technology

Exigences pour les prestataires DPP : règles UE pour les plateformes

Ce que le processus d'acte délégué de l'UE signifie pour les plateformes DPP : gouvernance, portabilité, sauvegarde, contrôle d'accès et certification.

29/03/2026 · 12 min de lecture · InfoDPP

Registre DPP, 22 juillet 2026 : le registre de production, l’environnement de test, l’accès API et les premières ressources de mise en œuvre sont disponibles, mais le guide publié ne couvre que les opérateurs économiques. Il ne fournit ni parcours d’intégration pour les prestataires, ni procédure de certification, ni liste publique de certification. Le règlement (UE) 2026/1778 exige une liste de prestataires de services DPP vérifiés, mais il s’agit de la vérification de l’identité et de l’accès aux fonctions du Registre, pas d’une certification, d’une accréditation ou d’un transfert de responsabilité au titre du droit des produits.

Pourquoi le choix du prestataire est important

Beaucoup d’entreprises pensent encore au Passeport Numérique des Produits à son niveau visible : données produit, QR codes, pages consommateurs et déclarations de conformité.

Mais pour l’UE, ce n’est qu’une partie du tableau. Il existe aussi une infrastructure technique : les systèmes et prestataires qui stockent, gèrent, publient et sauvegardent les registres DPP dans le temps.

C’est pourquoi la Commission européenne prépare un acte délégué spécifiquement destiné aux prestataires DPP.

Pour les plateformes logicielles, cela a une portée directe. Les prestataires de services DPP pourraient devenir plus que de simples éditeurs SaaS. Ils pourraient devenir des acteurs réglementés ou partiellement réglementés de l’écosystème DPP, dont on attend portabilité, gouvernance, continuité et accès fiable aux données produit.

Ce que la Commission cherche à réguler

L’initiative de la Commission sur les prestataires DPP indique qu’elle souhaite des retours sur la manière dont les données doivent être stockées et gérées par les prestataires et sur le besoin d’un système de certification.

Les questions portent sur le fonctionnement du système :

qui contrôle les données ?
comment sont-elles stockées ?
qui peut y accéder ?
comment restent-elles disponibles dans le temps ?
les prestataires doivent-ils être formellement qualifiés ou certifiés ?

L’acte final n’est pas encore adopté, mais les questions de gouvernance sont déjà clairement définies.

La portée du pouvoir délégué à la Commission

L’article 11 de l’ESPR habilite expressément la Commission à fixer trois éléments dans l’acte délégué :

les exigences à remplir pour devenir prestataire de services DPP ;
le cas échéant, un système de certification destiné à vérifier le respect de ces conditions d’accès ; et
les exigences à respecter lors de la fourniture de services DPP.

L’article 11 définit la portée du pouvoir délégué à la Commission. Le considérant 40 explique la répartition envisagée des rôles pour la création, l’authentification, le traitement et le stockage des données DPP, ainsi que, éventuellement, le retrait des identifiants ou supports de données. Il ne crée pas une liste distincte d’obligations contraignantes pour les prestataires.

Les critères d’éligibilité précis, les obligations de service et les modalités d’une éventuelle certification n’ont pas été publiés. Portabilité, continuité, cybersécurité, interopérabilité et séparation des rôles sont des thèmes de mise en œuvre solidement étayés, mais le dossier de consultation expose des options de politique publique, et non une règle définitive.

L’ESPR fournit déjà une partie du socle : un DPP peut être stocké par l’opérateur économique ou par un prestataire ; sa conception doit assurer un niveau élevé de sécurité et de respect de la vie privée ; le prestataire ne peut vendre, réutiliser ou traiter les données DPP au-delà de ce qui est nécessaire au service, sauf accord exprès de l’opérateur économique ; et l’article 10, paragraphe 4, exige une copie de sauvegarde auprès d’un prestataire de services DPP. Le considérant 38 décrit ce prestataire de sauvegarde comme un tiers indépendant. L’acte délégué doit rendre la gouvernance des prestataires plus opérationnelle, et non créer ces obligations de toutes pièces.

Le portail DPP actuel de la Commission situe l’acte sur les prestataires en 2027, mais le mentionne actuellement deux fois, au deuxième puis au troisième trimestre. Tant que la Commission n’aura pas résolu cette incohérence ou publié le projet, l’année constitue un signal de planification utile, mais pas le trimestre.

Ce que le règlement sur le Registre apporte maintenant

Le règlement adopté sur le Registre ne règle pas le futur régime des prestataires, mais il lève une ambiguïté importante.

Le Registre contiendra une liste de prestataires de services DPP vérifiés. Elle ne doit pas être présentée comme une liste de certification de l’UE : la vérification porte sur l’accès aux fonctions du Registre, non sur la conformité à toutes les futures exigences opérationnelles.
Un prestataire éligible intervenant dans la chaîne de valeur doit être vérifié pour créer ou modifier des enregistrements. Le Registre contrôle aussi la référence au prestataire de sauvegarde lorsqu’elle est pertinente pour l’enregistrement.
Le règlement crée un référentiel sémantique lisible par machine, doté d’API documentées et de formats communs. Cela favorise l’interopérabilité, tandis que les règles définitives de gouvernance propres aux prestataires restent réservées à l’acte délégué distinct.
L’opérateur économique reste responsable de l’exactitude des données DPP et d’enregistrement. Une plateforme vérifiée peut effectuer les opérations techniques sans reprendre cette responsabilité juridique.

Cette distinction compte lors des achats : demandez si le prestataire prend en charge la vérification, le versionnage, l’interopérabilité sémantique et l’export, mais n’acceptez pas l’affirmation « prestataire DPP certifié par l’UE » tant qu’un futur système juridique de certification ne la justifie pas réellement.

Ce qui est déjà visible dans le processus actuel

1. Le rôle du prestataire est distinct de celui de l’opérateur économique

Les fabricants, importateurs et autres opérateurs économiques restent responsables de la conformité produit. Le rôle du prestataire concerne l’infrastructure permettant aux registres DPP de fonctionner en pratique.

Cette distinction est importante car elle suggère que l’UE souhaite des frontières plus claires entre :

la responsabilité de conformité
la propriété des données
l’exploitation technique
la continuité à long terme des registres

Note passeport batteries : le règlement batteries définit un rôle différent de la future fonction de prestataire DPP ESPR. La Commission a confirmé en mai 2026 qu’il vise des opérateurs autorisés agissant pour le compte de l’opérateur économique responsable ; cette qualification ne s’applique donc pas automatiquement à toutes les plateformes. En pratique, l’opérateur économique responsable reste responsable du passeport batterie. Un opérateur autorisé peut apporter un soutien technique ou organisationnel pour son compte, mais il ne reprend pas cette responsabilité et ne devient pas pour autant un futur prestataire DPP au sens de l’ESPR.

2. La gouvernance devient une exigence de premier plan

L’initiative ne demande pas si les plateformes doivent s’intéresser à la gouvernance. Elle présume que la gouvernance compte et demande quel modèle appliquer.

3. L’interopérabilité a déjà une base juridique

Les articles 10 et 11 de l’ESPR portent déjà sur les normes ouvertes, l’interopérabilité et la prévention de la dépendance à un fournisseur. Ces dispositions constituent une base plus solide pour choisir une plateforme que les prévisions sur l’influence des contributions à la consultation.

4. Sauvegarde et continuité ne sont pas secondaires

La disponibilité à long terme des données DPP est au cœur du débat. Les plateformes axées uniquement sur l’affichage pourraient négliger une exigence importante.

Quatre domaines de conception auxquels les plateformes doivent se préparer

Même avant que l’acte délégué ne soit finalisé, un modèle de préparation utile est déjà visible.

1. Propriété claire des données et limites de gouvernance

Définissez dans le contrat le contrôle des données, les accès et les utilisations autorisées. La responsabilité réglementaire ne règle pas automatiquement toutes les questions de propriété des données ou de propriété intellectuelle.

Une plateforme sérieuse doit expliquer :

à qui appartiennent les données
qui peut les modifier
comment les changements sont tracés
comment les registres sont exportés
ce qui se passe en fin de relation

Si une plateforme ne peut pas l’expliquer clairement, elle présente déjà une faiblesse du point de vue de la gouvernance.

2. Interopérabilité et protection contre la dépendance au prestataire

L’interopérabilité est déjà une exigence de l’ESPR, pas seulement une prévision fondée sur la consultation.

Pour les plateformes, l’interopérabilité doit façonner le modèle de base :

les identifiants doivent rester portables
les registres doivent être exportables dans un format structuré et exploitable
les systèmes doivent éviter les dépendances propriétaires rendant le transfert des données difficile
un changement de prestataire ne doit pas obliger à reconstruire les fondations des données produit

Une conception portable est le choix préparatoire le moins risqué, mais les obligations précises en matière de changement de prestataire relèvent encore de l’acte délégué.

3. Sauvegardes et planification de la continuité

Le débat sur les prestataires DPP revient régulièrement aux copies de sauvegarde, à la continuité et à la question de ce qui se passe si l’opérateur ou le prestataire d’origine disparaît.

Les plateformes doivent déjà penser en termes de :

hébergement du passeport et service dédié aux sauvegardes
copies à un instant donné et copies destinées à assurer la continuité
conditions de libération des données
conservation traçable du dernier registre produit valide

Tous les détails définitifs ne sont pas connus, mais il est déjà nécessaire d’examiner sérieusement la continuité du service.

4. Contrôle d’accès et gestion des données restreintes

Le DPP n’est pas simplement une page web publique pour les consommateurs. De nombreux registres DPP contiendront des couches de données avec des droits d’accès différents.

Les plateformes devraient donc s’attendre à prendre en charge :

informations publiques destinées aux consommateurs
données B2B restreintes
couches d’accès pour les autorités
auditabilité des accès et modifications

C’est l’un des signes les plus clairs que les plateformes DPP se rapprochent davantage d’une infrastructure régulée que d’outils de gestion de contenu classiques.

Ce que montre le rapport de consultation de la Commission

Le rapport factuel de la Commission porte sur 275 réponses valides à la consultation publique menée du 8 avril au 1er juillet 2025. Il résume les avis des participants, et non un échantillon représentatif de la population de l’UE ni la position définitive de la Commission. Cette consultation est distincte de l’appel à contributions de novembre et décembre 2024.

Certification : soutien au principe, diversité des modèles

La certification a été jugée plutôt ou extrêmement importante par 64 opérateurs économiques sur 81, 71 autres acteurs de la chaîne de valeur sur 89 et 70 prestataires potentiels sur 92.

Parmi les modèles préférés figuraient :

une combinaison d’autodéclaration et de certification par un organisme accrédité : 76 répondants sur 275 (27,6 %)
des organismes d’évaluation de la conformité accrédités par la Commission : 62 sur 275 (22,5 %)
des organismes d’évaluation de la conformité accrédités par les organismes nationaux d’accréditation : 53 sur 275 (19,3 %)

Aucun modèle n’a obtenu la majorité. Il s’agit de préférences, pas d’un système de certification adopté.

Transformer les questions réglementaires en critères d’achat

Demandez à un prestataire potentiel de démontrer :

un export structuré lisible par un autre système
la restauration d’une sauvegarde et les dispositions contractuelles de continuité
la séparation des données publiques et à accès restreint
le coût et la procédure d’un changement de prestataire

Ces vérifications permettent d’évaluer un service aujourd’hui ; elles ne préjugent pas de toutes les futures exigences légales.

Ce que les plateformes devraient construire en 2026

Les étapes de préparation les plus utiles sont celles qui restent pertinentes quelle que soit la forme finale du texte.

1. Exports structurés

Si un client part ou doit répondre à de nouvelles exigences, le registre doit être portable en pratique.

2. Historique d’audit traçable

Qui a modifié quoi, quand et sur quelle base deviendra de plus en plus important.

3. Logique d’accès basée sur les rôles

Un accès différencié est déjà une fonction à prévoir dès la conception.

4. Politique de continuité claire

Définissez ce qui se passe avec les registres si le compte client est fermé ou si des obligations de continuité sont déclenchées.

5. Choix architecturaux ouverts

Les systèmes conçus autour d’identifiants ouverts, de registres structurés et de logique de migration sont mieux positionnés.

Ce que les acheteurs d’accès à une plateforme DPP devraient demander

Cet article ne s’adresse pas uniquement aux développeurs de logiciels. Il s’adresse également aux fabricants, importateurs et propriétaires de marques qui évaluent des prestataires.

Questions utiles :

Comment gérez-vous la propriété des données ?
Les registres sont-ils exportables dans un format structuré ?
Quelle est votre approche de la sauvegarde et de la continuité ?
Comment séparez-vous données publiques et données à accès restreint ?
Comment concevez-vous l’interopérabilité ?
Que se passe-t-il si nous voulons changer de prestataire ?

Ces questions permettent de vérifier si la solution du prestataire est fiable et adaptée à votre entreprise.

Critères pratiques pour choisir un prestataire

Fondez votre décision sur les obligations de l’ESPR déjà adoptées et sur des preuves du fonctionnement du service. Les modalités de la future certification restent ouvertes. Précisez dans le contrat l’accès aux données, l’export, les sauvegardes, la continuité et les conditions de changement de prestataire.