Az új gyakorlati szűk keresztmetszet: ki regisztrálhat útlevelet?
Az EU DPP-nyilvántartása 2026. július 20. óta működőképes. Sok csapatnál kezdetben a technikai kérdés volt előtérben: regisztrálható-e egy termékazonosító, és az adathordozó megfelelően oldódik-e fel? Ez szükséges, de nem elégséges. A 2026. július 16-i 2026/1778/EU végrehajtási rendelet révén az ezt megelőző identitás önálló szabályozási jelentőséget kap: a regisztrációt ellenőrzött gazdasági szereplőknek kell elvégezniük, és a nyilvántartási funkciókhoz való hozzáférés nem azonos a termékinformációkhoz való nyilvános hozzáféréssel.
Ez nem ok arra, hogy a QR-kódokat bonyolultabbá tegyük. Sokkal inkább arra, hogy az első éles regisztrációs folyamat előtt egyértelműen modellezzük a felelősségi köröket, igazolásokat és jogosultságokat. Az alábbi útmutató elkülöníti ezeket a szinteket, és bemutatja, mit készíthetnek elő most a gyártók a gyakorlatban.
Három identitás, amelyet nem szabad összekeverni
Egy DPP-projektben legalább három különböző identitás jelenik meg.
Először is ott van a gazdasági szereplő: az a vállalat vagy egyéni vállalkozó, amely terméket hoz forgalomba vagy a nyilvántartásban jár el. A 2026/1778-as rendelet 4. cikke az „ellenőrzött gazdasági szereplő” minősítést személyazonosság-igazoláshoz köti. Az EU-ban letelepedett egyéni vállalkozók esetében a jogszabály például minősített elektronikus aláírást vagy magas biztonsági szintű, eIDAS-kompatibilis elektronikus azonosítási eszközt említ. A jogi személyeket is meghatározott igazolások alapján kell ellenőrizni.
Másodszor ott van az emberi felhasználó. A beszerzés, a törzsadatkezelés, a megfelelőség, a külső szolgáltatók és egy DPP-szolgáltató nem automatikusan azonos jogosultsággal járnak el. A felhasználói fiók ezért nem helyettesíti az ellenőrzött vállalati kontextust. Nyomon követhető hozzárendelésre van szükség: ki, mely gazdasági szereplő nevében, milyen szerepkörrel és meddig jár el?
Harmadszor ott van a termékidentitás. Egy GTIN, egy sorozatszám vagy más azonosító a terméket, illetve az előírt részletezettségi szintet írja le; nem igazolja, hogy a képernyő előtt ülő személy jogosult a regisztrációra. Az ESPR kifejezetten elválasztja ezeket a területeket: az adathordozó a terméket az útlevéllel kapcsolja össze, míg a nyilvántartás az egyedi azonosítókat és a regisztrációs adatokat tárolja. Az Európai Bizottság áttekintése az DPP-ről ennek megfelelően írja le a folyamatot: a termékinformációkat létrehozzák és regisztrálják, majd a nyilvántartás egyedi regisztrációs azonosítót állít elő.
Aki ezt a három identitást egyetlen táblázatban, API-tokenben vagy közös e-mail-postafiókban vonja össze, később auditálási és működési kockázatot teremt. A helyes kérdés nem az, hogy „Ki ismeri a linket?”, hanem az, hogy „Ki jogosult e gazdasági szereplő nevében nyilvántartási műveletet kezdeményezni?”.
A nyilvános QR-hozzáférés nem jelent nyilvántartási jogosultságot
A terméken elhelyezett QR-kód továbbra is az útlevélhez való hozzáférést szolgálja. Nem a nyilvántartásba való bejelentkezés mechanizmusa, és nem is szabad azzá válnia. A fogyasztóknak, javítóműhelyeknek, újrafeldolgozóknak és hatóságoknak eltérő információkra van szükségük. Az Európai Bizottság aktuális útmutatója az DPP-ről kifejezetten leírja, hogy az információk felhasználói szerepkörök szerint hozzáférhetők.
A gyakorlatban ezért egyértelmű rétegelválasztás ajánlott:
- A nyilvános beolvasás stabil, díjmentesen elérhető útlevélnézetet biztosít az adott termékcsoportra előírt információkkal.
- Egy szerepkör-korlátozott felület kezeli az igazolásokat, beszállítói adatokat, módosítási előzményeket és belső jóváhagyásokat.
- A nyilvántartási csatlakozó csak a szükséges regisztrációs adatokat továbbíthatja, és a nyilvántartás válaszát konkrét termékadat-rekordhoz kell rendelnie.
Ez két elterjedt téves feltevést előz meg. Először is: egy „titkos” QR-link nem helyettesíti a hozzáférés-ellenőrzést; továbbadható, és nem számít megbízható jogosultságigazolásnak. Másodszor: a nyilvántartás nem valamennyi termékdokumentum tárolási helye. A Bizottság kifejti, hogy a teljes termékinformáció a gazdasági szereplőnél vagy egy DPP-szolgáltatónál lehet; a szükséges metaadatokat és azonosítókat regisztrálják.
Amit a rendelet technikailag sugall
A 2026/1778-as rendelet nem puszta keresési adatbázisként írja le a nyilvántartást. Többek között említ regisztrációs és adatfogadási API-t, a meglét és teljesség megerősítésére szolgáló platformot, az egyedi regisztrációs azonosítók sémáját, az ellenőrzött DPP-szolgáltatók jegyzékét, naplózási rendszert, valamint azonosítási és engedélyezési sémákat. Az adatmodelleket ezenfelül verziózni kell.
Ezekből az előírásokból nem következik kész termékarchitektúra. Ugyanakkor megbízható iránymutatást adnak:
Vállalati profil a termékimport előtt
Tömeges import előtt hozzon létre ellenőrzött vállalati adatrekordot. Ennek része a jogi személy, annak gazdasági szereplői státusza, a választott identitásigazolás, az ellenőrzés időpontja és a felelős szervezet. Magát az igazolást egy DPP-rendszernek csak a szükséges és megengedett mértékben kell tárolnia; gyakran elegendő egy ellenőrzési státusz hivatkozással, valamint lejárati vagy újraértékelési logikával.
A delegálás önálló adatrekord
Ha szolgáltató vagy ügynökség jár el, a delegálásnak rendelkeznie kell hatókörrel. Legalább a gazdasági szereplőt, az engedélyezett műveleteket, a termékcsoportokat vagy márkákat, a kezdő időpontot, a záró időpontot és a visszavonást célszerű rögzíteni. Egy általános API-kulcs megbízási korlát nélkül túl nagy jogosultságot ad egy regisztráció szempontjából releváns művelethez.
A regisztráció mint igazolható folyamat
Minden regisztrációhoz a csapatoknak legalább a helyi termékverziót, a továbbított azonosítót, a választ a regisztrációs azonosítóval együtt, az időbélyeget, az eljáró szerepkört és a hibakategóriát kell rögzíteniük. Így később megkülönböztethető, hogy egy útlevél szakmailag hiányos volt-e, egy azonosító ütközött-e, vagy hiányzott a jogosultság. A naplózásnak nem szükségtelen személyes adatok gyűjtésére kell szolgálnia; felelős, ellenőrizhető műveleti láncot kell létrehoznia.
A jogosultságokat ugyanúgy tesztelje, mint az üzleti szabályokat
A teszteseteknek nem szabad az „API 200-as választ ad” pontnál véget érniük. Legalább azt ellenőrizze, hogy jogosulatlan felhasználó nem kezdeményezhet regisztrációt; a delegált szolgáltató csak a megállapodott megbízást kezelheti; a lejárt delegálást elutasítják; a nyilvános útlevélnézet nem tár fel belső nyilvántartási vagy igazolási adatokat; és az ismételten benyújtott folyamatot nyomon követhetően ismétlésként kezelik.
Karcsú indulási terv a következő hetekre
Ne teljes körű migrációval kezdjen. Válasszon kis, reprezentatív termékmennyiséget és valós felelősségi láncot.
- Minden pilottermékhez rendelje hozzá a gyártót, a forgalomba hozót, az adatfelelőst és adott esetben a szolgáltatót.
- Dokumentálja, milyen eljárással ellenőrzik a gazdasági szereplőt, és ki hagyja jóvá az ellenőrzést.
- Határozzon meg szerepköröket a tervezéshez, szakmai jóváhagyáshoz, regisztrációhoz és kizárólagos olvasási jogosultsághoz.
- Regisztráljon egy tesztadatrekordot verziózott termékadatokkal, és naplózza a regisztrációt, a választ és a javítási útvonalat.
- Tesztelje a nyilvános QR-hozzáférést elkülönítve a belső szerepköröktől és a nyilvántartási csatlakozótól.
- Gyakorolja a visszavonást és a váltást: mi történik szolgáltatóváltás, megváltozott vállalati megnevezés vagy hibás azonosító esetén?
Ez a folyamat összhangban áll a már közzétett ajánlással, amely szerint a nyilvántartást, a feloldót és az adatforrást elkülönítve kell tesztelni. Az új hangsúly a következő: a megbízható API-integráció előtt egyértelműnek kell lennie, mely ellenőrzött szervezet és mely szerepkör felel a műveletért.
Amit még nem szabad állítani
A nyilvántartási rendelet megteremti a technikai és szervezeti keretet. Nem tesz minden termékcsoportot azonnal DPP-kötelessé, és nem helyettesíti az ágazatspecifikus felhatalmazáson alapuló jogi aktusokat. A Bizottság a bevezetést továbbra is termékcsoportonként ütemezi; az ESPR-re vonatkozó felhatalmazáson alapuló jogi aktusok után főszabály szerint legalább 18 hónapos átmeneti időszak várható. Hasonlóképpen, az ellenőrzött vállalati státusz sem jelent felmentést a hiányos vagy hibás termékadatok alól.
A csapatok számára a következtetés ennek ellenére konkrét: az identitásnak, a megbízásnak, a szerepköröknek és a naplózásnak a regisztrációk skálázása előtt az DPP-backlog részévé kell válnia. Így a QR-kód megmarad egyszerű nyilvános belépési pontnak — a nyilvántartási művelet pedig azzá válik, ami szabályozási szempontból: egy ellenőrzött gazdasági szereplő felelős, nyomon követhető cselekvésévé.
