Moet ik bedrijfsgevoelige gegevens over mijn matrassen openbaar maken?

Niet alles in het paspoort wordt openbaar

Nee, een digitaal productpaspoort voor matrassen betekent niet dat alle bedrijfsgevoelige informatie zomaar voor iedereen zichtbaar wordt. De ESPR maakt in artikel 10 een onderscheid tussen verschillende niveaus van toegang tot de gegevens in het paspoort: sommige informatie is voor iedereen te raadplegen, andere informatie is alleen beschikbaar voor specifieke partijen, zoals marktdeelnemers, erkende reparateurs of toezichthoudende autoriteiten. Welke gegevens in welke categorie vallen, wordt per productgroep vastgelegd in een gedelegeerde handeling. Voor matrassen is die handeling er nog niet, dus ligt nog niet vast welke gegevens straks publiek zichtbaar worden en welke afgeschermd blijven voor een beperkte kring.

Voor wie dit onderscheid geldt, en voor wat niet

Dit onderscheid speelt bij gegevens die uiteindelijk in het productpaspoort terechtkomen — denk aan materiaalsamenstelling, herkomst van onderdelen, reparatie- en recyclinginformatie. Artikel 10 regelt dat een deel daarvan alleen toegankelijk hoeft te zijn voor bepaalde actoren en niet voor het brede publiek, juist met het oog op zaken als vertrouwelijke bedrijfsinformatie en intellectuele eigendom.

Dit gaat niet over informatie die helemaal buiten het paspoort blijft. Een fabrikant deelt sowieso alleen de gegevens die de toepasselijke regelgeving voor het paspoort vraagt; alles daarbuiten — receptuur, kostprijzen, leverancierscontracten, productieprocessen — valt niet onder een paspoortverplichting en wordt dus ook niet via die weg openbaar. Het paspoort is een verzameling van vooraf bepaalde gegevenscategorieën, geen algemene inzage in de bedrijfsvoering.

Ook artikel 38 gaat over iets anders dan publieke openbaarmaking: dat artikel beschrijft verplichtingen van actoren in de toeleveringsketen om bepaalde informatie aan elkaar door te geven, bijvoorbeeld van toeleverancier naar fabrikant of van fabrikant naar volgende schakel. Dat is dus gegevensuitwisseling binnen de keten, niet hetzelfde als het openbaar maken van gegevens aan consumenten of de markt in het algemeen.

De datum staat nog niet vast

Wanneer een matrassenpaspoort verplicht wordt, en dus ook wanneer de vraag over toegang tot bedrijfsgevoelige gegevens concreet wordt, staat nog niet vast. Volgens het werkplan van de Europese Commissie voor 2025-2030 wordt een gedelegeerde handeling voor deze productgroep verwacht in 2028, maar die handeling is nog niet gepubliceerd. Zolang die er niet is, geldt er voor matrassen geen paspoortverplichting en dus ook geen concrete indeling van gegevens in openbare en afgeschermde categorieën. Zodra de gedelegeerde handeling gepubliceerd wordt, staat de datum en de inhoud daarvan hier vermeld.

Wat dit voor een matrassenfabrikant betekent

In de praktijk is het verstandig om dit onderwerp in deze volgorde te bekijken. Eerst: inventariseren welke gegevens over een matras sowieso als bedrijfsgevoelig worden beschouwd binnen de eigen organisatie — denk aan specifieke materiaalmixen, leveranciersrelaties of technische specificaties die een concurrentievoordeel opleveren. Vervolgens: afwachten welke gegevenscategorieën de gedelegeerde handeling voor matrassen straks aanwijst als verplicht voor het paspoort, en welk toegangsniveau daarbij hoort — openbaar, beperkt tot marktdeelnemers, of alleen voor toezichthouders. Pas op dat moment wordt duidelijk of en in hoeverre gevoelige informatie in een van die categorieën terechtkomt.

Daarnaast is het zinvol om onderscheid te blijven maken tussen de verplichting die uit het paspoort zelf voortvloeit (artikel 10) en de verplichting om gegevens door te geven aan andere schakels in de toeleveringsketen (artikel 38). Dat laatste kan spelen ongeacht hoe de publieke kant van het paspoort wordt ingericht, en verdient dus aandacht in contracten en afspraken met toeleveranciers en afnemers, los van de vraag wat straks publiek zichtbaar wordt.

Tot slot: omdat de gedelegeerde handeling voor matrassen nog niet is gepubliceerd, is er nu nog geen reden om vooruit te lopen op een specifieke indeling van gegevens. Het is wel verstandig om intern al in kaart te brengen welke gegevens gevoelig liggen, zodat er bij publicatie van de handeling snel kan worden beoordeeld wat dat concreet betekent.

De basis: artikel 10 en artikel 38 van de ESPR

Deze uitleg is gebaseerd op artikel 10 van Verordening (EU) 2024/1781 (ESPR), dat de vereisten voor het digitale productpaspoort beschrijft, waaronder de verschillende toegangsniveaus tot gegevens in het paspoort. Artikel 38 van dezelfde verordening beschrijft de vereisten voor actoren in de toeleveringsketen, waaronder de doorgifte van informatie tussen schakels in die keten. Voor matrassen moet nog een productspecifieke gedelegeerde handeling worden vastgesteld die bepaalt welke gegevens precies in het paspoort komen en onder welk toegangsniveau.

Wat nu te doen

Voor nu is er geen paspoortverplichting voor matrassen om aan te voldoen, dus is er ook geen actie vereist om gegevens te classificeren of vrij te geven. Wie zich hierop wil voorbereiden, kan intern alvast inventariseren welke productgegevens als gevoelig worden beschouwd en welke afspraken met toeleveranciers en afnemers over het delen van informatie al bestaan. Zodra de gedelegeerde handeling voor matrassen gepubliceerd is, wordt deze pagina bijgewerkt met de concrete indeling van gegevens en de bijbehorende datum.

Waar dit op gebaseerd is

De verordening zelf staat op EUR-Lex. Wij verwijzen per bewering; u hoeft ons niet te geloven.

Wat u concreet moet doen

Wat er van u wordt verwacht

Een productpaspoort vraagt om openheid, maar niet om alles openbaar te maken wat een fabrikant liever binnenskamers houdt. De ESPR maakt daarin een verschil tussen wat er in het paspoort thuishoort en wie dat mag zien. Voor bedrijfsgevoelige gegevens zijn er in de praktijk drie lagen om te onderscheiden.

Bepalen welke gegevens verplicht in het paspoort komen

Artikel 10 van de ESPR (Verordening (EU) 2024/1781) somt op welke categorieën informatie een digitaal productpaspoort moet bevatten. Voor matrassen gaat dat om zaken als materiaalsamenstelling, herkomst, en informatie over reparatie en recyclebaarheid. Deze lijst is niet onderhandelbaar: wat erin moet, moet erin, ongeacht of een fabrikant dat liever niet deelt. Voor een bedrijf van 10 tot 100 medewerkers betekent dit vooral een interne exercitie: uitzoeken wélke gegevens precies onder de verplichte categorieën vallen, en die scheiden van gegevens die er niet onder vallen. Een overzicht van wat concreet verplicht is, staat op de pagina over welke gegevens er in het productpaspoort van matrassen komen.

Onderscheid maken tussen paspoortgegevens en achterliggende bedrijfsinformatie

Niet alles wat een fabrikant weet over zijn matras, moet in het paspoort. Een receptuur, een leveranciersnaam, een inkoopprijs of een productieproces zijn voorbeelden van informatie die meestal niet onder de verplichte categorieën van artikel 10 valt. Het paspoort vraagt om het resultaat — welk materiaal, welke dichtheid, welke brandvertrager — niet om de weg waarlangs een fabrikant daar kwam. Wie dit onderscheid niet vooraf maakt, loopt het risico om standaard meer te delen dan nodig, simpelweg omdat het makkelijker is om een heel dossier aan te leveren dan om selectief te werken.

Rekening houden met wie toegang krijgt tot welke gegevens

De ESPR voorziet niet in één publiek toegankelijk paspoort waar iedereen alles ziet. Er bestaat een verschil tussen gegevens die voor iedereen zichtbaar zijn — bijvoorbeeld voor een consument die een QR-code scant — en gegevens die alleen toegankelijk zijn voor specifieke partijen, zoals toezichthouders of recyclers. Welke rol welke toegang krijgt, staat beschreven op de pagina over wie welke gegevens uit het productpaspoort mag inzien. Voor een fabrikant is dit relevant bij het aanleveren van gegevens aan een platform: niet elk gegeven dat wordt aangeleverd, wordt ook aan iedereen getoond.

Verplichtingen als schakel in de toeleveringsketen meewegen

Artikel 38 van de ESPR (Verordening (EU) 2024/1781) regelt wat actoren in de toeleveringsketen aan elkaar moeten doorgeven om aan de paspoortverplichtingen te kunnen voldoen. Dit raakt bedrijfsgevoeligheid direct: een toeleverancier van schuim of een producent van brandvertragers moet mogelijk gegevens delen met de matrassenfabrikant, die deze op zijn beurt weer moet kunnen doorgeven voor het paspoort. Voor een bedrijf van 10 tot 100 medewerkers speelt dit vaak op het niveau van inkoopcontracten en leveranciersafspraken: welke informatie moet een toeleverancier verstrekken, en onder welke voorwaarden blijft die informatie beperkt tot wat nodig is voor het paspoort.

Waar het misgaat in de praktijk

Een fabrikant levert de volledige receptuur van het matrasschuim aan een platform, uit gewoonte of uit voorzichtigheid, terwijl alleen schuimsoort en dichtheid verplicht zijn. Dat teveel aan informatie is niet per se schadelijk, maar wel onnodig, en maakt het lastiger om achteraf te bepalen wat wél en wat niet openbaar hoort te zijn.

Een importeur twijfelt of de naam van een specifieke leverancier van brandvertragers in het paspoort moet, en neemt die naam op "voor de zekerheid". Bij het melden van welke brandvertragers in het productpaspoort moeten worden vermeld gaat het om het type stof, niet om de handelsrelatie waarmee die stof is ingekocht.

Een fabrikant stelt een leveranciersovereenkomst op zonder daarin te regelen wat er met gedeelde gegevens gebeurt zodra die gegevens in een productpaspoort terechtkomen. Later ontstaat onduidelheid over wie toestemming heeft gegeven voor welk detailniveau, en of een toeleverancier akkoord was met openbaarmaking van bepaalde specificaties.

Een bedrijf gaat ervan uit dat "bedrijfsgevoelig" automatisch betekent "hoeft niet in het paspoort", zonder dat te toetsen aan artikel 10. Sommige informatie die als gevoelig wordt ervaren — zoals het aandeel gerecycleerd materiaal — is desondanks verplicht; zie de toelichting over hoe het aandeel gerecycleerd materiaal in een matras wordt aangetoond.

Een fabrikant deelt gegevens met een platform zonder onderscheid te maken tussen wat publiek zichtbaar moet zijn en wat alleen voor een toezichthouder bestemd is, waardoor concurrentiegevoelige details voor iedereen inzichtelijk worden die dat niet hoeven te zijn.

Wat u kunt vastleggen

Een interne lijst van welke gegevens onder de verplichte categorieën van artikel 10 vallen, gescheiden van gegevens die daarbuiten vallen.
Afspraken met toeleveranciers over welke informatie zij moeten aanleveren op grond van artikel 38, en wat daarvan bestemd is voor het paspoort en wat niet.
Een overzicht van de rollen die toegang krijgen tot bepaalde gegevens, af te stemmen op wat beschreven staat over wie welke gegevens mag zien.
Een vastgelegde werkwijze voor het vaststellen van schuimsoort en dichtheid, zodat duidelijk is welk gegeven wél gedeeld wordt en welk onderliggend receptuurdetail niet; zie de aanpak voor het vastleggen van schuimsoort en dichtheid in het productpaspoort.
Een interne toelichting bij het aanleveren van gegevens aan het platform, zodat een fabrikant achteraf kan aantonen welke keuze is gemaakt over wat wel en niet is opgenomen.
Een aantekening over de bron en onderbouwing van gegevens over de verwachte levensduur, voor zover die gegevens zijn afgeleid uit bedrijfsgevoelige testresultaten; zie de toelichting over het onderbouwen van de verwachte levensduur van een matras.

Dit is geen juridisch advies. Deze pagina geeft algemene informatie over de regelgeving waar dit platform over gaat. Wij kennen uw situatie niet. Bij twijfel over uw eigen geval raadpleegt u een jurist of de bevoegde toezichthouder.

Geschreven met AI op basis van de bronnen hierboven, gecontroleerd door een mens op 2026-08-22. Klopt er iets niet? Laat het weten — correcties krijgen voorrang.