Το νέο πρακτικό εμπόδιο: Ποιος επιτρέπεται να καταχωρίσει ένα διαβατήριο;
Το Μητρώο DPP της ΕΕ λειτουργεί από τις 20 Ιουλίου 2026. Για πολλές ομάδες, αρχικά κυριάρχησε το τεχνικό ερώτημα: Μπορεί να καταχωριστεί ένα αναγνωριστικό προϊόντος και οδηγεί σωστά το μέσο δεδομένων; Αυτό είναι απαραίτητο, αλλά όχι επαρκές. Με τον Εκτελεστικό κανονισμό (ΕΕ) 2026/1778 της 16ης Ιουλίου 2026, η προγενέστερη ταυτοποίηση αποκτά δική της κανονιστική σημασία: Οι καταχωρίσεις πρέπει να γίνονται από επαληθευμένους οικονομικούς φορείς και η πρόσβαση στις λειτουργίες του Μητρώου δεν ταυτίζεται με τη δημόσια πρόσβαση στις πληροφορίες προϊόντος.
Αυτό δεν αποτελεί λόγο για να γίνουν οι κωδικοί QR πιο περίπλοκοι. Αποτελεί λόγο για να μοντελοποιηθούν με σαφήνεια οι ευθύνες, τα αποδεικτικά στοιχεία και οι εξουσιοδοτήσεις πριν από την πρώτη παραγωγική διαδικασία καταχώρισης. Ο παρακάτω οδηγός διαχωρίζει αυτά τα επίπεδα και δείχνει τι μπορούν να προετοιμάσουν πρακτικά τώρα οι κατασκευαστές.
Τρεις ταυτότητες που δεν πρέπει να συγχέονται
Σε ένα έργο DPP εμφανίζονται τουλάχιστον τρεις διαφορετικές ταυτότητες.
Πρώτον, υπάρχει ο οικονομικός φορέας: η εταιρεία ή ο ατομικός επιχειρηματίας που διαθέτει ένα προϊόν στην αγορά ή ενεργεί στο Μητρώο. Το άρθρο 4 του κανονισμού 2026/1778 συνδέει την ταξινόμηση ως «verified economic operator» με την απόδειξη ταυτότητας. Για ατομικούς επιχειρηματίες που εδρεύουν στην ΕΕ, η πράξη αναφέρει, για παράδειγμα, ειδική ηλεκτρονική υπογραφή ή ηλεκτρονικό μέσο ταυτοποίησης συμβατό με το eIDAS και υψηλό επίπεδο εμπιστοσύνης. Τα νομικά πρόσωπα πρέπει επίσης να επαληθεύονται μέσω καθορισμένων αποδεικτικών στοιχείων.
Δεύτερον, υπάρχει ο ανθρώπινος χρήστης. Οι προμήθειες, η διαχείριση βασικών δεδομένων, η συμμόρφωση, οι εξωτερικοί πάροχοι υπηρεσιών και ένας πάροχος υπηρεσιών DPP δεν ενεργούν αυτομάτως με την ίδια εξουσιοδότηση. Επομένως, ένας λογαριασμός χρήστη δεν υποκαθιστά το επαληθευμένο εταιρικό πλαίσιο. Απαιτείται ιχνηλατήσιμη αντιστοίχιση: Ποιος ενεργεί για ποιον οικονομικό φορέα, με ποιον ρόλο και έως πότε;
Τρίτον, υπάρχει η ταυτότητα του προϊόντος. Ένα GTIN, ένας σειριακός αριθμός ή άλλο αναγνωριστικό περιγράφει το προϊόν ή την απαιτούμενη βαθμίδα λεπτομέρειας· δεν αποδεικνύει ότι το άτομο στην οθόνη δικαιούται να το καταχωρίσει. Το ESPR διαχωρίζει ρητά αυτές τις σφαίρες: Το μέσο δεδομένων συνδέει το προϊόν με το διαβατήριο, ενώ το Μητρώο τηρεί τα μοναδικά αναγνωριστικά και τα δεδομένα καταχώρισης. Η επισκόπηση της Επιτροπής για το DPP περιγράφει αντίστοιχα τη διαδικασία: Οι πληροφορίες προϊόντος δημιουργούνται και καταχωρίζονται και, στη συνέχεια, το Μητρώο δημιουργεί ένα μοναδικό αναγνωριστικό καταχώρισης.
Όποιος συγχωνεύει αυτές τις τρεις ταυτότητες σε έναν πίνακα, ένα διακριτικό API ή ένα κοινό γραμματοκιβώτιο ηλεκτρονικού ταχυδρομείου δημιουργεί αργότερα κίνδυνο για τον έλεγχο και τη λειτουργία. Το σωστό ερώτημα δεν είναι «Ποιος γνωρίζει τον σύνδεσμο;», αλλά «Ποιος επιτρέπεται να ενεργοποιήσει μια ενέργεια στο Μητρώο για λογαριασμό αυτού του οικονομικού φορέα;».
Η δημόσια πρόσβαση μέσω QR δεν είναι δικαίωμα στο Μητρώο
Ένας κωδικός QR στο προϊόν παραμένει πρόσβαση στο διαβατήριο. Δεν αποτελεί μηχανισμό σύνδεσης στο Μητρώο και δεν θα πρέπει να μετατραπεί σε τέτοιον. Οι καταναλωτές, οι επισκευαστές, οι ανακυκλωτές και οι αρχές χρειάζονται διαφορετικές πληροφορίες. Ο τρέχων οδηγός της Επιτροπής για το DPP αναφέρει ρητά ότι οι πληροφορίες είναι προσβάσιμες ανά ρόλο χρήστη.
Στην πράξη, συνιστάται επομένως σαφής διαχωρισμός επιπέδων:
- Η δημόσια σάρωση παρέχει μια σταθερή, δωρεάν προσβάσιμη προβολή του διαβατηρίου με τις προβλεπόμενες για τη συγκεκριμένη ομάδα προϊόντων πληροφορίες.
- Μια διεπαφή με περιορισμό βάσει ρόλων διαχειρίζεται αποδεικτικά στοιχεία, δεδομένα προμηθευτών, ιστορικά αλλαγών και εσωτερικές εγκρίσεις.
- Ο σύνδεσμος του Μητρώου επιτρέπεται να διαβιβάζει μόνο τα απαιτούμενα δεδομένα καταχώρισης και να αντιστοιχίζει την απάντηση του Μητρώου σε συγκεκριμένη εγγραφή προϊόντος.
Αυτό αποτρέπει δύο συνηθισμένες παρανοήσεις. Πρώτον: Ένας «μυστικός» σύνδεσμος QR δεν αντικαθιστά τον έλεγχο πρόσβασης· μπορεί να κοινοποιηθεί και δεν αποτελεί αξιόπιστο αποδεικτικό εξουσιοδότησης. Δεύτερον: Το Μητρώο δεν είναι ο χώρος αποθήκευσης όλων των εγγράφων προϊόντος. Η Επιτροπή διευκρινίζει ότι οι πλήρεις πληροφορίες προϊόντος μπορούν να βρίσκονται στον οικονομικό φορέα ή σε έναν πάροχο υπηρεσιών DPP· καταχωρίζονται τα απαιτούμενα μεταδεδομένα και αναγνωριστικά.
Τι υποδεικνύει τεχνικά ο κανονισμός
Ο κανονισμός 2026/1778 δεν περιγράφει το Μητρώο ως απλή βάση δεδομένων αναζήτησης. Αναφέρει, μεταξύ άλλων, ένα API για καταχώριση και λήψη δεδομένων, μια πλατφόρμα για επιβεβαίωση ύπαρξης και πληρότητας, ένα σχήμα για μοναδικά αναγνωριστικά καταχώρισης, έναν κατάλογο επαληθευμένων παρόχων υπηρεσιών DPP, ένα σύστημα καταγραφής, καθώς και σχήματα ταυτοποίησης και εξουσιοδότησης. Επιπλέον, τα μοντέλα δεδομένων πρέπει να διαθέτουν εκδόσεις.
Από αυτές τις απαιτήσεις δεν προκύπτει έτοιμη αρχιτεκτονική προϊόντος. Παρέχουν όμως σταθερές κατευθυντήριες γραμμές:
Εταιρικό προφίλ πριν από την εισαγωγή προϊόντων
Πριν από μια μαζική εισαγωγή, δημιουργήστε μια ελεγχόμενη εταιρική εγγραφή. Σε αυτήν περιλαμβάνονται η νομική οντότητα, η ιδιότητά της ως οικονομικού φορέα, το επιλεγμένο αποδεικτικό ταυτότητας, ο χρόνος του ελέγχου και ο υπεύθυνος φορέας. Το ίδιο το αποδεικτικό πρέπει να αποθηκεύεται σε ένα σύστημα DPP μόνο στον βαθμό που αυτό είναι αναγκαίο και επιτρεπτό· συχνά αρκεί μια κατάσταση ελέγχου με αναφορά και λογική λήξης ή επανεκτίμησης.
Η ανάθεση είναι ξεχωριστή εγγραφή
Όταν ενεργεί ένας πάροχος υπηρεσιών ή μια εταιρεία-εντολοδόχος, η ανάθεση χρειάζεται καθορισμένο εύρος. Τουλάχιστον θα πρέπει να περιλαμβάνει τον οικονομικό φορέα, τις επιτρεπόμενες ενέργειες, τις ομάδες προϊόντων ή τις μάρκες, την έναρξη, τη λήξη και την ανάκληση. Ένα γενικό κλειδί API χωρίς όριο εντολής είναι υπερβολικά αόριστο για μια ενέργεια που σχετίζεται με καταχώριση.
Η καταχώριση ως αποδεικτέα διαδικασία
Για κάθε καταχώριση, οι ομάδες θα πρέπει να διατηρούν τουλάχιστον την τοπική έκδοση του προϊόντος, το διαβιβασθέν αναγνωριστικό, την απάντηση μαζί με το αναγνωριστικό καταχώρισης, τη χρονική σήμανση, τον ενεργούντα ρόλο και την κατηγορία σφάλματος. Έτσι μπορεί αργότερα να διακριθεί αν ένα διαβατήριο ήταν ελλιπές από πλευράς περιεχομένου, αν ένα αναγνωριστικό συγκρούστηκε ή αν έλειπε η εξουσιοδότηση. Η καταγραφή δεν πρέπει να μετατραπεί σε συλλογή περιττών προσωπικών δεδομένων· πρέπει να δημιουργεί μια υπεύθυνη και ελέγξιμη αλυσίδα ενεργειών.
Ελέγξτε τις εξουσιοδοτήσεις όπως τους επιχειρησιακούς κανόνες
Οι δοκιμές δεν θα πρέπει να τελειώνουν στο «το API απαντά 200». Ελέγξτε τουλάχιστον τα εξής: Ένας μη εξουσιοδοτημένος χρήστης δεν μπορεί να ενεργοποιήσει καταχώριση· ένας εξουσιοδοτημένος πάροχος μπορεί να επεξεργάζεται μόνο την συμφωνημένη εντολή· μια ληγμένη ανάθεση απορρίπτεται· η δημόσια προβολή του διαβατηρίου δεν αποκαλύπτει εσωτερικά δεδομένα του Μητρώου ή των αποδεικτικών στοιχείων· και μια διαδικασία που υποβάλλεται ξανά αντιμετωπίζεται ιχνηλατήσιμα ως επανάληψη.
Ένα λιτό σχέδιο εκκίνησης για τις επόμενες εβδομάδες
Μην ξεκινήσετε με πλήρη μετάβαση. Επιλέξτε μια μικρή, αντιπροσωπευτική ποσότητα προϊόντων και μια πραγματική αλυσίδα ευθυνών.
- Αντιστοιχίστε για κάθε πιλοτικό προϊόν τον κατασκευαστή, τον διαθέτοντα στην αγορά, τους υπευθύνους δεδομένων και, κατά περίπτωση, τον πάροχο υπηρεσιών.
- Τεκμηριώστε με ποια διαδικασία επαληθεύεται ο οικονομικός φορέας και ποιος εγκρίνει τον έλεγχο.
- Καθορίστε ρόλους για το προσχέδιο, την επιχειρησιακή έγκριση, την καταχώριση και τα αποκλειστικά δικαιώματα ανάγνωσης.
- Καταχωρίστε μια δοκιμαστική εγγραφή με εκδόσεις δεδομένων προϊόντος και καταγράψτε την καταχώριση, την απάντηση και τη διαδικασία διόρθωσης.
- Δοκιμάστε τη δημόσια πρόσβαση μέσω QR ξεχωριστά από τους εσωτερικούς ρόλους και τον σύνδεσμο του Μητρώου.
- Ασκήστε την ανάκληση και την αλλαγή: Τι συμβαίνει σε περίπτωση αλλαγής παρόχου υπηρεσιών, αλλαγής της εταιρικής επωνυμίας ή εσφαλμένου αναγνωριστικού;
Η διαδικασία αυτή συνάδει επίσης με τη δημοσιευμένη σύσταση να δοκιμάζονται ξεχωριστά το Μητρώο, ο επιλυτής και η πηγή δεδομένων. Η νέα έμφαση είναι η εξής: Πριν από μια αξιόπιστη ενσωμάτωση API, πρέπει να είναι σαφές ποιος επαληθευμένος οργανισμός και ποιος ρόλος αναλαμβάνει την ευθύνη για την ενέργεια.
Τι δεν πρέπει ακόμη να υποστηρίζεται
Ο κανονισμός για το Μητρώο δημιουργεί το τεχνικό και οργανωτικό πλαίσιο. Δεν καθιστά κάθε ομάδα προϊόντων αυτομάτως υποχρεωμένη σε DPP και δεν αντικαθιστά τις κλαδικές κατ’ εξουσιοδότηση πράξεις. Η Επιτροπή εξακολουθεί να οργανώνει την εφαρμογή ανά ομάδα προϊόντων· μετά από ESPR κατ’ εξουσιοδότηση πράξεις προβλέπεται καταρχήν μεταβατική περίοδος τουλάχιστον 18 μηνών. Ομοίως, η επαληθευμένη εταιρική ιδιότητα δεν αποτελεί λευκή επιταγή για ελλιπή ή εσφαλμένα δεδομένα προϊόντος.
Για τις ομάδες, η συνέπεια είναι ωστόσο συγκεκριμένη: Η ταυτότητα, η εντολή, οι ρόλοι και η καταγραφή ανήκουν στο DPP-ανεκτέλεστο, πριν κλιμακωθούν οι καταχωρίσεις. Έτσι ο κωδικός QR παραμένει η απλή δημόσια είσοδος — και η ενέργεια στο Μητρώο γίνεται αυτό που είναι κανονιστικά: μια υπεύθυνη, ιχνηλατήσιμη ενέργεια ενός επαληθευμένου οικονομικού φορέα.
