Authenticiteit van QR-codes voor digitale productpaspoorten in 2026

*** > SAMENVATTING: > > - Een QR-code op een product is alleen authentiek wanneer deze verwijst naar een volledig, digitaal ondertekend digitaal productpaspoort dat is geregistreerd bij het EU-Centraal Register. > - Naleving van EU-normen, cryptografische handtekeningen en doorlopend lifecyclemanagement zijn essentieel om de authenticiteit van QR-codes te verifiëren en niet alleen te scannen. ***

Een QR-code op een productlabel is authentiek wanneer deze betrouwbaar verwijst naar een digitaal productpaspoort dat voldoet aan de wettelijke en technische EU-vereisten, en niet simpelweg omdat de code kan worden gescand. Dat onderscheid is belangrijker dan de meeste merken beseffen. Een code kan perfect scannen en toch niet slagen voor authenticiteitscontroles als de achterliggende gegevens geen gekwalificeerde elektronische handtekening bevatten, verplichte velden ontbreken of de code niet is geregistreerd bij het EU-Centraal Register. Binnen het EU-kader heeft authenticiteit vijf lagen: - Fysieke naleving: De QR-code zelf moet voldoen aan technische specificaties voor afmetingen, foutcorrectie, duurzaamheid en symboliek volgens EN 18220:2026, de geharmoniseerde norm voor gegevensdragers, die is vastgesteld bij [Uitvoeringsbesluit (EU) 2026/1736 van de Commissie]. - Gegevensintegriteit: Het paspoortrecord waarnaar de code verwijst, moet volledig, cryptografisch ondertekend en verifieerbaar zijn, hetzij via het EU-Centraal Register, hetzij via technologie voor Verifiable Credentials. - Erkenning door het register: Alleen paspoorten die bij het EU-Centraal Register zijn geregistreerd, als volledig zijn bevestigd en een geldige gekwalificeerde elektronische handtekening bevatten, krijgen een unieke permanente identificatiecode die door markttoezichtsystemen kan worden gecontroleerd. - Interoperabiliteit: De QR-code moet een GS1 Digital Link-URL coderen, zodat EU-infrastructuur, douanesystemen en verificatietools van derden de code consistent kunnen oplossen. - Doorlopende geldigheid: Authenticiteit is geen eenmalige status. Deze moet gedurende de volledige levenscyclus van het product behouden blijven, inclusief updates, eigendomsoverdrachten en doorverkoop. De aanwezigheid van een QR-code op een product garandeert niet automatisch naleving van regelgeving. Authenticiteit berust op de integriteit van de gekoppelde gegevens en verificatie door het register, niet alleen op de fysieke markering.

Uitvoeringsbesluit (EU) 2026/1736 van de Commissie, gepubliceerd op 14 juli 2026, heeft formeel zes geharmoniseerde normen voor digitale productpaspoorten vastgesteld in het kader van Verordening (EU) 2024/1781. EN 18220:2026 gaat specifiek over gegevensdragers en stelt de technische basis vast voor QR-codes die in DPP's worden gebruikt. Merken waarvan de codes aan deze normen voldoen, krijgen een wettelijk vermoeden van conformiteit met de artikelen 10 en 11 van de ESPR. Dit is de meest directe manier om conformiteit aan te tonen zonder aanvullende tests. De volledige reeks vastgestelde normen omvat: - EN 18216:2026 — Protocollen voor gegevensuitwisseling - EN 18219:2026 — Unieke identificatiecodes - EN 18220:2026 — Gegevensdragers (QR-codes en gelijkwaardige dragers) - EN 18221:2026 — Gegevensopslag, archivering en persistentie - EN 18222:2026 — API's voor lifecyclemanagement van paspoorten - EN 18223:2026 — Systeeminteroperabiliteit Artikel 11 van de ESPR schrijft bovendien voor dat gegevensdragers gedurende de verwachte levensduur van het product scanbaar blijven. Dit heeft rechtstreeks gevolgen voor afdrukkwaliteit, materiaalkeuze en het niveau van foutcorrectie. > Controlepunt voor regelgeving: Het EU-Centraal Register voert automatische verificatie uit van elk ingediend paspoort en controleert de semantische volledigheid, het juiste granulariteitsniveau (model, batch of item) en de aanwezigheid van een geldige gekwalificeerde elektronische handtekening volgens Verordening (EU) nr. 910/2014. Een geslaagde verificatie leidt tot het genereren van een unieke permanente registratiecode. Zonder deze code heeft een paspoort geen juridische status binnen de EU-regels voor markttoezicht. Merken die actief zijn in de mode- en consumentengoederensector moeten deze verificatiestap behandelen als een harde toegangspoort en niet als een formaliteit. Marktdeelnemers zijn wettelijk verantwoordelijk voor de juistheid van de gegevens die zij registreren, en de tijdstempel van het register wordt onderdeel van het bewijsdocument van registratie.

De technische kant van QR-code-authenticatie gaat veel verder dan de vraag of een code kan worden gescand. Verschillende onderling verbonden specificaties bepalen of de gekoppelde gegevens kunnen worden vertrouwd. Fysieke vereisten voor QR-codes volgens artikel 11 van de ESPR en de best practices van GS1 omvatten: - Symboliek: QR Code (ISO/IEC 18004) of Data Matrix (ISO/IEC 16022) - Een aanbevolen minimale afmeting voor betrouwbaar scannen op productoppervlakken - Foutcorrectie op een voldoende niveau om de leesbaarheid gedurende de levenscyclus van het product te behouden - Inhoud: een GS1 Digital Link-URL met de GTIN van het product en, waar vereist, het serienummer - Duurzaamheid: de code moet onder de verwachte omgevingsomstandigheden gedurende de volledige levensduur van het product scanbaar blijven Cryptografische verificatie vindt plaats op de gegevenslaag. Technologie voor [Verifiable Credentials] maakt gedecentraliseerde, cryptografisch beveiligde claims over productauthenticiteit mogelijk, die onafhankelijk kunnen worden geverifieerd over grenzen en door toeleveringsketens heen zonder afhankelijk te zijn van één centrale database. In 2025 publiceerde het W3C Verifiable Credentials 2.0 als volledige webstandaard, waarmee het credential-formaat werd vastgesteld dat manipulatiebestendige, machineverifieerbare claims mogelijk maakt over producten die door een toeleveringsketen gaan. Met JSON-LD en W3C-normen kunnen paspoortgegevens zo worden gestructureerd dat een douane-inspecteur in Rotterdam een credential kan verifiëren die door een fabrikant in Vietnam is uitgegeven, zonder dat een van beide partijen een platform hoeft te delen. De verificatie is wiskundig en niet gebaseerd op vertrouwen. Veelvoorkomende kwetsbaarheden en maatregelen: - Klonen: Een vervalste QR-code kan de URL kopiëren, maar kan de cryptografische handtekening op het onderliggende paspoortrecord niet reproduceren. Gekwalificeerde elektronische handtekeningen maken gekloonde codes detecteerbaar. - Manipulatie: Elke wijziging in de paspoortgegevens maakt de handtekening ongeldig, waardoor het record als gewijzigd wordt gemarkeerd. - Verouderde gegevens: Merken moeten het actieve DPP actueel houden. Een gecachte of verouderde versie kan verificatiefouten veroorzaken, zelfs wanneer de code zelf geldig is. Praktische tip: Test elke QR-code tegen ten minste drie verschillende smartphonemodellen voordat je deze afdrukt en voer een GS1-resolvertest uit om te bevestigen dat de Digital Link-URL correct doorverwijst voor zowel browserverzoeken als machineleesbare verzoeken. Verificatie door de gebruiker is eenvoudig: de camera van elke standaardsmartphone leidt de GS1 Digital Link-URL door naar een voor mensen leesbare paspoortpagina. Markttoezichtautoriteiten sturen machineleesbare HTTP-verzoeken naar dezelfde URL en ontvangen gestructureerde JSON-LD-gegevens. Daarbij wordt HTTP-contentonderhandeling gebruikt om beide doelgroepen vanuit één eindpunt te bedienen.

Authenticiteit is niet iets wat je één keer bij de lancering instelt. Voor merken in de mode- en consumentengoederensector vereist dit governance die in elke fase van de productlevenscyclus is ingebouwd. Operationele prioriteiten: - Integreer workflows voor gekwalificeerde elektronische handtekeningen in het aanmaken van paspoorten en in elke daaropvolgende update, zodat elke versie een verifieerbare tijdstempel bevat. - Houd een volledig audittrail van paspoortversies bij, inclusief wie wijzigingen heeft goedgekeurd en wanneer, om te voldoen aan verzoeken van markttoezicht. - Registreer elk paspoort bij het EU-Centraal Register voordat het product de EU-markt bereikt en bewaar het bewijsdocument van registratie als juridisch bewijs. - Kies technologiepartners waarvan de platforms GS1 Digital Link-conforme URL's genereren en JSON-LD-gegevens kunnen aanbieden, omdat niet-conforme codes niet door de EU-infrastructuur voor markttoezicht kunnen worden herkend. - Bouw protocollen voor heruitgifte van QR-codes in voor producten die worden blootgesteld aan hitte, vocht, slijtage of uv-straling, met name voor textiel waarvoor geweven labels of zeer duurzame bedrukking nodig kunnen zijn. Praktische tip: Plan periodieke scansbaarheidsaudits voor producten die al op de markt zijn, vooral voor seizoensgebonden modelijnen die in magazijnen worden opgeslagen. Een code die bij de productie perfect kon worden gescand, kan verslechteren voordat het product de consument bereikt. Platforms zoals DPP Grid combineren AI-ondersteunde gegevensextractie, handmatige validatieworkflows en publicatie die is voorbereid op nalevingsdoeleinden om merken te helpen bij het onderhouden van infrastructuur voor productauthenticiteit en doorverkoop gedurende de volledige levenscyclus van het product. Het platform ondersteunt paspoortupdates, bewijsmateriaalbeheer en functies voor consumenten, waaronder eigendomsoverdracht en doorverkoop, allemaal gekoppeld aan dezelfde geauthenticeerde QR-code. Merken kunnen geverifieerde paspoortgegevens ook gebruiken ter ondersteuning van terugnameprogramma's en verplichtingen voor de circulaire economie in het kader van de ESPR en GPSR. Geautomatiseerde registerverificatie vermindert het risico voor merken doordat gegevenshiaten worden opgespoord voordat een paspoort live gaat. Dat is een betekenisvol operationeel voordeel: een afwijzing door het register is veel minder kostbaar dan een bevinding van het markttoezicht nadat het product al in distributie is gebracht.

De authenticiteit van QR-codes volgens de EU-regelgeving van 2026 wordt bepaald door juridische, technische en cryptografische criteria die samen werken. Een scanbare code is het beginpunt, niet het eindpunt. - Authenticiteit wordt bepaald door naleving van EN 18220:2026, gekwalificeerde elektronische handtekeningen en registratie bij het EU-Centraal Register, niet door het visuele ontwerp van de QR-code. - Verifiable Credentials en JSON-LD-normen maken gedecentraliseerde verificatie mogelijk die douane, consumenten en markttoezichtautoriteiten onafhankelijk kunnen gebruiken. - Merken dragen de wettelijke verantwoordelijkheid voor de juistheid van gegevens en moeten de authenticiteit bij elke paspoortupdate en in elke fase van de productlevenscyclus behouden. - Niet-conforme of gekloonde QR-codes stellen merken bloot aan tekortkomingen bij markttoezicht, het terughalen van producten en verlies van consumentenvertrouwen op de markt voor doorverkoop. - Het platform van DPP Grid helpt merken om digitale productpaspoorten met onderbouwd bewijsmateriaal en beveiligde QR-codes op te bouwen. Het ondersteunt registratiegereedheid en doorlopend lifecyclemanagement zonder automatische naleving te claimen.

Mode- en consumentengoederenmerken die zich voorbereiden op de EU-vereisten voor digitale productpaspoorten staan voor een echte operationele uitdaging: de technische lat voor authentieke paspoorten die klaar zijn voor registratie is hoog en de betrokken gegevens zijn versnipperd over leveranciers, fabrieken en interne teams. DPP Grid is precies voor die situatie ontwikkeld. Op het platform kunnen merken producten importeren vanuit Shopify, CSV of API, gegevens van leveranciers verzamelen, ondersteunend bewijsmateriaal uploaden en permanente paspoortpagina's met QR-codes publiceren die voldoen aan technische EU-vereisten. AI-ondersteunde extractie versnelt het verzamelen van gegevens; menselijke beoordeling houdt het record nauwkeurig. Merken krijgen een volledig audittrail, versiegeschiedenis en de infrastructuur om tijdens doorverkoop, terugname en eigendomsoverdracht verbonden te blijven met producten. Begin vandaag met het opbouwen van je productpaspoorten die klaar zijn voor de EU en ontdek hoe DPP Grid het bewijsmateriaal organiseert dat je nalevingsteam nodig heeft.

Een DPP-QR-code is authentiek wanneer deze een GS1 Digital Link-URL codeert, voldoet aan de technische specificaties van EN 18220:2026 en verwijst naar een paspoortrecord met een geldige gekwalificeerde elektronische handtekening dat bij het EU-Centraal Register is geregistreerd.

Nee. Een code kan worden gescand en toch niet voldoen aan de authenticiteitsvereisten als het gekoppelde paspoort verplichte gegevensvelden, een gekwalificeerde elektronische handtekening of registratie bij het EU-Centraal Register mist.

EN 18220:2026 is de geharmoniseerde norm voor DPP-gegevensdragers, vastgesteld bij Uitvoeringsbesluit (EU) 2026/1736 van de Commissie. Conformiteit met deze norm biedt een wettelijk vermoeden van naleving van de artikelen 10 en 11 van de ESPR.

Verifiable Credentials verankeren cryptografische handtekeningen rechtstreeks in het paspoortrecord. Daardoor wordt elke manipulatie detecteerbaar en kunnen douane of consumenten de authenticiteit verifiëren zonder toegang tot de eigen database van een merk.

Test codes met meerdere smartphonemodellen, voer een GS1-resolvertest uit om te bevestigen dat de Digital Link-URL correct werkt, valideer de JSON-LD-uitvoer met een schemavalidator en bevestig vóór het op de markt brengen dat het paspoort bij het EU-Centraal Register is geregistreerd.

Authenticiteit van QR-codes volgens de EU-regelgeving van 2026 vereist fysieke naleving van EN 18220:2026, cryptografische gegevensintegriteit via gekwalificeerde elektronische handtekeningen en bevestigde registratie bij het EU-Centraal Register. | Punt | Details | | --- | --- | | Authenticiteit gaat verder dan de QR-code | Een scanbare QR-code is niet voldoende; het gekoppelde paspoort moet een gekwalificeerde elektronische handtekening bevatten en de verificatie door het EU-Centraal Register doorstaan. | | EN 18220:2026 bepaalt de norm | Deze geharmoniseerde norm, vastgesteld op 14 juli 2026, definieert de technische vereisten voor DPP-gegevensdragers en verleent een vermoeden van conformiteit met de ESPR. | | Verifiable Credentials maken grensoverschrijdend vertrouwen mogelijk | Met cryptografische credentials kunnen douane, consumenten en autoriteiten paspoortgegevens onafhankelijk verifiëren, zonder toegang tot merksystemen. | | Lifecyclemanagement is verplicht | Merken moeten de scanbaarheid behouden, paspoortrecords bijwerken met geldige handtekeningen en codes die tijdens de levensduur van het product verslechteren opnieuw uitgeven. | | DPP Grid ondersteunt paspoorten die klaar zijn voor registratie | DPP Grid helpt merken bewijsmateriaal te organiseren, leveranciersgegevens te beheren en paspoorten met QR-codes te publiceren die zijn ontwikkeld voor indiening bij het EU-Centraal Register. |

• QR-codes voor productpaspoorten - DPP Grid - Elk product. Eén betrouwbaar paspoort. - DPP Grid - Elk product. Eén betrouwbaar paspoort. - Infrastructuur voor productauthenticiteit en doorverkoop