kako se osigurava da nitko ne hakira ili ne falsificira moje podatke iz digitalnog proizvodnog dosjeа

Sigurnost je ugrađena u dizajn, a ne kao naknadni dodatak

Digitalno productpaspoort se gradi tako da se podaci ne mogu neprimetno promeniti i da je jasno vidljivo ko je koju informaciju dostavio. ESPR propisuje da se digitalno productpaspoport tehnički postavi tako da se utvrdi poreklo podataka, da se izmene mogu pratiti do strane koja ih je unela, i da je pristup izmeni podataka ograničen samo na onoga ko ima pravo na to. To nije odvojeni slojem bezbednosti koji platforma naknadno postavlja, već zahtev koji je ukorenjen u jezgri samog pasporta: svaki pasport ima fiksnu, jedinstvenu vezu sa proizvodom, i ta veza — uključujući istoriju onoga što je u njega uneto — mora biti kontrolabilna.

Za koga važi ova odredba i što je isključeno

Ova odredba važi za pasport u celosti: na način na koji se podaci čuvaju, ko sme da ih menja, i kako se može pratiti šta je kada uneto. Dakle, nije reč o tome da li je pasport "zaštićen od hakerskog napada" u smislu da je svaki oblik zloupotrebe tehnički onemogućen — nijedan sistem ne daje takvu garanciju, i ESPR to ne obećava. Radi se o zaštiti od neovlašćenog pristupa i manipulacije koja se ne može pratiti. Jednako je važno razlikovanje: bezbednost podataka u pasportu je nešto sasvim drugo od pitanja kako neko dolazi do pasporta. Potonje ide preko QR-kodu na proizvodu i, gde je to primenjivo, preko GS1 Digital Link kao tehnički standard za tu vezu. Bezbednost o kojoj govori ovaj članak, dakle, nije u samom QR-kodu, već u sistemu iza njega gde se podaci nalaze.

Dalje se ovdje ne odnosi pitanje tko je sadržajno odgovoran za točnost podataka. Zaštićeni sustav sprječava da neovlaštena treća osoba nešto izmijeni; ne sprječava da stranka koja dostavljaju podatke pogriješi. Za tu temu — grešku koja je jednom uključena — postoji zaseban odgovor o ispravljanju greške u objavljenom pasposu.

Nema još fiksnog datuma, ali ima fiksnog smjera

Kada se ti zahtjevi konkretno popune za odjeću i tekstil, ovisi o delegiranoj uredbi koju Europska komisija priprema za tu skupinu proizvoda. Prema trenutnom planu rada, očekuje se u 2027., s odjećom koja se sastoji od osamdeset posto ili više tekstilnih vlakana kao prve kategorije. Točan datum kada će digitalni proizvodni pas — a time i sigurnosni zahtjevi u praksi — postati obavezan za odjeću, još nije određen. Ono što je već određeno jest okvir iz same ESPR-a: članci o zahtjevima i tehničkom oblikovanju pasosa služe kao osnova, a delegirana uredba dalje to popunjava po skupini proizvoda. Čim se ta uredba objavi, ta će se stranica ažurirati s datumom koji tada vrijedi.

Što to praktično znači za strukturu pasosa

Prvi korak je znati da izvor podataka ima stalnu mjesto u sustavu: za svaki komad informacije u pasusu jasno stoji tko ga je dostavio i kada. To znači da modna marka ili uvoznik koji prosleđuje podatke stranci koja sastavlja pas ne mora se posebno brinuti o tehničkoj zaštiti od manipulacije — to je ugrađeno u oblikovanje samog pasosa, a ne u ono što dodaje stranka koja dostavljaju. Što se analizira, je vlastita strana procesa: kako se dostavljaju podaci i je li sam taj proces provjerljiv. Tko razmatra da podaci izravno prođu iz vlastitoga poslovnog sustava, primjerice kroz povezivanje pasosa s ERP- ili sustavom zaliha, bilo bi dobro da pogledaju kako je sama ta povezanost zaštićena — jer procurjena na toj strani linije potkopava pouzdanost pasosa baš kao i slabost u samom pasusu.

Drugo pitanje koje treba imati na umu: zahtjev za zaštitom od krivotvorenja usko je povezan s pitanjem koliko dugo podaci trebaju biti dostupni i pouzdani. Za tu temu postoji poseban odgovor o koliko dugo pasport mora ostati dostupan — sigurnost nije naime nešto što se jednom sredilo tijekom objavljivanja, već nešto što mora biti zaštićeno tijekom cijelog životnog vijeka pasprota.

Zakonska osnova: članci 10 i 11 ESPR-a

Ti su zahtjevi proizvedeni iz članka 10 ESPR-a (Uredba (EU) 2024/1781), koji utvrđuje opće zahtjeve za digitalni pasport proizvoda, te iz članka 11 iste uredbe, koji se odnosi specifično na tehnički dizajn i rad pasprota. Zajedno ti su članci okvir unutar kojega se reguliraju izvor podataka, kontrola pristupa i pratljivost izmjena. Točnu tehničku provedbu — koje standarde, koje protokole — dalje detaljira Komisija kroz delegirane i izvršne akte koje donosi po skupini proizvoda.

Onaj tko već sada priprema pasport proizvoda, najbolje je da počne od osnove: osigurati da svaki proizvod bude jedinstvenog koda za identifikaciju dobije, i provjeriti koje će se podatke kasnije nalaziti u Europskom registru pasporta proizvoda — sigurnost pasprota gradi se naime na toj temeljnoj strukturi.

Na čemu se ovo temelji

Sama uredba dostupna je na EUR-Lex-u. Pozivamo se za svaku tvrdnju; ne trebate nam vjerovati.

Što konkretno morate učiniti

Što se od vas očekuje

Ispravan postavljanje pristupa podacima

Članak 10 ESPR-a (Uredba (EU) 2024/1781) razlikuje podatke koji su dostupni svima od podataka koji su namijenjeni samo određenim strankama, kao što su nadzorni organi ili drugi sudionici u lancu. Za tvrtku od 10 do 100 radnika to u praksi znači da nisu sve informacije o proizvodu dostupne niti trebale bi biti vidljive potrošaču koji skenira QR-kod. Onaj tko daje sastaviti pasport, pri tome navodi koje su podatke javne i koje ostaju ograničeno dostupne — ta je podjela ne fiksira u tehničkom sustavu, već proizlazi iz podataka koji se dostave.

Osigurati da se podaci ne mogu nedetektirano promijeniti

Članak 11 ESPR-a opisuje zahtjeve u vezi s tehničkim dizajnom i radom digitalnog pasprota proizvoda, uključujući pouzdanost podataka koji u njemu stoje. To se direktno tiče pitanja može li netko kasnije manipulirati pasportom. Za marku ili uvoznika to znači da se podaci koji su dostavljeni i objavljeni trebaju moći pratiti do izvora i trenutka dostave. Kasnija je promjena dakle ne stvar "prilagođavanja datoteke", već nove, pratljive verzije.

Evidencija koji je podatke dostavio

Treće praktično očekivanje koje proizlazi iz istih članaka je da mora biti dokazivo koji je podatke dostavio i kada. Za tvrtke s više marki, privatnih oznaka ili više proizvođača koje isporučuju pod jednom d.o.o., to znači da administrativni dio dostave — tko je poslao koji certifikat, koju tekstilnu smjesu, koje upute za pranje — mora biti na mjestu. To nije samo pitanje sigurnosti od hakera, već i pitanje dokazivosti: ako se pasport pokaže netočnim, mora se moći utvrditi odakle su ti podaci došli.

Sprječavanje da pasport postane kopljivo mete

Pitanje "može li netko krivotvoriti moj pasport" često se ne tiče samoga pasprota, već nositelja podataka: QR-koda na odjevnom komadu. QR-kod koji jednostavno vodi na poveznicu može se kopirati na falsificirani proizvod. Na koji način se nositelj podataka nanosi i koju vezu uspostavlja s jedinstvenom identitetom proizvoda, čini dijelom koliko je teško to napraviti. Više o načinu na koji taj kod dospijeva na odjevni komad opisano je na stranici o kako QR-kod putovnice proizvoda dolazi na odjeću i tekstil.

Gdje stvari krenu po zlu u praksi

Prva često se javljajuća situacija je sljedeća: poduzeće omogući dobavljaču ili vanjskoj agenciji da ispuni pasaport, ali samo nije kopija onoga što je točno isporučeno. Ako kasnije dođe do pitanja o točnosti pojedinog podatka, nije više moguće rekonstruirati tko je taj podatak unio i na osnovu kojeg dokumenta.

Druga situacija nastaje kada se proizvodna linija prilagodi — druga sastav vlakana, drugačija uputa za pranje — ali se postojeći pasaport ne ažurira istovremeno. Pasaport ostaje tada objavljeni na internetu sa zastarjelim informacijama, što može izgledati kao falsifikacija, iako je zapravo greška u upravljanju. To se tiče pitanja kako ispraviti grešku u već objavljenom pasaportu, što je detaljnije opisano na stranici o otkrivanju greške u objavljenom proizvodnом pasu.

Treća situacija: QR-kod se ispisuje odvojeno od proizvoda na etiketi koja se lako može ukloniti i premjestiti na drugi odjevni komad. Bez čvrste veze između koda i jedinstvene identifikacije specifičnog proizvoda, lako je doći do falsifikacije jednostavnim lijepljenjem nove etikete preko stare. Kako proizvod dobiva jedinstvenu, neprekidnu identifikaciju, opisano je na stranici o svakom proizvodu dodijeliti jedinstveni kod identifikacije.

Četvrta situacija javlja se kod poduzeća koja sama grade poveznicu između svojeg ERP-sustava i pasaporta, ne navodeći jasno tko u organizaciji ima pristup za izmjenu podataka. Ako više zaposlenika nekontrolirano može pisati u temeljni sustav, nastaje rizik koji ne dolazi spolja, već iznutra. Tko razmatra vlastiti sustav za povezivanje, nalazit će više o mjestima na kojima treba paziti na stranici o povezati produktni pasaport s vlastitim ERP- ili sustavom za upravljanje zalihama.

Peta situacija: poduzeće prestaje s kolekcijom ili prelazi na drugoga suradnika, a nitko ne razmišlja o tome što se događa s već objavljenim pasaportima. Pasaport koji se više ne održava, ali ostaje na internetu, privlačniji je cilj za zloupotrebu nego pasaport koji se aktivno upravlja.

Što možete dokumentirati

Popis osoba u organizaciji (ili kod vanjske stranke) koje su ovlaštene za dostavu ili izmjenu podataka, uključujući datum kada je ta ovlast dodijeljena.
Kopija svih dokumenata koji su dostavljeni za potrebe pasaporta — certifikate, izjave o sastavu, upute za pranje — povezane s datumom dostave i imenom stranke koja je dostavljala.
Utvrđeni postupak za slučaj da se otkrije greška u objavljenom pasaportu: tko smije zatražiti izmjenu i kako se ta izmjena dokumentira.
Dogovori s dobavljačima ili proizvođačima o tome tko je odgovoran za točnost kojeg dijela podataka, posebno relevantno kada proizvod pada pod više produktnih pasaporta istovremeno nema.
Pregled po varijanti proizvoda — veličina, boja, sastav — koje jedinstvene identifikacije su joj dodijeljene, tako da se kasnije može provjeriti da li kod pripada ispravnom proizvodu; pogledajte također stranicu o dobiva li svaka veličina i boja vlastitu putovnicu proizvoda.
Donesen odlukom o tome što se događa s pasaportima pri zaustavljanju poslovne djelatnosti ili marke, kako to ne bi bilo odlučeno ad hoc u trenutku kada se dogodi.

Ovo nije pravna savjet. Ova stranica pruža opće informacije o regulativi na koju se ova platforma odnosi. Ne poznajemo vašu situaciju. Ako sumnjate u vlastiti slučaj, obratite se pravniku ili nadležnom nadzornom tijelu.

Napisano s AI na temelju gore navedenih izvora, provjereno od čovjeka 5. rujna 2026.\n Nešto nije u redu? Javite nam — ispravke imaju prioritet.