Projekt ustawy został przedłożony do rozpatrzenia i każdy może zgłaszać do niego uwagi. Tak właśnie działa Komisja Europejska: projekty, takie jak rozporządzenie w sprawie rejestru UE, są podawane do publicznej wiadomości na okres czterech tygodni, a każdy, kto chce, może zabrać głos za pośrednictwem portalu „Have Your Say”, podając swoje imię i nazwisko, widoczne dla wszystkich. Uwagi te są oficjalnie uwzględniane w ostatecznej wersji dokumentu.
Zrobiliśmy to czterokrotnie, odnosząc się do czterech kwestii, z którymi producent zetknąłby się w pierwszej kolejności w codziennej praktyce. Projekt z dnia 29 kwietnia 2026 r. omówiliśmy szczegółowo na tym blogu; termin zgłaszania uwag upływa 27 maja 2026 r. W niniejszym wpisie wyjaśniamy, co napisaliśmy do Komisji i dlaczego. W międzyczasie rozporządzenie zostało przyjęte; wymagania, jakie na Państwa nakłada, przedstawiliśmy w naszej analizie przyjętego rozporządzenia.
Dlaczego cztery oddzielne uwagi
Portal dopuszcza 4 000 znaków na jedną uwagę. Moglibyśmy zawrzeć wszystkie kwestie w jednym długim wpisie. Dla pracowników Komisji, którzy w maju będą analizować dziesiątki uwag, byłoby to trudniejsze do przeczytania i trudniejsze do zacytowania. Cztery odrębne zgłoszenia są łatwo do znalezienia na publicznej liście, a każde z nich można osobno zatwierdzić lub odrzucić, bez wpływu na pozostałe kwestie.
Przedstawiliśmy następujące cztery tematy:
1. Określenie minimalnych obowiązków dostawcy usług
Projekt prawidłowo określa podział obowiązków: dane paszportowe pozostają w posiadaniu przedsiębiorstwa lub jego dostawcy usług, natomiast w rejestrze Komisji przechowywane są jedynie odniesienia. Dla dostawców usług przewidziano oficjalny wykaz zatwierdzonych podmiotów.
Brakuje jednak określenia, jakie obowiązki musi faktycznie spełniać dostawca usług, aby znaleźć się na tej liście i pozostać na niej. Prawdopodobnie konkretne obowiązki zostaną określone w odrębnym akcie delegowanym, do którego sporządzenia ESPR upoważnia Komisję w zakresie wymagań stawianych dostawcom usług. Rejestr zostanie jednak uruchomiony przed opublikowaniem tego aktu prawnego.
Nasza propozycja: albo należy bezpośrednio w niniejszym rozporządzeniu określić minimalne obowiązki dostawców usług, albo podać wiążący termin, w którym akt prawny ten zostanie przedłożony. Do proponowanych minimalnych obowiązków należą:
- Publiczny interfejs odczytu paszportów musi być dostępny przez co najmniej 99,5 procent czasu w miesiącu
- Stałe zobowiązanie dotyczące tego, jak szybko nowa wersja paszportu musi trafić do kopii zapasowej (propozycja: 24 godziny lub natychmiast, o ile jest to technicznie możliwe)
- Usługodawca sprawdza podpis każdej otrzymanej wersji
- Klucze publiczne przedsiębiorstwa znajdują się pod jednolitą ścieżką (zgodnie z RFC 8615, propozycja
/.well-known/dpp-keys/) - Ustalona procedura postępowania w przypadku zmiany dostawcy lub upadłości, zapewniająca uporządkowane przeniesienie danych certyfikatu do innego dostawcy w razie awarii dotychczasowego
Obowiązki te nie wiążą się z żadnymi kosztami dla rzetelnego dostawcy, który i tak je spełnia. Zapobiegają one jednak „wyścigowi w dół” między tanimi dostawcami, który ostatecznie obniża wartość listy.
2. Zaświadczenie ważne przez dziesięć lat
Artykuł 9 ust. 4 ogranicza dostępność zaświadczenia o rejestracji do 90 dni kalendarzowych. W tym terminie rejestr na żądanie ponownie wydaje zaświadczenie. Jest to wystarczające dla bieżącej działalności, jednak nie odpowiada okresowi obowiązywania wynikającego z tego wymogu: art. 10 ust. 3 nakłada obowiązek przechowywania danych przez dziesięć lat od daty wpisu, a przepisy branżowe mogą wymagać dłuższego okresu.
Organ nadzoru rynku, urzędnik celny, podmiot zajmujący się recyklingiem lub badaczka w roku 2032 powinni mieć możliwość sprawdzenia, czy paszport zarejestrowany w 2026 roku rzeczywiście został zarejestrowany, bez konieczności polegania na tym, że pierwotna firma nadal istnieje i może wystawić aktualne zaświadczenie.
Nasze dwie propozycje są łatwe do wdrożenia:
- Należy wyraźnie zaznaczyć, że zaświadczenie opatrzone pieczęcią Komisji może być przechowywane, archiwizowane i przekazywane przez przedsiębiorstwo lub dostawcę usług. Zgodnie z rozporządzeniem eIDAS w odniesieniu do kwalifikowanego podpisu elektronicznego obowiązuje domniemanie, że dane są nienaruszone, a ich pochodzenie jest prawidłowe, niezależnie od lokalizacji pliku.
- Publiczny adres weryfikacyjny w rejestrze, który bez konieczności logowania się pod numerem rejestracyjnym dostarcza podpisany komunikat zwrotny. Obecnie każda kontrola przeprowadzana przez stronę trzecią wymaga podjęcia działań przez samą firmę. Jest to niewłaściwa forma dokumentu dowodowego, który musi przetrwać swojego wystawcę.
Ponadto zaproponowaliśmy jednoznaczne określenie sposobu obliczania odcisku palca: stałą procedurę i stały format zapisu danych (nasza propozycja: SHA-256 oraz kanonizacja JSON zgodnie z RFC 8785). Bez takiego określenia dwaj dostawcy usług obliczaliby różne odciski palca dla tego samego paszportu, a odcisku palca w potwierdzeniu rejestracji nie dałoby się odtworzyć.
3. Artykuł 17 nie może ograniczać dostępu do publicznych danych paszportowych
Artykuł 17 wymienia „masowe pobieranie danych” jako potencjalne nadużycie rejestru. W odniesieniu do danych administracyjnych zawartych w samym rejestrze (tożsamości, protokoły, ścieżki audytu) jest to słuszne - nie powinny one być przedmiotem masowego pobierania.
Jednak publiczne dane dotyczące pasów, przechowywane przez producenta lub dostawcę usług, są właśnie tym, co ESPR zamierza udostępnić szerokiemu gronu odbiorców. Firmy zajmujące się recyklingiem, które pobierają dane dotyczące materiałów z całych flot produktów; badania naukowe, w ramach których dokonuje się przekrojowej analizy danych dotyczących zrównoważonego rozwoju; nadzór rynkowy, który przeprowadza porównania: są to przykłady masowego pobierania danych w porównaniu z publicznymi danymi z paszportów, a wszystkie one stanowią zamierzone zastosowania, dla których rozporządzenie zostało opracowane.
Proponujemy dodanie zdania wyjaśniającego w art. 17, które ograniczy zakres stosowania do danych rejestrowych, a w odniesieniu do danych paszportowych odsyła do odpowiednich rozporządzeń branżowych. W przeciwnym razie dostawcy usług staną przed wyborem w momencie uruchomienia: albo ze względów bezpieczeństwa znacznie ograniczyć publiczny dostęp, psując tym samym wrażenia konsumentów, albo pozostawić go otwartym i ryzykować, że później zostanie to zakwalifikowane jako nadużycie w rozumieniu art. 17.
4. Opublikowanie opisu interfejsu i środowiska testowego przed uruchomieniem
Artykuł 3 lit. b) wymaga interfejsu do wprowadzania wpisów. Artykuł 8 ust. 5 określa go jako jedną z dwóch metod wprowadzania wpisów. Rozporządzenie nie zawiera jednak żadnych wskazówek dotyczących terminu opublikowania opisu tego interfejsu.
Każdy, kto automatyzuje proces rejestracji - każdy dostawca usług oraz każda firma posiadająca obszerny katalog - potrzebuje opisu na długo przed uruchomieniem, aby móc zbudować system i przetestować go w połączeniu z rzeczywistym serwerem docelowym. Udostępnienie opisu w tygodniu poprzedzającym wejście w życie przenosi ryzyko na wszystkich dostawców.
W związku z tym zaproponowaliśmy:
- Opublikowanie pełnego opisu interfejsu (OpenAPI 3.1) co najmniej osiem tygodni przed wejściem w życie, a więc w przypadku uruchomienia 19 lipca 2026 r. - najpóźniej do 24 maja 2026 r.
- Równoległe środowisko testowe, w którym dostawcy usług i producenci mogą tworzyć rozwiązania oraz wypróbować automatyczną kontrolę zgodnie z art. 8 ust. 6
- Stałe zasady dotyczące wersji interfejsu oraz co najmniej 18-miesięczny okres wypowiedzenia
Inne propozycje: zabezpieczenie przed podwójnymi wpisami w przypadku wielokrotnego wywoływania strony, zbiorcze wprowadzanie danych w przypadku dużych katalogów, wprowadzanie danych z potwierdzeniem zamiast oczekiwania oraz kody błędów nadające się do odczytu maszynowego na wypadek, gdyby automatyczna kontrola zawiodła.
Dlaczego to robimy
Konsultacje nie są grą polegającą na zbieraniu punktów. Komisja faktycznie zapoznaje się z tymi uwagami. Doświadczenia z samego procesu ESPR pokazują, że merytorycznie uzasadnione uwagi często znajdują odzwierciedlenie w ostatecznych tekstach.
Jeśli każda uwaga przyczyni się do doprecyzowania choćby jednego zdania w ostatecznej wersji, spełniła swój cel.
I tak będziemy ubiegać się o wpisanie na listę dostawców usług, gdy tylko procedura zostanie opublikowana. Leży więc w naszym własnym interesie, aby zasady, na podstawie których startujemy, były precyzyjne i zapewniały równe szanse. Te cztery uwagi stanowią nasz konkretny wkład w zapewnienie, by lista nie stała się jedynie pustą etykietą.
Kto chce wziąć udział
Termin upływa 27 maja 2026 r. Uwagi można zgłaszać w każdym języku urzędowym UE; wymagają one rejestracji na portalu i zostaną opublikowane. Osoby, które będą wydawać lub weryfikować paszporty - producenci, dostawcy usług, podmioty zajmujące się recyklingiem oraz organy administracji - powinny przynajmniej raz zapoznać się z inicjatywą na stronie Have Your Say. Nawet krótka, merytorycznie rzetelna wypowiedź ma znaczenie.
Nasze Transpareo Time Machine, nasze narzędzie weryfikacyjne, już dziś spełnia wymagania opisane w punkcie 2: każdy, kto chce niezależnie zweryfikować paszport Transpareo, może to zrobić za pomocą tego narzędzia o otwartym kodzie źródłowym w przeglądarce, bez konieczności oczekiwania na adres weryfikacyjny w rejestrze Komisji.
