EN 18246: dataautentisering, tillförlitlighet och integritet i produktpass

EN 18246 är den europeiska standarden för dataautentisering, tillförlitlighet och integritet i digitala produktpass. Den svarar på frågan hur en mottagare kan lita på att ett pass kommer från rätt avsändare och inte har ändrats på vägen. Den riktar sig till ekonomiska aktörer, tjänsteleverantörer och alla som läser passdata maskinellt, till exempel återvinnare, marknadsplatser och myndigheter.

Ett produktpass som vem som helst kan efterlikna är inte mycket värt. En falsk QR-kod på en etikett kan leda till en falsk passida, och uppgifter som förs mellan system kan ändras. EN 18246 beskriver hur sådant upptäcks och förhindras, och den innehåller också regler om hur läsare av den öppna delen ska skyddas.

Status: fastställd men inte citerad

EN 18246 fastställdes som svensk standard (SS-EN 18246:2026) den 16 september 2026, efter att CEN godkänt den den 17 augusti 2026. Den är inte citerad i Europeiska unionens officiella tidning. Genomförandebeslut (EU) 2026/1736 av den 14 juli 2026 listar sex standarder för produktpass, och EN 18246 är inte en av dem. CEN och CENELEC skrev den 15 juli 2026 att sex av åtta standarder hade citerats.

Enligt ESPR artikel 41.2 är det bara överensstämmelse med harmoniserade standarder vars hänvisningar har publicerats i EUT som ger presumtion om överensstämmelse med kraven i artiklarna 10 och 11. Att följa EN 18246 ger alltså ingen sådan presumtion ännu. Den som hänvisar till standarden kan säga att man följer den, inte att man därmed presumeras uppfylla lagen.

Vad standarden omfattar

Enligt SIS sammanfattning definierar EN 18246 krav och ramverk för säker informationsbehandling och kommunikation som skyddar integritet, äkthet och tillförlitlighet i datautbytet kring produktpass. Syftet är att minska produktbedrägerier och förfalskningar genom verifiering av data och mekanismer som upprätthåller integriteten.

Kärnan är ett ramverk för tillit och driftskompatibilitet mellan flera aktörer genom en säker, elektroniskt signerad datakonstruktion, på engelska electronically signed data construct (ESDC). Ramverket ska fungera över sektorer och språk, och befintliga system för unik produktidentifiering ska beaktas. Enligt sammanfattningen ska ESDC-schemat kombineras med befintliga datastrukturer i stället för att ersätta dem, så att nuvarande system för spårbarhet och autentisering inte störs. En normativ bilaga A anger vad en ESDC består av (utfärdare, subjekt, uppgifter och utfärdarens signatur), och en informativ bilaga B ger exempel och hänvisningar till implementationer.

Utanför standarden ligger systemarkitektur, användningsfall, säkra element i databärare och kryptografiska säkerhetsfunktioner för unika produktidentifierare. Standarden är på 27 sidor.

Vad den kräver i praktiken

Signerade uppgifter som går att verifiera

Den tunga delen av EN 18246 handlar om att kunna bevisa att ett pass och dess uppgifter är äkta: att de kommer från den utpekade ekonomiska aktören och inte har ändrats. Det kräver kryptografisk signering knuten till certifikat. Enligt avsnitt 4.7 ska varje aktör som lämnar passuppgifter autentiseras med ett digitalt certifikat, varje ändring, även skapande och radering, knytas till den aktören så att den inte kan förnekas, och ändringarna loggas. Standarden nämner digitala signaturer, elektroniska stämplar, elektroniska attributintyg och ESDC som exempel, och kontrollen av ett pass ska vara kostnadsfri för den som verifierar. För den som bygger ett passsystem innebär det att ha en plan för hur signaturer skapas, hur nycklar och certifikat hanteras och hur en mottagare verifierar dem.

Utfärdarensignerar passets uppgifter

På vägenmellan system

Mottagarenkontrollerar signaturen

• kommer från den utpekade utfärdaren
• har inte ändrats, även efter att den lämnat avsändaren
• har något ändrats på vägen faller kontrollen

Öppen data utan inloggning

Standarden har också krav som går att kontrollera utifrån. Enligt avsnitt 4.3 ska öppna passuppgifter lämnas ut utan autentisering. Enligt avsnitt 5.4.2 ska de gå att läsa med vilken vanlig konsumentenhet som helst, utan extra programvara. Ett pass som skickar läsaren vidare till en appbutik uppfyller inte det.

Ingen spårning av läsarna

Två krav får störst praktisk betydelse för många passutgivare. Avsnitt 5.1.2 förbjuder insamling av personuppgifter från fysiska personer som läser öppna passuppgifter, och avsnitt 5.1.5 kräver att profilering förhindras där det är tekniskt möjligt. Avsnitt 5.1.3 är ännu tydligare: passtjänsten får inte använda externa analysverktyg eller hänvisa till externa komponenter i det den skickar till läsaren. Läst tillsammans beskriver det precis vad ett analysverktyg gör när det sätter en identifierare på besökaren och följer den mellan sidor. Ett pass som laddar sådana verktyg samlar in personuppgifter från någon vars enda handling var att skanna en QR-kod på ett plagg.

Skydd mot skrapning, men inte mot sökmotorer

Avsnitt 5.1.8 säger att robusta mekanismer mot skrapning bör införas, och i samma avsnitt att systemet får låta nyttiga sökmotorer indexera passdata. En spärr som stänger ute sökmotorer är alltså inte automatiskt säkrare. Kravet hänger ihop med EN 18239, som kräver skydd mot massinsamling men förbjuder inloggning och geografisk blockering för den öppna delen.

Hur den hänger ihop med lagen och de andra standarderna

ESPR

I sak svarar standarden mot två punkter i ESPR artikel 11, som gäller passens tekniska utformning och drift:

• artikel 11 g: dataautentisering, tillförlitlighet och integritet ska säkerställas,
• artikel 11 h: passet ska utformas och drivas så att en hög säkerhets- och integritetsnivå säkerställs och bedrägeri undviks.

Standardens egen bilaga ZA är snävare: den kopplar bara avsnitt 4.2 till artikel 11 a, begränsat till organisatorisk driftskompatibilitet, så en presumtion efter citering skulle bara gälla det. Kravet i artikel 11 g står i lagen oavsett standardens status. Registret enligt ESPR artikel 13 knyter an till samma fråga: kommissionen ska i de delegerade akterna ange vilka ytterligare uppgifter som ska lagras i registret, bland annat med hänsyn till behovet av att kunna verifiera passets äkthet (artikel 13.2 a).

Batteriförordningen

Batteriförordningen har ingen motsvarighet till ESPR artikel 11 g i samma ordalydelse. Artikel 78 kräver bland annat att batteripasset ska vara fullt driftskompatibelt med andra digitala produktpass enligt ekodesignlagstiftningen (78 a), och standarderna är skrivna under en standardiseringsbegäran som omfattar både ekodesign och batterier.

De andra standarderna

I CEN och CENELEC:s beskrivning av arbetsgången är EN 18246 steg 7: att säkerställa integriteten i passdata för en viss produkt. Den hör nära ihop med EN 18219 om unika identifierare och EN 18220 om databärare, eftersom en förfalskad kod på produkten är en vanlig början på ett bedrägeri. Säkra element i själva databäraren ligger dock utanför EN 18246. EN 18221 kräver att historiken bevaras, och EN 18246 är det som gör att man kan visa att den inte har ändrats.

Vanliga missförstånd

"EN 18246 är harmoniserad som de andra"

Nej. Den är fastställd men inte citerad i EUT, och ger därför ingen presumtion om överensstämmelse ännu.

"Integritet handlar bara om kryptering"

Kryptering under överföringen skyddar mot avlyssning. Integritet och äkthet handlar om att mottagaren kan verifiera vem som utfärdat uppgifterna och att de inte har ändrats, även efter att de lämnat avsändarens system. Det är signering, inte bara kryptering, och avsnitt 4.1 kräver att integritetsskyddet är oberoende av säkerheten i kanalen som uppgifterna går över.

"Analysverktyg på passidan är en samtyckesfråga"

Frågan är inte bara om spårningen har samtycke. Avsnitt 5.1.3 utesluter externa analysverktyg i passtjänsten, och avsnitt 5.1.2 och 5.1.5 utesluter insamling av personuppgifter och profilering på den öppna delen, oavsett samtycke. Hur det förhåller sig till dataskyddslagstiftningen är en fråga att ta med till den egna juristen.

"Standarden kräver ett visst säkerhetschip i etiketten"

Nej. Säkra element i databärare och kryptografiska funktioner för identifierare ligger uttryckligen utanför standarden.

Så ser det ut i praktiken

Den öppna validatorn i DPP Agent, som Blippa utvecklar, kontrollerar de tre delar av EN 18246 som går att pröva utifrån: att öppen data lämnas ut utan autentisering (4.3), att den går att läsa på en vanlig enhet (5.4.2) och att sidan inte laddar tredjepartsspårning (5.1.2, 5.1.3 och 5.1.5). Se även översikten över DPP-standarderna och sidan DPP-standarder.