Ce qu'un prestataire de passeport vous doit selon le règlement

Si vous achetez de l'infrastructure de passeport numérique de produit (DPP) plutôt que de la construire, vous achetez à une catégorie que le règlement définit et encadre. Savoir ce que dit le texte est utile à emporter dans une conversation avec un prestataire, la nôtre comprise.

Le rôle existe dans la loi

Le règlement écoconception définit le prestataire de services de passeport numérique de produit comme un tiers indépendant, autorisé par l'opérateur économique qui met le produit sur le marché, qui traite les données du passeport afin de les rendre disponibles à ceux qui ont des droits d'accès.

L'orientation de la Commission elle-même est que recourir à un tel prestataire sera pour beaucoup d'entreprises une voie directe vers la conformité, puisque le prestataire prend en charge les exigences techniques, y compris les sauvegardes imposées par la loi.

Il en découle deux obligations que vous pouvez exiger d'un prestataire.

Ce que le prestataire doit faire

Détenir la copie de sauvegarde. L'opérateur doit rendre disponible une copie de sauvegarde du passeport via un prestataire de services, et le passeport lui-même doit porter une référence au prestataire qui l'héberge. Cette référence voyage à l'intérieur de votre registre de conformité, ce qui signifie que votre accord de continuité est visible dans le passeport plutôt qu'enfoui dans un contrat. Plus de détails sur son importance dans la continuité des données.

Rester dans le service. Les prestataires ne peuvent pas vendre, réutiliser ou traiter les données du passeport au-delà de ce que le service exige, sauf accord spécifique de l'opérateur.

Cette dernière mérite d'être lue deux fois si vous avez déjà signé un contrat SaaS aux clauses larges d'usage des données. Dans cette catégorie, le réglage par défaut est fixé par le règlement plutôt que par ce que dit le contrat, et un prestataire qui cherche des droits étendus sur vos données produit vous demande de renoncer à une protection que la loi vous donne.

Ce qui pourrait venir plus tard

La Commission est habilitée à fixer des exigences pour les prestataires de services et, le cas échéant, un schéma de certification pour en vérifier la conformité.

Rien n'existe encore. Mais cela vaut d'être suivi pour une raison commerciale : quand un schéma de certification arrivera, il deviendra une barrière qui favorise les prestataires déjà alignés sur les exigences, et il deviendra une question que vos auditeurs poseront sur votre prestataire.

Cinq questions pour tout prestataire

Êtes-vous le prestataire de sauvegarde au titre de l'article 10(4), et comment cette référence est-elle portée dans le passeport ? Un nom, pas une assurance verbale.

Quelles sont vos clauses d'usage des données, et comment se situent-elles face à la restriction de l'article 11 ? La réponse devrait être plus étroite qu'un contrat SaaS standard, pas plus large.

Pouvons-nous exporter le registre complet, aujourd'hui, sans réémettre les identifiants ? La portabilité est une propriété des données, pas du contrat.

Que se passe-t-il si vous cessez votre activité ? Quelque chose d'écrit.

Quels schémas d'identifiants portez-vous, et en imposez-vous un ? Traité dans les identifiants expliqués.

Nous répondons aux cinq par écrit, et nous pensons qu'un acheteur qui les pose à chaque prestataire obtient un meilleur résultat quel que soit son choix. L'exigence survit à la relation avec le prestataire, ce qui est précisément pourquoi le règlement a créé cette catégorie.

Sources

• Règlement (UE) 2024/1781 (ESPR) : article 2(32) définissant le prestataire de services,
• article 10(4) sur la copie de sauvegarde, article 11 sur les obligations des prestataires et le
• schéma de certification possible, annexe III point (l).
• Commission européenne, *Digital Product Passport: FAQ*, mise à jour de janvier 2026, question 8.