technology

Exigences pour les prestataires DPP : règles UE pour les plateformes

Ce que le processus d'acte délégué de l'UE signifie pour les plateformes DPP : gouvernance, portabilité, sauvegarde, contrôle d'accès et certification.

29/03/2026 · 12 min de lecture · InfoDPP

Mise à jour éditoriale du 22 juillet 2026 : le registre de production, l’environnement de test, l’accès API et les premières ressources de mise en œuvre sont disponibles, mais le guide publié ne couvre que les opérateurs économiques. Il ne fournit ni parcours d’intégration pour les prestataires, ni procédure de certification, ni liste publique de certification. Le règlement (UE) 2026/1778 exige une liste de prestataires de services DPP vérifiés, mais il s’agit de la vérification de l’identité et de l’accès aux fonctions du Registre, pas d’une certification, d’une accréditation ou d’un transfert de responsabilité au titre du droit des produits.

Pourquoi la couche prestataire est importante

Beaucoup d’entreprises pensent encore au Passeport Numérique des Produits à son niveau visible : données produit, QR codes, pages consommateurs et déclarations de conformité.

Mais pour l’UE, ce n’est qu’une partie du tableau. Il existe aussi une couche infrastructure : les systèmes et prestataires qui stockent, gèrent, exposent, sauvegardent et gouvernent les registres DPP dans le temps.

C’est pourquoi la Commission européenne prépare un acte délégué spécifiquement destiné aux prestataires DPP.

Pour les plateformes logicielles, cela a une portée directe. Les prestataires de services DPP pourraient devenir plus que de simples éditeurs SaaS. Ils pourraient devenir des acteurs réglementés ou partiellement réglementés de l’écosystème DPP, dont on attend portabilité, gouvernance, continuité et accès fiable aux données produit.

Ce que la Commission cherche à réguler

L’initiative de la Commission sur les prestataires DPP indique qu’elle souhaite des retours sur la manière dont les données doivent être stockées et gérées par les prestataires et sur le besoin d’un système de certification.

Les vraies questions sont architecturales :

qui contrôle les données ?
comment sont-elles stockées ?
qui peut y accéder ?
comment restent-elles disponibles dans le temps ?
les prestataires doivent-ils être formellement qualifiés ou certifiés ?

L’acte final n’est pas encore adopté, mais les questions de gouvernance sont déjà clairement définies.

Le cadre juridique est plus étroit que le débat politique

L’article 11, paragraphe 2, de l’ESPR habilite expressément la Commission à fixer trois éléments dans l’acte délégué :

les exigences à remplir pour devenir prestataire de services DPP ;
le cas échéant, un système de certification destiné à vérifier le respect de ces conditions d’accès ; et
les exigences à respecter lors de la fourniture de services DPP.

C’est le seul périmètre que l’on puisse présenter avec certitude comme acquis. Le considérant 40 fournit un indice non contraignant mais pertinent : il envisage de clarifier les rôles et responsabilités des organismes émetteurs et des prestataires dans la création, l’authentification, le traitement et le stockage des données DPP et, éventuellement, dans le retrait d’éléments importants du DPP tels que les identifiants et supports de données. Il n’impose pas lui-même ces obligations détaillées et ne garantit pas que chacune figurera dans l’acte final.

Les critères d’éligibilité précis, les obligations de service et les modalités d’une éventuelle certification n’ont pas été publiés. Portabilité, continuité, cybersécurité, interopérabilité et séparation des rôles sont des thèmes de mise en œuvre solidement étayés, mais le dossier de consultation expose des options de politique publique, et non une règle définitive.

L’ESPR fournit déjà une partie du socle : un DPP peut être stocké par l’opérateur économique ou par un prestataire ; sa conception doit assurer un niveau élevé de sécurité et de respect de la vie privée ; le prestataire ne peut vendre, réutiliser ou traiter les données DPP au-delà de ce qui est nécessaire au service, sauf accord exprès de l’opérateur économique ; et l’article 10, paragraphe 4, exige une copie de sauvegarde auprès d’un prestataire de services DPP. Le considérant 38 décrit ce prestataire de sauvegarde comme un tiers indépendant. L’acte délégué doit rendre la gouvernance des prestataires plus opérationnelle, et non créer ces obligations de toutes pièces.

Le dernier portail DPP de la Commission situe l’acte sur les prestataires en 2027, mais le mentionne actuellement deux fois, au deuxième puis au troisième trimestre. Tant que la Commission n’aura pas résolu cette incohérence ou publié le projet, l’année constitue un signal de planification utile, mais pas le trimestre.

Ce que le règlement sur le Registre apporte maintenant

Le règlement adopté sur le Registre ne règle pas le futur régime des prestataires, mais il lève une ambiguïté importante.

Le Registre contiendra une liste de prestataires de services DPP vérifiés. Elle ne doit pas être présentée comme une liste de certification de l’UE : la vérification porte sur l’accès aux fonctions du Registre, non sur la conformité à toutes les futures exigences opérationnelles.
Un prestataire éligible intervenant dans la chaîne de valeur doit être vérifié pour créer ou modifier des enregistrements. Le Registre contrôle aussi la référence au prestataire de sauvegarde lorsqu’elle est pertinente pour l’enregistrement.
Le règlement crée un référentiel sémantique lisible par machine, doté d’API documentées et de formats communs. Cela favorise l’interopérabilité, tandis que les règles définitives de gouvernance propres aux prestataires restent réservées à l’acte délégué distinct.
L’opérateur économique reste responsable de l’exactitude des données DPP et d’enregistrement. Une plateforme vérifiée peut effectuer les opérations techniques sans reprendre cette responsabilité juridique.

Cette distinction compte lors des achats : demandez si le prestataire prend en charge la vérification, le versionnage, l’interopérabilité sémantique et l’export, mais n’acceptez pas l’affirmation « prestataire DPP certifié par l’UE » tant qu’un futur système juridique de certification ne la justifie pas réellement.

Ce qui est déjà visible dans le processus actuel

1. Le rôle du prestataire est séparé du rôle du propriétaire du produit

Les fabricants, importateurs et autres opérateurs économiques restent responsables de la conformité produit. Le rôle du prestataire concerne l’infrastructure permettant aux registres DPP de fonctionner en pratique.

Cette distinction est importante car elle suggère que l’UE souhaite des frontières plus claires entre :

la responsabilité de conformité
la propriété des données
l’exploitation technique
la continuité à long terme des registres

Note passeport batteries : le règlement batteries utilise une construction différente de la future fonction de prestataire DPP ESPR. La Commission a confirmé en mai 2026 qu’il vise des opérateurs autorisés agissant pour le compte de l’opérateur économique responsable ; cette étiquette ne doit donc pas être transférée automatiquement à chaque modèle de plateforme. En pratique, l’opérateur économique responsable reste responsable du passeport batterie. Un opérateur autorisé peut soutenir le traitement technique ou organisationnel pour son compte, mais il ne reprend pas cette responsabilité et n’est pas le même concept qu’un futur prestataire DPP ESPR.

2. La gouvernance devient une exigence de premier plan

L’initiative ne demande pas si les plateformes doivent s’intéresser à la gouvernance. Elle présume que la gouvernance compte et demande quel modèle appliquer.

3. La portabilité émerge comme attente de conception centrale

Le registre de consultation suggère fortement que les systèmes DPP ne doivent pas être conçus autour d’une dépendance permanente à un seul fournisseur.

4. Sauvegarde et continuité ne sont pas secondaires

La disponibilité à long terme des données DPP est au cœur du débat. Les plateformes axées uniquement sur l’affichage pourraient manquer une attente réglementaire importante.

Quatre domaines de conception auxquels les plateformes doivent se préparer

Même avant que l’acte délégué ne soit finalisé, un modèle de préparation utile est déjà visible.

1. Propriété claire des données et limites de gouvernance

L’architecture la plus solide est celle où l’opérateur économique reste propriétaire des données produit et le prestataire fournit la couche de service technique.

Une plateforme sérieuse doit expliquer :

à qui appartiennent les données
qui peut les modifier
comment les changements sont tracés
comment les registres sont exportés
ce qui se passe en fin de relation

Si une plateforme ne peut pas l’expliquer clairement, elle présente déjà une faiblesse du point de vue de la gouvernance.

2. Interopérabilité et protection contre le verrouillage

C’est le point de consensus le plus fort dans la consultation.

Pour les plateformes, l’interopérabilité doit façonner le modèle de base :

les identifiants doivent rester portables
les registres doivent être exportables dans un format structuré et exploitable
les systèmes doivent éviter les dépendances propriétaires rendant la migration douloureuse
un changement de prestataire ne doit pas obliger à reconstruire les fondations des données produit

Une conception portable est le choix préparatoire le moins risqué, mais les obligations précises en matière de changement de prestataire relèvent encore de l’acte délégué.

3. Logique de sauvegarde et planification de continuité

Le débat sur les prestataires DPP revient régulièrement aux copies de sauvegarde, à la continuité et à la question de ce qui se passe si l’opérateur ou le prestataire d’origine disparaît.

Les plateformes doivent déjà penser en termes de :

hébergement actif vs. service de sauvegarde uniquement
logique de snapshot ou copie de continuité
conditions de libération des données
conservation traçable du dernier registre produit valide

Tous les détails définitifs ne sont pas connus, mais il est déjà nécessaire d’examiner sérieusement la continuité du service.

4. Contrôle d’accès et gestion des données restreintes

Le DPP n’est pas simplement une page web publique pour les consommateurs. De nombreux registres DPP contiendront des couches de données avec des droits d’accès différents.

Les plateformes devraient donc s’attendre à prendre en charge :

informations publiques destinées aux consommateurs
données B2B restreintes
couches d’accès pour les autorités
auditabilité des accès et modifications

C’est l’un des signes les plus clairs que les plateformes DPP se rapprochent davantage d’une infrastructure régulée que d’outils de gestion de contenu classiques.

Certification : ce qui est connu et ce qui ne l’est pas

La certification est l’une des plus grandes questions ouvertes dans le débat sur les prestataires.

Ce qui est déjà connu

La Commission a explicitement demandé si un système de certification est nécessaire
Certains acteurs soutiennent fortement une certification indépendante ex ante
D’autres préfèrent des modèles plus flexibles
La maturité en sécurité et gouvernance est déjà une attente visible

Ce qui n’est pas encore connu

Si la certification sera obligatoire pour tous les prestataires
Quel organisme évaluerait les prestataires
Si le modèle final distinguera différents rôles de prestataires
Le niveau de charge pour les petites entreprises logicielles

Conclusion pratique : construisez comme si vous pourriez un jour devoir démontrer une gouvernance structurée, une auditabilité, une fiabilité et une maturité en sécurité.

Pourquoi l’architecture décentralisée revient sans cesse

Les parties prenantes veulent éviter un modèle où un prestataire devient le propriétaire incontournable et opaque des données produit d’une entreprise.

Cela ne signifie pas que chaque DPP doit être auto-hébergé ou pleinement distribué sur le plan technique.

Pour les plateformes, cela suggère :

le client possède les données produit
le prestataire exploite la couche de service
les exports et la portabilité sont la norme
la continuité de sauvegarde n’implique pas la domination du prestataire

Cela s’aligne bien sur la préférence plus large de l’UE pour des standards ouverts et une infrastructure numérique interopérable.

Ce que les plateformes devraient construire en 2026

Les étapes de préparation les plus utiles sont celles qui restent pertinentes sous plusieurs issues juridiques finales possibles.

1. Exports structurés

Si un client part ou doit répondre à de nouvelles exigences, le registre doit être portable en pratique.

2. Historique d’audit traçable

Qui a modifié quoi, quand et sur quelle base deviendra de plus en plus important.

3. Logique d’accès basée sur les rôles

Un accès différencié est déjà une attente de base raisonnable.

4. Politique de continuité claire

Définissez ce qui se passe avec les registres si le compte client est fermé ou si des obligations de continuité sont déclenchées.

5. Choix architecturaux ouverts

Les systèmes conçus autour d’identifiants ouverts, de registres structurés et de logique de migration sont mieux positionnés.

Ce que les acheteurs d’accès à une plateforme DPP devraient demander

Cet article ne s’adresse pas uniquement aux développeurs de logiciels. Il s’adresse également aux fabricants, importateurs et propriétaires de marques qui évaluent des prestataires.

Questions utiles :

Comment gérez-vous la propriété des données ?
Les registres sont-ils exportables dans un format structuré ?
Quelle est votre approche de la sauvegarde et de la continuité ?
Comment séparez-vous données publiques et données à accès restreint ?
Comment concevez-vous l’interopérabilité ?
Que se passe-t-il si nous voulons changer de prestataire ?

Ce ne sont plus des questions d’approvisionnement marginales. Elles touchent au cœur de la crédibilité de l’architecture DPP d’un prestataire.

Conclusion stratégique

L’acte délégué définitif pour les prestataires DPP reste à venir. Toutefois, les orientations de conception sont déjà suffisamment claires pour guider des décisions pratiques.

Le modèle de plateforme DPP le plus résilient ne reposera probablement pas sur l’opacité, les barrières de sortie propriétaires et une faible logique de continuité. Le modèle le plus solide est construit autour de :

une gouvernance claire
des registres structurés et exportables
l’interopérabilité
un accès basé sur les rôles
une discipline de sauvegarde et de continuité

Les entreprises n’ont pas besoin d’attendre que chaque détail technique soit finalisé pour utiliser ces critères.

Lire ensuite

Sources officielles

Si les plateformes DPP s’orientent vers des exigences plus fortes de gouvernance, de portabilité et de continuité, il est logique de travailler avec un prestataire qui suit ces questions de près depuis le début. OriginPass considère les données produit comme une infrastructure structurée et portable, et pas seulement comme de simples pages de consultation du passeport.

Poursuivre la lecture

Guides associés