- априла 2026. године Европска комисија је објавила нацрт Извршне уредбе о регистру дигиталног пасоша производа (Ares(2026)4424976). Утврђује детаље члана 13 став 5 ESPR-а ([Уредба 2024/1781])(https://eur-lex.europa.eu/eli/reg/2024/1781/oj)) и утврђује како ће регистар, којим управља Комисија, функционисати са техничке и организационе тачке гледишта.
Текст је означен као нацрт и још увек није усвојен. Међутим, кључни механизми су већ јасно уочљиви - и они имају непосредне последице за сваког произвођача који ће бити у обавези да издаје ДПП од 2027. године па надаље.
Шта је регистар - а шта није
Прво, појашњење: регистар ЕУ сам по себи не чува податке ДПП-а. То је централна директоријумска служба која за сваку регистрацију води јединствени ИД, шифру производа, идентитет економског оператора, хаш верзије ДПП-а и референцу на резервну копију коју чува пружалац услуге ДПП-а.
Уводни став 3 на то указује као на “децентрализовани модел”: подаци о производу остају код произвођача или на његовој DPP платформи. Регистар је канонска адресарна листа, а не силос података.
Функционално, регистар се састоји од:
- веб интерфејса и API-ја за регистрације
- платформе за верификацију економских оператера
- списак овлашћених пружалаца услуга DPP
- семантичко складиште (мултијезички, структуриран према DCAT-AP) као референца за атрибуте података, структуре модела и улоге
- систем за евидентирање са вишестепеним роковима задржавања
Верификација пре регистрације
Ниједан DPP се не уноси у регистар док подносилац, економски оператор, не буде уписан као проверен економски оператор (члан 4). Верификација се спроводи директно преко регистра и користи мере eIDAS наведене у Уредби 910/2014:
- Правно лице у ЕУ: квалификовани електронски печат или електронски сертификат атрибута
- Физичко лице које послује као самостални предузетник у ЕУ: квалификовани електронски потпис, ниво еИД “висок” или сертификат атрибута
- Оператори ван ЕУ: квалификовани потпис или печат или сертификат атрибута
Верификација важи највише три године. Сви који не обнове биће означени као “непроверени” и изгубиће право да региструју нове ДПП или мењају постојеће (члан 4(4)).
Ова верификација је законски захтев. То је питање између произвођача и Комисије - и не може се делегирати. Ниједан пружалац услуга, па чак ни Transpareo, не може то урадити у ваше име.
Ниво детаљности: модел, серија или артикал
Члан 8 захтева да се DPP-ови региструју на нивоу детаљности који одређује релевантно секторско законодавство - модел, серија или артикал. Када се креира DPP за артикал, а постоје ID-ови серије или модела, они морају бити укључени. Исто важи и за идентификационе бројеве модела у случају ДПП-ова за серије.
За произвођаче, ово значи да интерни основни подаци морају имати јасну хијерархију између модела, серије и појединачног производа. Без ове везе, аутоматска валидација регистрације ће бити неуспешна.
Верзионирање, хеш и задржавање
Свака верзија ДПО-а повезана је са оригиналним идентификационим бројем регистрације. За сваку промену, регистар захтева хеш тренутне верзије ДПО-а - који мора бити криптографски проверљив и не може се генерисати ручно.
Доказ о регистрацији (члан 9) је електронски документ који Комисија запечаћује квалификованим печатом и временским жигом. Он мора да садржи најмање следеће: ИД регистрације, код производа, идентитет оператора, датум и хеш најновије верзије. Важи 90 дана; може се поново генерисати онолико пута колико је потребно.
Стандардни рок чувања: 10 година од регистрације, осим ако право Уније или секторско законодавство не предвиђа другачији рок (члан 10. став 3. Уредбе о спровођењу регистра ДПП). Чак ни insolventnost или ликвидација произвођача не ослобађа оператора обавезе да обезбеди доступност (ESPR чл. 11(е)).
Систем евиденције
Регистар евидентира податке у три нивоа (чл. 14):
- Приступи и аутентификације: 6 месеци
- Промене података: током трајања регистрације
- Административне радње и размена података: 5 година
Националним властима се одобрава приступ у случају инцидената, ревизија или насумичних провера.
Лични подаци - шта Комисија чува
Члан 18 наводи податке које води искључиво регистар: име и презиме сваког корисника, акредитиве за пријаву, токене за аутентификацију, поштанску адресу и адресу електронске поште. За физичка лица, ово такође укључује број пасоша или личне карте, е-идентификациони број (eID) и порески идентификациони број. Ови подаци нису доступни пружаоцу услуге ДПП. Комисија је контролор података за ове податке о налогу, док економски оператор остаје контролор података за своје ДПП податке.
Како Transpareo испуњава захтеве
Већина захтева односи се на архитектонске одлуке које је Transpareo већ имплементирао у овом облику. Конкретно:
Децентрализовани модел. Transpareo је платформа за више корисника са изолованом базом података за сваког клијента. DPP подаци се налазе у бази података економског оператора, а не у централном складишту - управо она архитектура коју захтева Рецитал 3.
Јасно дефинисан улог обрађивача података. Чланови 19(5) и 20(3) прописују да економски оператор остаје контролор својих података из пасоша, чак и ако их обрађује трећа страна. Transpareo већ послује као обрађивач података на основу уговора о обради података (DPA) - улози су јасно дефинисани.
Стабилне URL адресе за резервне копије за сваког DPP-а. Сваки Transpareo DPP доступан је преко трајне URL адресе која остаје непромењена чак и при ажурирањима верзија. Управо то захтева члан 8(6)(d) као “везу ка резервној копији коју хостује DPP-SP”.
Грануларност. Модел података компаније Transpareo разликује између модела производа, серије и појединачног производа и омогућава везе кроз целу хијерархију - предуслов за усаглашеност са чланом 8(3)/(4).
Вишејезично семантичко мапирање. Репозиторијум Комисије је вишејезичан у складу са DCAT-AP. Transpareo одржава сваку тачку података на 40 језика, укључујући свих 24 званична језика ЕУ, а превод је укључен у цену услуге.
Хеш верзије. Детерминистичка канонизација и SHA-256 хеш по DPP верзији су већ обезбеђени. Једини преостали проблем је тачан формат причвршћивања хеша регистра ЕУ; чим Комисија га објави, ми ћемо га у складу с тим мапирати.
Упис као пружалац услуга DPP. Transpareo ће поднети захтев за упис на званичну листу пружалаца услуга DPP (члан 2(32) ESPR) чим буде објављен поступак пријема.
Упис остаје ваша одговорност. Регистар прихвата регистрације само од економског оператора који ставља производ на тржиште, тако да вам ову обавезу не преузимамо. Оно што ми радимо јесте да ставимо на располагање информације потребне за упис - идентификатор производа, идентификатор оператора, стална адреса и хеш верзије - тако да попуњавање обрасца траје само неколико минута када интерфејс буде активан и функционалан.
Временски распоред
Члан 23. утврђује датум ступања на снагу: 20 дана након објављивања у Службеном листу. Тачан датум ће зависити од тога када Комисија усвоји коначну верзију. Основни мандат према члану 13(5) ESPR-а је датован 19. јула 2026. године - регистар мора до тада да буде успостављен и оперативан.
Не очекује се да ће регистар у потпуности постати оперативан до 18. фебруара 2027. године: На овај датум ступа на снагу члан 77 Уредбе ЕУ о батеријама 2023/1542, а DPP ће постати обавезан за индустријске, електричне возила и LMT батерије чија прекорачује 2 kWh. Детаље и отворена питања у вези са Извршним актом изложили смо у ESPR распореду за 2027. До тада је остало око девет месеци. Сви који планирају уговоре са добављачима, миграцију мастер података и интерне одобрења знају да је ово кратак рок, а не издашан.
Шта остаје да се разјасни
Сама Уредба утврђује организациони оквир. Оно што недостаје јесте техничка спецификација API-ја - тачан формат интерфејса, шеме и правила валидације. Очекује се да ће то уследити као посебан смерница Комисије у складу са чланом 15(1), вероватно негде током 2026. године.
До тада је, међутим, смер јасан: децентрализована архитектура, проверени актери, квалификовани потписи, јединствени идентификациони бројеви регистрације, ланац верзија, семантичка интероперабилност. Сви су то концепти који су ту да остану.
Званична иницијатива Комисије за консултације доступна је на Have Your Say.
Питања о овој објави
Да ли је овај нацрт и даље актуелна верзија?
Не. Комисија је усвојила Уредбу 16. јула 2026. године као Имплементарну уредбу (ЕУ) 2026/1778, а регистар је оперативан од 20. јула 2026. године, са тест окружењем и техничком документацијом за економске операторе. Механизми описани овде - децентрализовани модел, проверени оператери, идентификациони бројеви регистрације, хеш-ови верзија и десетогодишњи рок чувања - такође су укључени у усвојени текст. Технички интерфејс још увек није финализован. Све измене направљене пре усвајања наведене су у нашој анализи Уредбе о регистру.
Да ли регистар складишти наше податке о производу?
Не. То је директоријум - који обухвата ИД регистрације, шифру производа, идентитет економског оператора, хеш тренутне верзије и референцу на резервну копију коју чува пружалац услуга. Подаци о производу остају код вас или на вашој платформи; управо то значи децентрализовани модел на који се у уводним изјавама позива. У практичном смислу, то значи да упис у регистар не замењује вашу сопствену обавезу да пасош држите доступним.
Шта је eIDAS верификација и коме је потребна?
Самостални оператор пословања. Пре него што се пасош може регистровати, оператор мора бити наведен као проверен, користећи еIDAS средства утврђена Уредбом (ЕУ) бр. 910/2014 - квалификовани електронски печат или сертификат електронског атрибута за правна лица, или квалификовани потпис или еID на “високом” нивоу за самосталне предузетнике. Верификација важи највише три године; свако ко дозволи да истекне биће означен као “неверификован” и изгубиће право да региструје нове пасоше или мења постојеће. То је однос између вас и Комисије; ниједан пружалац услуга не може га обавити у ваше име - зато побрините се да процес започнете на време.
Може ли Transpareo да обави процес регистрације за нас?
Не, и тренутно ниједан пружалац услуге то не може да уради. Регистар прихвата само уносе економског оператера који ставља производ на тржиште (ESPR чл. 13(4) и (5); за батерије, чл. 77(10) Уредбе о батеријама); Helpdesk платформе EU DPP потврдио је ту интерпретацију, а Комисија наводи да испитује да ли се поступак може отворити и за пружаоце услуга. Оно што ми радимо јесте да процес регистрације буде кратак - свака трака већ садржи идентификатор производа, сталу адресу на којој се налази и отисак који потврђује да није измењен. Чим интерфејс буде активан и у функцији, једноставно унесете ове информације једном и добијете запечаћени доказ о регистрацији.
На ком нивоу ово бележимо - моделу, серији или јединици?
На нивоу прописаном секторским законодавством. Ако је регистрован пасош артикла и постоје ИД серије или ИД модела, они морају бити укључени; исто важи и за ИД модела у случају пасоша серије (члан 8 нацрта). Резултат није упис у регистар, већ питање мастер података - ваша сопствена хијерархија између модела, серије и појединачног производа мора бити уредна пре уписа, иначе ће аутоматска валидација пропасти.
Колико дуго регистровани пасош мора да остане важећи?
Десет година од датума регистрације је стандардни рок, осим ако право ЕУ или секторска законодавства не предвиђају другачији рок (члан 10(3)). Инсолвентност или ликвидација произвођача не ослобађа их обавезе да обезбеде доступност (ESPR чл. 11(e)) - стога би питање шта се дешава са вашим пасошима након престанка уговора требало поставити у сваком разговору са добављачем. У Transpareo-у се свака објављена верзија чува десет година у засебној архиви само за читање и остаје доступна преко трајне адресе.
Да ли морамо сами да генеришемо хаш верзије?
Регистар захтева хеш тренутне верзије за сваку промену; он мора бити криптографски проверљив и не сме се уносити ручно. Онај ко поседује лозинку генерише га - у пракси је то платформа. Transpareo детерминистички канонизује и израчунава SHA-256 хеш за сваку верзију; једина непознаница је тачан формат у којем регистар то очекује. Ако сами правите складиште пропусница, ово је део који морате прво исправно урадити - хаш који нико не може да репродукује гори је од потпуног одсуства хаша.
Доказ о регистрацији важи 90 дана. Шта обухвата десетогодишњи рок?
У овом периоду регистар ће по захтеву поново генерисати сертификат; стога се 90 дана односи на важење документа, а не на важење регистрације. Међутим, захтев да се сертификат чува више од десет година претпоставља да оригинални економски оператор и даље постоји и може да затражи нови сертификат - због чега смо у нашим повратним информацијама Комисији предложили јавну тачку за верификацију и кеширане бајтове сертификата (наша четири предлога). Док овај ендпоинт не буде доступан, молимо вас да сачувате запечаћени сертификат који сте добили, уместо да се ослањате на његово поновно издавање.
