- apríl 2026 birti framkvæmdastjórn Evrópusambandsins drög að framkvæmdarreglugerð um skrá yfir stafræna vöruskrá (Ares(2026)4424976). Þar eru tilgreind smáatriði 13. gr. 5. mgr. ESPR ([Reglugerð 2024/1781])(https://eur-lex.europa.eu/eli/reg/2024/1781/oj)) og kveður á um hvernig skráin, sem framkvæmdastjórnin rekur, mun virka frá tæknilegu og skipulagslegu sjónarhorni.
Texti er merktur sem drög og hefur ekki enn verið samþykktur. Hins vegar er meginvélvirknin þegar orðin skýr - og hún hefur bein áhrif á alla framleiðendur sem verða skyldugir til að gefa út DPP frá og með 2027.
Hvað skráin er - og hvað hún er ekki
Fyrst, skýrari orð: ESB-skráin geymir ekki DPP-gögnin sjálf. Þetta er miðlæg skráningarþjónusta sem heldur, fyrir hverja skráningu, einstöku auðkenni, vörukóða, auðkenni efnahagsrekstraraðilans, hash af útgáfu DPP og vísun í varasafn sem þjónustuveitandi DPP geymir.
Í 3. ástæðuákvæði er vísað til þessa sem “dreifðs líkans”: vörugögnin verða áfram hjá framleiðandanum eða á DPP-vettvangi hans. Skráin er aðalheimilisfangaskráin, ekki gagnageymsla.
Að virkni samanstendur skráin af:
- vefviðmóti og API fyrir skráningar
- staðfestingarvettvangi fyrir efnahagslega aðila
- lista yfir viðurkennda DPP-þjónustuveitendur
- merkingarfræðilegan gagnagrunn (tvítyngdan, uppbyggðan samkvæmt DCAT-AP) sem viðmið fyrir gagnseiginleika, líkanuppbyggingar og hlutverk
- skráningarkerfi með stigskiptum varðveislutíma
Staðfesting fyrir skráningu
Enginn DPP er skráður í skrána fyrr en sá efnahagsrekstraraðili sem leggur fram beiðnina er skráður sem staðfestur efnahagsrekstraraðili (4. gr.). Staðfesting fer fram beint í gegnum skrána og nýtir eIDAS-aðgerðirnar sem tilgreindar eru í Reglugerð 910/2014:
- Réttarlega aðili innan ESB: vottaður rafrænn stimpill eða rafrænt einkunnarvottorð
- Eðlislægur einstaklingur sem starfar sem einkafyrirtæki innan ESB: vottað rafrænt undirskriftarvottorð, eID-stigið ‘hátt’ eða eiginleikavottorð
- Rekendur utan ESB: vottað undirskriftar- eða stimplunarvottorð eða eiginleikavottorð
Staðfesting gildir í mesta lagi í þrjú ár. Sá sem ekki endurnýjar staðfestingu sína verður settur í stöðu ‘óstaðfestur’ og tapar réttinum til að skrá nýjar DPP-skrár eða breyta þeim sem fyrir eru (4. gr. 4. mgr.).
Þessi staðfesting er lagalegt skilyrði. Þetta er mál milli framleiðandans og framkvæmdastjórnarinnar - og er ekki framselt, jafnvel þótt þjónustuveitandi eins og Transpareo sjái um rekstrarlega skráningu.
Nákvæmni: gerð, lota eða vara
- grein kveður á um að DPP-skráningar skuli gerðar á þeirri nákvæmni sem tilgreind er í viðeigandi geiralöggjöf - gerð, lota eða ## vara. Þegar vara-DPP er búin til og lotu- eða gerðaupplýsingar (ID) eru til staðar, verða þær að vera innifaldar. Hið sama gildir um gerðaupplýsingar í tilviki lotu-DPP.
Fyrir framleiðendur þýðir þetta að innri aðalupplýsingar verði að hafa skýra stigveldi milli gerðar, lotu og einstaks vörunnar. Án þessa tengis mun sjálfvirk staðfesting skráningarinnar mistakast.
Útgáfustjórnun, Hash-gildi og geymsla
Hverri útgáfu DPP er tengd upprunalegu skráningarnúmeri. Fyrir hverja breytingu krefst skráningarkerfið hash-gildis af núverandi útgáfu DPP - sem hægt er að sannreyna dulkóðunarlega, en ekki er hægt að búa til handvirkt.
Sönnun skráningar (9. gr.) er rafrænt skjal sem framkvæmdastjórnin innsiglar með vottaðri undirskrift og tímastimpar. Það skal að lágmarki innihalda eftirfarandi: skráningarnúmer, vörukóða, auðkenni rekstraraðila, dagsetningu og hash nýjustu útgáfunnar. Gildir í 90 daga; hægt er að endurgera það eins oft og þörf krefur.
Almenn varðveisluskylda: 10 ár frá skráningu, nema lög Bandalagsins eða sérgreinalöggjöf kveði á um annan tímabil (10. gr. 3. mgr. framkvæmdarreglugerðar um DPP-skrá). Jafnvel gjaldþrot eða slit framleiðandans undanskilur þá ekki skyldu til að tryggja aðgengi (ESPR 11. gr. e-liður).
Skráningarkerfi
Skráin skráir gögn í þremur stigum (14. gr.):
- Aðgangar og auðkenningar: 6 mánuðir
- Gagnabreytingar: meðan á skráningu stendur
- Stjórnsýsluaðgerðir og gagnaskipti: 5 ár
Komi upp atvik, endurskoðun eða óvæntar skoðanir fá þjóðlegar yfirvöld aðgang.
Persónuupplýsingar - hvað framkvæmdastjórnin geymir
Í 18. grein eru talin upp gögnin sem skráin geymir eingöngu: fornafni og eftirnafni hvers notanda, innskráningarupplýsingar, auðkennislyklar, póstfang og netfang. Fyrir einstaklinga felur þetta einnig í sér vegabréfs- eða kennitökunúmer, eID og skattnúmer. Þessar upplýsingar eru ekki aðgengilegar DPP-þjónustuveitandanum. Framkvæmdastjórnin er persónuupplýsingastjóri fyrir þessum reikningsupplýsingum; efnahagsrekstraraðilinn er áfram persónuupplýsingastjóri fyrir sínum DPP-gögnum.
Hvernig Transpareo uppfyllir kröfur
Flestar kröfurnar varða hönnunarlegar ákvarðanir sem Transpareo hefur þegar innleitt í þessu formi. Nánar tiltekið:
Ómiðstýrð líkan. Transpareo er fjölleigjendavettvangur með einangruðu gagnagrunni fyrir hvern viðskiptavin. DPP-gögnin eru geymd í gagnagrunni efnahagsrekstraraðilans, ekki í miðlægum gagnagrunni - einmitt sú arkitektúr sem krafist er í 3. lið formálsins.
Skýrt skilgreint hlutverk vinnsluaðila. 19. og 20. grein kveða á um að efnahagsrekstraraðilinn sé áfram ábyrgðaraðili þrátt fyrir að hann feli þriðja aðila að annast skráninguna. Transpareo starfar nú þegar sem vinnsluaðili samkvæmt samningi um vinnslu persónuupplýsinga (DPA) - hlutverkin eru skýrt skilgreind.
Stöðugar varaslóðir fyrir hvern DPP. Allir Transpareo DPP-ar eru aðgengilegir með varanlegri slóð sem helst óbreytt þrátt fyrir útgáfuuppfærslur. Þetta er einmitt það sem 8. gr. (6) liður d krefst sem “tengill á varakóða sem hýst er hjá DPP-SP”.
Nákvæmni. Gagnalíkan Transpareo gerir greinarmun á vörulíkani, lotu og einstakri vöru og gerir kleift að setja upp tengla um alla stigveldið - sem er forsenda fyrir samræmi við 8. gr. (3)/(4).
Málræn þýðing á mörgum tungumálum. Geymsla framkvæmdastjórnarinnar er fjöltyngd í samræmi við DCAT-AP. Transpareo viðheldur hverjum gagnapunkti á 39 tungumálum, þar á meðal öllum 24 opinberu tungumálum ESB, og þýðing er innifalin í þjónustugjaldi.
Útgáfu-hash. Ákveðin raðnúmerun í samræmi við JSON Canonicalisation Scheme (RFC 8785) og SHA-256-hash fyrir hverja DPP-útgáfu eru þegar í boði. Eina óuppgerða málið er nákvæmt hash-pinning-snið ESB-skrárinnar; um leið og framkvæmdastjórnin birtir það munum við innleiða það líka.
Skráning sem DPP-þjónustuveitandi. Transpareo mun sækja um að verða skráð á opinbera listann yfir DPP-þjónustuveitendur (2. mgr. 2. gr. ESPR) um leið og inntökuferlið verður birt.
Skráning fyrir hönd viðskiptavina. Við erum að undirbúa þjónustu til að sjá um skráningu fyrir hönd löggiltra viðskiptavina - lagaleg ábyrgð viðskiptavinarins verður óbreytt, í samræmi við 19. gr. 4. mgr.
Tímarammi
- grein kveður á um gildistökudag: 20 dögum eftir birtingu í Stjórnartíðindum ESB. Nákvæmur dagsetning mun ráðast af því hvenær framkvæmdastjórnin samþykkir endanlega útgáfu. Aðalumboðið samkvæmt 13. mgr. 13. gr. ESPR er til 19. júlí 2026 - skráin verður að vera komin í gagnið fyrir þann dag.
Ekki er búist við að skráin verði fullkomlega starfandi fyrr en 18. febrúar 2027: Þennan dag tekur 77. grein ESB-reglugerðar um rafhlöður 2023/1542 gildi, og DPP verður skylda fyrir iðnaðar-, rafmagns- og LMT-rafhlöður sem fara yfir 2 kWh. Við höfum sett fram smáatriðin og ógreind mál innleiðingarlaganna í ESPR tímarammanum 2027. Um níu mánuðir eru eftir þangað til. Allir sem skipuleggja birgðasamninga, flutning aðalupplýsinga og innri samþykki vita að þetta er þröngur tímaáætlun, ekki rúmgóð.
Það sem enn þarf að skýra
Reglugerðin sjálf lýsir skipulagsrammanum. Það sem vantar er tæknilýsing API-sins - nákvæmt viðmótssnið, skema og staðfestingareglur. Gert er ráð fyrir að þetta verði gefið út sem sérstök leiðbeining frá framkvæmdastjórninni samkvæmt 15. gr. 1. mgr., líklega síðar árið 2026.
Þangað til þá er leiðsögnin hins vegar skýr: dreifð uppbygging, staðfestir aðilar, vottaðar undirskriftir, einstök skráningarnúmer, útgáfukeðja, merkingarleg samhæfni. Þetta eru öll hugtök sem munu vera til staðar til frambúðar.
Opinbera samráðsátak framkvæmdastjórnarinnar er aðgengilegt á Have Your Say.