miten estetään, että joku hakkeroi tai väärennöi tuotepassin tietojani

Turvallisuus on suunnittelun osa, ei jälkikäteen lisätty ominaisuus

Tuotepassi rakennetaan siten, että tietoja ei voi muuttaa huomaamatta ja on selvästi nähtävissä, kuka on toimittanut mitäkin tietoja. ESPR määrää, että digitaalinen tuotepassi on teknisesti järjestettävä siten, että tietojen alkuperä on varmennettavissa, muutokset voidaan jäljittää siihen osapuoleen, joka ne teki, ja tietojen muuttamisen käyttöoikeus on vain niille, joilla on siihen oikeus. Kyse ei ole erillisestä turvallisuuskerroksesta, jonka alusta lisää, vaan vaatimuksesta, joka on upotettu itse passin ytimeen: jokaisella passilla on kiinteä, yksilöllinen side tuotteeseen, ja tämä side — mukaan lukien sisällytettyjen tietojen historia — on oltava tarkistettavissa.

Ketä tämä koskee ja mikä jää ulkopuolelle

Tämä vaatimus koskee passia kokonaisuudessaan: sitä, miten tiedot säilytetään, kuka voi niitä muuttaa, ja kuinka jäljitettävää on, mitä ja milloin on syötetty. Kysymys ei siis ole siitä, onko passi "murtautumisenkestävä" siinä mielessä, että jokainen väärinkäytön muoto on teknisesti mahdoton — mikään järjestelmä ei anna tätä takuuta, eikä ESPR sitä lupaa. Kyse on suojauksesta luvattomalta pääsyltä ja manipulaatiolta ilman, että se on jäljitettävää. Tärkeää myös erottaa: tietojen turvallisuus passissa on eri asia kuin kysymys siitä, miten joku pääsee passiin. Jälkimmäinen tapahtuu kautta QR-koodi tuotteessa ja tarvittaessa kautta GS1 Digital Link teknisena standardina tälle sidokselle. Turvallisuus, josta tämä artikkeli käsittelee, ei siis ole itse QR-koodissa, vaan sen takana olevassa järjestelmässä, jossa tiedot ovat.

Lisäksi tämä ei koske kysymystä siitä, kuka on sisällöllisesti vastuussa tietojen oikeellisuudesta. Suojattu järjestelmä estää luvattoman kolmannen osapuolen muuttamasta jotakin; se ei estä sitä, että tiedot toimittava osapuoli tekee virheen. Tästä aiheesta — virhe, joka on jo järjestelmässä — on erillinen vastaus aiheesta julkaistun passin virheen korjaaminen.

Ei vielä varmaa päivämäärää, mutta varma suunta

Kun näiden vaatimusten konkreettinen sisältö määritellään vaatteille ja tekstiileille, se riippuu siitä delegoidusta säädöksestä, jonka Euroopan komissio laatii tälle tuoteryhmälle. Nykyisen työsuunnitelman mukaan sen odotetaan valmistuvan vuonna 2027, ja vaatteet, joiden koostumus on vähintään 80 prosenttia tekstiilikuituja, ovat ensimmäinen kategoria. Tarkkaa päivämäärää, jolloin tuotepassi — ja näin ollen myös käytännön turvallisuusvaatimukset — tulee pakolliseksi vaatteille, ei ole vielä vahvistettu. Se, mikä on jo vahvistettu, on itse ESPR:n muodostama kehys: artikkelit, jotka koskevat passin vaatimuksia ja teknistä suunnittelua, muodostavat perustan, ja delegoitu säädös täydentää sitä tuoteryhmittäin. Heti kun säädös julkaistaan, tämä sivu päivitetään silloin voimassa olevalla päivämäärällä.

Mitä tämä käytännössä tarkoittaa passin suunnittelulle

Ensimmäinen vaihe on tietää, että tietojen alkuperällä on kiinteä paikka järjestelmässä: jokaisesta passin tiedosta käy ilmi, kuka sen toimitti ja milloin. Tämä tarkoittaa, että kalalliikkuva merkki tai tuoja, joka välittää tiedot osapuolelle, joka kokoaa passin, ei tarvitse erikseen huolehtia manipulaatiolta suojautumisen teknisestä turvallisuudesta — se on sisällytetty passin suunnitteluun, ei siihen, mitä toimittava osapuoli lisää. Huomiota kiinnitetään prosessin omaan puoleen: kuinka tiedot toimitetaan ja onko prosessi itse tarkistettavissa. Kuka harkitsee tietojen suoratoimitusta omasta yrityksen järjestelmästään, esimerkiksi passi kytketään ERP- tai varastointijärjestelmään, tekee hyvin, kun katsoo, kuinka tämä kytkentä itse on suojattu — sillä vuoto tämän linjan päässä heikentää passin luotettavuutta aivan yhtä paljon kuin heikkous passissa itsessään.

Toinen muistettava seikka: väärentämisen estävän turvallisuuden kysymys liittyy läheisesti siihen, kuinka kauan tietojen on pysyttävä käytettävissä ja luotettavissa. Tästä aiheesta on erillinen vastaus kuinka kauan passi on jäätävä saataville — turvallisuus ei nimittäin ole asia, joka järjestetään kerran ennen julkaisua, vaan asia, jonka on pysyttävä kunnossa koko passin käyttöiän ajan.

Oikeusperusta: ESPR:n artikla 10 ja 11

Nämä vaatimukset seuraavat ESPR:n artiklan 10 (asetus (EU) 2024/1781) kohdasta, joka määrittää digitaalisen tuotepassin yleiset vaatimukset, ja saman asetuksen artiklan 11 kohdasta, joka koskee passin teknistä suunnittelua ja toimintaa. Yhdessä nämä artiklakohtaosat muodostavat kehyksen, jossa säädetään tietojen alkuperästä, pääsynhallinnasta ja muutosten jäljitettävyydestä. Tarkka tekninen toteuttaminen — mitkä standardit, mitkä protokollat — kehittyy edelleen komission tuottavaan ryhmään kohti vahvistamissa delegoiduissa ja täytäntöönpanoasetuksissa.

Jokaisen tuotteen saamiseksi, joka valmistaa tuotepassia nyt, on parasta aloittaa perusasioista: varmistetaan että kukin tuote yksilöivää tunnuskoodia saa, ja tarkistetaan mitkä tiedot päätynevät eurooppalaiseen tuotepassien rekisteriin — passin turvallisuus nimittäin rakentuu tälle taustalla olevalle rakenteelle.

Mistä tämä perustuu

Asetus itse on saatavilla EUR-Lexissä. Viitaamme jokaisen väitteen kohdalla; sinun ei tarvitse uskoa meitä.

Mitä sinun on konkreettisesti tehtävä

Mitä sinulta odotetaan

Tietojen saannin oikea asettaminen

ESPR:n artikla 10 (asetus (EU) 2024/1781) tekee eron tietojen välillä, jotka ovat kaikkien saatavilla, ja tietojen välillä, jotka on tarkoitettu vain tietyille osapuolille, kuten valvontaviranomaisille tai muille toimitusketjun osapuolille. 10–100 työntekijän yritykselle tämä käytännössä tarkoittaa, että kaikki tuotteesta olemassa olevat tiedot eivät ole näkyvissä kuluttajalle, joka skannaa QR-koodia. Joka passia valmistaa, ilmoittaa, mitkä tiedot ovat julkisia ja mitkä pysyvät rajoitetusti saatavilla — tämä jako ei ole kiinteä tekniikassa, vaan seuraa toimitetuista tiedoista.

Huolehtiminen, että tietoja ei voida muuttaa huomaamatta

ESPR:n artikla 11 kuvailee vaatimuksia digitaalisen tuotepassin tekniselle suunnittelulle ja toiminnalle, mukaan lukien siihen sisältyvien tietojen luotettavuus. Se liittyy suoraan kysymykseen, voidaanko joku myöhemmin manipuloida passia. Merkin tai tuontiyrityksen kannalta tämä tarkoittaa, että kerran toimitetut ja julkaistut tiedot on oltava jäljitettävissä lähteeseen ja toimittamisen ajankohtaan. Myöhemmän muutoksen ei siis ole kysymys "tiedoston muuttamisesta", vaan uudesta, jäljitettävästä versiosta.

Tallentaminen siitä, kuka mitä tietoja toimitti

Kolmas käytännöllinen odotus, joka seuraa samoista artiklakohdan, on, että on oltava todistettavissa, kuka mitä tietoja toimitti ja milloin. Useille merkeille, yksityisille tuotteille tai useille valmistajille, jotka toimittavat yhden oikeushenkilön puitteissa, tämä tarkoittaa, että toimittamiseen liittyvä hallinto — kuka lähetti mikä sertifikaatti, mikä koostumus, mikä pesuohje — on oltava kunnossa. Se ei ole vain kysymys turvallisuudesta hakkereita vastaan, vaan myös todistettavuudesta: jos passi osoittautuu virheelliseksi, on voitava jäljittää, mistä nämä tiedot tulivat.

Passin kopioimisen estäminen tavoitteeksi

Kysymys "voiko joku väärennellä passiini" ei usein koske passia itseään, vaan dataa kantavaa välineistöä: QR-koodia vaatteessa. QR-koodi, joka yksinkertaisesti osoittaa linkille, on mahdollista kopioida väärennötylle tuotteelle. Se, miten dataa kantava väline asetetaan paikkaansa ja mikä yhteys se muodostaa tuotteen yksilölliseen tunnistetietoihin, määrittää osittain, kuinka vaikeaa se on. Lisätietoa siitä, miten koodi päätyy vaatteeseen, on pagella miten QR-koodi tuotepasiin vaatteisiin ja tekstiileihin tulee.

Missä asiat menevät pieleen käytännössä

Ensimmäinen usein esiintyvä tilanne: yritys antaa toimittajalle tai ulkoiselle toimistolle tuotepassin täyttämisen, mutta ei säilytä omaa kopiota siitä, mitä on toimitettu. Jos myöhemmin herää kysymys tiedon oikeellisuudesta, ei enää ole mahdollista jäljittää, kuka tiedon on syöttänyt ja minkä asiakirjan perusteella.

Toinen tilanne syntyy, kun tuotantolinjaa muutetaan — eri kuitukoostumus, eri pesyohjeet — mutta olemassa olevaa passia ei päivitetä vastaavasti. Passi jää verkkoon vanhentunein tiedoin, mikä voi näyttää väärentämiseltä, vaikka se oikeastaan on hallintavirhe. Tämä liittyy kysymykseen siitä, miten jo julkaistun passiin tehtävä virhe korjataan; tämä on kuvattu laajemmin sivulla, joka käsittelee virhe julkaistussa tuotepassissa.

Kolmas tilanne: QR-koodi tulostetaan tuotteesta erillään etikettiin, joka on helppo poistaa ja siirtää toiseen vaatteeseen. Ilman vahvaa sitoutumista koodin ja tietyn tuotteen ainutlaatuisen tunnistuksen välillä, väärentäminen yksinkertaisesti etikettien uudelleenkiinnittämisellä on ilmeinen mahdollisuus. Kuinka tuote saa ainutlaatuisen, siirtämättömän tunnistuksen, on kuvattu sivulla, joka käsittelee kunkin tuotteen ainutlaatuinen tunnistuskoodi.

Neljäs tilanne ilmenee yrityksissä, jotka rakentavat itse liitoksen ERP-järjestelmänsä ja passin välille ilman, että on selvästi määritelty, keiden organisaation sisällä henkilöiden pääsy tietojen muuttamiseen on. Jos useat työntekijät voivat kirjoittaa hallitsemattomasti pohjimmaiseen järjestelmään, syntyy riski, joka ei tule ulkoapäin vaan sisältä. Joka harkitsee oman järjestelmän liittämistä, löytää lisätietoa huomioitavista asioista sivulta, joka käsittelee tuotepassin liittäminen omaan ERP- tai varastojärjestelmään.

Viides tilanne: yritys lopettaa kokoelman tai siirtyy toiselle kumppanille, eikä kukaan muista pohtia, mitä jo julkaistuille passeille tapahtuu. Passi, jota ei enää ylläpidetä mutta joka jää verkkoon, on houkuttelevampi väärinkäyttökohde kuin aktiivisesti hallittu passi.

Mitä voit dokumentoida

Luettelo organisaation sisällä (tai ulkoisen osapuolen kautta) valtuutetuista henkilöistä tietojen toimittamiseen tai muuttamiseen, sekä päivämäärä, jolloin tämä toimivalta on myönnetty.
Kopio kaikista asiakirjoista, jotka on toimitettu passiin liittyen — sertifikaatit, koostumuksen ilmoitukset, pesyohjeet — yhdistettynä toimittamisen päivämäärään ja toimittavan osapuolen nimeen.
Dokumentoitu menettely siitä, mitä tehdään, jos julkaistussa pasissa havaitaan virhe: kuka voi pyytää muutosta ja miten muutos dokumentoidaan.
Sopimukset toimittajien tai valmistajien kanssa siitä, kuka vastaa tietojen oikeellisuudesta millä osin, erityisen tärkeää silloin, kun tuote kuuluu useiden tuotepassien piiriin samanaikaisesti .
Luettelo tuotevariantista — koko, väri, koostumus — siitä, mikä ainutlaatuinen tunnistus sille on määritetty, jotta jälkikäteen voidaan tarkistaa, kuuluuko koodi oikeaan tuotteeseen; katso myös sivua, joka käsittelee saako jokainen koko ja väri oman tuotepassin.
Dokumentoitu päätös siitä, mitä passeille tehdään liiketoiminnan tai brändin lopettamisen yhteydessä, jotta tätä ei päätetä ad hoc silloin kun se tulee ajankohtaiseksi.

Tämä ei ole oikeudellista neuvontaa. Tämä sivu tarjoaa yleistietoa sääntelystä, jota tämä alusta koskee. Emme tunne tilannettasi. Jos epäilet omaasi, neuvottele oikeustieteilijän tai toimivaltaisen valvontaviranomaisen kanssa.

Kirjoitettu tekoälyllä edellä olevien lähteiden perusteella, tarkistettu ihmisen toimesta 2026-09-05. Onko jotain pieleen? Kerro meille — korjaukset saavat etusijan.