GUIDA FORNITORI DI SERVIZI
Scegliere un fornitore di servizi DPP: copia di riserva, limiti all'uso dei dati, diritto di cambiare fornitore e norme UE in arrivo
Un passaporto digitale di prodotto non può essere gestito interamente in casa. L'ESPR, il regolamento (UE) 2024/1781, impone di mettere a disposizione una copia di riserva di ciascun passaporto tramite un fornitore di servizi di passaporto digitale di prodotto (fornitore di servizi DPP) e definisce tale fornitore come un terzo indipendente. Quando si applicherà un atto delegato che prescrive il passaporto per l'abbigliamento, ogni marchio che immette abbigliamento sul mercato UE dovrà quindi avere un accordo con almeno un fornitore di servizi DPP, sia che ospiti in proprio il passaporto attivo, sia che esternalizzi tutto. Un marchio che oggi firma un contratto pilota o di piattaforma lo fa prima che l'UE abbia adottato l'atto delegato che stabilisce i requisiti per i fornitori di servizi DPP (articolo 11, terzo comma, dell'ESPR).
Questa guida illustra ciò che la legge fissa già per questo rapporto: il requisito di indipendenza e la copia di riserva, il divieto per i fornitori di usare i dati del passaporto oltre il servizio, ciò che il registro UE riporta sui fornitori e le norme del Data Act sul passaggio tra servizi cloud che probabilmente si applicano ai contratti di piattaforma. Indica poi i tempi previsti per le norme ancora attese, in primo luogo l'atto delegato sui fornitori di servizi DPP, e si chiude con un elenco di punti contrattuali. Per sapere chi può vedere quali dati del passaporto, consultate la nostra guida ai diritti di accesso; per i costi dell'hosting in proprio rispetto al ricorso a un fornitore, la nostra guida ai costi.
Terzo indipendente
Un fornitore di servizi DPP è un terzo indipendente, autorizzato dall'operatore economico, e la copia di riserva del passaporto deve essere messa a disposizione tramite un fornitore di questo tipo (articolo 2, punto 32), e articolo 10, paragrafo 4, dell'ESPR).
Nessun riutilizzo
I fornitori non possono vendere, riutilizzare o trattare i dati del passaporto oltre quanto necessario per il servizio, a meno che ciò non sia stato specificamente concordato con l'operatore economico (articolo 11, secondo comma, dell'ESPR).
12 gennaio 2027
Da questa data i fornitori di servizi di trattamento dei dati non possono imporre tariffe di passaggio (articolo 29, paragrafo 1, del Data Act). Se il divieto valga per un contratto di piattaforma DPP dipende dal servizio.
1. Perché ogni marchio ha bisogno di un fornitore di servizi DPP, anche se ospita il passaporto in proprio
Articolo 10, paragrafo 4, regolamento (UE) 2024/1781 (ESPR)
«L'operatore economico, all'atto dell'immissione del prodotto sul mercato, mette a disposizione una copia di riserva del passaporto digitale di prodotto tramite un fornitore di servizi di passaporto digitale di prodotto.»
L'ESPR ammette due modelli di hosting. Il passaporto «è conservato dall'operatore economico responsabile della sua creazione o da fornitori di servizi di passaporto digitale di prodotto» (articolo 11, primo comma, lettera c)). La copia di riserva è un obbligo distinto, che vale in entrambi i modelli. Chi possa detenerla discende dalla definizione dell'articolo 2, punto 32): il fornitore di servizi DPP è «una persona fisica o giuridica che è un terzo indipendente, autorizzato dall'operatore economico che immette il prodotto sul mercato o lo mette in servizio, che tratta i dati del passaporto digitale di prodotto per tale prodotto al fine di metterli a disposizione degli operatori economici e di altri soggetti interessati aventi un diritto di accesso a tali dati a norma del presente regolamento o di altro diritto dell'Unione». Il considerando 38 ne spiega la ragione: per garantire l'accesso al passaporto per il periodo prescritto, anche in caso di insolvenza, liquidazione o cessazione dell'attività nell'Unione, la copia di riserva va messa a disposizione «tramite un fornitore di servizi di passaporto digitale di prodotto che sia un terzo indipendente». Un marchio non può quindi fungere da fornitore di servizi DPP per la propria copia di riserva.
L'obbligo è legato all'immissione sul mercato. I fabbricanti, quando immettono un prodotto sul mercato, e gli importatori, prima di farlo, devono assicurare che sia disponibile un passaporto, «compresa una copia di riserva della versione più aggiornata del passaporto digitale di prodotto conservata presso un fornitore di servizi di passaporto digitale di prodotto conformemente all'articolo 10, paragrafo 4» (articolo 27, paragrafo 1, lettera c), e articolo 29, paragrafo 2, lettera c)). Poiché la copia di riserva deve riguardare la versione più aggiornata ogni volta che un prodotto è immesso sul mercato, in pratica va tenuta allineata agli aggiornamenti e non può limitarsi alla prima versione. Il passaporto stesso deve restare disponibile per il periodo fissato nell'atto delegato relativo al prodotto, «anche in caso di insolvenza dell'operatore economico responsabile della sua creazione, o in caso di liquidazione o cessazione della sua attività nell'Unione» (articolo 11, lettera e)), e tale periodo «corrisponde almeno alla durata attesa di un prodotto specifico» (articolo 9, paragrafo 2, lettera i)).
Due punti restano aperti. L'ESPR non definisce cosa renda un fornitore «indipendente» al di là del testo dell'articolo 2, punto 32), e non precisa se la copia di riserva debba trovarsi presso un fornitore diverso da quello che ospita il passaporto attivo. L'invito a presentare contributi della Commissione sulle norme per i fornitori (novembre 2024) descrive i fornitori come soggetti che conservano e trattano i dati del passaporto per gli operatori che non lo fanno in proprio e, per quelli che ospitano il passaporto in proprio, conservano la copia di riserva obbligatoria. L'atto delegato sui fornitori di servizi DPP (sezione 5) potrebbe chiarire entrambi i punti.
Nulla di tutto questo si applica ancora all'abbigliamento. Un passaporto, e con esso la copia di riserva, è richiesto per i prodotti disciplinati da un atto delegato adottato a norma dell'articolo 4 (articolo 9, paragrafo 1), salvo che la Commissione, nel definire i requisiti relativi al passaporto, dispensi il gruppo di prodotti per uno dei due motivi seguenti: non sono disponibili specifiche tecniche del passaporto digitale di prodotto in relazione ai requisiti essenziali di cui agli articoli 10 e 11, oppure altro diritto dell'Unione prevede già, per quel gruppo di prodotti, un sistema per la trasmissione digitale delle informazioni che secondo la Commissione consegue gli obiettivi del passaporto, ossia assicurare che i soggetti lungo la catena del valore possano accedere facilmente alle informazioni sui prodotti di loro interesse e comprenderle, e facilitare la verifica della conformità del prodotto da parte delle autorità nazionali competenti (articolo 9, paragrafo 4). L'atto delegato per il tessile non è stato adottato; la pagina DPP della Commissione ne indica l'adozione tra il terzo e il quarto trimestre 2027. Un atto delegato si applica non prima di 18 mesi dalla sua entrata in vigore, salvo casi debitamente giustificati (articolo 4, paragrafo 4). Il confronto dei costi tra hosting in proprio ed esternalizzazione è trattato nella nostra guida ai costi.
2. Cosa può fare un fornitore con i dati del vostro passaporto
Articolo 11, secondo comma, ESPR
«Se il passaporto digitale di prodotto è conservato a norma della lettera c) del primo comma o altrimenti trattato da fornitori di servizi di passaporto digitale di prodotto, tali fornitori non vendono, riutilizzano o trattano tali dati, in tutto o in parte, in una misura superiore a quanto necessario per fornire i servizi di conservazione o trattamento pertinenti, a meno che ciò non sia stato specificamente concordato con l'operatore economico che immette il prodotto sul mercato o che lo mette in servizio.»
La regola di base è un divieto, e l'eccezione è nelle mani del marchio. Un fornitore che detiene il passaporto attivo o la copia di riserva può usare i dati solo nella misura richiesta dal servizio di conservazione o di trattamento. Tutto ciò che va oltre, ad esempio vendere i dati o riutilizzarli per analisi proprie del fornitore o per altri prodotti, richiede l'accordo del marchio, e il regolamento esige che tale uso sia stato «specificamente» concordato. Secondo la nostra lettura, una clausola che indica la finalità e i dati interessati soddisfa questo requisito in modo più chiaro di un consenso generico nascosto nelle condizioni standard. L'accordo deve provenire dall'operatore economico che immette il prodotto sul mercato o lo mette in servizio; se il marchio e l'importatore sono società diverse, il contratto dovrebbe chiarire quale delle due lo concede.
Gli altri requisiti essenziali dell'articolo 11 si applicano a prescindere da chi ospita il passaporto: i diritti di inserire, modificare o aggiornare i dati sono limitati in funzione dei diritti di accesso previsti dall'atto delegato (lettera f)), «sono assicurate l'autenticazione, l'affidabilità e l'integrità dei dati» (lettera g)) e i passaporti devono essere progettati e gestiti «in modo da garantire un elevato livello di sicurezza e tutela della vita privata ed evitare le frodi» (lettera h)). L'articolo 10, paragrafo 1, lettera d), aggiunge che i dati del passaporto sono «trasferibili mediante una rete per lo scambio di dati interoperabile e aperta senza blocco da parte del fornitore». L'ESPR scoraggia quindi già i formati che un solo fornitore è in grado di leggere; il Data Act aggiunge norme sul processo di passaggio vero e proprio (sezione 4). Chi possa vedere quali dati è una questione distinta, trattata nella nostra guida ai diritti di accesso.
3. Cosa riporta il registro UE sul vostro fornitore
Il regolamento di esecuzione (UE) 2026/1778 della Commissione, in vigore dal 6 agosto 2026, riserva ai fornitori uno spazio preciso nel registro. Il registro comprende «un elenco dei fornitori di servizi di passaporto digitale di prodotto verificati registrati nel registro» (articolo 3, lettera f)). Il considerando 4 cita i fornitori di servizi DPP tra i soggetti della catena del valore, ciascuno dei quali «dovrebbe essere identificato mediante una procedura di verifica», e l'articolo 5 stabilisce come i soggetti della catena del valore ottengono lo status «verificato», dimostrando la propria identità e, se del caso, il proprio stabilimento.
Quando un passaporto è presentato per la registrazione, la Commissione ne legge il contenuto e conferma automaticamente, tra l'altro, «se del caso, il link al back-up ospitato da un fornitore di servizi di passaporto digitale di prodotto» (articolo 8, paragrafo 7, lettera e)). Conserva inoltre, come parte dei dati di registrazione, «se del caso, il riferimento del fornitore di servizi di passaporto digitale di prodotto» (articolo 8, paragrafo 9, lettera c)). Entrambi gli elementi sono subordinati alla formula «se del caso»: se il link alla copia di riserva sarà verificato per l'abbigliamento dipenderà quindi dalle norme applicabili a quel gruppo di prodotti.
Se un fornitore registra i passaporti per vostro conto, deve essere a sua volta verificato: quando un operatore economico verificato autorizza un terzo a eseguire azioni di registrazione per suo conto, il terzo deve seguire la procedura di verifica di cui all'articolo 5, e l'operatore economico «rimane pienamente responsabile del rispetto degli obblighi di cui al presente regolamento» (articolo 19, paragrafo 4). Esternalizzare la registrazione non significa esternalizzare la responsabilità.
Sul versante del passaporto, l'allegato III dell'ESPR elenca, alla lettera l), «il riferimento del fornitore di servizi di passaporto digitale di prodotto che ospita la copia di riserva del passaporto digitale di prodotto». L'allegato III è un elenco di elementi tra i quali ciascun atto delegato specifica «i dati che possono o devono essere inclusi nel passaporto digitale di prodotto»: la lettera l) diventa quindi un campo obbligatorio per l'abbigliamento solo se l'atto delegato per il tessile lo prevede. La procedura di registrazione è spiegata passo per passo nella nostra guida al registro.
4. Cambiare fornitore: cosa prevede già il Data Act
La nostra lettura — un'interpretazione, non una questione pacifica
Il regolamento sui dati (Data Act), regolamento (UE) 2023/2854, si applica dal 12 settembre 2025 (articolo 50). Le sue norme sul passaggio (capo VI, articoli da 23 a 31) riguardano i servizi di trattamento dei dati, definiti all'articolo 2, punto 8), come «un servizio digitale fornito a un cliente e che consente l’accesso di rete universale e su richiesta a un pool condiviso di risorse informatiche configurabili, scalabili ed elastiche di natura centralizzata, distribuita o altamente distribuita e che può essere rapidamente erogato e rilasciato con un minimo sforzo di gestione o interazione con il fornitore di servizi». Il considerando 81 cita i modelli di fornitura «il servizio a livello di infrastruttura (infrastructure-as-a-service – IaaS), il servizio a livello di piattaforma (platform-as-a-service - PaaS) e il servizio a livello di software (software-as-a-service - SaaS)». Una piattaforma DPP offerta online come servizio standard rientra quindi probabilmente in queste norme. Se un determinato contratto vi rientri dipende da come il servizio è strutturato e offerto: verificate quindi il contratto e chiedete al fornitore se considera il proprio servizio disciplinato dal capo VI.
Se le norme si applicano, i diritti del cliente e gli obblighi del fornitore in relazione al passaggio devono essere «chiaramente definiti in un contratto scritto», che il fornitore deve mettere a disposizione del cliente prima della firma (articolo 25, paragrafo 1). L'articolo 25, paragrafo 2, elenca gli elementi che tale contratto deve comprendere come minimo. Quelli più rilevanti per una piattaforma di passaporti sono:
| Elemento (Data Act) | Cosa deve prevedere il contratto |
|---|---|
| Termine di preavviso (articolo 25, paragrafo 2, lettera d)) | «un termine massimo di preavviso per l’avvio del processo di passaggio, non superiore a due mesi» |
| Periodo transitorio (articolo 25, paragrafo 2, lettera a), e articolo 25, paragrafo 4) | Il passaggio, o il trasferimento di tutti i dati esportabili verso la vostra infrastruttura TIC locale, senza indebito ritardo e «in ogni caso non oltre un periodo transitorio massimo obbligatorio di 30 giorni di calendario da far partire dopo il termine massimo di preavviso di cui alla lettera d)», durante il quale il contratto resta applicabile e il fornitore presta assistenza e «agisce con la diligenza dovuta per mantenere la continuità operativa». Se rispettare i 30 giorni è tecnicamente impossibile, il fornitore deve motivarlo entro 14 giorni lavorativi e indicare un periodo alternativo, «che non supera i sette mesi». |
| Dati interessati (articolo 25, paragrafo 2, lettera e)) | «un’indicazione specifica dettagliata di tutte le categorie di dati e risorse digitali che possono essere trasferite durante il processo di passaggio, compresi almeno tutti i dati esportabili» |
| Recupero dei dati (articolo 25, paragrafo 2, lettera g)) | «un periodo minimo di almeno 30 giorni di calendario per il recupero dei dati», a decorrere dalla fine del periodo transitorio. |
| Cancellazione (articolo 25, paragrafo 2, lettera h)) | La completa cancellazione dei dati e delle risorse digitali esportabili al termine del periodo di recupero o a una data successiva concordata, a condizione che il processo di passaggio sia stato completato con successo. |
| Sostegno all'uscita (articolo 25, paragrafo 2, lettera b)) | L'obbligo per il fornitore di sostenere la strategia di uscita del cliente, anche fornendo tutte le informazioni pertinenti. |
Quanto ai costi, l'articolo 29, paragrafo 1, fissa una data precisa: «A decorrere dal 12 gennaio 2027, i fornitori di servizi di trattamento dei dati non impongono al cliente tariffe di passaggio per il processo di passaggio ad altri fornitori.» Fino ad allora sono ammesse tariffe ridotte, non superiori ai costi direttamente connessi al passaggio (articolo 29, paragrafi 2 e 3). Le tariffe di passaggio non sono però l'unico costo di un'uscita. La loro definizione esclude le «spese standard di servizio o di risoluzione anticipata» (articolo 2, punto 36)), e il considerando 89 conferma che le parti possono convenire «contratti per servizi di trattamento dei dati di durata fissa, che prevedano sanzioni proporzionate in caso di risoluzione anticipata per coprire la risoluzione anticipata di tali contratti, conformemente al diritto dell’Unione o nazionale». Prima della conclusione del contratto, il fornitore deve fornire informazioni chiare sulle spese standard di servizio e sulle sanzioni che potrebbero essere imposte in caso di risoluzione anticipata (articolo 29, paragrafo 4). Dal 2027 il passaggio in sé sarà esente da tariffe di passaggio, ma uscire anticipatamente da un contratto di durata fissa potrebbe comunque costare.
Due esenzioni sono rilevanti per i progetti DPP. I servizi «forniti come versione non destinata alla produzione, a fini di prova e valutazione e per un periodo limitato di tempo» sono del tutto esclusi dal capo VI (articolo 31, paragrafo 2), il che può riguardare un progetto pilota a tempo determinato. Per i servizi le cui caratteristiche principali siano state per la maggior parte personalizzate per un singolo cliente, o i cui componenti siano stati tutti sviluppati per quel cliente, e che non siano offerti su vasta scala commerciale tramite il catalogo di servizi del fornitore, non si applicano le norme sull'equivalenza funzionale (articolo 23, lettera d)), sulle tariffe di passaggio (articolo 29) e parti dell'articolo 30 (articolo 31, paragrafo 1), e il fornitore deve indicare prima della conclusione del contratto quali obblighi non si applicano (articolo 31, paragrafo 3). Un contratto pilota può quindi conferirvi meno diritti del contratto di produzione che lo segue.
Prospettive — Omnibus digitale (una proposta, non diritto vigente)
La proposta della Commissione COM(2025) 837 del 19 novembre 2025 (procedura 2025/0360(COD)) modificherebbe il Data Act. Il progetto di articolo 31, paragrafo 1 ter, consentirebbe al fornitore di servizi di trattamento dei dati diversi dai servizi di pura infrastruttura (quelli di cui all'articolo 30, paragrafo 1) di prevedere sanzioni proporzionate in caso di risoluzione anticipata in un contratto di durata fissa. Questa frase non pone alcun limite legato alla data del contratto: se adottata, riguarderebbe quindi anche i nuovi contratti di piattaforma DPP. I regimi più leggeri del progetto di articolo 31, paragrafo 1 bis (servizi adattati alle esigenze di un cliente), e della restante parte del progetto di articolo 31, paragrafo 1 ter (fornitori che sono PMI o piccole imprese a media capitalizzazione), riguardano solo i contratti conclusi il 12 settembre 2025 o prima; entrambi mantengono l'articolo 29 sulle tariffe di passaggio, e le clausole di tali contratti contrarie all'articolo 29, paragrafi 1, 2 o 3, sarebbero nulle e prive di effetti. Al 16 ottobre 2026 l'Osservatorio legislativo del Parlamento europeo indicava la procedura in attesa della decisione della commissione parlamentare, con un progetto di relazione del 22 giugno 2026 ed emendamenti presentati il 27 luglio 2026. Non è stato adottato nulla.
5. Le norme UE in arrivo sui fornitori e quando attenderle
L'ESPR conferisce già alla Commissione il potere di disciplinare i fornitori. L'articolo 11, terzo comma, le consente di adottare atti delegati che integrano l'articolo stesso «stabilendo i requisiti che i prestatori di servizi di passaporto digitale di prodotto devono rispettare per poter diventare tali e, se del caso, un sistema di certificazione per verificare la conformità a tali requisiti e stabilendo i requisiti che tali prestatori di servizi devono rispettare quando forniscono servizi di passaporto digitale di prodotto». Il considerando 40 aggiunge che la Commissione potrebbe effettuare una valutazione d'impatto «per esaminare quanto sia appropriato sviluppare un sistema di certificazione per i fornitori di servizi di passaporto digitale di prodotto». Un sistema di certificazione è quindi possibile, non deciso.
La Commissione sta preparando questo atto come iniziativa 14382 sul portale Have your say, sotto forma di atto delegato (previsto come decisione delegata, secondo la scheda del portale). Il suo invito a presentare contributi del 12 novembre 2024 raggruppava in via provvisoria i possibili requisiti in tre ambiti: la sicurezza delle informazioni e i servizi per i dati del passaporto che gli operatori affidano ai fornitori, la solidità finanziaria dei fornitori per garantire l'accesso a lungo termine alle informazioni del passaporto e la garanzia che i fornitori rispettino i requisiti. Indicava come possibili modalità per assicurare la conformità l'autodichiarazione, gli interventi di controllo dell'applicazione e un sistema di certificazione ex ante, e osservava che i costi della certificazione potrebbero essere ribaltati sugli operatori. L'invito a presentare contributi (dal 12 novembre al 10 dicembre 2024) ha ricevuto 178 riscontri e la consultazione pubblica (dall'8 aprile al 1° luglio 2025) 275 risposte. Nessun progetto di atto è stato pubblicato per la raccolta di riscontri.
| Elemento | Stato al 16 ottobre 2026 | Perché conta per un contratto con un fornitore |
|---|---|---|
| Atto delegato sui fornitori di servizi DPP (articolo 11, terzo comma, dell'ESPR) | Non adottato; nessun progetto pubblicato. La scheda di Have your say (iniziativa 14382, ultima modifica 26 giugno 2026) indica l'adozione prevista per il quarto trimestre 2026. La pagina DPP della Commissione (aggiornata il 15 ottobre 2026) colloca l'atto sia nel secondo trimestre 2027 sia nel terzo trimestre 2027, in un calendario che definisce indicativo. L'invito a presentare contributi del novembre 2024 aveva indicato il periodo tra il primo e il secondo trimestre 2026. | Può stabilire requisiti per diventare fornitore e per operare come tale e, se del caso, un sistema di certificazione. Una volta adottato, entra in vigore solo se né il Parlamento europeo né il Consiglio sollevano obiezioni entro due mesi, termine prorogabile di due mesi, o se entrambi dichiarano prima di tale termine che non intendono sollevarne (articolo 72, paragrafo 6). |
| Atto delegato ESPR per il tessile | Non adottato. La pagina DPP della Commissione ne indica l'adozione tra il terzo e il quarto trimestre 2027. | A meno che non dispensi l'abbigliamento dall'obbligo del passaporto (articolo 9, paragrafo 4), fa scattare gli obblighi del passaporto e della copia di riserva per l'abbigliamento, non prima di 18 mesi dalla sua entrata in vigore, salvo casi debitamente giustificati (articolo 4, paragrafo 4). Stabilisce se il riferimento del fornitore (allegato III, lettera l)) fa parte del passaporto dell'abbigliamento. |
| Data Act: fine delle tariffe di passaggio | Fissata per legge: nessuna tariffa di passaggio dal 12 gennaio 2027 (articolo 29, paragrafo 1). Il Data Act si applica dal 12 settembre 2025. | Rilevante per i contratti di piattaforma disciplinati dal capo VI, eccetto i servizi personalizzati esentati dall'articolo 31, paragrafo 1 (sezione 4). |
| Omnibus digitale, proposta COM(2025) 837 | Solo una proposta. Parlamento europeo: in attesa della decisione della commissione parlamentare (progetto di relazione 22 giugno 2026; emendamenti 27 luglio 2026). | Consentirebbe espressamente sanzioni proporzionate in caso di risoluzione anticipata nei contratti di durata fissa (progetto di articolo 31, paragrafo 1 ter). |
| Norme DPP EN 18239 ed EN 18246 | Non citate nella Gazzetta ufficiale. La pagina DPP della Commissione indica una decisione di esecuzione sulle restanti due norme DPP per novembre 2026 (il 13 ottobre 2026 indicava settembre 2026). | Riguardano diritti di accesso, sicurezza delle informazioni, riservatezza commerciale e integrità dei dati, cioè gli ambiti che un fornitore deve presidiare nella pratica. |
Le due fonti della Commissione non concordano sulla tempistica e non abbiamo trovato alcuna spiegazione ufficiale. La pagina DPP è stata aggiornata più di recente e costituisce l'indicazione più attuale, che rimanda al 2027; la scheda di Have your say non è stata modificata da giugno 2026. In ogni caso, secondo la scheda la raccolta di riscontri sul progetto di atto è ancora da avviare e potrebbe quindi aprirsi in qualsiasi momento.
Anche le norme tecniche influenzeranno il mercato dei fornitori. La decisione di esecuzione (UE) 2026/1736 cita nella Gazzetta ufficiale sei delle otto norme europee sul DPP, tra cui la EN 18221 sulla «Conservazione, archiviazione e persistenza dei dati». I passaporti conformi alle norme armonizzate citate si presumono conformi ai requisiti degli articoli 10 e 11 dell'ESPR nella misura in cui tali requisiti sono contemplati dalle norme (articolo 41, paragrafo 2): è quindi legittimo chiedere a un fornitore quali norme citate applica.
6. Cosa inserire subito nel contratto
Né l'ESPR né il Data Act prescrivono in questa forma le clausole che seguono. Sono nostre raccomandazioni per un contratto con un fornitore firmato prima che esistano l'atto delegato per il tessile e l'atto delegato sui fornitori di servizi DPP, ciascuna collegata alla disposizione che vi aiuta a rispettare.
| Punto del contratto | Cosa chiedere | Base giuridica |
|---|---|---|
| Ruolo e indipendenza | La conferma che il fornitore agisce come fornitore di servizi DPP autorizzato da voi e che la società che detiene la vostra copia di riserva è un terzo indipendente dalla vostra. | Articolo 2, punto 32), e articolo 10, paragrafo 4, dell'ESPR; considerando 38. |
| Copia di riserva | Una copia di riserva della versione più aggiornata di ogni passaporto, la frequenza di aggiornamento, le modalità con cui viene fornito il link alla copia di riserva per la registrazione e una procedura di ripristino collaudata. | Articolo 27, paragrafo 1, lettera c), e articolo 29, paragrafo 2, lettera c), dell'ESPR; regolamento di esecuzione (UE) 2026/1778, articolo 8, paragrafo 7, lettera e). |
| Uso dei dati | Una clausola che riprenda la regola di base: nessuna vendita, nessun riutilizzo e nessun trattamento dei dati del passaporto oltre il servizio. Ogni eccezione indicata specificamente, con la sua finalità e i dati interessati. Nessun consenso generico nelle condizioni generali. | Articolo 11, secondo comma, dell'ESPR. |
| Disponibilità e continuità | Disponibilità per l'intero periodo che l'atto delegato fisserà, pari almeno alla durata attesa del prodotto; cosa succede se il fornitore diventa insolvente o esce dal mercato (ad esempio il trasferimento a un fornitore subentrante); cosa succede se la vostra società cessa l'attività. | Articolo 9, paragrafo 2, lettera i), e articolo 11, lettera e), dell'ESPR. |
| Uscita e portabilità | Formati di esportazione aperti e documentati; preavviso non superiore a due mesi; periodo transitorio non superiore a 30 giorni di calendario; almeno 30 giorni di calendario per recuperare i dati; cancellazione successiva; tariffe di passaggio solo nei limiti consentiti dall'articolo 29 fino al 12 gennaio 2027 e nessuna dopo tale data; sanzioni in caso di risoluzione anticipata indicate prima della firma. | Articolo 10, paragrafo 1, lettera d), dell'ESPR; articoli 25 e 29 del Data Act, ove si applichi il capo VI. |
| Azioni nel registro | Se il fornitore registra i passaporti per vostro conto: conferma che è verificato, chi detiene le credenziali di accesso al registro e come vengono corretti gli errori. La responsabilità resta vostra. | Regolamento di esecuzione (UE) 2026/1778, articolo 19, paragrafi 3 e 4. |
| Sicurezza e norme | Come il fornitore garantisce integrità, sicurezza e prevenzione delle frodi, quali norme DPP armonizzate citate applica e come vi comunica gli incidenti di sicurezza. | Articolo 11, lettere g) e h), e articolo 41, paragrafo 2, dell'ESPR; decisione di esecuzione (UE) 2026/1736. |
| Modifiche normative | L'obbligo di conformarsi all'atto delegato sui fornitori di servizi DPP e a un eventuale sistema di certificazione una volta adottati, e il vostro diritto di recedere senza penali se il fornitore non è in grado di farlo. | Articolo 11, terzo comma, dell'ESPR. |
| Condizioni del progetto pilota | Se il progetto pilota è una versione di prova a tempo limitato, le norme del Data Act sul passaggio potrebbero non applicarsi: concordate quindi le condizioni di esportazione e di cancellazione nel contratto pilota stesso. | Articolo 31, paragrafo 2, del Data Act. |
AUDIT DPP
Prima di firmare, chiarite cosa deve coprire la vostra soluzione DPP.
Valutiamo i vostri dati di prodotto, i vostri sistemi e i dati che ricevete dalla filiera rispetto ai requisiti dell'ESPR per il passaporto, così saprete cosa deve garantire qualsiasi soluzione DPP, qualunque fornitore scegliate. Sotto NDA.
Inizia il tuo audit DPPDomande frequenti
Ci serve un fornitore di servizi DPP se ospitiamo il passaporto in proprio?
Il nostro fornitore di servizi DPP può usare i nostri dati di prodotto per fini propri?
Possiamo cambiare fornitore DPP e quanto costerà?
Quando saranno adottate le norme UE sui fornitori di servizi DPP?
I fornitori di servizi DPP dovranno essere certificati?
Fonti
- ESPRRegolamento (UE) 2024/1781 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce il quadro per la definizione dei requisiti di progettazione ecocompatibile per prodotti sostenibili, modifica la direttiva (UE) 2020/1828 e il regolamento (UE) 2023/1542 e abroga la direttiva 2009/125/CE. Considerando 38 e 40; articolo 2, punto 32); articolo 4, paragrafo 4; articolo 9, paragrafi 1, 2 e 4; articolo 10, paragrafi 1 e 4; articolo 11; articolo 27, paragrafo 1; articolo 29, paragrafo 2; articolo 41, paragrafo 2; articolo 72, paragrafo 6; allegato III. Consultato nella versione pubblicata nella Gazzetta ufficiale; il regolamento non è stato modificato; rettifiche verificate: nessuna incide sui passaggi citati. CELEX 32024R1781 ↗
- Registro DPPRegolamento di esecuzione (UE) 2026/1778 della Commissione, del 16 luglio 2026, che stabilisce le modalità di attuazione del registro dei passaporti digitali di prodotto istituito a norma del regolamento (UE) 2024/1781 del Parlamento europeo e del Consiglio. Considerando 4; articoli 3 e 5; articolo 8, paragrafi 7 e 9; articoli 19 e 24. CELEX 32026R1778 ↗
- Data ActRegolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023, riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo e che modifica il regolamento (UE) 2017/2394 e la direttiva (UE) 2020/1828 (regolamento sui dati). Considerando 81 e 89; articolo 2, punti 8) e 36); articoli 23, 25, 29, 30, 31 e 50. Consultato nella versione pubblicata nella Gazzetta ufficiale; il regolamento non è stato modificato; sono state verificate le sei rettifiche pubblicate fino al 24.09.2026, e nessuna modifica il testo italiano dei passaggi citati. CELEX 32023R2854 ↗
- Norme DPP armonizzateDecisione di esecuzione (UE) 2026/1736 della Commissione, del 14 luglio 2026, relativa alle norme armonizzate per i passaporti digitali di prodotto elaborate a sostegno del regolamento (UE) 2024/1781 del Parlamento europeo e del Consiglio. CELEX 32026D1736 ↗ · CEN e CENELEC, notizia del 15.07.2026 che elenca le otto norme DPP. CEN-CENELEC ↗
- Iniziativa sui fornitoriCommissione europea, Have your say, iniziativa 14382, Passaporto digitale dei prodotti - norme per i fornitori di servizi, compreso l'invito a presentare contributi per una valutazione d'impatto, rif. Ares(2024)8031852 del 12.11.2024 (scheda consultata il 16.10.2026). Have your say ↗
- Calendario della CommissioneCommissione europea, pagina sul passaporto digitale di prodotto, calendario DPP indicativo (aggiornato il 15.10.2026; consultato il 16.10.2026). Pagina DPP della Commissione ↗
- Omnibus digitaleProposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO che modifica i regolamenti (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 e (UE) 2023/2854 e le direttive 2002/58/CE, (UE) 2022/2555 e (UE) 2022/2557 per quanto riguarda la semplificazione del quadro legislativo nel settore digitale e che abroga i regolamenti (UE) 2018/1807, (UE) 2019/1150 e (UE) 2022/868 e la direttiva (UE) 2019/1024 (omnibus digitale), COM(2025) 837 final del 19.11.2025; punto 15 delle modifiche proposte al Data Act (nuovo articolo 31, paragrafi 1 bis e 1 ter); una proposta, non diritto vigente. CELEX 52025PC0837 ↗ · Parlamento europeo, Osservatorio legislativo, procedura 2025/0360(COD) ↗.
L'ESPR, il regolamento di esecuzione (UE) 2026/1778, la decisione di esecuzione (UE) 2026/1736 e il Data Act sono stati consultati nelle versioni pubblicate nella Gazzetta ufficiale e la proposta di omnibus digitale nella versione del 19.11.2025, tutti pubblicati dall'Ufficio delle pubblicazioni dell'Unione europea (EUR-Lex); le rettifiche sono state verificate; i registri dell'Ufficio delle pubblicazioni sono stati consultati il 16.10.2026 e non riportavano alcun atto delegato sui fornitori di servizi DPP; le pagine della Commissione europea, di Have your say, dell'Osservatorio legislativo e di CEN-CENELEC sono state consultate il 16.10.2026. Si tratta di informazioni di carattere generale, non di consulenza legale, finanziaria o di investimento.