technology

DPP-palveluntarjoajien vaatimukset: EU:n säännöt alustoille

Mitä EU:n delegoidun säädöksen prosessi tarkoittaa DPP-alustoille: hallinto, siirrettävyys, varmuuskopiointi, pääsynhallinta ja sertifiointi.

29.3.2026 · 12 min lukuaika · InfoDPP

Rekisterin käyttöönotto 20.7.2026: tuotantorekisteri, testiympäristö, API-yhteys ja ensimmäinen julkinen käyttöopas ovat käytettävissä, mutta opas koskee vain talouden toimijoita. Julkaistussa aineistossa ei ole palveluntarjoajien liittymisreittiä, sertifiointimenettelyä eikä julkista palveluntarjoajaluetteloa. Asetus (EU) 2026/1778 edellyttää DPP-rekisteriin todennettujen palveluntarjoajien luetteloa, mutta kyse on henkilöllisyyden ja rekisteritoimintojen käyttöoikeuden todentamisesta, ei sertifioinnista, akkreditoinnista tai tuoteoikeudellisen vastuun siirtymisestä.

Miksi palveluntarjoajan rooli on tärkeä

Monet yritykset ajattelevat digitaalista tuotepassia edelleen sen näkyvällä tasolla: tuotetiedot, QR-koodit, kuluttajasivut ja vaatimustenmukaisuusilmoitukset.

EU:lle se on kuitenkin vain osa kokonaisuutta. Taustalla tarvitaan myös järjestelmiä ja palveluntarjoajia, jotka tallentavat passitiedot, hallitsevat niitä, huolehtivat saatavuudesta ja ylläpitävät varmuuskopioita.

Siksi Euroopan komissio valmistelee delegoitua säädöstä nimenomaan DPP-palveluntarjoajille.

Ohjelmistoalustoille tällä on suora merkitys. Se viittaa siihen, että DPP-tarjoajista voi tulla enemmän kuin tavallisia SaaS-toimittajia, säännelty osa DPP-järjestelmää, jolta odotetaan siirrettävyyttä, hallintoa, jatkuvuutta ja luotettavaa pääsyä tuotetietoihin.

Mitä komissio haluaa säännellä

Komission aloite kysyy, miten palveluntarjoajien tulisi tallentaa ja hallita tietoja ja tarvitaanko sertifiointijärjestelmää.

Tämä on ratkaiseva muotoilu, sillä se osoittaa, ettei kyse ole vain käyttöliittymän käytettävyydestä tai QR-koodien luomisesta. Keskeiset kysymykset koskevat järjestelmien toteutusta ja vastuita:

kuka hallitsee tietoja?
miten ne tallennetaan?
kenellä on pääsy?
miten saatavuus varmistetaan ajan myötä?
tarvitsevatko palveluntarjoajat muodollisen pätevyyden tai sertifioinnin?

Lopullista säädöstä ei ole vielä hyväksytty, mutta hallintoa koskevat kysymykset on jo määritelty varsin selvästi.

Komissiolle siirretyn säädösvallan laajuus

ESPR:n 11 artiklassa komissiolle annetaan nimenomainen valta määrittää delegoidussa säädöksessä kolme asiaa:

vaatimukset, jotka toimijoiden on täytettävä tullakseen DPP-palveluntarjoajiksi;
tarvittaessa sertifiointijärjestelmä näiden pääsyvaatimusten täyttymisen todentamiseksi; ja
vaatimukset, jotka palveluntarjoajien on täytettävä DPP-palveluja tarjotessaan.

Artikla 11 määrittää komissiolle siirretyn säädösvallan laajuuden. Johdanto-osan 40 kappale selittää suunniteltua tehtäväjakoa DPP-tietojen luomisessa, todentamisessa, käsittelyssä ja tallentamisessa sekä mahdollisessa tunnisteiden tai tietovälineiden poistamisessa. Se ei itsessään säädä erillistä sitovien palveluntarjoajavelvoitteiden luetteloa.

Tarkkoja kelpoisuusehtoja, palveluvelvoitteita tai mahdollisen sertifioinnin menettelyä ei ole julkaistu. Siirrettävyys, jatkuvuus, kyberturvallisuus, yhteentoimivuus ja roolien erottaminen ovat hyvin perusteltuja toteutusteemoja, mutta kuulemisaineisto kertoo toimintavaihtoehdoista, ei lopullisesta säännöstä.

ESPR sisältää jo osan perustasta: DPP:n voi tallentaa talouden toimija tai palveluntarjoaja; suunnittelun on taattava korkea turvallisuuden ja yksityisyyden taso; palveluntarjoaja ei saa myydä, käyttää uudelleen tai käsitellä DPP-tietoja palvelun kannalta välttämätöntä laajemmin ilman talouden toimijan nimenomaista suostumusta; ja 10 artiklan 4 kohta edellyttää varmuuskopiota DPP-palveluntarjoajan kautta. Johdanto-osan 38 perustelukappale kuvaa tämän varmuuskopiointipalvelun tarjoajan riippumattomaksi kolmanneksi osapuoleksi. Delegoidun säädöksen on tarkoitus täsmentää palveluntarjoajien vaatimuksia, ei luoda näitä jo säädettyjä velvoitteita uudelleen.

Komission uusin DPP-portaali sijoittaa palveluntarjoajia koskevan säädöksen vuoteen 2027, mutta luettelee sen tällä hetkellä kahdesti, kerran toiselle ja kerran kolmannelle vuosineljännekselle. Ennen kuin komissio korjaa ristiriidan tai julkaisee luonnoksen, vuotta voi käyttää suunnittelun lähtökohtana, mutta vuosineljännestä ei.

Mitä rekisteriasetus lisää nyt

Hyväksytty rekisteriasetus ei ratkaise tulevaa palveluntarjoajajärjestelmää, mutta poistaa yhden tärkeän epäselvyyden.

Rekisterissä pidetään luetteloa todennetuista DPP-palveluntarjoajista. Sitä ei pidä kuvata EU:n sertifiointiluetteloksi: todentaminen koskee pääsyä rekisterin toimintoihin, ei sen vahvistamista, että palveluntarjoaja täyttää kaikki tulevat toiminnalliset vaatimukset.
Arvoketjussa toimivan kelpoisen palveluntarjoajan on oltava todennettu voidakseen luoda tai muuttaa rekisteröintejä. Rekisteri tarkistaa myös viittauksen varmuuskopiointipalvelun tarjoajaan silloin, kun se on rekisteröinnin kannalta merkityksellinen.
Asetuksella luodaan koneluettava semanttinen tietovaranto, jossa on dokumentoidut ohjelmointirajapinnat ja yhteiset muodot. Se tukee yhteentoimivuutta, mutta lopulliset palveluntarjoajakohtaiset hallintasäännöt jäävät erilliseen delegoituun säädökseen.
Talouden toimija vastaa edelleen DPP- ja rekisteröintitietojen oikeellisuudesta. Todennettu alusta voi tehdä teknisen työn ottamatta tätä oikeudellista vastuuta.

Erottelu on tärkeä hankinnoissa: kysy, tukeeko palveluntarjoaja todentamista, versiointia, semanttista yhteentoimivuutta ja vientiä, mutta älä hyväksy väitettä ”EU-sertifioitu DPP-palveluntarjoaja”, ennen kuin tuleva oikeudellinen sertifiointijärjestelmä todella tukee sitä.

Mikä on jo näkyvissä nykyisestä prosessista

1. Palveluntarjoajan ja vastuullisen talouden toimijan roolit ovat erilliset

Valmistajat, maahantuojat ja muut taloudelliset toimijat pysyvät vastuussa tuotteen vaatimustenmukaisuudesta. Palveluntarjoajan rooli koskee infrastruktuuria, joka mahdollistaa DPP-rekistereiden käytännön toimivuuden.

Tällä erottelulla on merkitystä, koska se viittaa siihen, että EU haluaa selkeämpiä rajoja seuraavien välille:

vaatimustenmukaisuusvastuu
tietojen omistajuus
tekninen ylläpito
tietojen pitkäaikainen saatavuus

Huomio akkupassista: akkuasetus käyttää eri rakennetta kuin tuleva ESPR:n DPP-palveluntarjoajan rooli. Komissio vahvisti toukokuussa 2026, että siinä viitataan valtuutettuihin toimijoihin, jotka toimivat vastuullisen talouden toimijan puolesta, joten tätä nimikettä ei pidä automaattisesti siirtää jokaiseen alustamalliin. Käytännössä vastuullinen talouden toimija vastaa edelleen akkupassista. Valtuutettu toimija voi tukea teknistä tai organisatorista käsittelyä sen puolesta, mutta se ei ota vastuuta eikä ole sama käsite kuin tuleva ESPR:n DPP-palveluntarjoaja.

2. Hallinto nousee ensisijaiseksi vaatimukseksi

Aloite ei kysy, pitäisikö alustojen huolehtia hallinnosta. Se olettaa hallinnan olevan tärkeää ja kysyy, millainen malli tulisi soveltaa.

3. Yhteentoimivuudella on jo oikeusperusta

ESPR:n artiklat 10 ja 11 käsittelevät jo avoimia standardeja, yhteentoimivuutta ja toimittajalukon välttämistä. Hankintapäätökset kannattaa perustaa näihin säännöksiin eikä ennustuksiin siitä, mitkä kuulemisen kannanotot vaikuttavat tulevaan säädökseen.

4. Varmuuskopiointi ja jatkuvuus eivät ole toissijaisia

DPP-tietojen pitkäaikainen saatavuus on keskustelun ytimessä. Pelkkä toimiva tuotetietosivu ei riitä, jos tietojen varmuuskopiointia ja saatavuutta palvelun päättyessä ei ole ratkaistu.

Neljä suunnittelualuetta, joihin alustojen tulisi valmistautua

Vaikka delegoitu säädös ei ole vielä lopullinen, hyödyllinen valmistautumismalli on jo nähtävissä.

1. Selkeä tietojen omistajuus ja hallintorajat

Sovi tuotetietojen hallinnasta, käyttöoikeuksista ja sallituista käyttötavoista. Sääntelyvastuu ei automaattisesti ratkaise kaikkia tietojen omistajuuteen tai immateriaalioikeuksiin liittyviä kysymyksiä.

Luotettavan palveluntarjoajan pitäisi pystyä selittämään:

kuka omistaa tiedot
kuka voi muokata niitä
miten muutoksia seurataan
miten rekisterit viedään
mitä tapahtuu palvelusuhteen päättyessä

Jos alusta ei pysty selittämään tätä selkeästi, sen hallintamallissa on jo puutteita.

2. Yhteentoimivuus ja toimittajariippuvuuden välttäminen

Yhteentoimivuus on jo ESPR:n vaatimus, ei pelkkä kuulemisvastauksiin perustuva ennuste.

Yhteentoimivuus on huomioitava jo alustan suunnittelussa:

tunnisteiden on pysyttävä siirrettävinä
rekisterien on oltava vietävissä käyttökelpoisessa rakenteisessa muodossa
järjestelmien on vältettävä riippuvuutta yhden toimittajan suljetuista ratkaisuista
palveluntarjoajan vaihto ei saa pakottaa rakentamaan tuotetietopohjaa alusta alkaen uudelleen

Siirrettävä suunnittelu on vähäriskisempi valmistautumisratkaisu, mutta palveluntarjoajan vaihtoa koskevat tarkat velvoitteet jäävät delegoituun säädökseen.

3. Varmuuskopiointi ja jatkuvuuden suunnittelu

DPP-palveluntarjoajista käytävä keskustelu palaa toistuvasti varmuuskopioihin, jatkuvuuteen ja siihen, mitä tapahtuu, jos alkuperäinen toimija tai palveluntarjoaja katoaa.

Alustaa suunniteltaessa on erotettava seuraavat asiat:

passin jatkuva ylläpito ja erillinen varmuuskopiopalvelu
varmuuskopioiden ajankohdat ja päivitystapa
varmuuskopioiden käyttöönoton ehdot
jäljitettävä viimeisen voimassa olevan tuoterekisterin säilytys

Kaikkia lopullisia yksityiskohtia ei vielä tunneta, mutta vaatimus suhtautua jatkuvuuteen vakavasti on jo olemassa.

4. Pääsynhallinta ja rajoitettujen tietojen käsittely

DPP ei ole vain julkinen verkkosivu kuluttajille.

DPP-järjestelmissä on varauduttava erilaisiin tietoihin ja käyttöoikeuksiin:

julkiset kuluttajatiedot
rajoitetut B2B-tiedot
viranomaisille tarkoitetut pääsytasot
pääsyjen ja muutosten tarkastettavuus

Tämä on yksi selvimmistä merkeistä siitä, että DPP-alustat ovat lähempänä säänneltyä infrastruktuuria kuin tavallisia sisällönhallintatyökaluja.

Mitä komission kuulemisraportti osoittaa

Komission yhteenvetoraportti käsittelee 275 hyväksyttyä vastausta julkiseen kuulemiseen, joka järjestettiin 8.4.–1.7.2025. Raportti tiivistää osallistujien näkemykset. Ne eivät edusta EU:n väestöä eivätkä komission lopullista kantaa. Kuuleminen on eri vaihe kuin marras- ja joulukuussa 2024 järjestetty kannanottopyyntö.

Sertifiointia pidettiin tärkeänä, mutta mallista ei ollut enemmistön kantaa

Sertifiointia piti melko tai erittäin tärkeänä 64 talouden toimijaa 81:stä, 71 muuta arvoketjun toimijaa 89:stä ja 70 mahdollista palveluntarjoajaa 92:sta.

Suosittuja vaihtoehtoja olivat:

oman ilmoituksen ja akkreditoidun sertifioinnin yhdistelmä: 76 vastaajaa 275:stä (27,6 %)
komission akkreditoimat vaatimustenmukaisuuden arviointilaitokset: 62 vastaajaa 275:stä (22,5 %)
kansallisten akkreditointielinten akkreditoimat arviointilaitokset: 53 vastaajaa 275:stä (19,3 %)

Mikään malli ei saanut enemmistöä. Tulokset kuvaavat mielipiteitä, eivät hyväksyttyä sertifiointijärjestelmää.

Muuta sääntelykysymykset hankinnan tarkistuskohteiksi

Pyydä mahdollista palveluntarjoajaa osoittamaan:

tietojen vienti rakenteisessa muodossa, jonka toinen järjestelmä pystyy lukemaan
varmuuskopion palautus ja jatkuvuutta koskevat sopimusehdot
julkisten ja käyttörajoitettujen tietojen erottelu
palveluntarjoajan vaihtamisen kustannukset ja menettely

Nämä tarkistukset auttavat arvioimaan palvelua nyt. Ne eivät ennakoi kaikkia tulevia lakisääteisiä vaatimuksia.

Mitä alustojen tulisi rakentaa vuonna 2026

Hyödyllisimmät valmistelutoimet ovat niitä, jotka säilyttävät arvonsa riippumatta lopullisista oikeudellisista ratkaisuista.

1. Tietojen vienti rakenteisessa muodossa

Jos asiakas lähtee tai kohtaa uusia vaatimuksia, rekisterin on oltava käytännössä siirrettävä.

2. Jäljitettävä tarkastushistoria

Muutoshistoriasta tulisi käydä ilmi, kuka muutti tietoja, milloin ja millä valtuutuksella.

3. Käyttäjäroolien mukaiset käyttöoikeudet

Eriytetty pääsy on jo kohtuullinen perusodotus.

4. Selkeä jatkuvuuspolitiikka

Määrittele, mitä tapahtuu rekistereille asiakastilin sulkeutuessa tai jatkuvuusvelvoitteiden käynnistyessä.

5. Avoimet arkkitehtuurivalinnat

Avoimet tunnisteet, rakenteiset tuotetiedot ja selkeät siirtomenettelyt helpottavat järjestelmän mukauttamista ja palveluntarjoajan vaihtamista.

Mitä DPP-alustan käyttöoikeutta ostavien yritysten tulisi kysyä

Tämä artikkeli ei ole tarkoitettu vain ohjelmistokehittäjille. Se on tarkoitettu myös valmistajille, maahantuojille ja brändinomistajille, jotka arvioivat palveluntarjoajia.

Hyödyllisiä kysymyksiä ovat:

Miten käsittelette tietojen omistajuutta?
Voidaanko rekisterit viedä rakenteisessa muodossa?
Mikä on lähestymistapanne varmuuskopiointiin ja jatkuvuuteen?
Miten erotatte julkiset ja rajoitetun pääsyn tiedot?
Miten suunnittelette yhteentoimivuuden?
Mitä tapahtuu, jos haluamme vaihtaa palveluntarjoajaa?

Näiden kysymysten avulla voi arvioida, onko palvelu luotettava ja voidaanko sitä ylläpitää myös pitkällä aikavälillä.

Käytännön kriteerit palveluntarjoajan valintaan

Perusta päätös jo hyväksyttyihin ESPR-velvoitteisiin ja näyttöön palvelun toimivuudesta. Tulevan sertifioinnin yksityiskohdat ovat vielä avoinna. Sovi tietojen käytöstä, viennistä, varmuuskopioista, jatkuvuudesta ja palveluntarjoajan vaihtamisen ehdoista.

Lue seuraavaksi

Viralliset lähteet

Aloita yhdestä tuotteesta: luo sille digitaalinen tuotepassi OriginPass.eu:ssa.

Jatka lukemista

Aiheeseen liittyvät oppaat