- apríl 2026 birti framkvæmdastjórn Evrópusambandsins drög að framkvæmdarreglugerð um DPP-skrána og opnaði samhliða fjögurra vikna samráðstímabil. Fram til 27. maí 2026 geta einstaklingar og fyrirtæki innan ESB og utan sent inn ábendingar í gegnum “Have Your Say”-vefgáttina. Innsendingar eru opinberar, hverri þeirra er skrifað undir með nafni eða nafninu á stofnun, og þær verða formlega innlimaðar í lokaútgáfu reglugerðarinnar.
Við höfum rætt drögin ítarlega hér á blogginu. Við tileinkum þessa færslu spurningunni um hvað við skrifuðum til baka til framkvæmdastjórnarinnar.
Af hverju við lögðum fram fjórar aðskildar athugasemdir
Gáttin tekur við 4.000 stöfum í hverri athugasemd. Við hefðum getað þröngvað öllum okkar atriðum inn í eina langa athugasemd. Það hefði verið erfiðara fyrir starfsfólk framkvæmdastjórnarinnar - sem mun vinna úr tugum innsendinga í maí - að lesa og erfiðara að vitna í. Fjórar aðskildar innsendingar má hverja og eina finna í almenna listanum, og hverri þeirra er hægt að svara - eða hafna - fyrir sig án þess að hafa áhrif á aðra punkta.
Við lögðum fram eftirfarandi fjögur efni:
1. Að skilgreina lágmarkskröfur fyrir DPP-þjónustuveitendur
Drög að reglugerðinni lýsa réttilega dreifðu fyrirkomulagi: Gögn DPP eru geymd hjá efnahagsrekstraraðilanum eða DPP-þjónustuveitanda hans; skrá Kommisionarins geymir einungis tilvísanirnar. Formlegur listi yfir viðurkennda veitendur er fyrirhugaður fyrir DPP-þjónustuveitendur (2. mgr. 2. gr. ESPR).
Það sem vantar er skilgreining á því hvað þjónustuveitandi þarf í raun að gera til að vera skráður á þennan lista og vera áfram á honum. Líklega verða efnislegar skyldur kveðnar á framfæri í fullnustugerð samkvæmt 4. gr. aðalreglugerðar ESPR. Hins vegar verður skráin sett í loftið áður en þessi fullnustugerð er birt.
Tillaga okkar: Annað hvort skuli kveða beint á um lágmarksskilyrði fyrir þjónustuveitendur í þessari framkvæmdarreglugerð, eða tilgreina bindandi lokadagsetningu til að skila fráboðinni gerð. Tillaga að lágmarkskröfum felur í sér:
- Aðgengi opinbers DPP-lestrarviðmóts að minnsta kosti 99,5 prósent á mánuði
- Þjónustusamningur sem tilgreinir hversu hratt ný DPP-útgáfa skuli innifalin í afritinu (tillaga: innan 24 klukkustunda eða í rauntíma, þar sem tæknilega er mögulegt)
- Skylda dulkóðunarstaðfesting á innkomandi útgáfum af þjónustuveitunni
- Birting opinberra lykla efnahagsrekstraraðilans undir staðlaðri slóð (RFC 8615, tillaga
/.well-known/dpp-keys/) - Skilgreindur ferill fyrir skipti og gjaldþrot til að tryggja að DPP-gögn séu flutt á skipulagan hátt til annars þjónustuveitanda ef þjónustuveitandi hættir starfsemi
Þessar skyldur kosta traustan þjónustuveitanda ekkert - hann uppfyllir þær engu að síður - en koma í veg fyrir samkeppni um að bjóða lægsta verðið meðal ódýrari veitenda, sem að lokum grafur undan listanum.
2. Langtíma staðfestanleiki skráðra DPP-a
2.mgr. 9. gr. takmarkar aðgengi að skráningarskírteini við 90 almanaksdaga. Á þessu tímabili endurgerir skráin skírteinið að beiðni. Þetta hentar daglegum rekstri en samræmist ekki líftíma undirliggjandi skyldu DPP: 10. mgr. 10. gr. kveður á um að almenn varðveisluskylda sé 10 ár frá skráningu, en sérgreinilöggjöf getur krafist lengri tíma.
Markaðseftirlitsaðili, tollþjónn, endurvinnsluaðili eða rannsakandi árið 2032 ætti að geta staðfest að DPP sem skráð var árið 2026 hafi í raun verið skráð, án þess að þurfa að treysta á að upprunalegi efnahagsrekstraraðilinn sé enn til staðar og geti óskað eftir nýju vottorði.
Tvær tillögur okkar eru einfaldar í framkvæmd:
- Gera það skýrt að sönnunarbitar, sem hafa verið vottaðir og stimplaðir af framkvæmdastjórninni, megi vista í skyndiminni, geyma og endurdreifa af efnahagsrekstraraðila eða þjónustuveitanda. Staðfesta stimplunin samkvæmt 35. gr. 2. mgr. eIDAS-reglugerðarinnar ber með sér óyggjandi sönnun um ósnertanleika og uppruna, óháð því hvar bæturnar eru geymdar.
- Opinber, óstaðfestur staðfestingarenda í skrá sem skilar undirritaðri svörun fyrir skráningarnúmer. Eins og staðan er nú krefst staðfesting frá þriðja aðila þess að efnahagsrekstraraðilinn grípi til aðgerða - þetta er ekki rétt nálgun fyrir sönnunargagn sem þarf að endast lengur en útgefandinn.
Auk þess höfum við lagt til að skilgreina myndun hashsins á ákveðinn (deterministic) hátt: SHA-256 sem hash-fall, JSON Canonicalisation Scheme (RFC 8785) sem raðgreiningu, utan undirskriftarblokkarins. Í W3C-vistkerfinu samsvarar þetta dulkóðunarpakkanum eddsa-jcs-2022. Án þessarar festingarskráningar myndu tveir þjónustuveitendur umbreyta sama DPP í mismunandi hash-gildi, og hash-reiturinn í skráningarskírteininu yrði ekki endurframleiðanlegur.
3. 17. grein má ekki takmarka aðgang að opinberum DPP-gögnum
Í 17. grein er vísað til “gríðarlegra gagnanálgana” sem mögulegs misnotkunar á skráningarskránni. Þetta á við um stjórnunarauðkenningargögnin sem eru vistuð í skráningarskránni sjálfri (auðkenni, dagbækur, endurskoðunarspor) - þau eiga ekki heima í stórum niðurhölum.
Hins vegar er það einmitt opinbera DPP-gögnin sem framleiðandinn eða þjónustuveitandinn hefur yfir að ráða sem ESPR stefnir að því að gera víðtækt aðgengileg. Endurvinnendur sem draga út samsetningargögn um vörulotur; rannsakendur sem bera saman fullyrðingar um sjálfbærni; eftirlit á markaði sem framkvæmir samanburðargreiningar - þetta eru öll dæmi um “gríðarlega gagnanám” úr opinbera DPP-laginu og eru öll tilgangssöm notkun sem reglugerðin var samin fyrir.
Tillaga okkar er skýrandi setning í 17. grein sem takmarkar gildissvið skráningargagna og vísar, hvað varðar DPP-gögn, til viðeigandi geiraspesifískra framseldra reglugerða. Annars munu þjónustuveitendur standa frammi fyrir vali við upphaf reksturs: annaðhvort að takmarka aðgengishraða almenningsaðgangs af varúðarsjónarmiðum - og þar með spilla upplifun neytenda - eða að láta aðganginn vera opinn og taka áhættuna á því að það verði síðar flokkað sem misnotkun í skilningi 17. greinar.
4. Birting OpenAPI-tilgreiningar og sandkassa fyrir setningu
- gr. b-liður krefst API fyrir skráningar. 8. gr. 5. mgr. tilnefnir það sem annan af tveimur miðlum fyrir skráningar. Þó segir reglugerðin ekkert um hvenær API-samningurinn skuli birtur.
Allir sem sjálfvirknivæða skráningarferla - þ.e. allir þjónustuveitendur og allir efnahagsrekstraraðilar með stórt vöruúrval - þurfa API-tilgreininguna langt fyrir útgáfu til að geta innleitt hana og prófað gegn lifandi endapunkti. Að þurfa að finna forskrift í viku fyrir gildistöku reglugerðarinnar færir samþættingaráhættu yfir á alla þjónustuveitendur í vistkerfinu.
Við höfum því lagt til:
- Að birta OpenAPI 3.1-tilgreiningu að minnsta kosti átta vikum áður en reglugerðin tekur gildi - fyrir gildistöku 19. júlí 2026, þyrfti það að vera gert fyrir 24. maí 2026
- Samhliða sandkassarumhverfi sem þjónustuveitendur og framleiðendur geta notað til að samþætta og prófa sjálfvirka staðfestingu samkvæmt 8. gr. 6. mgr.
- Útgáfustefna sem byggir á Semver, með úreldingartímabili sem er að minnsta kosti 18 mánuðir
Viðbótartillögur um hönnun: idempotency-lyklar fyrir skráningarútsendingar, lotuskráning fyrir stóra vörulista, ósamstillt skráning með webhook-köllum og vélrænt læsilegir villukóðar fyrir sjálfvirka staðfestingarvilla.
Af hverju við gerum þetta
Samráð er ekki leikur til að safna stigum. Ef hver tillaga tekst að gera eina setningu í lokaútgáfunni nákvæmari hefur hún þjónað tilgangi sínum. Framkvæmdastjórnin les þessi framlög í raun - reynsla af ESPR-ferlinu sjálfu sýnir að tæknilega traustar skýrslur skilja oft eftir sig spor í lokatextunum.
Við munum í öllum tilvikum sækja um að vera skráð á lista yfir DPP-þjónustuveitendur um leið og inntökuferlið verður birt. Það er því í beinum hagsmunum okkar að reglurnar sem við keppum eftir séu nákvæmar og tryggi jafnrétti allra aðila. Þessar fjórar skýrslur eru okkar áþreifanlegi vegur til að tryggja að listinn breytist ekki í tómt markaðsmerki.
Hvernig taka má þátt
Móttökutímabilið fyrir athugasemdir er opið til 27. maí 2026. Athugasemdir má senda inn á hvaða opinberu tungumáli ESB sem er; þú þarft að skrá þig inn á vefgáttina og athugasemd þín verður opinber. Allir sem hyggjast gefa út eða staðfesta DPP - framleiðendur, þjónustuveitendur, endurvinnendur, opinberir aðilar - ættu að minnsta kosti að kynna sér frumkvæðið á Have Your Say. Jafnvel stutt og tæknilega rétt innsenda tillaga skiptir máli.
Staðfestingartæki okkar Transpareo Tímavélin uppfyllir nú þegar kröfu um staðfestingu sem tilgreind er í lið 2 í opnum hugbúnaðarvenjum: hver sem er getur sjálfstætt staðfest Transpareo DPP með tækinu í dag, án þess að þurfa að bíða eftir formlega stofnuðu staðfestingarenda í skrá framkvæmdastjórnarinnar.