technology

Requisitos para proveedores DPP: normas UE para plataformas

Qué significa el proceso de acto delegado de la UE para las plataformas DPP: gobernanza, portabilidad, respaldo, control de acceso y certificación.

29/3/2026 · 12 min de lectura · InfoDPP

Registro DPP, 22 de julio de 2026: el Registro en producción, el entorno de pruebas, el acceso a la API y los primeros recursos de aplicación ya están disponibles, pero la guía publicada solo abarca a los operadores económicos. No ofrece una vía de integración para proveedores de servicios, un proceso de certificación ni una lista pública de certificación. El Reglamento (UE) 2026/1778 exige que el Registro incluya una lista de proveedores de servicios DPP verificados, pero se trata de la verificación de identidad y acceso a las funciones del Registro, no de certificación, acreditación ni transferencia de responsabilidad conforme al Derecho de productos.

Por qué importan los proveedores de servicios

Muchas empresas siguen pensando en el Pasaporte Digital de Productos a nivel visible: datos de producto, códigos QR, páginas para el consumidor y declaraciones de conformidad.

Pero para la UE, eso es solo una parte. También existe una capa de infraestructura: los sistemas y proveedores que almacenan, gestionan, publican y protegen los registros DPP a lo largo del tiempo.

Por eso la Comisión Europea prepara un acto delegado específicamente dirigido a los proveedores de servicios DPP.

Para las plataformas de software, esto tiene implicaciones directas. Los proveedores DPP podrían convertirse en algo más que proveedores SaaS convencionales: podrían ser actores regulados o parcialmente regulados del ecosistema DPP, de los que se espera portabilidad, gobernanza, continuidad y acceso fiable a los datos de producto.

Qué quiere regular la Comisión

La iniciativa sobre proveedores DPP indica que la Comisión recoge opiniones sobre cómo deben almacenar y gestionar los datos los proveedores y sobre la necesidad de un sistema de certificación.

Las preguntas se refieren al funcionamiento del sistema:

¿quién controla los datos?
¿cómo se almacenan?
¿quién tiene acceso?
¿cómo se mantiene la disponibilidad a lo largo del tiempo?
¿necesitan los proveedores cualificación o certificación formal?

El acto definitivo aún no se ha adoptado, pero las cuestiones de gobernanza ya están claramente definidas.

Alcance de la facultad delegada a la Comisión

El artículo 11 del ESPR faculta expresamente a la Comisión para fijar tres aspectos en el acto delegado:

los requisitos que deben cumplir las entidades para convertirse en proveedores de servicios DPP;
cuando proceda, un sistema de certificación para verificar el cumplimiento de esos requisitos de acceso; y
los requisitos que deben cumplir al prestar servicios DPP.

El artículo 11 define el alcance de la facultad delegada a la Comisión. El considerando 40 explica el reparto previsto de funciones en la creación, autenticación, tratamiento y almacenamiento de datos DPP y, en su caso, la retirada de identificadores o soportes de datos. No establece una lista independiente de obligaciones vinculantes para los proveedores.

No se han publicado los criterios exactos de elegibilidad, las obligaciones de servicio ni la procedimiento de una eventual certificación. La portabilidad, la continuidad, la ciberseguridad, la interoperabilidad y la separación de funciones son temas de aplicación bien fundamentados, pero el expediente de consulta refleja opciones de política pública, no la norma definitiva.

El ESPR ya establece parte de la base: un DPP puede ser almacenado por el operador económico o por un proveedor; el diseño debe ofrecer un alto nivel de seguridad y privacidad; el proveedor no puede vender, reutilizar ni tratar los datos DPP más allá de lo necesario para el servicio salvo acuerdo específico con el operador económico; y el artículo 10, apartado 4, exige una copia de seguridad a través de un proveedor de servicios DPP. El considerando 38 describe a ese proveedor de respaldo como un tercero independiente. El acto delegado deberá hacer más operativa la gobernanza de los proveedores, no inventar estas obligaciones desde cero.

El portal DPP más reciente de la Comisión sitúa el acto sobre proveedores en 2027, pero actualmente lo enumera dos veces, una en el segundo y otra en el tercer trimestre. Hasta que la Comisión resuelva esta incoherencia o publique el proyecto, el año es una señal útil para planificar, pero el trimestre no.

Qué añade ahora el Reglamento del Registro

El Reglamento del Registro adoptado no resuelve el futuro régimen de proveedores, pero elimina una ambigüedad importante.

El Registro contendrá una lista de proveedores de servicios DPP verificados. No debe describirse como una lista de certificación de la UE: la verificación se refiere al acceso a funciones del Registro, no a que el proveedor cumpla todos los futuros requisitos operativos.
Un proveedor elegible que actúe en la cadena de valor debe estar verificado para crear o modificar registros. El Registro también comprueba la referencia al proveedor de respaldo cuando sea pertinente para un registro.
El Reglamento crea un repositorio semántico legible por máquina, con API documentadas y formatos comunes. Esto favorece la interoperabilidad, mientras que las normas definitivas de gobernanza específicas para los proveedores quedan reservadas al acto delegado independiente.
El operador económico sigue siendo responsable de la exactitud de los datos DPP y de registro. Una plataforma verificada puede realizar el trabajo técnico sin asumir esa responsabilidad jurídica.

Esta distinción importa en la contratación: pregunte si el proveedor admite verificación, control de versiones, interoperabilidad semántica y exportación, pero no acepte la afirmación «proveedor DPP certificado por la UE» hasta que un futuro sistema legal de certificación la respalde realmente.

Qué permite anticipar el proceso actual

1. La función del proveedor es distinta de la del operador económico

Los fabricantes, importadores y otros operadores económicos siguen siendo responsables de la conformidad del producto. El rol del proveedor de servicios es distinto: se refiere a la infraestructura que permite que los registros DPP funcionen en la práctica.

Esa distinción importa porque sugiere que la UE quiere fronteras más claras entre:

la responsabilidad de conformidad
la propiedad de los datos
la operación técnica
la continuidad a largo plazo de los registros

Nota sobre el pasaporte de baterías: el Reglamento de baterías utiliza una figura distinta de la futura función de proveedor DPP a efectos del ESPR. La Comisión confirmó en mayo de 2026 que se refiere a operadores autorizados que actúan en nombre del operador económico responsable, por lo que esa denominación no debe trasladarse automáticamente a cada modelo de plataforma. En la práctica, el operador económico responsable sigue siendo responsable del pasaporte de baterías. Un operador autorizado puede prestar apoyo técnico u organizativo en su nombre, pero no asume esa responsabilidad ni equivale a un futuro proveedor DPP a efectos del ESPR.

2. La gobernanza se convierte en un requisito de primer orden

La iniciativa no pregunta si las plataformas deben ocuparse de la gobernanza. Asume que importa y pregunta qué modelo aplicar.

3. La interoperabilidad ya tiene una base jurídica

Los artículos 10 y 11 del ESPR ya abordan las normas abiertas, la interoperabilidad y la prevención de la dependencia de un proveedor. Estas disposiciones ofrecen una base más sólida para elegir una plataforma que las predicciones sobre qué aportaciones influirán en el futuro acto.

4. Respaldo y continuidad no son cuestiones secundarias

La disponibilidad a largo plazo de los datos DPP es central en el debate. Las plataformas centradas únicamente en mostrar el pasaporte podrían no cumplir si la continuidad del respaldo se formaliza más.

Cuatro ámbitos de diseño para los que las plataformas deben prepararse

Incluso antes de que el acto delegado sea definitivo, ya se percibe un modelo útil de preparación.

1. Propiedad clara de datos y límites de gobernanza

Defina en el contrato el control, el acceso y los usos permitidos de los datos de producto. La responsabilidad regulatoria no resuelve automáticamente todas las cuestiones de propiedad de los datos o de propiedad intelectual.

Una plataforma seria debe poder explicar:

a quién pertenecen los datos
quién puede editarlos
cómo se rastrean los cambios
cómo se exportan los registros
qué ocurre al terminar la relación de servicio

Si una plataforma no puede explicarlo con claridad, no ofrece suficiente claridad sobre la gestión de los datos.

2. Interoperabilidad y protección frente a la dependencia del proveedor

La interoperabilidad ya es un requisito del ESPR, no solo una previsión basada en las respuestas a la consulta.

Para las plataformas, la interoperabilidad debe dar forma al modelo subyacente:

los identificadores deben seguir siendo transferibles
los registros deben ser exportables en formato estructurado utilizable
los sistemas deben evitar dependencias propietarias que dificulten la migración
cambiar de proveedor no debe obligar a reconstruir la base de datos de producto desde cero

Un diseño transferible es la opción preparatoria de menor riesgo, pero las obligaciones exactas al cambiar de proveedor quedan pendientes del acto delegado.

3. Copias de seguridad y planificación de la continuidad

El debate sobre proveedores DPP vuelve una y otra vez a las copias de respaldo, la continuidad y la pregunta de qué ocurre si desaparece el operador o proveedor original.

Las plataformas ya deben pensar en términos de:

alojamiento del pasaporte y servicio dedicado a las copias de seguridad
copias en un momento determinado y copias para garantizar la continuidad
condiciones de liberación de datos
conservación trazable del último registro de producto válido

No se conocen todos los detalles finales, pero la exigencia de pensar seriamente en la continuidad ya existe.

4. Control de acceso y gestión de datos restringidos

El DPP no es solo una página pública para consumidores.

Muchos registros DPP contendrán capas de datos con diferentes derechos de acceso:

información pública para consumidores
datos B2B restringidos
capas de acceso para autoridades
auditabilidad de accesos y modificaciones

Esta es una de las señales más claras de que las plataformas DPP están más cerca de una infraestructura regulada que de herramientas convencionales de gestión de contenidos.

Qué muestra el informe de consulta de la Comisión

El informe factual de la Comisión abarca 275 respuestas válidas a la consulta pública celebrada del 8 de abril al 1 de julio de 2025. Resume las opiniones de los participantes, no una muestra representativa de la población de la UE ni la posición definitiva de la Comisión. Es una fase distinta de la convocatoria de datos de noviembre y diciembre de 2024.

Certificación: apoyo al principio, distintos modelos

La certificación fue considerada bastante o extremadamente importante por 64 de 81 operadores económicos, 71 de 89 participantes de otras partes de la cadena de valor y 70 de 92 posibles proveedores.

Entre los modelos preferidos figuraban:

un modelo híbrido de autodeclaración y certificación acreditada: 76 de 275 participantes (27,6 %)
organismos de evaluación de la conformidad acreditados por la Comisión: 62 de 275 (22,5 %)
organismos de evaluación de la conformidad acreditados a través de los organismos nacionales de acreditación: 53 de 275 (19,3 %)

Ningún modelo obtuvo una mayoría. Son preferencias, no un sistema de certificación adoptado.

Convertir las cuestiones regulatorias en criterios de compra

Pida a un posible proveedor que demuestre:

una exportación estructurada que otro sistema pueda leer
la restauración de una copia de seguridad y las condiciones contractuales de continuidad
la separación de los datos públicos y de acceso restringido
el coste y el procedimiento para cambiar de proveedor

Estas comprobaciones ayudan a evaluar un servicio hoy; no anticipan todos los requisitos legales futuros.

Qué deberían construir las plataformas en 2026

Los pasos de preparación más útiles son aquellos que siguen siendo valiosos bajo múltiples escenarios legales finales posibles.

1. Exportaciones estructuradas

Si un cliente se marcha o necesita cumplir nuevos requisitos, el registro debe poder transferirse en la práctica.

2. Historial de auditoría trazable

Quién cambió qué, cuándo y bajo qué autoridad será cada vez más importante.

3. Lógica de acceso basada en roles

El acceso diferenciado ya es una requisito que conviene prever.

4. Política de continuidad clara

Defina qué ocurre con los registros si el cliente cierra la cuenta o se activan obligaciones de continuidad.

5. Decisiones arquitectónicas abiertas

Los sistemas diseñados en torno a identificadores abiertos, registros estructurados y lógica de migración están mejor posicionados.

Qué deberían preguntar quienes compran acceso a una plataforma DPP

Este artículo no es solo para creadores de software. También es para fabricantes, importadores y propietarios de marcas que evalúan proveedores.

Preguntas útiles:

¿Cómo gestionan la propiedad de los datos?
¿Pueden exportarse los registros en formato estructurado?
¿Cuál es su enfoque de respaldo y continuidad?
¿Cómo separan datos públicos de datos de acceso restringido?
¿Cómo diseñan la interoperabilidad?
¿Qué ocurre si queremos cambiar de proveedor en el futuro?

Estas preguntas permiten comprobar si la solución del proveedor es fiable y adecuada para su empresa.

Criterios prácticos para elegir un proveedor

Base la decisión en las obligaciones del ESPR ya adoptadas y en pruebas del funcionamiento del servicio. Los detalles de la futura certificación siguen abiertos. Fije en el contrato el acceso a los datos, la exportación, las copias de seguridad, la continuidad y las condiciones de cambio de proveedor.