EN 18239: åtkomsträttigheter, informationssäkerhet och affärskonfidentialitet i produktpass

EN 18239 är den europeiska standarden för åtkomsträttigheter, informationssäkerhet och skydd av konfidentiell affärsinformation i digitala produktpass. Den riktar sig till ekonomiska aktörer och tjänsteleverantörer som bygger eller driver passsystem, och till den som ska avgöra vem som får se och ändra vilka uppgifter.

Ett produktpass har flera läsare med olika behov: en konsument i butiken, en reparatör, en återvinnare, en tullmyndighet. Det mesta i passet ska vara öppet, men vissa uppgifter är affärshemligheter eller får bara läsas av myndigheter. EN 18239 beskriver hur den skillnaden hanteras utan att den öppna delen stängs till.

Status: fastställd men inte citerad

Det här är det viktigaste att veta om EN 18239 i dag. CEN godkände standarden den 17 augusti 2026, och den fastställdes som svensk standard (SS-EN 18239:2026) den 16 september 2026. Den finns alltså att köpa och följa. Men den är inte citerad i Europeiska unionens officiella tidning. Genomförandebeslut (EU) 2026/1736, som publicerades den 15 juli 2026, listar sex standarder för produktpass, och EN 18239 är inte en av dem. CEN och CENELEC skrev samma dag att sex av åtta standarder hade citerats.

Följden är rättslig. Enligt ESPR artikel 41.2 är det överensstämmelse med harmoniserade standarder vars hänvisningar har publicerats i EUT som ger presumtion om överensstämmelse med kraven i artiklarna 10 och 11. Att följa EN 18239 ger därför ingen sådan presumtion ännu. Det är ett sätt att arbeta, inte ett rättsligt försvar. Ingen leverantör kan i dag hävda harmoniserad överensstämmelse när det gäller åtkomsträttigheter.

Vad standarden omfattar

Enligt SIS sammanfattning specificerar EN 18239 krav på hantering av åtkomsträttigheter i produktpass, inklusive IT-säkerhet, dataskydd och överföring av ansvar mellan ekonomiska aktörer. Den definierar ett ramverk för åtkomst till konfidentiell information och konstaterar samtidigt att öppna passuppgifter inte kräver några åtkomstbegränsningar. Standarden gäller alla produktgrupper som omfattas av krav på produktpass enligt ESPR. Vilka åtkomsträttigheter som gäller för en viss produktgrupp ska däremot anges i respektive delegerad akt. Standarden är på 18 sidor.

På CEN och CENELEC:s webbinarium den 25 juni 2026, när standarden fortfarande låg för formell omröstning (till den 16 juli 2026), beskrev arbetsgruppen för säkerhet sitt uppdrag. Standarderna skulle vara förenliga med unionsrätten om personuppgifter, integritet, nät- och informationssäkerhet, cybersäkerhet och skydd mot bedrägeri. Bland hoten som nämndes fanns identitets- och vilseledningsattacker som falska QR-koder (quishing) och förfalskade system, avlyssning av data i transportledet och obehörig åtkomst från insiders eller partner. Riskerna som följer är läckta affärshemligheter, driftavbrott och att konsumenter eller företag leds till skadliga webbplatser.

Vad den kräver i praktiken

Den öppna delen ska vara öppen

Standarden skiljer skarpt mellan öppna och skyddade uppgifter. Enligt dess avsnitt 5.2 punkt 2 ska öppna passuppgifter kunna läsas utan autentisering, och en not anger som skäl att diskriminering, bland annat på grund av geografisk plats, undviks. Punkt 3 lägger till att åtkomst till och hantering av skyddade uppgifter inte får förbjudas enbart på grund av aktörens plats eller jurisdiktion. Ett produktpass som kräver inloggning för att visa den öppna delen uppfyller inte standarden, och spärrar efter land går emot skälet i noten.

Skydd mot massinsamling

Samtidigt kräver avsnitt 5.2 punkt 11 att åtkomsten till passtjänster begränsas så att attacker och obehörig massinsamling av data förhindras. Det är ett krav som är svårare än det ser ut, eftersom de vanliga verktygen krockar med andra krav. Inloggning och geografisk blockering är uteslutna av punkterna 2 och 3. Att följa enskilda besökare stöter på punkt 24, som kräver åtgärder mot profilering av användare, och på dataskyddsreglerna. Det som återstår är begränsningar som inte bygger på att identifiera den enskilda läsaren. Punkt 15 tillåter uttryckligen att den ekonomiska aktören inför hastighetsbegränsning vid identifierade risker, så länge lagstadgad information inte påverkas.

Skyddade uppgifter och ansvarsöverföring

För de uppgifter som inte är öppna ska passsystemet hantera vem som har rätt till vad: myndigheter, reparatörer, återvinnare eller andra med rätt till åtkomst enligt den delegerade akten. Standarden omfattar också överföring av ansvar mellan ekonomiska aktörer, till exempel när en annan aktör tar över ansvaret för passet.

Myndighetert.ex. marknadskontroll

Med åtkomsträttt.ex. reparatörer och återvinnare

Öppetalla, utan inloggning eller krav på plats (5.2 p. 2)

Begränsning mot massinsamling, utan inloggning eller geografisk blockering (5.2 p. 2, 3 och 11)

Hur den hänger ihop med lagen och de andra standarderna

ESPR

Standardens ämne berör flera av kraven i ESPR artikel 10 och 11:

• artikel 10.1 e: personuppgifter om kunder får inte lagras i passet utan deras uttryckliga samtycke,
• artikel 10.1 g: åtkomsten till uppgifterna ska regleras enligt artiklarna 10 och 11 och de åtkomsträttigheter som den delegerade akten anger för produktgruppen,
• artikel 11 b: kunder, tillverkare, reparatörer, återvinnare, myndigheter och andra berörda ska ha kostnadsfri och enkel åtkomst utifrån sina åtkomsträttigheter,
• artikel 11 f: rätten att lägga in, ändra eller uppdatera uppgifter ska begränsas utifrån åtkomsträttigheterna,
• artikel 11 h: passet ska utformas och drivas så att en hög säkerhets- och integritetsnivå säkerställs och bedrägeri undviks.

Standardens egen bilaga ZA kopplar dock bara artikel 11 a till den, via avsnitt 4.2 och begränsat till organisatorisk interoperabilitet. Även när den citeras skulle presumtionen alltså bara gälla så långt.

Vilka aktörer som får se och ändra vilka uppgifter bestäms enligt ESPR artikel 9.2 f, g och h i de delegerade akterna. Kommissionen får dessutom enligt artikel 11 anta genomförandeakter om hur digitala behörighetsuppgifter för ekonomiska aktörer och andra med åtkomsträtt ska utfärdas och verifieras.

Batteriförordningen

Batteripasset har en egen indelning. Enligt batteriförordningen artikel 77.2 finns uppgifter som är tillgängliga för allmänheten, uppgifter som bara anmälda organ, marknadskontrollmyndigheter och kommissionen får se, och uppgifter för personer med berättigat intresse, till exempel reparatörer och återvinnare. Indelningen står i bilaga XIII. Artikel 77.9 säger att kommissionen senast den 18 augusti 2026 skulle anta genomförandeakter om vilka som har berättigat intresse och vad de får ladda ned, dela, publicera och återanvända. Artikel 78 b och f knyter åtkomsten och rätten att ändra uppgifter till bilaga XIII och den genomförandeakten.

De andra standarderna

I CEN och CENELEC:s beskrivning av arbetsgången motsvarar EN 18239 steg 6, att hantera åtkomst och åtkomsträttigheter. Den nära grannen är EN 18246 om dataautentisering och integritet, som har samma status: fastställd men inte citerad. EN 18222 beskriver API:et för passens livscykel, där metoderna får vara åtkomststyrda, och EN 18221 kräver att arkiverade versioner hämtas av autentiserade och behöriga aktörer.

Vanliga missförstånd

"Alla åtta standarder ger presumtion om överensstämmelse"

Nej. Sex är citerade i EUT. EN 18239 och EN 18246 är det inte. Den som påstår harmoniserad överensstämmelse för alla åtta påstår något som inte finns i dag.

"Åtkomststyrning betyder att passet kräver inloggning"

Tvärtom. Den öppna delen ska kunna läsas utan autentisering. Åtkomststyrningen gäller de uppgifter som lagen inte gör offentliga.

"Standarden bestämmer vem som får se vad"

Nej. Standarden ger ramverket. Vilka aktörer som har rätt till vilka uppgifter bestäms i den delegerade akten för varje produktgrupp, och för batterier i bilaga XIII och genomförandeakten enligt artikel 77.9.

"Det är säkrast att blockera robotar och utländska besökare"

Geografisk blockering av den öppna delen går emot punkt 2 i avsnitt 5.2 och dess not, och för skyddade uppgifter utesluter punkt 3 att åtkomst nekas enbart på grund av plats. Skyddet mot massinsamling måste byggas så att vanliga läsare, var de än befinner sig, fortfarande kommer åt den öppna delen.

Så ser det ut i praktiken

DPP Agent, som Blippa utvecklar, byggs mot EN 18239 utan att påstå att det ger presumtion om överensstämmelse. Åtkomsten är uppdelad per kund på radnivå i databasen, inloggade tjänster använder kortlivade token i stället för delade nycklar, och passens resolver har en hastighetsbegränsning skriven mot avsnitt 5.2 punkt 11. Begränsningen räknar anrop per tidsfönster med ett saltat hashvärde av adressen som bara hålls i minnet och aldrig skrivs ned. Den öppna validatorn testar inte EN 18239, eftersom nästan inget i standarden går att kontrollera utifrån med ett enda anrop. Se även översikten över DPP-standarderna och sidan DPP-standarder.