Kaikki kahdeksan DPP-standardia on julkaistu. Vain kuuden viitetiedot on julkaistu.

Toukokuussa 2026 CEN/CENELEC JTC 24 julkaisi kuusi kahdeksasta digitaalisia tuotepasseja koskevasta yhdenmukaistetusta standardista. Kirjoitimme niistä silloin ja totesimme, että kaksi puuttui vielä.

Ne eivät enää puutu. CEN hyväksyi EN 18239:n ja EN 18246:n 17. elokuuta 2026, ja ne vahvistettiin SS-EN-standardeiksi 16. syyskuuta. Sarja on valmis.

Siitä kaikki uutisoivat. Tärkeämpää on se, ettei sarjan valmistuminen ole tehnyt kaikista kahdeksasta samanarvoisia, eikä ero ole muotoseikka.

Kuuden viitetiedot on julkaistu, kahden ei

Komission täytäntöönpanopäätöksessä (EU) 2026/1736 julkaistaan Euroopan unionin virallisessa lehdessä kuuden standardin viitetiedot:

EN 18239 (käyttöoikeuksien hallinta, tietojärjestelmien tietoturva ja liikesalaisuuksien luottamuksellisuus) ja EN 18246 (tietojen aitous, luotettavuus ja eheys) eivät ole tässä luettelossa.

Viitetietojen julkaiseminen virallisessa lehdessä antaa yhdenmukaistetulle standardille oikeusvaikutuksen. Yhdenmukaistettu standardi, jonka viitetiedot on julkaistu, antaa vaatimustenmukaisuusolettaman (ESPR:n 41 artikla): kun noudatat sitä, sinun oletetaan täyttävän vastaava oikeudellinen vaatimus, ellei joku osoita muuta. Standardi, jonka viitetietoja ei ole julkaistu, ei anna tällaista olettamaa, oli se julkaistu kuinka äskettäin tahansa ja oli se kuinka hyvä tahansa.

Kaksi uusinta standardia ovat siis erikoisessa asemassa. Ne ovat todellisia, ne ovat ostettavissa, ne edustavat saman komitean harkittua näkemystä, joka kirjoitti muut kuusi — ja niiden noudattaminen on valinta eikä puolustus. Et voi osoittaa EN 18246:ta ja sanoa, että sinun oletetaan olevan vaatimusten mukainen. Ei voi kukaan muukaan, mikä on hyvä tietää, kun kilpailija väittää yhdenmukaistettua vaatimustenmukaisuutta ”kaikkien kahdeksan” osalta.

Molempien viitetiedot julkaistaan todennäköisesti täytäntöönpanopäätöksen myöhemmässä muutoksessa. Siihen asti rehellinen muotoilu on ”noudatamme sitä”, ei ”olemme sen mukaisia”.

Kun kerran korjaamme asioita: EN 18217:ää ei ole

Sarja kirjoitetaan lähes kaikkialla muodossa EN 18216–18223, myös niiden toimesta, joiden pitäisi tietää paremmin. Se ei ole yhtenäinen numerojakso.

EN 18217:ää ja EN 18218:aa ei ole. Kahdeksan standardia ovat 18216, 18219, 18220, 18221, 18222, 18223, 18239 ja 18246. Kun jakso kirjoitetaan muotoon 18216–18223, se sekä keksii kaksi standardia, joita ei ole olemassa, että jättää pois kaksi viimeksi julkaistua.

Jos viittaat näihin eritelmässä, tarjousvastauksessa tai toimittajakyselyssä, viittaa niihin numerolla ja kohdalla. Numerojakso on väärin molempiin suuntiin.

Mitä ulkopuolelta voidaan todella tarkistaa

Validaattorimme seuraa julkaistua sarjaa. Se ajaa kymmenen tarkistusta kahdeksasta standardista seitsemää vasten mille tahansa passin URL-osoitteelle ilman julkaisijan myötävaikutusta ja ilman käyttäjätiliä.

Seitsemän, ei kahdeksan. EN 18239 koskee pääsynhallintaa, tietoturvaa ja luottamuksellisuutta, eikä lähes mihinkään siinä voi vastata ulkopuolinen yhdellä pyynnöllä. Toteutamme sen — rivitason pääsy asiakaskohtaisesti, lyhytikäiset tunnisteet jaettujen avainten sijaan, resolverin pyyntörajoitus kohdan §5.2 alakohdan 11 mukaisesti — mutta standardin toteuttaminen ja sen testaaminen ulkopuolelta ovat eri asioita, eikä tarkistus, joka ei voi epäonnistua, ole tarkistus.

Sama pidättyvyys pätee EN 18246:n sisällä. Sen raskaimmat vaatimukset koskevat sen todistamista, että passi ja sen tietoväline ovat aitoja, mikä edellyttää kryptografista allekirjoittamista. Mitään ei vielä allekirjoiteta — ei meillä eikä kenelläkään muulla — eikä tarkistus, jota yksikään passi maapallolla ei voi läpäistä, kerro lukijalle mitään. Kolmeen sen kohtaan voidaan vastata ulkopuolelta. Ne kolme ovat ne, jotka ajamme.

Tarkistus, jossa useimmat passit epäonnistuvat

Näistä kolmesta yksi tulee yllättämään.

EN 18246:n kohta 5.1.2 kieltää henkilötietojen keräämisen luonnollisilta henkilöiltä, jotka lukevat julkisia passitietoja. Kohta 5.1.5 edellyttää profiloinnin estämistä. Yhdessä luettuina ne kuvaavat juuri sitä, mitä analytiikkatagi tekee: asettaa lukijalle tunnisteen, seuraa häntä sivulta toiselle ja lähettää tiedot kolmannelle osapuolelle.

Digitaalinen tuotepassi, joka lataa Google Analyticsin, Meta Pixelin, Hotjarin, Clarityn tai Segmentin, kerää henkilötietoja ihmiseltä, jonka ainoa teko oli skannata villapaidassa oleva QR-koodi. Validaattori etsii seurantapalvelun palvelinosoitetta siitä sivusta, jonka kuluttaja todella saa, eikä skriptin tiedostonimeä, koska kutakin näistä jaellaan puolella tusinalla eri nimellä.

Tämän julkaiseminen on epämukavaa, joten oma asemamme kannattaa sanoa suoraan: resolverimme lisää GA4-tagin, kun asiakas asettaa mittaustunnuksen. Ominaisuus on olemassa, ja jokainen asiakas, joka asettaa sellaisen, epäonnistuu tässä tarkistuksessa omassa validaattorissamme, omilla sivuillamme. Vain sellainen tarkistus kannattaa kirjoittaa. Tarkistus, joka vapauttaa tekijänsä, on markkinointia.

Jos käytät analytiikkaa passisivuillasi, lakitiimillesi vietävä kysymys ei ole se, onko seurantaan saatu suostumus — vaan se, salliiko kohta 5.1.2 sitä lainkaan passin julkisessa osassa.

EN 18239:n rajoite, joka tekee siitä vaikean

EN 18239:n kohdan 5.2 alakohta 11 edellyttää, että pääsy DPP-palveluihin ”on rajoitettava siten, että estetään hyökkäykset tai luvaton massamittainen tietojen kaavinta”.

Ilmeiset toteutustavat on kaikki suljettu pois saman standardiparin muilla kohdilla:

• API-avain tai kirjautuminen? EN 18246:n kohdan 4.3 mukaan julkiset tiedot on tarjoiltava ilman todentamista. EN 18239:n kohta 5.2(2) sanoo saman ja mainitsee syyksi maantieteelliseen sijaintiin perustuvan syrjinnän välttämisen.
• Estetäänkö maittain? EN 18239:n kohdan 5.2(3) mukaan pääsyä ei saa evätä pelkästään toimijan sijainnin tai lainkäyttöalueen perusteella.
• CAPTCHA-muuri? Sama ongelma, ja se ei täytä kohdan 5.4.2 vaatimusta luettavuudesta millä tahansa kuluttajalaitteella.
• Kirjataanko IP-osoitteet väärinkäyttäjien tunnistamiseksi? IP-osoite on henkilötieto, ja kohta 5.1.2 kieltää henkilötietojen keräämisen julkisten tietojen lukijoilta.
• Estetäänkö botit? EN 18246:n kohdan 5.1.8 mukaan vahvat kaavinnan estomekanismit pitäisi toteuttaa, ja samassa yhteydessä järjestelmä voi sallia hyödyllisten hakukoneiden indeksoida DPP-tietoja. Rajoitin, joka estää Googlebotin, ei ole turvallisempi, se on väärin.

Jäljelle jää kapea vaihtoehto: rajoitetaan pyyntöjä osoitteen suolatun tiivisteen perusteella, jota pidetään muistissa yhden aikaikkunan ajan eikä kirjoiteta minnekään. Minuutin jälkeen säilyy vain luku, eikä luku kerro henkilöstä.

Se on todellinen tekninen rajoite, ja se on sellainen asia, joka tulee näkyviin vasta, kun standardeja luetaan yhdessä eikä yksi kerrallaan.

Mitä tällä tiedolla tehdään

1. Lopeta numerojakson kirjoittaminen. EN 18216–18223 keksii kaksi standardia ja jättää kaksi pois. Viittaa numerolla ja kohdalla.
2. Erota omissa väitteissäsi ”julkaistu” ja ”viitetiedot julkaistu”. Kuusi antaa vaatimustenmukaisuusolettaman. Kaksi ei vielä anna. Jokainen, joka väittää yhdenmukaistettua vaatimustenmukaisuutta kaikkien kahdeksan osalta, väittää jotain, mitä ei tällä hetkellä ole olemassa.
3. Katso, mitä passisivusi lataavat. Jos julkisessa osassa on analytiikkatagi, EN 18246:n kohta 5.1.2 on keskustelu, joka sinun on käytävä ennen kuin joku muu aloittaa sen.
4. Osta standardit. Niitä on saatavilla SIS:ltä ja en-standard.eu-palvelusta. Niistä kuusi ratkaisee, oletetaanko toteutuksesi olevan vaatimusten mukainen, eikä mikään liikkeellä olevista tiivistelmistä — tämä mukaan lukien — korvaa tekstiä.

Voit ajaa edellä kuvatut tarkistukset mille tahansa passin URL-osoitteelle osoitteessa dppagent.com/validate, myös passeille, jotka eivät ole meidän. Raportti esitetään standardeittain ja kohdittain, ja siinä kerrotaan, mitkä havainnot ovat osittaisia ja miksi.

Lähteet

Tässä artikkelissa käytetyt alkuperäislähteet:

• Komission täytäntöönpanopäätös (EU) 2026/1736 — digitaalisia tuotepasseja koskevien yhdenmukaistettujen standardien viitetietojen julkaiseminen Euroopan unionin virallisessa lehdessä
• EN 18216 (tiedonvaihtoprotokollat), EN 18219 (yksilölliset tunnisteet), EN 18220 (tietovälineet), EN 18221 (tietojen tallennus, arkistointi ja pysyvyys), EN 18222 (API-rajapinnat passin elinkaaren hallintaan ja haettavuuteen), EN 18223 (järjestelmien yhteentoimivuus) — CEN/CENELEC JTC 24, julkaistu toukokuussa 2026
• EN 18239 (käyttöoikeuksien hallinta, tietojärjestelmien tietoturva ja liikesalaisuuksien luottamuksellisuus) ja EN 18246 (tietojen aitous, luotettavuus ja eheys) — CEN hyväksynyt 17. elokuuta 2026, vahvistettu SS-EN-standardeiksi 16. syyskuuta 2026
• Asetus (EU) 2024/1781 (ESPR), 4, 9 ja 10 artikla — EUR-Lex

Tämän artikkelin kohtaviittaukset koskevat lisensoituja SS-EN 2026 -painoksia. Standardit ovat tekijänoikeudella suojattuja asiakirjoja, eikä niitä voida toistaa tässä; kohtien numerot annetaan, jotta tekstin voi tarkistaa alkuperäisistä.