hoe wordt voorkomen dat iemand mijn productpaspoort gegevens hackt of vervalst

Beveiliging zit in het ontwerp, niet als toevoeging achteraf

Het productpaspoort wordt zo gebouwd dat gegevens niet ongemerkt aangepast kunnen worden en dat duidelijk is wie welke informatie heeft aangeleverd. De ESPR schrijft voor dat het digitale productpaspoort technisch zo wordt opgezet dat de herkomst van gegevens vaststaat, dat wijzigingen herleidbaar zijn tot de partij die ze heeft aangebracht, en dat de toegang tot het aanpassen van gegevens beperkt is tot wie daar recht op heeft. Dat is geen los beveiligingslaagje dat een platform er bovenop legt, maar een eis die in de kern van het paspoort zelf verankerd zit: elk paspoort heeft een vaste, unieke koppeling aan het product, en die koppeling — inclusief de historie van wat erin is gezet — moet controleerbaar zijn.

Voor wie dit geldt, en wat erbuiten valt

Deze eis geldt voor het paspoort als geheel: de manier waarop gegevens worden opgeslagen, wie ze mag wijzigen, en hoe herleidbaar is wat wanneer is ingevoerd. Het gaat dus niet over de vraag of een paspoort "hackproof" is in de zin dat elke vorm van misbruik technisch onmogelijk is gemaakt — die garantie geeft geen enkel systeem, en de ESPR belooft dat ook niet. Het gaat om waarborgen tegen ongeautoriseerde toegang en tegen manipulatie zonder dat dit traceerbaar is. Ook belangrijk om te scheiden: de beveiliging van de gegevens in het paspoort is iets anders dan de vraag hoe iemand bij het paspoort komt. Dat laatste loopt via de QR-code op het product en, waar van toepassing, via GS1 Digital Link als technische standaard voor die koppeling. De beveiliging waar dit artikel over gaat, zit dus niet in de QR-code zelf, maar in het systeem daarachter waar de gegevens staan.

Verder valt hieronder niet de vraag wie inhoudelijk verantwoordelijk is voor de juistheid van de gegevens. Een beveiligd systeem voorkomt dat een onbevoegde derde iets aanpast; het voorkomt niet dat de partij die de gegevens aanlevert een fout maakt. Voor dat onderwerp — een fout die er eenmaal in staat — is er een apart antwoord over een fout in een gepubliceerd paspoort aanpassen.

Nog geen vaste datum, wel een vaste richting

Wanneer deze eisen concreet ingevuld worden voor kleding en textiel, hangt af van de gedelegeerde handeling die de Europese Commissie voor deze productgroep opstelt. Die wordt volgens het huidige werkplan verwacht in 2027, met kleding die voor tachtig procent of meer uit textielvezels bestaat als eerste categorie. Een exacte datum waarop het productpaspoort — en daarmee ook de beveiligingseisen in de praktijk — verplicht wordt voor kleding, staat nog niet vast. Wat al wel vaststaat, is het kader uit de ESPR zelf: de artikelen over vereisten en technisch ontwerp van het paspoort gelden als basis, en de gedelegeerde handeling vult die verder in per productgroep. Zodra die handeling gepubliceerd is, wordt deze pagina bijgewerkt met de datum die dan geldt.

Wat dit in de praktijk betekent voor de opzet van een paspoort

De eerste stap is te weten dat de herkomst van gegevens een vaste plek heeft in het systeem: van elk stukje informatie in het paspoort staat vast wie het heeft aangeleverd en wanneer. Dat betekent dat een kledingmerk of importeur dat gegevens doorgeeft aan de partij die het paspoort samenstelt, zich niet apart hoeft te bekommeren om de technische beveiliging tegen manipulatie — dat zit in het ontwerp van het paspoort zelf, niet in wat de aanleverende partij eraan toevoegt. Waar wel aandacht naar uitgaat, is de eigen kant van het proces: hoe gegevens worden aangeleverd en of dat proces zelf controleerbaar is. Wie overweegt gegevens rechtstreeks te laten doorlopen vanuit een eigen bedrijfssysteem, bijvoorbeeld door het paspoort te koppelen aan een ERP- of voorraadsysteem, doet er goed aan om te kijken hoe die koppeling zelf beveiligd is — want een lek aan die kant van de lijn ondermijnt de betrouwbaarheid van het paspoort net zo goed als een zwakte in het paspoort zelf.

Een tweede punt om in het achterhoofd te houden: de vraag naar beveiliging tegen vervalsing hangt nauw samen met de vraag hoe lang gegevens beschikbaar en betrouwbaar moeten blijven. Voor dat onderwerp is er een apart antwoord over hoe lang een paspoort beschikbaar moet blijven — beveiliging is namelijk niet iets dat eenmalig op orde is bij publicatie, maar iets dat over de hele looptijd van het paspoort overeind moet blijven.

De wettelijke basis: artikel 10 en 11 van de ESPR

Deze eisen volgen uit artikel 10 van de ESPR (Verordening (EU) 2024/1781), dat de algemene vereisten voor het digitale productpaspoort vastlegt, en uit artikel 11 van dezelfde verordening, dat specifiek gaat over het technisch ontwerp en de werking van het paspoort. Samen vormen deze artikelen het kader waarbinnen herkomst van gegevens, toegangsbeheer en traceerbaarheid van wijzigingen geregeld worden. De precieze technische invulling — welke standaarden, welke protocollen — wordt verder uitgewerkt in de gedelegeerde en uitvoeringshandelingen die de Commissie per productgroep vaststelt.

Wie nu al een productpaspoort voorbereidt, kan het beste beginnen bij de basis: zorgen dat elk product een unieke identificatiecode krijgt, en nagaan welke gegevens straks in het Europese register van productpaspoorten terechtkomen — de beveiliging van het paspoort bouwt namelijk voort op die onderliggende structuur.

Waar dit op gebaseerd is

De verordening zelf staat op EUR-Lex. Wij verwijzen per bewering; u hoeft ons niet te geloven.

Wat u concreet moet doen

Wat er van u wordt verwacht

Toegang tot gegevens correct instellen

Artikel 10 van de ESPR (Verordening (EU) 2024/1781) maakt onderscheid tussen gegevens die voor iedereen toegankelijk zijn en gegevens die alleen bestemd zijn voor specifieke partijen, zoals toezichthouders of marktdeelnemers verder in de keten. Voor een bedrijf van 10 tot 100 medewerkers betekent dit in de praktijk dat niet alle informatie die over een product bestaat, ook zichtbaar hoort te zijn voor de consument die de QR-code scant. Wie het paspoort laat samenstellen, geeft daarbij aan welke gegevens publiek zijn en welke beperkt toegankelijk blijven — die indeling ligt niet vast in een technisch systeem, maar volgt uit de gegevens die worden aangeleverd.

Zorgen dat gegevens niet ongemerkt veranderd kunnen worden

Artikel 11 van de ESPR beschrijft eisen aan het technisch ontwerp en de werking van het digitale productpaspoort, waaronder de betrouwbaarheid van de gegevens die erin staan. Dat raakt direct de vraag of iemand achteraf kan knoeien met een paspoort. Voor een merk of importeur betekent dit dat de gegevens die eenmaal zijn aangeleverd en gepubliceerd, herleidbaar moeten blijven naar de bron en het moment van aanlevering. Een wijziging achteraf is dus geen kwestie van "het bestand aanpassen", maar van een nieuwe, herleidbare versie.

Bewaren wie welke gegevens heeft aangeleverd

Een derde praktische verwachting die uit dezelfde artikelen volgt, is dat aantoonbaar moet zijn wie welke gegevens heeft aangeleverd en wanneer. Voor bedrijven met meerdere merken, private labels of meerdere fabrikanten die onder één BV leveren, betekent dit dat de administratie rond aanlevering — wie stuurde welk certificaat, welke samenstelling, welke wasinstructie — op orde moet zijn. Dat is niet alleen een kwestie van beveiliging tegen hackers, maar ook van bewijsbaarheid: als een paspoort onjuist blijkt, moet te achterhalen zijn waar die informatie vandaan kwam.

Voorkomen dat het paspoort een kopieerbaar doelwit wordt

De vraag "kan iemand mijn paspoort vervalsen" gaat vaak niet over het paspoort zelf, maar over de datadrager: de QR-code op het kledingstuk. Een QR-code die simpelweg naar een linkje verwijst, is te kopiëren naar een nagemaakt product. Hoe die datadrager wordt aangebracht en welke koppeling die legt met de unieke identiteit van het product, bepaalt mede hoe moeilijk dat is. Meer over de manier waarop die code op het kledingstuk terechtkomt, staat beschreven op de pagina over hoe de QR-code voor het productpaspoort op kleding en textiel komt.

Waar het misgaat in de praktijk

Een eerste situatie die vaak voorkomt: een bedrijf laat een leverancier of extern bureau het paspoort vullen, maar heeft zelf geen kopie van wat precies is aangeleverd. Als er later een vraag komt over de juistheid van een gegeven, is niet meer te reconstrueren wie dat gegeven heeft ingevoerd en op basis van welk document.

Een tweede situatie ontstaat wanneer een productielijn wordt aangepast — een andere vezelsamenstelling, een andere wasinstructie — maar het bestaande paspoort niet mee wordt bijgewerkt. Het paspoort blijft dan online staan met verouderde informatie, wat op een vervalsing kan lijken terwijl het eigenlijk een beheerfout is. Dit raakt de vraag hoe een fout in een al gepubliceerd paspoort te herstellen is, wat uitgebreider beschreven staat op de pagina over een fout ontdekken in een gepubliceerd productpaspoort.

Een derde situatie: een QR-code wordt los van het product gedrukt op een label dat makkelijk te verwijderen en te verplaatsen is naar een ander kledingstuk. Zonder een stevige koppeling tussen de code en een unieke identificatie van het specifieke product, ligt vervalsing via het simpelweg overplakken van een label voor de hand. Hoe een product een unieke, niet-overdraagbare identificatie krijgt, staat beschreven op de pagina over elk product een unieke identificatiecode geven.

Een vierde situatie doet zich voor bij bedrijven die zelf een koppeling bouwen tussen hun ERP-systeem en het paspoort, zonder helder te maken wie binnen de organisatie toegang heeft om gegevens te wijzigen. Als meerdere medewerkers ongecontroleerd in het onderliggende systeem kunnen schrijven, ontstaat een risico dat niet van buiten komt, maar van binnen. Wie overweegt een eigen systeem te koppelen, vindt meer over de aandachtspunten daarbij op de pagina over het productpaspoort koppelen aan een eigen ERP- of voorraadsysteem.

Een vijfde situatie: een bedrijf stopt met een collectie of gaat over naar een andere partner, en niemand denkt aan de vraag wat er met de al gepubliceerde paspoorten gebeurt. Een paspoort dat niet meer wordt onderhouden maar wel online blijft staan, is een aantrekkelijker doelwit voor misbruik dan een paspoort dat actief wordt beheerd.

Wat u kunt vastleggen

Een overzicht van wie binnen de organisatie (of bij een externe partij) bevoegd is om gegevens aan te leveren of te wijzigen, inclusief een datum waarop die bevoegdheid is toegekend.
Een kopie van alle documenten die zijn aangeleverd ten behoeve van het paspoort — certificaten, samenstellingsverklaringen, wasinstructies — gekoppeld aan de datum van aanlevering en de naam van de aanleverende partij.
Een vastgelegde procedure voor het geval een fout wordt ontdekt in een gepubliceerd paspoort: wie mag de wijziging aanvragen, en hoe wordt die wijziging gedocumenteerd.
Afspraken met leveranciers of fabrikanten over wie verantwoordelijk is voor de juistheid van welk onderdeel van de gegevens, vooral relevant wanneer een product onder meerdere productpaspoorten tegelijk valt.
Een overzicht per productvariant — maat, kleur, samenstelling — van welke unieke identificatie daaraan is toegekend, zodat naderhand te controleren is of een code bij het juiste product hoort; zie ook de pagina over of elke maat en kleur een eigen productpaspoort krijgt.
Een vastgelegd besluit over wat er met de paspoorten gebeurt bij stopzetting van een bedrijfsactiviteit of merk, zodat dit niet ad hoc wordt beslist op het moment dat het zich voordoet.

Dit is geen juridisch advies. Deze pagina geeft algemene informatie over de regelgeving waar dit platform over gaat. Wij kennen uw situatie niet. Bij twijfel over uw eigen geval raadpleegt u een jurist of de bevoegde toezichthouder.

Geschreven met AI op basis van de bronnen hierboven, gecontroleerd door een mens op 2026-09-05. Klopt er iets niet? Laat het weten — correcties krijgen voorrang.