Tko smije vidjeti koje podatke iz proizvodnog pasoša?

Što konkreno trebate učiniti

Što se od vas očekuje

Digitalni certifikat proizvoda nije jedan blok informacija koji je za sve jednak. ESPR polazi od slojevitog pristupa: dio podataka je vidljiv svima, a dio samo određenim stranama kao što su nadzorni organi, sudionici na tržištu ili serviserski radnici. Članak 10. ESPR-a (Uredba (EU) 2024/1781) navodi ovo razlikovanje između javno dostupnih informacija i informacija ograničenih na specifične ciljne grupe. Članak 11. ESPR-a bavi se načinom na koji se to tehnički provodi: kroz pristupna prava koja su razvijena po ulogama u modelu podataka.

Razlikovanje između javnih i ograničenih podataka

Za poduzeće to znači da nisu svi podaci koji se dostavljaju i automatski javno dostupni. Neki podaci namijenjeni su potrošaču koji skenira QR kod, drugi nadzornom organu koji provodi provjeru usklađenosti, a opet drugi recikleru koji na kraju životnog ciklusa želi znati koji su materijali obrađeni. Poduzeće od 10 do 100 zaposlenih koje naručuje sastavljanje certifikata čini se pametno da unaprijed odredi kojem sloju pripadaju koji podaci — i da to ne prepusti pretpostavci naknadno. To se preklapa s pitanjem koji su podaci ionako obavezni u certifikatu: vidjeti koji se podaci nalaze u digitalnom proizvodu pasoš elektroni.

Pristupna prava tehnički usklađena s ulogom korisnika

Članak 11. ESPR-a opisuje kako je certifikat proizvoda osmišljen tako da je pristup podacima povezan s ulogom osobe koja traži podatke: potrošač, sudionik na tržištu, nadzorni organ ili neka druga strana u lancu. U praksi poduzeće to najviše primjećuje kod davatelja usluge platforme certifikata: ta strana mora biti u mogućnosti dokazati da podjela na razine pristupa zaista funkcionira, a ne postoji samo na papiru. Za samo poduzeće to znači da je važno znati tko točno može tražiti koje podatke, prije nego što se podaci dostave — a ne nakon toga.

Zaštita podataka osjetljivih za poslovanje bez propuštanja obaveznih podataka

Dio podataka koje dostavljaju proizvođač ili uvoznik može biti osjetljiv za konkurenciju: sastav, dobavljači ili tehnične specifikacije koje nisu namijenjene otvorenom tržištu. ESPR pruža prostor za razlikovanje između onoga što mora biti javno i onoga što može ostati ograničeno na nadzorne organe, ali se to razlikovanje mora dokazati i ispuniti. To se izravno tiče pitanja trebam li objaviti osjetljive podatke o mojoj elektronici — pitanja koje se obrađuje odvojeno i detaljnije, ali koje ima ulogu i pri podjeli pristupnih prava.

Održavanje podataka ažurama za svaku ciljnu grupu, ne samo za potrošača

Jer različite strane vide druge podatke, lako je zamisliti da ažuriranje certifikata nije jednako vidljivo svima. Promjena tehnijskog podatka namijenjena samo nadzornim organima ne mora se odmah odraziti na prikaz za potrošače, i obrnuto. To čini održavanje podataka nešto što uključuje više slojeva. Više o samoj obvezi ažuriranja nalazi se na koliko često moram ažurirati podatke u digitalnom certifikatu proizvoda.

Gdje u praksi ide po zlu

Sve se standardno čini javno dostupnim. Poduzeće dostavi potpuni skup podataka bez razlikovanja između onoga što je za potrošača i onoga što je za nadzornog organa. Platforma ili softverski dobavljač zatim sve postavi na "javno vidljivo" jer nije bilo jasne upute koja polja trebaju biti zaštićena.

Podaci osjetljivi za poslovanje slučajno se pojave u javnom sloju. Posebno kod podataka o sastavu dijelova ili informacija o dobavljačima, to se događa češće nego što se mislilo — jer nitko unaprijed nije utvrdio da ovo specifično polje treba biti zaštićeno.

Nema pregleda tko ima koju ulogu. Tvrtka više ne zna precizno koja je stranka — nadzorni organ, recikler, servisor — trebala bi imati pristup preko pasporta kojem podatku, što znači da na upitu nadzornog organa ne može brzo biti dokazano da je pravilna kategorizacija napravljena.

Pristup se ne uzima u obzir kada dođe do promjene u asortimanu. Novi model proizvoda dodaje se s istom strukturom podataka kao stariji model, bez provjere je li kategorizacija pristupa još uvijek primjerena — što za rezultat ima da osjetljive informacije novog modela završe u kriyom sloju.

Zbunjenost između jezičnih verzija i razina pristupa. Kod tvrtki koje prodaju na više jezičnih područja, ponekad se pretpostavlja da je prevedena verzija pasporta trebala bi imati drugačiju kategorizaciju pristupa, dok je razlikovanje između javnog i ograničenog neovisno o jeziku. Vidi odvojeno za jezični dio trebam li nudititi produktni pasoš na više jezika.

Što možete utvrditi

• Pregled po grupaciji proizvoda koji su podaci javno vidljivi i koji ostaju ograničeni na specifične strane, uključujući utemeljenje zašto je neki podatak onemogućen.
• Podjela uloga: koja stranka (potrošač, nadzorni organ, recikler, servisor, tržišni sudionik) smije vidjeti koji podatak, trebala bi biti usklađena s pružateljem platforme za pasport.
• Napomena uz svaki podatak koji je označen kao poslovnu osjetljiv, s razlogom za to — upotrebljiv ako nadzorni organ kasnije to postavi kao pitanje.
• Stalno kontaktno mjesto ili postupak za kada treba biti prilagođena kategorizacija pristupa, primjerice kod novog modela proizvoda ili promjene u strukturi podataka.
• Uputa na osnovne tehničke podatke, kao što su potrošnja energije ili informacije o popravku, tako da bude poznato u kojem sloju oni trebaju biti. Vidi primjerice kako se bilježi potrošnja energije aparata i kako se određuje ocjena servisabilnosti aparata za sadržaj tih samih podataka.
• Postupak za slučaj da bude otkrivena pogrešna kategorizacija, u skladu s pristupom koji se primjenjuje i kod ostalih grešaka u pasportu: vidi otkrila sam grešku u produktnom pasošu što sada.