На 29 април 2026 година, Европската комисија го објави нацрт-извршната уредба за регистарот на дигитален пасош за производи (Ares(2026)4424976). Во него се утврдени деталите од член 13, став 5 од ESPR ([Регулатива 2024/1781])(https://eur-lex.europa.eu/eli/reg/2024/1781/oj)) и утврдува како регистарот, со кој управува Комисијата, ќе функционира од техничка и организациска перспектива.
Текстот е означен како нацрт и сè уште не е усвоен. Сепак, клучните механизми веќе се јасно видливи - и тие имаат непосредни последици за секој производител кој ќе биде должен да издаде ДПП од 2027 година наваму.
Што е регистарот - а што не е
Прво, појаснување: регистарот на ЕУ не ги чува самите податоци од ДПП. Тоа е централна директориска служба која за секоја регистрација одржува единствен ИД, код на стоката, идентитет на економскиот оператор, хаш од верзијата на ППП и референца до резервната копија што ја чува давателот на услуги на ППП.
Во Резолутивниот став 3 ова се нарекува “децентрализиран модел”: податоците за производот остануваат кај производителот или на нивната платформа за ПП. Регистарот е каноничка адресарна листа, а не силос со податоци.
Функционално, регистарот се состои од:
- веб-интерфејс и API за регистрации
- платформа за верификација на економските оператори
- список на овластени даватели на услуги за ДПО
- семантички репозиториум (мултијазичен, структуриран според DCAT-AP) како референца за атрибути на податоци, структури на моделот и улоги
- систем за евиденција со повеќенивови периоди на задржување
Верификација пред регистрација
Ниту еден економски оператор не се внесува во регистарот додека не биде наведен како верификуван економски оператор (член 4). Верификацијата се врши директно преку регистарот и ги користи мерките на eIDAS утврдени во Регулативата 910/2014:
- Правно лице во рамките на ЕУ: квалификуван електронски печат или електронски сертификат за атрибут
- Физичко лице кое делува како трговец поединец во ЕУ: квалификуван електронски потпис, eID ниво “високо” или сертификат за атрибут
- Оператори надвор од ЕУ: квалификуван потпис или печат или сертификат за атрибут
Верификацијата е валидна најмногу три години. Секој што нема да го обнови ќе биде означен како “неверификуван” и ќе го изгуби правото да регистрира нови ДПО или да ги менува постоечките (член 4, став 4).
Оваа верификација е законска обврска. Тоа е прашање помеѓу производителот и Комисијата - и не може да се делегира. Ниту еден давател на услуги, па дури ни Transpareo, не може да го изврши тоа во ваше име.
Грануларност: модел, серија или артикал
Членот 8 бара ДПО да се регистрираат на ниво на грануларност утврдено со соодветното секторско законодавство - модел, ## серијаили артикал. Кога се создава ДПО за артикал и постојат идентификатори за серија или модел, тие мора да бидат вклучени. Истото важи и за идентификаторите на модел во случај на ДПО за серии.
За производителите, ова значи дека внатрешните главни податоци мора да имаат јасна хиерархија помеѓу моделот, серијата и поединечниот производ. Без оваа поврзаност, автоматската валидација на регистрацијата ќе не успее.
Верзионирање, хаш и задржување
Секоја верзија на ППД е поврзана со оригиналниот идентификатор за регистрација. За секоја промена, регистарот бара хаш од тековната верзија на ППД - хаш што може да се провери криптографски и не може да се генерира рачно.
Доказот за регистрација (член 9) е електронски документ кој Комисијата го заверува со квалификуван печат и временски печат. Тој мора да ги содржи најмалку следниве податоци: идентификациски број за регистрација, код на стока, идентитет на операторот, датум и хаш на најновата верзија. Важи 90 дена; може да се регенерира онолку често колку што е потребно.
Стандарден рок на чување: 10 години од регистрацијата, освен ако правото на Унијата или секторската легислатива не предвидуваат поинаков рок (член 10, став 3 од Извршната уредба за регистарот на ДПП). Дури и неликвидноста или ликвидацијата на производителот не ги ослободува од обврската да обезбедат достапност (член 11(е) од Уредбата за ЕСПР).
Систем за евиденција
Регистарот ги евидентира податоците во три нивоа (член 14):
- Пристапи и автентикации: 6 месеци
- Промени на податоци: за времетраењето на регистрацијата
- Административни дејства и размена на податоци: 5 години
На националните власти им се одобрува пристап во случај на инциденти, ревизии или случајни проверки.
Лични податоци - што чува Комисијата
Членот 18 ги наведува податоците што ги чува исклучиво регистарот: име и презиме на секој корисник, податоци за најава, токени за автентикација, поштенска адреса, адреса на е-пошта. За физички лица, ова исто така вклучува број на пасош или лична карта, е-идентификација (eID) и даночен идентификациски број. Овие податоци не се достапни за давателот на услуги DPP. Комисијата е контролор на податоците за оваа сметка, додека економскиот оператор останува контролор на податоците за своите DPP податоци.
Како Transpareo ги исполнува барањата
Повеќето од барањата се однесуваат на архитектонски одлуки кои Transpareo веќе ги има имплементирано во оваа форма. Конкретно:
Децентрализиран модел. Transpareo е платформа со повеќе корисници со изолирана база на податоци за секој клиент. DPP-податоците се наоѓаат во базата на податоци на економскиот оператор, а не во централна база - токму таа архитектура е потребна според Рециталот 3.
Јасно дефинирана улога на обработувачот на податоци. Член 19(5) и 20(3) пропишуваат дека економскиот оператор останува контролор на своите податоци од ДПО, дури и ако трета страна ги обработува. Transpareo веќе работи како обработувач на податоци според договор за обработка на податоци (ДОП) - улогите се јасно дефинирани.
Стабилни URL-адреси за резервна копија за секој DPP. Секој DPP на Transpareo е достапен преку постојана URL-адреса која останува непроменета дури и кога се ажурираат верзиите. Токму тоа го бара член 8, став 6, точка (d) како “врска до резервната копија хостирана од DPP-SP”.
Грануларност. Моделот на податоци на Transpareo прави разлика помеѓу моделот на производ, серијата и поединечниот производ и овозможува поврзувања низ целата хиерархија - предуслов за усогласеност со член 8, ставови 3 и 4.
Мултијазично семантичко мапирање. Репозиториумот на Комисијата е мултијазичен во согласност со DCAT-AP. Transpareo одржува секоја точка на податоци на 40 јазици, вклучувајќи ги сите 24 официјални јазици на ЕУ, при што преводот е вклучен во цената на услугата.
Хеш на верзијата. Веќе се обезбедени детерминистичка канонизација и SHA-256 хеш за секоја верзија на DPP. Единственото отворено прашање е точниот формат за прицврстување на хеш-кодот на регистарот на ЕУ; штом Комисијата го објави, ние исто така ќе го имплементираме.
Впишување како давател на услуги за DPP. Transpareo ќе поднесе барање за вклучување на официјалната листа на даватели на услуги за DPP (член 2, став 32 од ESPR) штом ќе биде објавена постапката за прием.
Внесувањето останува ваша одговорност. Регистарот прифаќа регистрации само од економскиот оператор што го става производот на пазарот, така што ние не го правиме тоа во ваше име. Она што го правиме е што ги правиме достапни информациите потребни за внесот - идентификатор на производот, идентификатор на економскиот оператор, постојана адреса и хеш на верзијата - така што пополнувањето на формуларот е прашање на минути откако интерфејсот ќе биде активен и ќе функционира.
Временска рамка
Членот 23 го утврдува датумот на стапување во сила: 20 дена по објавувањето во Службениот весник. Точниот датум ќе зависи од тоа кога Комисијата ќе ја усвои конечната верзија. Главната обврска според член 13(5) од ESPR е со датум 19 јули 2026 година - регистарот мора да биде во функција дотогаш.
Не се очекува регистарот целосно да стапи во функција пред 18 февруари 2027 година: На овој датум, член 77 од Регулативата на ЕУ за батерии 2023/1542 стапува на сила, и DPP ќе стане задолжителен за индустриски, електрични возила и LMT батерии со капацитет поголем од 2 kWh. Деталите и нерешените прашања во врска со Имплементирачкиот закон ги изложивме во Временската рамка на ESPR за 2027 година. Дотогаш има околу девет месеци. Секој што планира договори со добавувачи, миграција на главни податоци и внатрешни одобрувања знае дека ова е тесен распоред, а не дарежлив.
Она што останува да се разјасни
Самата Уредба го утврдува организацискиот рамковен. Она што недостасува е техничката спецификација на API-то - точниот формат на интерфејсот, шемите и правилата за валидација. Се очекува тоа да следи како посебна насока на Комисијата според член 15(1), веројатно подоцна во 2026 година.
Сепак, дотогаш е јасен правецот: децентрализирана архитектура, верификувани актери, квалификувани потписи, единствени регистарски идентификатори, ланец на верзии, семантичка интероперабилност. Сите овие се концепти кои се тука за да останат.
Официјалната консултативна иницијатива на Комисијата е достапна на Have Your Say.
Прашања за оваа објава
Дали овој нацрт сè уште е тековната верзија?
Не. Комисијата го усвои Регулативот на 16 јули 2026 година како Имплементиран Регулатив (ЕУ) 2026/1778, а регистарот е оперативен од 20 јули 2026 година, со тест-околина и техничка документација за економските оператори. Опишаните овде механизми - децентрализираниот модел, верификувани оператори, идентификациски броеви за регистрација, хеш-ови на верзии и десетгодишен рок на чување - се исто така наведени во усвоениот текст. Техничкиот интерфејс сè уште треба да се финализира. Сите промени направени пред усвојувањето се наведени во нашата анализа на Уредбата за регистарот.
Дали регистарот ги чува нашите податоци за производи?
Не. Тоа е директориум - кој вклучува идентификациски број за регистрација, код на производот, идентитетот на економскиот оператор, хеш на тековната верзија и референца до резервната копија што ја чува давателот на услуги. Податоците за производот остануваат кај вас или на вашата платформа; токму тоа значи децентрализираниот модел наведен во рециталите. Во практична смисла, ова значи дека записот во регистарот не ја заменува вашата обврска да го чувате пасошот достапен.
Што е eIDAS верификација и кому му е потребна?
Самиот оператор на деловниот субјект. Пред да може да се регистрира пристап, операторот мора да биде наведен како верификуван, користејќи ги средствата на eIDAS утврдени во Регулативата (ЕУ) бр. 910/2014 - квалификуван електронски печат или квалификуван сертификат за електронски атрибут за правни лица, или квалификуван потпис или eID од “високо” ниво за трговци поединци. Верификацијата е валидна најмногу три години; секој што ќе дозволи таа да истече ќе биде означен како “неверификуван” и ќе го изгуби правото да регистрира нови пасоши или да ги менува постоечките. Тоа е однос помеѓу вас и Комисијата; ниеден давател на услуги не може да го стори тоа во ваше име - затоа погрижете се да го започнете процесот навреме.
Може ли Transpareo да го спроведе процесот на регистрација за нас?
Не, и во моментов ниту еден давател на услуги не може да го стори тоа. Регистарот прифаќа записи само од економскиот оператор кој го пласира производот на пазарот (ESPR чл. 13(4) и (5); за батерии, чл. 77(10) од Регулативата за батерии); Helpdesk-от на EU DPP ја потврди оваа интерпретација, а Комисијата наведува дека испитува дали процедурата може да се отвори и за давателите на услуги. Она што го правиме е дека го одржуваме процесот на регистрација краток - секоја верзија веќе содржи идентификатор на производот, постојана адреса на која се наоѓа и отпечаток што ја потврдува неговата целосност. Штом интерфејсот ќе биде активен, едноставно ги внесувате овие информации еднаш и добивате запечатен доказ за регистрација.
На кое ниво го евидентираме ова - модел, серија или ставка?
На нивото определено со секторското законодавство. Ако е регистриран пасош на артикалот и постојат ID-а на серијата или на моделот, тие мора да бидат вклучени; истото важи и за ID-ата на моделот во случај на пасоши на серии (член 8 од нацрт-предлогот). Резултатот не е прашање на регистар, туку прашање на основните податоци - вашата сопствена хиерархија помеѓу моделот, серијата и поединечниот производ мора да биде уредна пред внесувањето, во спротивно автоматската валидација ќе не успее.
Колку долго мора регистрираниот пасош да остане валиден?
Десет години од датумот на регистрација е стандардниот период, освен ако правото на ЕУ или секторската специфична легислатива не утврди поинаков рок (член 10(3)). Инсолвентноста или ликвидацијата на производителот не ги ослободува од обврската да обезбедат достапност (ESPR чл. 11(е)) - затоа, прашањето што се случува со вашите пасоши по прекинот треба да се постави во секоја дискусија со давател. Во Transpareo, секоја објавена верзија се чува десет години во посебна архива за само читање и останува достапна преку постојана адреса.
Дали мораме сами да го генерираме хашот на верзијата?
Регистарот бара хеш од тековната верзија за секоја промена; тој мора да биде криптографски проверлив и не смее да се внесува рачно. Кој ја поседува лозинката, тој го генерира - во пракса тоа е платформата. Transpareo детерминистички ја канонизира и пресметува SHA-256 хеш за секоја верзија; Единственото непознато е точниот формат во кој регистарот го очекува. Ако сами го креирате складиштето на пасови, ова е делот што мора прво да го направите правилно - хеш што никој не може да го репродуцира е полош од никаков.
Доказот за регистрација е валиден 90 дена. Што опфаќа десетгодишниот период?
Во овој период, регистарот ќе генерира нов сертификат по барање; затоа 90-те дена ја претставуваат валидноста на документот, а не на регистрацијата. Сепак, барањето за чување од десет години претпоставува дека оригиналниот економски оператор сè уште постои и може да побара нов сертификат - поради што, во нашите повратни информации до Комисијата, предложивме јавна точка за верификација и кеширани бајтови од сертификатот (нашите четири поднесоци). Додека овој ендпоинт не биде воспоставен, ве молиме зачувајте го запечатениот сертификат што сте го добиле, наместо да се потпирате на неговото повторно издавање.
