w jaki sposób zapobiega się temu, aby ktoś włamał się do moich danych z paszportu produktu lub je sfałszował

Bezpieczeństwo jest wbudowane w projekt, a nie dodawane później

Paszport produktu jest skonstruowany w taki sposób, że dane nie mogą być zmieniane bez śladu i że jasne jest, kto dostarczył jakie informacje. ESPR nakłada wymóg, aby paszport cyfrowy był techniczne skonfigurowany w taki sposób, że pochodzenie danych jest ustalane, że zmiany są możliwe do prześledzenia do strony, która je wprowadza, i że dostęp do modyfikacji danych jest ograniczony do osób uprawnionych. To nie jest oddzielna warstwa bezpieczeństwa, którą platforma nakłada na wierzch, ale wymóg zakotwiczony w samym sercu paszportu: każdy paszport ma stałe, unikalne powiązanie z produktem, i to powiązanie — łącznie z historią tego, co w nim zostało umieszczone — musi być możliwe do weryfikacji.

Dla kogo to dotyczy i co jest wyłączone

Wymóg ten dotyczy paszportu jako całości: sposobu przechowywania danych, tego, kto może je modyfikować, i tego, jak można prześledzić, co i kiedy zostało wprowadzone. Nie chodzi zatem o pytanie, czy paszport jest "zabezpieczony przed włamaniami" w sensie, że każda forma nadużycia została technicznie uniemożliwiona — żaden system nie daje takiej gwarancji i ESPR tego nie obiecuje. Chodzi o zabezpieczenia przed nieautoryzowanym dostępem i manipulacją bez możliwości śledzenia. Ważne jest również rozróżnienie: zabezpieczenie danych w paszporcie to coś innego niż kwestia tego, jak ktoś uzyskuje dostęp do paszportu. To ostatnie odbywa się poprzez kodu QR na produkcie i, gdzie ma to zastosowanie, poprzez GS1 Digital Link jako standard techniczny dla tego połączenia. Bezpieczeństwo, o którym mowa w tym artykule, nie znajduje się zatem w samym kodzie QR, ale w systemie za nim, w którym przechowywane są dane.

Nie dotyczy to również pytania, kto jest odpowiedzialny merytorycznie za poprawność danych. Zabezpieczony system uniemożliwia nieuprawnionym osobom trzecim wprowadzenie zmian, ale nie uniemożliwia błędu popełnionego przez stronę dostarczającą dane. Na temat tego — błędu, który już znajduje się w systemie — dostępna jest osobna odpowiedź na poprawienie błędu w opublikowanym paszporcie.

Brak ustalonej daty, ale ustalony kierunek

Moment, w którym wymagania te zostaną konkretnie wypełnione dla odzieży i tekstyliów, zależy od aktu delegowanego, który Komisja Europejska opracuje dla tej grupy produktów. Zgodnie z obecnym planem pracy akt delegowany powinien zostać opublikowany w 2027 roku, przy czym pierwsze miejsce zajmie odzież zawierająca osiemdziesiąt procent lub więcej włókien włókienniczych. Dokładna data, od której paszport produktu — a wraz z nim wymogi bezpieczeństwa w praktyce — staje się obowiązkowy dla odzieży, nie została jeszcze ustalona. To, co jest już ustalone, to ramy określone w samej ESPR: artykuły dotyczące wymogów i projektowania technicznego paszportu stanowią podstawę, którą akt delegowany uzupełnia dla każdej grupy produktów. Gdy tylko akt delegowany zostanie opublikowany, strona ta zostanie zaktualizowana o datę mającą wówczas zastosowanie.

Co to oznacza w praktyce dla konstrukcji paszportu

Pierwszym krokiem jest zrozumienie, że pochodzenie danych ma stałe miejsce w systemie: dla każdej informacji zawartej w paszporcie ustalono, kto ją dostarczył i kiedy. Oznacza to, że producent odzieży lub importer przekazujący dane stronie zajmującej się sporządzaniem paszportu nie musi oddzielnie zajmować się technicznym zabezpieczeniem przed manipulacją — jest ono wbudowane w konstrukcję paszportu, a nie w to, co dodaje do niego strona dostarczająca. Punkt, na który trzeba zwrócić uwagę, to własna strona procesu: jak dane są dostarczane i czy sam ten proces można monitorować. Każdy, kto rozważa umożliwienie bezpośredniego przepływu danych z własnego systemu biznesowego, na przykład poprzez połączenie paszportu z systemem ERP lub magazynowym, powinien sprawdzić, jak samo to połączenie jest zabezpieczone — ponieważ wyciek po tej stronie linii podważa wiarygodność paszportu tak samo jak słabość w samym paszporcie.

Drugi punkt, o którym warto pamiętać: kwestia zabezpieczenia przed fałszerstwem jest ściśle związana z pytaniem, jak długo dane muszą pozostać dostępne i wiarygodne. Na ten temat istnieje osobna odpowiedź dotycząca jak długo paszport musi pozostać dostępny — zabezpieczenie nie jest bowiem kwestią, która jest rozwiązana jednorazowo przy publikacji, ale musi być utrzymywane przez cały okres funkcjonowania paszportu.

Podstawa prawna: artykuły 10 i 11 rozporządzenia ESPR

Te wymogi wynikają z artykułu 10 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781), który określa ogólne wymagania dotyczące cyfrowego paszportu produktu, oraz z artykułu 11 tego samego rozporządzenia, który dotyczy szczegółowo projektu technicznego i funkcjonowania paszportu. Razem artykuły te stanowią ramy, w ramach których regulowane są pochodzenie danych, kontrola dostępu i możliwość śledzenia zmian. Dokładne wdrożenie techniczne — które standardy, które protokoły — będzie dalej opracowywane w aktach delegowanych i wykonawczych, które Komisja ustala dla każdej grupy produktów.

Kto już teraz przygotowuje paszport produktu, powinien zacząć od podstaw: upewnić się, że każdy produkt otrzyma unikalnego kodu identyfikacyjnego i sprawdzić, jakie dane trafią ostatecznie do europejskiego rejestru paszportów produktów — bowiem zabezpieczenie paszportu opiera się na tej podstawowej strukturze.

Na czym to opiera się

Samo rozporządzenie znajduje się na EUR-Lex. Odnosimy się do każdego stwierdzenia; nie musisz nam wierzyć.

Co konkretnie należy zrobić

Co się od pana/pani oczekuje

Prawidłowe ustawienie dostępu do danych

Artykuł 10 rozporządzenia ESPR (Rozporządzenie (UE) 2024/1781) rozróżnia dane, które są dostępne dla każdego, i dane przeznaczone tylko dla określonych stron, takich jak organy nadzoru lub uczestnicy rynku działający dalej w łańcuchu dostaw. Dla firmy zatrudniającej od 10 do 100 pracowników oznacza to w praktyce, że nie wszystkie informacje dotyczące produktu powinny być widoczne dla konsumenta skanującego kod QR. Osoba, która zleca sporządzenie paszportu, wskazuje, które dane są publiczne, a które pozostają z ograniczonym dostępem — podział ten nie jest ustalony w systemie technicznym, ale wynika z dostarczonych danych.

Zapewnienie, że dane nie mogą zostać zmienione bez śladu

Artykuł 11 rozporządzenia ESPR opisuje wymogi dotyczące projektowania technicznego i funkcjonowania cyfrowego paszportu produktu, w tym niezawodność zawartych w nim danych. Bezpośrednio dotyczy to pytania, czy ktoś może później manipulować paszportem. Dla marki lub importera oznacza to, że dane, które zostały raz dostarczone i opublikowane, muszą pozostać identyfikowalne ze źródłem i czasem dostarczenia. Zmiana dokonana później nie polega zatem na "modyfikacji pliku", ale na utworzeniu nowej, identyfikowalnej wersji.

Dokumentowanie, kto dostarczył jakie dane

Trzecie praktyczne oczekiwanie, które wynika z tych samych artykułów, to udowodnienie, kto dostarczył jakie dane i kiedy. Dla firm dysponujących wieloma markami, private labels lub wieloma producentami działającymi pod jedną spółką, oznacza to, że rejestracja dotycząca dostarczenia danych — kto wysłał jaki certyfikat, jaką kompozycję, jakie instrukcje prania — musi być w porządku. To nie tylko kwestia bezpieczeństwa przed hakerami, ale także dowodu: jeśli paszport okaże się nieprawidłowy, należy móc ustalić, skąd pochodziła ta informacja.

Zapobieganie temu, aby paszport stał się łatwym celem do skopiowania

Pytanie "czy ktoś może sfałszować mój paszport" często nie dotyczy samego paszportu, ale nośnika danych: kodu QR na ubraniu. Kod QR, który po prostu wskazuje na link, można skopiować na podrób produktu. Sposób, w jaki nośnik danych zostanie umieszczony i jakie powiązanie nawiąże z unikalną tożsamością produktu, częściowo decyduje o tym, jak trudne to jest. Więcej informacji na temat sposobu, w jaki kod trafia na ubranie, opisano na stronie jak kod QR dla paszportu produktu trafia na odzież i tekstylia.

Gdzie coś idzie nie tak w praktyce

Pierwsza typowa sytuacja: przedsiębiorstwo zleca dostawcy lub zewnętrznej agencji wypełnienie paszportu, ale samo nie posiada kopii tego, co dokładnie zostało dostarczone. Jeśli później pojawi się pytanie o poprawność danych, nie można już odtworzyć, kto te dane wprowadził i na podstawie którego dokumentu.

Druga sytuacja pojawia się, gdy linia produkcyjna zostaje zmodyfikowana — inna kompozycja włókien, inna instrukcja prania — ale istniejący paszport nie zostaje zaktualizowany. Paszport pozostaje wtedy opublikowany online ze starymi informacjami, co może wyglądać jak fałszerstwo, podczas gdy w rzeczywistości jest to błąd zarządzania. Dotyczy to pytania, jak naprawić błąd w już opublikowanym paszporcie, co jest opisane bardziej szczegółowo na stronie dotyczącej odkrycia błędu w opublikowanym paszporcie produktu.

Trzecia sytuacja: kod QR jest drukowany niezależnie od produktu na etykiecie, którą można łatwo zdjąć i przenieść na inny element odzieży. Bez silnego powiązania między kodem a unikalną identyfikacją konkretnego produktu, fałszerstwo poprzez proste przyklejenie innej etykiety jest oczywiste. Jak produkt otrzymuje unikalną, nieprzenaszalną identyfikację, opisano na stronie dotyczącej przypisania każdemu produktowi unikalnego kodu identyfikacyjnego.

Czwarta sytuacja pojawia się w przedsiębiorstwach, które samodzielnie budują powiązanie między swoim systemem ERP a paszportem, bez jasnego określenia, kto w organizacji ma dostęp do zmiany danych. Jeśli wielu pracowników może niekontrolowanie pisać w systemie bazowym, pojawia się ryzyko, które nie pochodzi z zewnątrz, ale z wewnątrz. Ci, którzy rozważają połączenie własnego systemu, znajdą więcej informacji na temat kwestii uwagi na stronie dotyczącej powiązania paszportu produktu z własnym systemem ERP lub magazynowym.

Piąta sytuacja: przedsiębiorstwo wycofuje kolekcję lub przechodzi na innego partnera, a nikt nie myśli o tym, co stanie się z już opublikowanymi paszportami. Paszport, który nie jest już utrzymywany, ale pozostaje opublikowany online, jest bardziej atrakcyjnym celem nadużycia niż paszport aktywnie zarządzany.

Co można udokumentować

Przegląd osób w organizacji (lub u strony trzeciej), które są uprawnione do dostarczania lub zmiany danych, wraz z datą przyznania tego upoważnienia.
Kopię wszystkich dokumentów dostarczonych na potrzeby paszportu — certyfikaty, oświadczenia o składzie, instrukcje prania — powiązane z datą dostarczenia i nazwą strony dostarczającej.
Ustalone procedury na wypadek, gdy w opublikowanym paszporcie zostanie odkryty błąd: kto może żądać zmiany i jak ta zmiana jest dokumentowana.
Porozumienia z dostawcami lub producentami dotyczące tego, kto jest odpowiedzialny za poprawność której części danych, szczególnie istotne gdy produkt znajduje się poniżej wielu paszportów produktu jednocześnie znajduje się.
Przegląd dla każdego wariantu produktu — rozmiar, kolor, skład — jakie unikalną identyfikację mu przypisano, aby później można było sprawdzić, czy kod należy do odpowiedniego produktu; zobacz również stronę dotyczącą czy każdy rozmiar i kolor otrzyma własny paszport produktu.
Ustalona decyzja dotycząca tego, co stanie się z paszportami w przypadku zaprzestania działalności biznesowej lub marki, aby nie była ona podejmowana ad hoc w momencie, gdy sytuacja się pojawi.

To nie jest porady prawne. Ta strona zawiera ogólne informacje na temat przepisów, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W przypadku wątpliwości dotyczących Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane przy użyciu AI na podstawie powyższych źródeł, sprawdzone przez człowieka w dniu 2026-09-05. Czy coś jest nie tak? Daj nam znać — poprawki są priorytetem.