El 29 de abril de 2026, la Comisión Europea publicó el proyecto de Reglamento de aplicación relativo al Registro del Pasaporte Digital del Producto (Ares(2026)4424976). Este documento desarrolla el artículo 13, apartado 5, del ESPR (Reglamento (UE) 2024/1781) y establece cómo funcionará, desde el punto de vista técnico y organizativo, el registro gestionado por la Comisión.
El texto figura como proyecto y aún no ha sido adoptado. No obstante, los mecanismos fundamentales ya se perciben con claridad ## ,y tienen consecuencias inmediatas para todo fabricante que deba expedir un DPP a partir de 2027.
Qué es el registro - y qué no es -
Una aclaración previa: el registro de la UE no almacena los datos del DPP en sí. Se trata de un servicio de directorio centralizado que, para cada registro, almacena un identificador único, el código de producto, la identidad del agente económico, un hash de la versión del DPP y una referencia a la copia de seguridad que se encuentra en el proveedor de servicios del DPP.
El considerando 3 lo denomina un «modelo descentralizado»: los datos del producto siguen estando en poder del fabricante o de su plataforma DPP. El registro es la lista de direcciones canónica, no un silo de datos.
Desde el punto de vista funcional, el registro consta de:
- una interfaz web y una API para los registros
- una plataforma de verificación para los agentes económicos
- una lista de proveedores de servicios DPP autorizados
- un repositorio semántico (multilingüe, estructurado según DCAT-AP) como referencia para atributos de datos, estructuras de modelos y funciones
- un sistema de registro con plazos de conservación escalonados
Verificación previa al registro
No se creará ningún DPP en el registro hasta que el agente económico solicitante figure como «operador económico verificado» (art. 4). La verificación se lleva a cabo directamente en el registro y utiliza los medios previstos en el Reglamento eIDAS Reglamento (UE) n.º 910/2014:
- Persona jurídica en la UE: sello electrónico cualificado o certificado de atributos electrónicos
- Persona física como empresario individual en la UE: firma electrónica cualificada, eID de nivel «alto» o certificado de atributos
- Operadores fuera de la UE: firma o sello cualificado o certificado de atributos
La verificación tiene una validez máxima de tres años. Quien no renueve su verificación pasará a figurar como «no verificado» y perderá el derecho a registrar nuevos DPP o a modificar los ya existentes (art. 4, apartado 4).
Esta verificación constituye un requisito legal. Es una responsabilidad que recae entre el fabricante y la Comisión, y no puede delegarse. Ningún proveedor de servicios, ni siquiera Transpareo, puede realizarla en su nombre.
Granularidad: modelo, lote o artículo
El artículo 8 exige que los DPP se registren en el nivel de granularidad que prevea el acto jurídico sectorial correspondiente: modelo, lote o artículo. Si se crea un DPP de artículo y existen identificadores de lote o de modelo, estos deben incluirse. En el caso de los DPP de lote, se aplica lo mismo a los identificadores de modelo.
Para los fabricantes, esto significa que los datos maestros internos deben presentar una jerarquía clara entre modelo, lote y producto individual. Sin esta vinculación, la validación automática del registro fracasará.
Control de versiones, hash y conservación
Cada versión del DPP se vincula al identificador de registro original. Ante cada modificación, el registro exige un hash de la versión actual del DPP - verificable criptográficamente, no generable manualmente - .
El certificado de registro (art. 9) es un documento electrónico que la Comisión sella de forma cualificada y al que añade un sello de tiempo. Contenido mínimo: ID de registro, código de mercancía, identidad del agente, fecha y hash de la última versión. Válido durante 90 días, regenerable tantas veces como se desee.
Conservación estándar: 10 años a partir del registro, salvo que el Derecho de la Unión o la normativa sectorial establezcan otro plazo (art. 10, apartado 3, del Reglamento de aplicación del Registro DPP). Ni siquiera la insolvencia o la liquidación del fabricante exime de la obligación de disponibilidad (art. 11, letra e), del ESPR).
Sistema de registro
El registro mantiene un registro en tres niveles (art. 14):
- Accesos y autenticaciones: 6 meses
- Modificaciones de datos: duración del registro
- Acciones administrativas e intercambio de datos: 5 años
Las autoridades nacionales tienen acceso en caso de incidentes, auditorías o controles aleatorios.
Datos personales: lo que almacena la Comisión
El artículo 18 enumera los datos que se conservan exclusivamente en el registro: nombre y apellidos de cada usuario, credenciales de inicio de sesión, tokens de autenticación, dirección postal y correo electrónico. En el caso de las personas físicas, además, el número de pasaporte o de documento de identidad, la identificación electrónica (eID) y el número de identificación fiscal. Estos datos no son competencia del proveedor de servicios de DPP. La Comisión es la responsable del tratamiento de estos datos de cuenta, mientras que el agente económico sigue siendo el responsable del tratamiento de sus datos de DPP.
Cómo cumple Transpareo con los requisitos
La mayoría de los requisitos se refieren a decisiones de arquitectura que Transpareo ya ha adoptado en esta forma. En concreto:
Modelo descentralizado. Transpareo es una plataforma multitenant con una base de datos aislada para cada cliente. Los datos de DPP se almacenan en la base de datos del operador económico, no en un repositorio central: precisamente la arquitectura que exige el considerando 3.
Función de encargado del tratamiento claramente delimitada. Los artículos 19, apartado 5, y 20, apartado 3, establecen que el agente económico sigue siendo el responsable del tratamiento de sus datos de pasaporte, incluso cuando un tercero los trate. Transpareo ya opera en la actualidad como encargado del tratamiento mediante un acuerdo de tratamiento de datos (AVV); las funciones están claramente definidas.
URL de copia de seguridad estable por cada DPP. Se puede acceder a cada DPP de Transpareo a través de una URL permanente que no varía, incluso tras los cambios de versión. Esto es precisamente lo que exige el artículo 8, apartado 6, letra d), como «enlace a la copia de seguridad alojada por un DPP-SP».
Granularidad. El modelo de datos de Transpareo distingue entre modelo de producto, lote y producto individual, y permite establecer vínculos a lo largo de la jerarquía - requisito imprescindible para cumplir con el artículo 8, apartados 3 y 4.
Mapeo semántico multilingüe. El repositorio de la Comisión es multilingüe según DCAT-AP. Transpareo gestiona cada punto de datos en 40 idiomas, incluidas las 24 lenguas oficiales de la UE, y la traducción está incluida en la tarifa.
Hash de versión. Ya se han implementado la canonización determinista y un hash SHA-256 por cada versión del DPP. Lo único que queda pendiente es el formato exacto de fijación del hash del registro de la UE; tan pronto como la Comisión lo publique, lo incorporaremos también.
Inclusión en la lista de proveedores de servicios DPP. Transpareo solicitará su inclusión en la lista oficial de proveedores de servicios DPP (art. 2, n.º 32 del ESPR) tan pronto como se publique el procedimiento de admisión.
La inscripción es responsabilidad suya. El registro solo acepta el registro del agente económico que comercializa el producto, por lo que no se lo asumiremos nosotros. Lo que hacemos es tener a su disposición los datos que requiere el registro - identificador del producto, identificador del agente, dirección permanente y hash de la versión - para que rellenar el formulario sea cuestión de minutos en cuanto la interfaz esté operativa.
Calendario
La entrada en vigor se regula en el artículo 23: 20 días tras su publicación en el Diario Oficial. La fecha concreta dependerá de cuándo apruebe la Comisión la versión definitiva. El mandato principal, recogido en el artículo 13, apartado 5, del ESPR, tiene fecha del 19 de julio de 2026; para entonces, el registro deberá estar operativo.
No se prevé que el registro entre en pleno funcionamiento hasta el 18 de febrero de 2027: ese día entrará en vigor el artículo 77 del Reglamento de la UE sobre baterías 2023/1542, y el DPP pasará a ser obligatorio para las baterías industriales, de vehículos eléctricos y de sistemas de gestión de energía (LMT) de más de 2 kWh. Hemos recogido los detalles y las cuestiones pendientes relativas al acto de ejecución en el calendario del ESPR para 2027. Quedan unos nueve meses hasta entonces. Quien esté planificando contratos con proveedores, la migración de datos maestros y las aprobaciones internas sabe que el plazo es ajustado, no holgado.
Lo que queda pendiente
El propio Reglamento describe el marco organizativo. Lo que falta es la especificación técnica de la API: el formato exacto de la interfaz, los esquemas y las reglas de validación. Se prevé que esta se publique como una directriz separada de la Comisión, con arreglo al artículo 15, apartado 1, probablemente a lo largo de 2026.
Hasta entonces, sin embargo, el rumbo a seguir es claro: arquitectura descentralizada, agentes verificados, firmas cualificadas, identificadores de registro únicos, encadenamiento de versiones e interoperabilidad semántica. Todos ellos son conceptos que han llegado para quedarse.
La iniciativa de consulta oficial de la Comisión está disponible en Have Your Say.
Preguntas sobre esta publicación
¿Sigue siendo este borrador el texto vigente?
No. La Comisión adoptó el Reglamento el 16 de julio de 2026 como Reglamento de ejecución (UE) 2026/1778, y el registro está en funcionamiento desde el 20 de julio de 2026, con un entorno de pruebas y documentación técnica para los agentes económicos. Los mecanismos aquí descritos - modelo descentralizado, agentes verificados, identificadores de registro, hash de versiones y un plazo de conservación de diez años - también figuran en el texto aprobado. La interfaz técnica sigue sin estar definida definitivamente. Los cambios que se han producido hasta el momento de la aprobación se recogen en nuestro análisis del Reglamento sobre el registro.
¿Almacena el registro los datos de nuestros productos?
No. Se trata de un registro: el identificador de registro, el código del producto, la identidad del agente económico, un hash de la versión actual y una referencia a la copia de seguridad que obra en poder del proveedor de servicios. Los datos del producto permanecen en su poder o en el de su plataforma; eso es precisamente lo que significa el modelo descentralizado al que se refieren los considerandos. En la práctica, esto significa que una inscripción en el registro no exime a usted de su propia obligación de mantener el pasaporte accesible.
¿En qué consiste la verificación eIDAS y quién la necesita?
El propio agente económico. Antes de que se pueda registrar un pase, el agente debe figurar como verificado, mediante los medios previstos en el Reglamento (UE) n.º 910/2014 (eIDAS) : sello electrónico cualificado o certificado de atributos electrónicos para personas jurídicas; firma cualificada o eID de nivel «alto» para empresarios individuales. La verificación tiene una validez máxima de tres años; quien deje que caduque pasará a figurar como «no verificado» y perderá el derecho a registrar nuevos pases o a modificar los existentes. Se trata de un compromiso entre usted y la Comisión; ningún proveedor de servicios puede mantenerla en su nombre, por lo que le recomendamos que comience con el proceso con antelación.
¿Puede Transpareo encargarse del registro en nuestro nombre?
No, y actualmente ningún proveedor puede hacerlo. El registro solo acepta la inscripción del operador económico que comercializa el producto (art. 13, apartados 4 y 5, del ESPR; en el caso de las baterías, art. 77, apartado 10, del Reglamento sobre baterías); el servicio de asistencia de la UE para el DPP ha confirmado esta interpretación, y la Comisión, según sus propias declaraciones, está estudiando si es posible abrir el procedimiento a los prestadores de servicios. Lo que hacemos es simplificar el registro: cada pase ya incluye el identificador del producto, la dirección permanente en la que se encuentra y la huella digital que acredita que no ha sido alterado. Tan pronto como la interfaz esté operativa, solo tendrá que introducir estos datos una vez y recibirá el certificado de registro sellado.
¿En qué nivel realizamos el registro: modelo, lote o artículo?
En el nivel previsto por el acto legislativo sectorial. Si se registra una ficha de artículo y existen identificadores de lote o de modelo, estos deben incluirse; en el caso de las fichas de lote, se aplica lo mismo a los identificadores de modelo (artículo 8 del proyecto). La consecuencia no es un problema de registro, sino un problema de datos maestros: su propia jerarquía entre modelo, lote y producto individual debe estar bien definida antes de la inscripción; de lo contrario, la validación automática fallará.
¿Durante cuánto tiempo debe permanecer disponible un pasaporte registrado?
El plazo estándar es de diez años a partir del registro, siempre que el Derecho de la Unión o la normativa sectorial no establezcan otro plazo (art. 10, apartado 3). La insolvencia o la liquidación del fabricante no eximen de la obligación de disponibilidad (art. 11, letra e), del ESPR); por ello, la cuestión de qué ocurre con sus pases tras la rescisión debe figurar en todas las conversaciones con los proveedores. En Transpareo, cada versión publicada se conserva durante diez años en un archivo independiente y de solo lectura, y sigue estando disponible en una dirección permanente.
¿Tenemos que generar nosotros mismos el hash de la versión?
El registro exige, ante cada modificación, un hash de la versión actual, verificable criptográficamente y no introducido manualmente. Quien posea la clave lo genera; en la práctica, por tanto, es la plataforma quien lo hace. Transpareo canoniza de forma determinista y calcula un hash SHA-256 para cada versión; lo único que queda por definir es el formato exacto en el que el registro lo espera. Si usted mismo desarrolla el almacén de pases, esa es la parte que debe hacer bien desde el principio: un hash que nadie pueda reproducir es peor que no tener ninguno.
El certificado de registro tiene una validez de 90 días. ¿Qué es lo que cubre el período de diez años?
Dentro de este plazo, el registro vuelve a generar el certificado previa solicitud; por lo tanto, los 90 días corresponden a la validez del documento y no a la del registro. Sin embargo, un período de conservación de más de diez años presupone que el agente económico original siga existiendo y pueda solicitar un certificado nuevo; por ello, en nuestra respuesta a la Comisión hemos propuesto un punto final de verificación público y bytes de certificado almacenables temporalmente (nuestras cuatro propuestas). Hasta que exista dicho punto de verificación, conserve el certificado sellado que haya recibido, en lugar de confiar en que se vuelva a generar.
