Opublikowano wszystkie osiem norm DPP. Przywołano tylko sześć.

W maju 2026 r. CEN/CENELEC JTC 24 opublikował sześć z ośmiu norm zharmonizowanych dla cyfrowych paszportów produktów. Pisaliśmy o nich wtedy i zauważyliśmy, że dwóch wciąż brakuje.

Już ich nie brakuje. EN 18239 i EN 18246 zostały zatwierdzone przez CEN 17 sierpnia 2026 r. i przyjęte jako SS-EN 16 września. Zestaw jest kompletny.

To ta część, o której napiszą wszyscy. Ważniejsze jest jednak to, że kompletność zestawu nie zrównała wszystkich ośmiu norm, a ta różnica nie jest szczegółem technicznym.

Sześć przywołano, dwóch nie

Decyzja wykonawcza Komisji (UE) 2026/1736 przywołuje w Dzienniku Urzędowym sześć norm:

EN 18239 (zarządzanie prawami dostępu, bezpieczeństwo systemów informacyjnych i poufność informacji handlowych) oraz EN 18246 (autentyczność, wiarygodność i integralność danych) nie znajdują się na tej liście.

To przywołanie w Dzienniku Urzędowym nadaje normie zharmonizowanej skutek prawny. Przywołana norma zharmonizowana daje domniemanie zgodności (art. 41 ESPR): jeśli się ją stosuje, domniemywa się spełnienie odpowiedniego wymogu prawnego, chyba że ktoś wykaże inaczej. Norma nieprzywołana nie daje takiego domniemania, niezależnie od tego, jak niedawno została opublikowana i jak jest dobra.

Dwie najnowsze normy zajmują więc szczególną pozycję. Są prawdziwe, można je kupić, wyrażają przemyślane stanowisko komitetu, który napisał pozostałe sześć — a mimo to ich stosowanie jest wyborem, a nie argumentem obrony. Nie można wskazać na EN 18246 i twierdzić, że korzysta się z domniemania zgodności. Nikt inny też nie może, co warto wiedzieć, gdy konkurent deklaruje zharmonizowaną zgodność ze „wszystkimi ośmioma”.

Obie zostaną najprawdopodobniej przywołane w późniejszej zmianie decyzji wykonawczej. Dopóki to nie nastąpi, uczciwe sformułowanie brzmi „stosujemy ją”, a nie „jesteśmy z nią zgodni”.

Skoro już prostujemy: nie ma EN 18217

Serię niemal wszędzie zapisuje się jako EN 18216–18223, także ci, którzy powinni wiedzieć lepiej. Nie jest to jednak ciągły zakres.

Nie ma EN 18217 ani EN 18218. Osiem norm to 18216, 18219, 18220, 18221, 18222, 18223, 18239 i 18246. Zapis zakresu jako 18216–18223 jednocześnie wymyśla dwie normy, które nie istnieją, i pomija dwie opublikowane najpóźniej.

Jeśli przywołują je Państwo w specyfikacji, odpowiedzi na przetarg lub ankiecie dla dostawców, należy podawać numer i punkt. Zakres jest błędny w obie strony.

Co faktycznie można sprawdzić z zewnątrz

Nasz walidator opiera się na opublikowanym zestawie. Wykonuje dziesięć kontroli obejmujących siedem z ośmiu norm, dla dowolnego adresu URL paszportu, bez współpracy wydawcy i bez konta.

Siedem, nie osiem. EN 18239 dotyczy kontroli dostępu, bezpieczeństwa i poufności, a niemal nic w niej nie może zostać sprawdzone przez obcą osobę wysyłającą jedno żądanie. Wdrażamy ją — dostęp na poziomie wierszy dla każdego klienta platformy (tenanta), krótkotrwałe tokeny zamiast współdzielonych kluczy, ograniczanie liczby żądań w resolverze napisane pod §5.2 pkt 11 — ale wdrożenie normy i testowanie jej z zewnątrz to różne rzeczy, a kontrola, która nie może się nie powieść, nie jest kontrolą.

Ta sama powściągliwość dotyczy EN 18246. Jej najcięższe wymagania dotyczą dowodu, że paszport i jego nośnik są autentyczne, co wymaga podpisu kryptograficznego. Nikt jeszcze niczego nie podpisuje — ani my, ani nikt inny — a kontrola, której nie przejdzie żaden paszport na świecie, niczego czytelnika nie uczy. Trzy jej punkty można sprawdzić z zewnątrz. To te trzy wykonujemy.

Kontrola, której większość paszportów nie przejdzie

Spośród tych trzech jedna zaskoczy wiele osób.

EN 18246 §5.1.2 zakazuje zbierania informacji osobowych od osób fizycznych czytających publiczne dane paszportu. §5.1.5 wymaga zapobiegania profilowaniu. Czytane razem opisują dokładnie to, co robi tag analityczny: nadaje czytelnikowi identyfikator, śledzi go między stronami i wysyła dane stronie trzeciej.

Cyfrowy paszport produktu, który ładuje Google Analytics, Meta Pixel, Hotjar, Clarity lub Segment, zbiera informacje osobowe od kogoś, czyją jedyną czynnością było zeskanowanie kodu QR na swetrze. Walidator szuka hosta narzędzia śledzącego w stronie, którą faktycznie otrzymuje konsument, a nie nazwy pliku skryptu, ponieważ każde z tych narzędzi występuje pod kilkoma różnymi nazwami.

Wprowadzenie tej kontroli jest niewygodne, więc warto jasno przedstawić nasze własne stanowisko: nasz resolver wstrzykuje tag GA4, gdy klient platformy ustawi identyfikator pomiaru. Ta funkcja istnieje, a każdy klient platformy, który go ustawi, nie przejdzie tej kontroli w naszym własnym walidatorze, na naszych własnych stronach. Tylko taką kontrolę warto pisać. Taka, która zwalnia autora, jest marketingiem.

Jeśli na stronach paszportów działa analityka, pytanie do działu prawnego nie brzmi, czy na śledzenie wyrażono zgodę — lecz czy §5.1.2 w ogóle na nie pozwala w publicznej części paszportu.

Ograniczenie w EN 18239, które utrudnia sprawę

EN 18239 §5.2 pkt 11 wymaga, aby dostęp do usług DPP „był ograniczony w taki sposób, aby zapobiegać atakom lub nieuprawnionemu masowemu pozyskiwaniu danych (scrapingowi)”.

Oczywiste rozwiązania są wykluczone przez inne punkty tej samej pary norm:

• Klucz API lub logowanie? EN 18246 §4.3 stanowi, że dane publiczne serwuje się bez uwierzytelniania. EN 18239 §5.2(2) mówi to samo i jako powód wskazuje unikanie dyskryminacji ze względu na położenie geograficzne.
• Blokowanie według kraju? EN 18239 §5.2(3) stanowi, że nie można odmówić dostępu wyłącznie na podstawie lokalizacji lub jurysdykcji podmiotu.
• Ściana CAPTCHA? Ten sam problem, a do tego narusza §5.4.2 dotyczący czytelności na dowolnym urządzeniu konsumenckim.
• Rejestrowanie adresów IP, by wykrywać nadużycia? Adres IP jest daną osobową, a §5.1.2 zakazuje zbierania informacji osobowych od osób czytających dane publiczne.
• Blokowanie botów? EN 18246 §5.1.8 stanowi, że należy wdrożyć solidne mechanizmy przeciwdziałające scrapingowi, a jednocześnie, że system może pozwalać pożytecznym wyszukiwarkom indeksować dane DPP. Ogranicznik, który blokuje Googlebota, nie jest bezpieczniejszy — jest błędny.

Zostaje wąska ścieżka: ograniczanie liczby żądań według solonego skrótu adresu, przechowywanego w pamięci przez długość jednego okna czasowego i nigdy nigdzie niezapisywanego. Po upływie minuty zostaje liczba, a liczba nie dotyczy osoby.

To prawdziwe ograniczenie inżynierskie i coś, co staje się widoczne dopiero wtedy, gdy normy czyta się razem, a nie każdą osobno.

Co z tym zrobić

1. Przestać zapisywać zakres. EN 18216–18223 wymyśla dwie normy i pomija dwie. Należy podawać numer i punkt.
2. Oddzielić we własnych deklaracjach „opublikowane” od „przywołane”. Sześć daje domniemanie zgodności. Dwie — jeszcze nie. Każdy, kto deklaruje zharmonizowaną zgodność ze wszystkimi ośmioma, deklaruje coś, co obecnie nie istnieje.
3. Sprawdzić, co ładują strony paszportów. Jeśli w publicznej części jest tag analityczny, rozmowę o EN 18246 §5.1.2 trzeba odbyć, zanim rozpocznie ją ktoś inny.
4. Kupić normy. Są dostępne w SIS i en-standard.eu. Sześć z nich decyduje o tym, czy wdrożenie korzysta z domniemania zgodności, a żadne z krążących streszczeń — łącznie z tym — nie zastąpi tekstu.

Powyższe kontrole można uruchomić dla dowolnego adresu URL paszportu na dppagent.com/validate, także dla paszportów, które nie są nasze. Walidator raportuje według normy i punktu oraz wskazuje, które wyniki są częściowe i dlaczego.

Źródła

Źródła pierwotne wykorzystane w tym artykule:

• Decyzja wykonawcza Komisji (UE) 2026/1736 — przywołanie norm zharmonizowanych dla cyfrowych paszportów produktów w Dzienniku Urzędowym
• EN 18216 (protokoły wymiany danych), EN 18219 (niepowtarzalne identyfikatory), EN 18220 (nośniki danych), EN 18221 (przechowywanie, archiwizacja i trwałość danych), EN 18222 (interfejsy API do zarządzania cyklem życia paszportu i jego wyszukiwalności), EN 18223 (interoperacyjność systemów) — CEN/CENELEC JTC 24, opublikowane w maju 2026 r.
• EN 18239 (zarządzanie prawami dostępu, bezpieczeństwo systemów informacyjnych i poufność informacji handlowych) oraz EN 18246 (autentyczność, wiarygodność i integralność danych) — zatwierdzone przez CEN 17 sierpnia 2026 r., przyjęte jako SS-EN 16 września 2026 r.
• Rozporządzenie (UE) 2024/1781 (ESPR), art. 4, 9 i 10 — EUR-Lex

Odniesienia do punktów w tym artykule dotyczą licencjonowanych wydań SS-EN 2026. Normy są dokumentami chronionymi prawem autorskim i nie mogą być tu powielane; numery punktów podano, aby tekst można było sprawdzić z oryginałami.