GUIDE ACCÈS AUX DONNÉES
Qui peut voir les données de votre DPP ? Droits d’accès, confidentialité et sécurité selon l’ESPR
La crainte que les marques de mode nous expriment le plus souvent au sujet du passeport numérique de produit, c’est l’exposition de leurs données : les concurrents verront-ils la liste des fournisseurs, le public verra-t-il les données de composition et les données chimiques, le prestataire DPP pourra-t-il réutiliser les données ? L’ESPR, le règlement (UE) 2024/1781, ne répond pas à ces questions produit par produit. Sa démarche est plus fondamentale : il subordonne l’accès aux données du passeport à des droits d’accès que l’acte délégué propre à chaque groupe de produits doit définir, et il fixe des exigences essentielles en matière de modification des données, d’intégrité et de sécurité, qui s’imposent déjà à tout passeport.
Ce guide distingue ce que le règlement fixe déjà de ce qui reste ouvert pour l’habillement : l’acte délégué textile, les deux normes harmonisées sur les droits d’accès et l’intégrité des données (pas encore citées au Journal officiel), l’acte délégué sur les prestataires de services de passeport numérique de produit, et les actes d’exécution sur les identifiants numériques que l’ESPR permet d’adopter mais qui n’ont pas été proposés. Pour savoir où se trouvent physiquement les données et ce qui figure sur l’étiquette, consultez notre guide sur les supports de données et le registre.
Par groupe de produits
L’accès aux données du passeport est régi par les droits d’accès spécifiques au niveau des groupes de produits fixés dans l’acte délégué applicable (ESPR, article 10, paragraphe 1, point g)).
6 sur 8
Normes DPP citées au Journal officiel par la décision d’exécution (UE) 2026/1736 ; les normes EN 18239 (droits d’accès) et EN 18246 (intégrité) n’en font pas encore partie.
Pas de revente
Les prestataires de services de passeport numérique de produit ne peuvent pas vendre, réemployer ou traiter les données du passeport au-delà du service, sauf convention spécifique avec l’opérateur économique (ESPR, article 11).
1. Ce que le règlement décide déjà en matière d’accès
Article 10, paragraphe 1, point g), du règlement (UE) 2024/1781 (ESPR)
« l’accès aux données figurant dans le passeport numérique de produit est réglementé conformément aux exigences essentielles énoncées au présent article et à l’article 11, ainsi qu’aux droits d’accès spécifiques au niveau des groupes de produits tels qu’énoncés dans l’acte délégué applicable adopté en vertu de l’article 4 »
L’accès ne relève donc pas d’une règle unique pour tous les produits. Chaque acte délégué doit préciser, comme il convient pour le groupe de produits, « les acteurs qui doivent avoir accès aux données figurant dans le passeport numérique de produit et les données auxquelles ils doivent avoir accès » et « les acteurs qui doivent créer un passeport numérique de produit ou mettre à jour les données y figurant, ainsi que les informations qu’ils peuvent intégrer ou mettre à jour » (article 9, paragraphe 2, points f) et g)). Tant que l’acte délégué relatif aux textiles d’habillement n’existe pas, le droit ne dit pas, donnée par donnée, ce qui sera public et ce qui sera à accès restreint pour l’habillement.
Ce que le règlement fixe en revanche, c’est le cercle des acteurs et le principe. En vertu de l’article 11, point b), les clients, les fabricants, les importateurs, les distributeurs, les revendeurs, les réparateurs professionnels, les opérateurs indépendants, les reconditionneurs, les entreprises de remanufacturage, les recycleurs, les autorités de surveillance du marché et les autorités douanières, les organisations de la société civile, les syndicats et les autres acteurs concernés « ont gratuitement et facilement accès au passeport numérique de produit sur la base de leurs droits d’accès respectifs » définis dans l’acte délégué applicable. Le considérant 33 précise l’intention du législateur : afin d’optimiser l’accès aux données tout en protégeant les droits de propriété intellectuelle, le passeport « doit être conçu et mis en œuvre de façon à permettre un accès différencié aux données qu’il contient, en fonction du type de données et de la typologie des parties prenantes ».
Trois dispositions encadrent l’accès avant même qu’un seul champ propre à l’habillement soit défini. L’acte délégué doit préciser, comme il convient, la manière dont le passeport est mis à la disposition des clients avant qu’ils ne soient liés par un contrat de vente, de location ou de location-vente, y compris en cas de vente à distance (article 9, paragraphe 2, point e)). L’opérateur économique qui met le produit sur le marché doit fournir aux revendeurs et aux fournisseurs de places de marché en ligne une copie numérique du support de données ou de l’identifiant unique « produit », afin que les clients qui ne peuvent pas accéder physiquement au produit puissent consulter le passeport (article 10, paragraphe 3). Enfin, l’opérateur économique, lorsqu’il met le produit sur le marché, « met à disposition une copie de sauvegarde du passeport numérique de produit par l’intermédiaire d’un prestataire de services de passeport numérique de produit » (article 10, paragraphe 4) : les règles applicables aux prestataires de services, présentées à la section 2, concernent donc toutes les marques, et pas seulement celles qui externalisent l’hébergement.
Deux autres points sont déjà réglés. Le registre de l’UE prévu à l’article 13 est un registre numérique « contenant de manière sécurisée au moins les identifiants uniques » ainsi que, pour les produits destinés à être mis en libre pratique, le code de marchandise (article 13, paragraphe 1) ; le règlement d’exécution (UE) 2026/1778 y ajoute des données d’enregistrement, comme la référence au prestataire de services de passeport numérique de produit (article 8, paragraphe 9) ; d’autres données du passeport n’y sont stockées que si un acte délégué le prévoit (article 13, paragraphe 2). Le registre n’est pas public : la Commission, les autorités nationales compétentes et les autorités douanières y ont accès pour l’exécution de leurs tâches (article 13, paragraphe 6) ; les opérateurs économiques y ont accès, une fois vérifiés, pour enregistrer leurs passeports (article 4, paragraphe 3, du règlement d’exécution (UE) 2026/1778), et les autres acteurs de la chaîne de valeur, comme les réparateurs ou les recycleurs, seulement une fois qu’ils ont été vérifiés (article 5, paragraphe 3). En revanche, le portail internet public que la Commission est tenue de gérer en vertu de l’article 14 doit permettre aux parties prenantes de rechercher et de comparer les données des passeports « d’une façon cohérente avec leurs droits d’accès respectifs ».
2. Comment les informations commerciales confidentielles et les données à caractère personnel sont protégées
L’ESPR prévoit plusieurs garanties qui s’appliquent avant même qu’un acte relatif à l’habillement soit rédigé :
| Disposition (ESPR) | Ce qu’elle dit | Ce que cela signifie pour une marque |
|---|---|---|
| Article 5, paragraphe 10, point d) | Lors de l’élaboration des exigences en matière d’écoconception, la Commission « prend en considération la protection des informations commerciales confidentielles ». | La confidentialité est un critère que la Commission doit prendre en compte lorsqu’elle fixe les exigences applicables à l’habillement, et non un point traité après coup. |
| Article 7, paragraphe 6, point b) | Le cas échéant, un acte délégué fixant des exigences en matière d’information prévoit des dérogations dûment justifiées aux exigences d’information sur les substances préoccupantes, fondées, entre autres motifs, sur « la nécessité de protéger des informations commerciales confidentielles » ; les substances au sens de l’article 2, point 27), a), présentes à une concentration supérieure à 0,1 % masse pour masse ne peuvent pas être exemptées. | Il existe une voie juridique pour exclure du passeport certaines informations sur les substances, mais pas pour les substances inscrites sur la liste des substances candidates (article 2, point 27), a)) présentes au-delà de ce seuil. |
| Considérant 33 | Un accès différencié « en fonction du type de données et de la typologie des parties prenantes », afin d’optimiser l’accès aux données tout en protégeant les droits de propriété intellectuelle. | Pour le législateur, tous les acteurs n’ont pas vocation à voir tous les champs. |
| Article 10, paragraphe 1, point e) | « les données à caractère personnel relatives aux clients ne sont pas stockées dans le passeport numérique de produit sans leur consentement explicite », conformément à l’article 6 du règlement (UE) 2016/679. | Par défaut, les données des clients, issues par exemple d’un service de revente ou de réparation, n’ont pas leur place dans le passeport. |
| Article 11, deuxième alinéa | Les prestataires de services de passeport numérique de produit « ne sont pas autorisés à vendre, réemployer ou traiter ces données, en tout ou en partie, au-delà de ce qui est nécessaire à la fourniture des services de conservation ou de traitement concernés, sauf convention spécifique avec l’opérateur économique qui met le produit sur le marché ou le met en service ». | Ce qu’un prestataire peut faire de vos données de passeport au-delà du service dépend de ce que vous acceptez dans le contrat. |
Telles qu’elles sont rédigées, aucune de ces dispositions ne garantit la confidentialité de tel ou tel champ de données de l’habillement. Ce sont les critères sur lesquels l’acte délégué relatif à l’habillement s’appuiera pour définir ses niveaux d’accès. Le guide sur les substances préoccupantes explique en détail le seuil de 0,1 %.
3. Qui peut modifier les données, et les exigences de sécurité
La lecture et l’écriture des données sont traitées séparément. L’article 11, point f), dispose que « les droits d’intégrer, de modifier ou de mettre à jour des données dans le passeport numérique de produit sont limités sur la base des droits d’accès précisés dans les actes délégués adoptés en vertu de l’article 4 ». En pratique, l’acte délégué devrait indiquer quel acteur, par exemple une marque, un fournisseur ou un réparateur, peut ajouter ou mettre à jour quelles informations (article 9, paragraphe 2, point g)).
Deux exigences essentielles s’appliquent à tout passeport, quel que soit le groupe de produits : « l’authentification, la fiabilité et l’intégrité des données sont garanties » (article 11, point g)), et « la conception et le fonctionnement des passeports numériques de produit doivent être propres à garantir un niveau élevé de sécurité et de protection de la vie privée et à éviter toute fraude » (article 11, point h)).
Le dernier alinéa de l’article 11 permet à la Commission d’adopter des actes d’exécution établissant « des procédures de délivrance et de vérification des identifiants numériques des opérateurs économiques et d’autres acteurs concernés qui disposent de droits d’accès aux données figurant dans le passeport numérique de produit » (il s’agit ici des identifiants des acteurs titulaires de droits d’accès, et non des identifiants uniques de l’annexe III). Le 13 octobre 2026, nous n’avons trouvé aucun acte d’exécution de ce type dans les bases de données de l’Office des publications, ni aucune initiative s’y rapportant sur le portail Donnez votre avis (Have your say) de la Commission.
4. Les deux normes sur les droits d’accès et l’intégrité
Huit normes européennes ont été élaborées pour le DPP. Selon le CEN et le Cenelec (15 juillet 2026), elles comprennent la norme EN 18239 « Digital Product Passport - Access rights management, information system security, and business confidentiality » (gestion des droits d’accès, sécurité des systèmes d’information et confidentialité commerciale) et la norme EN 18246 « Digital product passport - Data authentication, reliability and integrity » (authentification, fiabilité et intégrité des données). La décision d’exécution (UE) 2026/1736 du 14 juillet 2026 a publié au Journal officiel les références de six des huit normes ; les normes EN 18239 et EN 18246 n’en font pas partie.
L’enjeu tient à l’article 41, paragraphe 2, de l’ESPR : un passeport conforme à des normes harmonisées dont les références ont été publiées au Journal officiel est présumé conforme aux exigences des articles 10 et 11, dans la mesure où ces exigences sont couvertes par ces normes. Les deux normes consacrées aux droits d’accès, à la sécurité, à la confidentialité et à l’intégrité, EN 18239 et EN 18246, ne confèrent pas encore de présomption de conformité. La page de la Commission consacrée au DPP indiquait la décision sur les deux normes restantes pour septembre 2026 (son calendrier est indicatif) ; le 13 octobre 2026, nous n’avons trouvé aucune décision de ce type dans les bases de données de l’Office des publications, et le 17 octobre 2026, la page indiquait cette décision pour novembre 2026 à la place.
5. Ce qui reste en suspens, et ce que chaque texte réglera
| Texte | Situation au 13 octobre 2026 | Ce qu’il réglera |
|---|---|---|
| Acte délégué ESPR relatif aux textiles (habillement) | Non adopté. Selon la page de la Commission consacrée au DPP, l’adoption des actes délégués relatifs aux textiles, à l’aluminium et aux pneumatiques est prévue pour le 3e ou le 4e trimestre 2027. | Quels acteurs voient quelles données de l’habillement, et qui peut intégrer ou mettre à jour quelles données (article 9, paragraphe 2, points f) et g)). |
| Normes harmonisées EN 18239 et EN 18246 | Pas encore citées au Journal officiel ; au 13 octobre 2026, la page DPP de la Commission indiquait septembre 2026 pour la décision ; au 17 octobre 2026, elle indique novembre 2026 (à titre indicatif). | Présomption de conformité pour les droits d’accès, la sécurité, la confidentialité et l’intégrité (article 41, paragraphe 2). |
| Règlement d’exécution sur les droits d’accès à certaines parties du passeport de batterie | Prévu pour le 4e trimestre 2026 (Donnez votre avis, initiative 16473) ; l’article 77, paragraphe 9, du règlement (UE) 2023/1542 fixait l’échéance au 18 août 2026 ; la Commission a publié le projet le 19 octobre 2026, les commentaires étant ouverts jusqu’au 16 novembre 2026. | Uniquement les batteries, pas les vêtements. Le règlement (UE) 2023/1542 répartit déjà les informations du passeport de batterie entre des parties accessibles au grand public, des parties accessibles uniquement aux organismes notifiés, aux autorités de surveillance du marché et à la Commission, et des parties accessibles uniquement aux personnes ayant un intérêt légitime (article 77, paragraphe 2, et annexe XIII) ; cet acte précisera qui doit être considéré comme une personne ayant un intérêt légitime et dans quelle mesure ces personnes peuvent télécharger, partager, publier et réutiliser ces informations. |
| Acte délégué sur les prestataires de services de passeport numérique de produit | Prévu pour le 4e trimestre 2026 selon la fiche Donnez votre avis (initiative 14382) ; la page de la Commission consacrée au DPP le situe en 2027. | Les exigences à respecter pour devenir prestataire de services de passeport numérique de produit et pour exercer cette activité, ainsi que, le cas échéant, un système de certification (article 11, troisième alinéa). |
| Actes d’exécution relatifs aux identifiants numériques | Aucune initiative trouvée. | Comment les titulaires de droits d’accès sont identifiés et vérifiés (article 11, dernier alinéa). |
Perspective — portefeuilles européens d’identité numérique pour les entreprises
La proposition de règlement de la Commission relatif à la création de portefeuilles européens d’identité numérique pour les entreprises (European Business Wallets), COM(2025) 838 du 19 novembre 2025, n’a pas été adoptée ; le 7 octobre 2026, le Parlement européen a confirmé son mandat pour engager des négociations interinstitutionnelles (procédure 2025/0358(COD)). Son exposé des motifs mentionne le passeport numérique de produit, mais les articles proposés ne font pas référence à l’ESPR. La question de savoir si ces portefeuilles serviront à prouver les droits d’accès au DPP reste donc ouverte : elle est d’ordre politique, et le droit ne la tranche pas.
6. Ce qu’une marque peut faire dès maintenant
L’ESPR n’impose aujourd’hui aucune des mesures suivantes ; ce sont celles que nous recommandons pour vous préparer tant que les règles applicables à l’habillement ne sont pas encore fixées :
| Étape | Pourquoi |
|---|---|
| Classez vos données produit par niveau de sensibilité : public, partenaires uniquement, autorités uniquement, interne. | Le considérant 33 et l’article 9, paragraphe 2, point f), vont dans le sens d’un accès différencié. Une classification réalisée dès maintenant permet de rattacher rapidement vos données aux niveaux que fixera l’acte délégué. |
| Examinez la clause sur l’utilisation des données dans chaque contrat de prestataire ou de projet pilote DPP. | En vertu de l’article 11, deuxième alinéa, toute réutilisation au-delà du service nécessite votre accord spécifique. N’accordez pas d’autorisation générale. |
| Définissez qui a le droit d’écrire quelles données, en particulier pour les fournisseurs. | L’article 11, point f), limite les droits d’écriture en fonction des droits d’accès. Des autorisations par rôle dès les projets pilotes évitent de devoir tout reprendre plus tard. |
| Ne mettez pas de données personnelles de clients dans le passeport. | L’article 10, paragraphe 1, point e), exige un consentement explicite au sens du RGPD. |
| Demandez à vos prestataires comment ils satisferont aux normes EN 18239 et EN 18246 une fois celles-ci citées. | D’ici là, les articles 10 et 11 s’appliquent sans présomption de conformité pour ces aspects. |
AUDIT DPP
Identifiez les données produit qui peuvent être publiques, et celles qui ne doivent pas l’être.
Nous confrontons vos données produit aux exigences du DPP et aux questions encore ouvertes sur les droits d’accès, pour que vos données fournisseurs, vos contrats et votre modèle d’accès soient prêts à l’arrivée de l’acte délégué textile. Sous NDA.
Commencer votre audit DPPQuestions fréquentes
Ma liste de fournisseurs et d’usines sera-t-elle publique dans le DPP ?
Mon prestataire de services DPP peut-il utiliser mes données produit ?
Qui peut modifier les données de mon passeport ?
Existe-t-il une norme sur les droits d’accès au DPP que nous puissions appliquer dès maintenant ?
Des données de clients peuvent-elles être stockées dans le passeport ?
Sources
- ESPRRèglement (UE) 2024/1781 du Parlement européen et du Conseil du 13 juin 2024 établissant un cadre pour la fixation d’exigences en matière d’écoconception pour des produits durables, modifiant la directive (UE) 2020/1828 et le règlement (UE) 2023/1542 et abrogeant la directive 2009/125/CE. Considérant 33 ; article 2, point 27) ; article 5, paragraphe 10 ; article 7, paragraphe 6 ; article 9, paragraphe 2 ; article 10, paragraphes 1, 3 et 4 ; articles 11, 13 et 14 ; article 41, paragraphe 2 ; annexe III. Lu dans la version publiée au Journal officiel ; rectificatifs vérifiés ; aucun ne concerne les passages cités. CELEX 32024R1781 ↗
- Normes DPP harmoniséesDécision d’exécution (UE) 2026/1736 de la Commission du 14 juillet 2026 relative aux normes harmonisées concernant les passeports numériques de produit élaborées à l’appui du règlement (UE) 2024/1781 du Parlement européen et du Conseil. CELEX 32026D1736 ↗ · CEN et Cenelec, actualité du 15.07.2026 présentant les huit normes DPP. CEN-CENELEC ↗
- Registre DPPRèglement d’exécution (UE) 2026/1778 de la Commission du 16 juillet 2026 définissant les modalités de mise en œuvre du registre des passeports numériques de produit établi en vertu du règlement (UE) 2024/1781 du Parlement européen et du Conseil. Article 4, paragraphe 3 ; article 5, paragraphe 3 ; article 8, paragraphe 9. CELEX 32026R1778 ↗
- Passeport de batterieRèglement (UE) 2023/1542 du Parlement européen et du Conseil du 12 juillet 2023 relatif aux batteries et aux déchets de batteries, modifiant la directive 2008/98/CE et le règlement (UE) 2019/1020, et abrogeant la directive 2006/66/CE. Article 77, paragraphes 2 et 9 ; annexe XIII. Lu dans la version consolidée du 13.08.2026. CELEX 02023R1542-20260813 ↗
- Calendrier de la CommissionCommission européenne, page consacrée au passeport numérique de produit (Digital Product Passport), consultée le 13.10.2026 ; l’entrée du calendrier relative aux deux normes restantes consultée de nouveau le 17.10.2026. Page DPP de la Commission ↗
- Actes en attenteDonnez votre avis (Have your say), initiative 16473, règlement d’exécution sur les droits d’accès à certaines parties du passeport de batterie ↗ ; initiative 14382, prestataires de services de passeport numérique de produit ↗ ; COM(2025) 838, proposition de règlement du Parlement européen et du Conseil relatif à la création de portefeuilles européens d’identité numérique pour les entreprises CELEX 52025PC0838 ↗ ; Parlement européen, Observatoire législatif, procédure 2025/0358(COD) ↗.
L’ESPR, la décision d’exécution (UE) 2026/1736 et le règlement d’exécution (UE) 2026/1778 ont été lus dans leurs versions publiées au Journal officiel, et le règlement (UE) 2023/1542 dans sa version consolidée, toutes publiées par l’Office des publications de l’Union européenne (EUR-Lex) ; les versions consolidées sont des outils de documentation dépourvus d’effet juridique, seul le texte publié au Journal officiel faisant foi ; les bases de données de l’Office des publications ont été consultées le 13.10.2026 ; les pages de la Commission européenne, du portail Donnez votre avis, de l’Observatoire législatif et du CEN-CENELEC ont été consultées le 13.10.2026, à l’exception de la fiche Donnez votre avis de l’initiative 16473, consultée le 20.10.2026. Ceci est une information générale, et non un conseil juridique, financier ou en investissement.