Il 29 aprile 2026 la Commissione europea ha pubblicato il progetto di regolamento di esecuzione relativo al registro del passaporto digitale del prodotto (Ares(2026)4424976). Esso specifica l’articolo 13, paragrafo 5, dell’ESPR (Regolamento 2024/1781) e definisce le modalità di funzionamento tecnico e organizzativo del registro gestito dalla Commissione.
Il testo è contrassegnato come bozza e non è ancora stato adottato. Tuttavia, i meccanismi essenziali sono già chiaramente riconoscibili e hanno conseguenze immediate per ogni produttore che, a partire dal 2027, dovrà rilasciare un DPP.
Che cos’è il registro - e che cosa non è
Una precisazione preliminare: il registro dell’UE non memorizza i dati del DPP stessi. Si tratta di un servizio di elenco centralizzato che, per ogni registrazione, conserva un ID univoco, il codice merceologico, l’identità dell’operatore economico, un hash della versione della DPP e un riferimento alla copia di backup presso il fornitore del servizio DPP.
Il considerando 3 definisce questo approccio un «modello decentralizzato»: i dati relativi ai prodotti continuano a risiedere presso il produttore o sulla sua piattaforma DPP. Il registro costituisce l’elenco di indirizzi di riferimento, non un silo di dati.
Dal punto di vista funzionale, il registro è costituito da:
- un’interfaccia web e un’API per le registrazioni
- una piattaforma di verifica per gli operatori economici
- un elenco dei fornitori di servizi DPP autorizzati
- un repository semantico (multilingue, strutturato secondo lo standard DCAT-AP) come riferimento per attributi dei dati, strutture dei modelli e ruoli
- un sistema di registrazione con periodi di conservazione differenziati
Verifica prima della registrazione
Nessun DPP viene inserito nel registro prima che l’operatore economico richiedente sia registrato come operatore economico verificato (art. 4). La verifica viene effettuata direttamente presso il registro e si avvale degli strumenti eIDAS previsti dal Regolamento 910/2014:
- Persona giuridica nell’UE: sigillo elettronico qualificato o attestato elettronico di attributi
- Persona fisica in qualità di imprenditore individuale nell’UE: firma elettronica qualificata, eID di livello «elevato» o certificato di attributi
- Soggetti al di fuori dell’UE: firma o sigillo elettronico qualificato oppure certificato di attributi
La verifica ha validità massima di tre anni. Chi non provvede al rinnovo viene contrassegnato come «non verificato» e perde il diritto di registrare nuovi DPP o di modificare quelli esistenti (art. 4, par. 4).
Tale verifica costituisce il presupposto giuridico. Essa è di competenza esclusiva del produttore e della Commissione e non può essere delegata. Nessun fornitore di servizi, nemmeno Transpareo, può effettuarla per conto Suo.
Granularità: modello, lotto o articolo
L’articolo 8 richiede che i DPP siano registrati al livello di granularità previsto dal rispettivo atto normativo di settore: modello, ## lottoo articolo. Se viene creato un DPP di articolo e esistono ID di lotto o di modello, questi devono essere riportati. Per i DPP relativi a un lotto, vale lo stesso principio per gli ID del modello.
Per i produttori ciò significa che i dati anagrafici interni devono presentare una gerarchia chiara tra modello, lotto e singolo prodotto. Senza questo collegamento, la convalida automatica della registrazione fallisce.
Versioni, hash e conservazione
Ogni versione del DPP viene collegata all’ID di registrazione originario. Ad ogni modifica, il registro richiede un hash della versione attuale del DPP - verificabile crittograficamente, non generabile manualmente.
La prova di registrazione (art. 9) è un documento elettronico che la Commissione sigilla con un sigillo qualificato e provvede a dotare di un timbro temporale. Il contenuto deve comprendere almeno: ID di registrazione, codice merceologico, identità dell’operatore, data e hash dell’ultima versione. Valido per 90 giorni, rigenerabile a piacimento.
Conservazione standard: 10 anni dalla registrazione, salvo che il diritto dell’Unione o il diritto settoriale non prevedano un termine diverso (art. 10, comma 3, del regolamento di esecuzione relativo al registro DPP). Neanche l’insolvenza o la liquidazione del produttore esonerano dall’obbligo di disponibilità (ESPR, art. 11, lett. e)).
Sistema di registrazione
Il registro registra i dati secondo un sistema a tre livelli (art. 14):
- Accessi e autenticazioni: 6 mesi
- Modifiche dei dati: per tutta la durata della registrazione
- Azioni amministrative e scambio di dati: 5 anni
Le autorità nazionali hanno accesso ai dati in caso di incidenti, audit o controlli a campione.
Dati personali: cosa conserva la Commissione
L’articolo 18 elenca i dati conservati esclusivamente dal registro: nome e cognome di ciascun utente, credenziali di accesso, token di autenticazione, indirizzo postale, e-mail. Per le persone fisiche, inoltre, numero di passaporto o di carta d’identità, eID, codice fiscale. Tali dati non vengono comunicati al fornitore di servizi DPP. La Commissione è il titolare del trattamento di questi dati relativi all’account, mentre l’operatore economico rimane il titolare del trattamento dei propri dati DPP.
In che modo Transpareo soddisfa i requisiti
La maggior parte dei requisiti riguarda scelte architetturali che Transpareo adotta già in questa forma. Nello specifico:
Modello decentralizzato. Transpareo è una piattaforma multi-tenant con un database isolato per ciascun cliente. I dati DPP risiedono nel database dell’operatore economico, non in un pool centrale: si tratta esattamente dell’architettura prevista dal considerando 3.
Ruolo del responsabile del trattamento chiaramente delimitato. Gli articoli 19, paragrafo 5, e 20, paragrafo 3, prevedono che il soggetto economico rimanga il titolare del trattamento dei propri dati, anche qualora un terzo li tratti. Transpareo opera già oggi in qualità di responsabile del trattamento con un accordo sui responsabili del trattamento (AVV): i ruoli sono ben definiti.
URL di backup stabili per ogni DPP. Ogni DPP di Transpareo è accessibile tramite un URL permanente, che non subisce variazioni nemmeno in caso di aggiornamenti di versione. È esattamente quanto richiesto dall’articolo 8, paragrafo 6, lettera d), come «link al backup ospitato da un DPP-SP».
Granularità. Il modello di dati di Transpareo distingue tra modello di prodotto, lotto e singolo prodotto e consente collegamenti lungo la gerarchia: il presupposto per soddisfare l’articolo 8, paragrafi 3 e 4.
Mappatura semantica multilingue. Il repository della Commissione è multilingue secondo lo standard DCAT-AP. Transpareo gestisce ogni dato in 40 lingue, comprese tutte le 24 lingue ufficiali dell’UE, con la traduzione inclusa nel prezzo.
Hash di versione. La canonizzazione deterministica e un hash SHA-256 per ogni versione DPP sono già disponibili. Resta da definire solo l’esatto formato di «hash pinning» del registro dell’UE; non appena la Commissione lo pubblicherà, provvederemo a integrarlo.
Iscrizione nell’elenco dei fornitori di servizi DPP. Transpareo presenterà la propria candidatura per l’inserimento nell’elenco ufficiale dei fornitori di servizi DPP (art. 2 n. 32 dell’ESPR) non appena sarà pubblicata la procedura di ammissione.
La registrazione rimane a carico vostro. Il registro accetta la registrazione solo da parte dell’operatore economico che immette il prodotto sul mercato; pertanto, non la effettuiamo al posto vostro. Ciò che facciamo è tenere a disposizione i dati richiesti per l’iscrizione - identificativo del prodotto, identificativo dell’operatore, indirizzo permanente e hash della versione - affinché la compilazione richieda solo pochi minuti non appena l’interfaccia sarà operativa.
Calendario
L’entrata in vigore è disciplinata dall’articolo 23: 20 giorni dopo la pubblicazione nella Gazzetta ufficiale. La data esatta dipenderà dal momento in cui la Commissione adotterà la versione definitiva. Il mandato principale di cui all’articolo 13, paragrafo 5, dell’ESPR è fissato al 19 luglio 2026: entro tale data il registro dovrà essere operativo.
Si prevede che il registro diventi effettivamente operativo solo a partire dal 18 febbraio 2027: in tale data entrerà in vigore l’articolo 77 del Regolamento UE sulle batterie 2023/1542, e il DPP diventerà obbligatorio per le batterie industriali, per veicoli elettrici (EV) e per sistemi di gestione dell’energia (LMT) con capacità superiore a 2 kWh. Abbiamo riportato i dettagli e le questioni ancora aperte relative all’atto di esecuzione nel calendario ESPR 2027. Mancano circa nove mesi a tale data. Chi sta pianificando i contratti con i fornitori, la migrazione dei dati anagrafici e le approvazioni interne sa bene che si tratta di un lasso di tempo limitato, non abbondante.
Cosa resta ancora da definire
Il regolamento stesso descrive la struttura organizzativa. Ciò che manca è la specifica tecnica dell’API: il formato esatto dell’interfaccia, gli schemi e le regole di convalida. Si prevede che questa venga pubblicata successivamente sotto forma di linea guida separata della Commissione ai sensi dell’art. 15, par. 1, probabilmente nel corso del 2026.
Fino ad allora, tuttavia, la linea da seguire è chiara: architettura decentralizzata, soggetti verificati, firme qualificate, ID di registrazione univoci, concatenamento delle versioni, interoperabilità semantica. Tutti concetti destinati a rimanere.
L’iniziativa di consultazione ufficiale della Commissione è disponibile su Have Your Say.
Domande relative a questo articolo
Questa bozza corrisponde ancora al testo attuale?
No. La Commissione ha adottato il regolamento il 16 luglio 2026 come regolamento di esecuzione (UE) 2026/1778, e il registro è operativo dal 20 luglio 2026, con un ambiente di prova e la documentazione tecnica a disposizione degli operatori economici. I meccanismi qui descritti - modello decentralizzato, soggetti verificati, codici di registrazione, hash delle versioni, periodo di conservazione di dieci anni - figurano anche nel testo adottato. L’interfaccia tecnica non è ancora definitiva. Le modifiche apportate fino al momento dell’adozione sono riportate nella nostra analisi del regolamento sul registro.
Il registro memorizza i dati relativi ai nostri prodotti?
No. Si tratta di un registro - ID di registrazione, codice merce, identità dell’operatore economico, hash della versione attuale e riferimento alla copia di sicurezza presso il fornitore del servizio. I dati relativi al prodotto rimangono presso di Lei o sulla Sua piattaforma: è proprio questo il significato del modello decentralizzato di cui parlano i considerando. In pratica, ciò significa che una voce nel registro non sostituisce il Suo obbligo di mantenere accessibile il pass.
Che cos’è la verifica eIDAS e chi ne ha bisogno?
Il soggetto economico stesso. Prima che un pass possa essere registrato, il soggetto deve essere registrato come verificato, secondo le modalità previste dal regolamento (UE) n. 910/2014 (eIDAS) - timbro elettronico qualificato o certificato di attributi elettronico per le persone giuridiche; firma qualificata o eID di livello «elevato» per gli imprenditori individuali. La verifica ha validità massima di tre anni; chi la lascia scadere viene classificato come non verificato e perde il diritto di registrare nuovi pass o di modificare quelli esistenti. Essa sussiste tra Lei e la Commissione; nessun fornitore di servizi può mantenerla per suo conto - pertanto, Le consigliamo di avviare la procedura con largo anticipo.
Transpareo può occuparsi della registrazione per conto nostro?
No, e al momento nessun operatore è in grado di farlo. Il registro accetta la registrazione solo da parte dell’operatore economico che immette il prodotto sul mercato (ESPR, art. 13, commi 4 e 5; per le batterie, art. 77, paragrafo 10, del regolamento sulle batterie); l’Help Desk DPP dell’UE ha confermato questa interpretazione e, secondo quanto da essa stessa dichiarato, la Commissione sta valutando se sia possibile estendere la procedura ai fornitori di servizi. Ciò che facciamo è semplificare la procedura di registrazione: ogni pass riporta già l’identificativo del prodotto, l’indirizzo permanente a cui è associato e l’impronta digitale che ne attesta l’inalterabilità. Non appena l’interfaccia sarà operativa, sarà sufficiente inserire tali dati una sola volta per ricevere l’attestato di registrazione autenticato.
A quale livello effettuiamo la registrazione: modello, lotto o articolo?
Al livello previsto dall’atto normativo di settore. Qualora venga registrata una scheda articolo ed esistano ID di lotto o di modello, questi devono essere riportati; per le schede di lotto vale lo stesso per gli ID di modello (articolo 8 della bozza). La conseguenza non è un problema di registro, bensì un problema di dati anagrafici: la vostra gerarchia tra modello, lotto e singolo prodotto deve essere corretta prima dell’inserimento, altrimenti la convalida automatica fallirà.
Per quanto tempo deve rimanere disponibile un pass registrato?
Lo standard è di dieci anni dalla registrazione, a meno che il diritto dell’Unione o la normativa settoriale non stabiliscano un termine diverso (art. 10, par. 3). L’insolvenza o la liquidazione del produttore non esonerano dall’obbligo di disponibilità (ESPR, art. 11, lett. e); pertanto, la questione relativa a cosa accada ai Suoi pass dopo la risoluzione del contratto deve essere affrontata in ogni colloquio con il fornitore. Presso Transpareo, ogni versione pubblicata viene conservata per dieci anni in un archivio separato e protetto da scrittura e rimane accessibile tramite un indirizzo permanente.
Dobbiamo generare noi stessi l'hash della versione?
Il registro richiede, ad ogni modifica, un hash della versione corrente, verificabile crittograficamente e non digitato manualmente. Chi detiene la chiave lo genera; in pratica, quindi, è la piattaforma a farlo. Transpareo esegue la canonizzazione in modo deterministico e calcola un hash SHA-256 per ogni versione; l’unico aspetto da definire è il formato esatto in cui il registro lo richiede. Se si realizza autonomamente la memoria dei pass, questa è la parte che occorre impostare correttamente per prima: un hash che nessuno è in grado di riprodurre è peggiore di uno che non esiste affatto.
Il certificato di registrazione ha una validità di 90 giorni. Cosa copre il periodo di dieci anni?
Entro tale termine, il registro genera nuovamente l’attestato su richiesta; i 90 giorni rappresentano quindi la validità del documento e non della registrazione. Una conservazione di oltre dieci anni presuppone tuttavia che il soggetto economico originario esista ancora e possa richiedere un nuovo certificato; per questo motivo, nella nostra risposta alla Commissione abbiamo proposto un punto di verifica pubblico e byte di certificato memorizzabili temporaneamente (i nostri quattro contributi). Fino a quando tale endpoint non sarà disponibile, conservi l’attestato sigillato ricevuto, anziché fare affidamento sulla sua rigenerazione.
