Le 29 avril 2026, la Commission européenne a publié le projet de règlement d’exécution relatif au registre des passeports numériques des produits (Ares(2026)4424976). Il précise l’article 13, paragraphe 5, de l’ESPR (règlement 2024/1781) et définit le fonctionnement technique et organisationnel du registre géré par la Commission.
Ce texte est qualifié de projet et n’a pas encore été adopté. Les mécanismes essentiels sont toutefois déjà clairement identifiables - et ils ont des conséquences immédiates pour tout fabricant tenu d’établir un DPP à partir de 2027.
Ce qu’est le registre - et ce qu’il n’est pas
Précisons d’emblée que le registre de l’UE ne stocke pas les données du DPP elles-mêmes. Il s’agit d’un service d’annuaire centralisé qui conserve, pour chaque enregistrement, un identifiant unique, le code produit, l’identité de l’opérateur économique, un hachage de la version de la DPP et un lien vers la copie de sauvegarde hébergée chez le prestataire de services DPP.
Le considérant 3 qualifie cela de « modèle décentralisé » : les données relatives aux produits continuent d’être hébergées chez le fabricant ou sur sa plateforme DPP. Le registre constitue la liste d’adresses de référence, et non un silo de données.
Sur le plan fonctionnel, le registre se compose :
- d’une interface web et d’une API pour les enregistrements
- d’une plateforme de vérification des opérateurs économiques
- d’une liste des prestataires de services DPP agréés
- d’un référentiel sémantique (multilingue, structuré selon la norme DCAT-AP) servant de référence pour les attributs de données, les structures de modèles et les rôles
- d’un système de journalisation avec des délais de conservation échelonnés
Vérification préalable à l’enregistrement
Aucun DPP n’est créé dans le registre avant que l’opérateur économique demandeur ne soit répertorié en tant qu’opérateur économique vérifié (art. 4). La vérification s’effectue directement auprès du registre et s’appuie sur les moyens prévus par le règlement eIDAS règlement 910/2014 :
- Personne morale dans l’UE: cachet électronique qualifié ou attestation d’attribut électronique
- Personne physique exerçant une activité indépendante au sein de l’UE: signature électronique qualifiée, eID de niveau « élevé » ou attestation d’attribut
- Acteurs hors de l’UE: signature ou cachet qualifié, ou attestation d’attribut
La vérification est valable pour une durée maximale de trois ans. Toute personne qui ne procède pas au renouvellement se verra attribuer le statut « non vérifié » et perdra le droit d’enregistrer de nouveaux DPP ou de modifier ceux qui existent déjà (art. 4, paragraphe 4).
Cette vérification constitue une condition légale préalable. Elle relève de la responsabilité du fabricant et de la Commission - et ne peut être déléguée. Aucun prestataire de services, pas même Transpareo, ne peut s’en charger à votre place.
Niveau de granularité : modèle, lot ou article
L’article 8 exige que les DPP soient enregistrés au niveau de granularité prévu par l’acte législatif sectoriel applicable - modèle, lot ou article. Lorsqu’un DPP d’article est créé et que des identifiants de lot ou de modèle existent, ceux-ci doivent être renseignés. Pour les DPP de lot, il en va de même pour les identifiants de modèle.
Pour les fabricants, cela signifie que les données de référence internes doivent présenter une hiérarchie claire entre le modèle, le lot et le produit individuel. Sans ce lien, la validation automatique de l’enregistrement échoue.
Gestion des versions, hachage et conservation
Chaque version de la fiche de produit est associée à l’identifiant d’enregistrement d’origine. À chaque modification, le registre exige un hachage de la version actuelle de la fiche de produit - vérifiable par cryptographie, non générable manuellement.
L’attestation d’enregistrement (art. 9) est un document électronique que la Commission scelle de manière qualifiée et dote d’un horodatage. Elle doit contenir au minimum : l’identifiant d’enregistrement, le code des marchandises, l’identité de l’acteur, la date et la valeur de hachage de la dernière version. Valable 90 jours, renouvelable à volonté.
Durée de conservation standard : 10 ans à compter de l’enregistrement, sauf si le droit de l’Union ou le droit sectoriel prévoit un autre délai (art. 10, paragraphe 3, du règlement d’exécution relatif au registre DPP). Même l’insolvabilité ou la liquidation du fabricant ne dispense pas de l’obligation de disponibilité (ESPR, art. 11, point e)).
Système de journalisation
Le registre consigne les événements selon trois niveaux (art. 14) :
- Accès et authentifications : 6 mois
- Modifications des données : durée de l’enregistrement
- Actions administratives et échanges de données : 5 ans
Les autorités nationales ont accès à ces informations en cas d’incidents, d’audits ou de contrôles aléatoires.
Données à caractère personnel - ce que la Commission conserve
L’article 18 énumère les données qui sont exclusivement conservées par le registre : prénom et nom de chaque utilisateur, identifiants de connexion, jetons d’authentification, adresse postale, adresse e-mail. Pour les personnes physiques, s’y ajoutent le numéro de passeport ou de carte d’identité, l’eID et le numéro d’identification fiscale. Ces données ne relèvent pas de la compétence du prestataire de services DPP. La Commission est le responsable du traitement de ces données de compte, tandis que l’acteur économique reste le responsable du traitement de ses propres données DPP.
Comment Transpareo répond à ces exigences
La plupart des exigences concernent des choix architecturaux que Transpareo a déjà mis en œuvre sous cette forme. Plus précisément :
Modèle décentralisé. Transpareo est une plateforme multi-locataires dotée d’une base de données isolée par client. Les données DPP sont stockées dans la base de données de l’opérateur économique, et non dans un pool centralisé - ce qui correspond exactement à l’architecture prévue par le considérant 3.
Rôle de sous-traitant clairement délimité. Les articles 19, paragraphe 5, et 20, paragraphe 3, prévoient que l’opérateur économique reste le responsable du traitement de ses données de passeport, même si un tiers les traite. Transpareo opère d’ores et déjà en tant que sous-traitant dans le cadre d’un contrat de sous-traitance - les rôles sont clairement définis.
URL de sauvegarde stable par DPP. Chaque DPP de Transpareo est accessible via une URL permanente qui ne change pas, même en cas de modifications de version. C’est exactement ce qu’exige l’article 8, paragraphe 6, point d), en tant que « lien vers la sauvegarde hébergée par un fournisseur de DPP (DPP-SP) ».
Granularité. Le modèle de données de Transpareo distingue le modèle de produit, le lot et le produit individuel, et permet d’établir des liens tout au long de la hiérarchie - condition indispensable pour satisfaire aux dispositions de l’article 8, paragraphes 3 et 4.
Mappage sémantique multilingue. Le référentiel de la Commission est multilingue selon la norme DCAT-AP. Transpareo gère chaque point de données en 40 langues, y compris les 24 langues officielles de l’UE, la traduction étant comprise dans le tarif.
Hachage de version. La canonisation déterministe et un hachage SHA-256 par version DPP sont déjà fournis. Seul le format exact de fixation du hachage (hash-pinning) du registre de l’UE reste à déterminer ; dès que la Commission l’aura publié, nous l’intégrerons également.
Inscription en tant que prestataire de services DPP. Transpareo déposera sa candidature pour figurer sur la liste officielle des prestataires de services DPP (art. 2, n° 32 de l’ESPR) dès que la procédure d’admission sera publiée.
L’inscription reste à votre charge. Le registre n’accepte l’enregistrement que de la part de l’opérateur économique qui met le produit sur le marché ; nous ne nous en chargeons donc pas à votre place. Notre rôle consiste à mettre à disposition les informations requises pour l’inscription - identifiant du produit, identifiant de l’acteur, adresse permanente et hachage de la version - afin que le remplissage ne prenne que quelques minutes dès que l’interface sera opérationnelle.
Calendrier
L’entrée en vigueur est régie par l’article 23 : 20 jours après la publication au Journal officiel. La date exacte dépendra du moment où la Commission adoptera la version finale. Le mandat-cadre prévu à l’article 13, paragraphe 5, de l’ESPR est fixé au 19 juillet 2026 - le registre doit être opérationnel d’ici là.
Le registre ne devrait pas être pleinement opérationnel avant le 18 février 2027: c’est à cette date que l’article 77 du règlement européen sur les batteries 2023/1542 entrera en vigueur, et le DPP deviendra obligatoire pour les batteries industrielles, les batteries de véhicules électriques et les batteries LMT d’une capacité supérieure à 2 kWh. Nous avons consigné les détails et les questions en suspens relatives à l’acte d’exécution dans le calendrier ESPR 2027. Il reste environ neuf mois d’ici là. Ceux qui prévoient la conclusion de contrats avec les fournisseurs, la migration des données de base et les validations internes le savent bien : ce délai est serré, et non abondant.
Ce qui reste en suspens
Le règlement lui-même décrit le cadre organisationnel. Ce qui manque, ce sont les spécifications techniques de l’API: le format précis de l’interface, les schémas et les règles de validation. Celles-ci devraient faire l’objet d’une ligne directrice distincte de la Commission, conformément à l’article 15, paragraphe 1, probablement encore dans le courant de l’année 2026.
D’ici là, la ligne à suivre est toutefois claire : architecture décentralisée, acteurs vérifiés, signatures qualifiées, identifiants d’enregistrement uniques, chaînage des versions, interopérabilité sémantique. Autant de concepts qui ne sont plus près de disparaître.
L’initiative de consultation officielle de la Commission est accessible sur Have Your Say.
Questions concernant cet article
Ce projet correspond-il toujours au texte actuel ?
Non. La Commission a adopté le règlement le 16 juillet 2026 sous la forme du règlement d’exécution (UE) 2026/1778, et le registre est opérationnel depuis le 20 juillet 2026, avec un environnement de test et une documentation technique à l’intention des opérateurs économiques. Les mécanismes décrits ici - modèle décentralisé, acteurs vérifiés, identifiants d’enregistrement, hachages de version, durée de conservation de dix ans - figurent également dans le texte adopté. L’interface technique n’est toutefois pas encore définitive. Les modifications intervenues jusqu’à l’adoption sont présentées dans notre analyse du règlement sur le registre.
Ce registre contient-il les données relatives à nos produits ?
Non. Il s’agit d’un registre comprenant l’identifiant d’enregistrement, le code produit, l’identité de l’opérateur économique, un hachage de la version actuelle et un lien vers la copie de sauvegarde hébergée chez le prestataire de services. Les données relatives au produit restent chez vous ou sur votre plateforme ; c’est exactement ce que signifie le modèle décentralisé évoqué dans les considérants. Concrètement, cela signifie qu’une inscription au registre ne vous dispense pas de votre obligation de maintenir le passeport accessible.
Qu'est-ce que la vérification eIDAS, et à qui s'adresse-t-elle ?
L’acteur économique lui-même. Avant qu’un passeport puisse être enregistré, l’acteur doit être répertorié comme vérifié, conformément aux dispositions du règlement (UE) n° 910/2014 relatives à l’eIDAS : un cachet électronique qualifié ou un certificat d’attribut électronique pour les personnes morales, une signature qualifiée ou une carte d’identité électronique de niveau « élevé » pour les entrepreneurs individuels. La vérification est valable pour une durée maximale de trois ans ; toute personne qui la laisse expirer est considérée comme non vérifiée et perd le droit d’enregistrer de nouveaux passeports ou de modifier ceux qui existent déjà. Elle est établie entre vous et la Commission ; aucun prestataire de services ne peut la détenir en votre nom - c’est pourquoi il est important de vous y prendre à l’avance.
Transpareo peut-il se charger de l'enregistrement à notre place ?
Non, et aucun prestataire n’en est actuellement en mesure. Le registre n’accepte l’enregistrement que de la part de l’opérateur économique qui met le produit sur le marché (ESPR, art. 13, al. 4 et 5 ; pour les piles, art. 77, paragraphe 10, du règlement sur les piles) ; le service d’assistance DPP de l’UE a confirmé cette interprétation, et la Commission examine, selon ses propres déclarations, si la procédure peut être ouverte aux prestataires de services. Ce que nous faisons, c’est simplifier l’enregistrement : chaque passe comporte déjà l’identifiant du produit, l’adresse permanente à laquelle il se trouve et l’empreinte numérique qui atteste de son intégrité. Dès que l’interface sera opérationnelle, il vous suffira de saisir ces informations une seule fois pour obtenir l’attestation d’enregistrement certifiée.
À quel niveau effectuons-nous l'enregistrement : au niveau du modèle, du lot ou de l'article ?
Au niveau prévu par l’acte législatif sectoriel. Lorsqu’une fiche d’article est enregistrée et qu’il existe des identifiants de lot ou de modèle, ceux-ci doivent être renseignés ; il en va de même pour les identifiants de modèle dans le cas des fiches de lot (article 8 du projet). Il ne s’agit donc pas d’un problème de registre, mais d’un problème de données de référence : votre propre hiérarchie entre le modèle, le lot et le produit individuel doit être correcte avant la saisie, sinon la validation automatique échouera.
Pendant combien de temps un passeport enregistré doit-il rester disponible ?
La durée standard est de dix ans à compter de l’enregistrement, sauf si le droit de l’Union ou le droit sectoriel fixe un autre délai (art. 10, paragraphe 3). L’insolvabilité ou la liquidation du fabricant ne dispense pas de l’obligation de mise à disposition (ESPR, art. 11, point e)) ; c’est pourquoi la question de savoir ce qu’il advient de vos passeports après une résiliation doit être abordée lors de chaque entretien avec un fournisseur. Chez Transpareo, chaque version publiée est conservée pendant dix ans dans une archive distincte et en lecture seule, et reste accessible via une adresse permanente.
Devons-nous générer nous-mêmes le hachage de la version ?
À chaque modification, le registre exige un hachage de la version actuelle, vérifiable par cryptographie et non saisi manuellement. C’est le détenteur du mot de passe qui le génère, c’est-à-dire, en pratique, la plateforme. Transpareo effectue une canonisation déterministe et calcule un hachage SHA-256 pour chaque version ; seul le format exact attendu par le registre reste à déterminer. Si vous développez vous-même le système de stockage des mots de passe, c’est la partie que vous devez d’abord réussir : un hachage que personne ne peut reproduire est pire que pas de hachage du tout.
L'attestation d'enregistrement est valable 90 jours. Que couvre cette période de dix ans ?
Dans ce délai, le registre génère à nouveau l’attestation sur demande ; les 90 jours correspondent donc à la durée de validité du document et non à celle de l’enregistrement. Une conservation de plus de dix ans suppose toutefois que l’opérateur économique d’origine existe toujours et puisse demander un nouveau justificatif ; c’est pourquoi nous avons proposé, dans notre réponse à la Commission, un point de vérification public et des octets de justificatif pouvant être mis en cache (nos quatre propositions). En attendant la mise en place de ce point de terminaison, veuillez conserver l’attestation scellée que vous avez reçue, plutôt que de compter sur sa régénération.
