DPP Series | Part 2: เจาะลึก DPP: บริษัทใช้งาน วางแผนการใช้งาน และผสานรวมอย่างไร

Digital Product Passport (DPP) มักถูกนำเสนอว่าเป็นข้อกำหนดด้านข้อมูลผลิตภัณฑ์ สำหรับบริษัทที่เตรียมขายผลิตภัณฑ์ที่อยู่ภายใต้กฎระเบียบในสหภาพยุโรป คำอธิบายนั้นยังไม่ครบถ้วน โปรแกรม DPP ที่ใช้งานได้จริงต้องเชื่อมโยงข้อมูลผลิตภัณฑ์ที่มีการกำกับดูแลเข้ากับตัวระบุผลิตภัณฑ์ องค์กรที่รับผิดชอบ การควบคุมการเข้าถึง การส่งข้อมูลที่ตรวจสอบได้ และระบบที่ดูแลรักษาบันทึกไว้เมื่อเวลาผ่านไป

บทความที่สองในชุด eSign.AI DPP นี้เปลี่ยนจากการรับรู้ด้านกฎระเบียบไปสู่การออกแบบการดำเนินงาน โดยอธิบายว่าบริษัทอาจใช้ DPP ได้ที่ใด วิธีตัดสินใจว่าทีมและระบบใดควรเป็นเจ้าของภาระหน้าที่แต่ละส่วน และจุดที่ลายมือชื่ออิเล็กทรอนิกส์ ตราประทับอิเล็กทรอนิกส์ และการเก็บรักษาหลักฐานอาจช่วยสนับสนุนกระบวนการที่น่าเชื่อถือได้อย่างไร

เริ่มจากเหตุการณ์ทางธุรกิจ ไม่ใช่ QR code

QR code หรือตัวพาข้อมูลรูปแบบอื่นเป็นจุดเข้าใช้งานที่มองเห็นได้ของพาสปอร์ต แต่ไม่ใช่โมเดลการดำเนินงานของพาสปอร์ต คำถามแรกในการออกแบบคือ เหตุการณ์ทางธุรกิจใดที่สร้างหรือเปลี่ยนแปลงบันทึกผลิตภัณฑ์ เหตุการณ์นั้นอาจเป็นการนำผลิตภัณฑ์เข้าสู่ตลาด EU การลงทะเบียนผู้ประกอบการทางเศรษฐกิจ การออกเอกสารรับรองความสอดคล้อง การอัปเดตข้อมูลการซ่อมแซม หรือการบันทึกเหตุการณ์ในวงจรชีวิต ทั้งนี้ขึ้นอยู่กับผลิตภัณฑ์และกฎหมายที่เกี่ยวข้อง

แต่ละเหตุการณ์ต้องมีเจ้าของที่รับผิดชอบ ทีมผลิตภัณฑ์อาจเป็นเจ้าของคุณลักษณะทางเทคนิค ทีมกำกับดูแลอาจอนุมัติข้อความที่อยู่ภายใต้กฎระเบียบ ทีมปฏิบัติการอาจจัดการตัวระบุ และทีม IT อาจเชื่อมต่อระบบต้นทาง เมื่อไม่มีใครเป็นเจ้าของเหตุการณ์ พาสปอร์ตอาจกลายเป็นเพียงการเผยแพร่ข้อมูลแบบคงที่ แทนที่จะเป็นบันทึกการปฏิบัติตามข้อกำหนดที่ได้รับการดูแลอย่างต่อเนื่อง

แผนการทำงาน ESPR ของคณะกรรมาธิการยุโรป ช่วยให้บริษัทระบุกลุ่มผลิตภัณฑ์ที่มีลำดับความสำคัญได้ แต่ delegated acts เฉพาะผลิตภัณฑ์จะเป็นตัวกำหนดข้อมูล ระยะเวลา และภาระหน้าที่ในการดำเนินงานโดยละเอียด

จัดทำแผนที่สี่ชั้นของความพร้อมด้าน DPP

บริษัทสามารถจัดโครงสร้างการเตรียมความพร้อมรอบสี่ชั้นที่เชื่อมโยงกันได้ดังนี้:

1. ข้อมูลผลิตภัณฑ์: ระบุคุณลักษณะที่จำเป็น แหล่งข้อมูล เจ้าของข้อมูล กฎการอัปเดต และการควบคุมคุณภาพ
2. อัตลักษณ์ของผลิตภัณฑ์: กำหนดตัวระบุผลิตภัณฑ์ ชุดการผลิต หรือรายการที่ไม่ซ้ำกัน และเชื่อมโยงกับตัวพาข้อมูลทางกายภาพที่ถูกต้อง
3. องค์กรและอำนาจ: กำหนดว่านิติบุคคลใดเป็นผู้ส่งข้อมูล บุคคลหรือระบบใดสามารถดำเนินการแทนได้ และจะตรวจสอบสิทธิ์เหล่านั้นอย่างไร
4. ความไว้วางใจและความต่อเนื่อง: เก็บรักษาหลักฐานว่าใครอนุมัติหรือส่งข้อมูล ปกป้องความสมบูรณ์ ควบคุมการเข้าถึง และทำให้บันทึกพร้อมใช้งานตลอดระยะเวลาที่กำหนด

โมเดลนี้ช่วยป้องกันข้อผิดพลาดในการวางแผนที่พบบ่อย นั่นคือการซื้อเครื่องมือพาสปอร์ตส่วนหน้า ก่อนยืนยันว่าบริษัทสามารถสร้าง อนุมัติ และดูแลรักษาข้อมูลพื้นฐานได้อย่างน่าเชื่อถือหรือไม่

สถานการณ์ที่ 1: การเริ่มต้นใช้งานของผู้ประกอบการทางเศรษฐกิจ

ก่อนที่องค์กรจะสามารถส่งข้อมูลที่อยู่ภายใต้กฎระเบียบได้ ระบบที่เกี่ยวข้องอาจต้องยืนยันอัตลักษณ์ทางกฎหมายขององค์กรและอำนาจของบุคคลหรือระบบที่ดำเนินการแทน เส้นทางที่แน่นอนขึ้นอยู่กับกฎหมายที่กำกับดูแลและการออกแบบแพลตฟอร์ม อาจเกี่ยวข้องกับวิธีการระบุตัวตนอิเล็กทรอนิกส์ การรับรองอิเล็กทรอนิกส์ หลักฐานเอกสาร หรือ qualified electronic seal ที่รองรับด้วย qualified certificate

ความแตกต่างที่สำคัญคือระหว่างอัตลักษณ์กับสิทธิ์ การพิสูจน์ว่าบริษัทมีอยู่จริงไม่ได้พิสูจน์โดยอัตโนมัติว่าพนักงาน บัญชีบริการ หรือตัวแทนภายนอกเฉพาะรายสามารถส่งข้อมูลแทนบริษัทนั้นได้ กระบวนการเริ่มต้นใช้งานที่แข็งแกร่งจะบันทึกทั้งอัตลักษณ์ขององค์กรและการมอบหมายอำนาจหรือบทบาทที่อนุญาตให้ดำเนินการ

Commission Implementing Regulation (EU) 2026/1778 ให้ตัวอย่างที่เป็นรูปธรรมสำหรับทะเบียน DPP ของ EU โดยกำหนดการจัดการอัตลักษณ์และการเข้าถึงสำหรับผู้ประกอบการทางเศรษฐกิจและผู้มีบทบาทอื่น ๆ รวมถึงเส้นทางที่มีความน่าเชื่อถือสูงสำหรับบุคคลธรรมดา และ qualified electronic seals หรือ electronic attestations สำหรับนิติบุคคล ผู้ประกอบการทางเศรษฐกิจที่ผ่านการตรวจสอบแล้วยังคงต้องรับผิดชอบต่อข้อมูลที่ตนส่ง

สถานการณ์ที่ 2: การอนุมัติและการส่งข้อมูล DPP

ข้อมูลผลิตภัณฑ์มักมีต้นกำเนิดจากหลายระบบ ได้แก่ การจัดการวงจรชีวิตผลิตภัณฑ์ การวางแผนทรัพยากรองค์กร การดำเนินการผลิต การจัดการคุณภาพ พอร์ทัลซัพพลายเออร์ และคลังเอกสาร เวิร์กโฟลว์ DPP ไม่ควรขอให้ผู้ใช้สร้างข้อมูลนั้นซ้ำด้วยตนเองในอินเทอร์เฟซอื่น หากมีแหล่งข้อมูลที่เชื่อถือได้อยู่แล้ว

แทนที่จะเป็นเช่นนั้น การออกแบบการดำเนินงานสามารถรวบรวมชุดข้อมูลที่จำเป็น ตรวจสอบความถูกต้องของช่องข้อมูลบังคับ ส่งต่อข้อยกเว้นไปยังเจ้าของที่ถูกต้อง และบันทึกการอนุมัติก่อนการส่งข้อมูล เมื่อจำเป็นต้องใช้ลายมือชื่อหรือตราประทับ เวิร์กโฟลว์ควรเรียกใช้บริการความไว้วางใจที่เหมาะสม โดยไม่ทำให้การอนุมัติทางธุรกิจสับสนกับลายมือชื่อหรือตราประทับที่มีคุณสมบัติตามกฎหมาย

eSign.AI สามารถสนับสนุนชั้นเวิร์กโฟลว์ได้โดยเชื่อมต่อระบบต้นทาง ส่งต่องานอนุมัติ ใช้เส้นทางการลงนามหรือประทับตราที่จำเป็น และบันทึกหลักฐานธุรกรรมที่เกิดขึ้น ผ่านบริการ Registration Authority และการผสานรวมกับ ANF AC eSign.AI สามารถจัดเตรียมเส้นทางการสมัครและการออก QSeal เป็นส่วนหนึ่งของโซลูชันสำหรับลูกค้า แทนที่จะปล่อยให้ลูกค้าต้องประสานงานกับผู้ให้บริการต่างประเทศแยกต่างหาก

สถานการณ์ที่ 3: การรักษาความสามารถในการตรวจสอบได้เมื่อเวลาผ่านไป

ภาระหน้าที่ของ DPP ไม่ได้จำกัดอยู่เพียงช่วงเวลาการเผยแพร่ ข้อมูลผลิตภัณฑ์อาจต้องคงอยู่ในสภาพที่พร้อมใช้งาน เข้าใจได้ และน่าเชื่อถือตลอดวงจรชีวิตผลิตภัณฑ์ที่ยาวนาน การเปลี่ยนแปลงความเป็นเจ้าของ และการย้ายระบบ ดังนั้นบริษัทควรวางแผนสำหรับหลักฐานที่คงทน แทนที่จะถือว่าการตอบกลับ API ที่สำเร็จคือจุดสิ้นสุดของกระบวนการ

การออกแบบหลักฐานอาจรวมถึงชุดข้อมูลที่ส่งหรือการแทนค่าแบบมาตรฐานของชุดข้อมูลนั้น timestamps วัสดุสำหรับตรวจสอบความถูกต้องของลายมือชื่อหรือตราประทับ บริบทของผู้ลงนามหรือผู้ประกอบการ บันทึกการอนุญาต ใบรับการส่ง ประวัติเวอร์ชัน และบันทึกระบบ ระยะเวลาการเก็บรักษาและวิธีการตรวจสอบความถูกต้องต้องสอดคล้องกับกฎผลิตภัณฑ์และนโยบายบันทึกที่เกี่ยวข้อง

กรอบงาน EU ให้ข้อสันนิษฐานทางกฎหมายแก่ qualified electronic seals ในเรื่องความสมบูรณ์ของข้อมูลและความถูกต้องของแหล่งกำเนิด ขณะที่ qualified timestamps สามารถสนับสนุนการพิสูจน์ว่าข้อมูลมีอยู่ ณ เวลาหนึ่งโดยเฉพาะ เฉพาะบริการที่ระบุว่าเป็น qualified ใน EU national trusted list เท่านั้นที่มีสถานะ qualified

หมายเหตุการวางแผน: ภาพประกอบจากแหล่ง Word นี้นำเสนอโรดแมปของภาคส่วนและช่วงเวลาเพื่อการอภิปราย ไม่ใช่กำหนดการทางกฎหมายสำหรับผลิตภัณฑ์ทุกชนิดที่ปรากฏ ขอบเขตที่มีผลผูกพัน เส้นทางอัตลักษณ์ รูปแบบหลักฐาน ข้อกำหนดข้อมูล และวันที่เริ่มใช้บังคับ ถูกกำหนดโดยกฎหมายผลิตภัณฑ์ EU ที่เกี่ยวข้อง delegated acts เฉพาะผลิตภัณฑ์ และการออกแบบระบบขั้นสุดท้าย

คำถามวางแผนห้าข้อสำหรับแต่ละสายผลิตภัณฑ์

1. ผลิตภัณฑ์อยู่ในขอบเขตหรือไม่?

สร้างทะเบียนผลิตภัณฑ์ต่อกฎที่ระบุกฎหมาย EU ที่เกี่ยวข้อง สถานะปัจจุบัน delegated act ที่คาดว่าจะมี และนิติบุคคลที่รับผิดชอบ อย่าสันนิษฐานว่าโปรแกรม DPP ระดับองค์กรหมายความว่าผลิตภัณฑ์ทุกชนิดจะเดินตามตารางเวลาเดียวกัน

2. ใครเป็นเจ้าขององค์ประกอบข้อมูลที่จำเป็นแต่ละรายการ?

กำหนดระบบต้นทางและเจ้าของทางธุรกิจให้กับคุณลักษณะบังคับทุกรายการ หากค่ามาจากซัพพลายเออร์ ให้กำหนดกฎการตรวจสอบความถูกต้อง การยกระดับปัญหา และการควบคุมการเปลี่ยนแปลง แทนที่จะยอมรับไฟล์ที่ไม่ได้ตรวจสอบทางอีเมล

3. ผลิตภัณฑ์ถูกระบุอย่างไม่ซ้ำกันอย่างไร?

ตัดสินใจว่ากฎทำงานในระดับโมเดล ชุดการผลิต หรือรายการ ยืนยันว่าตัวระบุถูกสร้างขึ้นอย่างไร ป้องกันการซ้ำซ้อนอย่างไร และตัวพาข้อมูลทางกายภาพยังคงเชื่อมโยงกับบันทึกดิจิทัลที่ถูกต้องอย่างไร

4. ใครสามารถอนุมัติและส่งข้อมูลได้?

จัดทำเอกสารนิติบุคคล บทบาทที่รับผิดชอบ โมเดลการมอบหมายอำนาจ และข้อมูลรับรองเครื่องที่เกี่ยวข้อง แยกการอนุมัติภายในออกจากการส่งข้อมูลภายนอก และออกจากบริการความไว้วางใจ qualified ใด ๆ ที่กฎหมายกำหนด

5. หลักฐานใดต้องคงอยู่หลังการเปลี่ยนระบบ?

กำหนดแพ็กเกจหลักฐานก่อนเริ่มนำไปใช้ คำตอบจะกำหนดสถาปัตยกรรมการจัดเก็บ รูปแบบการส่งออก การพึ่งพาการตรวจสอบความถูกต้อง และการควบคุมการย้ายระบบ

พิมพ์เขียวการผสานรวมสำหรับการนำไปใช้จริง

สถาปัตยกรรมเชิงปฏิบัติโดยทั่วไปเริ่มจากระบบต้นทาง แทนที่จะเริ่มจากฐานข้อมูลแบบสแตนด์อโลนใหม่ บริการข้อมูลจะดึงคุณลักษณะผลิตภัณฑ์ที่ได้รับอนุมัติ บริการเวิร์กโฟลว์จะตรวจสอบความครบถ้วนและส่งต่อข้อยกเว้น ชั้นอัตลักษณ์และการอนุญาตจะตรวจสอบผู้ดำเนินการ และชั้น API จะส่ง payload ที่ถูกต้องไปยังรีจิสทรีหรือบริการพาสปอร์ตที่เกี่ยวข้อง

ชั้นหลักฐานควรบันทึกเหตุการณ์สำคัญแต่ละรายการโดยไม่จัดเก็บข้อมูลส่วนบุคคลที่ไม่จำเป็น และควรรองรับการเรียกค้นตามผลิตภัณฑ์ ธุรกรรม นิติบุคคล และช่วงเวลา เพื่อให้ทีมกำกับดูแลสามารถตอบสนองต่อการตรวจสอบหรือข้อพิพาทได้อย่างมีประสิทธิภาพ

โดยปกติการนำไปใช้จะปลอดภัยกว่าเมื่อทำเป็นระยะ เลือกตระกูลผลิตภัณฑ์หนึ่งรายการ จัดทำแผนที่ข้อมูลและข้อกำหนดทางกฎหมาย ทดสอบเวิร์กโฟลว์ครบวงจรกับผู้ใช้ตัวแทน แล้วจึงขยายต่อ วิธีนี้สร้างการควบคุมที่นำกลับมาใช้ใหม่ได้ ขณะเดียวกันก็ทำให้ความแตกต่างเฉพาะผลิตภัณฑ์ยังคงมองเห็นได้

เส้นทางการลงนามสองเส้นทางในโซลูชัน DPP ของ eSign.AI

เส้นทางแรกคือการตรวจสอบยืนยันผู้ประกอบการทางเศรษฐกิจ eSign.AI รองรับการสมัคร QSeal การประสานงานการตรวจสอบยืนยันอัตลักษณ์ และการจับคู่ข้อมูลองค์กรผ่านความสามารถ Registration Authority และการผสานรวมกับ ANF AC เรื่องนี้มีความเกี่ยวข้องเป็นพิเศษกับผู้ผลิตนอก EU ที่ต้องการ qualified electronic seal ใน trusted list ของ EU สำหรับกระบวนการอัตลักษณ์ที่เกี่ยวข้องกับทะเบียน

เส้นทางที่สองคือเวิร์กโฟลว์ข้อมูลผลิตภัณฑ์ที่เกิดซ้ำ eSign.AI รองรับ PAdES สำหรับเอกสาร PDF และโปรไฟล์ลายมือชื่อระยะยาว XAdES หรือ JAdES สำหรับบันทึก XML และ JSON รวมถึง qualified timestamps และการเก็บรักษาหลักฐาน รูปแบบและระดับความเชื่อมั่นที่แน่ชัดควรเป็นไปตามกฎเฉพาะผลิตภัณฑ์ อินเทอร์เฟซของทะเบียน และการประเมินทางกฎหมายของลูกค้า ไม่ใช่ทุกเหตุการณ์ DPP ที่ใช้ลายมือชื่อแบบเดียวกัน

สำหรับปริมาณงานที่สูงขึ้น ลูกค้าสามารถเชื่อมต่อผ่าน SDK หรือ API แทนการลงนามแต่ละบันทึกด้วยมือ เมื่อกระบวนการรับรองรับการส่งข้อมูลแบบชุด การดำเนินการหนึ่งครั้งสามารถรวมบันทึก DPP หลายรายการได้ พร้อมคงตัวระบุและหลักฐานในระดับบันทึกไว้ eSign.AI ยังรองรับเวิร์กโฟลว์ SaaS สำหรับทีมที่ต้องการอินเทอร์เฟซปฏิบัติงานก่อนการผสานรวมระบบจะเสร็จสมบูรณ์

eSign.AI เหมาะกับจุดใด

eSign.AI สนับสนุนเวิร์กโฟลว์ลายมือชื่ออิเล็กทรอนิกส์และลายมือชื่อดิจิทัล การประสานงานการอนุมัติ การผสานรวม API และการเก็บรักษาหลักฐาน สำหรับโปรแกรม DPP ความสามารถเหล่านี้สามารถช่วยเชื่อมต่อระบบธุรกิจเข้ากับขั้นตอนการลงนามหรือประทับตรา บันทึกเหตุการณ์ของผู้ประกอบการ และเก็บรักษาบันทึกเวิร์กโฟลว์ที่ตรวจสอบย้อนหลังได้

ขอบเขตการส่งมอบของ eSign.AI สามารถครอบคลุมการสมัคร QSeal และการสนับสนุนการออกตราประทับ คำแนะนำด้าน onboarding กับทะเบียน การลงนาม PAdES/XAdES/JAdES, qualified timestamps, การผสานรวม SaaS และ API และหลักฐานระยะยาว การกำกับดูแลข้อมูลผลิตภัณฑ์ยังคงเป็นความรับผิดชอบของลูกค้า ขณะที่ eSign.AI มอบชั้นความไว้วางใจและการดำเนินการที่จำเป็นเพื่อเคลื่อนข้อมูลที่ถูกต้องผ่านเส้นทางการลงนามที่ถูกต้อง และเก็บรักษาหลักฐานสำหรับการตรวจสอบยืนยันในภายหลัง

อ่านต่อในชุด DPP

อ่าน Part 1: เหตุใดผู้ส่งออกจีนจึงต้องเตรียมพร้อมสำหรับ EU Digital Product Passport สำหรับบริบทด้านกฎระเบียบและภาคส่วน

Part 2: เจาะลึก DPP: บริษัทใช้งาน วางแผนการใช้งาน และผสานรวมอย่างไร (บทความนี้)

อ่านต่อที่ Part 3: จาก eCoC ถึง QSeal: eSign.AI สนับสนุนความพร้อมด้าน DPP อย่างไร เพื่อดูรายละเอียดเพิ่มเติมเกี่ยวกับเวิร์กโฟลว์ที่เชื่อถือได้ การผสานรวม QSeal และบทบาทของ eSign.AI