Novo praktično usko grlo: Tko smije registrirati putovnicu?
EU-DPP-registar operativan je od 20. srpnja 2026. Za mnoge je timove tehničko pitanje u početku bilo u prvom planu: može li se identifikator proizvoda registrirati i razrješava li se nosač podataka ispravno? To je nužno, ali nije dovoljno. Provedbenom Uredbom (EU) 2026/1778 od 16. srpnja 2026. prethodni identitet dobiva vlastiti regulatorni značaj: registrirati trebaju provjereni gospodarski subjekti, a pristup funkcijama registra nije isto što i javni pristup informacijama o proizvodu.
To nije razlog da se QR kodovi dodatno zakompliciraju. To je razlog da se odgovornosti, dokazi i ovlaštenja jasno modeliraju prije prvog produkcijskog postupka registracije. Sljedeći vodič razdvaja te razine i pokazuje što proizvođači sada mogu praktično pripremiti.
Tri identiteta koja se ne smiju miješati
U projektu DPP pojavljuju se najmanje tri različita identiteta.
Prvo, postoji gospodarski subjekt: poduzeće ili samostalni poduzetnik koji stavlja proizvod na tržište ili djeluje u registru. Članak 4. Uredbe 2026/1778 status „verified economic operator” povezuje s dokazom identiteta. Za samostalne poduzetnike s poslovnim nastanom u EU-u pravni akt, primjerice, navodi kvalificirani elektronički potpis ili elektroničko sredstvo identifikacije usklađeno s eIDAS-om s visokom razinom pouzdanosti. Pravne osobe također moraju biti provjerene putem utvrđenih dokaza.
Drugo, postoji ljudski korisnik. Nabava, upravljanje glavnim podacima, usklađenost, vanjski pružatelji usluga i DPP-pružatelj usluga ne djeluju automatski s istom ovlasti. Korisnički račun stoga nije zamjena za provjereni kontekst poduzeća. Potrebno je sljedivo povezivanje: tko djeluje za kojeg gospodarskog subjekta, u kojoj ulozi i do kada?
Treće, postoji identitet proizvoda. GTIN, serijski broj ili drugi identifikator opisuju proizvod odnosno zahtijevanu razinu granularnosti; ne dokazuju da je osoba pred zaslonom ovlaštena za registraciju. ESPR izričito razdvaja te sfere: nosač podataka povezuje proizvod s putovnicom, dok registar čuva jedinstvene identifikatore i podatke o registraciji. Pregled Komisije o DPP sukladno tome opisuje postupak: informacije o proizvodu izrađuju se i registriraju, nakon čega registar stvara jedinstveni registracijski ID.
Tko ova tri identiteta objedini u jednoj tablici, API tokenu ili zajedničkom sandučiću e-pošte, kasnije stvara rizik za reviziju i poslovanje. Pravo pitanje nije „Tko zna poveznicu?”, nego „Tko smije u ime ovog gospodarskog subjekta pokrenuti radnju u registru?”.
Javni QR pristup nije ovlaštenje za registar
QR kod na proizvodu ostaje pristup putovnici. Nije mehanizam za prijavu u registar i to ne bi ni trebao postati. Potrošači, servisi za popravak, recikleri i tijela vlasti trebaju različite informacije. Aktualni vodič Komisije o DPP izričito navodi da su informacije dostupne prema korisničkim ulogama.
Stoga se u praksi preporučuje jasno razdvajanje slojeva:
- Javno skeniranje pruža stabilan, besplatno dostupan prikaz putovnice s informacijama propisanima za odgovarajuću skupinu proizvoda.
- Sučelje ograničeno ulogama upravlja dokazima, podacima o dobavljačima, poviješću promjena i internim odobrenjima.
- Konektor registra smije prenositi samo potrebne registracijske podatke i odgovor registra povezati s konkretnim zapisom proizvoda.
Time se sprječavaju dvije raširene pogrešne pretpostavke. Prvo: „tajna” QR poveznica ne zamjenjuje kontrolu pristupa; može se proslijediti i nije pouzdan dokaz ovlaštenja. Drugo: registar nije mjesto za pohranu sve dokumentacije o proizvodu. Komisija objašnjava da potpune informacije o proizvodu mogu biti kod gospodarskog subjekta ili DPP-pružatelja usluga; registriraju se potrebni metapodaci i identifikatori.
Što uredba tehnički sugerira
Uredba 2026/1778 ne opisuje registar kao puku bazu podataka za pretraživanje. Među ostalim navodi API za registraciju i primanje podataka, platformu za potvrdu postojanja i potpunosti, shemu jedinstvenih registracijskih ID-ova, imenik provjerenih DPP-pružatelja usluga, sustav zapisnika te sheme identifikacije i autorizacije. Modeli podataka također moraju biti verzionirani.
Iz tih zahtjeva ne proizlazi gotova arhitektura proizvoda. No oni pružaju čvrste smjernice:
Profil poduzeća prije uvoza proizvoda
Prije masovnog uvoza izradite kontrolirani skup podataka o poduzeću. To uključuje pravnu osobu, njezin status gospodarskog subjekta, odabrani dokaz identiteta, vrijeme provjere i odgovorno tijelo. Sam dokaz DPP-sustav treba pohranjivati samo ako je to potrebno i dopušteno; često je dovoljan status provjere s referencom i logikom isteka ili ponovne procjene.
Delegiranje je zaseban zapis
Ako djeluje pružatelj usluga ili agencija, delegiranje treba imati opseg. Preporučljivo je utvrditi barem gospodarskog subjekta, dopuštene radnje, skupine proizvoda ili marke, početak, završetak i opoziv. Opći API ključ bez granice mandata previše je širok za radnju relevantnu za registraciju.
Registracija kao dokaziv postupak
Za svaku registraciju timovi bi trebali zabilježiti najmanje lokalnu verziju proizvoda, poslani identifikator, odgovor uključujući registracijski ID, vremensku oznaku, ulogu koja je postupala i kategoriju pogreške. Tako se kasnije može razlikovati je li putovnica bila sadržajno nepotpuna, je li došlo do kolizije identifikatora ili je nedostajalo ovlaštenje. Vođenje zapisa ne smije postati prikupljanje nepotrebnih osobnih podataka; treba stvoriti odgovoran i provjerljiv lanac radnji.
Ovlaštenja testirajte kao poslovna pravila
Testni slučajevi ne bi smjeli završiti s „API vraća 200”. Provjerite najmanje sljedeće: neovlašteni korisnik ne može pokrenuti registraciju; delegirani pružatelj može obrađivati samo dogovoreni mandat; isteklo delegiranje se odbija; javni prikaz putovnice ne otkriva interne podatke registra ni dokaze; te se ponovno predani postupak sljedivo obrađuje kao ponavljanje.
Sažet plan pokretanja za sljedeće tjedne
Ne počinjite potpunom migracijom. Odaberite malu, reprezentativnu količinu proizvoda i stvarni lanac odgovornosti.
- Za svaki pilot-proizvod odredite proizvođača, subjekt koji stavlja proizvod na tržište, odgovorne za podatke i, prema potrebi, pružatelja usluga.
- Dokumentirajte kojim se postupkom provjerava gospodarski subjekt i tko odobrava provjeru.
- Definirajte uloge za izradu nacrta, stručno odobrenje, registraciju i prava samo za čitanje.
- Registrirajte testni zapis s verzioniranim podacima o proizvodu te zabilježite registraciju, odgovor i put ispravka.
- Odvojeno testirajte javni QR pristup, interne uloge i konektor registra.
- Uvježbajte opoziv i promjenu: što se događa pri promjeni pružatelja usluga, izmijenjenom nazivu poduzeća ili pogrešnom identifikatoru?
Ovaj postupak odgovara i već objavljenoj preporuci da se registar, razrješivač i izvor podataka testiraju odvojeno. Nov je naglasak: prije robusne API integracije mora biti jasno koja provjerena organizacija i koja uloga snose odgovornost za radnju.
Što još ne treba tvrditi
Uredba o registru stvara tehnički i organizacijski okvir. Ne čini svaku skupinu proizvoda odmah obveznom za DPP i ne zamjenjuje sektorske delegirane akte. Komisija i dalje uvodi sustav po skupinama proizvoda; nakon delegiranih akata za ESPR načelno je predviđeno prijelazno razdoblje od najmanje 18 mjeseci. Isto tako, status provjerenog poduzeća nije blanko odobrenje za nepotpune ili netočne podatke o proizvodu.
Ipak, posljedica za timove je konkretna: identitet, mandat, uloge i vođenje zapisa pripadaju u DPP-backlog prije nego što se registracije prošire. Tako QR kod ostaje jednostavna javna ulazna točka — a radnja u registru postaje ono što regulatorno jest: odgovorna, sljediva radnja provjerenog gospodarskog subjekta.
