Cosa ti deve un fornitore di servizi di passaporto secondo il regolamento

Se compri infrastruttura per il passaporto digitale di prodotto (DPP) invece di costruirla, stai comprando da una categoria che il regolamento definisce e vincola. Sapere cosa dice il testo è una cosa utile da portare in una conversazione con un fornitore, la nostra compresa.

Il ruolo esiste per legge

Il Regolamento Ecodesign definisce il fornitore di servizi di passaporto digitale di prodotto come un terzo indipendente, autorizzato dall'operatore economico che immette il prodotto sul mercato, che tratta i dati del passaporto per renderli disponibili a chi ha diritto di accesso.

La guida della Commissione stessa è che ricorrere a un fornitore del genere sarà per molte imprese una via diretta alla conformità, dato che il fornitore gestisce i requisiti tecnici inclusi i backup previsti per legge.

Ne discendono due obblighi che puoi pretendere da un fornitore.

Cosa deve fare il fornitore

Tenere la copia di backup. L'operatore deve rendere disponibile una copia di backup del passaporto tramite un fornitore di servizi, e il passaporto stesso deve riportare un riferimento al fornitore che la ospita. Quel riferimento viaggia dentro il tuo registro di conformità, il che significa che il tuo accordo di continuità è visibile nel passaporto invece che sepolto in un contratto. Di più sul perché conta in continuità dei dati.

Restare dentro il servizio. I fornitori di servizi non possono vendere, riutilizzare o trattare i dati del passaporto oltre quanto il servizio richiede, se non con l'accordo specifico dell'operatore.

Quest'ultima merita di essere letta due volte se hai mai firmato un contratto SaaS con clausole larghe sull'uso dei dati. In questa categoria l'impostazione predefinita è vincolata dal regolamento e non da quello che dice il contratto, e un fornitore che chiede diritti ampi sui tuoi dati di prodotto ti sta chiedendo di rinunciare a una protezione che la legge ti dà.

Cosa potrebbe arrivare più avanti

La Commissione ha il potere di stabilire requisiti per i fornitori di servizi e, ove opportuno, uno schema di certificazione per verificarne la conformità.

Al momento non esiste nulla. Ma vale la pena seguirlo per una ragione commerciale: quando arriverà uno schema di certificazione diventerà una barriera che favorisce i fornitori già allineati ai requisiti, e diventerà una domanda che i tuoi revisori faranno sul tuo fornitore.

Cinque domande per qualunque fornitore

Siete voi il fornitore del backup ai sensi dell'articolo 10(4), e come viene riportato quel riferimento nel passaporto? Un nome, non una rassicurazione.

Quali sono le vostre clausole sull'uso dei dati, e come stanno rispetto alla restrizione dell'articolo 11? La risposta dovrebbe essere più stretta di un contratto SaaS standard, non più larga.

Possiamo esportare l'intero registro, oggi, senza riemettere gli identificativi? La portabilità è una proprietà dei dati, non del contratto.

Cosa succede se cessate l'attività? Qualcosa messo per iscritto.

Quali schemi di identificativo gestite, e ne imponete uno vostro? Trattato in gli identificativi spiegati.

Rispondiamo a tutte e cinque per iscritto, e riteniamo che un cliente che le pone a ogni fornitore ottenga un risultato migliore a prescindere da chi sceglie. Il requisito sopravvive al rapporto con il fornitore, che è il motivo per cui il regolamento ha creato la categoria.

Fonti

• Regolamento (UE) 2024/1781 (ESPR): articolo 2(32) che definisce il fornitore di servizi,
• articolo 10(4) sulla copia di backup, articolo 11 sugli obblighi dei fornitori di servizi e sul
• possibile schema di certificazione, allegato III lettera (l).
• Commissione europea, *Digital Product Passport: FAQ*, aggiornamento gennaio 2026, domanda 8.