zatrudniającego od 10 do 100 pracowników oznacza to, że skład karty musi być wcześniej podzielony: które dane są przeznaczone dla użytkownika końcowego lub przypadkowego skanującego kod QR, a które są przeznaczone dla określonej strony, takiej jak organ nadzoru rynku, instytucja celna lub przedsiębiorstwo recyclingowe w dalszej części łańcucha. Ta klasyfikacja nie jest czymś, co dodaje się retrospektywnie — jest już wbudowana w strukturę karty.

Techniczne skonfigurowanie praw dostępu

Artykuł 11 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) dotyczy projektowania technicznego i funkcjonowania karty, z czego wynika, że dostęp do określonych danych można powiązać z rolą użytkownika. Dla odlewni lub producenta profili oznacza to, że platforma używana do opracowania i hostowania karty musi wspierać strukturę ról: konsument skanujący widzi coś innego niż organ nadzoru rynku logujący się z uprawnieniami, a ten znowu coś innego niż recykler, który na koniec okresu użytkowania potrzebuje danych o składzie materiału. To jeden z powodów, dla których praktyczne jest powierzenie tego platformie zamiast budowania własnego pliku PDF z kodem QR: struktura uprawnień musi być dostosowana do tego, kto skanuje.

Określenie, które dane uważasz za wrażliwe dla firmy

Część danych, które trafiają do karty, dotyczy wiedzy produkcyjnej, receptury stopów lub relacji z dostawcami. Artykuł 10 daje miejsce na rozróżnienie między tym, co ujawniania się publicznie, a tym, co pozostaje o ograniczonym dostępie, ale to rozróżnienie nie powstaje automatycznie — przedsiębiorstwo musi samo określić, które dane uważa za wrażliwe i dlaczego. Ta ocena jest opisana bardziej szczegółowo w pytaniu czy muszę ujawnić publicznie wrażliwe dla biznesu dane na temat mojego aluminium, i jest ściśle powiązana z pytaniem, które dane w ogóle powinny być w karcie.

Wiedza o tym, kto potrzebuje jakich danych i dlaczego

Dla przedsiębiorstwa tej wielkości praktyczne jest wcześniejsze poznanie, które strony w praktyce będą prosić o dostęp: klient, który sam opracowuje kartę produktu dla produktu przetworzanego, audytor, recykler lub organ nadzoru podczas kontroli. To wymaga przeglądu, które dane trafiają do której warstwy karty — publiczna, ograniczona, czy wyłącznie dla nadzoru — i ten przegląd to coś innego niż pytanie, które dane powinny być tam zawarte z merytorycznego punktu widzenia, jak opisano w które dane znajdują się na cyfrowej karcie produktu aluminium.

Gdzie w praktyce się nie udaje

Wszystko jest domyślnie ustawiane jako publiczne. Przedsiębiorstwo dostarcza wszystkie dane bez rozróżniania między tym, co powinno być publiczne, a co może pozostać ograniczone, w wyniku czego wrażliwe dane dotyczące składu stopu są widoczne dla każdego, kto skanuje.

Nie bierze się pod uwagę roli recyklera. Na koniec okresu użytkowania recykler potrzebuje innych danych niż konsument na początku — na przykład szczegółowe informacje o składzie stopu zgodnie z oznaczeniem EN-AW. Jeśli ta informacja jest dostępna tylko w uproszczonej, publicznej formie, recykler nie ma dostępu do niezbędnych mu danych.

Prawa dostępu nie są brane pod uwagę przy wyborze platformy. Przedsiębiorstwo wybiera rozwiązanie, które oferuje tylko statyczny kod QR z jednym stałym plikiem danych, bez możliwości rozróżnienia między grupami docelowymi. Gdy okaże się, że dostęp do określonych danych musi być ograniczony, nie można tego już technicznie wdrożyć.

Nie jest rozróżniany plik techniczny i paszport. Dane przeznaczone do użytku wewnętrznego lub dla organu nadzoru są mylone z tym, co powinno znaleźć się w publicznym paszporcie. Różnica między tymi dwoma dokumentami jest wyjaśniona w jaka jest różnica między moim plikiem technicznym a cyfrowym paszportem produktu.

Nikt nie odpowiada za utrzymywanie aktualności praw dostępu. Pracownik, który wcześniej miał dostęp do ograniczonych danych, opuszcza przedsiębiorstwo, lub nowa strona w łańcuchu nie otrzymuje przypisanego dostępu, przez co dane nie docierają do osób, które ich potrzebują. Jest to powiązane z pytaniem jak często muszę aktualizować dane w paszporcie produktu, ponieważ dostęp i aktualność często idą w parze.

Co można dokumentować

Przegląd tego, które dane w paszporcie są widoczne publicznie, a które są dostępne w ograniczonym zakresie, wraz z krótkim uzasadnieniem dla każdej kategorii.
Listę stron, które prawidłowo będą wymagać dostępu do ograniczonych danych — takich jak organy nadzoru, klienci dalej w łańcuchu i recyklerzy — oraz których danych dla każdej z nich są istotne.
Wewnętrzne porozumienie dotyczące tego, kto w przedsiębiorstwie odpowiada za przydzielanie i odbieranie praw dostępu oraz jak często jest to sprawdzane.
Uzasadnienie wyboru oznaczenia określonych danych jako poufnych dla przedsiębiorstwa, w tym rozróżnienie między tym, co jest oraz nie jest ujawniane publicznie.
Krótki opis tego, jak wybrana platforma technicznie reguluje dostęp — poprzez role, poprzez logowanie lub poprzez oddzielne warstwy danych — aby można to było wykazać podczas kontroli.

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy twojej sytuacji. W razie wątpliwości dotyczących twojego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzone przez człowieka 2026-08-22. Coś nie gra? Powiadom nas — korekty mają pierwszeństwo.