Lakiesitys on pöydällä, ja kuka tahansa voi esittää siihen kommentteja. Näin EU:n komissio toimii: se asettaa esitykset, kuten EU-rekisteriä koskevan asetusesityksen, neljäksi viikoksi julkiseen kuulemiseen, ja kuka tahansa voi esittää mielipiteensä ”Have Your Say” -portaalin kautta, nimensä ilmoittaen, kaikkien nähtäväksi. Lausunnot otetaan virallisesti huomioon lopullisessa versiossa.
Olemme tehneet näin neljä kertaa, koskien niitä neljää kohtaa, joista valmistaja arkipäivässä ensiksi ottaisi esille. Olemme käsitelleet 29. huhtikuuta 2026 päivättyä luonnosta yksityiskohtaisesti tässä blogissa; palautteen antamisaika päättyy 27. toukokuuta 2026. Tässä artikkelissa selitetään, mitä olemme kirjoittaneet komissiolle ja miksi. Asetus on nyt hyväksytty; sen vaatimukset löytyvät arvioinnistamme hyväksytystä asetuksesta.
Miksi neljä erillistä kannanottoa
Portaali hyväksyy 4 000 merkkiä per kannanotto. Olisimme voineet tiivistää kaikki kohdat yhteen pitkään kannanottoon. Komission työntekijöille, jotka käyvät toukokuussa läpi kymmeniä kannanottoja, se olisi ollut vaikeampi lukea ja vaikeampi siteerata. Neljä erillistä lausuntoa ovat julkisesti luettelossa erikseen löydettävissä, ja kuhunkin voidaan vastata tai se voidaan hylätä erikseen ilman, että se vaikuttaa muihin kohtiin.
Olemme toimittaneet seuraavat neljä aihetta:
1. Määritetään, mitä palveluntarjoajan on vähintään suoritettava
Ehdotuksessa määritellään jakautuminen oikein: passitiedot säilyvät yrityksellä tai sen palveluntarjoajalla, ja komission rekisteriin tallennetaan vain viitteet. Palveluntarjoajia varten on tarkoitus laatia virallinen luettelo hyväksytyistä palveluntarjoajista.
Puuttuu määritelmä siitä, mitä palveluntarjoajan on tosiasiassa tehtävä päästäkseen tähän luetteloon ja pysyäkseen siinä. Todennäköisesti varsinaiset velvoitteet määritellään erillisessä delegoidussa säädöksessä, jonka laatimiseen ESPR valtuuttaa komission palveluntarjoajia koskevien vaatimusten osalta. Rekisteri otetaan kuitenkin käyttöön ennen kuin tämä säädös julkaistaan.
Ehdotuksemme: joko vahvistetaan palveluntarjoajien vähimmäisvelvoitteet suoraan tässä asetuksessa tai määritetään sitova määräaika, johon mennessä säädös on toimitettava. Ehdotettuihin vähimmäisvelvoitteisiin kuuluvat:
- Passien julkisen lukurajapinnan on oltava käytettävissä vähintään 99,5 prosenttia kuukaudesta
- Kiinteä sitoumus siitä, kuinka nopeasti uuden passiversion on oltava saatavilla varmuuskopiossa (ehdotus: 24 tuntia tai välittömästi, mikäli teknisesti mahdollista)
- Palveluntarjoaja tarkistaa jokaisen saapuvan version allekirjoituksen
- Yrityksen julkiset avaimet sijaitsevat yhtenäisessä polussa (RFC 8615:n mukaisesti, ehdotus
/.well-known/dpp-keys/) - Määritelty menettelytapa vaihdon ja maksukyvyttömyyden varalta, jotta passitiedot siirretään järjestelmällisesti toiselle palveluntarjoajalle, jos palveluntarjoaja lakkasi toimimasta
Nämä velvoitteet eivät maksa mitään vakavalle palveluntarjoajalle, sillä se täyttää ne joka tapauksessa. Ne estävät kuitenkin halpapalveluntarjoajien välisen alaspäin suuntautuvan kilpailun, joka lopulta heikentää luettelon arvoa.
2. Todistus, joka on voimassa kymmenen vuotta
9 artiklan 4 kohdassa rajoitetaan rekisteröintitodistuksen saatavuus 90 kalenteripäivään. Tämän määräajan kuluessa rekisteri myöntää todistuksen uudelleen pyynnöstä. Tämä riittää päivittäisessä toiminnassa, mutta se ei vastaa taustalla olevan velvoitteen voimassaoloaikaa: 10 artiklan 3 kohdassa säilytysaika on määritelty kymmeneksi vuodeksi rekisteröinnistä lukien, ja alakohtaisessa lainsäädännössä voidaan vaatia pidempää säilytysaikaa.
Markkinavalvontaviranomaisen, tullivirkailijan, kierrättäjän tai tutkijan tulisi vuonna 2032 pystyä tarkistamaan, että vuonna 2026 rekisteröity passi oli todella rekisteröity, ilman että hänen tarvitsee luottaa siihen, että alkuperäinen yritys on edelleen olemassa ja voi pyytää uuden todistuksen.
Kaksi ehdotustamme ovat edullisia toteuttaa:
- On nimenomaisesti täsmennettävä, että yrityksellä tai palveluntarjoajalla on oikeus säilyttää, arkistoida ja luovuttaa komission vahvistama todistus. eIDAS-asetuksen mukaan pätevän varmenteen osalta oletetaan, että tiedot ovat ehjiä ja niiden alkuperä on oikea riippumatta siitä, missä tiedosto sijaitsee.
- Rekisterissä oleva julkinen tarkistusosoite, joka antaa allekirjoitetun vastauksen ilman rekisteröintinumeron syöttämistä. Nykyään jokainen kolmannen osapuolen suorittama tarkastus edellyttää, että yritys itse ryhtyy toimenpiteisiin. Tämä on väärä muoto todistusasiakirjalle, jonka on säilyttävä sen myöntäjän kuoleman jälkeenkin.
Lisäksi olemme ehdottaneet, että sormenjäljen laskeminen määritetään yksiselitteisesti: vakiintunut menettely ja vakiintunut tietojen kirjoitustapa (ehdotuksemme: SHA-256 ja JSON-kanonisoinnin standardin RFC 8785 mukaisesti). Ilman tätä määrittelyä kaksi palveluntarjoajaa laskisivat samalle passille eri sormenjäljet, eikä rekisteröintitodistuksessa olevaa sormenjälkeä voitaisi tarkistaa.
3. 17 artikla ei saa rajoittaa pääsyä julkisiin passitietoihin
17 artiklassa mainitaan ”massiivinen tietojen lataaminen” rekisterin mahdollisena väärinkäyttönä. Tämä pätee rekisterissä oleviin hallinnollisiin tietoihin (tunnukset, lokit, tarkastusjäljet), jotka eivät kuulu massalatauksiin.
Valmistajan tai palveluntarjoajan hallussa olevat julkiset passitiedot ovat kuitenkin juuri sitä, mitä ESPR haluaa tuoda laajasti saataville. Kierrättäjät, jotka hakevat materiaalitietoja kokonaisista tuotevalikoimista; tutkimus, joka analysoi kestävyystietoja poikkileikkauksellisesti; markkinavalvonta, joka tekee vertailuja: nämä ovat kaikki massalatauksia verrattuna julkisiin tuotetietoihin, ja ne ovat kaikki tarkoituksellisia käyttötarkoituksia, joita varten asetus on laadittu.
Ehdotuksemme on selventävä lause 17 artiklaan, joka rajoittaa soveltamisalan rekisteritietoihin ja viittaa tuotetietojen osalta kyseisiin toimialakohtaisiin asetuksiin. Muussa tapauksessa palveluntarjoajat joutuvat käynnistysvaiheessa valinnan eteen: joko rajoittaa julkista pääsyä turvallisuussyistä voimakkaasti ja pilata siten kuluttajien käyttökokemuksen, tai jättää sen avoimeksi ja ottaa riskin, että toiminta luokitellaan myöhemmin 17 artiklan mukaiseksi väärinkäytöksi.
4. Julkaistaan rajapintakuvaus ja testausympäristö ennen käyttöönottoa
3 artiklan b alakohdassa vaaditaan rajapintaa tietojen syöttämistä varten. 8 artiklan 5 kohdassa se määritellään yhdeksi kahdesta tavasta syöttää tietoja. Asetuksessa ei kuitenkaan mainita, milloin tämä rajapinta on kuvattava.
Jokainen, joka automatisoi rekisteröinnit - jokainen palveluntarjoaja ja jokainen yritys, jolla on laaja valikoima - tarvitsee kuvauksen selvästi ennen käyttöönottoa voidakseen rakentaa järjestelmänsä ja testata sitä todellista vastapuolta vastaan. Kuvauksen saaminen vasta viikkoa ennen voimaantuloa siirtää riskin kaikille palveluntarjoajille.
Olemme siksi ehdottaneet seuraavaa:
- Julkaistaan täydellinen rajapintakuvaus (OpenAPI 3.1) vähintään kahdeksan viikkoa ennen voimaantuloa, eli 19. heinäkuuta 2026 alkavaa käyttöönottoa varten viimeistään 24. toukokuuta 2026 mennessä
- Rinnakkainen testausympäristö, jossa palveluntarjoajat ja valmistajat voivat kehittää ratkaisujaan ja kokeilla 8 artiklan 6 kohdassa tarkoitettua automaattista valvontaa
- Kiinteät säännöt rajapinnan versioille ja vähintään 18 kuukauden irtisanomisaika
Muita ehdotuksia: suojaus päällekkäisiä merkintöjä vastaan toistuvissa hakukerroissa, joukkomerkintä suurille luetteloille, merkintä, jossa annetaan palautetta odottamisen sijaan, sekä koneellisesti luettavat virhekoodit tapauksissa, joissa automaattinen tarkistus epäonnistuu.
Miksi teemme tämän
Kuuleminen ei ole pisteidenkeruupeli. Komissio lukee nämä kannanotot todellakin. ESPR-prosessista saadut kokemukset osoittavat, että asiantuntevat kannanotot näkyvät usein lopullisissa teksteissä.
Jos jokainen kannanotto onnistuu tarkentamaan yksittäistä lauseen lopullisessa versiossa, se on täyttänyt tarkoituksensa.
Hakeudumme joka tapauksessa palveluntarjoajien luetteloon heti, kun menettely julkaistaan. On siis omien etujemme mukaista, että säännöt, joiden mukaan kilpailemme, ovat tarkkoja ja luovat tasapuoliset toimintaedellytykset. Nämä neljä ehdotusta ovat konkreettinen tapamme varmistaa, ettei luetteloa alenneta pelkäksi etikettiksi.
Kuka haluaa osallistua
Osallistumisaika päättyy 27. toukokuuta 2026. Ehdotuksia voi jättää millä tahansa EU:n virallisella kielellä, niihin on rekisteröidyttävä portaalissa ja ne julkaistaan julkisesti. Niiden, jotka tulevat myöntämään tai tarkastamaan passit - valmistajat, palveluntarjoajat, kierrättäjät, viranomaiset - tulisi lukea aloitteesta ainakin kerran osoitteessa Have Your Say. Myös lyhyt, asiallisesti tarkka kommentti on arvokas.
Tämä Transpareo Time Machine, tarkastustyökalumme, täyttää muuten jo nyt kohdassa 2 kuvatun tarpeen: kuka tahansa, joka haluaa tarkastaa Transpareo-passin riippumattomasti, voi tehdä sen selaimessa avoimen lähdekoodin työkalun avulla ilman, että hänen tarvitsee odottaa tarkastusosoitetta komission rekisteristä.
