Vem får se vilka data från produktpasset?

Åtkomst upphör i skikt, inte lika för alla

Det digitala produktpasset fungerar med olika åtkomstnivåer: inte varje användare ser samma data. ESPR (förordning (EU) 2024/1781) fastställer att passet per användarkategori anger vilka data som är tillgängliga. En konsument som skannar QR-koden får vanligtvis annan information än en marknadstillsynsmyndighet, en tulltjänst eller ett företag senare i kedjan som bearbetar aluminiumhalvfabrikatet. Vissa data är offentliga och synliga för alla, andra är avskärmade och endast tillgängliga för parter med en påvisbar roll eller behörighet, såsom tillsyn eller verkställighet. Vilka data som faller in i vilken skikt bestäms slutligen per produktgrupp i den delegerade handlingen som upprättas för den gruppen — för aluminiumhalvfabrikat är det den handling som denna plattform följer.

För vem detta gäller och vad som ligger utanför passet

Det här ämnet handlar om åtkomst till data som ingår i själva det digitala produktpasset: tekniska egenskaper, sammansättning, ursprung, återanvänd- och återvinningsinformation, och motsvarande produktdata sådan den fastställs för aluminiumhalvfabrikat. Det handlar inte om åtkomst till interna företagsdokument, offerter, kontrakt eller annan information som en tillverkare eller importör förvarar separat och som inte utgör del av passet. Det handlar inte heller om frågan om vem som får skapa eller ändra passet — det är en separat fråga om förvaltning och ansvar, skild från vem som får se det. Företagskänslig information som inte måste ingå i passet behöver inte göras synlig: förordningen skiljer uttryckligen mellan data som är tillgänglig för alla och data som förblir begränsad till specifika parter, just för att kunna skydda konfidentiell företagsinformation.

Ingen fast datum ännu, men en fastslagens princip

Principen om skiktad åtkomst finns redan i ESPR själv, men den exakta utformningen — vilken data som faller in i vilket skikt för aluminiumhalvfabrikat — följer först ur den delegerade handlingen för denna produktgrupp. Den handlingen förväntas enligt Europeiska kommissionens arbetsplan för 2025-2030 omkring 2027, varefter en övergångsperiod gäller innan förpliktelsen faktiskt träder i kraft. Denna plattform utgår därför preliminärt från att produktpasset för aluminium blir obligatoriskt omkring 2029, men det datumet är ännu inte fastslaget. Så snart den delegerade handlingen har publicerats och det preliminära datumet ersätts av ett fastslaget datum, uppdateras det här. Till dess gäller ingen lagstiftningsförpliktelse att föra ett pass med skiktad åtkomst för aluminiumhalvfabrikat, och därför har det ännu inte fastställts någon konkret uppdelning av data per användargrupp för denna produkt.

Vad detta betyder för strategi kring passet

För en tillverkare eller importör av aluminiumhalvfabrikat är den praktiska följden att indelningen av data i offentlig och skärmad inte bestäms själv, utan följer av de regler som kommer att gälla för produktgruppen. Den som orienterar sig redan nu gör klokt i att kartlägga vilka data om produkten som är tillgängliga — sammansättning, råvarornas ursprung, återvinningsgrad, tekniska specifikationer — och vilka av dessa som eventuellt är affärskänslig. Denna överblick är användbar när den delegerade handlingen klargör vilken nivå som gäller för vilken data. Vid sammanställningen av ett paspoort via denna plattform tillämpas indelningen i åtkomstnivåer automatiskt när den är fastställd; tillverkaren eller importören behöver då själv inte avgöra vem som får se vilken data, men tillhandahåller dock de underliggande data från vilka detta passoport byggs upp. Det är därför meningsfullt att redan nu arbeta med en fullständig och strukturerad överblick över produktdata, även om den exakta åtkomstindelningen ännu inte är definitiv.

Grunderna: artikel 10 och 11 i ESPR

Att produktpasset fungerar med differentierad åtkomst följer av artikel 10 i ESPR (Förordning (EU) 2024/1781), som fastställer allmänna krav för det digitala produktpasset, inklusive principen att det för varje användarkategori bestäms vilka data som är tillgängliga. Artikel 11 i samma förordning behandlar det tekniska utförandet och funktionen av passet och säkerställer att detta system med differentierad åtkomsträttighet också upprätthålls tekniskt — till exempel genom hur data lagras, kopplas och görs tillgänglig via datahållaren. Båda artiklarna överlåter den konkreta utformningen per produktgrupp till senare delegerade handlingar, vilket förklarar varför det för aluminiumhalvfabrikat ännu inte finns någon exakt åtkomstindelning.

Den som redan nu vill förebygga kan bäst börja med att ordna sina egna produktdata enligt de linjer som ESPR redan anger — offentligt tillgängligt kontra eventuellt konfidentiellt — så att dessa data är klara när den delegerade handlingen för aluminium fastställer den slutgiltiga indelningen.

Vad detta baseras på

Själva förordningen finns på EUR-Lex. Vi hänvisar per påstående; du behöver inte tro på oss.

Det konkreta du måste göra

Den digitala produktpasset är inte en öppen bok för alla som har tillgång till det. ESPR gör en skillnad mellan data som är synlig för alla när någon skannar QR-koden och data som bara vissa parter får se — tänk på en tillsynsmyndighet, en återvinnare eller nästa led i kedjan. För en tillverkare eller importör av aluminiumhalvfabrikat är denna skillnad relevant, eftersom inte allt du levererar automatiskt är offentligt.

Vad som förväntas av dig

Göra skillnad mellan offentlig och begränsad åtkomst

Artikel 10 i ESPR (Förordning (EU) 2024/1781) beskriver att produktpasset innehåller olika slags information och att inte all information är avsedd för samma målgrupp. För ett företag med 10 till 100 anställda betyder detta att passens sammansättning måste planeras i förväg: vilken data är avsedd för slutanvändaren eller en godtycklig skannare av QR-koden, och vilken data är avsedd för en specifik part såsom en marknadstillsynsmyndighet, en tullmyndighet eller ett återvinningsföretag längre ned i kedjan. Denna indelning är inte något som läggs till senare — den ingår redan i passens struktur.

Ställa in åtkomsträttigheter tekniskt

Artikel 11 i ESPR (Förordning (EU) 2024/1781) handlar om den tekniska utformningen och funktionen av passet, och härifrån följer att åtkomsten till viss data kan kopplas till användarens roll. För ett gjuteri eller profilfabrikat betyder detta att plattformen som används för att sammanställa och hosta passet måste stödja en rollstruktur: en konsument som skannar ser något annat än en marknadstillsynsmyndighet som loggar in med befogenhet, och det ser helt annorlunda ut än för återvinnaren som i slutet av livscykeln behöver data om materialsammansättning. Detta är en av anledningarna till varför det är praktiskt att överlåta detta till en plattform i stället för att bygga en egen PDF med QR-kod: rättigheterna måste utvecklas tillsammans med vem som skannar.

Bestäm vilka data du som företag anser vara känsliga

En del av de data som hamnar i ett pass rör produktionskunskap, legerings receptur eller leverantörsrelationer. Artikel 10 ger utrymme för att göra skillnad mellan vad som görs offentligt och vad som förblir begränsat tillgängligt, men denna skillnad uppstår inte automatiskt — ett företag måste själv fastställa vilka data det anser vara känsliga och varför. Denna avvägning beskrivs mer omfattande i frågan ska jag göra min aluminium känsliga företagsdata offentliga, och är nära kopplad till frågan vilka data som överhuvudtaget måste ingå i passet.

Veta vilka som behöver vilka data och varför

För ett företag av denna storlek är det praktiskt att i förväg veta vilka parter som i praktiken kommer att be om åtkomst: en kund som själv sammanställer ett produktpass för en bearbetad produkt, en revisor, en återvinnare eller en tillsynsmyndighet vid en kontroll. Det kräver en översikt över vilka data som går till vilken nivå av passet — offentlig, begränsad eller enbart för tillsyn — och denna översikt skiljer sig från frågan vilka data som innehållsmässigt måste ingå, enligt beskrivningen i vilka data ingår i det digitala produktpasset för aluminium.

Där det går fel i praktiken

Allt publiceras som standard offentligt. Ett företag levererar alla data utan att göra skillnad mellan vad som måste vara offentligt och vad som kan vara begränsat, vilket resulterar i att känsliga sammansättningsdata för en legering är synlig för alla som skannar.

Återvinnaren beaktas inte. I slutet av livscykeln behöver en återvinnare andra data än en konsument i början — till exempel detaljerad information om legerings sammansättning enligt EN-AW-beteckning. Om denna information endast är tillgänglig i en offentlig, förenklad form, mister återvinnaren det han behöver.

Åtkomsträttigheterna beaktas inte när en plattform väljs. Ett företag väljer en lösning som endast erbjuder en statisk QR-kod med en enda fast datafil, utan möjlighet att skilja mellan målgrupper. Så snart det visar sig att vissa uppgifter måste ha begränsad åtkomst, är det tekniskt inte längre möjligt att ordna detta.

Det görs ingen skillnad mellan den tekniska dokumentationen och passet. Uppgifter som är avsedda för internt bruk eller för en tillsynsmyndighet blandas ihop med det som ska finnas i det offentliga passet. Skillnaden mellan dessa två dokument förklaras vid vad är skillnaden mellan min tekniska dossiering och det digitala produktpasset.

Ingen är ansvarig för att hålla åtkomsträttigheterna aktuella. En anställd som tidigare hade åtkomst till begränsade uppgifter lämnar företaget, eller en ny part i kedjan får ingen åtkomst tilldelad, vilket gör att uppgifter inte når den som behöver dem. Detta hänger samman med frågan hur ofta måste jag uppdatera uppgifterna i produktpasset, eftersom åtkomst och aktualitet ofta går hand i hand.

Vad ni kan dokumentera

En översikt över vilka uppgifter i passet som är offentligt synliga och vilka som har begränsad åtkomst, med en kort motivering per kategori.
En lista över parter som förväntas behöva åtkomst till begränsade uppgifter — tänk på tillsynsmyndigheter, kunder längre ned i kedjan och återvinnare — och vilka uppgifter som är relevanta för var och en av dem.
En intern överenskommelse om vem inom företaget som är ansvarig för att tilldela och återkalla åtkomsträttigheter, och hur ofta detta kontrolleras.
En motivering till valet att klassificera vissa uppgifter som känsliga för företaget, inklusive den skillnad som görs mellan det som väl och inte blir offentligt gjort.
En kort beskrivning av hur den valda plattformen tekniskt reglerar åtkomst — via roller, via inloggning eller via separata dataskikt — så att detta kan visas vid en kontroll.

Detta är ingen juridisk rådgivning. Denna sida ger allmän information om den regelgivning som denna plattform handlar om. Vi känner inte till din situation. Om du är osäker på din egen situation rådgör du en jurist eller tillsynsmyndigheten.

Skriven med AI baserat på källorna ovan, kontrollerad av en människa den 2026-08-22. Stämmer något inte? Låt oss veta — rättningar får företräde.