GUÍA DE PRESTADORES DE DPP
Elegir un prestador de servicios de DPP: copia de seguridad, límites al uso de los datos, derecho a cambiar de proveedor y las próximas normas de la UE
Un pasaporte digital del producto no puede gestionarse íntegramente de forma interna. El ESPR, Reglamento (UE) 2024/1781, exige que se ponga a disposición una copia de seguridad de cada pasaporte a través de un prestador de servicios de DPP, y define a ese prestador como un tercero independiente. Por eso, cuando sea aplicable un acto delegado que exija un pasaporte para las prendas de vestir, toda marca que introduzca prendas de vestir en el mercado de la UE necesitará un acuerdo con al menos un prestador de servicios de DPP, tanto si aloja ella misma el pasaporte activo como si lo externaliza todo. Una marca que firma hoy un contrato piloto o de plataforma lo hace antes de que la UE haya adoptado el acto delegado que establecerá los requisitos para los prestadores de servicios de DPP (artículo 11, párrafo tercero, del ESPR).
Esta guía expone lo que la ley ya fija para esa relación: el requisito de independencia y la copia de seguridad, la prohibición de que los prestadores utilicen los datos del pasaporte más allá del servicio, lo que el registro de la UE recoge sobre los prestadores y las normas del Reglamento de Datos sobre el cambio entre servicios en la nube que probablemente se aplican a los contratos de plataforma. Después repasa el calendario de las normas que aún están por llegar, sobre todo el acto delegado sobre los prestadores de servicios de DPP, y termina con una lista de puntos para el contrato. Para saber quién puede ver qué datos del pasaporte, consulte nuestra guía sobre derechos de acceso; para comparar el coste de alojar el pasaporte uno mismo con el de recurrir a un prestador, consulte nuestra guía de costes.
Tercero independiente
Un prestador de servicios de DPP es un tercero independiente autorizado por el operador económico, y la copia de seguridad del pasaporte debe ponerse a disposición a través de un prestador de este tipo (artículo 2, punto 32, y artículo 10, apartado 4, del ESPR).
Sin reutilización
Los prestadores no pueden vender, reutilizar ni tratar los datos del pasaporte más allá de lo que requiera el servicio, salvo que así se acuerde específicamente con el operador económico (artículo 11, párrafo segundo, del ESPR).
12 de enero de 2027
A partir de esta fecha, los proveedores de servicios de tratamiento de datos no podrán imponer costes por cambio (artículo 29, apartado 1, del Reglamento de Datos). Que un contrato de plataforma DPP esté cubierto depende del servicio.
1. Por qué toda marca necesita un prestador de servicios de DPP, aunque aloje el pasaporte ella misma
Artículo 10, apartado 4, del Reglamento (UE) 2024/1781 (ESPR)
«Al introducir el producto en el mercado, el operador económico pondrá a disposición una copia de seguridad del pasaporte digital del producto a través de un prestador de servicios de pasaporte digital de productos.»
El ESPR admite dos modelos de alojamiento. El pasaporte «será almacenado por el operador económico responsable de su creación o por prestadores de servicios de pasaporte digital de productos» (artículo 11, párrafo primero, letra c)). La copia de seguridad es una obligación aparte que se aplica en ambos modelos. Quién puede custodiarla se desprende de la definición del artículo 2, punto 32: un prestador de servicios de DPP es «una persona física o jurídica que es un tercero independiente autorizado por el operador económico que introduce el producto en el mercado o lo pone en servicio y que trata los datos del pasaporte digital del producto con el fin de ponerlos a disposición de los operadores económicos y otros agentes pertinentes con derecho de acceso a dichos datos en virtud del presente Reglamento u otras disposiciones de Derecho de la Unión». El considerando 38 explica el motivo: para garantizar el acceso al pasaporte durante el período exigido, incluso después de procedimientos de insolvencia, liquidación o cese de actividad en la Unión, la copia de seguridad debe ponerse a disposición «a través de un prestador de servicios de pasaporte digital de productos que sea un tercero independiente». Por tanto, una marca no puede actuar como prestador de servicios de DPP de su propia copia de seguridad.
La obligación está ligada a la introducción del producto en el mercado. Los fabricantes, al introducir un producto en el mercado, y los importadores, antes de hacerlo, deben asegurarse de que exista un pasaporte disponible que incluya «una copia de seguridad de la versión más actual del pasaporte digital del producto», almacenada por un prestador de servicios de pasaporte digital de productos de conformidad con el artículo 10, apartado 4 (artículo 27, apartado 1, letra c), y artículo 29, apartado 2, letra c)). Como la copia de seguridad debe corresponder a la versión más actual cada vez que se introduce un producto en el mercado, en la práctica tiene que mantenerse al día con las actualizaciones, y no limitarse a la primera versión. El propio pasaporte debe permanecer disponible durante el período fijado en el acto delegado aplicable al producto, «incluso después de procedimientos de insolvencia o liquidación o de un cese de actividad en la Unión del operador económico responsable de la creación del pasaporte digital del producto» (artículo 11, letra e)), y ese período «se corresponderá al menos con la vida útil prevista de un producto específico» (artículo 9, apartado 2, letra i)).
Quedan dos cuestiones abiertas. El ESPR no define qué hace «independiente» a un prestador más allá del tenor del artículo 2, punto 32, ni dice si la copia de seguridad debe estar en manos de un prestador distinto del que aloja el pasaporte activo. La convocatoria de datos de la Comisión sobre las normas para los prestadores (noviembre de 2024) describe a prestadores que almacenan y tratan los datos del pasaporte por cuenta de operadores que no lo hacen ellos mismos, y que almacenan la copia de seguridad obligatoria de operadores que alojan el pasaporte ellos mismos. El acto delegado sobre los prestadores de servicios de DPP (sección 5) podría resolver ambas cuestiones.
Nada de esto se aplica todavía a la ropa. Se exige un pasaporte, y con él la copia de seguridad, para los productos regulados por un acto delegado adoptado en virtud del artículo 4 (artículo 9, apartado 1), salvo que la Comisión, al establecer los requisitos relativos al pasaporte, exima al grupo de productos por alguno de estos dos motivos: que no existan especificaciones técnicas disponibles del pasaporte digital del producto relativas a los requisitos esenciales de los artículos 10 y 11, o que otras disposiciones de Derecho de la Unión ya prevean un sistema para el suministro digital de información relativa a ese grupo de productos que, a juicio de la Comisión, cumpla los objetivos del pasaporte de garantizar que los agentes que operan a lo largo de la cadena de valor puedan acceder fácilmente a la información sobre los productos pertinente para ellos y entenderla, y de facilitar la verificación del cumplimiento de los productos por parte de las autoridades nacionales competentes (artículo 9, apartado 4). El acto delegado para textiles no se ha adoptado; la página DPP de la Comisión prevé su adopción para el período del tercer al cuarto trimestre de 2027. Un acto delegado se aplica, como pronto, 18 meses después de su entrada en vigor, salvo en casos debidamente justificados (artículo 4, apartado 4). La cuestión del coste de alojar el pasaporte uno mismo frente a externalizarlo se trata en nuestra guía de costes.
2. Qué puede hacer un prestador con los datos de su pasaporte
Artículo 11, párrafo segundo, del ESPR
«Si el pasaporte digital del producto es almacenado de conformidad con el párrafo primero, letra c), o tratado de otro modo por prestadores de servicios de pasaporte digital de productos, dichos prestadores de servicios de pasaporte digital de productos no podrán vender, reutilizar o tratar tales datos, total o parcialmente, en mayor medida de lo necesario para la prestación de los servicios de almacenamiento o tratamiento pertinentes, salvo que así se acuerde específicamente con el operador económico que introduzca el producto en el mercado o lo ponga en servicio.»
La regla general es la prohibición, y la excepción está en manos de la marca. Un prestador que custodia el pasaporte activo o la copia de seguridad solo puede utilizar los datos en la medida en que lo requiera el servicio de almacenamiento o tratamiento. Todo lo que vaya más allá, por ejemplo vender los datos o reutilizarlos para análisis propios o para otros productos del prestador, requiere el acuerdo de la marca, y el Reglamento exige que se acuerde «específicamente». Según nuestra interpretación, una cláusula que indique la finalidad y los datos afectados cumple ese criterio con más claridad que un consentimiento genérico escondido en las condiciones generales. El acuerdo debe proceder del operador económico que introduzca el producto en el mercado o lo ponga en servicio; si la marca y el importador son empresas distintas, el contrato debe dejar claro cuál de ellas lo otorga.
Los demás requisitos esenciales del artículo 11 se aplican con independencia de quién aloje el pasaporte: los derechos a introducir, modificar o actualizar datos están restringidos sobre la base de los derechos de acceso especificados en el acto delegado (letra f)), «se garantizarán la autenticación, la fiabilidad y la integridad de los datos» (letra g)), y los pasaportes deben diseñarse y funcionar de manera que «se garantice un elevado nivel de seguridad y privacidad y se evite el fraude» (letra h)). El artículo 10, apartado 1, letra d), añade que los datos del pasaporte deben ser, según proceda, «transferibles a través de una red abierta interoperable de intercambio de datos sin dependencia de un proveedor». Así pues, el ESPR ya desincentiva los formatos que solo puede leer un único prestador; el Reglamento de Datos, como se explica en la sección 4, añade normas sobre el propio proceso de cambio de proveedor. Quién puede ver qué datos es una cuestión distinta, que tratamos en nuestra guía sobre derechos de acceso.
3. Qué recoge el registro de la UE sobre su prestador
El Reglamento de Ejecución (UE) 2026/1778 de la Comisión, en vigor desde el 6 de agosto de 2026, reserva a los prestadores un lugar propio en el registro. El registro incluye «una lista de los prestadores de servicios de pasaporte digital de productos verificados inscritos en el registro» (artículo 3, letra f)). El considerando 4 cita al prestador de servicios de pasaporte digital de productos como ejemplo de agente de la cadena de valor que «debe ser identificado mediante un proceso de verificación», y el artículo 5 establece cómo obtienen los agentes de la cadena de valor el estado «verificado»: acreditando su identidad y, en su caso, su establecimiento.
Cuando se presenta un pasaporte para su inscripción, la Comisión lee su contenido y confirma automáticamente, entre otras cosas, «cuando proceda, el enlace a la copia de seguridad alojada por un prestador de servicios de pasaporte digital de productos» (artículo 8, apartado 7, letra e)). También almacena, como parte de los datos de la inscripción, «cuando proceda, la referencia al prestador de servicios de pasaporte digital de productos» (artículo 8, apartado 9, letra c)). Ambos elementos llevan la salvedad «cuando proceda», de modo que, en el caso de las prendas de vestir, serán las normas aplicables a ese grupo de productos las que determinen si se comprueba o no un enlace a la copia de seguridad.
Si un prestador inscribe pasaportes por cuenta de su empresa, debe estar verificado él mismo: cuando un operador económico verificado autoriza a un tercero a llevar a cabo acciones de inscripción en el registro en su nombre, ese tercero debe seguir el proceso de verificación del artículo 5, y el operador económico «seguirá siendo plenamente responsable del cumplimiento de las obligaciones establecidas en el presente Reglamento» (artículo 19, apartado 4). Externalizar la inscripción no significa externalizar la responsabilidad.
En cuanto al propio pasaporte, el anexo III del ESPR incluye, como letra l), «la referencia del prestador de servicios de pasaporte digital de productos que aloja la copia de seguridad» del pasaporte. El anexo III es una lista a partir de la cual cada acto delegado especifica «qué datos de entre los siguientes elementos debe o puede contener» el pasaporte, de modo que la letra l) solo pasa a ser un campo obligatorio para las prendas de vestir si así lo dispone el acto delegado para textiles. El proceso de inscripción se explica paso a paso en nuestra guía sobre el registro.
4. Cambio de proveedor: lo que ya establece el Reglamento de Datos
Nuestra lectura: una interpretación, no una cuestión jurídicamente resuelta
El Reglamento de Datos, Reglamento (UE) 2023/2854, es aplicable desde el 12 de septiembre de 2025 (artículo 50). Sus normas sobre el cambio de proveedor (capítulo VI, artículos 23 a 31) se aplican a los servicios de tratamiento de datos, definidos en el artículo 2, punto 8, como «servicio digital que se presta a un cliente y que permite un acceso de red ubicuo y bajo demanda a un conjunto compartido de recursos informáticos configurables, modulables y elásticos de carácter centralizado, distribuido o muy distribuido, que puede movilizarse y liberarse rápidamente con un mínimo esfuerzo de gestión o interacción con el proveedor de servicios». El considerando 81 cita como modelos de prestación la «infraestructura como servicio (IaaS, por sus siglas en inglés), plataforma como servicio (PaaS, por sus siglas en inglés) y software como servicio (SaaS, por sus siglas en inglés)». Por tanto, es probable que una plataforma DPP ofrecida en línea como servicio estándar entre en el ámbito de estas normas. Que un contrato concreto lo haga depende de cómo esté construido y se ofrezca el servicio, así que revise el contrato y pregunte a su prestador si considera que su servicio está cubierto por el capítulo VI.
Cuando se aplican estas normas, los derechos del cliente y las obligaciones del proveedor en relación con el cambio «se establecerán con claridad en un contrato escrito», que el proveedor debe poner a disposición del cliente antes de su firma (artículo 25, apartado 1). El artículo 25, apartado 2, enumera los elementos que ese contrato debe incluir como mínimo. Los más relevantes para una plataforma de pasaportes son:
| Elemento (Reglamento de Datos) | Qué debe prever el contrato |
|---|---|
| Plazo de preaviso (artículo 25, apartado 2, letra d)) | «un plazo máximo de preaviso para el inicio del proceso de cambio, que no excederá de dos meses» |
| Período transitorio (artículo 25, apartado 2, letra a), y artículo 25, apartado 4) | El cambio, o el traslado de todos los datos exportables a una infraestructura propia, sin demora indebida y, en cualquier caso, «en un plazo no superior al período transitorio obligatorio máximo de treinta días naturales, que comenzará al final del plazo máximo de preaviso a que se refiere la letra d)», durante el cual el contrato se sigue aplicando y el proveedor debe prestar asistencia y actuar «con la diligencia debida para mantener la continuidad de las actividades». Si los 30 días son técnicamente inviables, el proveedor debe justificarlo en un plazo de 14 días hábiles e indicar un período transitorio alternativo, «que no excederá de siete meses». |
| Datos incluidos (artículo 25, apartado 2, letra e)) | «una especificación exhaustiva de todas las categorías de datos y activos digitales que pueden ser exportadas durante el proceso de cambio, que deberá comprender, como mínimo, todos los datos exportables» |
| Extracción de datos (artículo 25, apartado 2, letra g)) | «un período mínimo para la extracción de datos de al menos treinta días naturales», a contar desde el final del período transitorio. |
| Supresión (artículo 25, apartado 2, letra h)) | Supresión total de los datos exportables y activos digitales tras el período de extracción o en una fecha posterior pactada, siempre que el proceso de cambio haya finalizado con éxito. |
| Apoyo a la salida (artículo 25, apartado 2, letra b)) | La obligación del proveedor de apoyar la estrategia de salida del cliente, también proporcionando toda la información pertinente. |
En cuanto al coste, el artículo 29, apartado 1, fija una fecha concreta: «A partir del 12 de enero de 2027, los proveedores de servicios de tratamiento de datos no impondrán al cliente ningún coste por cambio por el proceso de cambio». Hasta entonces se permiten costes por cambio reducidos que no excedan de los costes directamente relacionados con el proceso de cambio (artículo 29, apartados 2 y 3). Sin embargo, los costes por cambio no son lo único que cuesta marcharse. Su definición excluye los «costes de servicio estándar» y las «sanciones por resolución anticipada» (artículo 2, punto 36), y el considerando 89 confirma que las partes pueden acordar «contratos para servicios de tratamiento de datos de duración determinada, incluidas sanciones proporcionadas por resolución anticipada para cubrir la resolución unilateral anticipada de dichos contratos, de conformidad con el Derecho de la Unión o nacional». Antes de celebrar el contrato, el proveedor debe facilitar información clara sobre los costes estándar del servicio y las sanciones por resolución anticipada que podrían imponerse (artículo 29, apartado 4). A partir de 2027, el cambio en sí no conllevará costes por cambio, pero salir antes de tiempo de un contrato de duración determinada puede seguir costando dinero.
Hay dos exenciones relevantes para los proyectos de DPP. Los servicios «prestados como versión no destinada a la producción con fines de ensayo y evaluación y durante un período de tiempo limitado» quedan totalmente fuera del capítulo VI (artículo 31, apartado 2), lo que puede abarcar un piloto de duración limitada. En el caso de los servicios cuyas características principales se hayan desarrollado en su mayor parte a medida para un cliente concreto, o cuyos componentes se hayan desarrollado todos para ese cliente, y que no se ofrezcan a gran escala comercial a través del catálogo de servicios del proveedor, no se aplican las normas sobre equivalencia funcional (artículo 23, letra d)), sobre costes por cambio (artículo 29) ni parte del artículo 30 (artículo 31, apartado 1), y el proveedor debe indicar antes de celebrar el contrato qué obligaciones no se aplican (artículo 31, apartado 3). Por tanto, un contrato piloto puede darle menos derechos que el contrato de producción que le siga.
Perspectiva — Ómnibus Digital (una propuesta, no una norma vigente)
La propuesta de la Comisión COM(2025) 837, de 19 de noviembre de 2025 (procedimiento 2025/0360(COD)), modificaría el Reglamento de Datos. Su proyecto de artículo 31, apartado 1 ter, permitiría a un proveedor de servicios de tratamiento de datos distintos de los servicios de mera infraestructura (los contemplados en el artículo 30, apartado 1) incluir sanciones proporcionadas por resolución anticipada en un contrato de duración determinada. Esa frase no contiene ninguna limitación por fecha del contrato, por lo que, si se adopta, alcanzaría también a los nuevos contratos de plataformas DPP. Los regímenes más flexibles del proyecto de artículo 31, apartado 1 bis (servicios adaptados a las necesidades de un cliente), y del resto del proyecto de artículo 31, apartado 1 ter (proveedores que sean pymes o pequeñas empresas de mediana capitalización), solo afectan a los contratos celebrados el 12 de septiembre de 2025 o antes; ambos mantienen el artículo 29 sobre los costes por cambio, y las cláusulas de esos contratos contrarias al artículo 29, apartados 1, 2 o 3, serían nulas de pleno derecho. El 16 de octubre de 2026, el Observatorio Legislativo del Parlamento Europeo mostraba el procedimiento pendiente de decisión en comisión, con un proyecto de informe de 22 de junio de 2026 y enmiendas presentadas el 27 de julio de 2026. No se ha adoptado nada.
5. Las próximas normas de la UE para los prestadores y cuándo esperarlas
El ESPR ya faculta a la Comisión para regular a los prestadores. El artículo 11, párrafo tercero, permite adoptar actos delegados por los que se complete ese artículo «mediante el establecimiento de requisitos que deben cumplirse para ser prestadores de servicios de pasaporte digital de productos y, cuando proceda, un sistema de certificación para verificar el cumplimiento de dichos requisitos, y por los que se establezcan requisitos que deben cumplir dichos proveedores de servicios al prestar servicios de pasaporte digital de productos». El considerando 40 añade que la Comisión podría llevar a cabo una evaluación de impacto para «estudiar la conveniencia de desarrollar un sistema de certificación para los prestadores de servicios de pasaporte digital de productos». Por tanto, un sistema de certificación es posible, pero no está decidido.
La Comisión prepara este acto como iniciativa 14382 en su portal Have your say, en forma de acto delegado (previsto como decisión delegada, según la ficha del portal). Su convocatoria de datos de 12 de noviembre de 2024 agrupaba provisionalmente los posibles requisitos en tres ámbitos: la seguridad de la información y los servicios relativos a los datos del pasaporte que los operadores confían a los prestadores, la viabilidad financiera de los prestadores para garantizar el acceso a largo plazo a la información del pasaporte, y la garantía de que los prestadores cumplen los requisitos. Mencionaba la autodeclaración, las medidas de control del cumplimiento y un sistema de certificación ex ante como posibles vías para garantizar el cumplimiento, y señalaba que los costes de certificación podrían repercutirse a los operadores. La convocatoria de datos (del 12 de noviembre al 10 de diciembre de 2024) recibió 178 contribuciones y la consulta pública (del 8 de abril al 1 de julio de 2025), 275 respuestas. No se ha publicado ningún proyecto de acto para recabar comentarios.
| Norma o iniciativa | Situación a 16 de octubre de 2026 | Por qué importa para un contrato con un prestador |
|---|---|---|
| Acto delegado sobre los prestadores de servicios de DPP (artículo 11, párrafo tercero, del ESPR) | No adoptado; no se ha publicado ningún proyecto. La ficha de Have your say (iniciativa 14382, modificada por última vez el 26 de junio de 2026) indica la adopción prevista para el cuarto trimestre de 2026. La página DPP de la Comisión (actualizada el 15 de octubre de 2026) recoge el acto en el segundo trimestre de 2027 y en el tercer trimestre de 2027, en un calendario que ella misma califica de indicativo. La convocatoria de datos de noviembre de 2024 había indicado el período del primer al segundo trimestre de 2026. | Puede fijar requisitos para convertirse en prestador y para operar como tal y, cuando proceda, un sistema de certificación. Una vez adoptado, solo entra en vigor si ni el Parlamento Europeo ni el Consejo formulan objeciones en un plazo de dos meses, prorrogable dos meses, o si ambos comunican antes que no las formularán (artículo 72, apartado 6). |
| Acto delegado del ESPR para textiles | No adoptado. La página DPP de la Comisión prevé su adopción para el período del tercer al cuarto trimestre de 2027. | Salvo que exima a las prendas de vestir del requisito de pasaporte (artículo 9, apartado 4), activa las obligaciones de pasaporte y de copia de seguridad para las prendas de vestir, como pronto 18 meses después de su entrada en vigor, salvo en casos debidamente justificados (artículo 4, apartado 4). Decide si la referencia del prestador (anexo III, letra l)) forma parte del pasaporte de las prendas de vestir. |
| Reglamento de Datos: fin de los costes por cambio | Fijado por ley: sin costes por cambio a partir del 12 de enero de 2027 (artículo 29, apartado 1). El Reglamento de Datos es aplicable desde el 12 de septiembre de 2025. | Relevante para los contratos de plataforma cubiertos por el capítulo VI, salvo los servicios desarrollados a medida exentos en virtud del artículo 31, apartado 1 (sección 4). |
| Ómnibus Digital, propuesta COM(2025) 837 | Solo una propuesta. Parlamento Europeo: pendiente de decisión en comisión (proyecto de informe de 22 de junio de 2026; enmiendas de 27 de julio de 2026). | Permitiría expresamente sanciones proporcionadas por resolución anticipada en contratos de duración determinada (proyecto de artículo 31, apartado 1 ter). |
| Normas DPP EN 18239 y EN 18246 | Referencias no publicadas en el Diario Oficial. La página DPP de la Comisión prevé para noviembre de 2026 una decisión de ejecución sobre las dos normas DPP restantes (el 13 de octubre de 2026 indicaba septiembre de 2026). | Tratan los derechos de acceso, la seguridad de la información, la confidencialidad empresarial y la integridad de los datos, los ámbitos que un prestador tiene que cubrir en la práctica. |
Las dos fuentes de la Comisión no coinciden en el calendario, y no hemos encontrado ninguna explicación oficial. La página DPP se actualizó después y es la indicación más reciente, que apunta a 2027; la ficha de Have your say no se ha modificado desde junio de 2026. En cualquier caso, la ficha indica que el proyecto de acto se someterá próximamente a comentarios, por lo que ese trámite podría abrirse en cualquier momento.
Las normas técnicas también configurarán el mercado de prestadores. La Decisión de Ejecución (UE) 2026/1736 publica en el Diario Oficial las referencias de seis de las ocho normas europeas sobre el DPP, entre ellas la EN 18221, sobre «Almacenamiento, archivo y persistencia de datos». Se presume que los pasaportes conformes con normas armonizadas cuyas referencias se hayan publicado cumplen los requisitos de los artículos 10 y 11 del ESPR en la medida en que dichas normas los contemplen (artículo 41, apartado 2), así que es razonable preguntar a un prestador qué normas publicadas aplica.
6. Qué incluir ya en el contrato
Ni el ESPR ni el Reglamento de Datos imponen las cláusulas siguientes en estos términos. Son nuestras recomendaciones para un contrato con un prestador que se firme antes de que existan el acto delegado para textiles y el acto delegado sobre los prestadores de servicios de DPP. Cada una remite a la disposición cuyo cumplimiento le facilita.
| Punto del contrato | Qué pedir | Base jurídica |
|---|---|---|
| Función e independencia | Confirmación de que el prestador actúa como prestador de servicios de DPP autorizado por su empresa y de que la empresa que custodia su copia de seguridad es un tercero independiente de la suya. | Artículo 2, punto 32, y artículo 10, apartado 4, del ESPR; considerando 38. |
| Copia de seguridad | Una copia de seguridad de la versión más actual de cada pasaporte, la frecuencia de actualización, cómo se facilita el enlace a la copia de seguridad para la inscripción en el registro y un procedimiento de restauración probado. | Artículo 27, apartado 1, letra c), y artículo 29, apartado 2, letra c), del ESPR; artículo 8, apartado 7, letra e), del Reglamento de Ejecución (UE) 2026/1778. |
| Uso de los datos | Una cláusula que reproduzca la regla general: ninguna venta, reutilización ni tratamiento de los datos del pasaporte más allá del servicio. Toda excepción debe acordarse específicamente, con indicación de su finalidad y de los datos afectados. Ningún consentimiento genérico en las condiciones generales. | Artículo 11, párrafo segundo, del ESPR. |
| Disponibilidad y continuidad | Disponibilidad durante todo el período que fije el acto delegado, que será como mínimo la vida útil prevista del producto; qué ocurre si el prestador entra en insolvencia o abandona el mercado (por ejemplo, la transferencia a un prestador sucesor); qué ocurre si su empresa cesa su actividad. | Artículo 9, apartado 2, letra i), y artículo 11, letra e), del ESPR. |
| Salida y portabilidad | Formatos de exportación abiertos y documentados; un preaviso de dos meses como máximo; una transición de 30 días naturales como máximo; al menos 30 días naturales para extraer los datos; supresión posterior; costes por cambio solo en los términos que permite el artículo 29 hasta el 12 de enero de 2027 y ninguno a partir de esa fecha; sanciones por resolución anticipada indicadas antes de la firma. | Artículo 10, apartado 1, letra d), del ESPR; artículos 25 y 29 del Reglamento de Datos, cuando sea aplicable el capítulo VI. |
| Acciones en el registro | Si el prestador inscribe los pasaportes por cuenta de su empresa: confirmación de que está verificado, quién custodia las credenciales del registro y cómo se corrigen los errores. La responsabilidad sigue siendo de su empresa. | Artículo 19, apartados 3 y 4, del Reglamento de Ejecución (UE) 2026/1778. |
| Seguridad y normas | Cómo garantiza el prestador la integridad, la seguridad y la prevención del fraude, qué normas armonizadas sobre el DPP publicadas en el Diario Oficial aplica y cómo le comunica los incidentes de seguridad. | Artículo 11, letras g) y h), y artículo 41, apartado 2, del ESPR; Decisión de Ejecución (UE) 2026/1736. |
| Cambios normativos | La obligación de cumplir el acto delegado sobre los prestadores de servicios de DPP y cualquier sistema de certificación, una vez adoptados, y el derecho de su empresa a resolver el contrato sin penalización si el prestador no puede cumplirlos. | Artículo 11, párrafo tercero, del ESPR. |
| Condiciones del piloto | Si el piloto es una versión de prueba de duración limitada, es posible que no se apliquen las normas del Reglamento de Datos sobre el cambio de proveedor, así que acuerde las condiciones de exportación y supresión en el propio contrato piloto. | Artículo 31, apartado 2, del Reglamento de Datos. |
AUDITORÍA DPP
Sepa qué debe cubrir su solución de DPP antes de firmar.
Contrastamos sus datos de producto, sus sistemas y la información que le facilitan sus proveedores con los requisitos del ESPR para el pasaporte, para que sepa qué debe ofrecer cualquier solución de DPP, sea cual sea el prestador que elija. Bajo NDA.
Iniciar su auditoría DPPPreguntas frecuentes
¿Necesitamos un prestador de servicios de DPP si alojamos nosotros mismos el pasaporte?
¿Puede nuestro prestador de servicios de DPP utilizar nuestros datos de producto para sus propios fines?
¿Podemos cambiar de prestador de DPP y cuánto nos costará?
¿Cuándo se adoptarán las normas de la UE para los prestadores de servicios de DPP?
¿Tendrán que estar certificados los prestadores de servicios de DPP?
Fuentes
- ESPRReglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se instaura un marco para el establecimiento de requisitos de diseño ecológico aplicables a los productos sostenibles, se modifican la Directiva (UE) 2020/1828 y el Reglamento (UE) 2023/1542 y se deroga la Directiva 2009/125/CE. Considerandos 38 y 40; artículo 2, punto 32; artículo 4, apartado 4; artículo 9, apartados 1, 2 y 4; artículo 10, apartados 1 y 4; artículo 11; artículo 27, apartado 1; artículo 29, apartado 2; artículo 41, apartado 2; artículo 72, apartado 6; anexo III. Leído en la versión del Diario Oficial; el Reglamento no ha sido modificado; se comprobaron las correcciones de errores y ninguna afecta a los pasajes citados. CELEX 32024R1781 ↗
- Registro DPPReglamento de Ejecución (UE) 2026/1778 de la Comisión, de 16 de julio de 2026, por el que se establecen las modalidades de aplicación del registro de pasaportes digitales de productos creado en virtud del Reglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo. Considerando 4; artículos 3 y 5; artículo 8, apartados 7 y 9; artículos 19 y 24. CELEX 32026R1778 ↗
- Reglamento de DatosReglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (Reglamento de Datos). Considerandos 81 y 89; artículo 2, puntos 8 y 36; artículos 23, 25, 29, 30, 31 y 50. Leído en la versión del Diario Oficial; el Reglamento no ha sido modificado; se comprobaron las seis correcciones de errores publicadas hasta el 24.09.2026: la corrección de errores de 17.12.2024 (DO L, 2024/90814) sustituye en todo el Reglamento el término titular de datos por tenedor de datos; por lo demás, ninguna de ellas modifica el texto español de los pasajes citados. CELEX 32023R2854 ↗
- Normas DPP armonizadasDecisión de Ejecución (UE) 2026/1736 de la Comisión, de 14 de julio de 2026, relativa a las normas armonizadas para los pasaportes digitales de productos elaboradas en apoyo del Reglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo. CELEX 32026D1736 ↗ · CEN y Cenelec, noticia de 15.07.2026 con las ocho normas DPP (en inglés). CEN-CENELEC ↗
- Iniciativa sobre prestadoresComisión Europea, Have your say, iniciativa 14382, Pasaporte digital de productos: normas para los prestadores de servicios, incluida la convocatoria de datos para una evaluación de impacto, ref. Ares(2024)8031852 de 12.11.2024 (ficha consultada el 16.10.2026). Have your say ↗
- Calendario de la ComisiónComisión Europea, página sobre el pasaporte digital del producto, calendario indicativo del DPP (en inglés; actualizada el 15.10.2026; consultada el 16.10.2026). Página DPP de la Comisión ↗
- Ómnibus DigitalPropuesta de Reglamento del Parlamento Europeo y del Consejo por el que se modifican los Reglamentos (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725, (UE) 2023/2854 y las Directivas 2002/58/CE, (UE) 2022/2555 y (UE) 2022/2557 en lo que respecta a la simplificación del marco legislativo digital y se derogan los Reglamentos (UE) 2018/1807, (UE) 2019/1150, (UE) 2022/868 y la Directiva (UE) 2019/1024 (Ómnibus Digital), COM(2025) 837 final de 19.11.2025; punto 15 de las modificaciones propuestas del Reglamento de Datos (nuevo artículo 31, apartados 1 bis y 1 ter); una propuesta, no una norma vigente. CELEX 52025PC0837 ↗ · Parlamento Europeo, Observatorio Legislativo, procedimiento 2025/0360(COD) ↗.
El ESPR, el Reglamento de Ejecución (UE) 2026/1778, la Decisión de Ejecución (UE) 2026/1736 y el Reglamento de Datos se leyeron en sus versiones del Diario Oficial, y la propuesta Ómnibus Digital en su versión de 19.11.2025, todos ellos publicados por la Oficina de Publicaciones de la UE (EUR-Lex); se comprobaron las correcciones de errores; los registros de la Oficina de Publicaciones se consultaron el 16.10.2026 y no contenían ningún acto delegado sobre los prestadores de servicios de DPP; las páginas de la Comisión Europea, Have your say, el Observatorio Legislativo y CEN-CENELEC se consultaron el 16.10.2026. Esto es información general, no asesoramiento legal, financiero ni de inversión.