- apríl 2026 birti framkvæmdastjórn Evrópusambandsins drög að framkvæmdarreglugerð um skrá yfir rafræna vöruskilríki (Ares(2026)4424976). Þar eru tilgreind smáatriði 13. gr. 5. mgr. ESPR ([Reglugerð 2024/1781])(https://eur-lex.europa.eu/eli/reg/2024/1781/oj)) og kveður á um hvernig skráin, sem framkvæmdastjórnin rekur, mun virka frá tæknilegu og skipulagslegu sjónarhorni.
Texti er merktur sem drög og hefur ekki enn verið samþykktur. Hins vegar er meginvélvirknin þegar orðin skýr - og hún hefur bein áhrif á alla framleiðendur sem verða skyldugir til að gefa út DPP frá og með 2027.
Hvað skráin er - og hvað hún er ekki
Fyrst, skýrari skilgreining: ESB-skráin geymir ekki DPP-gögnin sjálf. Þetta er miðlægur skráningarþjónusta sem heldur, fyrir hverja skráningu, einstöku auðkenni, vörukóða, auðkenni efnahagsrekstraraðilans, hash af útgáfu DPP og vísun í öryggisafritið sem þjónustuveitandi DPP geymir.
Í 3. ástæðarsetningu er vísað til þessa sem “dreifðs líkans”: vörugögnin verða áfram hjá framleiðandanum eða á DPP-vettvangi hans. Skráin er aðalheimilisfangaskráin, ekki gagnageymsla.
Að virkni samanstendur skráin af:
- vefviðmóti og API fyrir skráningar
- staðfestingarvettvangi fyrir efnahagsrekstraraðila
- lista yfir viðurkennda DPP-þjónustuveitendur
- merkingarfræðilegan gagnagrunn (tvítyngdan, uppbyggðan samkvæmt DCAT-AP) sem viðmið fyrir gagnseiginleika, líkanuppbyggingar og hlutverk
- skráningarkerfi með stigbundnum varðveislutímum
Staðfesting fyrir skráningu
Enginn DPP er skráður í skrána fyrr en tilkynnti efnahagsrekstraraðili hefur verið skráður sem staðfestur efnahagsrekstraraðili (4. gr.). Staðfesting fer fram beint í gegnum skrána og nýtir eIDAS-aðgerðirnar sem kveðið er á um í Reglugerð 910/2014:
- Réttareining innan ESB: hæf rafræn stimpla eða rafrænt einkunnarvottorð
- Eðlislægur einstaklingur sem starfar sem einkafyrirtæki innan ESB: vottað rafrænt undirskriftarvottorð, eID-stig ‘hátt’ eða eiginleikavottorð
- Rekendur utan ESB: vottað undirskriftar- eða stimplunarvottorð, eða eiginleikavottorð
Staðfesting gildir í mesta lagi í þrjú ár. Sá sem ekki endurnýjar verður settur í stöðu ‘óstaðfestur’ og tapar réttinum til að skrá nýjar DPP-einingar eða breyta þeim sem fyrir eru (4. mgr. 4. gr.).
Þessi staðfesting er lagaleg skylda. Þetta er mál milli framleiðanda og framkvæmdastjórnarinnar - og er ekki framselt þótt þjónustuveitandi eins og Transpareo sjái um rekstrarlega skráningu.
Nákvæmni: gerð, lota eða vara
- grein krefst þess að DPP-skráningar séu gerðar á þeirri nákvæmni sem tilgreind er í viðeigandi geiralöggjöf - gerð, lota eða vara. Þegar vara-DPP er búin til og lotu- eða gerðaupplýsingar (ID) eru til staðar, verða þær að vera innifaldar. Hið sama gildir um gerðarnúmer í tilviki lotu-DPP.
Fyrir framleiðendur þýðir þetta að innri aðalupplýsingar verði að hafa skýra stigveldi milli gerðar, lotu og einstaks vörunnar. Án þessa tengsla mun sjálfvirk staðfesting skráningarinnar mistakast.
Útgáfustjórnun, Hash-gildi og geymsla
Hverri útgáfu DPP er tengd upprunalegu skráningarnúmeri. Fyrir hverja breytingu krefst skráningarkerfið hash-gildis af núverandi útgáfu DPP - sem hægt er að sannreyna dulkóðunarlega, ekki handbúa.
Sönnun skráningar (9. gr.) er rafrænt skjal sem framkvæmdastjórnin innsiglar með vottaðri undirskrift og tímastimpar. Það skal að lágmarki innihalda eftirfarandi: skráningarnúmer, vörukóða, auðkenni rekstraraðila, dagsetningu og hash nýjustu útgáfu. Gildir í 90 daga; hægt er að endurgera það eins oft og þörf krefur.
Almenn varðveisluskylda: 10 ár frá skráningu, nema lög sambandsins eða sérgreinalöggjöf kveði á um annan tíma (10. gr. 3. mgr. framkvæmdarreglugerðar um DPP-skrá). Jafnvel gjaldþrot eða slit framleiðandans undanskilur þá ekki skyldu til að tryggja aðgengi (ESPR 11. gr. e-liður).
Skráningarkerfi
Skráin skráir gögn á þremur stigum (14. gr.):
- Aðgangar og auðkenningar: 6 mánuðir
- Gagnabreytingar: allt skráningartímabilið
- Stjórnsýsluaðgerðir og gagnaskipti: 5 ár
Komi upp atvik, endurskoðun eða óvæntar skoðanir fá þjóðleg yfirvöld aðgang.
Persónuupplýsingar - hvað framkvæmdastjórnin geymir
Í 18. grein eru talin upp gögnin sem skráin geymir eingöngu: fornafni og eftirnafni hvers notanda, innskráningarupplýsingar, auðkennislyklar, póstfang og netfang. Fyrir einstaklinga felur þetta einnig í sér vegabréfs- eða kennitökunúmer, eID og skattnúmer. Þessum gögnum er ekki hægt að nálgast hjá DPP-þjónustuveitanda. Framkvæmdastjórnin er persónuupplýsingastjóri fyrir þessi reikningsgögn; efnahagsrekstraraðilinn er áfram persónuupplýsingastjóri fyrir sín DPP-gögn.
Hvernig Transpareo uppfyllir kröfur
Flestar kröfurnar varða hönnunarlegar ákvarðanir sem Transpareo hefur þegar innleitt í þessu formi. Nánar tiltekið:
Fjölmiðstýrð líkan. Transpareo er fjölnotendapallur með einangruðu gagnagrunni fyrir hvern viðskiptavin. DPP-gögnin eru geymd í gagnagrunni efnahagsrekstraraðilans, ekki í miðlægum gagnagrunni - einmitt sú arkitektúr sem krafist er í 3. ályktunarorði.
Skýrt skilgreint hlutverk vinnsluaðila gagna. 19. og 20. grein kveða á um að efnahagsrekstraraðilinn sé áfram ábyrgðaraðili jafnvel þó hann feli þriðja aðila að framkvæma skráninguna. Transpareo starfar nú þegar sem vinnsluaðili gagna samkvæmt samningi um vinnslu gagna (DPA) - hlutverkin eru skýrt skilgreind.
Stöðugar varaslóðir fyrir hvern DPP. Allir Transpareo DPP eru aðgengilegir í gegnum varanlega slóð sem helst óbreytt þrátt fyrir útgáfuuppfærslur. Þetta er einmitt það sem 8. gr. (6) liður d krefst sem “tengils við varakóðann sem hýst er hjá DPP-SP”.
Nákvæmni. Gagnalíkan Transpareo greinir á milli vörulíkans, lotu og einstakrar vöru og gerir kleift að setja upp tengla um alla stigveldið - sem er forsenda fyrir samræmi við 8. gr. (3) og (4).
Þýðing á fjölmörgum tungumálum. Geymsla framkvæmdastjórnar ESB er fjöltyngd í samræmi við DCAT-AP. Transpareo viðheldur hverjum gagnapunkti á 40 tungumálum, þar á meðal öllum 24 opinberu tungumálum ESB, og þýðing er innifalin í þjónustugjaldinu.
Útgáfu-hash. Ákveðin staðalsetning og SHA-256-hash fyrir hverja DPP-útgáfu eru þegar í boði. Eina óleysta málið er nákvæmt sniðmát fyrir fasttengingu hasha í skrá ESB; um leið og framkvæmdastjórnin birtir það munum við innleiða það líka.
Skráning sem DPP-þjónustuveitandi. Transpareo mun sækja um að vera skráð á opinbera skrá yfir DPP-þjónustuveitendur (2. mgr. 2. gr. ESPR) um leið og inntökuferlið verður birt.
Skráning fyrir hönd viðskiptavina. Við erum að undirbúa þjónustu til að sjá um skráningu fyrir hönd löggiltra viðskiptavina - lagalega ábyrgð viðskiptavinarins verður óskert samkvæmt 19. gr. 4. mgr.
Tímarammi
- grein kveður á um gildistökudag: 20 dögum eftir birtingu í Stjórnartíðindum ESB. Nákvæmur dagsetning mun ráðast af því hvenær framkvæmdastjórnin samþykkir endanlega útgáfu. Aðalheimildin samkvæmt 13. mgr. 13. gr. ESPR er til 19. júlí 2026 - skráin verður að vera komin í gagnið þá.
Ekki er búist við að skráin verði fullkomlega starfandi fyrr en 18. febrúar 2027: Þennan dag tekur 77. grein ESB-reglugerðar um rafhlöður 2023/1542 gildi, og DPP verður skylda fyrir iðnaðar-, rafmagns- og LMT-rafhlöður sem fara yfir 2 kWh. Við höfum sett fram smáatriðin og ógreind mál varðandi framkvæmdalögin í ESPR tímaáætlun 2027. Um níu mánuðir eru eftir þangað til. Allir sem skipuleggja birgðasamninga, flutning aðalupplýsinga og innri samþykki vita að þetta er þröngur tímaáætlun, ekki rýmileg.
Það sem enn þarf að skýra
Reglugerðin sjálf lýsir skipulagsrammanum. Það sem vantar er tæknilýsing API-sins - nákvæmt viðmótssnið, skemana og sannprófunarreglur. Gert er ráð fyrir að þetta komi út sem sérstök leiðbeining frá framkvæmdastjórninni samkvæmt 15. gr. 1. mgr., líklega síðar árið 2026.
Þangað til þá er leiðsögnin hins vegar skýr: dreifð uppbygging, staðfestir aðilar, vottaðir undirskriftir, einstök skráningarnúmer, útgáfukeðja, merkingarleg samhæfni. Þetta eru öll hugtök sem munu vera til staðar til frambúðar.
Opinber samráðsáætlun framkvæmdastjórnarinnar er aðgengileg á Have Your Say.