technology

Qui peut exploiter un DPP ? Règles de l'UE pour les prestataires

Ce que l'UE prépare pour les prestataires DPP : certification, interopérabilité, règles de sauvegarde et gouvernance des plateformes.

29/03/2026 · 9 min de lecture · InfoDPP

Mise à jour éditoriale du 22 juillet 2026 : le registre de production, l’environnement de test, l’accès API et les premières ressources de mise en œuvre sont disponibles, mais le guide publié s’adresse expressément aux opérateurs économiques. Il ne publie ni parcours d’intégration pour les prestataires, ni procédure de certification, ni liste publique de certification. Le règlement (UE) 2026/1778 exige toujours une liste de prestataires vérifiés et un référentiel sémantique, mais « vérifié » désigne la vérification de l’identité et de l’accès au Registre, non la certification prévue par le futur acte délégué ESPR.

Pourquoi ce sujet est important maintenant

La Commission européenne ne discute plus du Passeport Numérique des Produits uniquement comme outil de conformité au niveau du produit. Elle prépare également des règles pour les entreprises qui exploiteront l’infrastructure autour du DPP.

C’est significatif car un prestataire DPP n’est pas un simple fournisseur de logiciels. En pratique, un tel prestataire peut héberger des données produit, gérer les droits d’accès, maintenir des copies de sauvegarde, assurer l’interopérabilité, exposer des API et veiller à ce que les données du passeport restent disponibles lorsque les produits circulent sur le marché.

Pour les entreprises qui choisissent une plateforme DPP, la question passe de « Ce fournisseur peut-il générer un QR code ? » à « Cette architecture restera-t-elle fonctionnelle lorsque les règles de gouvernance de l’UE deviendront plus spécifiques ? »

Ce que la Commission prépare concrètement

La Commission européenne a lancé une initiative dédiée sur les règles applicables aux prestataires DPP dans le cadre du règlement ESPR. L’initiative indique clairement que la Commission entend adopter un acte délégué fixant les règles de fonctionnement des prestataires DPP en tant que composante essentielle de la gouvernance élargie du DPP.

Le processus suit un calendrier déjà visible :

appel à contributions : 12 novembre, 10 décembre 2024
consultation publique : 8 avril, 1er juillet 2025
projet d’acte : en préparation
adoption par la Commission : actuellement annoncée pour 2027. Le nouveau calendrier DPP de la Commission contient des entrées en double visant Q2 et Q3 2027 ; le trimestre précis ne doit donc pas être considéré comme arrêté tant que la page n’est pas corrigée ou que le projet d’acte n’est pas publié.

Le cadre juridique définitif n’est pas encore publié, mais l’orientation n’est plus abstraite. La Commission a déjà posé au marché des questions précises sur le stockage des données, la gestion des données et le besoin éventuel d’un système de certification pour les prestataires.

Ce que le futur acte est juridiquement habilité à contenir

L’article 11, paragraphe 2, de l’ESPR donne à la Commission un mandat plus étroit et plus fiable que le débat de consultation. L’acte délégué peut fixer :

les conditions d’entrée qu’un prestataire DPP doit remplir pour devenir prestataire ;
un système de certification facultatif, lorsque la Commission le juge approprié, afin de vérifier ces conditions d’entrée ; et
les exigences permanentes que les prestataires doivent respecter pendant la fourniture des services DPP.

Ces trois éléments constituent l’enveloppe juridique garantie. Le considérant 40 fournit un indice d’interprétation supplémentaire : il prévoit des rôles et responsabilités plus clairs pour des acteurs tels que les agences émettrices et les prestataires dans la création, l’authentification, le traitement et le stockage des données DPP, et éventuellement dans le retrait d’éléments importants tels que les identifiants et supports de données. Un considérant explique l’orientation recherchée ; il ne constitue pas une liste autonome et exhaustive d’obligations.

L’habilitation publiée ne précise pas encore de seuils de capital, de certificats ISO obligatoires, d’autorité de licence, d’architecture cloud particulière ni de voie unique de certification. La portabilité, la continuité, la cybersécurité, la séparation des rôles et l’interopérabilité sont des thèmes crédibles car ils figurent dans les obligations ESPR existantes et le dossier de consultation, mais ils restent des sujets de conception attendus et non des exigences juridiques finales tant qu’un projet ou un acte adopté ne le prévoit pas.

Certaines règles applicables aux prestataires existent déjà dans l’ESPR et ne doivent pas être présentées comme de simples hypothèses futures : les données DPP peuvent être stockées par l’opérateur économique ou un prestataire ; le système doit assurer un niveau élevé de sécurité et de confidentialité ; les prestataires ne peuvent vendre, réutiliser ou traiter les données DPP au-delà de ce qui est nécessaire au service, sauf accord spécifique de l’opérateur économique ; et l’article 10, paragraphe 4, oblige l’opérateur à rendre une copie de sauvegarde disponible par l’intermédiaire d’un prestataire DPP. Le considérant 38 décrit ce prestataire de sauvegarde comme un tiers indépendant. Le futur acte peut préciser les modalités pratiques de ce socle, mais il ne crée pas ces règles de toutes pièces.

Ce que modifie le règlement adopté sur le registre

Le règlement 2026/1778 n’est pas l’acte délégué promis pour les prestataires, mais il rend leur rôle d’infrastructure plus concret.

Le registre doit tenir une liste des prestataires DPP vérifiés. Il ne s’agit ni d’un label de qualité, ni d’une accréditation, ni de la preuve d’une certification selon les futures règles relatives aux prestataires.
Lorsqu’un prestataire agit comme acteur éligible de la chaîne de valeur, il doit être vérifié avant de pouvoir créer ou modifier des enregistrements. Le contrôle valide aussi la référence au prestataire de sauvegarde lorsque celle-ci est pertinente.
La Commission doit exploiter un référentiel sémantique lisible par machine avec des API documentées et des formats communs. Cela crée un composant horizontal d’interopérabilité, mais n’impose pas une architecture de plateforme commerciale ni ne publie un contrat d’intégration complet.
L’opérateur économique reste responsable de l’exactitude de son DPP et des données d’enregistrement. Un prestataire vérifié peut assurer des fonctions techniques, mais la vérification du registre ne transfère pas la responsabilité du droit produit.

L’acte délégué distinct reste le texte à surveiller pour les exigences de fonctionnement, un éventuel système de certification et des règles plus complètes de sauvegarde et de continuité.

Note batteries : cette initiative ESPR ne doit pas être lue comme si elle avait déjà réécrit le règlement batteries. Dans sa réponse au Parlement de mai 2026, la Commission a précisé que le règlement (UE) 2023/1542 vise des opérateurs autorisés agissant pour le compte de l’opérateur économique responsable, et non les prestataires DPP définis par l’ESPR. En pratique, l’opérateur économique responsable reste responsable du passeport batterie. Il peut autoriser un opérateur à gérer des tâches techniques ou organisationnelles pour son compte, mais cela ne transfère pas la responsabilité et ne transforme pas automatiquement chaque plateforme SaaS en futur « prestataire DPP » au sens de l’ESPR.

Ce qui est déjà clair: et ce qui provient uniquement des contributions

Même avant la publication de l’acte délégué définitif, plusieurs points sont suffisamment clairs.

1. Les prestataires DPP seront traités comme un rôle de gouvernance distinct

La Commission ne traite pas l’infrastructure DPP comme un détail technique invisible. Elle la considère comme une fonction pouvant nécessiter des règles dédiées, car les prestataires se situent à l’intersection des opérateurs économiques, des régulateurs, des consommateurs, des systèmes douaniers et des autorités de surveillance du marché.

2. Le débat ne porte pas sur la nécessité de règles de gouvernance

Le débat porte sur la forme que ces règles doivent prendre. C’est une distinction importante. Le socle de gouvernance est déjà sur la table. Les questions ouvertes concernent la certification, la séparation des rôles, la propriété des données et les exigences techniques.

3. L’interopérabilité est au cœur des contributions

Dans les contributions de la consultation, un thème revient sans cesse : les prestataires DPP ne doivent pas enfermer les entreprises dans des systèmes propriétaires. Standards ouverts, identifiants portables et transférabilité entre prestataires figurent parmi les demandes les plus récurrentes.

4. Sauvegarde et continuité seront importantes

Le cadre ESPR contient déjà le principe que les données DPP doivent rester disponibles même si l’opérateur d’origine ou l’acteur économique disparaît. Le débat sur les prestataires rend cela opérationnel : qui stocke les copies de sauvegarde, quand elles sont libérées et si la sauvegarde doit constituer un rôle séparé.

Ce que le registre des contributions montre

L’appel à contributions a attiré 178 réponses, provenant de fournisseurs de plateformes, de fabricants, d’organismes de normalisation, d’associations professionnelles, d’initiatives d’espaces de données et d’organismes d’évaluation de la conformité.

L’interopérabilité et la lutte contre le verrouillage sont le plus fort dénominateur commun

Les répondants de secteurs très différents soutiennent que les prestataires DPP devraient reposer sur des standards ouverts et internationalement reconnus et éviter les architectures qui rendent le changement de prestataire inutilement difficile.

Pourquoi cela compte en pratique :

En pratique, cela signifie :

les entreprises doivent pouvoir exporter leurs données produit sous forme exploitable
les identifiants et liens ne doivent pas se briser lors d’un changement de prestataire
les prestataires ne doivent pas dépendre de protocoles fermés créant des barrières de sortie
un DPP doit rester portable entre plateformes et systèmes

La gouvernance décentralisée bénéficie d’un large soutien

Un autre point récurrent : les données DPP ne devraient pas être automatiquement concentrées dans un dépôt central propriétaire contrôlé par un opérateur externe. Un large éventail de répondants s’est prononcé pour un modèle plus décentralisé dans lequel l’opérateur économique conserve le contrôle de ses données.

Cela ne signifie pas que chaque entreprise hébergera elle-même ses données. Cela signifie que le modèle de gouvernance doit laisser de la place à :

une propriété claire des données par l’opérateur économique
un hébergement de plateforme sans transfert implicite de contrôle
des registres portables et des structures exportables
des rôles de sauvegarde limités et clairement définis

La certification est à l’ordre du jour, mais non encore tranchée

La consultation montre clairement que certains acteurs souhaitent un modèle de certification ex ante formelle, tandis que d’autres préfèrent un contrôle plus souple ou plus flexible. Des références à la maturité en sécurité de l’information (type ISO 27001) comme niveau d’exigence pratique sont visibles.

certains acteurs plaident pour une certification formelle et indépendante avant qu’un prestataire puisse opérer
d’autres soutiennent une certification volontaire ou des critères de sécurité de base plutôt qu’un filtrage lourd
plusieurs réponses pointent vers une gestion de la sécurité de l’information d’un niveau proche d’ISO 27001 comme attente pratique minimale

Le point important est le suivant : une gouvernance et une fiabilité démontrables sont des thèmes politiques majeurs, mais l’acte délégué n’a pas encore choisi le mécanisme juridique ni décidé si la certification sera obligatoire.

Les copies de sauvegarde ne sont pas une question triviale de stockage

Les parties prenantes posent des questions précises :

la sauvegarde doit-elle être opérée par le même prestataire ou par un tiers séparé ?
doit-elle contenir un miroir en temps réel ou seulement le dernier état valide ?
qui peut y accéder et dans quelles conditions ?
comment la continuité fonctionne-t-elle si l’opérateur économique ou le prestataire cesse d’exister ?

Cela compte parce qu’un prestataire conçu uniquement pour l’affichage en façade pourrait ensuite avoir du mal à respecter des règles plus structurées de continuité et de libération des données.

Ce qui reste ouvert

C’est ici que la prudence s’impose. Plusieurs questions importantes restent non résolues et l’article ne doit pas prétendre le contraire.

1. Le modèle de certification final n’est pas publié

On ne sait pas encore si l’acte délégué exigera une certification ex ante complète, une évaluation de conformité allégée, une certification volontaire ou un modèle hybride.

2. La frontière entre hébergement principal et sauvegarde est floue

La distinction juridique et opérationnelle entre une plateforme servant activement un DPP et un prestataire ne conservant qu’une copie de continuité est encore en discussion.

3. Les exigences techniques finales ne sont pas encore codifiées

La direction politique est clairement pro-interopérabilité, mais l’acte délégué n’a pas encore défini la pile de standards exacte, les obligations systémiques ou les mécanismes de vérification pour les prestataires.

4. Les barrières financières et organisationnelles ne sont pas réglées

Certains répondants ont averti que des exigences trop lourdes pourraient exclure les sociétés européennes de logiciels plus petites.

Ce que les entreprises peuvent faire dès maintenant en toute sécurité

Le fait que l’acte délégué définitif ne soit pas encore publié ne signifie pas que les entreprises doivent attendre passivement. Elles devraient privilégier les décisions qui resteront utiles même si certains détails évoluent.

1. Privilégier des données produit ouvertes et portables

Ne construisez pas votre processus autour d’une plateforme qui rend les exports difficiles, obscurcit les identifiants ou complique la migration. La portabilité est l’une des hypothèses les plus sûres.

2. Interroger les prestataires sur la propriété et la logique de sortie

Un prestataire DPP sérieux doit déjà pouvoir répondre à des questions comme :

à qui appartiennent les données produit ?
comment les exporter ?
que se passe-t-il si le service prend fin ?
comment les sauvegardes et la continuité sont-elles gérées ?

Si ces réponses restent vagues aujourd’hui, elles ne deviendront probablement pas plus simples après l’adoption de l’acte délégué.

3. Traiter la gouvernance comme un critère de sélection du prestataire

N’évaluez pas les prestataires uniquement sur les fonctionnalités d’interface. Évaluez leur approche des droits d’accès, de la traçabilité, de la séparation des rôles, des données structurées et de la maintenabilité à long terme.

4. Éviter les architectures difficiles à adapter par la suite

La meilleure préparation ne consiste pas à deviner la teneur exacte de la règle définitive. Elle consiste à ne pas fonder son système sur des hypothèses déjà contestées dans les consultations, en particulier la dépendance à un fournisseur propriétaire et la faible portabilité.

Pourquoi cela compte pour les acheteurs d’OriginPass

Pour les fabricants, importateurs et propriétaires de marques, la conclusion clé n’est pas qu’ils doivent devenir des experts en rédaction d’actes délégués. La conclusion clé est que le choix du prestataire devient une décision architecturale liée à la conformité.

Le signal le plus fort du processus actuel indique que le modèle DPP gagnant ne sera probablement pas :

fermé
opaque
difficile à exporter
négligent sur les sauvegardes et la logique d’accès

La direction la plus probable est un modèle construit autour de :

données structurées
identifiants portables
frontières de propriété claires
interopérabilité
gouvernance pouvant être expliquée et auditée

Lire ensuite

Sources officielles

Le choix d’une plateforme DPP n’est plus seulement une décision logicielle. Mieux vaut travailler avec un prestataire qui suit déjà de près les questions d’interopérabilité, de gouvernance et de portabilité pendant que les règles de l’UE se précisent. C’est ainsi qu’OriginPass aborde les enregistrements de produits structurés et les processus DPP transférables.

← Retour au Blog