hur förhindras att någon hackar eller förfalskar mina produktpassdata

Säkerhet är inbyggd i designen, inte som ett tillägg efteråt

Produktpasset är utformat så att data inte kan ändras obemärkt och att det är klart vem som har levererat vilken information. ESPR föreskriver att det digitala produktpasset är tekniskt utformat så att datakällan är fastställd, att ändringar är spårbara till den part som gjort dem, och att åtkomsten för ändring av data är begränsad till den som har rätt till det. Det är inte ett separat säkerhetslager som en plattform lägger ovanpå, utan ett krav som är förankrat i passportets kärna: varje pass har en fast, unik koppling till produkten, och denna koppling — inklusive historiken över vad som lagts in — måste kunna verifieras.

För vem detta gäller och vad som ligger utanför

Detta krav gäller för passet som helhet: sättet på vilket data lagras, vem som får ändra dem, och hur spårbart det är vad som angavs när. Det handlar alltså inte om frågan om ett pass är "hackersäkert" i den meningen att all form av missbruk gjorts tekniskt omöjlig — ingen system ger denna garanti, och ESPR lovar det inte heller. Det handlar om skydd mot obehörig åtkomst och mot manipulation utan att detta är spårbart. Det är också viktigt att skilja: säkerheten för data i passet är något annat än frågan om hur någon når passet. Det senare sker via QR-koden på produkten och, i tillämpliga fall, via GS1 Digital Link som teknisk standard för denna koppling. Säkerheten som denna artikel handlar om ligger alltså inte i QR-koden själv, utan i systemet bakom där data lagras.

Vidare omfattar detta inte frågan om vem som är innehållsmässigt ansvarig för datanas riktighet. Ett säkert system förhindrar att en obehörig tredje part ändrar något; det förhindrar inte att den part som levererar data gör ett misstag. För det ämnet — ett misstag som väl är inlagt — finns ett separat svar om rätta ett misstag i ett publicerat pass.

Ingen fast datum än, men en fast riktning

När dessa krav konkret utformas för kläder och textil beror på den delegerade handlingen som Europeiska kommissionen utarbetar för denna produktgrupp. Enligt den aktuella arbetplanen förväntas denna 2027, med kläder som består till åttio procent eller mer av textilfiber som första kategori. Ett exakt datum då produktpasset — och därmed även säkerhetskraven i praktiken — blir obligatoriskt för kläder är ännu inte fastställt. Vad som redan är fastställt är ramen från ESPR själv: artiklarna om krav och teknisk utformning av passet gäller som grund, och den delegerade handlingen utvecklar dessa vidare per produktgrupp. Så snart denna handling är publicerad uppdateras denna sida med det datum som då gäller.

Vad detta betyder i praktiken för utformningen av ett pass

Det första steget är att veta att datakällan har en fast plats i systemet: för varje informationsbit i passet är det fastställt vem som levererade den och när. Det betyder att ett klädesvarumärke eller importör som skickar data till den part som sammanställer passet inte behöver separat bekymra sig om det tekniska skyddet mot manipulation — det är inbyggt i passportets design, inte i vad den leverande parten lägger till. Vad som väl får uppmärksamhet är den egna sidan av processen: hur data levereras och om denna process i sig är verifierbar. Vem som överväger att låta data passera direkt från sitt eget företagssystem, till exempel genom att koppla passet till ett ERP- eller lagersystemgör klokt i att se hur denna koppling i sig är säkrad — för ett läckage på denna sida av linjen underminerar passportets tillförlitlighet lika mycket som en svaghet i passet själv.

En andra punkt att ha i åtanke: frågan om skydd mot förfalskning hänger nära samman med frågan om hur länge data måste vara tillgängliga och tillförlitliga. För det ämnet finns det ett separat svar om hur länge ett pasport måste förbli tillgängligt — säkerhet är nämligen inte något som är ordnat en gång vid publicering, utan något som måste upprätthållas under hela pasportets löptid.

Den lagliga grunden: artikel 10 och 11 i ESPR

Dessa krav följer av artikel 10 i ESPR (Förordning (EU) 2024/1781), som fastställer de allmänna kraven för det digitala produktpasset, och från artikel 11 i samma förordning, som specifikt behandlar den tekniska utformningen och driften av passet. Tillsammans utgör dessa artiklar ramen inom vilken datakällor, åtkomstkontroll och spårbarhet för ändringar regleras. Den exakta tekniska utformningen — vilka standarder, vilka protokoll — utvecklas vidare i de delegerade handlingar och genomförandehandlingar som Kommissionen fastställer per produktgrupp.

Den som nu förbereder ett produktpass kan börja med det grundläggande: se till att varje produkt får en unik identifieringskod och kontrollera vilka data som senare kommer till Europeiska registret för produktpass — säkerheten för passet bygger nämligen på den underliggande strukturen.

Vad detta baseras på

Förordningen själv finns på EUR-Lex. Vi hänvisar för varje påstående; du behöver inte tro på oss.

Vad du konkret måste göra

Vad som förväntas av dig

Ställ in åtkomsten till data på rätt sätt

Artikel 10 i ESPR (Förordning (EU) 2024/1781) gör skillnad mellan data som är tillgängliga för alla och data som endast är avsedda för specifika parter, såsom tillsynsmyndigheter eller marknadsaktörer längre fram i kedjan. För ett företag med 10 till 100 anställda innebär detta i praktiken att inte all information som finns om en produkt även bör vara synlig för konsumenten som skannar QR-koden. Den som låter passet sammanställas anger vilka data som är offentliga och vilka som förblir begränsat tillgängliga — denna indelning är inte fast i ett tekniskt system, utan följer av de data som levereras.

Se till att data inte kan ändras utan att det märks

Artikel 11 i ESPR beskriver krav på den tekniska utformningen och driften av det digitala produktpasset, inklusive tillförlitligheten för de data som finns i det. Det rör direkt frågan om huruvida någon kan manipulera ett pass i efterhand. För ett varumärke eller importör innebär detta att de data som väl har levererats och publicerats måste kunna spåras till källan och leveranstidpunkten. En senare ändring är således inte en fråga om "att ändra filen", utan om en ny, spårbar version.

Dokumentera vem som levererade vilka data

En tredje praktisk förväntning som följer av samma artiklar är att det måste kunna visas vem som levererade vilka data och när. För företag med flera varumärken, private labels eller flera tillverkare som levererar under ett och samma aktiebolag innebär detta att administrationen kring leverans — vem som skickade vilket certifikat, vilken sammansättning, vilken tvättinstruktion — måste vara i ordning. Det är inte bara en säkerhetsfråga mot hackare, utan också en fråga om bevisbarhet: om ett pass visar sig vara felaktigt måste det gå att spåra var den informationen kom ifrån.

Förhindra att passet blir ett enkelt förfalskningsmål

Frågan "kan någon förfalska mitt pass" handlar ofta inte om själva passet, utan om databäraren: QR-koden på klädesplagget. En QR-kod som helt enkelt pekar på en länk kan kopieras till en förfalskad produkt. Hur databäraren appliceras och vilken koppling den skapar till produktens unika identitet avgör till viss del hur svårt det är. Mer om hur denna kod hamnar på klädesplagget beskrivs på sidan om hur QR-koden för produktpassaorten kommer på kläder och textilier.

Där det går fel i praktiken

En första situation som ofta förekommer: ett företag låter en leverantör eller ett externt bureau fylla i passet, men har själv ingen kopia av exakt vad som levererats. Om en fråga senare dyker upp om riktigheten av en uppgift, är det inte längre möjligt att rekonstruera vem som införde den uppgiften och på basis av vilket dokument.

En andra situation uppstår när en produktionslinje anpassas — en annan fibersammansättning, en annan tvättanvisning — men det befintliga passet inte uppdateras på motsvarande sätt. Passet förblir då online med föråldrad information, vilket kan verka som förfalskning även om det i själva verket är ett administrativt misstag. Detta väcker frågan om hur ett misstag i ett redan publicerat pass kan korrigeras, vilket beskrivs mer utförligt på sidan om upptäcka ett fel i ett publicerat produktpassport.

En tredje situation: en QR-kod skrivs ut separat från produkten på en etikett som är lätt att ta bort och flytta till ett annat kledningsplagg. Utan en stark koppling mellan koden och en unik identifiering av den specifika produkten är förfalskning genom att helt enkelt klistra över en etikett påfallande lätt. Hur en produkt får en unik, icke-överförbar identifiering beskrivs på sidan om ge varje produkt en unik identifieringskod.

En fjärde situation uppstår hos företag som själva bygger en koppling mellan sitt ERP-system och passet utan att klart specificera vem inom organisationen som har åtkomst för att ändra uppgifter. Om flera anställda okontrollerat kan skriva i det underliggande systemet, uppstår en risk som inte kommer från utsidan utan inifrån. Den som överväger att ansluta ett eget system hittar mer om hänsyn att ta på sidan om ansluta produktpasset till ett eget ERP- eller lagersystem.

En femte situation: ett företag avslutar en kollektion eller går över till en annan partner, och ingen tänker på frågan om vad som händer med de redan publicerade passen. Ett pass som inte längre underhålls men fortfarande är online är ett mer attraktivt mål för missbruk än ett pass som aktivt förvaltas.

Vad du kan dokumentera

En överblick över vem inom organisationen (eller hos en extern part) som är behörig att leverera eller ändra uppgifter, inklusive ett datum då denna behörighet tilldelades.
En kopia av alla dokument som levererats för passet — certifikat, sammansättningsdeklarationer, tvättanvisningar — kopplad till leveransdatumet och namnet på den levererade parten.
En fastställd procedur för det fall ett misstag upptäcks i ett publicerat pass: vem får begära ändringen, och hur dokumenteras denna ändring.
Avtal med leverantörer eller tillverkare om vem som är ansvarig för riktigheten av vilken del av uppgifterna, särskilt relevant när en produkt omfattas av flera produktpass samtidigt täcks.
En överblick per produktvariant — storlek, färg, sammansättning — av vilken unik identifiering som tilldelats den, så att det senare går att kontrollera om en kod hör till rätt produkt; se även sidan om om varje storlek och färg får sitt eget produktpass.
Ett fastslaget beslut om vad som ska hända med passen vid avslutning av en affärsverksamhet eller varumärke, så att detta inte beslutas ad hoc när situationen inträffar.

Detta är ingen juridisk rådgivning. Denna sida ger allmän information om den regelgivning som denna plattform handlar om. Vi känner inte till din situation. Om du är osäker på ditt eget fall rådfrågar du en jurist eller den behörig tillsynsmyndighet.

Skrivet med AI baserat på källorna ovan, granskat av en människa den 2026-09-05. Stämmer något inte? Låt oss veta — rättelser får prioritet.