technology

Qui peut exploiter un DPP ? Règles de l'UE pour les prestataires

Ce que l'UE prépare pour les prestataires DPP : certification, interopérabilité, règles de sauvegarde et gouvernance des plateformes.

29/03/2026 · 9 min de lecture · InfoDPP

Mise à jour du 22 juillet 2026 : le registre de production, l’environnement de test, l’accès API et les premières ressources de mise en œuvre sont disponibles, mais le guide publié s’adresse expressément aux opérateurs économiques. Il ne publie ni parcours d’intégration pour les prestataires, ni procédure de certification, ni liste publique de certification. Le règlement (UE) 2026/1778 exige toujours une liste de prestataires vérifiés et un référentiel sémantique, mais « vérifié » désigne la vérification de l’identité et de l’accès au Registre, non la certification prévue par le futur acte délégué ESPR.

Pourquoi ce sujet est important maintenant

La Commission européenne ne présente plus le passeport numérique de produit uniquement comme un outil de conformité au niveau du produit. Elle prépare également des règles pour les entreprises qui exploiteront l’infrastructure autour du DPP.

C’est significatif car un prestataire DPP n’est pas un simple fournisseur de logiciels. En pratique, un tel prestataire peut héberger des données produit, gérer les droits d’accès, maintenir des copies de sauvegarde, assurer l’interopérabilité, proposer des interfaces de programmation (API) et veiller à ce que les données du passeport restent disponibles lorsque les produits circulent sur le marché.

Pour les entreprises qui choisissent une plateforme DPP, la question passe de « Ce fournisseur peut-il générer un QR code ? » à « Cette architecture restera-t-elle fonctionnelle lorsque les règles de gouvernance de l’UE deviendront plus spécifiques ? »

Ce que la Commission prépare concrètement

La Commission européenne a lancé une initiative dédiée sur les règles applicables aux prestataires DPP dans le cadre du règlement ESPR. L’initiative indique clairement que la Commission entend adopter un acte délégué fixant les règles de fonctionnement des prestataires DPP en tant que composante essentielle de la gouvernance élargie du DPP.

Le processus suit un calendrier déjà visible :

appel à contributions : du 12 novembre au 10 décembre 2024
consultation publique : du 8 avril au 1er juillet 2025
projet d’acte : en préparation
adoption par la Commission : actuellement annoncée pour 2027. Le nouveau calendrier DPP de la Commission contient des entrées en double visant T2 et T3 2027 ; le trimestre précis ne doit donc pas être considéré comme arrêté tant que la page n’est pas corrigée ou que le projet d’acte n’est pas publié.

Le cadre juridique définitif n’est pas encore publié, mais l’orientation n’est plus abstraite. La Commission a déjà posé au marché des questions précises sur le stockage des données, la gestion des données et le besoin éventuel d’un système de certification pour les prestataires.

Ce que le futur acte est juridiquement habilité à contenir

L’article 11 de l’ESPR donne à la Commission une habilitation juridique précise. L’acte délégué peut fixer :

les conditions d’entrée qu’un prestataire DPP doit remplir pour devenir prestataire ;
un système de certification, le cas échéant, si la Commission décide de l’établir ; cela ne signifie pas que la participation serait nécessairement volontaire ; et
les exigences permanentes que les prestataires doivent respecter pendant la fourniture des services DPP.

L’article 11 définit la portée du pouvoir délégué à la Commission. Le considérant 40 explique la répartition envisagée des rôles pour la création, l’authentification, le traitement et le stockage des données DPP, ainsi que, éventuellement, le retrait des identifiants ou supports de données. Il ne crée pas une liste distincte d’obligations contraignantes pour les prestataires.

L’habilitation publiée ne précise pas encore de seuils de capital, de certificats ISO obligatoires, d’autorité de licence, d’architecture cloud particulière ni de voie unique de certification. La portabilité, la continuité, la cybersécurité, la séparation des rôles et l’interopérabilité sont des sujets pertinents car ils figurent dans les obligations ESPR existantes et le dossier de consultation, mais ils restent des sujets de conception attendus et non des exigences juridiques finales tant qu’un projet ou un acte adopté ne le prévoit pas.

Certaines règles applicables aux prestataires existent déjà dans l’ESPR et ne doivent pas être présentées comme de simples hypothèses futures : les données DPP peuvent être stockées par l’opérateur économique ou un prestataire ; le système doit assurer un niveau élevé de sécurité et de confidentialité ; les prestataires ne peuvent vendre, réutiliser ou traiter les données DPP au-delà de ce qui est nécessaire au service, sauf accord spécifique de l’opérateur économique ; et l’article 10, paragraphe 4, oblige l’opérateur à rendre une copie de sauvegarde disponible par l’intermédiaire d’un prestataire DPP. Le considérant 38 décrit ce prestataire de sauvegarde comme un tiers indépendant. Le futur acte peut préciser les modalités pratiques de ce socle, mais il ne crée pas ces règles de toutes pièces.

Ce que modifie le règlement adopté sur le registre

Le règlement 2026/1778 n’est pas l’acte délégué prévu pour les prestataires, mais il rend leur rôle d’infrastructure plus concret.

Le registre doit tenir une liste des prestataires DPP vérifiés. Il ne s’agit ni d’un label de qualité, ni d’une accréditation, ni de la preuve d’une certification selon les futures règles relatives aux prestataires.
Lorsqu’un prestataire agit comme acteur éligible de la chaîne de valeur, il doit être vérifié avant de pouvoir créer ou modifier des enregistrements. Le contrôle valide aussi la référence au prestataire de sauvegarde lorsque celle-ci est pertinente.
La Commission doit exploiter un référentiel sémantique lisible par machine avec des API documentées et des formats communs. Cela crée un composant horizontal d’interopérabilité, mais n’impose pas une architecture de plateforme commerciale ni ne publie un contrat d’intégration complet.
L’opérateur économique reste responsable de l’exactitude de son DPP et des données d’enregistrement. Un prestataire vérifié peut assurer des fonctions techniques, mais la vérification du registre ne transfère pas la responsabilité prévue par la législation sur les produits.

L’acte délégué distinct reste le texte à surveiller pour les exigences de fonctionnement, un éventuel système de certification et des règles plus complètes de sauvegarde et de continuité.

Note batteries : cette initiative ESPR ne doit pas être lue comme si elle avait déjà réécrit le règlement batteries. Dans sa réponse au Parlement de mai 2026, la Commission a précisé que le règlement (UE) 2023/1542 vise des opérateurs autorisés agissant pour le compte de l’opérateur économique responsable, et non les prestataires DPP définis par l’ESPR. En pratique, l’opérateur économique responsable reste responsable du passeport batterie. Il peut autoriser un opérateur à gérer des tâches techniques ou organisationnelles pour son compte, mais cela ne transfère pas la responsabilité et ne transforme pas automatiquement chaque plateforme SaaS en futur « prestataire DPP » au sens de l’ESPR.

Ce qui est établi et ce qui reste en discussion

Même avant la publication de l’acte délégué définitif, plusieurs points sont suffisamment clairs.

1. Les prestataires DPP auront des responsabilités propres

La Commission ne traite pas l’infrastructure DPP comme un détail technique invisible. Elle la considère comme une fonction pouvant nécessiter des règles dédiées, car les prestataires se situent à l’intersection des opérateurs économiques, des régulateurs, des consommateurs, des systèmes douaniers et des autorités de surveillance du marché.

2. Le débat ne porte pas sur la nécessité de règles de gouvernance

Le débat porte sur la forme que ces règles doivent prendre. C’est une distinction importante. L’ESPR établit déjà les bases de leur encadrement. Les questions ouvertes concernent la certification, la séparation des rôles, la propriété des données et les exigences techniques.

3. L’interopérabilité a déjà une base juridique

Les articles 10 et 11 de l’ESPR portent déjà sur les normes ouvertes, l’interopérabilité et la prévention de la dépendance à un fournisseur. Ces dispositions constituent une base plus solide pour choisir une plateforme que les prévisions sur l’influence des contributions à la consultation.

4. Sauvegarde et continuité seront importantes

Le cadre ESPR contient déjà le principe que les données DPP doivent rester disponibles même si l’opérateur d’origine ou l’acteur économique disparaît. Le débat sur les prestataires rend cela opérationnel : qui stocke les copies de sauvegarde, dans quelles conditions elles deviennent accessibles et si la sauvegarde doit constituer un rôle séparé.

Ce que montre le rapport de consultation de la Commission

Le rapport factuel de la Commission porte sur 275 réponses valides à la consultation publique menée du 8 avril au 1er juillet 2025. Il résume les avis des participants, et non un échantillon représentatif de la population de l’UE ni la position définitive de la Commission. Cette consultation est distincte de l’appel à contributions de novembre et décembre 2024.

Certification : soutien au principe, diversité des modèles

La certification a été jugée plutôt ou extrêmement importante par 64 opérateurs économiques sur 81, 71 autres acteurs de la chaîne de valeur sur 89 et 70 prestataires potentiels sur 92.

Parmi les modèles préférés figuraient :

une combinaison d’autodéclaration et de certification par un organisme accrédité : 76 répondants sur 275 (27,6 %)
des organismes d’évaluation de la conformité accrédités par la Commission : 62 sur 275 (22,5 %)
des organismes d’évaluation de la conformité accrédités par les organismes nationaux d’accréditation : 53 sur 275 (19,3 %)

Aucun modèle n’a obtenu la majorité. Il s’agit de préférences, pas d’un système de certification adopté.

Transformer les questions réglementaires en critères d’achat

Demandez à un prestataire potentiel de démontrer :

un export structuré lisible par un autre système
la restauration d’une sauvegarde et les dispositions contractuelles de continuité
la séparation des données publiques et à accès restreint
le coût et la procédure d’un changement de prestataire

Ces vérifications permettent d’évaluer un service aujourd’hui ; elles ne préjugent pas de toutes les futures exigences légales.

Ce qui reste ouvert

Les exigences précises applicables aux prestataires, les modalités d’évaluation et les dates d’application restent à définir.

1. Le modèle de certification final n’est pas publié

On ne sait pas encore si l’acte délégué exigera une certification ex ante complète, une évaluation de conformité allégée, une certification volontaire ou un modèle hybride.

2. La frontière entre hébergement principal et sauvegarde est floue

La distinction juridique et opérationnelle entre une plateforme servant activement un DPP et un prestataire ne conservant qu’une copie de continuité est encore en discussion.

3. Les exigences techniques finales ne sont pas encore codifiées

La direction politique est clairement pro-interopérabilité, mais l’acte délégué n’a pas encore défini l’ensemble exact des normes techniques, les obligations de fonctionnement ou les mécanismes de vérification pour les prestataires.

4. Les barrières financières et organisationnelles ne sont pas réglées

Demandez aux prestataires de distinguer les coûts d’hébergement, de sauvegarde, de migration et d’une éventuelle certification future. Les préférences exprimées lors de la consultation ne déterminent ni les tarifs définitifs ni les exemptions.

Ce que les entreprises peuvent faire dès maintenant en toute sécurité

Le fait que l’acte délégué définitif ne soit pas encore publié ne signifie pas que les entreprises doivent attendre passivement. Elles devraient privilégier les décisions qui resteront utiles même si certains détails évoluent.

1. Privilégier des données produit ouvertes et portables

Ne construisez pas votre processus autour d’une plateforme qui rend les exports difficiles, obscurcit les identifiants ou complique la migration. La possibilité de transférer les données facilite la continuité du service et le changement de prestataire.

2. Interroger les prestataires sur la propriété des données et les conditions de sortie

Un prestataire DPP sérieux doit déjà pouvoir répondre à des questions comme :

à qui appartiennent les données produit ?
comment les exporter ?
que se passe-t-il si le service prend fin ?
comment les sauvegardes et la continuité sont-elles gérées ?

Si ces réponses restent vagues aujourd’hui, elles ne deviendront probablement pas plus simples après l’adoption de l’acte délégué.

3. Traiter la gouvernance comme un critère de sélection du prestataire

N’évaluez pas les prestataires uniquement sur les fonctionnalités d’interface. Évaluez leur approche des droits d’accès, de la traçabilité, de la séparation des rôles, des données structurées et de la maintenabilité à long terme.

4. Éviter les architectures difficiles à adapter par la suite

Comparez les formats d’export, les conditions de migration et les procédures de modification avant de signer. Ces vérifications peuvent réduire le coût d’un changement de prestataire sans présumer qu’une architecture particulière sera imposée.

Critères pratiques pour choisir un prestataire

Fondez votre décision sur les obligations de l’ESPR déjà adoptées et sur des preuves du fonctionnement du service. Les modalités de la future certification restent ouvertes. Précisez dans le contrat l’accès aux données, l’export, les sauvegardes, la continuité et les conditions de changement de prestataire.

Lire ensuite

Sources officielles

Commencez par un produit : créez son passeport numérique sur OriginPass.eu.

← Retour au Blog