GUIDE PRESTATAIRES
Choisir un prestataire de services DPP : copie de sauvegarde, limites d’utilisation des données, droit de changer de prestataire et futures règles de l’UE
Un passeport numérique de produit ne peut pas être géré entièrement en interne. L’ESPR, le règlement (UE) 2024/1781, impose de mettre à disposition une copie de sauvegarde de chaque passeport par l’intermédiaire d’un prestataire de services de passeport numérique de produit, et il définit ce prestataire comme un tiers indépendant. Dès qu’un acte délégué exigeant un passeport pour l’habillement s’appliquera, toute marque qui met des vêtements sur le marché de l’UE devra donc disposer d’un accord avec au moins un prestataire de services DPP, qu’elle héberge elle-même le passeport principal ou qu’elle externalise l’ensemble. Une marque qui signe aujourd’hui un contrat pilote ou un contrat de plateforme le fait avant que l’UE ait adopté l’acte délégué fixant les exigences applicables aux prestataires de services DPP (ESPR, article 11, troisième alinéa).
Ce guide expose ce que le droit fixe déjà pour cette relation : l’exigence d’indépendance et la copie de sauvegarde, l’interdiction faite aux prestataires d’utiliser les données du passeport au-delà du service, ce que le registre de l’UE consigne au sujet des prestataires, et les dispositions du règlement sur les données relatives au changement de fournisseur de services en nuage, qui s’appliquent probablement aux contrats de plateforme. Il présente ensuite le calendrier des règles encore à venir, au premier rang desquelles l’acte délégué sur les prestataires de services DPP, et se termine par une liste de points contractuels. Pour savoir qui peut voir quelles données du passeport, consultez notre guide sur les droits d’accès ; pour le coût de l’auto-hébergement par rapport au recours à un prestataire, consultez notre guide des coûts.
Tiers indépendant
Un prestataire de services de passeport numérique de produit est un tiers indépendant, autorisé par l’opérateur économique, et la copie de sauvegarde du passeport doit être mise à disposition par l’intermédiaire d’un tel prestataire (ESPR, article 2, point 32), et article 10, paragraphe 4).
Pas de réemploi
Les prestataires ne peuvent pas vendre, réemployer ou traiter les données du passeport au-delà de ce qu’exige le service, sauf convention spécifique avec l’opérateur économique (ESPR, article 11, deuxième alinéa).
12 janvier 2027
À compter de cette date, les fournisseurs de services de traitement de données ne pourront plus imposer de frais de changement de fournisseur (règlement sur les données, article 29, paragraphe 1). Qu’un contrat de plateforme DPP soit couvert ou non dépend du service.
1. Pourquoi toute marque a besoin d’un prestataire de services DPP, même si elle héberge elle-même le passeport
Article 10, paragraphe 4, du règlement (UE) 2024/1781 (ESPR)
« Lorsqu’il met le produit sur le marché, l’opérateur économique met à disposition une copie de sauvegarde du passeport numérique de produit par l’intermédiaire d’un prestataire de services de passeport numérique de produit. »
L’ESPR admet deux modèles d’hébergement. Le passeport numérique de produit « est conservé par l’opérateur économique responsable de sa création ou par des prestataires de services de passeport numérique de produit » (article 11, premier alinéa, point c)). La copie de sauvegarde est une obligation distincte, qui s’applique dans les deux modèles. La définition de l’article 2, point 32), précise qui peut la détenir : un prestataire de services de passeport numérique de produit est « une personne physique ou morale qui est un tiers indépendant, autorisée par l’opérateur économique qui met le produit sur le marché ou le met en service et qui traite les données du passeport numérique de produit relatives à ce produit afin de mettre ces données à la disposition des opérateurs économiques et d’autres acteurs concernés ayant un droit d’accès à ces données en vertu du présent règlement ou d’autres dispositions du droit de l’Union ». Le considérant 38 en donne la raison : pour que le passeport reste accessible pendant la période requise, y compris après une insolvabilité, une liquidation ou une cessation d’activité dans l’Union, l’opérateur économique devrait mettre à disposition une copie de sauvegarde « par l’intermédiaire d’un prestataire de services de passeport numérique de produit qui est un tiers indépendant ». Une marque ne peut donc pas être son propre prestataire de services DPP pour la copie de sauvegarde.
L’obligation est liée à la mise sur le marché. Les fabricants, lorsqu’ils mettent un produit sur le marché, et les importateurs, avant de le faire, doivent s’assurer qu’un passeport numérique de produit est disponible, « y compris une copie de sauvegarde de la version la plus actualisée du passeport numérique de produit stockée par un prestataire de services de passeport numérique de produit conformément à l’article 10, paragraphe 4 » (article 27, paragraphe 1, point c), et article 29, paragraphe 2, point c)). La copie de sauvegarde devant porter sur la version la plus actualisée à chaque mise sur le marché d’un produit, elle doit en pratique suivre les mises à jour, et pas seulement reprendre la première version. Le passeport lui-même doit rester disponible pendant la période fixée dans l’acte délégué applicable au produit, « y compris après une insolvabilité, une liquidation ou une cessation d’activité dans l’Union de l’opérateur économique responsable de la création du passeport numérique de produit » (article 11, point e)), et cette période « correspond au moins à la durée de vie prévue d’un produit particulier » (article 9, paragraphe 2, point i)).
Deux points restent ouverts. L’ESPR ne définit pas ce qui rend un prestataire « indépendant » au-delà des termes de l’article 2, point 32), et il ne dit pas si la copie de sauvegarde doit être confiée à un prestataire différent de celui qui héberge le passeport principal. L’appel à contributions de la Commission sur les règles applicables aux prestataires (novembre 2024) décrit des prestataires qui stockent et traitent les données du passeport pour les opérateurs qui ne le font pas eux-mêmes, et qui stockent la copie de sauvegarde obligatoire pour les opérateurs qui hébergent eux-mêmes le passeport. L’acte délégué sur les prestataires de services DPP (section 5) pourrait trancher ces deux points.
Rien de tout cela ne s’applique encore aux vêtements. Un passeport, et avec lui la copie de sauvegarde, est exigé pour les produits couverts par un acte délégué adopté en vertu de l’article 4 (article 9, paragraphe 1), sauf si la Commission, lorsqu’elle établit les exigences relatives au passeport, exempte le groupe de produits pour l’un des deux motifs suivants : les spécifications techniques du passeport numérique de produit ne sont pas disponibles pour ce qui concerne les exigences essentielles figurant aux articles 10 et 11, ou d’autres dispositions du droit de l’Union prévoient déjà, pour ce groupe de produits, un système de fourniture numérique d’informations dont la Commission estime qu’il atteint les objectifs du passeport, à savoir garantir que les acteurs de la chaîne de valeur peuvent accéder facilement aux informations relatives aux produits qui sont pertinentes pour eux et les comprendre aisément, et faciliter la vérification de la conformité des produits par les autorités nationales compétentes (article 9, paragraphe 4). L’acte délégué relatif aux textiles n’a pas été adopté ; la page DPP de la Commission situe son adoption au T3–T4 2027. Un acte délégué s’applique au plus tôt 18 mois après son entrée en vigueur, sauf dans des cas dûment justifiés (article 4, paragraphe 4). La question des coûts de l’auto-hébergement par rapport à l’externalisation est traitée dans notre guide des coûts.
2. Ce qu’un prestataire peut faire de vos données de passeport
Article 11, deuxième alinéa, de l’ESPR
« Si le passeport numérique de produit est conservé en vertu du premier alinéa, point c), ou traité d’une autre manière par des prestataires de services de passeport numérique de produit, ces prestataires de services de passeport numérique de produit ne sont pas autorisés à vendre, réemployer ou traiter ces données, en tout ou en partie, au-delà de ce qui est nécessaire à la fourniture des services de conservation ou de traitement concernés, sauf convention spécifique avec l’opérateur économique qui met le produit sur le marché ou le met en service. »
Par défaut, c’est l’interdiction qui s’applique, et l’exception est entre les mains de la marque. Un prestataire qui détient le passeport principal ou la copie de sauvegarde ne peut utiliser les données que dans la mesure requise par le service de conservation ou de traitement. Tout ce qui va au-delà, par exemple vendre les données ou les réemployer pour les analyses ou d’autres produits propres au prestataire, requiert l’accord de la marque, et le règlement exige une « convention spécifique ». Selon notre interprétation, une clause qui précise la finalité et les données concernées satisfait plus clairement à cette exigence qu’un consentement global noyé dans des conditions générales. L’accord doit émaner de l’opérateur économique qui met le produit sur le marché ou le met en service ; lorsque la marque et l’importateur sont des sociétés différentes, le contrat devrait préciser laquelle des deux le donne.
Les autres exigences essentielles de l’article 11 s’appliquent quel que soit l’hébergeur du passeport : les droits d’intégrer, de modifier ou de mettre à jour des données sont limités sur la base des droits d’accès précisés dans l’acte délégué (point f)), « l’authentification, la fiabilité et l’intégrité des données sont garanties » (point g)), et la conception et le fonctionnement des passeports doivent être « propres à garantir un niveau élevé de sécurité et de protection de la vie privée et à éviter toute fraude » (point h)). L’article 10, paragraphe 1, point d), ajoute que les données du passeport doivent être, le cas échéant, « transférables au moyen d’un réseau d’échange de données ouvert et interopérable sans dépendance à l’égard des fournisseurs ». L’ESPR décourage donc déjà les formats qu’un seul prestataire peut lire ; le règlement sur les données, présenté à la section 4, ajoute des règles sur le processus de changement de fournisseur lui-même. Savoir qui peut voir quelles données est une question distincte, traitée dans notre guide sur les droits d’accès.
3. Ce que le registre de l’UE consigne au sujet de votre prestataire
Le règlement d’exécution (UE) 2026/1778 de la Commission, en vigueur depuis le 6 août 2026, réserve aux prestataires une place précise dans le registre. Le registre comprend « une liste des prestataires de services de passeport numérique de produit vérifiés enregistrés dans le registre » (article 3, point f)). Le considérant 4 cite les prestataires de services de passeport numérique de produit parmi les acteurs de la chaîne de valeur qui « devraient être identifiés par un processus de vérification », et l’article 5 précise comment les acteurs de la chaîne de valeur obtiennent le statut « vérifié », en prouvant leur identité et, le cas échéant, leur établissement.
Lorsqu’une demande d’enregistrement d’un passeport est soumise, la Commission consulte le contenu du passeport et confirme automatiquement, entre autres, « le cas échéant, le lien vers la sauvegarde hébergée par un prestataire de services de passeport numérique de produit » (article 8, paragraphe 7, point e)). Elle stocke également dans le registre, au titre des données d’enregistrement, « le cas échéant, la référence au prestataire de services de passeport numérique de produit » (article 8, paragraphe 9, point c)). Ces deux éléments sont assortis de la mention « le cas échéant » ; pour l’habillement, ce sont donc les règles applicables à ce groupe de produits qui détermineront si un lien vers la copie de sauvegarde sera vérifié.
Si un prestataire enregistre des passeports pour votre compte, il doit lui-même être vérifié : lorsqu’un opérateur économique vérifié autorise un tiers à effectuer des actions d’enregistrement dans le registre en son nom, ce tiers doit se soumettre au processus de vérification prévu à l’article 5, et l’opérateur économique vérifié « reste pleinement responsable du respect des obligations énoncées dans le présent règlement » (article 19, paragraphe 4). Externaliser l’enregistrement ne revient pas à externaliser la responsabilité.
S’agissant du passeport lui-même, l’annexe III de l’ESPR mentionne, au point l), « la référence du prestataire de services de passeport numérique de produit qui héberge la copie de sauvegarde du passeport numérique de produit ». L’annexe III est une liste à partir de laquelle chaque acte délégué précise « le type de données qui doivent figurer dans le passeport numérique de produit ou qui peuvent y figurer, parmi les éléments suivants » ; le point l) ne devient donc un champ obligatoire pour l’habillement que si l’acte délégué relatif aux textiles le prévoit. La procédure d’enregistrement est expliquée étape par étape dans notre guide sur le registre.
4. Changer de prestataire : ce que prévoit déjà le règlement sur les données
Notre lecture — une interprétation, pas un point de droit tranché
Le règlement sur les données (Data Act), règlement (UE) 2023/2854, est applicable depuis le 12 septembre 2025 (article 50). Ses règles relatives au changement de fournisseur (chapitre VI, articles 23 à 31) visent les services de traitement de données, définis à l’article 2, point 8), comme « un service numérique qui est fourni à un client et qui permet un accès par réseau en tout lieu et à la demande à un ensemble partagé de ressources informatiques configurables, modulables et variables de nature centralisée, distribuée ou fortement distribuée, qui peuvent être rapidement mobilisées et libérées avec un minimum d’efforts de gestion ou d’interaction avec le fournisseur de services ». Le considérant 81 nomme les modèles de fourniture : « l’infrastructure à la demande (IaaS), la plateforme à la demande (PaaS) et le logiciel à la demande (SaaS) ». Une plateforme DPP proposée en ligne sous forme de service standard relève donc probablement de ces règles. Qu’un contrat donné en relève dépend de la manière dont le service est conçu et proposé : vérifiez donc le contrat et demandez au prestataire s’il considère que son service est couvert par le chapitre VI.
Lorsque ces règles s’appliquent, les droits du client et les obligations du fournisseur en matière de changement de fournisseur doivent être « clairement énoncés dans un contrat écrit », que le fournisseur doit mettre à la disposition du client avant la signature (article 25, paragraphe 1). L’article 25, paragraphe 2, énumère les éléments que ce contrat doit comporter au minimum. Les plus pertinents pour une plateforme de passeport sont les suivants :
| Élément (règlement sur les données) | Ce que le contrat doit prévoir |
|---|---|
| Délai de préavis (article 25, paragraphe 2, point d)) | « un délai de préavis maximal pour le lancement du processus de changement de fournisseur, qui ne dépasse pas deux mois » |
| Période transitoire (article 25, paragraphe 2, point a), et article 25, paragraphe 4) | Le changement de fournisseur, ou le portage de toutes les données exportables vers votre propre infrastructure, sans retard injustifié et « pas après la période transitoire maximale obligatoire de trente jours calendaires prenant effet au terme du délai de préavis maximal visé au point d) », période pendant laquelle le contrat reste applicable et le fournisseur doit apporter son assistance et agir « avec la diligence requise pour maintenir la continuité des activités ». S’il est techniquement impossible de respecter ces 30 jours, le fournisseur doit motiver cette impossibilité dans un délai de 14 jours ouvrables et indiquer une autre période transitoire, « qui ne peut excéder sept mois ». |
| Données concernées (article 25, paragraphe 2, point e)) | « une spécification exhaustive de toutes les catégories de données et d’actifs numériques qui peuvent être portées pendant le processus de changement de fournisseur, y compris, au minimum, toutes les données exportables » |
| Récupération des données (article 25, paragraphe 2, point g)) | « une période minimale d’au moins trente jours calendaires pour la récupération des données », à compter de la fin de la période transitoire. |
| Effacement (article 25, paragraphe 2, point h)) | L’effacement intégral des données exportables et des actifs numériques après l’expiration de la période de récupération ou d’une autre période convenue expirant à une date postérieure, à condition que le changement de fournisseur ait été achevé avec succès. |
| Aide à la sortie (article 25, paragraphe 2, point b)) | L’obligation pour le fournisseur de concourir à la stratégie de sortie du client, y compris en communiquant toutes les informations pertinentes. |
S’agissant des coûts, l’article 29, paragraphe 1, fixe une date précise : « À compter du 12 janvier 2027, les fournisseurs de services de traitement de données ne peuvent imposer aucun frais de changement de fournisseur au client pour le processus de changement de fournisseur. » D’ici là, des frais réduits sont autorisés, dans la limite des coûts directement liés au changement de fournisseur (article 29, paragraphes 2 et 3). Les frais de changement de fournisseur ne sont toutefois pas le seul coût d’un départ. Leur définition exclut « les frais de service standard ou les pénalités de résiliation anticipée » (article 2, point 36)), et le considérant 89 confirme que rien n’empêche les parties « de convenir de contrats de services de traitement de données d’une durée déterminée, y compris de pénalités de résiliation anticipée proportionnées pour couvrir la résiliation anticipée de tels contrats, conformément au droit de l’Union ou au droit national ». Avant la conclusion du contrat, le fournisseur doit donner au client des informations claires sur les frais de service standard et les pénalités de résiliation anticipée qui pourraient lui être facturés (article 29, paragraphe 4). À partir de 2027, plus aucun frais de changement de fournisseur ne pourra être imposé pour le changement lui-même, mais quitter un contrat à durée déterminée avant son terme pourra toujours avoir un coût.
Deux exemptions sont importantes pour les projets DPP. Les services « fournis en tant que version non destinée à la production à des fins d’essai et d’évaluation et pour une durée limitée » échappent entièrement au chapitre VI (article 31, paragraphe 2), ce qui peut couvrir un projet pilote limité dans le temps. Pour les services dont la majorité des caractéristiques principales ont été conçues sur mesure pour un client particulier, ou dont tous les composants ont été développés pour ce client, et qui ne sont pas proposés à grande échelle sur le plan commercial par l’intermédiaire du catalogue de services du fournisseur, les règles relatives à l’équivalence fonctionnelle (article 23, point d)) et aux frais de changement de fournisseur (article 29), ainsi qu’une partie de l’article 30, ne s’appliquent pas (article 31, paragraphe 1) ; le fournisseur doit alors préciser, avant la conclusion du contrat, les obligations écartées (article 31, paragraphe 3). Un contrat pilote peut donc vous conférer moins de droits que le contrat définitif qui lui fait suite.
Perspectives — omnibus numérique (une proposition, pas du droit en vigueur)
La proposition de la Commission COM(2025) 837 du 19 novembre 2025 (procédure 2025/0360(COD)) modifierait le règlement sur les données. Son projet d’article 31, paragraphe 1 ter, permettrait à un fournisseur de services de traitement de données autres que les services purement d’infrastructure (ceux visés à l’article 30, paragraphe 1) de prévoir des pénalités de résiliation anticipée proportionnées dans un contrat à durée déterminée. Cette phrase ne comporte aucune limite liée à la date du contrat ; si elle était adoptée, elle viserait donc aussi les nouveaux contrats de plateforme DPP. Les régimes allégés du projet d’article 31, paragraphe 1 bis (services adaptés aux besoins d’un client), et du reste du projet d’article 31, paragraphe 1 ter (fournisseurs qui sont des PME ou des petites entreprises à moyenne capitalisation), ne concernent que les contrats conclus le 12 septembre 2025 ou avant cette date ; tous deux maintiennent l’article 29 relatif aux frais de changement de fournisseur, et les clauses de ces contrats contraires à l’article 29, paragraphes 1, 2 ou 3, seraient nulles et non avenues. Le 16 octobre 2026, l’Observatoire législatif du Parlement européen indiquait que la procédure était en attente d’une décision en commission, avec un projet de rapport du 22 juin 2026 et des amendements déposés le 27 juillet 2026. Rien n’a été adopté.
5. Les futures règles de l’UE pour les prestataires, et quand les attendre
L’ESPR habilite déjà la Commission à encadrer les prestataires. L’article 11, troisième alinéa, lui permet d’adopter des actes délégués afin de compléter cet article « en établissant les exigences que les prestataires de services de passeport numérique de produit doivent respecter afin de devenir de tels prestataires et, le cas échéant, un système de certification visant à vérifier le respect de ces exigences, et en définissant les exigences auxquelles ces prestataires de services doivent se conformer lorsqu’ils fournissent des services de passeport numérique de produit ». Le considérant 40 ajoute que la Commission pourrait réaliser une analyse d’impact « pour étudier s’il y a lieu de mettre au point un système de certification des prestataires de services de passeport numérique de produit ». Un système de certification est donc possible, mais rien n’est décidé.
La Commission prépare cet acte dans le cadre de l’initiative 14382 de son portail Donnez votre avis (Have your say), sous la forme d’un acte délégué (la fiche du portail prévoit une décision déléguée). Son appel à contributions du 12 novembre 2024 regroupait, à titre provisoire, les exigences possibles en trois domaines : la sécurité de l’information et les services relatifs aux données du passeport que les opérateurs confient aux prestataires, la viabilité financière des prestataires afin de garantir un accès à long terme aux informations du passeport, et la vérification du respect des exigences par les prestataires. Il citait l’autodéclaration, des mesures de contrôle de l’application des règles et un système de certification ex ante comme moyens possibles de garantir la conformité, et relevait que les coûts de certification pourraient être répercutés sur les opérateurs. L’appel à contributions (du 12 novembre au 10 décembre 2024) a reçu 178 contributions, et la consultation publique (du 8 avril au 1er juillet 2025) 275 réponses. Aucun projet d’acte n’a été publié pour recueillir des avis.
| Texte | Situation au 16 octobre 2026 | Pourquoi c’est important pour un contrat avec un prestataire |
|---|---|---|
| Acte délégué sur les prestataires de services DPP (ESPR, article 11, troisième alinéa) | Non adopté ; aucun projet publié. La fiche Donnez votre avis (initiative 14382, dernière modification le 26 juin 2026) indique une adoption prévue au T4 2026. La page DPP de la Commission (mise à jour le 15 octobre 2026) mentionne l’acte au T2 2027 et au T3 2027, dans un calendrier qu’elle qualifie d’indicatif. L’appel à contributions de novembre 2024 indiquait le T1–T2 2026. | Peut fixer les exigences pour devenir prestataire et exercer cette activité et, le cas échéant, un système de certification. Une fois adopté, l’acte n’entre en vigueur que si ni le Parlement européen ni le Conseil n’expriment d’objections dans un délai de deux mois, prolongeable de deux mois, ou si tous deux ont informé la Commission plus tôt de leur intention de ne pas en exprimer (article 72, paragraphe 6). |
| Acte délégué ESPR relatif aux textiles | Non adopté. La page DPP de la Commission situe son adoption au T3–T4 2027. | À moins qu’il n’exempte l’habillement de l’exigence de passeport (article 9, paragraphe 4), déclenche les obligations de passeport et de copie de sauvegarde pour l’habillement, au plus tôt 18 mois après son entrée en vigueur, sauf dans des cas dûment justifiés (article 4, paragraphe 4). Détermine si la référence du prestataire (annexe III, point l)) fait partie du passeport de l’habillement. |
| Règlement sur les données : fin des frais de changement de fournisseur | Date fixée par le règlement : plus de frais de changement de fournisseur à compter du 12 janvier 2027 (article 29, paragraphe 1). Le règlement sur les données est applicable depuis le 12 septembre 2025. | Concerne les contrats de plateforme couverts par le chapitre VI, à l’exception des services conçus sur mesure exemptés par l’article 31, paragraphe 1 (section 4). |
| Omnibus numérique, proposition COM(2025) 837 | Simple proposition. Parlement européen : en attente d’une décision en commission (projet de rapport du 22 juin 2026 ; amendements du 27 juillet 2026). | Autoriserait expressément des pénalités de résiliation anticipée proportionnées dans les contrats à durée déterminée (projet d’article 31, paragraphe 1 ter). |
| Normes DPP EN 18239 et EN 18246 | Non citées au Journal officiel. La page DPP de la Commission annonce pour novembre 2026 une décision d’exécution sur les deux normes DPP restantes (le 13 octobre 2026, elle indiquait septembre 2026). | Elles portent sur les droits d’accès, la sécurité de l’information, la confidentialité des informations commerciales et l’intégrité des données, c’est-à-dire ce qu’un prestataire doit concrètement garantir. |
Les deux sources de la Commission divergent sur le calendrier, et nous n’avons trouvé aucune explication officielle. La page DPP, mise à jour après la fiche, constitue l’indication la plus récente et renvoie à 2027 ; la fiche Donnez votre avis n’a pas été modifiée depuis juin 2026. Quoi qu’il en soit, la fiche annonce que le projet d’acte sera soumis aux commentaires, ce qui pourrait intervenir à tout moment.
Les normes techniques façonneront elles aussi le marché des prestataires. La décision d’exécution (UE) 2026/1736 cite au Journal officiel six des huit normes européennes relatives au DPP, dont la norme EN 18221 « Stockage, archivage et persistance des données ». Les passeports conformes à des normes harmonisées citées sont présumés conformes aux exigences des articles 10 et 11 de l’ESPR dans la mesure où ces normes couvrent ces exigences (article 41, paragraphe 2) ; il est donc légitime de demander à un prestataire quelles normes citées il met en œuvre.
6. Ce qu’il faut prévoir dès maintenant dans le contrat
Ni l’ESPR ni le règlement sur les données n’imposent les clauses ci-dessous sous cette forme. Il s’agit de nos recommandations pour un contrat avec un prestataire signé avant l’adoption de l’acte délégué relatif aux textiles et de l’acte délégué sur les prestataires de services DPP, chacune étant rattachée à la disposition qu’elle vous aide à respecter.
| Point du contrat | Ce qu’il faut demander | Disposition de référence |
|---|---|---|
| Rôle et indépendance | Confirmation que le prestataire agit en tant que prestataire de services de passeport numérique de produit autorisé par vous, et que la société qui détient votre copie de sauvegarde est un tiers indépendant de la vôtre. | ESPR, article 2, point 32), et article 10, paragraphe 4 ; considérant 38. |
| Copie de sauvegarde | Une copie de sauvegarde de la version la plus actualisée de chaque passeport, la fréquence de mise à jour, la manière dont le lien vers la copie de sauvegarde est fourni pour l’enregistrement, et une procédure de restauration testée. | ESPR, article 27, paragraphe 1, point c), et article 29, paragraphe 2, point c) ; règlement d’exécution (UE) 2026/1778, article 8, paragraphe 7, point e). |
| Utilisation des données | Une clause qui reprend la règle par défaut : pas de vente, de réemploi ni de traitement des données du passeport au-delà du service. Toute exception fait l’objet d’une convention spécifique précisant sa finalité et les données concernées. Pas de consentement global dans les conditions générales. | ESPR, article 11, deuxième alinéa. |
| Disponibilité et continuité | La disponibilité pendant toute la période que fixera l’acte délégué, qui correspond au moins à la durée de vie prévue du produit ; ce qui se passe si le prestataire devient insolvable ou quitte le marché (par exemple un transfert à un prestataire successeur) ; ce qui se passe si votre société cesse son activité. | ESPR, article 9, paragraphe 2, point i), et article 11, point e). |
| Sortie et portabilité | Des formats d’exportation ouverts et documentés ; un préavis de deux mois au maximum ; une période transitoire de 30 jours calendaires au maximum ; au moins 30 jours calendaires pour récupérer les données ; l’effacement ensuite ; des frais de changement de fournisseur limités à ce qu’autorise l’article 29 jusqu’au 12 janvier 2027, et supprimés après cette date ; des pénalités de résiliation anticipée indiquées avant la signature. | ESPR, article 10, paragraphe 1, point d) ; règlement sur les données, articles 25 et 29, lorsque le chapitre VI s’applique. |
| Actions dans le registre | Si le prestataire enregistre des passeports pour votre compte : confirmation qu’il est vérifié, qui détient les identifiants d’accès au registre et comment les erreurs sont corrigées. Vous restez responsable. | Règlement d’exécution (UE) 2026/1778, article 19, paragraphes 3 et 4. |
| Sécurité et normes | Comment le prestataire garantit l’intégrité, la sécurité et la prévention de la fraude, quelles normes DPP harmonisées citées il met en œuvre, et comment il vous signale les incidents de sécurité. | ESPR, article 11, points g) et h), et article 41, paragraphe 2 ; décision d’exécution (UE) 2026/1736. |
| Évolution de la réglementation | Une obligation de se conformer à l’acte délégué sur les prestataires de services DPP et à tout système de certification, une fois adoptés, et un droit pour vous de résilier sans pénalité si le prestataire n’y parvient pas. | ESPR, article 11, troisième alinéa. |
| Conditions du projet pilote | Si le projet pilote est une version d’essai limitée dans le temps, les dispositions du règlement sur les données relatives au changement de fournisseur peuvent ne pas s’appliquer : convenez donc des conditions d’exportation et d’effacement dans le contrat pilote lui-même. | Règlement sur les données, article 31, paragraphe 2. |
AUDIT DPP
Identifiez ce que votre dispositif DPP doit couvrir avant de signer.
Nous évaluons vos données produit, vos systèmes et les informations de vos fournisseurs au regard des exigences de l’ESPR relatives au passeport, pour que vous sachiez ce que tout dispositif DPP doit assurer, quel que soit le prestataire choisi. Sous NDA.
Commencer votre audit DPPQuestions fréquentes
Avons-nous besoin d’un prestataire de services DPP si nous hébergeons nous-mêmes le passeport ?
Notre prestataire de services DPP peut-il utiliser nos données produit à ses propres fins ?
Pouvons-nous changer de prestataire DPP, et combien cela coûtera-t-il ?
Quand les règles de l’UE applicables aux prestataires de services DPP seront-elles adoptées ?
Les prestataires de services DPP devront-ils être certifiés ?
Sources
- ESPRRèglement (UE) 2024/1781 du Parlement européen et du Conseil du 13 juin 2024 établissant un cadre pour la fixation d’exigences en matière d’écoconception pour des produits durables, modifiant la directive (UE) 2020/1828 et le règlement (UE) 2023/1542 et abrogeant la directive 2009/125/CE. Considérants 38 et 40 ; article 2, point 32) ; article 4, paragraphe 4 ; article 9, paragraphes 1, 2 et 4 ; article 10, paragraphes 1 et 4 ; article 11 ; article 27, paragraphe 1 ; article 29, paragraphe 2 ; article 41, paragraphe 2 ; article 72, paragraphe 6 ; annexe III. Lu dans la version publiée au Journal officiel ; le règlement n’a pas été modifié ; rectificatifs vérifiés : aucun ne concerne les passages cités. CELEX 32024R1781 ↗
- Registre DPPRèglement d’exécution (UE) 2026/1778 de la Commission du 16 juillet 2026 définissant les modalités de mise en œuvre du registre des passeports numériques de produit établi en vertu du règlement (UE) 2024/1781 du Parlement européen et du Conseil. Considérant 4 ; articles 3 et 5 ; article 8, paragraphes 7 et 9 ; articles 19 et 24. CELEX 32026R1778 ↗
- Règlement sur les donnéesRèglement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données et modifiant le règlement (UE) 2017/2394 et la directive (UE) 2020/1828 (règlement sur les données). Considérants 81 et 89 ; article 2, points 8) et 36) ; articles 23, 25, 29, 30, 31 et 50. Lu dans la version publiée au Journal officiel ; le règlement n’a pas été modifié ; les six rectificatifs publiés jusqu’au 24.09.2026 ont été vérifiés, et aucun ne modifie le texte français des passages cités. CELEX 32023R2854 ↗
- Normes DPP harmoniséesDécision d’exécution (UE) 2026/1736 de la Commission du 14 juillet 2026 relative aux normes harmonisées concernant les passeports numériques de produit élaborées à l’appui du règlement (UE) 2024/1781 du Parlement européen et du Conseil. CELEX 32026D1736 ↗ · CEN et Cenelec, actualité du 15.07.2026 présentant les huit normes DPP. CEN-CENELEC ↗
- Initiative sur les prestatairesCommission européenne, Donnez votre avis (Have your say), initiative 14382, Passeport numérique de produit — Règles applicables aux prestataires de services, y compris l’appel à contributions pour une analyse d’impact, réf. Ares(2024)8031852 du 12.11.2024 (fiche consultée le 16.10.2026). Donnez votre avis ↗
- Calendrier de la CommissionCommission européenne, page consacrée au passeport numérique de produit (Digital Product Passport), calendrier DPP indicatif (mise à jour le 15.10.2026 ; consultée le 16.10.2026). Page DPP de la Commission ↗
- Omnibus numériqueProposition de règlement du Parlement européen et du Conseil modifiant les règlements (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 et (UE) 2023/2854 ainsi que les directives 2002/58/CE, (UE) 2022/2555 et (UE) 2022/2557 en ce qui concerne la simplification du cadre législatif numérique, et abrogeant les règlements (UE) 2018/1807, (UE) 2019/1150 et (UE) 2022/868 ainsi que la directive (UE) 2019/1024 (règlement omnibus numérique), COM(2025) 837 final du 19.11.2025 ; point 15 des modifications proposées du règlement sur les données (nouvel article 31, paragraphes 1 bis et 1 ter) ; une proposition, pas du droit en vigueur. CELEX 52025PC0837 ↗ · Parlement européen, Observatoire législatif, procédure 2025/0360(COD) ↗.
L’ESPR, le règlement d’exécution (UE) 2026/1778, la décision d’exécution (UE) 2026/1736 et le règlement sur les données ont été lus dans leurs versions publiées au Journal officiel, et la proposition d’omnibus numérique dans sa version du 19.11.2025, tous publiés par l’Office des publications de l’Union européenne (EUR-Lex) ; les rectificatifs ont été vérifiés ; les bases de données de l’Office des publications ont été consultées le 16.10.2026 et ne contenaient aucun acte délégué sur les prestataires de services DPP ; les pages de la Commission européenne, du portail Donnez votre avis, de l’Observatoire législatif et du CEN-CENELEC ont été consultées le 16.10.2026. Ceci est une information générale, et non un conseil juridique, financier ou en investissement.