hvordan forhindres det, at nogen hacker eller forfalsker mine produktpasoplysninger

Sikkerhed er indbygget i designet, ikke tilføjet efterfølgende

Produktpasset er konstrueret således, at data ikke kan ændres uopmærket, og det er klart, hvem der har leveret hvilke oplysninger. ESPR foreskriver, at det digitale produktpas skal være teknisk opbygget således, at datakilderne fastslås, at ændringer kan spores til den part, der har foretaget dem, og at adgangen til at ændre data er begrænset til dem, der har ret til det. Det er ikke et separat sikkerhedslag, som en platform lægger oven på, men et krav, der er forankret i selve passets kerne: hvert pas har en fast, unik binding til produktet, og denne binding — inklusive historikken over, hvad der er blevet sat i det — skal kunne verificeres.

For hvem dette gælder, og hvad der falder uden for

Dette krav gælder for passet som helhed: den måde, hvorpå data gemmes, hvem der må ændre dem, og hvor sporbart det er, hvad der blev indtastet hvornår. Det drejer sig altså ikke om, hvorvidt et pas er "hackingsikkert" i den forstand, at enhver form for misbrug er gjort teknisk umulig — ingen system kan garantere det, og ESPR lover det heller ikke. Det handler om værn mod uautoriseret adgang og mod manipulation uden at dette kan spores. Det er også vigtigt at adskille: sikringen af data i passet er noget andet end spørgsmålet om, hvordan nogen får adgang til passet. Sidstnævnte foregår via QR-koden på produktet og, hvor det er relevant, via GS1 Digital Link som teknisk standard for denne binding. Sikringen, som denne artikel handler om, ligger således ikke i QR-koden selv, men i systemet bag, hvor dataene befinder sig.

Yderligere omfatter dette ikke spørgsmålet om, hvem der substantielt er ansvarlig for datakorrekthed. Et sikret system forhindrer, at en uautoriseret tredjemand ændrer noget; det forhindrer ikke, at den part, der leverer dataene, begår en fejl. For det emne — en fejl, der først er sat ind — er der et separat svar om korrigere en fejl i et publiceret pas.

Ingen fast dato endnu, men en fast retning

Når disse krav konkret udfyldes for beklædning og tekstiler, afhænger det af den delegerede retsakt, som Europa-Kommissionen udarbejder for denne produktgruppe. Ifølge den nuværende arbejdsplan forventes denne i 2027, med beklædning, der består af firs procent eller mere af tekstilfibre, som første kategori. En præcis dato for, hvornår produktpasset — og dermed også sikringskravene i praksis — bliver obligatorisk for beklædning, er endnu ikke fastlagt. Hvad der dog allerede er fastlagt, er rammerne fra selve ESPR: artiklerne om krav til og teknisk udformning af passet gælder som basis, og den delegerede retsakt udfylder disse nærmere pr. produktgruppe. Så snart denne retsakt er publiceret, bliver denne side opdateret med den dato, der da gælder.

Hvad dette betyder i praksis for opbygningen af et pas

Det første skridt er at vide, at datakilderne har en fast plads i systemet: for hvert stykke information i passet fremgår det klart, hvem der har leveret det, og hvornår. Det betyder, at et beklædningsmærke eller en importør, der videregiver data til den part, der sammensætter passet, ikke behøver at bekymre sig separat om den tekniske sikring mod manipulation — det er inkorporeret i passets design, ikke i det, som den leverende part tilføjer. Hvor der sættes fokus, er på egen side af processen: hvordan data bliver leveret, og om den proces selv kan verificeres. Den, der overvejer at få data til at køre direkte fra eget bedriftssystem, for eksempel ved at forbinde passet til et ERP- eller lagersystem, gør klogt i at se på, hvordan denne forbindelse selv er sikret — for et læk på den side af linjen underminerer passets troværdighed lige så meget som en svaghed i passet selv.

Et andet punkt at huske: spørgsmålet om sikkerhed mod forfalskning hænger tæt sammen med spørgsmålet om, hvor længe data skal være tilgængelige og pålidelige. For det emne er der et separat svar om hvor længe et paspoort skal forblive tilgængeligt — sikkerhed er nemlig ikke noget, der er på plads én gang ved offentliggørelse, men noget, der skal opretholdes over hele paspoortets levetid.

Det retlige grundlag: artikel 10 og 11 i ESPR

Disse krav følger af artikel 10 i ESPR (forordning (EU) 2024/1781), som fastslår de generelle krav til det digitale produktpaspoort, og af artikel 11 i samme forordning, som specifikt handler om paspoortets tekniske design og drift. Sammen danner disse artikler rammen, hvori datakilde, adgangskontrol og sporbarhed af ændringer reguleres. Den præcise tekniske udformning — hvilke standarder, hvilke protokoller — udarbejdes videre i de delegerede og gennemførelseshandlinger, som Kommissionen fastslår for hver produktgruppe.

Hvis man nu allerede forbereder et produktpaspoort, kan man bedst begynde med grundlaget: sikre at hvert produkt får et unik identifikationskode og kontrollere, hvilke data der derefter havner i det Europæiske register for produktpasporter — paspoortets sikkerhed bygger nemlig på denne underliggende struktur.

Hvad dette er baseret på

Selve forordningen findes på EUR-Lex. Vi henviser for hver påstand; du behøver ikke tro på os.

Hvad du konkret skal gøre

Hvad der forventes af dig

Korrekt indstilling af adgang til data

Artikel 10 i ESPR (forordning (EU) 2024/1781) skelner mellem data, der er tilgængelige for alle, og data, der kun er beregnet til specifikke parter, såsom tilsynsmyndigheder eller markedsaktører længere nede i kæden. For en virksomhed på 10 til 100 medarbejdere betyder dette i praksis, at ikke alle oplysninger, der findes om et produkt, også skal være synlige for forbrugeren, der scanner QR-koden. Den, der lader paspoorten sammensætte, angiver derved, hvilke data der er offentlige, og hvilke der forbliver begrænset tilgængelige — denne inddeling er ikke fastsat i et teknisk system, men følger af de data, der leveres.

Sikre at data ikke kan ændres uden at blive bemærket

Artikel 11 i ESPR beskriver krav til det digitale produktpasports tekniske design og drift, herunder pålideligheden af de data, der er indeholdt i det. Det berører direkte spørgsmålet om, hvorvidt nogen kan manipulere et paspoort bagefter. For et brand eller importør betyder dette, at de data, der engang er leveret og offentliggjort, skal være sporbare tilbage til kilden og tidspunktet for levering. En senere ændring er således ikke et spørgsmål om at "ændre filen", men om en ny, sporbar version.

Registrering af, hvem der har leveret hvilke data

En tredje praktisk forventning, som følger af samme artikler, er at det skal kunne godtgøres, hvem der har leveret hvilke data, og hvornår. For virksomheder med flere brands, private labels eller flere producenter, der leverer under ét selskab, betyder dette, at administrationen omkring levering — hvem sendte hvilket certifikat, hvilken sammensætning, hvilken vaskeanvisning — skal være i orden. Det er ikke kun et spørgsmål om sikkerhed mod hackere, men også om bevisbarhed: hvis et paspoort viser sig at være ukorrekt, skal det være muligt at spore, hvor denne information kom fra.

Forebygge at paspoorten bliver et kopiérbart mål

Spørgsmålet "kan nogen forfalske mit paspoort" handler ofte ikke om selve paspoorten, men om databæreren: QR-koden på klædestykket. En QR-kode, der blot refererer til et link, kan kopieres til et forfalsket produkt. Hvordan databæreren anbringes, og hvilken forbindelse den etablerer med produktets unikke identitet, bestemmer også hvor svært det er. Mere om den måde, hvorpå denne kode anbringes på klædestykket, findes beskrevet på siden om hvordan QR-koden til produktpasset kommer på tøj og tekstiler.

Hvor det går galt i praksis

En første situation, som ofte forekommer: en virksomhed lader en leverandør eller et eksternt bureau udfylde passet, men har selv ingen kopi af, hvad der præcist er leveret. Hvis der senere kommer et spørgsmål om rigtigheden af en oplysning, kan det ikke længere rekonstrueres, hvem der har indtastet denne oplysning, og på grundlag af hvilket dokument.

En anden situation opstår, når en produktionslinje justeres — en anden fibersammensætning, en anden vaskeanvisning — men det eksisterende pas ikke bliver opdateret derefter. Passet forbliver derefter online med forældet information, hvilket kan ligne en forfalskning, mens det egentlig er en administrationsfejl. Dette rejser spørgsmålet om, hvordan en fejl i et allerede offentliggjort pas skal rettes, hvilket er beskrevet mere udførligt på siden om opdage en fejl i et publiceret produktpaspoort.

En tredje situation: en QR-kode udskrives adskilt fra produktet på et etiket, som er let at fjerne og flytte til et andet stykke tøj. Uden en stærk binding mellem koden og en unik identifikation af det specifikke produkt ligger forfalskning ved simpelthen at overklæbe etiketten lige for. Hvordan et produkt får en unik, ikke-overførbar identifikation, er beskrevet på siden om at give hvert produkt en unik identifikationskode.

En fjerde situation opstår hos virksomheder, der selv bygger en forbindelse mellem deres ERP-system og passet, uden at gøre det klart, hvem inden for organisationen der har adgang til at ændre data. Hvis flere medarbeidere ukontrolleret kan skrive i det underliggende system, opstår der en risiko, der ikke kommer udefra, men inidefra. Den, der overvejer at forbinde sit eget system, finder mere om opmærksomhedspunkterne ved det på siden om at forbinde produktpasset til et eget ERP- eller lagerstyringssystem.

En femte situation: en virksomhed stopper med en kollektion eller går over til en anden partner, og ingen tænker på spørgsmålet om, hvad der sker med de allerede offentliggjorte pas. Et pas, der ikke længere bliver vedligeholdt, men forbliver online, er et mere attraktivt mål for misbrug end et pas, der aktivt administreres.

Det du kan dokumentere

Et overblik over, hvem inden for organisationen (eller hos en ekstern part) der er bemyndiget til at levere eller ændre data, herunder en dato for, hvornår denne bemyndigelse blev givet.
En kopi af alle dokumenter, der er leveret til gavn for passet — certificater, sammensætningsdeklarationer, vaskeanvisninger — forbundet med datoen for leveringen og navnet på den leverende part.
En fastlagt procedure for det tilfælde, at der opdages en fejl i et offentliggjort pas: hvem må anmode om ændringen, og hvordan dokumenteres ændringen.
Aftaler med leverandører eller fabrikanter om, hvem der er ansvarlig for rigtigheden af hvilken del af dataene, især relevant når et produkt er omfattet af flere produktpas på samme tid .
Et overblik pr. produktvariant — størrelse, farve, sammensætning — over, hvilken unik identifikation der er tildelt den, så det efterfølgende kan kontrolleres, om en kode hører til det rigtige produkt; se også siden om eller hver størrelse og farve får sit eget produktpasportcertifikat.
En fastlagt afgørelse om, hvad der sker med passene ved ophør af en forretningsaktivitet eller mærke, så dette ikke bliver besluttet ad hoc på det tidspunkt, hvor det opstår.

Dette er ikke juridisk rådgivning. Denne side giver generel information om den regulering, som denne platform handler om. Vi kender din situation ikke. Hvis du er i tvivl om din egen situation, skal du konsultere en jurist eller den kompetente tilsynsmyndighed.

Skrevet med AI på grundlag af kilderne ovenfor, kontrolleret af en menneske den 5. september 2026. Stemmer der noget ikke? Lad os det vide — rettelser får prioritet.