ako sa zabráni tomu, aby niekto hacknul alebo sfalšoval údaje môjho digitálneho pasu produktu

Bezpečnosť je zabudovaná v návrhoch, nie ako dodatočné riešenie

Digitálne produktové pasaporte sa budujú tak, aby sa údaje nemohli meniť bez povšimnutia a aby bolo jasné, kto poskytol ktoré informácie. ESPR predpisuje, že digitálne produktové pasaporte sa majú technicky nastaviť tak, aby bola zistiteľná pôvodu údajov, aby boli zmeny vysledovateľné na stranu, ktorá ich vykonala, a aby bol prístup k zmene údajov obmedzený len na tých, ktorí na to majú oprávnenie. Nejde o samostatnú vrstvu bezpečnosti, ktorú platforma pripraví navyše, ale o požiadavku, ktorá je zakotvená v samotnom jadre pasaporte: každý pasaport má pevné, jedinečné spojenie s produktom a toto spojenie — vrátane histórie toho, čo je do neho vložené — musí byť overiteľné.

Pre koho to platí a čo sa na to nevzťahuje

Táto požiadavka platí pre celý pasaport: spôsob, ako sú údaje uložené, kto ich môže meniť a ako je vysledovateľné, čo sa kedy zadalo. Nejde teda o otázku, či je pasaport "neprienikov" v zmysle toho, že sa každá forma zneužitia technicky znemožnila — takú záruku neponúka žiadny systém a ESPR to tiež nesľubuje. Ide o záruky proti neoprávnenému prístupu a proti manipulácii bez toho, aby bola vysledovateľná. Je tiež dôležité rozlíšiť: bezpečnosť údajov v pasaporte sa líši od otázky, ako sa niekto dostane k pasaporte. To druhé prebieha cez QR-kóde na produkte a v príslušných prípadoch cez GS1 Digital Link ako technický štandard pre to spojenie. Bezpečnosť, o ktorej sa v tomto článku hovorí, teda nie je v samotnom QR kóde, ale v systéme za ním, kde sú údaje uložené.

Ďalej sem nespadá otázka, kto je vecne zodpovedný za správnosť údajov. Zabezpečený systém bráni tomu, aby nepovolená tretia strana niečo zmenila; nezabráni tomu, aby strana, ktorá údaje dodáva, urobila chybu. Pre túto tému — chybu, ktorá je raz tam — existuje samostatná odpoveď o chybu v zverejnenom pase opraviť.

Žiadna pevná dátum, ale pevný smer

Kedy sa tieto požiadavky konkrétne vyplnia pre odev a textil, závisí od delegovaného aktu, ktorý Európska komisia pre túto skupinu produktov vypracuje. Podľa súčasného plánu prác sa očakáva v roku 2027, pričom odev, ktorý z osemdesiat percent alebo viac pozostáva z textilných vlákien, bude prvou kategóriou. Presný dátum, kedy bude produktový pas — a s ním aj požiadavky bezpečnosti v praxi — povinný pre odev, ešte nie je stanovený. Čo je už stanovené, je rámec samotného ESPR: články o požiadavkách a technickom návrhu pasu slúžia ako základ a delegovaný akt ich ďalej vypĺňa podľa skupín produktov. Hneď ako bude tento akt zverejnený, bude táto stránka aktualizovaná s dátumom, ktorý potom bude platiť.

Čo to v praxi znamená pre štruktúru pasu

Prvým krokom je vedieť, že pôvod údajov má pevné miesto v systéme: od každého kúska informácií v pase je stanovené, kto ho dodal a kedy. To znamená, že značka odevov alebo dovozca, ktorí dodávajú údaje strane, ktorá pas zostavuje, sa nemusí zvlášť trápiť technickým zabezpečením proti manipulácii — to je súčasť samotného návrhu pasu, nie toho, čo k nemu dodáva dodávajúca strana. Čo potrebuje pozornosť, je vlastná strana procesu: ako sa údaje dodávajú a či je samotný proces preukazovateľný. Kto zvažuje, aby údaje prechádzali priamo z vlastného podnikového systému, napríklad cez pas prepojiť so systémom ERP alebo skladov, má dôvod pozrieť si, ako je samotné prepojenie zabezpečené — pretože únik na tejto strane čiary podkopáva spoľahlivosť pasu tak isto ako slabosť v samotnom pase.

Druhý bod, ktorý treba mať na pamäti: otázka bezpečnosti proti falšovaniu úzko súvisí s otázkou, ako dlho musia zostať údaje dostupné a spoľahlivé. K tejto téme existuje samostatný odpoveď o ako dlho musí zostať pasový preukaz dostupný — bezpečnosť totiž nie je niečo, čo sa jednorazovo vyrieši pri publikácii, ale niečo, čo musí fungovať počas celej doby platnosti pasového preukazu.

Právny základ: články 10 a 11 ESPR

Tieto požiadavky vyplývajú z článku 10 ESPR (Nariadenie (EÚ) 2024/1781), ktorý stanovuje všeobecné požiadavky na digitálny produktový preukaz, a z článku 11 tej istej vyhlášky, ktorá sa špecificky zaoberá technickým návrhom a fungovaním pasového preukazu. Spoločne tvoria tieto články rámec, v rámci ktorého sa upravujú pôvod údajov, kontrola prístupu a sledovateľnosť zmien. Presné technické vyplnenie — ktoré normy, ktoré protokoly — bude ďalej rozpracované v delegovaných a vykonávacích aktoch, ktoré Komisia stanovuje pre každú skupinu výrobkov.

Kto sa teraz chystá na produktový preukaz, najlepšie začne základmi: zabezpečí, aby každý produkt dostal jedinečného identifikačného kódu a preverí, ktoré údaje sa skončia v Európskom registri produktových preukazov — bezpečnosť pasového preukazu totiž vychádza z tejto základnej štruktúry.

Kde sa to zakladá

Samé nariadenie sa nachádza v EUR-Lex. Odkazujeme na jednotlivé tvrdenia; nemusíte nám veriť.

Čo konkrétne musíte urobiť

Čo sa od vás očakáva

Správne nastavenie prístupu k údajom

Článok 10 ESPR (Nariadenie (EÚ) 2024/1781) rozlišuje medzi údajmi, ktoré sú dostupné všetkým, a údajmi, ktoré sú určené iba špecifickým stranám, ako sú regulačné orgány alebo účastníci trhu ďalej v reťazci. Pre podnik s 10 až 100 zamestnancami to v praxi znamená, že nie všetky informácie o produkte by mali byť viditeľné pre spotrebiteľa, ktorý skenu QR kód. Ten, kto nechá zostaviť pasový preukaz, pri tom označí, ktoré údaje sú verejné a ktoré zostávajú s obmedzeným prístupom — toto rozdelenie nie je pevne stanovené v technickom systéme, ale vyplýva z údajov, ktoré sa dodajú.

Zabezpečiť, aby sa údaje nedali nevšimnuty zmeniť

Článok 11 ESPR opisuje požiadavky na technický návrh a fungovanie digitálneho produktového preukazu vrátane spoľahlivosti údajov v ňom obsiahnutých. To priamo súvisí s otázkou, či niekto môže neskôr manipulovať preukaz. Pre značku alebo dovozcu to znamená, že údaje, ktoré boli raz dodané a publikované, musia zostať dohľadateľné na zdroj a čas dodania. Neskoršia zmena nie je teda vecou "úpravy súboru", ale novej, dohľadateľnej verzie.

Vedieť, kto dodal ktoré údaje

Tretie praktické očakávanie, ktoré vyplýva z tých istých článkov, je, že musí byť preukázateľné, kto dodal ktoré údaje a kedy. Pre podniky s viacerými značkami, vlastnými značkami alebo viacerými výrobcami, ktorí dodávajú pod jednu spoločnosť, to znamená, že administratíva okolo dodania — kto poslal aký certifikát, aké zloženie, ktoré pokyny na pranie — musí byť v poriadku. To nie je len otázka bezpečnosti pred hackermi, ale aj otázka preukázateľnosti: ak sa preukaz ukáže ako nesprávny, musí byť možné vysledovať, odkiaľ tieto informácie pochádzajú.

Zabrániť tomu, aby sa preukaz stal ľahko kopírovateľným terčom

Otázka "môže niekto falšovať môj preukaz" často nejde o samotný preukaz, ale o nosič údajov: QR kód na oblečení. QR kód, ktorý jednoducho odkazuje na odkaz, sa dá kopírovať na falšovaný produkt. Spôsob, ako sa nosič údajov aplikuje a aké prepojenie nastaví s jedinečnou identitou produktu, čiastočne určujú, aké zložité to je. Viac informácií o spôsobe, ako sa tento kód dostane na oblečenie, nájdete na stránke o ako sa QR kód pre produktový pas dostane na oblečenie a textil.

Kde sa to v praxi pokazí

Prvá situácia, ktorá sa často vyskytuje: podnik nechá dodávateľa alebo externý úrad, aby vyplnil pas, ale sám nemá kópiu toho, čo bolo presne dodané. Ak sa neskôr objaví otázka o správnosti údaja, nie je možné zrekonštruovať, kto tento údaj zadal a na základe ktorého dokumentu.

Druhá situácia vzniká, keď sa výrobná linka upraví — iné zloženie vlákien, iný návod na pranie — ale existujúci pas sa neatualizuje. Pas zostane online so zastaranými informáciami, čo môže vyzerať ako falšovanie, hoci v skutočnosti ide o chybu v riadení. To sa týka otázky, ako opraviť chybu v už publikovanom pase, čo je podrobnejšie popísané na stránke o zistení chyby v publikovanom digitálnom pase produktu.

Tretia situácia: QR kód sa tlačí oddelene od produktu na etiketu, ktorú je ľahké odstrániť a presunúť na iný odevný kus. Bez pevného prepojenia medzi kódom a jedinečnou identifikáciou konkrétneho produktu je falšovanie jednoduchým preplátením etikety na dosah. Ako získa produkt jedinečnú, neprekládateľnú identifikáciu, je popísané na stránke o každému produktu dať jedinečný identifikačný kód.

Štvrtá situácia nastane u podnikov, ktoré si stavajú vlastné prepojenie medzi svojím ERP systémom a pasom bez jasného určenia, kto v organizácii má prístup na zmenu údajov. Ak môže viacero zamestnancov nekontrolovane zapisovať do základného systému, vzniká riziko, ktoré nepochádza zvonka, ale zvnútra. Kto zvažuje pripojenie vlastného systému, nájde viac informácií o relevantných bodoch na stránke o prepojenie produktového pasu s vlastným ERP alebo inventárnym systémom.

Piata situácia: podnik prestane s kolekciou alebo prejde na iného partnera a nikto si neuvedomí otázku, čo sa stane s už publikovanými pasmi. Pas, ktorý nie je udržiavaný, ale zostáva online, je príťažlivejším terčom zneužitia ako pas, ktorý sa aktívne spravuje.

Čo si môžete zaznamenať

Prehľad o tom, kto v organizácii (alebo u externej strany) je oprávnený dodávať alebo meniť údaje, vrátane dátumu, kedy bola táto oprávnenosť udelená.
Kópia všetkých dokumentov, ktoré boli dodané na účel pasu — certifikáty, prehlásenia o zložení, návody na pranie — prepojené s dátumom dodania a menom dodávajúcej strany.
Zdokumentovaný postup na prípad, ak sa v publikovanom pase zistí chyba: kto môže požiadať o zmenu a ako sa táto zmena zdokumentuje.
Dohody s dodávateľmi alebo výrobcami o tom, kto je zodpovedný za správnosť jednotlivých údajových prvkov, najmä relevantné, ak produkt podlieha viacerým produktovým pasom súčasne .
, Prehľad pre každý variant produktu — veľkosť, farba, zloženie — o tom, ktorá jedinečná identifikácia mu bola priradená, aby sa neskôr dalo skontrolovať, či kód prislúcha správnemu produktu; pozrite si aj stránku o či každá veľkosť a farba dostane vlastný pasport produktu.
Zdokumentované rozhodnutie o tom, čo sa stane s pasmi pri ukončení obchodnej činnosti alebo značky, aby sa to nerozhodovalo ad hoc v okamihu, keď sa to stane.

Toto nie je právne poradenstvo. Táto stránka poskytuje všeobecné informácie o regulácii, ktorej sa týka táto platforma. Nepoznáme vašu situáciu. Ak ste si nejistí o vlastnom prípade, poraďte sa s právnikom alebo príslušným dozorným orgánom.

Napísané s pomocou AI na základe vyššie uvedených zdrojov, skontrolované človekom 2026-09-05. Niečo nie je správne? Dajte nám vedieť — opravy majú prioritu.