kuidas takistatakse kellegi poolt minu tootepassi andmete häkkimist või võltsingut

Turvalisus on sisseehitatud, mitte lisatud hiljem

Digitaalse tootepassi kujundus on selline, et andmeid ei saa märkamatult muuta ja on selge, kes milliseid andmeid on esitanud. ESPR nõuab, et digitaalse tootepassi tehniline seadistamine oleks selline, et andmete päritolu on kindlakstehtav, muudatused on jälgitavad nende poole jaoks, kes need on teostanud, ja andmete muutmisele juurdepääs on piiratud neile, kellel on selleks õigus. See pole eraldiseisvad turvalisuskihid, mille platvorm peale paneb, vaid nõue, mis on fikseeritud passi tuuma enda sisse: igal passil on kindel, ainulaadne seos tootega ja see seos — kaasa arvatud ajalugu sellest, mis sinna on sisestatud — peab olema kontrollitav.

Kellele see kehtib ja mis jääb välja

See nõue kehtib passile tervikuna: viisile, kuidas andmeid säilitatakse, kes neid võib muuta, ja kui jälgitav on, mis millal sisestati. See ei ole seega küsimus selle kohta, kas pass on "häkkimisvastu" selles mõttes, et iga kuritarvituse vorm on tehislikult muutuks võimatuks tehtud — sellist garantiid ei anna ükski süsteem ja ESPR ei lubagi seda. Tegemist on garantiidega loata juurdepääsu ja jäljeta manipuleerimise vastu. Samuti oluline eristada: andmete turvalisus passes on midagi teistsugust kui küsimus, kuidas keegi passile juurde pääseb. Viimane käib läbi QR-kood tootel ja vajaduse korral läbi GS1 Digital Link kui tehniline standard selle seose jaoks. Turvalisus, millest see artikkel räägib, ei ole seega QR-koodis endas, vaid andmeid sisaldavas süsteemis selle taga.

Edasilminekuna ei kuulu siia küsimus, kes on sisuliselt andmete õigsuse eest vastutusvõtja. Turvalised süsteem takistab loata kolmandal osapoolel midagi muutmast; see ei takista sellel osapoolel, kes andmeid esitab, viga tegemast. Selle teema — viga, mis sinna kord jõuds — kohta on eraldi vastus viga avaldatud passes parandada.

Kindel kuupäev veel pole, kindel suund aga jah

Kui need nõuded konkreetselt täidetakse riide ja tekstiili puhul, sõltub sellest, millise delegeeritud akti koostab Euroopa Komisjon selle tootegrupi jaoks. Selle oodetakse praeguse tööplaani kohaselt aastal 2027, kusjuures esimese kategooriaks on riided, mis koosnevad vähemalt kaheksakümne protsendi ulatuses tekstiilkiududest. Täpset kuupäeva, millal tootepas — ja sellega ka turvalisuse nõuded praktikas — riidele kohustuslikuks muutub, ei ole veel kindlaksmääratud. Mis on aga juba kindlaks määratud, on raamistik ESPR enda põhjal: artiklid tootepassi nõuete ja tehnilise kujunduse kohta kehtivad alusena ja delegeeritud akt täiendab neid produktirühiti. Niipea, kui see akt avaldatakse, värskendatakse seda lehte kuupäevaga, mis siis kehtib.

Mida see praktikas tähendab passi seadistamise seisukohast

Esimene samm on teada, et andmete päritolul on süsteemis kindel koht: igalt tootepassi andmete osal on kindlaks määratud, kes selle esitas ja millal. See tähendab, et riietebrändil või importeerijal, kes edastab andmeid passi kokku paneva poolele, ei pea eraldi muretsema manipuleerimise vastu turvalisuse tehniliste küsimuste pärast — see on passi disainis sees, mitte selles, mida esitav pool sellele lisab. Millele on aga tähelepanu, on omaette protsessi pool: kuidas andmeid esitatakse ja kas see protsess ise on kontrollitav. Kes kaalub andmeid otseselt enda ärisüsteemist läbi juhtida, näiteks passi ühendamisel ERP- või varusüsteemiga, peab vaatama, kuidas see ühendus ise on turvaline — sest lek selle osa juures kahjustab passi usaldusväärsust sama hästi kui nõrkus passis endas.

Teine punkt, mida silmas pidada: võltsimisvastane kaitse küsimus on tihedalt seotud andmete kättesaadavuse ja usaldusväärsuse kestusega. Selle teema kohta on eraldi vastus kui kaua passiport kättesaadav peab jääma — kaitse ei ole nimelt asi, mis on korrast ära ainult avaldamise ajal, vaid asi, mida tuleb säilitada kogu passiporti kehtivusaja jooksul.

Seaduslik alus: ESPR artikli 10 ja 11

Need nõuded tulenevad ESPR artiklist 10 (määrus (EL) 2024/1781), mis käsitleb digitaalse tootepassiporti üldisi nõudeid, ja sama määruse artiklist 11, mis käsitleb spetsiaalselt passiporti tehnilist kujundust ja toimimist. Koos moodustavad need artiklid raamistiku, milles reguleeritakse andmete päritolu, juurdepääsukontrolli ja muudatuste jäljitavust. Täpne tehniline rakendamine — millised standardid, millised protokollid — arendatakse edasi Komisjoni delegeeritud ja rakendusaktides, mille Komisjon iga tootegruppi kohta vastu võtab.

Kes praegu juba tootepassiporti valmistab, võiks alustada põhitõdedest: tagada, et iga toode saaks unikaalse identifitseerimiskoodita ja kontrollida, millised andmed lähevad hiljem Euroopa tootepassipoortide registrisse kaitse passiporti peal ehitab nimelt välja sellele alusele.

Millel see põhineb

Määrus ise on EUR-Lexis. Me viitame igale väitele; te ei pea meil uskuma.

Mida te konkreetselt peate tegema

Mida teilt oodatakse

Andmete juurdepääsu õigesti seadmine

ESPR artikkel 10 (määrus (EL) 2024/1781) teeb vahet andmetel, mis on kõigile ligipääsetavad, ja andmetel, mis on ette nähtud ainult konkreetsetele osapoolte jaoks, nagu järelevalveasutused või kauamaal kaubaturul osalevad isikud. Ettevõtte jaoks, millel on 10 kuni 100 töötajat, tähendab see praktikas seda, et mitte kogu teave toote kohta ei ole nähtav tarbijale, kes QR-koodi skannib. Passi koostamist tellinud isik näitab ette, millised andmed on avalikud ja millised jäävad piiratud juurdepääsuga – see jaotus pole fikseeritud tehnilises süsteemis, vaid tuleneb esitatud andmetest.

Tagada, et andmeid ei saaks märkamatult muuta

ESPR artikkel 11 kirjeldab digitaalse tootepassi tehnilise kujunduse ja toimimise nõudeid, sealhulgas andmete usaldusväärsust. See puudutab otseselt küsimust, kas keegi saab hiljem passi manipuleerida. Kaubamärgi või importija jaoks tähendab see, et andmed, mis on kord esitatud ja avaldatud, peavad olema jälestatavad allika ja esitamise ajani. Hilisem muudatus pole seega "faili muutmise" küsimus, vaid uue, jälestatava versiooni küsimus.

Andmete säilitamine – kes on andmeid edastanud

Kolmas praktiline ootus, mis samadest artiklitest tuleneb, on see, et peab olema tõestatav, kes andmeid edastanud on ja millal. Mitme kaubamärgiga, privaatmärgiga või mitme tootjaga ettevõtete puhul, kes tarnivad ühe osaühingu alla, tähendab see, et edastamisega seotud haldus — kes saatis millist sertifikaati, millist koostist, millist pesujuhist — peab olema korras. See ei ole ainult küsimus häkkijatega kaitsmisest, vaid ka tõendatavusest: kui andmekaart osutub ebatäpseks, peavad olema leidmiskoht andmed, kust see informatsioon pärineb.

Ennetada, et andmekaart muutuks kopeeritavaks sihtmärgiks

Küsimus "kas keegi saab mu andmekaardi võltsida" puudutab sageli mitte andmekaardi ennast, vaid andmekandjat: kledil olevat QR-koodi. QR-kood, mis viitab lihtsalt lingile, on võimalik kopeerida võltsitud tootele. Viis, kuidas andmekandjat rakendatakse ja milline seos see loob toote ainulaadse identiteediga, määrab osaliselt, kui keeruline seda on. Lisateabe saamiseks selle koodi kledile jõudmise viisi kohta vaadake lehte kuidas QR-koodi tootepasport riietele ja tekstiilile paigutatakse.

Kus asjad praktikas valesti lähevad

Esimene sageli esinev olukord: ettevõte teeb tellija või välise büroo käest toote passi täitmise, kuid pole ise oma andmete koopiat säilitanud. Kui hiljem tekib küsimus andmete õigsuse kohta, pole võimalik enam rekonstrueerida, kes andmed sisestas ja millise dokumendi alusel.

Teine olukord tekib, kui tootmisliini muudetakse — muudetakse kiudude koostist, pesujuhist — kuid olemasolev pass ei uuendata. Pass jääb siis veebis vananenud teabega, mis võib näida võltsinguna, kuigi tegelikult on tegemist haldusviga. See puudutab küsimust, kuidas parandada juba avaldatud passis olevat viga, mida kirjeldatakse üksikasjalikumalt lehel vea avastamine avaldatud toitepassis.

Kolmas olukord: QR-koodi prinditakse eraldi tootelt kleebisele, mida on lihtne eemaldada ja teisele riidele üle kanda. Ilma tugevate sidemeteta koodi ja konkreetse toote unikaalse tuvastamise vahel on võltsimine lihtne — kleebis vaid üle kleepida. Kuidas annab tootele unikaalse, mitteülekantava tuvastamise, kirjeldatakse lehel igale tootele unikaline tuvastamiskood anda.

Neljas olukord tekib ettevõtettel, kes ehitavad omaenda ERP-süsteemi ja toote passi vahelise ühenduse, kusjuures pole selge, kellel organisatsioonis on juurdepääs andmete muutmisele. Kui mitmed töötajad saavad kontrollimata alusolevasse süsteemi kirjutada, tekib risk, mis ei tule väljapoolt, vaid sissepoolt. Kes kaalub omaenda süsteemi ühendamist, leiab rohkem tähelepanupunktide kohta lehelt toote passi ühendada omaenda ERP- või varude süsteemiga.

Viies olukord: ettevõte lõpetab kollektsiooni või läheb üle teisele partnerile ja keegi ei mõtle küsimusele, mis juhtuks juba avaldatud passidega. Pass, mida ei haldata enam, kuid mis jääb veebis, on kuritarvitamiseks atraktiivsem sihtmärk kui aktiivselt hallatav pass.

Mida saate salvestada

Ülevaade, kes organisatsiooni piires (või välisel osapoolel) on volitatud andmeid esitama või muutma, sealhulgas kuupäev, millal see volitatus anti.
Koopia kõigist dokumentidest, mida toote passi nimel esitati — sertifikaadid, koostisenõustused, pesujuhised — seotud esitamise kuupäevaga ja esitava poole nimega.
Kirjalik protseduur juhuks, kui avaldatud passis avastakse viga: kes võib muudatust taotleda ja kuidas dokumenteeritakse muudatus.
Lepingud tarnijate või tootjatega selle kohta, kes on vastutav andmete millise osa õigsuse eest, eriti asjakohane kui toode kuulub mitme toote passi alla korraga kuulub.
Ülevaade tooterühma variandi — suurus, värv, koostis — kohta, milline unikaline tuvastamine sellele on määratud, nii et hiljem on võimalik kontrollida, kas kood kuulub õigele tootele; vaata ka lehte kas iga suurus ja värvus saavad oma tootepaspordi.
Kirjalik otsus selle kohta, mis juhtub passide kui äritegevuse või kaubamärgi lõpetamisel, et seda ei otsustataks ettenägematul hetkel.

See ei ole õiguslik nõu. See leht annab üldist teavet reguleerimise kohta, mille üle see platvorm käib. Me ei tea teie olukorda. Kui te kahtlete oma juhul, konsulteerige juristiga või pädevate järelevalveasutustega.

Kirjutatud tehisintellektiga ülaltoodud allikate alusel, inimese kontrollinud 2026-09-05.\n Kas midagi pole hästi? Andke teada — parandused saavad prioriteedi.