(EU) 2026/1778Prováděcí nařízení Komise (EU) 2026/1778 ze dne 16. července 2026, kterým se stanoví prováděcí opatření pro registr digitálních pasů výrobku zřízený podle nařízení Evropského parlamentu a Rady (EU) 2024/1781

(1)

Ustanovení čl. 13 odst. 1 nařízení (EU) 2024/1781 vyžaduje, aby Komise zřídila digitální registr digitálních pasů výrobku (dále jen „registr“), v němž budou bezpečně uloženy alespoň jedinečné identifikátory. Je nezbytné stanovit hlavní složky registru a technické a provozní úlohy a povinnosti hospodářských subjektů uvádějících výrobek na trh nebo do provozu v rámci registru digitálních pasů výrobku, příslušných vnitrostátních orgánů a celních orgánů a Komise. Dále je nezbytné zavést systém protokolů pro zaznamenávání a sledování operací a interakcí prováděných v registru s cílem zajistit odpovědnost všech uživatelů a vymezit odpovědnost za údržbu, provoz a bezpečnost registru. Tato prováděcí opatření rovněž zahrnují pravidla platná pro subjekty hodnotového řetězce, příslušné vnitrostátní orgány a celní orgány a Komisi, pokud jde o používání registru. Příslušné vnitrostátní orgány by měly mít v příslušných případech možnost aktualizovat nebo změnit status digitálního pasu výrobku na základě kontrol provedených v souladu s jejich úkoly podle příslušných právních předpisů Unie a vnitrostátních právních předpisů, které jsou v souladu s právem Unie.

(2)

Registr by měl poskytovat informace o výrobcích, na něž se vztahují akty v přenesené pravomoci přijaté podle nařízení (EU) 2024/1781 v rozsahu, v němž je stanoveno použití digitálního pasu výrobku, a o bateriích podle nařízení Evropského parlamentu a Rady (EU) 2023/1542 (2). Další právní předpisy Unie mohou vyžadovat, aby byly informace o výrobcích uloženy v registru. Tak je tomu již v případě stavebních výrobků spadajících do oblasti působnosti nařízení Evropského parlamentu a Rady (EU) 2024/3110 (3), hraček spadajících do oblasti působnosti nařízení Evropského parlamentu a Rady (EU) 2025/2509 (4) a detergentů a povrchově aktivních látek pro konečné uživatele spadajících do oblasti působnosti nařízení Evropského parlamentu a Rady (EU) 2026/405 (5). Pokud další právní předpisy Unie odkazují na registr zřízený nařízením (EU) 2024/1781, měla by se použít prováděcí opatření stanovená v tomto nařízení. Tím by neměla být dotčena zvláštní pravidla Unie týkající se registru digitálních pasů výrobku, včetně pravidel přijatých prostřednictvím zmocnění k doplnění nebo úpravě jeho požadavků, jako je případ stavebních výrobků v čl. 79 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2024/3110 (6). Je-li registr propojen s jinými informačními systémy, nemělo by toto propojení ohrožovat interoperabilitu těchto systémů.

(3)

Aby byla zajištěna účinnost, bezpečnost a interoperabilita registru, měl by se skládat z těchto prvků: internetové stránky poskytující zabezpečené uživatelské rozhraní; rozhraní pro programování aplikací (API) pro registraci digitálních pasů výrobku; ověřovací platformy pro ověření a potvrzení existence a úplnosti digitálních pasů výrobku; systému identifikace a oprávnění uživatele; systému pro generování jedinečných registračních identifikátorů; složky pro uchovávání jedinečných identifikátorů a zbožových kódů výrobků, které mají být propuštěny do celního režimu „propuštění do volného oběhu“; sémantického úložiště, které slouží jako směrodatný odkaz pro požadavky na sémantický význam, strukturu, vytváření verzí a interoperabilitu údajů digitálního pasu výrobku; systému protokolů zaznamenávajícího příslušné operace. Vzhledem k tomu, že systém digitálních pasů výrobků je založen na decentralizovaném modelu, měl by registr rovněž obsahovat referenční seznam ověřených poskytovatelů služeb souvisejících s digitálním pasem výrobku registrovaných v registru.

(4)

Aby byla zajištěna odpovědnost, měl by být každý hospodářský subjekt a subjekt hodnotového řetězce (jako je poskytovatel služeb souvisejících s digitálním pasem výrobku, subjekty provádějící opravy, renovace, repasování či recyklaci) identifikován prostřednictvím postupu ověřování.

(5)

V případě fyzické osoby jednající jako samostatný obchodník, která musí být usazena v Unii, by měla být její totožnost prokázána prostřednictvím kvalifikovaného elektronického podpisu podpořeného kvalifikovaným certifikátem pro elektronický podpis v souladu s nařízením Evropského parlamentu a Rady (EU) č. 910/2014 (7) nebo prostřednictvím prostředku pro elektronickou identifikaci, který splňuje požadavky uvedeného nařízení na úroveň záruky „vysoká“, nebo prostřednictvím elektronického potvrzení atributů vydaného podle práva Unie, které umožňuje identifikaci hospodářského subjektu. V případě fyzické osoby jednající jako samostatný obchodník, která nemusí být usazena v Unii, by měla být její totožnost prokázána prostřednictvím kvalifikovaného elektronického podpisu podpořeného kvalifikovaným certifikátem pro elektronický podpis v souladu s nařízením (EU) č. 910/2014 nebo prostřednictvím elektronického potvrzení atributů vydaného podle práva Unie, které umožňuje identifikaci hospodářského subjektu.

(6)

V případě právnické osoby, která musí být usazena v Unii, by její totožnost a její usazení měly být ověřeny kvalifikovaným poskytovatelem služeb vytvářejících důvěru prostřednictvím kvalifikované elektronické pečetě podpořené kvalifikovaným certifikátem pro elektronickou pečeť v souladu s nařízením (EU) č. 910/2014 nebo prostřednictvím kvalifikovaného elektronického potvrzení atributů vydaného podle práva Unie, které umožňuje identifikaci a ověření usazení hospodářského subjektu. V případě právnické osoby, která nemusí být usazena v Unii, by její totožnost a v příslušných případech její usazení měly být ověřeny prostřednictvím kvalifikované elektronické pečetě podpořené kvalifikovaným certifikátem pro elektronickou pečeť vydaných kvalifikovaným poskytovatelem služeb vytvářejících důvěru v souladu s nařízením (EU) č. 910/2014 nebo prostřednictvím elektronického potvrzení atributů vydaného podle práva Unie, které umožňuje identifikaci hospodářského subjektu.

(7)

Tímto nařízením by neměly být dotčeny požadavky stanovené v jiných právních předpisech Unie, jež se týkají místa usazení hospodářských subjektů nebo případně subjektů hodnotového řetězce, které uvádějí výrobky na trh nebo do provozu. Pokud se tedy takové požadavky uplatňují, nemělo by používání registru obcházet nebo narušovat jejich uplatňování a registr by měl být provozován způsobem, který je s nimi plně v souladu.

(8)

Po dokončení postupu ověřování by měl být hospodářský subjekt považován za „ověřený hospodářský subjekt“, který je oprávněn vytvořit si uživatelský profil a spravovat přístupová práva pro další uživatele jednající jménem téhož hospodářského subjektu, registrovat nové digitální pasy výrobků v registru a měnit stávající registrace. Pouze hospodářský subjekt se statusem „ověřený“ by měl mít možnost registrovat digitální pasy výrobků v registru a provádět opravy stávajících registrací v zájmu integrity a přesnosti údajů. V registru by mělo být uvedeno, zda je registrace ověřeného hospodářského subjektu platná. Jednotný postup ověřování by měl hospodářskému subjektu poskytnout status „ověřený“ až do vypršení platnosti jejich prostředků pro elektronickou identifikaci, v žádném případě však ne déle než po dobu tří let. Pokud hospodářský subjekt tento postup po uplynutí tříleté lhůty nezopakuje nebo pokud platnost jeho identifikačních prostředků vyprší, neměl by již být považován za „ověřený hospodářský subjekt“. Ztratí tak možnost registrovat nové digitální pasy výrobku nebo měnit jakékoli údaje v registru.

(9)

Aby subjekty hodnotového řetězce (subjekty provádějící opravy, renovace, repasování nebo jiné subjekty) získaly přístup do registru, budou muset projít postupem ověřování podrobně popsaným v článku 5. Přístup do registru digitálních pasů výrobku proto mají mít pouze subjekty, které získaly status „ověřený“. Jejich úloha (jako subjekt provádějící opravy, recyklaci či repasování nebo jiné) a veškeré úkony, které provádějí v registru, by měly být stanoveny v aktech v přenesené pravomoci přijatých podle nařízení (EU) 2024/1781 nebo podle jiných právních předpisů Unie.

(10)

Hospodářské subjekty nebo subjekty hodnotového řetězce, které neprošly ověřením totožnosti před uplynutím lhůty stanovené v tomto nařízení, by měly mít možnost předat své registrované digitální pasy výrobku ověřenému hospodářskému subjektu nebo případně ověřenému subjektu hodnotového řetězce, který by měl převzít povinnosti související s těmito digitálními pasy výrobku. Možnost tohoto převodu může mít rovněž jakýkoli ověřený hospodářský subjekt nebo ověřený subjekt hodnotového řetězce v případě organizačních změn, jako je sloučení, rozdělení nebo prodej celého subjektu nebo jeho částí, ukončení činností nebo jiné okolnosti.

(11)

Aby bylo zajištěno řádné fungování registru a odpovědnost uživatelů, měla by být stanovena pravidla pro správu údajů z uživatelského profilu ověřených hospodářských subjektů a ověřených subjektů hodnotového řetězce. Za tímto účelem by měl mít každý ověřený hospodářský subjekt a ověřený subjekt hodnotového řetězce vždy alespoň jednu osobu propojenou s účtem v registru, která údaje z profilu zpracovává. To zahrnuje mimo jiné: udělování přístupových práv dalším uživatelům, je-li to proveditelné, změny a čtení stávajících registrací a registrace nových digitálních pasů výrobku. Touto osobou může být rovněž osoba, která v registru zaregistruje ověřený hospodářský subjekt nebo ověřený subjekt hodnotového řetězce. Ověřený hospodářský subjekt a ověřený subjekt hodnotového řetězce by měly v registru vést přesné, úplné a aktuální záznamy a zajistit, aby všechny poskytnuté informace byly správné, včetně veškerých změn týkajících se jeho právního zástupce. Hospodářský subjekt a subjekty hodnotového řetězce by měly být rovněž odpovědné za řízení postupu elektronického ověřování totožnosti v registru. Registr by neměl bránit žádnému zákonnému převodu vlastnictví registrací digitálních pasů výrobků na jakýkoli jiný ověřený hospodářský subjekt nebo ověřený subjekt hodnotového řetězce bez ohledu na jejich vlastní status ověřování totožnosti. Pokud je registr digitálních pasů výrobku integrován s již zavedenými systémy EU (jako je Evropský registr výrobků s energetickým označením („EPREL“)), které používají stejnou úroveň ověřování pro hospodářské subjekty nebo případně pro ověřené subjekty hodnotového řetězce, mělo by se zabránit dvojímu ověřování.

(12)

Příslušné vnitrostátní orgány, jako jsou orgány dozoru nad trhem, a celní orgány by měly mít přístup do registru za účelem plnění svých povinností na základě svých přístupových práv stanovených v příslušných unijních a vnitrostátních právních předpisech v souladu s právem Unie. V zájmu zefektivnění správy přístupu a zajištění odpovědnosti by měl každý členský stát určit jediného národního správce jako hlavní kontaktní místo s Komisí pro správu přístupových práv pro daný členský stát a dohled nad nimi. Určený národní správce by měl jednat jako ústřední orgán odpovědný za správu přístupových práv pro všechny příslušné vnitrostátní orgány v daném členském státě, aby bylo zajištěno, že přístupová práva do registru budou přidělena pouze příslušným orgánům. Úloha určených národních správců nezahrnuje plnění povinností stanovených v článku 22 pro členský stát. Členské státy by měly sdělit Komisi jméno a kontaktní údaje svého určeného národního správce a oznámit Komisi veškeré změny těchto informací. Aby byla zajištěna bezpečnost, integrita a důvěrnost údajů, mělo by být přenesení přístupových práv prováděno na plnou odpovědnost členského státu s přihlédnutím ke zvláštním potřebám jeho orgánů.

(13)

Komise by při správě registru v souladu s čl. 13 odst. 1 nařízení (EU) 2024/1781 měla zajistit, aby byly osobní údaje zpracovávány v souladu s nejvyššími standardy ochrany údajů podle nařízení Evropského parlamentu a Rady (EU) 2018/1725 (8). Komise by proto měla být považována za „správce“ registru ve smyslu čl. 3 bodu 8 uvedeného nařízení. Osobní údaje by měly být zpracovávány pouze pro účely správy a provozu registru. Tyto informace by měly být chráněny proti neoprávněnému přístupu, použití nebo sdílení. Tyto údaje by měly být uchovávány pouze po nezbytnou dobu a měly by být vymazány, pokud jsou uživatelské účty odstraněny nebo je přístup k nim zrušen. Pokud však úkony uživatele v registru vyžadují uchovávání údajů pro účely auditu nebo sledovatelnosti podle práva Unie, měly by být tyto údaje odpovídajícím způsobem uchovávány.

(14)

Registraci digitálního pasu výrobku v registru by měl hospodářský subjekt provést na úrovni podrobnosti stanovené v platných právních předpisech Unie, konkrétně na úrovni modelu, šarže nebo položky. Aby byla zajištěna plná funkčnost registru, zejména pro příslušné vnitrostátní orgány a celní orgány, pokud je digitální pas výrobku vytvořen na úrovni položky, měly by být v registru spolu s tímto digitálním pasem výrobku registrovány i odpovídající identifikátor šarže a identifikační značka modelu, pokud návrh šarže a modelu pro dotčený výrobek existuje. U výrobků, které jsou svou povahou jedinečné, včetně ručně vyráběného zboží, se žádné identifikátory šarže ani identifikační značky modelu nevyžadují. Stejné pravidlo platí pro digitální pasy výrobku vydávané na úrovni šarže, u nichž se při registraci vyžaduje identifikační značka modelu. V této souvislosti by identifikátor šarže a identifikační značka modelu měly představovat seskupení dotčeného výrobku na vyšší úrovni. Tyto identifikátory a identifikační značky by měl vydávat hospodářský subjekt, aby příslušné vnitrostátní orgány mohly vysledovat výrobky náležející ke konkrétní šarži nebo modelu registrovaným v registru digitálních pasů výrobku. Pokud se na stejný výrobek vztahuje několik pravidel Unie vyžadujících registraci jeho digitálního pasu výrobku na různých úrovních podrobnosti (model, šarže nebo položka), měl by být digitální pas výrobku registrován na nejpodrobnější z těchto úrovní.

(15)

Registrace by měla být prováděna pomocí zabezpečeného uživatelského rozhraní registru poskytnutého Komisí nebo prostřednictvím rozhraní API zřízeného za tímto účelem. Po úspěšné validaci registrace digitálního pasu výrobku je v registru vygenerován a uložen jedinečný registrační identifikátor, který je v souladu s článkem 8 automaticky sdělen subjektu, jenž digitální pas výrobku zaregistruje, pomocí stejné služby, kterou tento subjekt použil k nahrání údajů digitálního pasu výrobku.

(16)

Aby se zajistilo, že budou registrovány pouze úplné a platné digitální pasy výrobku, měla by Komise jako vlastník a správce registru v souladu s čl. 13 odst. 1 nařízení (EU) 2024/1781 provést automatické ověření předložených údajů. Měla by ověřit alespoň strukturu údajů a úroveň podrobnosti (model, šarže nebo položka) digitálního pasu výrobku pro daný příslušný výrobek v souladu s platnými pravidly Unie. V příslušných případech by měly být ověřeny také zbožové kódy výrobků a odkaz na zálohu hostovanou poskytovatelem služeb souvisejících s digitálním pasem výrobku. Ověřování věcné správnosti zaznamenaných údajů zůstává podle platných pravidel Unie úkolem orgánů dozoru nad trhem. Automatizovaná ověřování by tudíž neměla být považována za důkaz souladu s požadavky pravidel Unie vztahujících se na daný výrobek, včetně pravidel dozoru nad trhem.

(17)

Pokud je digitální pas výrobku registrován v registru, je hospodářský subjekt nebo případně třetí strana jednající jménem hospodářského subjektu oprávněna požádat registr o doklad o registraci. Tato žádost se může vztahovat na jeden nebo více digitálních pasů výrobků, za něž je hospodářský subjekt odpovědný. Doklad o registraci by měl sloužit jako důkaz pro třetí strany o tom, že konkrétní digitální pas výrobku byl řádně zaregistrován. Měl by být vytvořen jako zabezpečený elektronický dokument, který si lze z registru stáhnout. Tento doklad by měl být k dispozici po dobu 90 kalendářních dnů od data jeho vytvoření s možností opětovného vygenerování v případě potřeby.

(18)

Aby byla zajištěna správnost a přesnost údajů v registru, měl by registr podporovat vytváření verzí registrovaných údajů. Každá nová verze digitálního pasu výrobku by měla být spojena s původním registračním identifikátorem a každá aktualizace by měla být opatřena časovým razítkem. Pro účely bezpečného nakládání s údaji by všechny prováděné operace měly být rovněž zaznamenány v registru. V případech, kdy právo Unie nestanoví, jak dlouho musí být digitální pas výrobku k dispozici, registr automaticky vymaže údaje o registraci digitálního pasu výrobku deset let po registraci v souladu s pravidly stanovenými ve sdělení Komise „Modrá příručka“ k provádění pravidel EU pro výrobky 2022 (9). Pokud právo Unie stanoví konkrétní dobu trvání, budou údaje uchovávány v registru po tuto konkrétní dobu.

(19)

Aby byla zajištěna sémantická interoperabilita digitálních pasů výrobku a technické fungování registru, mělo by být zřízeno sémantické úložiště. To bude vyvíjejícím se souborem datových modelů a sémantických definic, který se bude postupně rozšiřovat s tím, jak budou začleňovány další skupiny výrobků. Všechny údaje obsažené v digitálním pasu výrobku musí být strukturovány v souladu se společnými datovými modely a sémantickými definicemi zveřejněnými v sémantickém úložišti registru. Tento rámec by měl zůstat flexibilní a rozšířitelný, aby se dokázal přizpůsobit veškerým budoucím změnám požadavků na údaje týkající se zahrnutí výrobku do digitálního pasu výrobku. Komise se snaží zajistit, aby sémantické úložiště bylo technicky schopno zveřejňovat sémantické specifikace a vyměňovat si je s jinými úložišti na úrovni Unie, včetně úložišť spravovaných orgány a institucemi Unie.

(20)

Aby bylo možné sémantické definice a datové struktury číst, vyhledávat a porovnávat, mělo by sémantické úložiště zahrnovat vyhledávací službu. Komise by měla zajistit, aby byl obsah sémantického úložiště vždy přístupný prostřednictvím veřejně zdokumentovaných rozhraní API, s výjimkou období nezbytné údržby nebo dočasného pozastavení služby v souladu s článkem 15. Rozhraní API by měla podporovat společné datové formáty s cílem usnadnit automatizované používání externími systémy. Přístup k sémantickému úložišti a jeho rozhraním API a jejich používání by měly být bezplatné.

(21)

Aby byla zajištěna odpovídající podpora uživatelů, měla by Komise zřídit asistenční službu, která by v případě potřeby poskytovala technickou podporu všem uživatelům registru. Asistenční služba by měla fungovat po celý rok v běžné pracovní době. Další podrobnosti, včetně provozních postupů, by měly být k dispozici na internetových stránkách Komise.

(22)

Aby byla zajištěna integrita, bezpečnost a transparentnost registru, měla by Komise udržovat spolehlivý a automatizovaný systém protokolů zaznamenávající všechny činnosti v rámci registru. Jako součást systému protokolů by měly být vytvářeny komplexní auditní stopy. Za tímto účelem a s cílem sledovat všechny úkony prováděné v registru, aby byla zajištěna odpovědnost všech uživatelů, by měly být uchovávány protokoly o úspěšných i neúspěšných pokusech o přístup, jakož i o změnách a správních úkonech.

(23)

Doba uchovávání protokolů by měla být úměrná jejich účelu. Zatímco protokoly týkající se změn údajů by měly být uchovávány po dobu registrace, aby se podpořilo dlouhodobé ověřování, vyšetřování incidentů a dodržování právních závazků, protokoly o pokusech o autentizaci je třeba uchovávat po kratší dobu, aby se vyvážily potřeby týkající se bezpečnosti se zásadami minimalizace údajů. Protokoly o administrativních operacích a výměně údajů se uchovávají v průměru po dobu pěti let.

(24)

Přístup příslušných vnitrostátních orgánů a celních orgánů k protokolům za účelem vedení vyšetřování nebo provádění bezpečnostních auditů nebo v případě incidentů má zásadní význam pro účinnou spolupráci a prosazování práva. Tento přístup by měl být poskytnut způsobem, který respektuje důvěrnost a integritu protokolů a zároveň umožňuje včasné a důkladné vedení vyšetřování nebo auditů.

(25)

Vzhledem k citlivé povaze údajů v protokolech, které mohou zahrnovat osobní nebo důvěrné informace, by Komise měla zavést vhodná technická a organizační opatření na ochranu protokolů před neoprávněným přístupem nebo nezákonným zpracováním, náhodnou ztrátou, zničením nebo poškozením. Tato opatření by měla zaručit kontinuitu a důvěrnost protokolů a zajistit jejich integritu a spolehlivost jako důkazů. Za osvědčené postupy pro plnění těchto povinností by mělo být považováno používání šifrování, kontrol přístupu a pravidelných kontrol integrity.

(26)

Aby se usnadnilo účinné a účelné využívání registru, měla by Komise poskytovat jasné, přístupné a aktuální pokyny, jakož i návody k registračním postupům a správě údajů. Zpřístupnění těchto zdrojů prostřednictvím internetových stránek Komise zajistí, aby byli všichni uživatelé, bez ohledu na své technické odborné znalosti, schopni plnit své povinnosti. Tyto pokyny mají zásadní význam pro minimalizaci chyb, omezení administrativní zátěže a podporu jednotného uplatňování požadavků na registraci v celé Unii.

(27)

Základním požadavkem pro řádné fungování registru je jeho nepřetržitá dostupnost, neboť výpadky by mohly narušit činnosti vedoucí k dodržování předpisů, dozor nad trhem, celní kontroly a volný pohyb zboží a služeb na vnitřním trhu. Plánovaná údržba, jako jsou aktualizace softwaru, bezpečnostní opravy nebo aktualizace systému, však může příležitostně vyžádat dočasnou nedostupnost. Aby se důsledky výpadků omezily, měla by Komise tato období předem oznamovat na veřejně přístupných internetových stránkách, aby se uživatelé mohli odpovídajícím způsobem připravit. Kromě toho může Komise za výjimečných okolností, jako jsou poruchy systému, kybernetické útoky nebo naléhavé bezpečnostní hrozby, pozastavit přístup do registru bez předchozího oznámení, aby se zabránilo porušení zabezpečení údajů, neoprávněnému přístupu nebo dalším škodám. Tato opatření jsou odůvodněna prvořadou potřebou chránit integritu a bezpečnost registru a údajů v něm obsažených. V případě takového pozastavení by Komise měla urychleně jednat, aby obnovila běžný provoz, a je-li to proveditelné, co nejdříve uživatele o pozastavení a očekávané době jeho trvání informovat. Aby byla zajištěna odpovědnost a umožněn přístup orgánů dozoru nad trhem a celních orgánů, měla by Komise zdokumentovat dobu trvání a načasování veškerých odstávek a uchovávat tyto záznamy po dobu nejméně pěti let.

(28)

Registr by měl fungovat v souladu s přísnými bezpečnostními normami na ochranu integrity, důvěrnosti a dostupnosti svých údajů. Komise by proto měla vypracovat plán bezpečnosti IT, který bude zahrnovat posouzení rizik v oblasti kybernetické bezpečnosti a dalších rizik souvisejících s IT, provádět technické audity a namátkové kontroly s cílem ověřit soulad a identifikovat zranitelná místa, aby se zajistila odolnost systému vůči kybernetickým hrozbám. Komise by měla zajistit, aby všechny bezpečnostní události, které zahrnují mimo jiné neoprávněný přístup, neoprávněné zpracování, porušení zabezpečení údajů a selhání logiky provádění, byly zaznamenány v souladu s normami bezpečnosti informačních technologií uplatňovanými Komisí. Kromě toho by měl registr, jakmile budou příslušné služby dostupné na trhu Unie, splňovat odpovídající úroveň suverenity na základě Rámce cloudové suverenity (10).

(29)

Komise by měla být schopna provést nezbytné kroky, pokud má podezření na podvodnou činnost v registru, která může zahrnovat nepatřičné stahování informací. Uživatelé mají povinnost Komisi a případně dotčené vnitrostátní orgány neprodleně informovat v případě podezření na škodlivé chování.

(30)

Zpracování osobních údajů v registru je nezbytné podle nařízení (EU) 2024/1781, včetně ověřování digitálních pasů výrobků, dozoru nad trhem a celních kontrol. Aby byla zajištěna pravost a integrita údajů a chráněna práva subjektů údajů, měl by registr zpracovávat osobní údaje, které jsou v něm uloženy, jako jsou jména, kontaktní údaje a přihlašovací údaje, v souladu s nařízením (EU) 2018/1725.

(31)

Hospodářský subjekt by měl být odpovědný za zadávání přesných a úplných informací do registru. Vzhledem k potenciálním rizikům spojeným s neoprávněným přístupem do registru, jako je změna údajů, by měl být hospodářský subjekt povinen zavést odpovídající technická a organizační bezpečnostní opatření na ochranu svých systémů IT, zejména přihlašovacích údajů používaných pro přístup do registru. Hospodářský subjekt by měl být odpovědný i v případě, že je k registraci digitálního pasu výrobku jeho jménem oprávněna třetí strana.

(32)

Komise, která má být vlastníkem a správcem registru, by měla být odpovědná za celkovou správu registru po dobu jeho životního cyklu, včetně jeho vývoje, dostupnosti, monitorování, aktualizace, údržby a hostování. To mimo jiné znamená, že Komise má do registru přístup. Komise by rovněž měla mít přístup do registru za účelem získání informací, které jsou nezbytné pro provádění opatření požadovaných podle jiných legislativních aktů EU, a to i pro účely dozoru nad trhem, ochrany spotřebitele a dodržování celních předpisů.

(33)

Měla by být rovněž odpovědná za zajištění toho, aby údaje uložené v registru byly zpracovávány bezpečně a v souladu s právem Unie, včetně pravidel pro ochranu údajů.

(34)

Členské státy musí být schopny s registrem interagovat, aby mohly účinně vykonávat svůj dozor nad trhem, celní kontroly a další úkoly stanovené na vnitrostátní úrovni nebo podle práva Unie. Členské státy by měly být odpovědné za zajištění vývoje, údržby a bezpečnosti vnitrostátních složek, které používají pro přístup do systému, jako jsou vnitrostátní registry nebo informační systémy. Aby byla zajištěna odpovídající ochrana osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 (11), měly by být členské státy považovány za správce ve smyslu čl. 4 bodu 7 uvedeného nařízení, pokud zpracovávají osobní údaje pro účely stanovené právem Unie. Členské státy jsou oprávněny zpracovávat údaje získané z registru v souladu s právem Unie.

(35)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného podle článku 73 nařízení (EU) 2024/1781,

1)

„registrem digitálních pasů výrobku“ nebo „registrem“ se rozumí informační systém zřízený a spravovaný Komisí v souladu s článkem 13 nařízení (EU) 2024/1781;

2)

„přihlašovacími údaji“ se rozumí soubor jedinečných identifikátorů, jako je uživatelské jméno a heslo, které uživateli umožňují ověřit jeho totožnost za účelem autentizace v registru;

3)

„autentizačním tokenem“ se rozumí token, který bezpečně přenáší informace o úspěšné autentizaci a používá se k prokázání autentizovaných relací nebo přístupu na základě přenesených práv mezi aplikacemi a informačním systémem digitálních pasů výrobku;

4)

„postupem ověřování totožnosti“ se rozumí proces, při němž fyzická nebo právnická osoba poskytne důkaz své totožnosti a případně svého usazení;

5)

„ověřeným hospodářským subjektem“ se rozumí hospodářský subjekt, který úspěšně dokončil postup ověřování totožnosti v registru v souladu s článkem 4;

6)

„subjektem hodnotového řetězce“ se rozumí fyzická nebo právnická osoba jiná než hospodářský subjekt, která vykonává činnosti v hodnotovém řetězci výrobku vyžadujícího digitální pas výrobku a jeho registraci v registru, jako jsou subjekty provádějící opravy, renovace, repasování či recyklaci;

7)

„ověřeným subjektem hodnotového řetězce“ se rozumí subjekt hodnotového řetězce, který úspěšně dokončil postup ověřování totožnosti v registru v souladu s článkem 5;

8)

„sémantickým úložištěm“ se rozumí soubor datových modelů a sémantických definic, které jsou tvořeny strukturovaným a logicky vzájemně propojeným souborem pojmů a jejich významů upřesňujících základní prvky digitálního pasu výrobku, definice názvů nebo slovníků, datové prvky a ontologii související s konkrétními údaji s cílem zajistit společné porozumění mezi všemi uživateli a vícejazyčný výklad používaný pro ověřování digitálního pasu výrobku a pro propojení registračních údajů s digitálními pasy výrobku;

9)

„sémantickou interoperabilitou“ se rozumí schopnost informačních systémů a organizací, které je podporují, vyměňovat si údaje tak, aby význam vyměňovaných informací byl vzájemně srozumitelný a jednoznačně interpretovatelný všemi stranami bez ohledu na základní technologii nebo jurisdikci;

10)

„řízeným slovníkem“ se rozumí strukturovaný a autoritativní soubor standardizovaných pojmů s definovanými významy, který má zajistit jednotnou reprezentaci atributů údajů ve všech digitálních pasech výrobku;

11)

„sémantickou specifikací“ se rozumí jakýkoli artefakt zveřejněný v sémantickém úložišti, včetně ontologií, datových modelů, řízených slovníků a seznamů kódů, spolu s jejich metadaty verzí a informacemi o původu;

12)

„sémantickou shodou“ se rozumí míra, do jaké jsou údaje obsažené v digitálním pasu výrobku v souladu s použitelnými sémantickými specifikacemi v tom smyslu, že:

13)

„datovým modelem“ se rozumí strukturovaný rámec, který organizuje prvky dat, standardizuje strukturu, určuje, jak spolu souvisejí, a identifikuje entity, jejich atributy a vztah mezi těmito entitami;

14)

„systémem protokolů“ se rozumí automatizovaný systém, který zaznamenává a uchovává informace o všech operacích a interakcích prováděných v registru;

15)

„modelem výměny údajů“ se rozumí strukturovaný rámec, jehož prostřednictvím mohou být údaje vyměňovány mezi různými systémy a platformami;

16)

„hašem verze digitálního pasu výrobku“ se rozumí výstup vytvořený z příslušných elektronických dat pomocí kryptografického algoritmu z příslušné verze digitálního pasu výrobku;

17)

„masivním stahováním dat“ se rozumí získávání mimořádně velkého nebo složitého souboru dat – obvykle v rozsahu od terabytů po petabyty –, které přesahuje možnosti zpracování nebo ukládání, jimiž disponují konvenční nástroje nebo jedno lokální zařízení, nebo které narušuje monitorovací ochranná opatření.

a)

internetové stránky poskytující zabezpečené uživatelské rozhraní pro přístup hospodářských subjektů, subjektů hodnotového řetězce, příslušných vnitrostátních orgánů a celních orgánů do registru;

b)

rozhraní API pro registraci digitálního pasu výrobku a přijímání informací z registru;

c)

ověřovací platformy pro potvrzení a ověření existence a úplnosti digitálních pasů výrobku;

d)

režimu pro generování jedinečných registračních identifikátorů;

e)

složky pro uchovávání alespoň jedinečných identifikátorů a zbožových kódů pro výrobky, které mají být propuštěny do celního režimu „propuštění do volného oběhu“;

f)

seznamu ověřených poskytovatelů služeb souvisejících s digitálním pasem výrobku registrovaných v registru;

g)

sémantického úložiště;

h)

systému protokolů;

i)

systémů identifikace a oprávnění uživatele.