Passeport numérique de produit : le cadre 2026

Le 20 juillet 2026, la Commission européenne a ouvert le registre du passeport numérique de produit. Le 6 août, le règlement d’exécution (UE) 2026/1778 qui en fixe le fonctionnement est devenu applicable. Beaucoup d’entreprises continuent pourtant de classer le sujet dans la catégorie « 2027 » : c’est une erreur de calendrier, et elle coûte cher, parce que l’infrastructure à construire ne se met pas en place en dix-huit mois.

Ce qu’est juridiquement un passeport numérique de produit

Le passeport numérique de produit — Digital Product Passport, ou DPP — est institué par le chapitre III (articles 9 à 15) du règlement (UE) 2024/1781 du 13 juin 2024 établissant un cadre pour l’écoconception des produits durables, dit « règlement ESPR ». Le texte est entré en vigueur le 18 juillet 2024 et remplace progressivement la directive 2009/125/CE.

Le principe posé par l’article 9 est brutalement simple : un produit relevant d’un acte délégué ne peut pas être mis sur le marché ou mis en service si un passeport numérique conforme n’est pas disponible. Ce n’est pas une obligation d’affichage accessoire, c’est une condition de commercialisation, au même titre que le marquage CE l’est pour d’autres réglementations produit.

Concrètement, le DPP est une fiche numérique attachée à un bien physique, accessible via un support de données (QR code, puce NFC, code-barres 2D) apposé sur le produit, son emballage ou sa documentation. Elle centralise l’origine, la composition, la réparabilité, les conditions de recyclage et l’empreinte du produit. L’article 9 exige que les données y figurant soient exactes, complètes et à jour — trois adjectifs qui, en droit, constituent trois chefs de manquement distincts.

Trois éléments techniques structurent le dispositif :

• un identifiant unique de produit, relié au passeport ;
• un identifiant unique d’opérateur économique et, le cas échéant, d’installation ;
• des normes ouvertes et interopérables, sans dépendance à l’égard d’un fournisseur déterminé.

Ce dernier point mérite attention : le règlement interdit de fait l’enfermement propriétaire. Une entreprise qui confie aujourd’hui son passeport à une plateforme fermée s’expose à devoir tout reconstruire.

Qui est concerné, et à quelle date

Un champ d’application volontairement très large

L’article 1er, paragraphe 2, de l’ESPR vise « tout bien physique qui est mis sur le marché ou mis en service, y compris les composants et les produits intermédiaires ». Un vêtement, mais aussi le tissu qui le compose. Une voiture électrique, mais aussi sa batterie. La chaîne de valeur est concernée sur plusieurs maillons, pas seulement au stade du produit fini.

Les exclusions sont limitativement énumérées au même article : denrées alimentaires, aliments pour animaux, médicaments à usage humain et vétérinaire, plantes et animaux vivants, produits d’origine humaine, et véhicules relevant des règlements (UE) n° 167/2013, (UE) n° 168/2013 et (UE) 2018/858.

Le calendrier réel

Le DPP ne s’applique pas d’un bloc. Il se déclenche produit par produit, soit par un acte délégué pris sur le fondement de l’article 4 de l’ESPR, soit par une réglementation sectorielle qui l’impose directement.

Le plan de travail ESPR 2025-2030, adopté par la Commission le 16 avril 2025 (COM(2025) 187), retient six groupes de produits prioritaires. Les échéances ci-dessous sont indicatives : ce sont des dates d’adoption d’actes délégués, pas des dates d’obligation. Chaque acte laisse ensuite en principe environ dix-huit mois aux opérateurs.

Groupe de produits	Adoption de l’acte délégué (indicative)	Obligation DPP (estimation)
Batteries (industrielles > 2 kWh, VE, transport léger)	Régime propre, règlement (UE) 2023/1542	18 février 2027
Fer et acier	2026	2027-2028
Textiles	2027	2028-2029
Pneumatiques	2027	2028-2029
Aluminium	2027	2028-2029
Meubles	2028	2029-2030
Matelas	2029	2030-2031

La première échéance ferme est donc celle des batteries, au 18 février 2027, qui résulte de l’articulation entre l’ESPR et le règlement batteries. Pour un constructeur automobile ou un fabricant de matériel industriel, cela signifie que la chaîne de collecte des données fournisseurs doit être opérationnelle maintenant, pas en 2027.

Attention à une confusion fréquente : l’ESPR contient aussi des obligations qui ne dépendent d’aucun acte délégué. L’interdiction de destruction des invendus textiles et de chaussures, prévue à l’article 25 et à l’annexe IV, s’applique déjà aux grandes entreprises depuis le 19 juillet 2026.

Le registre européen : la brique qui existe déjà

C’est le point que la plupart des entreprises n’ont pas intégré. Le registre du passeport numérique de produit est ouvert depuis le 20 juillet 2026, accompagné d’un environnement de test. Le règlement d’exécution (UE) 2026/1778 de la Commission du 16 juillet 2026, publié au Journal officiel le 17 juillet et applicable depuis le 6 août 2026, en fixe les modalités de fonctionnement.

Le registre comprend une interface web sécurisée et une API d’enregistrement des passeports, une plateforme de vérification de l’existence et de la complétude d’un passeport, un mécanisme d’attribution d’identifiants d’enregistrement uniques, un composant de stockage de ces identifiants et des codes douaniers, ainsi que des schémas d’identification et d’autorisation par catégorie d’utilisateurs.

Deux conséquences pratiques :

1. Le statut d’opérateur économique vérifié conditionne tout le reste. Avant de pouvoir enregistrer le moindre passeport, il faut être enregistré comme opérateur vérifié, via des moyens d’identification électronique conformes au cadre eIDAS (identité numérique qualifiée ou cachet électronique pour les entités non européennes). Cette vérification a une durée de validité de plusieurs années et n’a pas de date limite propre liée à une catégorie de produits : rien n’empêche de l’obtenir dès aujourd’hui, et tout justifie de le faire avant l’embouteillage prévisible des mois précédant chaque échéance sectorielle. Le sujet rejoint celui, plus large, du portefeuille européen d’identité numérique.

2. Les douanes sont dans la boucle. Le considérant 34 de l’ESPR prévoit un accès direct des autorités douanières au registre, via le guichet unique de l’Union pour les douanes, afin de vérifier l’existence d’un passeport pour les produits importés. Pour un importateur, l’absence de passeport ne se traduira pas par un courrier de mise en demeure quelques mois plus tard, mais par un blocage à la frontière.

Les normes techniques sont publiées

Le 27 mai 2026, le CEN et le CENELEC ont publié les six premières normes techniques du système DPP : EN 18216, EN 18219, EN 18220, EN 18221, EN 18222 et EN 18223. La Commission les a citées comme normes harmonisées au Journal officiel le 15 juillet 2026, par la décision d’exécution (UE) 2026/1736.

La plus structurante pour un juriste est EN 18219:2026, qui définit les règles d’identifiants uniques pour les produits, les opérateurs économiques et les installations : unicité globale, persistance, interopérabilité, et surtout niveau de granularité — modèle, lot ou article. Nous verrons plus loin que ce choix de granularité est la principale décision de protection des données de tout le projet.

Le fait que ces normes soient harmonisées produit un effet juridique classique : leur respect emporte présomption de conformité aux exigences correspondantes du règlement. C’est un raisonnement identique à celui qui prévaut en matière d’évaluation de conformité sous le Cyber Resilience Act.

Le point aveugle : le DPP et le RGPD

Dans mon expérience de conseil, c’est systématiquement la partie que les projets DPP découvrent trop tard, parce qu’ils sont pilotés par les directions qualité, produit ou RSE, sans le DPO.

Le règlement pose lui-même une règle de protection des données

L’article 10 de l’ESPR prévoit que les données relatives aux clients ne peuvent pas être intégrées au passeport sans leur consentement explicite, par renvoi à l’article 6 du RGPD. Ce n’est pas une clause de style : c’est une base légale imposée par le texte sectoriel, qui exclut de fait le recours à l’intérêt légitime pour cette catégorie de données. Sur les conditions de validité du consentement et le choix d’une base légale, les règles ordinaires s’appliquent intégralement.

Le même article 10 organise par ailleurs un accès à trois niveaux : données publiques, données réservées aux personnes justifiant d’un intérêt légitime, données accessibles aux autorités de surveillance du marché. Cette architecture d’habilitations est, en soi, un sujet de sécurité au sens de l’article 32 du RGPD.

Trois situations où le DPP devient un traitement de données personnelles

a) La granularité « article ». Tant que le passeport décrit un modèle ou un lot, il ne contient aucune donnée personnelle. Dès que l’identifiant descend au niveau de l’exemplaire — un numéro de série unique par article vendu — cet identifiant devient, dans les systèmes du vendeur, rattachable à un acheteur identifiable. Le raisonnement est celui que la Cour de justice applique depuis l’arrêt Breyer : un identifiant est une donnée personnelle dès lors qu’il existe des moyens raisonnables de le rapprocher d’une personne physique. La définition de la donnée personnelle et l’article 4 du RGPD suffisent à le démontrer. Le passeport public reste anonyme ; le croisement interne, non.

b) Les acteurs de la seconde vie. Le DPP est conçu pour survivre au premier acheteur : réparateurs, reconditionneurs, recycleurs, marchés de l’occasion. Or beaucoup de ces acteurs sont des personnes physiques — artisans, auto-entrepreneurs. Si le système trace « qui a mis à jour quoi et quand », il trace des personnes. C’est un traitement, avec obligation d’information et durée de conservation à définir.

c) Les données clients volontairement intégrées. Preuve d’achat, extension de garantie, historique d’entretien. Utile commercialement, et précisément ce que vise l’exigence de consentement explicite de l’article 10.

La tension de fond : durée de vie du produit contre limitation de conservation

L’article 27 de l’ESPR impose que le passeport reste disponible pendant une durée au moins équivalente à la durée de vie prévue du produit, y compris en cas d’insolvabilité, de liquidation ou de cessation d’activité de l’opérateur responsable. Pour un matelas, une charpente métallique ou une batterie industrielle, on parle de dix à trente ans.

L’article 5(1)(e) du RGPD impose l’inverse : une conservation limitée à ce qui est nécessaire. Les deux exigences ne sont pas conciliables sur une même donnée.

La solution n’est pas juridique, elle est architecturale : ne pas mettre de données personnelles dans le passeport. Les données de traçabilité produit vivent trente ans dans le DPP ; les données relatives aux personnes vivent selon leur propre durée de conservation, dans un système distinct, relié par un identifiant technique. C’est exactement l’application de l’article 25 du RGPD — protection des données dès la conception — à un projet industriel. Là où c’est possible, les techniques de pseudonymisation permettent de conserver l’utilité analytique sans conserver l’identification.

Les prestataires de services de passeport sont vos sous-traitants

L’ESPR encadre le rôle des « prestataires de services de passeport numérique », auxquels le fabricant doit notamment confier une copie de sauvegarde, et leur interdit toute exploitation commerciale des données au-delà de la prestation convenue.

Cette interdiction sectorielle ne remplace pas le RGPD. Dès lors que le prestataire traite des données personnelles pour le compte du fabricant, il est sous-traitant au sens du RGPD et le contrat de sous-traitance prévu à l’article 28 du RGPD est obligatoire. En pratique, il faut donc une double couche contractuelle : les obligations ESPR (disponibilité, sauvegarde, non-exploitation, continuité en cas de défaillance) et les clauses de l’article 28(3). Vérifiez aussi la localisation d’hébergement : un passeport devant survivre trente ans à un prestataire potentiellement défaillant pose une question de réversibilité qu’on retrouve dans tout contrat SaaS.

Faut-il une AIPD ?

Pas systématiquement. Un DPP au niveau modèle ou lot, sans donnée client, ne le justifie pas. En revanche, un DPP au niveau article, croisé avec le CRM, le SAV et le suivi de la seconde vie, coche plusieurs des critères des lignes directrices WP248 rev.01 — croisement d’ensembles de données, données à grande échelle, usage innovant. Deux critères suffisent à déclencher la présomption. Les règles de déclenchement sont détaillées dans notre guide quand faire une AIPD et la méthode dans le dossier AIPD.

Dans tous les cas, le traitement doit figurer au registre des activités de traitement.

Qui est responsable de quoi dans la chaîne de valeur

Le chapitre VII de l’ESPR ventile les obligations selon la qualité de l’opérateur. C’est la partie qu’il faut traduire en clauses contractuelles.

Acteur	Article ESPR	Obligation principale
Fabricant	art. 27	S’assurer de la disponibilité du passeport avant mise sur le marché, conserver une copie de sauvegarde chez un prestataire dédié
Fabricant	art. 44	Établir la déclaration UE de conformité
Prestataire d’exécution des commandes	art. 33	Ne pas compromettre la conformité par le stockage, l’emballage, l’expédition
Importateur / distributeur	art. 34	Requalification en fabricant s’il commercialise sous sa marque ou modifie le produit
Place de marché en ligne	art. 35	Coopération, en articulation avec les articles 11 et 30 du DSA

Le point le plus dangereux est l’article 34. Un distributeur qui appose sa marque sur un produit importé devient fabricant au sens du règlement, avec l’intégralité des obligations de passeport — y compris la collecte des données amont chez un fournisseur qui, lui, n’est soumis à rien. Le même mécanisme existe sous le Cyber Resilience Act, où il produit exactement les mêmes surprises côté importateurs et distributeurs, et sous le GPSR pour la sécurité générale des produits. Pour une marketplace ou un acteur du e-commerce, la question de la qualification est donc à trancher avant celle des outils.

La conséquence contractuelle est immédiate : les contrats fournisseurs doivent être réouverts pour y insérer une obligation de fourniture et de mise à jour des données du passeport, assortie d’un droit d’audit et d’une clause de responsabilité. La démarche est la même que pour les clauses fournisseurs sous le CRA ou la collecte de données fournisseurs sous la CSRD.

Sanctions : un régime encore incomplet en France

L’article 74 de l’ESPR renvoie aux États membres le soin de prévoir des sanctions effectives, proportionnées et dissuasives, en tenant compte de la nature et de la gravité du manquement, de son caractère délibéré, de la situation financière du responsable et des avantages économiques retirés. Le règlement impose un socle : des amendes et une exclusion temporaire des procédures de passation de marchés publics.

À ce jour, la France n’a pas adopté de régime de sanctions spécifique au passeport numérique. Cette incertitude n’est pas une bonne nouvelle : elle signifie simplement que le barème sera connu tard, alors que les obligations, elles, sont déjà datées. La situation rappelle celle des sanctions du Cyber Resilience Act et des sanctions CSRD, dont les régimes nationaux ont été fixés après coup.

Rappelons enfin que la sanction la plus immédiate n’est pas pécuniaire : c’est l’impossibilité de mettre le produit sur le marché, et le blocage douanier à l’importation.

Comment articuler DPP, CSRD et Data Act

Le passeport numérique n’est pas un projet isolé. Il partage ses données avec au moins trois autres chantiers réglementaires, et c’est là que se trouve le gain de productivité.

Avec la CSRD. Les données d’empreinte carbone, de contenu recyclé, de consommation de ressources et de circularité exigées par les normes ESRS recoupent largement le contenu de l’annexe III de l’ESPR. Une entreprise qui a déjà mené sa double matérialité et construit sa collecte pour le reporting de durabilité dispose de 60 à 70 % de la matière du passeport. Inversement, une donnée produite pour le DPP est auditable et alimente le bilan carbone. Le rythme d’ensemble reste tributaire des seuils révisés par l’omnibus, mais la logique de plan de conformité est identique.

Avec le CRA et le SBOM. Pour un produit comportant des éléments numériques, le Cyber Resilience Act impose déjà une nomenclature logicielle (SBOM) et une documentation technique. Le DPP impose une nomenclature matière. Ce sont deux inventaires du même produit, gérés par deux équipes différentes, avec deux cycles de mise à jour : il y a un arbitrage d’architecture à faire, pas deux projets à mener en parallèle.

Avec le Data Act. Les exigences d’interopérabilité des données et le cadre général du Data Act et du Data Governance Act déterminent les conditions de partage des données du passeport entre acteurs de la chaîne. La règle de non-dépendance technologique de l’ESPR n’est que la déclinaison produit d’un principe désormais transversal.

Avec le droit de la consommation. Les informations publiées dans le passeport sont des allégations opposables. Une donnée de contenu recyclé erronée est à la fois un manquement ESPR et une pratique commerciale trompeuse au sens des règles sur les allégations environnementales — sans compter le terrain de la responsabilité du fait des produits défectueux.

Plan d’action : les sept étapes à engager maintenant

1. Qualifiez-vous. Fabricant, importateur, distributeur sous marque propre, mandataire ? La réponse détermine tout le reste (art. 27, 34).
2. Cartographiez vos produits au regard du plan de travail 2025-2030 et des réglementations sectorielles. Identifiez votre première échéance réelle.
3. Obtenez le statut d’opérateur économique vérifié auprès du registre européen. C’est faisable dès aujourd’hui, sans attendre l’acte délégué de votre secteur.
4. Tranchez la granularité — modèle, lot ou article — avec le DPO dans la salle. C’est la décision structurante en matière de protection des données.
5. Auditez la disponibilité des données amont. Pour chaque champ prévisible de l’annexe III, identifiez qui la détient. Les trous se trouvent quasi systématiquement au rang 2 et au-delà de la chaîne d’approvisionnement.
6. Réouvrez les contrats fournisseurs : fourniture des données, mise à jour, audit, responsabilité.
7. Contractualisez avec le prestataire de passeport sur les deux plans : obligations ESPR et clauses article 28 du RGPD.

C’est ce type de cartographie transverse — un même jeu de données, plusieurs règlements, plusieurs responsables — que Legiscope permet d’instruire une seule fois plutôt qu’une fois par texte.

Ce qu’il faut retenir

• Le passeport numérique de produit est institué par le chapitre III (art. 9 à 15) du règlement (UE) 2024/1781. Sans passeport conforme, le produit ne peut pas être mis sur le marché.
• L’infrastructure existe déjà : registre européen ouvert le 20 juillet 2026, règlement d’exécution (UE) 2026/1778 applicable depuis le 6 août 2026, six normes harmonisées EN 182xx publiées le 27 mai 2026.
• Le statut d’opérateur économique vérifié, obtenu via eIDAS, conditionne tout enregistrement et peut être demandé dès maintenant.
• La première échéance ferme est le 18 février 2027 pour les batteries ; le fer et l’acier suivent, puis textiles, pneumatiques et aluminium.
• Le choix de granularité (modèle, lot ou article) est la décision de protection des données la plus importante du projet : au niveau article, le passeport devient rattachable à une personne.
• Le passeport doit survivre à la durée de vie du produit (art. 27) ; le RGPD impose l’inverse. Conclusion pratique : aucune donnée personnelle dans le passeport, et un système séparé pour les personnes.
• Les prestataires de services de passeport sont des sous-traitants au sens du RGPD : contrat article 28 obligatoire, en plus des obligations ESPR.
• La France n’a pas encore adopté de régime de sanctions spécifique (art. 74). La sanction immédiate reste l’interdiction de mise sur le marché et le blocage douanier.

FAQ

Mon entreprise est-elle concernée si elle ne fabrique pas de textile ni de batteries ?

Probablement à terme. Le champ de l’ESPR couvre tout bien physique mis sur le marché de l’Union, à l’exception d’une liste fermée (alimentaire, médicaments, véhicules relevant de réglementations propres, etc.). Les six groupes prioritaires du plan de travail 2025-2030 ne sont qu’une première vague ; les composants et produits intermédiaires sont explicitement visés, ce qui capte de nombreux fournisseurs qui ne se croient pas concernés.

Le passeport numérique de produit contient-il des données personnelles ?

Il ne devrait pas, et c’est la configuration à viser. L’article 10 de l’ESPR n’autorise l’intégration de données clients qu’avec leur consentement explicite. En revanche, un passeport au niveau de l’article — un identifiant unique par exemplaire vendu — devient une donnée personnelle indirecte dès lors que le vendeur peut le rapprocher d’un acheteur dans ses propres systèmes.

Peut-on s’enregistrer au registre européen avant que l’acte délégué de son secteur soit adopté ?

Oui, et c’est recommandé. Le statut d’opérateur économique vérifié, obtenu au moyen d’une identification électronique conforme au cadre eIDAS, n’est rattaché à aucune catégorie de produits et n’a donc pas d’échéance propre. Le faire tôt évite l’engorgement prévisible des mois précédant chaque échéance sectorielle.

Quelle est la différence entre le DPP et le SBOM imposé par le Cyber Resilience Act ?

Ce sont deux nomenclatures du même produit, avec des objets différents : le SBOM inventorie les composants logiciels pour la gestion des vulnérabilités, le DPP inventorie les caractéristiques matières, l’origine et la circularité. Un produit connecté peut relever des deux. La bonne pratique consiste à construire une source de données unique alimentant les deux sorties, plutôt que deux référentiels concurrents.

Que risque une entreprise qui n’a pas de passeport à l’échéance ?

Le régime de sanctions relève des États membres (art. 74) et la France ne l’a pas encore fixé. Mais la conséquence la plus immédiate est indépendante de toute amende : le produit ne peut pas être légalement mis sur le marché, et les autorités douanières, qui disposent d’un accès direct au registre via le guichet unique de l’Union, peuvent bloquer les marchandises importées dont le passeport est absent.

---

Vous suivez les échéances réglementaires produit et données ? Chaque semaine, je publie une analyse des textes qui changent réellement quelque chose pour les entreprises françaises — ESPR, CSRD, Data Act, RGPD. Inscrivez-vous à la newsletter.