GUÍA DE ACCESO A LOS DATOS

¿Quién puede ver los datos de su DPP? Derechos de acceso, confidencialidad y seguridad según el ESPR

Publicado 13.10.2026 · Actualizado el 20.10.2026 · Tiempo de lectura ~10 min · por Lior Gabriel Graetz · LG Fashion Labs

La preocupación que más nos trasladan las marcas de moda sobre el pasaporte digital del producto es la exposición de sus datos: ¿verán los competidores la lista de proveedores?, ¿verá el público los datos de composición y de sustancias químicas?, ¿podrá el prestador de servicios DPP reutilizar los datos? El ESPR, Reglamento (UE) 2024/1781, no responde a esas preguntas producto por producto. Hace algo más básico: supedita el acceso a los datos del pasaporte a los derechos de acceso que debe definir el acto delegado de cada grupo de productos, y fija requisitos esenciales, aplicables ya a todo pasaporte, sobre quién puede modificar los datos, sobre la integridad y sobre la seguridad.

Esta guía distingue lo que el Reglamento ya fija de lo que sigue abierto para la ropa: el acto delegado textil, las dos normas armonizadas sobre derechos de acceso e integridad de los datos que aún no se han citado en el Diario Oficial, el acto delegado sobre los prestadores de servicios de pasaporte digital de productos y los actos de ejecución sobre credenciales digitales que el ESPR permite pero que no se han propuesto. Para saber dónde se encuentran físicamente los datos y qué figura en la etiqueta, consulte nuestra guía de soportes de datos y del registro.

Por grupo de productos

El acceso a los datos del pasaporte se rige por los derechos de acceso específicos que fije el acto delegado aplicable para cada grupo de productos (artículo 10, apartado 1, letra g), del ESPR).

6 de 8

Normas DPP citadas en el Diario Oficial mediante la Decisión de Ejecución (UE) 2026/1736; la EN 18239 (derechos de acceso) y la EN 18246 (integridad) aún no figuran entre ellas.

Sin reventa de datos

Los prestadores de servicios de pasaporte digital de productos no pueden vender, reutilizar ni tratar los datos del pasaporte más allá del servicio, salvo acuerdo específico con el operador económico (artículo 11 del ESPR).

1. Lo que el Reglamento ya decide sobre el acceso

Artículo 10, apartado 1, letra g), del Reglamento (UE) 2024/1781 (ESPR)

«el acceso a los datos contenidos en el pasaporte digital del producto se regulará de conformidad con los requisitos esenciales establecidos en el presente artículo y en el artículo 11, y con los derechos de acceso específicos a nivel de grupo de productos tal como se especifiquen en el acto delegado aplicable adoptado en virtud del artículo 4»

Por tanto, el acceso no se rige por una regla única para todos los productos. Cada acto delegado debe especificar, según sea pertinente para el grupo de productos, «los agentes que deben tener acceso a los datos contenidos en el pasaporte digital del producto y el tipo de datos a los que deben tener acceso» y «los agentes que deben crear un pasaporte digital del producto o actualizar los datos de un pasaporte digital del producto y el tipo de datos que pueden introducir o actualizar» (artículo 9, apartado 2, letras f) y g)). Mientras no exista el acto delegado para las prendas de vestir textiles, la ley no dice qué datos concretos de la ropa serán públicos y cuáles estarán restringidos.

Lo que sí fija el Reglamento es el abanico de agentes con acceso y el principio que lo rige. Conforme al artículo 11, letra b), los clientes, los fabricantes, los importadores, los distribuidores, los comerciantes, los reparadores profesionales, los operadores independientes, los reacondicionadores, los fabricantes de productos remanufacturados, los recicladores, las autoridades de vigilancia del mercado y las autoridades aduaneras, las organizaciones de la sociedad civil, los sindicatos y otros agentes pertinentes «tendrán acceso fácil y sin coste alguno al pasaporte digital del producto en función de sus derechos de acceso respectivos» establecidos en el acto delegado aplicable. El considerando 33 explica el porqué de este diseño: con el fin de optimizar el acceso a los datos y proteger al mismo tiempo los derechos de propiedad intelectual, el pasaporte «debe diseñarse e implantarse de modo que se permita un acceso diferenciado a los datos que figuren en él dependiendo del tipo de datos y de la tipología de las partes interesadas».

Tres disposiciones condicionan el acceso antes de que se defina un solo campo de datos de la ropa. El acto delegado debe especificar, según sea pertinente, la manera en que el pasaporte debe ponerse a disposición de los clientes antes de que estén sujetos a un contrato de venta, alquiler o alquiler con derecho a compra, también en el caso de la venta a distancia (artículo 9, apartado 2, letra e)). El operador económico que introduce el producto en el mercado debe proporcionar a los comerciantes y a los prestadores de mercados en línea una copia digital del soporte de datos o del identificador único de producto, para que los clientes que no puedan acceder físicamente al producto puedan consultar el pasaporte (artículo 10, apartado 3). Y el operador económico, al introducir el producto en el mercado, «pondrá a disposición una copia de seguridad del pasaporte digital del producto a través de un prestador de servicios de pasaporte digital de productos» (artículo 10, apartado 4), de modo que las disposiciones sobre prestadores de servicios de la sección 2 afectan a todas las marcas, no solo a las que externalizan el alojamiento.

Hay otros dos puntos ya resueltos. El artículo 13, apartado 1, prevé un registro de la UE «en el que se almacenen de manera segura al menos los identificadores únicos» y, en el caso de los productos previstos para su inclusión en el régimen aduanero de despacho a libre práctica, el código de mercancía. El Reglamento de Ejecución (UE) 2026/1778 añade datos de inscripción, como la referencia al prestador de servicios de pasaporte digital de productos (artículo 8, apartado 9). Otros datos del pasaporte solo se almacenan en el registro cuando así lo especifique un acto delegado (artículo 13, apartado 2). El registro no es público: la Comisión, las autoridades nacionales competentes y las autoridades aduaneras tienen acceso a él para desempeñar sus funciones (artículo 13, apartado 6); los operadores económicos tienen acceso, una vez verificados, para inscribir sus pasaportes (artículo 4, apartado 3, del Reglamento de Ejecución (UE) 2026/1778), y otros agentes de la cadena de valor, como reparadores o recicladores, solo una vez verificados (artículo 5, apartado 3). En cambio, el portal web de acceso público que la Comisión debe gestionar conforme al artículo 14 tiene que permitir a las partes interesadas buscar y comparar los datos de los pasaportes «de manera coherente con sus respectivos derechos de acceso».

2. Cómo se protegen la información empresarial confidencial y los datos personales

El ESPR contiene varias garantías que se aplican antes incluso de que se redacte ningún acto para la ropa:

Disposición (ESPR)	Qué dice	Qué significa para una marca
Artículo 5, apartado 10, letra d)	En la elaboración de los requisitos de diseño ecológico, la Comisión «tendrá en cuenta la protección de la información comercial confidencial».	La confidencialidad es un factor que la Comisión debe ponderar al fijar los requisitos para la ropa, no una cuestión accesoria.
Artículo 7, apartado 6, letra b)	Cuando proceda, el acto delegado que fije requisitos de información establecerá exenciones debidamente justificadas de los requisitos de información sobre sustancias preocupantes, basadas, entre otros motivos, en «la necesidad de proteger información empresarial confidencial»; las sustancias en el sentido del artículo 2, punto 27, letra a), presentes por encima del 0,1 % en peso no pueden quedar exentas.	Existe una vía legal para dejar cierta información sobre sustancias fuera del pasaporte, pero no para las sustancias de la lista de sustancias candidatas (artículo 2, punto 27, letra a)) por encima de ese umbral.
Considerando 33	Acceso diferenciado «dependiendo del tipo de datos y de la tipología de las partes interesadas», con el fin de optimizar el acceso a los datos y proteger al mismo tiempo los derechos de propiedad intelectual.	El legislador parte de que no todos los agentes verán todos los campos.
Artículo 10, apartado 1, letra e)	«los datos personales relativos a clientes no se almacenarán en el pasaporte digital del producto sin su consentimiento expreso» de conformidad con el artículo 6 del Reglamento (UE) 2016/679.	Los datos de clientes, por ejemplo de un servicio de reventa o de reparación, en principio no tienen cabida en el pasaporte.
Artículo 11, párrafo segundo	Los prestadores de servicios de pasaporte digital de productos «no podrán vender, reutilizar o tratar tales datos, total o parcialmente, en mayor medida de lo necesario para la prestación de los servicios de almacenamiento o tratamiento pertinentes, salvo que así se acuerde específicamente con el operador económico que introduzca el producto en el mercado o lo ponga en servicio».	Lo que un prestador pueda hacer con los datos de su pasaporte más allá del servicio depende de lo que usted acuerde en el contrato.

Tal como están redactadas, ninguna de estas disposiciones garantiza que un determinado campo de datos de la ropa vaya a seguir siendo confidencial. Son los criterios con los que el acto delegado para la ropa trazará sus niveles de acceso. La guía sobre sustancias preocupantes explica en detalle el umbral del 0,1 %.

3. Quién puede modificar los datos y qué requisitos de seguridad se aplican

La lectura y la escritura de datos se tratan por separado. El artículo 11, letra f), dispone que «los derechos a introducir, modificar o actualizar datos en el pasaporte digital del producto serán restringidos sobre la base de los derechos de acceso especificados en el acto delegado adoptado en virtud del artículo 4». En la práctica, se espera que el acto delegado indique qué agente, por ejemplo una marca, un proveedor o un reparador, puede añadir o actualizar qué información (artículo 9, apartado 2, letra g)).

Dos requisitos esenciales se aplican a todo pasaporte, sea cual sea el grupo de productos: «se garantizarán la autenticación, la fiabilidad y la integridad de los datos» (artículo 11, letra g)), y los pasaportes digitales de productos «se diseñarán y funcionarán de manera que se garantice un elevado nivel de seguridad y privacidad y se evite el fraude» (artículo 11, letra h)).

El último párrafo del artículo 11 permite a la Comisión adoptar actos de ejecución que establezcan «procedimientos para expedir y verificar las credenciales digitales de los operadores económicos y otros agentes pertinentes que tengan derechos de acceso a datos contenidos en el pasaporte digital del producto». El 13 de octubre de 2026 no encontramos ningún acto de ejecución de este tipo en los registros de la Oficina de Publicaciones ni ninguna iniciativa relacionada en el portal Have your say de la Comisión.

4. Las dos normas sobre derechos de acceso e integridad

Para el DPP se elaboraron ocho normas europeas. Según el CEN y el Cenelec (15 de julio de 2026), entre ellas figuran la EN 18239 «Digital Product Passport - Access rights management, information system security, and business confidentiality» (gestión de los derechos de acceso, seguridad de los sistemas de información y confidencialidad empresarial) y la EN 18246 «Digital product passport - Data authentication, reliability and integrity» (autenticación, fiabilidad e integridad de los datos). La Decisión de Ejecución (UE) 2026/1736, de 14 de julio de 2026, publicó en el Diario Oficial las referencias de seis de las ocho normas; la EN 18239 y la EN 18246 no figuran entre ellas.

Esto es relevante por lo que dispone el artículo 41, apartado 2, del ESPR: un pasaporte que sea conforme con normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial se presume conforme con los requisitos de los artículos 10 y 11, en la medida en que dichas normas contemplen tales requisitos. Las dos normas dedicadas a los derechos de acceso, la seguridad, la confidencialidad y la integridad (la EN 18239 y la EN 18246) todavía no confieren presunción de conformidad. La página DPP de la Comisión indicaba la decisión sobre las dos normas restantes para septiembre de 2026 (su calendario es indicativo); el 13 de octubre de 2026 no encontramos ninguna decisión de este tipo en los registros de la Oficina de Publicaciones, y el 17 de octubre de 2026 la página indicaba, en cambio, esa decisión para noviembre de 2026.

5. Qué sigue pendiente y qué decidirá cada elemento

Elemento	Situación a 13 de octubre de 2026	Qué decidirá
Acto delegado del ESPR para los textiles (prendas de vestir)	No adoptado. La página DPP de la Comisión sitúa la adopción de los actos delegados para textiles, aluminio y neumáticos entre el tercer y el cuarto trimestre de 2027.	Qué agentes ven qué datos de las prendas de vestir y quién puede introducir o actualizar qué datos (artículo 9, apartado 2, letras f) y g)).
Normas armonizadas EN 18239 y EN 18246	Aún no citadas en el Diario Oficial; a 13 de octubre de 2026, la página DPP de la Comisión indicaba septiembre de 2026 para la decisión y, a 17 de octubre de 2026, indica noviembre de 2026 (con carácter indicativo).	Presunción de conformidad en materia de derechos de acceso, seguridad, confidencialidad e integridad (artículo 41, apartado 2).
Reglamento de ejecución sobre los derechos de acceso a partes del pasaporte para baterías	Previsto para el cuarto trimestre de 2026 (Have your say, iniciativa 16473); el artículo 77, apartado 9, del Reglamento (UE) 2023/1542 fijaba como plazo el 18 de agosto de 2026; la Comisión publicó el proyecto el 19 de octubre de 2026, con un período de observaciones abierto hasta el 16 de noviembre de 2026.	Solo para baterías, no para ropa. El Reglamento (UE) 2023/1542 ya clasifica la información del pasaporte para baterías en unas partes accesibles al público en general, otras accesibles únicamente a los organismos notificados, las autoridades de vigilancia del mercado y la Comisión, y otras accesibles únicamente a las personas con un interés legítimo (artículo 77, apartado 2, y anexo XIII); este acto especificará quién se considera persona con un interés legítimo y en qué medida puede descargar, compartir, publicar y reutilizar esa información.
Acto delegado sobre los prestadores de servicios de pasaporte digital de productos	Previsto para el cuarto trimestre de 2026 según la ficha de Have your say (iniciativa 14382); la página DPP de la Comisión lo sitúa en 2027.	Requisitos para ser prestador de servicios de pasaporte digital de productos y para operar como tal y, cuando proceda, un sistema de certificación (artículo 11, párrafo tercero).
Actos de ejecución sobre credenciales digitales	No se ha encontrado ninguna iniciativa.	Cómo se identifica y verifica a los titulares de derechos de acceso (artículo 11, último párrafo).

Perspectiva — carteras europeas para empresas

La propuesta de la Comisión de Reglamento relativo a la creación de las carteras europeas para empresas, COM(2025) 838, de 19 de noviembre de 2025, no se ha adoptado; el 7 de octubre de 2026 el Parlamento Europeo confirmó su mandato para iniciar negociaciones interinstitucionales (procedimiento 2025/0358(COD)). Su exposición de motivos menciona los pasaportes digitales de productos, pero los artículos propuestos no se refieren al ESPR. Por tanto, si las carteras para empresas se utilizarán para acreditar derechos de acceso al DPP es una cuestión política abierta que la ley no resuelve.

6. Qué puede hacer una marca ahora

Nada de lo que sigue lo exige hoy el ESPR; es lo que recomendamos para prepararse mientras se definen las reglas aplicables a la ropa:

Paso	Por qué
Clasifique sus datos de producto según su grado de sensibilidad: públicos, solo socios comerciales, solo autoridades, internos.	El considerando 33 y el artículo 9, apartado 2, letra f), apuntan a un acceso diferenciado. Si clasifica sus datos ahora, podrá asignarlos rápidamente a los niveles que fije el acto delegado.
Revise la cláusula de uso de datos de todo contrato de proyecto piloto DPP o con un prestador de servicios.	Según el artículo 11, párrafo segundo, la reutilización más allá del servicio requiere su acuerdo específico. Evite los consentimientos genéricos.
Decida quién puede introducir o modificar qué datos, sobre todo en el caso de los proveedores.	El artículo 11, letra f), restringe los derechos de escritura en función de los derechos de acceso. Definir ya permisos por roles en los proyectos piloto le evitará rehacer trabajo más adelante.
Mantenga los datos personales de los clientes fuera del pasaporte.	El artículo 10, apartado 1, letra e), exige el consentimiento expreso conforme al RGPD.
Pregunte a los prestadores cómo cumplirán la EN 18239 y la EN 18246 una vez citadas.	Hasta entonces, los artículos 10 y 11 se aplican sin la presunción de conformidad para estos aspectos.

AUDITORÍA DPP

Sepa qué datos de producto pueden ser públicos y cuáles no deben serlo.

Analizamos sus datos de producto frente a los requisitos del DPP y las cuestiones abiertas sobre derechos de acceso, para que sus datos de proveedores, sus contratos y su modelo de acceso estén listos cuando llegue el acto textil. Bajo NDA.

Iniciar su auditoría DPP

Preguntas frecuentes

¿Será pública en el DPP mi lista de proveedores y fábricas? +

La ley todavía no lo decide. Los identificadores únicos de operador distintos al del fabricante y los identificadores únicos de instalaciones figuran entre los elementos que un acto delegado puede exigir en el pasaporte (anexo III, letras h) e i)), pero el ESPR deja al acto delegado de cada grupo de productos la tarea de especificar qué agentes tienen acceso a qué datos (artículo 9, apartado 2, letra f), y artículo 10, apartado 1, letra g)), y el considerando 33 pide un acceso diferenciado para optimizar el acceso a los datos y proteger al mismo tiempo los derechos de propiedad intelectual. El acto delegado para las prendas de vestir textiles no se ha adoptado; la página DPP de la Comisión sitúa su adopción entre el tercer y el cuarto trimestre de 2027.

¿Puede mi prestador de servicios DPP utilizar mis datos de producto? +

Solo para el servicio, salvo que usted acuerde otra cosa. Según el artículo 11, párrafo segundo, del ESPR, los prestadores de servicios de pasaporte digital de productos no podrán vender, reutilizar ni tratar los datos, total o parcialmente, en mayor medida de lo necesario para los servicios de almacenamiento o tratamiento, salvo que así se acuerde específicamente con el operador económico que introduzca el producto en el mercado o lo ponga en servicio.

¿Quién puede modificar los datos de mi pasaporte? +

Solo los agentes con los derechos correspondientes. El artículo 11, letra f), restringe los derechos a introducir, modificar o actualizar datos en función de los derechos de acceso especificados en el acto delegado, y el artículo 9, apartado 2, letra g), exige que ese acto, según sea pertinente para el grupo de productos, indique qué agentes pueden crear o actualizar un pasaporte y qué datos pueden introducir o actualizar.

¿Existe ya una norma sobre derechos de acceso al DPP que podamos seguir? +

La EN 18239 abarca la gestión de los derechos de acceso, la seguridad de los sistemas de información y la confidencialidad empresarial, y la EN 18246, la autenticación, la fiabilidad y la integridad de los datos. A 13 de octubre de 2026 ninguna de las dos se había citado en el Diario Oficial; la Decisión de Ejecución (UE) 2026/1736 citó seis de las ocho normas DPP. La presunción de conformidad del artículo 41, apartado 2, del ESPR solo se aplica una vez publicadas las referencias.

¿Pueden almacenarse datos de clientes en el pasaporte? +

En principio, no. Según el artículo 10, apartado 1, letra e), del ESPR, los datos personales relativos a clientes no se almacenarán en el pasaporte digital del producto sin su consentimiento expreso de conformidad con el artículo 6 del Reglamento General de Protección de Datos.

Fuentes

ESPRReglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se instaura un marco para el establecimiento de requisitos de diseño ecológico aplicables a los productos sostenibles, se modifican la Directiva (UE) 2020/1828 y el Reglamento (UE) 2023/1542 y se deroga la Directiva 2009/125/CE. Considerando 33; artículo 2, punto 27; artículo 5, apartado 10; artículo 7, apartado 6; artículo 9, apartado 2; artículo 10, apartados 1, 3 y 4; artículos 11, 13 y 14; artículo 41, apartado 2; anexo III. Leído en la versión del Diario Oficial; se comprobaron las correcciones de errores y ninguna afecta a los pasajes citados. CELEX 32024R1781 ↗
Normas DPP armonizadasDecisión de Ejecución (UE) 2026/1736 de la Comisión, de 14 de julio de 2026, relativa a las normas armonizadas para los pasaportes digitales de productos elaboradas en apoyo del Reglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo. CELEX 32026D1736 ↗ · CEN y Cenelec, noticia de 15.07.2026 con las ocho normas DPP (en inglés). CEN-CENELEC ↗
Registro DPPReglamento de Ejecución (UE) 2026/1778 de la Comisión, de 16 de julio de 2026, por el que se establecen las modalidades de aplicación del registro de pasaportes digitales de productos creado en virtud del Reglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo. Artículo 4, apartado 3; artículo 5, apartado 3; artículo 8, apartado 9. CELEX 32026R1778 ↗
Pasaporte para bateríasReglamento (UE) 2023/1542 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, relativo a las pilas y baterías y sus residuos y por el que se modifican la Directiva 2008/98/CE y el Reglamento (UE) 2019/1020 y se deroga la Directiva 2006/66/CE. Artículo 77, apartados 2 y 9; anexo XIII. Leído en la versión consolidada de 13.08.2026. CELEX 02023R1542-20260813 ↗
Calendario de la ComisiónComisión Europea, página sobre el pasaporte digital del producto (en inglés; consultada el 13.10.2026; la entrada del calendario sobre las dos normas restantes, consultada de nuevo el 17.10.2026). Página DPP de la Comisión ↗
Actos pendientesHave your say, iniciativa 16473, reglamento de ejecución sobre los derechos de acceso a determinadas partes del pasaporte para baterías ↗; iniciativa 14382, prestadores de servicios de pasaporte digital de productos ↗; COM(2025) 838, propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la creación de las carteras europeas para empresas CELEX 52025PC0838 ↗; Parlamento Europeo, Observatorio Legislativo, procedimiento 2025/0358(COD) ↗.

El ESPR, la Decisión de Ejecución (UE) 2026/1736 y el Reglamento de Ejecución (UE) 2026/1778 se leyeron en sus versiones del Diario Oficial, y el Reglamento (UE) 2023/1542 en su versión consolidada, todos ellos publicados por la Oficina de Publicaciones de la UE (EUR-Lex); las versiones consolidadas son instrumentos de documentación sin efecto jurídico, y el texto auténtico es el del Diario Oficial; los registros de la Oficina de Publicaciones se consultaron el 13.10.2026; las páginas de la Comisión Europea, Have your say, el Observatorio Legislativo y CEN-CENELEC se consultaron el 13.10.2026. Esto es información general, no asesoramiento legal, financiero ni de inversión.