kaip užkertamas kelias tam, kad kas nors ne mano produkto paso duomenis nesuklastotų ar nehacktų

Saugumas yra integruotas į dizainą, ne – prijungiama vėliau

Produkto pasportą sudarant užtikrinama, kad duomenys negali būti modifikuoti nepalikę pėdsakų ir kad yra aiški, kas kokią informaciją pateikė. ESPR nustato, kad skaitmeninis produkto pasportą turi būti sukurtas taip, kad duomenų šaltinis būtų nustatomas, kad pakeitimai būtų atsekiami iki jų atlikusios šalies, ir kad prieiga prie duomenų keitimo būtų suvaržyta tik tiems, kurie tam turi teisę. Tai ne atskiras saugumo sluoksnis, kurį platforma prideda viršuje, bet reikalavimas, kuris yra įkisutas į patį pasporto branduolį: kiekvienas pasportas turi nuolatinį, unikalų ryšį su produktu, ir tas ryšys — kartu su tuo, kas jame buvo įdėta, istorija — turi būti patikrinamas.

Kam tai taikoma ir kas nepatenka

Šis reikalavimas taikomas pasportui kaip visumą: tam, kaip duomenys saugomi, kas juos gali keisti ir kaip atsekiama, kas ir kada buvo įvesta. Todėl tai nėra apie klausimą, ar pasportą neįmanoma sulaužyti ta prasme, kad bet kokia piktnaudžiavimo forma techniškai neįmanoma — joks kaip nors sistema to nežada, ir ESPR to neobещает. Tai yra garantijos prieš neleistiną prieigą ir manipuliaciją be to, kad tai būtų atsekiama. Taip pat svarbu atskirti: duomenų saugumas pasporte yra kas kita nei klausimas, kaip kas nors prie pasporto prieina. Pastarasis vyksta per QR kodą ant produkto ir, jei taikytina, per GS1 Digital Link kaip techninį standartą tam ryšiui. Saugumas, apie kurį šiame straipsnyje rašoma, yra ne pačiame QR kode, bet sistemoje, kurioje stovi duomenys.

Toliau šis neapima klausimo, kas turinio požiūriu atsakingas už duomenų teisingumą. Saugios sistemos neatbaigia neleistino trečiosios šalies pakeitimų; jis nesutrukdo duomenis pateikiančiai šaliai padaryti klaidos. Dėl to — klaida, kuri jau yra paskelbtuose pasportuose — yra atskiras atsakymas apie klaidos taisymą paskelbtuose pasporte.

Dar nėra fiksuotos datos, bet yra fiksuota kryptis

Kai šie reikalavimai konkrečiai išaiškinti drabužiams ir tekstilei, tai priklauso nuo Europos Komisijos nustatytos delegavimo akto šiai produktų grupei. Pagal dabartinį darbo planą jis turėtų atsirasti 2027 m., o pirmiausia bus nagrinėjami drabužiai, kurie iš tachtigalių procento ar daugiau susideda iš tekstilės skaidulų. Tikslus produkto pasporto — ir dėl to ir saugumo reikalavimų praktikoje — įsigaliojimo data dar nėra apibrėžta. Tai, kas jau yra apibrėžta, yra paties ESPR aprašytas karkasas: pasporto reikalavimų ir techninio dizaino straipsniai yra pagrindas, o delegavimo aktas tai toliau atskleidžia kiekvienai produktų grupei. Kai tik tas aktas bus paskelbtas, šis puslapis bus atnaujintas su tada taikoma data.

Ką tai praktikoje reiškia pasporto struktūrai

Pirmas žingsnis — žinoti, kad duomenų šaltinis turi nuolatinę vietą sistemoje: kiekvienas pasporto informacijos gabalas turi nustatytą, kas jį pateikė ir kada. Tai reiškia, kad kleidimo ženklas arba importuotojas, kuris perduoda duomenis šaliai, kuri pasportą surenka, nereikalingas rūpintis technine apsauga nuo manipuliavimo — tai yra pačiame pasporto dizaine, o ne tas, ką prideda pateikianti šalis. Kur derinamas dėmesys, yra pačios proceso pusės: kaip duomenys perduodami ir ar tas procesas pats yra patikrinamas. Jei kas nors svarsto daryti duomenis praleisti tiesiogiai iš savos verslo sistemos, pavyzdžiui, pasportą sujungti su ERP- arba atsargų sistema, turėtų pasirūpinti, kaip tas sujungimas pats yra saugus — nes nuotėkis iš tos linijos pusės pagrindžia pasporto patikimumą bet kokia silpnybe pačiame pasporte.

Antrasis dalykas, kurį reikia turėti omenyje: klastojimui atsparaus saugumo reikalavimas glaudžiai siejasi su klausimu, kaip ilgai duomenys turi būti prieinami ir patikimi. Šiai temai yra atskiras atsakymas apie kiek laiko pasportą turi būti galima naudoti — saugumas totiž nėra kažkas, ką galima pamėginti ir baigti vienu metu publikavimo metu, bet kažkas, kas turi likti veiklus per visą pasporto galiojimo laikotarpį.

Teisinė pagrindas: ESPR 10 ir 11 straipsniai

Šie reikalavimai kyla iš ESPR (Europos Parlamento ir Tarybos reglamentas (ES) 2024/1781) 10 straipsnio, kuriame nustatyti bendrieji skaitmeninio produkto pasporto reikalavimai, ir iš tos pačios reglamentacijos 11 straipsnio, kuriame konkrečiai kalbama apie pasporto techninį projektavimą ir veikimą. Šie straipsniai kartu sudaro pagrindą, kuriame nustatomi duomenų šaltinis, prieigos kontrolė ir pakeitimų atsekamumo vedimas. Tikslus techninis įgyvendinimas — kokie standartai, kokie protokolai — toliau išsamiai aprašytas Komisijos priimtuose pagal produktų grupes parengtose ir įgyvendinimo priemonėse.

Jei dabar jau ruošiate produkto pasportą, geriausia pradėti nuo pagrindo: užtikrinti, kad kiekvienas produktas gautų unikalaus identifikavimo kodo ir patikrinti, kokie duomenys vėliau pateks į Europinį produkto pasportų registrą — pasporto saugumas iš tiesų sukūrtas remiantis ta pagrindine struktūra.

Šiuo grindžiama

Pats reglamentas yra EUR-Lex. Nurodome pagal kiekvieną teiginį; jūs mums tikėti neturite.

Ką konkrečiai turite daryti

Ko iš jūsų tikimasi

Teisingai nustatyti prieigą prie duomenų

ESPR 10 straipsnis (Reglamentas (ES) 2024/1781) skiria duomenis, kurie yra prieinami visiems, nuo duomenų, kurie skirti tik konkretiems subjektams, pavyzdžiui, priežiūros institucijoms arba rinkos dalyviams toliau tiekimo grandinėje. Praktiškai tai reiškia, jog įmonei, kurioje dirba nuo 10 iki 100 darbuotojų, ne visa informacija apie produktą, kuri egzistuoja, turėtų būti matoma vartotojui, kuris nuskaito QR kodą. Tas, kuris užsako pasporto sudaryti, nurodo, kurie duomenys yra viešai prieinami ir kurie lieka riboto prieigos — ta klasifikacija nėra fiksuota techninėje sistemoje, o atitinka pateiktus duomenis.

Užtikrinti, kad duomenys negalėtų būti nežymiai pakeisti

ESPR 11 straipsnis apibūdina reikalavimus skaitmeninės produkto paso techniniam projektavimui ir veikimui, įskaitant jame esančių duomenų patikimumą. Tai tiesiogiai liečia klausimą, ar vėliau kas nors galėtų manipuliuoti pasportu. Prekės ženklui ar importuotojui tai reiškia, kad duomenys, kurie kartą buvo pateikti ir publikuoti, turi likti šaltiniui ir pateikimo momentui sutraceruojami. Vėliau atliktas pakeitimas taigi nėra "failo redagavimo" reikalas, o naujos, sutraceruojamos versijos reikalas.

Saugoti, kas pateikė kokius duomenis

Trečias praktinis lūkestis, kylantis iš tų pačių straipsnių, yra tas, kad turi būti įrodyta, kas pateikė kokius duomenis ir kada. Įmonėms, turinčioms kelis ženklus, privačias etiketes arba kelis gamintojus, teikiančius paslaugas pagal vieną akcinę bendrovę, tai reiškia, kad administracija, susijusi su duomenų pateikimu — kas siuntė kokį sertifikatą, kokią sudėtį, kokias skalbimo instrukcijas — turi būti tvarkinga. Tai ne tik apsauga nuo nuoboduolių, bet ir įrodymų klausimas: jei pasas pasirodo neteisingas, turi būti galima nustatyti, iš kur ta informacija atėjo.

Užkirsti kelią tam, kad pasas taptų kopijuojamu taikiniu

Klausimas "ar kas nors gali suklastoti mano pasą" dažnai yra ne apie patį pasą, o apie duomenų nešiklį: QR kodą ant drabužio. QR kodas, kuris paprasčiausiai nurodo nuorodą, gali būti nukopijuotas į suklastotą produktą. Tai, kaip šis duomenų nešiklis yra pritvirtintas ir kokią jungtį jis sudaro su unikalia produkto tapatybe, iš dalies nulemia, kiek sunku tai yra. Daugiau informacijos apie tai, kaip šis kodas atsiduria drabužyje, rasite puslapyje apie kaip QR kodas dėl produkto paso atsiduria ant drabužio ir tekstilio.

Kur praktikoje nepavyksta

Pirma situacija, kuri dažnai pasitaiko: įmonė paprašo tiekėją arba išorinę biurą užpildyti pasportą, tačiau pati neturi kopijos, ką tiksliai buvo pateikta. Jei vėliau iškyla klausimas dėl duomenų tikslumo, nebenaudžio nustatyti, kas tą duomenį įvedė ir remiantis kokiu dokumentu.

Antra situacija susidaro, kai gamybos linija keičiama — keičiasi pluošto sudėtis, keičiasi skalbimo instrukcijos — tačiau esamas pasportas neatnaujinamas. Pasportas lieka internete su pasenusiais duomenimis, o tai gali atrodyti kaip klastotė, nors iš tikrųjų tai yra valdymo klaida. Tai susijęs su klausimu, kaip ištaisyti klaidą jau paskelbtame pasporte, kuris yra išsamiau aprašytas puslapyje apie klaidos aptikimas publikuotame produkto pasporte.

Trečia situacija: QR-kodas spausdinamas atskiras nuo produkto etikečioje, kurią lengva nuimti ir perklijuoti ant kito drabužio. Be stiprios ryšio tarp kodo ir unikali produkto identifikacijos, klastotė paprasčiausiai perkliju pertraukus etiketę yra akivaizdi. Kaip produktas gauna unikalų, negrąžinamą identifikavimą, aprašyta puslapyje apie kiekvienam produktui suteikti unikalų identifikavimo kodą.

Ketvirtoji situacija kyla įmonėms, kurios pačios sukuria ryšį tarp savo ERP sistemos ir pasporto, nenurodydamos aiškiai, kas organizacijoje turi prieigą duomenims keisti. Jei keli darbuotojai nesuvaržytai gali rašyti į pagrindinę sistemą, atsiranda rizika, kuri ateina ne iš lauko, o iš vidaus. Tie, kurie svarsto savos sistemos sujungimą, daugiau apie dėmesio punktus rasite puslapyje apie produkto pasportą sujungti su savo ERP ar atsargų sistema.

Penkta situacija: įmonė nutraukia kolekciją arba pereina prie kito partnerio, o niekas negalvoja, kas nutiksta jau paskelbtiems pasportams. Pasportas, kuris nėra toliau tvarkomas, bet lieka internete, yra patrauklesnė piktnaudžiavimo meta nei pasportas, kuris aktyviai tvarkomas.

Ką galite užfiksuoti

Sąrašas, kuris nurodo, kas organizacijoje (arba pas išorinę šalį) turi teisę pateikti arba keisti duomenis, įskaitant datą, kada ta teisė buvo suteikta.
Visų dokumentų, pateiktų pasportui — sertifikatų, sudėties deklaracijų, skalbimo instrukcijų — kopija, susieta su pateikimo data ir pateikusios šalies vardu.
Nustatyti procedūra atvejui, jei jau paskelbtame pasporte aptinkama klaida: kas gali prašyti pakeitimo ir kaip tas pakeitimas dokumentuojamas.
Susitarimai su tiekėjais arba gamintojais dėl to, kas atsakingas už duomenų tikslumo tam tikrą dalį, ypač svarbu, kai produktas priklauso keliems produktų pasportams vienu metu .
Sąrašas kiekvieną produkto variantą — dydį, spalvą, sudėtį — kuriam suteiktas unikalus identifikavimas, todėl vėliau galima patikrinti, ar kodas priklauso teisingam produktui; žr. taip pat puslapį apie ar kiekvienas dydis ir spalva gauna savo produkto pasą.
Įgyvendintas sprendimas dėl to, kas atsitinka pasportams, kai sustabdoma verslo veikla arba prekės ženklas, kad tai nebūtų sprendžiama ad hoc tuo metu, kai tai įvyksta.

Tai nėra teisinė konsultacija. Šis puslapis suteikia bendrą informaciją apie taisykles, kuriomis remiasi šis platform. Mes nežinome jūsų situacijos. Jei abejojate dėl jūsų konkrečios situacijos, pasitarkite su jurista arba atitinkama priežiūros institucija.

Parašyta naudojant AI remiantis aukščiau nurodytais šaltiniais, žmogaus patvirtinta 2026-09-05. Ar nežu kažkas neteisinga? Pranešite mums — pataisymai gaunami prioritetą.