Paskelbti visi aštuoni DPP standartai. Oficialiajame leidinyje nurodyti tik šeši

2026 m. gegužės mėn. CEN/CENELEC JTC 24 paskelbė šešis iš aštuonių skaitmeninių gaminių pasų darniųjų standartų. Tada apie juos rašėme ir pažymėjome, kad dviejų dar trūksta.

Dabar jų nebetrūksta. EN 18239 ir EN 18246 CEN patvirtino 2026 m. rugpjūčio 17 d., o rugsėjo 16 d. jie priimti kaip SS-EN. Rinkinys baigtas.

Būtent apie tai visi ir praneš. Tačiau svarbiau kita: tai, kad rinkinys baigtas, nepadarė visų aštuonių lygiaverčiais, ir šis skirtumas nėra formalumas.

Šeši nurodyti, du – ne

Komisijos įgyvendinimo sprendimu (ES) 2026/1736 Oficialiajame leidinyje paskelbtos šešių standartų nuorodos:

EN 18239 (prieigos teisių valdymas, informacinių sistemų saugumas ir verslo konfidencialumas) ir EN 18246 (duomenų autentiškumas, patikimumas ir vientisumas) šiame sąraše nėra.

Būtent nuorodos paskelbimas Oficialiajame leidinyje suteikia darniajam standartui teisinį poveikį. Darnusis standartas, kurio nuoroda paskelbta, suteikia atitikties prielaidą (ESPR 41 straipsnis): jei jo laikotės, daroma prielaida, kad atitinkate atitinkamą teisinį reikalavimą, kol kas nors neįrodo priešingai. Standartas, kurio nuoroda nepaskelbta, tokios prielaidos nesuteikia, kad ir koks naujas ar geras jis būtų.

Taigi du naujausi standartai atsidūrė savotiškoje padėtyje. Jie tikri, juos galima įsigyti, juose atsispindi apgalvota to paties komiteto, kuris parašė kitus šešis, pozicija, – tačiau jų laikytis yra pasirinkimas, o ne gynyba. Negalite parodyti į EN 18246 ir teigti, kad jums taikoma atitikties prielaida. To negali ir niekas kitas, ir tai verta žinoti, kai konkurentas tvirtina atitinkantis darniuosius standartus „visus aštuonis“.

Greičiausiai abiejų nuorodos bus paskelbtos vėlesniu įgyvendinimo sprendimo pakeitimu. Kol taip neįvyko, sąžininga formuluotė yra „mes jo laikomės“, o ne „mes jį atitinkame“.

Kol taisome: EN 18217 nėra

Beveik visur, net ir tų, kurie turėtų žinoti geriau, serija rašoma kaip EN 18216–18223. Tai nėra ištisinis intervalas.

Nėra nei EN 18217, nei EN 18218. Aštuoni standartai yra 18216, 18219, 18220, 18221, 18222, 18223, 18239 ir 18246. Užrašius intervalą 18216–18223, kartu išgalvojami du neegzistuojantys standartai ir praleidžiami du naujausiai paskelbti.

Jei nurodote juos specifikacijoje, atsakyme į konkursą ar tiekėjo klausimyne, nurodykite juos pagal numerį ir punktą. Intervalas klaidingas į abi puses.

Ką iš tikrųjų galima patikrinti iš išorės

Mūsų tikrintuvas remiasi paskelbtu rinkiniu. Jis atlieka dešimt patikrų pagal septynis iš aštuonių standartų, su bet kuriuo paso URL, be skelbėjo bendradarbiavimo ir be paskyros.

Septyni, ne aštuoni. EN 18239 skirtas prieigos kontrolei, saugumui ir konfidencialumui, ir beveik į nieką jame negali atsakyti pašalinis asmuo, pateikęs vieną užklausą. Mes jį įgyvendiname – prieiga eilučių lygmeniu kiekvienam nuomininkui, trumpalaikiai prieigos raktai vietoj bendrų raktų, sprendiklio užklausų ribojimas, parengtas pagal §5.2 11 punktą, – tačiau standarto įgyvendinimas ir jo tikrinimas iš išorės yra skirtingi dalykai, o patikra, kuri negali būti neišlaikyta, nėra patikra.

Toks pat santūrumas taikomas ir EN 18246 viduje. Griežčiausi jo reikalavimai susiję su įrodymu, kad pasas ir jo duomenų saitas yra tikri, o tam reikia kriptografinio pasirašymo. Kol kas niekas nieko nepasirašo – nei mes, nei kas nors kitas, – o patikra, kurios negali išlaikyti nė vienas pasas pasaulyje, skaitytojo nieko neišmoko. Į tris jo punktus galima atsakyti iš išorės. Būtent tuos tris ir tikriname.

Patikra, kurios neišlaikys dauguma pasų

Iš tų trijų viena daugelį nustebins.

EN 18246 §5.1.2 draudžia rinkti asmeninę informaciją iš fizinių asmenų, kurie skaito viešus paso duomenis. §5.1.5 reikalauja užkirsti kelią profiliavimui. Skaitant kartu, juose tiksliai aprašoma tai, ką daro analitikos žyma: priskiria skaitytojui identifikatorių, seka jį per puslapius ir siunčia tai trečiajai šaliai.

Skaitmeninis gaminio pasas, įkeliantis Google Analytics, Meta Pixel, Hotjar, Clarity ar Segment, renka asmeninę informaciją iš žmogaus, kurio vienintelis veiksmas buvo nuskenuoti QR kodą ant megztinio. Tikrintuvas ieško sekiklio serverio puslapyje, kurį vartotojas iš tikrųjų gauna, o ne scenarijaus failo pavadinimo, nes kiekvienas iš jų platinamas su pusšimčiu skirtingų pavadinimų.

Šią patikrą nemalonu išleisti, todėl verta aiškiai pasakyti apie savo pačių padėtį: mūsų sprendiklis įterpia GA4 žymą, kai nuomininkas nustato matavimo ID. Ši funkcija egzistuoja, ir bet kuris ją nustatęs nuomininkas neišlaikys šios patikros mūsų pačių tikrintuve, mūsų pačių puslapiuose. Tik tokią patikrą ir verta rašyti. Patikra, kuri netaikoma jos autoriui, yra rinkodara.

Jei paso puslapiuose naudojate analitiką, klausimas jūsų teisininkams yra ne tai, ar sekimui duotas sutikimas, o tai, ar §5.1.2 apskritai jį leidžia viešojoje paso dalyje.

EN 18239 apribojimas, dėl kurio viskas sudėtinga

EN 18239 §5.2 11 punktas reikalauja, kad prieiga prie DPP paslaugų „būtų ribojama taip, kad būtų užkirstas kelias atakoms arba neteisėtam masiniam duomenų rinkimui (scraping)“.

Visi akivaizdūs įgyvendinimo būdai užkirsti kitais tos pačios standartų poros punktais:

• API raktas ar prisijungimas? EN 18246 §4.3 nurodo, kad vieši duomenys teikiami be autentifikavimo. EN 18239 §5.2(2) teigia tą patį ir kaip priežastį nurodo diskriminacijos dėl geografinės vietos vengimą.
• Blokuoti pagal šalį? EN 18239 §5.2(3) nurodo, kad prieiga negali būti atsakyta vien dėl dalyvio buvimo vietos ar jurisdikcijos.
• CAPTCHA siena? Ta pati problema, be to, ji neatitinka §5.4.2 dėl nuskaitomumo bet kuriuo vartotojo įrenginiu.
• Registruoti IP adresus piktnaudžiautojams nustatyti? IP adresas yra asmens duomenys, o §5.1.2 draudžia rinkti asmeninę informaciją iš viešų duomenų skaitytojų.
• Blokuoti robotus? EN 18246 §5.1.8 nurodo, kad turėtų būti įdiegti patikimi apsaugos nuo duomenų rinkimo mechanizmai, ir tame pačiame sakinyje, kad sistema gali leisti naudingoms paieškos sistemoms indeksuoti DPP duomenis. Ribotuvas, blokuojantis Googlebot, nėra saugesnis – jis klaidingas.

Lieka siauras kelias: riboti užklausas pagal adreso maišos kodą su druska, laikomą atmintyje vieno laiko lango trukmę ir niekur neįrašomą. Po minutės lieka tik skaičius, o skaičius nėra apie asmenį.

Tai tikras inžinerinis apribojimas, ir tokie dalykai tampa matomi tik tada, kai standartai skaitomi kartu, o ne po vieną.

Ką su tuo daryti

1. Nustokite rašyti intervalą. EN 18216–18223 išgalvoja du standartus ir praleidžia du. Nurodykite pagal numerį ir punktą.
2. Savo teiginiuose atskirkite „paskelbtus“ nuo „nurodytų Oficialiajame leidinyje“. Šeši suteikia atitikties prielaidą. Du – kol kas ne. Kiekvienas, tvirtinantis atitiktį darniesiems standartams visais aštuoniais, tvirtina tai, kas šiuo metu neegzistuoja.
3. Pažiūrėkite, ką įkelia jūsų paso puslapiai. Jei viešojoje dalyje yra analitikos žyma, apie EN 18246 §5.1.2 jums reikia pasikalbėti anksčiau, nei tokį pokalbį pradės kas nors kitas.
4. Įsigykite standartus. Juos galima įsigyti iš SIS ir en-standard.eu. Šeši iš jų lemia, ar jūsų įgyvendinimui taikoma atitikties prielaida, ir nė viena iš sklandančių santraukų – įskaitant šią – nepakeičia teksto.

Aukščiau aprašytas patikras galite atlikti su bet kuriuo paso URL adresu dppagent.com/validate, įskaitant ne mūsų pasus. Ataskaita pateikiama pagal standartą ir punktą, nurodant, kurios išvados yra dalinės ir kodėl.

Šaltiniai

Šiame straipsnyje naudoti pirminiai šaltiniai:

• Komisijos įgyvendinimo sprendimas (ES) 2026/1736 – skaitmeninių gaminių pasų darniųjų standartų nuorodų paskelbimas Oficialiajame leidinyje
• EN 18216 (duomenų mainų protokolai), EN 18219 (unikalieji identifikatoriai), EN 18220 (duomenų saitai), EN 18221 (duomenų saugojimas, archyvavimas ir duomenų išsilaikymas), EN 18222 (API paso gyvavimo ciklui tvarkyti ir paieškos galimybei užtikrinti), EN 18223 (sistemų sąveikumas) – CEN/CENELEC JTC 24, paskelbti 2026 m. gegužės mėn.
• EN 18239 (prieigos teisių valdymas, informacinių sistemų saugumas ir verslo konfidencialumas) ir EN 18246 (duomenų autentiškumas, patikimumas ir vientisumas) – CEN patvirtino 2026 m. rugpjūčio 17 d., priimti kaip SS-EN 2026 m. rugsėjo 16 d.
• Reglamentas (ES) 2024/1781 (ESPR), 4, 9 ir 10 straipsniai – EUR-Lex

Šiame straipsnyje nurodomi punktai atitinka licencijuotus 2026 m. SS-EN leidimus. Standartai yra autorių teisių saugomi dokumentai ir čia negali būti atkuriami; punktų numeriai pateikti tam, kad tekstą būtų galima patikrinti pagal originalus.