Jak działa cyfrowy paszport produktu: krok po kroku

Cyfrowy paszport produktu to ustrukturyzowany zestaw danych o konkretnym produkcie, dostępny online pod stałym adresem, do którego prowadzi nośnik danych umieszczony na produkcie. Brzmi prosto, a w praktyce składa się z sześciu elementów, które muszą zagrać razem: nośnika, identyfikatora, wpisu w rejestrze Komisji, danych podzielonych na warstwy dostępu, hostingu i wersji maszynowej. Ten tekst rozkłada je po kolei i pokazuje, co mówi o każdym z nich rozporządzenie, a co norma. Terminy dla branż zbieramy osobno, na stronie branż i terminów.

1. Nośnik danych, czyli kod QR na produkcie

Artykuł 10 ust. 1 lit. b ESPR: nośnik danych musi być fizycznie umieszczony na produkcie, jego opakowaniu albo w dokumentacji dołączonej do produktu, a to, który z tych wariantów obowiązuje, wskazuje akt delegowany dla grupy produktów. Ten sam akt, zgodnie z art. 9 ust. 2 lit. b i c, wybiera rodzaj nośnika oraz jego układ i umiejscowienie.

W praktyce oznacza to kod QR, czasem znacznik NFC, czasem oba. Normą, która opisuje nośniki, jest EN 18220. Ważniejsze jest jednak to, czego nośnik nie robi: nie przechowuje danych. Kod QR na metce to wyłącznie droga do adresu. Dane leżą tam, gdzie je hostujesz, i to dlatego wymiana metki nie jest tym samym co wymiana paszportu.

Z tego wynika praktyczny wniosek, który oszczędza pieniądze: jeśli masz już kod QR albo kod kreskowy na produkcie, prawdopodobnie nie musisz drukować nowych metek, żeby zacząć. Rozpisaliśmy to w tekście nie musisz zmieniać metek.

2. Identyfikator, który się nie zmienia

Artykuł 10 ust. 1 lit. a: paszport musi być połączony z niezmiennym niepowtarzalnym identyfikatorem produktu za pośrednictwem nośnika danych. Słowo „niezmienny” jest tu najważniejsze. Identyfikator, który raz trafił na produkt, zostaje z nim do końca, nawet jeśli zmieni się właściciel firmy, dostawca oprogramowania albo skład wyrobu.

Schemat identyfikatora opisuje norma EN 18219. Dopuszcza kilka rodzin, a GS1 Digital Link jest jedną z opcji, nie warunkiem. Sprawdzaliśmy to w normie i opisaliśmy w tekstach EN 18219 po ludzku oraz czy potrzebujesz GS1. Wybór ma jednak twarde wymogi techniczne od strony rejestru: identyfikator podawany Komisji musi używać https, może mieć do 2000 znaków (od wersji 1.03 podręcznika rejestru; na starcie było 50) i musi prowadzić bezpośrednio do paszportu, bez przekierowań. Adres w stylu skracacza linków odpada.

Drugą decyzją jest poziom identyfikacji. Artykuł 9 ust. 2 lit. d i art. 10 ust. 1 lit. f mówią, że akt delegowany wskazuje, czy paszport powstaje na poziomie modelu, partii czy sztuki. To decyzja, której nie da się cofnąć bez nowych kodów na nowych produktach, więc warto ją podjąć świadomie. Pomaga w tym krótki test poziomu i tekst model, partia czy sztuka. Oprócz identyfikatora produktu art. 12 ESPR wymaga jeszcze identyfikatorów podmiotu i zakładu, też zgodnych z normami.

3. Rejestr Komisji, czyli katalog, a nie magazyn

Artykuł 13 ust. 1 ESPR kazał Komisji stworzyć cyfrowy rejestr do 19 lipca 2026 r. Rejestr ruszył 20 lipca 2026 r., a zasady jego działania ustala rozporządzenie wykonawcze (UE) 2026/1778, stosowane od 6 sierpnia 2026 r.

Rejestr przechowuje trzy rzeczy: niepowtarzalne identyfikatory, kod towaru dla produktów zgłaszanych do procedury dopuszczenia do obrotu oraz identyfikatory baterii z art. 77 ust. 3 rozporządzenia bateryjnego. Nie przechowuje danych Twojego paszportu. To katalog, który mówi „taki identyfikator istnieje i prowadzi tam”, a nie chmura, w której leży skład Twojej bluzy.

Dwie rzeczy, które warto stąd wynieść. Po pierwsze, uruchomienie rejestru nie jest obowiązkiem dla firm; pisaliśmy o tym w dniu startu. Po drugie, rejestracja podmiotu wymaga kwalifikowanej pieczęci elektronicznej, a samej rejestracji paszportu jeszcze nie da się przeprowadzić, co sprawdziliśmy, przechodząc procedurę krok po kroku.

4. Dane i warstwy dostępu

Paszport nie jest jedną stroną dla wszystkich. Artykuł 9 ust. 2 lit. f każe aktowi delegowanemu wskazać, które podmioty mają dostęp do których danych, a art. 10 ust. 1 lit. g powtarza to jako wymóg zasadniczy. Artykuł 11 lit. f dodaje drugą stronę tej samej reguły: prawo do wprowadzania i zmiany danych też jest ograniczone.

W praktyce projektuje się to jako warstwy.

Kto	Co widzi	Przykłady pól
Konsument	Warstwa publiczna, bez logowania	Skład, pielęgnacja, pochodzenie, trwałość i naprawa, dokumenty, identyfikacja
Organ nadzoru rynku	Warstwa publiczna plus dane zgodności	Deklaracja zgodności, jednostka notyfikowana, dokumentacja techniczna, kontakt ds. zgodności
Recykler i podmiot przetwarzający	Warstwa publiczna plus dane techniczne	Skład szczegółowy z demontażem, substancje niebezpieczne i ich lokalizacja, rozdzielenie materiałów
Serwis i naprawa	Warstwa publiczna plus instrukcje	Instrukcje naprawy, części zamienne, kolejność demontażu

Dwa zastrzeżenia, bez których ta tabela wprowadza w błąd. Po pierwsze, ostateczny podział pól ustala akt delegowany dla grupy produktów, a pierwszą publiczną mapę pole po polu dostaliśmy dopiero w studium dla żelaza i stali, które opisaliśmy w tekście mapa dostępu dla stali. Po drugie, normy o prawach dostępu i autentyczności danych, EN 18239 i EN 18246, CEN opublikował 16 września 2026 r., ale nie są jeszcze przywołane w Dzienniku Urzędowym. Warstwy da się więc dziś zbudować technicznie, ale role prawne czytelników przyjdą później.

Jest też twarda granica, o której łatwo zapomnieć przy projektowaniu: artykuł 10 ust. 1 lit. e zabrania przechowywania w paszporcie danych osobowych klienta bez jego wyraźnej zgody w rozumieniu art. 6 RODO. Paszport opisuje produkt, nie kupującego.

5. Hosting, czyli gdzie to naprawdę leży

Tu paszport różni się najmocniej od zwykłej podstrony produktu. Artykuł 9 ust. 2 lit. i każe aktowi delegowanemu określić okres, przez który paszport ma być dostępny, i wyznacza dolną granicę: co najmniej oczekiwany okres użytkowania produktu. Dla mebla albo baterii przemysłowej to nie są dwa lata kampanii marketingowej, tylko dekada albo więcej.

Artykuł 10 ust. 4 idzie dalej i wymaga, żeby podmiot wprowadzający produkt do obrotu udostępniał kopię zapasową paszportu za pośrednictwem dostawcy usług DPP będącego niezależną osobą trzecią. Artykuł 11 lit. e domyka temat: dane mają pozostać dostępne mimo niewypłacalności, likwidacji albo zaprzestania działalności przez podmiot odpowiedzialny za stworzenie paszportu. Prościej: prawo zakłada, że dostawca może zniknąć, i każe się na to przygotować z góry.

Norma, która opisuje przechowywanie i trwałość, to EN 18221. Praktyczny wniosek dla wyboru dostawcy jest jeden: zapytaj o eksport całości danych, o to, ile lat utrzymania masz zapisane w umowie, i o to, co się stanie z adresami, gdy zmienisz dostawcę. U nas opublikowany paszport jest utrzymywany co najmniej dwa lata od publikacji, a komplet danych pobierzesz jednym kliknięciem w dowolnym momencie. Listę pytań do zadania każdemu dostawcy zebraliśmy w tekście jak sprawdzić dostawcę.

6. Wersja maszynowa, czyli JSON pod tym samym adresem

Artykuł 10 ust. 1 lit. d wymaga, żeby dane paszportu opierały się na otwartych standardach, nadawały się do odczytu maszynowego, były ustrukturyzowane, przeszukiwalne i przenoszalne przez otwartą, interoperacyjną sieć wymiany danych, bez uzależnienia od jednego dostawcy. Artykuł 11 lit. a dokłada pełną interoperacyjność z innymi paszportami.

W praktyce oznacza to, że ten sam adres musi umieć odpowiedzieć dwa razy: stroną dla człowieka i strukturą dla maszyny. Jeden identyfikator, dwie reprezentacje. Protokoły wymiany opisuje EN 18216, interfejsy programistyczne i cykl życia EN 18222, a interoperacyjność systemów EN 18223. Sześć norm z tej rodziny przywołała Komisja w Dzienniku Urzędowym 15 lipca 2026 r.; co która robi, tłumaczymy w tekście sześć norm EN.

Test dla dostawcy jest prosty: poproś o adres paszportu i sprawdź, czy odpowiada JSON-em, gdy zapytasz o dane, a stroną, gdy wejdziesz przeglądarką. Jeśli danych nie da się pobrać maszynowo, nie da się ich też przenieść.

Cykl życia paszportu: od utworzenia do wycofania

Elementy są statyczne, ale paszport żyje razem z produktem. Cztery etapy, które trzeba mieć przemyślane, zanim wydrukujesz pierwszą metkę.

Utworzenie. Zbierasz dane, wybierasz poziom identyfikacji i rezerwujesz identyfikator. Nic jeszcze nie jest publiczne.
Publikacja. Paszport dostaje stały adres i zaczyna odpowiadać pod kodem QR. Od tej chwili dane mają być poprawne, pełne i aktualne, bo tego wymaga art. 9 ust. 1.
Aktualizacja i wersje. Zmiana danych nie tworzy nowego adresu, tylko nową wersję pod tym samym. Kto może ją wprowadzić, ograniczają prawa dostępu z art. 11 lit. f. Poprawka błędu to co innego niż nowa partia produkcyjna, która zwykle zasługuje na własny paszport.
Wycofanie. Produkt schodzi z rynku, ale adres nadal odpowiada, bo w obiegu zostają kody na sprzedanych sztukach. Paszport przechodzi w tryb tylko do odczytu z informacją o wycofaniu, a nie znika.

Czego paszport nie robi

Nie jest stroną sprzedażową. Jest dokumentem o produkcie, czytanym najczęściej po zakupie, przy naprawie albo przy kontroli.
Nie zastępuje deklaracji zgodności ani oznakowania CE. Może je udostępniać jako dokumenty, ale ich nie zastępuje.
Nie zbiera danych o kliencie. Zabrania tego wprost art. 10 ust. 1 lit. e.
Nie jest wpisem w rejestrze. Rejestr trzyma identyfikator, dane trzyma paszport.

Zobacz to na własnym produkcie

Najszybszy sposób, żeby zrozumieć te sześć elementów, to zrobić jeden paszport i zobaczyć, czego brakuje w Twoich plikach. Pełny zestaw pokazują nasze przykładowe paszporty, a w darmowym koncie pierwszy paszport zajmuje kilka minut i kończy się działającym adresem z kodem QR oraz plikami wektorowymi do druku. Jak taka strona wygląda od strony czytelnika, pokazujemy w tekście jak wygląda cyfrowy paszport produktu, a całość tematu od strony firmy zbiera przewodnik 2026.

FAQ

Czy paszport produktu to kod QR?

Nie. Kod QR to nośnik danych, czyli droga do paszportu, a paszport to dane pod stałym adresem. Wymagają tego osobno art. 10 ust. 1 lit. a i lit. b ESPR: nośnik prowadzi do niezmiennego identyfikatora, a ten do danych.

Gdzie są przechowywane dane paszportu?

U Ciebie albo u wybranego przez Ciebie dostawcy usług. Rejestr Komisji przechowuje identyfikatory, a nie treść paszportu. Artykuł 10 ust. 4 wymaga dodatkowo kopii zapasowej u niezależnej osoby trzeciej, a art. 11 lit. e dostępności danych mimo upadku operatora.

Czy potrzebuję GS1?

Nie zawsze. Norma EN 18219 dopuszcza kilka schematów identyfikatorów, a GS1 Digital Link jest jednym z nich. Jeśli sprzedajesz przez sieci handlowe, kod GS1 i tak zwykle masz, i wtedy warto go użyć zamiast tworzyć drugi.

Co się dzieje, gdy zmienię dane?

Powstaje nowa wersja paszportu pod tym samym adresem. Identyfikator jest niezmienny z mocy art. 10 ust. 1 lit. a, więc kody wydrukowane na produktach działają dalej. Nowa partia produkcyjna to zwykle osobny paszport, nie nowa wersja starego.

Ile kosztuje utrzymanie?

Zależy od liczby paszportów i poziomu identyfikacji, bo paszport na sztukę to zupełnie inna skala niż na model. Widełki rynkowe i składniki kosztu rozpisaliśmy w tekście ile kosztuje DPP. U nas dwa pierwsze opublikowane paszporty są bezpłatne, a utrzymanie każdego opublikowanego to co najmniej dwa lata od publikacji.