GUIDE TIL DATAADGANG
Hvem kan se dine DPP-data? Adgangsrettigheder, fortrolighed og sikkerhed efter ESPR
Den bekymring, vi oftest hører fra modebrands om det digitale produktpas (DPP), handler om, hvad andre kan se og bruge: Får konkurrenterne leverandørlisten at se? Kan offentligheden se materialesammensætning og kemiske data? Må DPP-udbyderen genbruge dataene? ESPR, forordning (EU) 2024/1781, besvarer ikke disse spørgsmål produkt for produkt. Den gør noget mere grundlæggende: Den lader adgangen til produktpasdata afhænge af de adgangsrettigheder, som den delegerede retsakt for hver produktgruppe skal fastlægge, og den fastsætter væsentlige krav til, hvem der må ændre data, og til integritet og sikkerhed – krav, der allerede gælder for ethvert produktpas.
Denne guide skelner mellem det, forordningen allerede fastlægger, og det, der stadig er uafklaret for beklædning: den delegerede retsakt for tekstiler, de to harmoniserede standarder om adgangsrettigheder og dataintegritet, hvis referencer endnu ikke er offentliggjort i Den Europæiske Unions Tidende, den delegerede retsakt om udbydere af digitale produktpastjenester og de gennemførelsesretsakter om udstedelse og kontrol af digitale adgangsrettigheder (på engelsk: digital credentials), som ESPR giver mulighed for, men som ikke er blevet foreslået. Hvor dataene fysisk ligger, og hvad der skal stå på etiketten, kan du læse i vores guide til databærere og EU-registret (EN).
Pr. produktgruppe
Adgangen til produktpasdata følger de specifikke adgangsrettigheder på produktgruppeniveau i den gældende delegerede retsakt (ESPR, artikel 10, stk. 1, litra g)).
6 af 8
DPP-standarder, hvis referencer er offentliggjort i EU-Tidende ved gennemførelsesafgørelse (EU) 2026/1736; EN 18239 (adgangsrettigheder) og EN 18246 (integritet) er endnu ikke blandt dem.
Intet videresalg
Udbydere af digitale produktpastjenester må ikke sælge, genbruge eller behandle produktpasdata ud over tjenesten, medmindre det specifikt er aftalt med den erhvervsdrivende (ESPR, artikel 11).
1. Hvad forordningen allerede afgør om adgang
Artikel 10, stk. 1, litra g), forordning (EU) 2024/1781 (ESPR)
»adgangen til data i det digitale produktpas reguleres i overensstemmelse med de væsentlige krav i denne artikel og artikel 11, og med de specifikke adgangsrettigheder på produktgruppeniveau som anført i den gældende delegerede retsakt, der vedtages i henhold til artikel 4«
Der gælder altså ikke én fælles adgangsregel for alle produkter. Hver delegeret retsakt skal, alt efter hvad der er relevant for produktgruppen, specificere »de aktører, der skal have adgang til dataene i det digitale produktpas, og til hvilke oplysninger de skal have adgang« og »de aktører, der skal oprette et digitalt produktpas eller ajourføre dataene i et digitalt produktpas, og hvilke data de kan indføre eller ajourføre« (artikel 9, stk. 2, litra f) og g)). Indtil den delegerede retsakt for beklædningstekstiler foreligger, siger loven ikke, hvilke konkrete data om beklædning der bliver offentlige, og hvilke der bliver adgangsbegrænsede.
Det, forordningen derimod fastlægger, er kredsen af aktører og princippet. Efter artikel 11, litra b), gælder det, at kunder, fabrikanter, importører, distributører, forhandlere, professionelle reparatører, uafhængige aktører, istandsættelsesvirksomheder, genfremstillingsvirksomheder, genvindingsvirksomheder, markedsovervågningsmyndigheder og toldmyndigheder, civilsamfundsorganisationer, fagforeninger og andre relevante aktører »skal have gratis og let adgang til det digitale produktpas på grundlag af deres respektive adgangsrettigheder« som fastsat i den gældende delegerede retsakt. Betragtning 33 forklarer formålet med udformningen: For at optimere adgangen til dataene og samtidig beskytte intellektuelle ejendomsrettigheder er det nødvendigt at »udforme og gennemføre det digitale produktpas på en måde, som giver differentieret adgang til dataene i det digitale produktpas, afhængigt af typen af data og typen af interessenter«.
Tre bestemmelser sætter rammer for adgangen, allerede før et eneste datafelt for beklædning er defineret. Den delegerede retsakt skal, alt efter hvad der er relevant, specificere, hvordan produktpasset gøres tilgængeligt for kunderne, inden de bliver bundet af en aftale om salg, leje eller køb på afbetaling, herunder ved fjernsalg (artikel 9, stk. 2, litra e)). Den erhvervsdrivende, der bringer produktet i omsætning, skal give forhandlere og udbydere af onlinemarkedspladser en digital kopi af databæreren eller den entydige produktidentifikator, så kunder, der ikke fysisk kan få adgang til produktet, kan finde frem til produktpasset (artikel 10, stk. 3). Og den erhvervsdrivende skal, når den bringer produktet i omsætning, »stille en backup-kopi af det digitale produktpas til rådighed via en udbyder af digitale produktpastjenester« (artikel 10, stk. 4). Reglerne om tjenesteudbydere i afsnit 2 nedenfor vedrører derfor alle brands, ikke kun dem, der outsourcer hostingen.
To yderligere punkter ligger allerede fast. EU-registret efter artikel 13 er et digitalt register, der »på en sikker måde som minimum lagrer de entydige identifikatorer«, og som for produkter, der skal henføres under toldproceduren »overgang til fri omsætning«, lagrer varekoden (artikel 13, stk. 1). Gennemførelsesforordning (EU) 2026/1778 tilføjer registreringsdata som f.eks. en henvisning til udbyderen af digitale produktpastjenester (artikel 8, stk. 9). Andre produktpasdata lagres kun i registret, hvis en delegeret retsakt bestemmer det (artikel 13, stk. 2). Registret er ikke offentligt: Kommissionen, de kompetente nationale myndigheder og toldmyndighederne har adgang med henblik på udførelsen af deres opgaver (artikel 13, stk. 6); erhvervsdrivende får adgang, når de er verificeret, for at registrere deres produktpas (artikel 4, stk. 3, i gennemførelsesforordning (EU) 2026/1778), og andre aktører i værdikæden, f.eks. reparatører eller genvindingsvirksomheder, først når de er blevet verificeret (artikel 5, stk. 3). Den offentligt tilgængelige webportal, som Kommissionen skal drive efter artikel 14, skal derimod gøre det muligt for interessenter at søge efter og sammenligne produktpasdata »på en måde, der er i overensstemmelse med deres respektive adgangsrettigheder«.
2. Sådan beskyttes fortrolige forretningsoplysninger og personoplysninger
ESPR indeholder flere beskyttelsesregler, der gælder, allerede før en eneste retsakt for beklædning er skrevet:
| Bestemmelse (ESPR) | Hvad den siger | Hvad det betyder for et brand |
|---|---|---|
| Artikel 5, stk. 10, litra d) | Ved udarbejdelsen af krav til miljøvenligt design skal Kommissionen »tage hensyn til beskyttelsen af fortrolige forretningsoplysninger«. | Fortrolighed er et hensyn, som Kommissionen skal afveje, når den fastsætter kravene til beklædning – ikke en bisag. |
| Artikel 7, stk. 6, litra b) | Hvor det er relevant, skal en delegeret retsakt, der fastsætter oplysningskrav, fastsætte behørigt begrundede undtagelser fra oplysningskravene om problematiske stoffer, bl.a. på grundlag af »behovet for at beskytte fortrolige forretningsoplysninger«; stoffer som omhandlet i artikel 2, nr. 27), litra a), der er til stede i en koncentration på over 0,1 % vægtprocent, må ikke undtages. | Der findes en retlig mulighed for at holde visse stofoplysninger ude af produktpasset, men ikke for stoffer på kandidatlisten, jf. artikel 2, nr. 27), litra a), i koncentrationer over denne grænse. |
| Betragtning 33 | Differentieret adgang »afhængigt af typen af data og typen af interessenter« for at optimere adgangen til dataene og samtidig beskytte intellektuelle ejendomsrettigheder. | Lovgiver forventer, at ikke alle aktører ser alle felter. |
| Artikel 10, stk. 1, litra e) | »personoplysninger vedrørende kunder må ikke lagres i det digitale produktpas uden deres udtrykkelige samtykke« i overensstemmelse med artikel 6 i forordning (EU) 2016/679. | Kundedata, f.eks. fra en videresalgs- eller reparationsservice, hører som udgangspunkt ikke hjemme i produktpasset. |
| Artikel 11, andet afsnit | Udbydere af digitale produktpastjenester må »ikke helt eller delvist sælge, genbruge eller behandle sådanne data ud over, hvad der er nødvendigt for at levere de relevante lagrings- eller behandlingstjenester, medmindre det specifikt er aftalt med den erhvervsdrivende, der bringer produktet i omsætning eller ibrugtager det«. | Hvad en udbyder må gøre med dine produktpasdata ud over tjenesten, afhænger af, hvad du aftaler i kontrakten. |
Efter ordlyden lover ingen af disse bestemmelser, at et bestemt datafelt for beklædning forbliver fortroligt. De er målestokken for, hvordan den delegerede retsakt for beklædning vil fastlægge sine adgangsniveauer. Guiden om problematiske stoffer (EN) forklarer grænsen på 0,1 % i detaljer.
3. Hvem der må ændre data, og hvilke sikkerhedskrav der gælder
Læsning og skrivning af data reguleres hver for sig. Artikel 11, litra f), bestemmer, at »rettighederne til at indføre, ændre eller ajourføre dataene i det digitale produktpas skal være begrænset på grundlag af de adgangsrettigheder, der er specificeret i delegerede retsakter vedtaget i henhold til artikel 4«. I praksis forventes den delegerede retsakt at fastlægge, hvilken aktør – f.eks. et brand, en leverandør eller en reparatør – der må tilføje eller ajourføre hvilke oplysninger (artikel 9, stk. 2, litra g)).
To væsentlige krav gælder for ethvert produktpas uanset produktgruppe: »dataautentificering, -pålidelighed og -integritet sikres« (artikel 11, litra g)), og digitale produktpas »udformes og anvendes på en sådan måde, at der sikres et højt niveau af sikkerhed og privatlivets fred, og at svig undgås« (artikel 11, litra h)).
Efter artikel 11, sidste afsnit, kan Kommissionen vedtage gennemførelsesretsakter, der fastsætter »procedurer for udstedelse og kontrol af de digitale adgangsrettigheder for erhvervsdrivende og andre relevante aktører, der skal have adgang til data i det digitale produktpas«. (Den danske sprogudgave bruger her udtrykket »digitale adgangsrettigheder«; den engelske udgave taler om digital credentials, dvs. digitale legitimationsoplysninger.) Den 13. oktober 2026 fandt vi hverken en sådan gennemførelsesretsakt i Publikationskontorets databaser eller et tilknyttet initiativ på Kommissionens portal Have your say.
4. De to standarder om adgangsrettigheder og integritet
Der er udviklet otte europæiske standarder til DPP. Ifølge CEN og CENELEC (15. juli 2026) omfatter de EN 18239 »Digital Product Passport - Access rights management, information system security, and business confidentiality« (styring af adgangsrettigheder, informationssystemsikkerhed og forretningsmæssig fortrolighed) og EN 18246 »Digital product passport - Data authentication, reliability and integrity« (dataautentificering, -pålidelighed og -integritet). Gennemførelsesafgørelse (EU) 2026/1736 af 14. juli 2026 offentliggjorde referencerne for seks af de otte standarder i Den Europæiske Unions Tidende; EN 18239 og EN 18246 er ikke blandt dem.
Det har betydning på grund af artikel 41, stk. 2, i ESPR: Et produktpas, der er i overensstemmelse med harmoniserede standarder, hvis referencer er offentliggjort i Den Europæiske Unions Tidende, formodes at være i overensstemmelse med kravene i artikel 10 og 11, i det omfang disse krav er omfattet af de pågældende standarder. De to standarder, der specifikt omhandler adgangsrettigheder, sikkerhed, fortrolighed og integritet – EN 18239 og EN 18246 – giver endnu ikke nogen formodning om overensstemmelse. Kommissionens DPP-side angav september 2026 som tidspunkt for afgørelsen om de to resterende standarder (tidslinjen er vejledende); den 13. oktober 2026 fandt vi ingen sådan afgørelse i Publikationskontorets databaser, og den 17. oktober 2026 angav DPP-siden i stedet november 2026.
5. Hvad der stadig udestår, og hvad hvert punkt skal afgøre
| Punkt | Status pr. 20. oktober 2026 | Hvad det skal afgøre |
|---|---|---|
| Delegeret retsakt efter ESPR for tekstiler (beklædning) | Ikke vedtaget. Kommissionens DPP-side angiver vedtagelse af de delegerede retsakter for tekstiler, aluminium og dæk i 3.–4. kvartal 2027. | Hvilke aktører der ser hvilke data om beklædning, og hvem der må indføre eller ajourføre hvilke data (artikel 9, stk. 2, litra f) og g)). |
| Harmoniserede standarder EN 18239 og EN 18246 | Referencerne er endnu ikke offentliggjort i EU-Tidende; den 13. oktober 2026 angav Kommissionens DPP-side september 2026 for afgørelsen, og pr. 17. oktober 2026 angiver den november 2026 (vejledende). | Formodning om overensstemmelse for adgangsrettigheder, sikkerhed, fortrolighed og integritet (artikel 41, stk. 2). |
| Gennemførelsesforordning om adgangsrettigheder til dele af batteripasset | Planlagt til 4. kvartal 2026 (Have your say, initiativ 16473); artikel 77, stk. 9, i forordning (EU) 2023/1542 fastsatte en frist til den 18. august 2026; Kommissionen offentliggjorde udkastet den 19. oktober 2026, og der kan afgives bemærkninger indtil den 16. november 2026. | Kun batterier, ikke beklædning. Forordning (EU) 2023/1542 opdeler allerede oplysningerne i batteripasset i dele, der er tilgængelige for offentligheden, dele, der kun er tilgængelige for bemyndigede organer, markedsovervågningsmyndigheder og Kommissionen, og dele, der kun er tilgængelige for personer med en legitim interesse (artikel 77, stk. 2, og bilag XIII). Gennemførelsesretsakten skal angive, hvem der skal anses for personer med en legitim interesse, og i hvilket omfang de kan downloade, dele, offentliggøre og genbruge disse oplysninger. |
| Delegeret retsakt om udbydere af digitale produktpastjenester | Planlagt til 4. kvartal 2026 ifølge Have your say (initiativ 14382); Kommissionens DPP-side angiver 2027. | Krav til udbydere af digitale produktpastjenester – for at blive udbyder og for at levere tjenesterne – og, hvor det er relevant, en certificeringsordning (artikel 11, tredje afsnit). |
| Gennemførelsesretsakter om digitale adgangsrettigheder (digital credentials) | Intet initiativ fundet. | Hvordan indehavere af adgangsrettigheder identificeres og verificeres (artikel 11, sidste afsnit). |
Udsyn – europæiske virksomhedstegnebøger
Kommissionens forslag til forordning om europæiske virksomhedstegnebøger (European Business Wallets), COM(2025) 838 af 19. november 2025, er ikke vedtaget; den 7. oktober 2026 bekræftede Europa-Parlamentet sit mandat til at indlede interinstitutionelle forhandlinger (procedure 2025/0358(COD)). Forslagets begrundelse nævner digitale produktpas, men de foreslåede artikler henviser ikke til ESPR. Om virksomhedstegnebøger vil blive brugt til at dokumentere adgangsrettigheder i DPP, er derfor et åbent politisk spørgsmål – ikke gældende ret.
6. Hvad et brand kan gøre nu
ESPR kræver ikke noget af det følgende i dag. Det er vores anbefalinger til, hvordan du kan forberede dig, mens reglerne for beklædning endnu ikke er fastlagt:
| Trin | Hvorfor |
|---|---|
| Klassificér dine produktdata efter følsomhed: offentlige, kun for partnere, kun for myndigheder, interne. | Betragtning 33 og artikel 9, stk. 2, litra f), peger i retning af differentieret adgang. Klassificerer du dine data nu, kan du hurtigt placere dem i de adgangsniveauer, som den delegerede retsakt fastsætter. |
| Gennemgå klausulerne om dataanvendelse i alle DPP-kontrakter – både om pilotprojekter og med udbydere. | Efter artikel 11, andet afsnit, kræver genbrug ud over selve tjenesten en specifik aftale med dig. Undgå at give et generelt samtykke. |
| Beslut, hvem der må skrive hvilke data – især når det gælder leverandører. | Artikel 11, litra f), begrænser skriverettighederne på grundlag af adgangsrettighederne. Indfører du rollebaserede tilladelser i pilotprojekterne nu, slipper du for omarbejde senere. |
| Hold kunders personoplysninger ude af produktpasset. | Artikel 10, stk. 1, litra e), kræver udtrykkeligt samtykke efter databeskyttelsesforordningen (GDPR). |
| Spørg udbydere, hvordan de vil opfylde EN 18239 og EN 18246, når referencerne er offentliggjort i EU-Tidende. | Indtil da gælder artikel 10 og 11 uden formodning om overensstemmelse for disse aspekter. |
DPP-AUDIT
Få klarhed over, hvilke af dine produktdata der kan være offentlige – og hvilke der ikke må.
Vi kortlægger dine produktdata i forhold til DPP-kravene og de åbne spørgsmål om adgangsrettigheder, så dine leverandørdata, kontrakter og din adgangsmodel er på plads, når tekstilretsakten kommer. Under fortrolighedsaftale (NDA).
Start din DPP-auditOfte stillede spørgsmål
Bliver min liste over leverandører og fabrikker offentlig i produktpasset?
Må min DPP-tjenesteudbyder bruge mine produktdata?
Hvem kan ændre dataene i mit produktpas?
Findes der en standard for adgangsrettigheder i DPP, som vi kan følge nu?
Må kundedata lagres i produktpasset?
Kilder
- ESPREuropa-Parlamentets og Rådets forordning (EU) 2024/1781 af 13. juni 2024 om fastlæggelse af en ramme for fastsættelse af krav til miljøvenligt design for bæredygtige produkter, om ændring af direktiv (EU) 2020/1828 og forordning (EU) 2023/1542 og om ophævelse af direktiv 2009/125/EF. Betragtning 33; artikel 2, nr. 27), artikel 5, stk. 10, artikel 7, stk. 6, artikel 9, stk. 2, artikel 10, stk. 1, 3 og 4, artikel 11, 13 og 14 samt artikel 41, stk. 2; bilag III. Læst i den udgave, der er offentliggjort i EU-Tidende; berigtigelserne er kontrolleret, og ingen af dem berører de citerede passager. CELEX 32024R1781 ↗
- Harmoniserede DPP-standarderKommissionens gennemførelsesafgørelse (EU) 2026/1736 af 14. juli 2026 om harmoniserede standarder for digitale produktpas, der er udarbejdet til støtte for Europa-Parlamentets og Rådets forordning (EU) 2024/1781. CELEX 32026D1736 ↗ · CEN og CENELEC, nyhed af 15.07.2026 med de otte DPP-standarder (på engelsk). CEN-CENELEC ↗
- DPP-registerKommissionens gennemførelsesforordning (EU) 2026/1778 af 16. juli 2026 om fastlæggelse af gennemførelsesbestemmelser for registret over digitale produktpas, der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2024/1781. Artikel 4, stk. 3, artikel 5, stk. 3, og artikel 8, stk. 9. CELEX 32026R1778 ↗
- BatteripasEuropa-Parlamentets og Rådets forordning (EU) 2023/1542 af 12. juli 2023 om batterier og udtjente batterier, om ændring af direktiv 2008/98/EF og forordning (EU) 2019/1020 og om ophævelse af direktiv 2006/66/EF. Artikel 77, stk. 2 og 9; bilag XIII. Læst i den konsoliderede udgave af 13.08.2026. CELEX 02023R1542-20260813 ↗
- Kommissionens tidsplanEuropa-Kommissionen, siden om det digitale produktpas (besøgt 13.10.2026; tidslinjens punkt om de to resterende standarder besøgt igen 17.10.2026). Kommissionens DPP-side ↗
- Udestående retsakterHave your say, initiativ 16473, gennemførelsesforordning om adgangsrettigheder til visse dele af batteripasset (besøgt 13.10.2026; udkastet og fristen for bemærkninger besøgt igen 20.10.2026) ↗; initiativ 14382, udbydere af digitale produktpastjenester ↗; COM(2025) 838, forslag til Europa-Parlamentets og Rådets forordning om oprettelse af europæiske virksomhedstegnebøger CELEX 52025PC0838 ↗; Europa-Parlamentet, Lovgivningsobservatoriet, procedure 2025/0358(COD) ↗.
ESPR, gennemførelsesafgørelse (EU) 2026/1736 og gennemførelsesforordning (EU) 2026/1778 er læst i de udgaver, der er offentliggjort i EU-Tidende, og forordning (EU) 2023/1542 i den konsoliderede udgave, alle udgivet af Den Europæiske Unions Publikationskontor (EUR-Lex); konsoliderede udgaver er dokumentationsværktøjer uden retsvirkning, og den autentiske tekst er den, der er offentliggjort i EU-Tidende; Publikationskontorets databaser blev gennemsøgt den 13.10.2026; Europa-Kommissionens sider, Have your say, Lovgivningsobservatoriet og CEN-CENELEC blev besøgt den 13.10.2026. Dette er generel information og ikke juridisk, finansiel eller investeringsmæssig rådgivning.