jak se zabrání tomu, aby si někdo mé údaje z digitálního pasu nezneuživil nebo nezfalšoval

Bezpečnost je součástí návrhu, nikoli dodatečného rozšíření

Digitální produktový pas je postaven tak, aby data nebyla možná upravovat bez povšimnutí a aby bylo jasné, kdo jaké informace dodal. ESPR stanoví, že se digitální produktový pas technicky musí nastavit tak, aby byla zjistitelná origine dat, aby byly změny dohledatelné na stranu, která je provedla, a aby byl přístup k úpravě dat omezen pouze na ty, kteří k tomu mají právo. Nejde o samostatnou bezpečnostní vrstvu, kterou platforma přidá, ale o požadavek, který je zakotven v jádru samotného pasu: každý pas má pevné, jedinečné propojení s produktem, a toto propojení — včetně historie toho, co do něj bylo vloženo — musí být ověřitelné.

Pro koho to platí a co to nezahrnuje

Tento požadavek se vztahuje na pas jako celek: způsob, jak jsou data uložena, kdo je smí měnit, a jak je dohledatelné, co kdy bylo vloženo. Nejde tedy o otázku, zda je pas "bezpečný vůči hackům" v tom smyslu, že je každá forma zneužití technicky nemožná — takovou záruku neposytuje žádný systém a ESPR to ani neslibuje. Jde o záruky proti neoprávněnému přístupu a proti manipulaci bez toho, aby byla dohledatelná. Je také důležité odlišit: bezpečnost dat v pasu je něco jiného než otázka, jak se někdo dostane k pasu. Ten se realizuje přes QR kódu na produktu a kde je to příslušné, přes GS1 Digital Link jako technickou normu pro toto propojení. Bezpečnost, o níž se tento článek pojednává, tedy není v samotném QR kódu, ale v systému za ním, kde data stojí.

Dále se sem nezahrnuje otázka, kdo je věcně odpovědný za správnost údajů. Bezpečný systém brání v tom, aby neoprávněná třetí strana něco upravila; brání však v tom, aby strana, která data dodá, dělala chybu. K tomuto tématu — k chybě, která v něm jednou je — existuje samostatná odpověď o úpravě chyby v publikovaném pasu.

Zatím žádné pevné datum, ale jasný směr

Konkrétní naplnění těchto požadavků pro textil a oděv závisí na delegované právní úpravě, kterou Evropská komise pro tuto skupinu produktů vypracuje. Podle stávajícího pracovního plánu se očekává v roce 2027, přičemž oblečení tvořené z osmdesáti procent nebo více textilních vláken je první kategorie. Přesné datum, kdy se produktový pas — a s ním i bezpečnostní požadavky v praxi — stane povinný pro oděv, zatím není stanoven. Co je již stanoveno, je rámec samotné ESPR: články týkající se požadavků a technického návrhu pasu slouží jako základ a delegovaná právní úprava je dále konkretizuje pro jednotlivé skupiny produktů. Jakmile bude tato právní úprava publikována, bude tato stránka aktualizována s datem, které pak bude platit.

Co to znamená v praxi pro úpravu pasu

Prvním krokem je vědět, že původ údajů má v systému pevné místo: pro každou část informace v pasu je stanoveno, kdo ji dodal a kdy. To znamená, že výrobce oděvu nebo dovozce, který předává údaje straně, která pas složí, se nemusí zvlášť starat o technickou bezpečnost proti manipulaci — ta je součástí návrhu samotného pasu, nikoli toho, co přidá dodávající strana. Na co se kladu důraz, je vlastní část procesu: jak jsou údaje dodány a zda je samotný proces ověřitelný. Kdo zvažuje, zda nechat údaje procházet přímo z vlastního podnikového systému, například prostřednictvím propojení pasu s ERP nebo skladovacím systémem, měl by si prohlédnout, jak je toto propojení samotné zabezpečeno — protože únik na tomto konci linie podkopává spolehlivost pasu právě tak, jako slabost v samotném pasu.

Druhý bod, který je třeba mít na paměti: otázka zabezpečení proti padělání úzce souvisí s otázkou, jak dlouho musí data zůstávat dostupná a spolehlivá. K tomuto tématu existuje samostatná odpověď ohledně jak dlouho musí pasport zůstat dostupný — zabezpečení totiž není něco, co je jednorázově v pořádku při publikaci, ale něco, co musí být udržováno po celou dobu trvání pasportu.

Právní základ: články 10 a 11 nařízení ESPR

Tyto požadavky vyplývají z článku 10 nařízení ESPR (Nařízení (EU) 2024/1781), který stanoví obecné požadavky na digitální produktový pas, a z článku 11 stejného nařízení, který se konkrétně týká technického návrhu a provozu pasu. Dohromady tyto články tvoří rámec, v rámci kterého jsou řešeny původ dat, řízení přístupu a trasovatelnost změn. Přesné technické provedení — které normy, které protokoly — se dále rozpracovává v delegovaných a prováděcích aktech, které Komise přijímá pro jednotlivé skupiny produktů.

Kdo nyní již připravuje produktový pas, měl by nejlépe začít od základu: zajistit, aby každý produkt obdržel jedinečného identifikačního kódu a zkontrolovat, která data nakonec skončí v Evropském registru produktových pasů — zabezpečení pasu se totiž buduje na těchto základních strukturách.

Na čem je to založeno

Samotné nařízení je na EUR-Lex. Odkazujeme na každé tvrzení; nemusíte nám věřit.

Co konkrétně musíte dělat

Co se od vás očekává

Správně nastavit přístup k údajům

Článek 10 nařízení ESPR (Nařízení (EU) 2024/1781) rozlišuje mezi údaji, které jsou přístupné všem, a údaji, které jsou určeny pouze pro specifické strany, jako jsou orgány dohledu nebo účastníci trhu dále v řetězci. Pro podnik s 10 až 100 zaměstnanci to v praxi znamená, že ne všechny informace, které o produktu existují, by měly být viditelné spotřebiteli, který naskenuje QR kód. Ten, kdo si nechá pasport vytvořit, přitom uvádí, které údaje jsou veřejné a které zůstávají s omezeným přístupem — toto rozdělení není stanoveno v technickém systému, ale vyplývá z údajů, které jsou dodány.

Zajistit, aby se údaje nemohly neznatelně měnit

Článek 11 ESPR popisuje požadavky na technické řešení a funkčnost digitálního pasportu produktu, včetně spolehlivosti údajů v něm obsažených. To přímo souvisí s otázkou, zda by někdo později mohl manipulovat s pasportem. Pro značku nebo dovozce to znamená, že údaje, které byly jednou poskytnuty a zveřejněny, musí zůstat dohledatelné ke zdroji a času poskytnutí. Následná změna tedy není věcí "úpravy souboru", ale nové, dohledatelné verze.

Uchovávání údajů o tom, kdo jaké údaje dodal

Třetím praktickým očekáváním vyplývajícím ze stejných článků je, že musí být prokázáno, kdo jaké údaje dodal a kdy. U společností s více značkami, privátními značkami nebo více výrobci, kteří dodávají v rámci jedné společnosti, to znamená, že administrativa kolem dodávky — kdo poslal kterýzavod, jaké složení, jaké pokyny k praní — musí být v pořádku. To není jen otázka bezpečnosti proti hackerům, ale také otázka dokazatelnosti: pokud se pasport ukáže jako nesprávný, musí být možné zjistit, odkud tyto informace pocházely.

Zabránění tomu, aby se pasport stal kopírovatelným cílem

Otázka „může někdo falšovat můj pasport jak se QR kód pro pas produktu dostane na oděvy a textil.

Kde se věci pokazují v praxi

První běžně se vyskytující situace: podnik nechá dodavatele nebo externí kancelář vyplnit pasport, ale sám nemá kopii přesně toho, co bylo dodáno. Když se později položí otázka na správnost údaje, není již možné rekonstruovat, kdo daný údaj zadal a na základě jakého dokumentu.

Druhá situace vzniká, když se upraví výrobní linka — jiné složení vláken, jiný návod na praní — ale stávající pasport se neaktualizuje. Pasport pak zůstane online se zastaralými informacemi, což může vypadat jako padělání, zatímco jde vlastně o chybu v řízení. To se týká otázky, jak opravit chybu v již publikovaném pasporu, což je podrobněji popsáno na stránce o zjištění chyby v publikovaném produktovém pasu.

Třetí situace: QR kód se tiskne odděleně od produktu na štítku, který se snadno odstraní a přesune na jiný oděv. Bez pevného propojení mezi kódem a jedinečnou identifikací konkrétního produktu je padělání prostým překlejem štítku na dosah. Jak získá produkt jedinečnou, nepřenositelnou identifikaci, je popsáno na stránce o každému produktu přidělit jedinečný identifikační kód.

Čtvrtá situace se vyskytuje u podniků, které si samy vybudují propojení mezi svým systémem ERP a pasportem, aniž by jasně vymezily, kdo má v rámci organizace přístup ke změně údajů. Pokud mohou více zaměstnanců nekontrolovaně zapisovat do základního systému, vzniká riziko, které nepochází zvenčí, ale zevnitř. Kdo zvažuje propojení vlastního systému, najde více o věcech, na které je třeba si dát pozor, na stránce o propojit produktpasport s vlastním systémem ERP nebo systémem řízení zásob.

Pátá situace: podnik přestane vyrábět kolekci nebo přejde na jiného partnera a nikdo si neuvědomí, co se stane s již publikovanými paspory. Pasport, který není nadále spravován, ale zůstane online, je atraktivnějším terčem pro zneužití než pasport, který se aktivně spravuje.

Co si můžete zaznamenat

Přehled toho, kdo v rámci organizace (nebo u externí strany) je oprávněn dodávat údaje nebo je měnit, včetně data, kdy toto oprávnění bylo uděleno.
Kopie všech dokumentů, které byly dodány za účelem vytvoření pasportu — certifikáty, prohlášení o složení, návody na praní — propojené s datem dodání a jménem dodávající strany.
Stanovený postup pro případ, že je v publikovaném pasu zjištěna chyba: kdo může požádat o změnu a jak je tato změna dokumentována.
Dohody s dodavateli nebo výrobci o tom, kdo je odpovědný za správnost které části údajů, obzvláště relevantní, je-li výrobek součástí více produktových pasů současně spadá.
Přehled na jednu variantu produktu — velikost, barvu, složení — které jedinečné identifikace jí byly přiděleny, aby bylo možné následně zkontrolovat, zda kód patří správnému produktu; viz také stránka o zda každá velikost a barva získá vlastní produktový pas.
Stanovené rozhodnutí o tom, co se s pasy stane při zastavení podnikatelské činnosti nebo značky, aby se tak nestalo ad hoc v okamžiku, kdy k němu dojde.

Toto není právní poradenství. Tato stránka obsahuje obecné informace o právních předpisech, na které se tato platforma zabývá. Neznáme vaši situaci. Máte-li pochybnosti o svém vlastním případě, poraďte se s právníkem nebo příslušným dohledovacím orgánem.

Napsáno s AI na základě výše uvedených zdrojů, zkontrolováno člověkem dne 2026-09-05. Není v tom něco špatného? Dejte nám vědět — opravy mají přednost.