Il 15 luglio 2026 la Gazzetta ufficiale dell’Unione europea ha pubblicato i riferimenti di sei norme armonizzate sul passaporto digitale di prodotto, in forza della decisione di esecuzione (UE) 2026/1736 adottata dalla Commissione il giorno precedente. Da quella data chi realizza un passaporto conforme a quelle norme può contare sulla presunzione di conformità ai requisiti degli articoli 10 e 11 del regolamento (UE) 2024/1781, il cosiddetto ESPR sulla progettazione ecocompatibile dei prodotti sostenibili. È il passaggio che trasforma il passaporto digitale da annuncio in obbligo tecnicamente eseguibile. Le norme elaborate dal comitato tecnico congiunto CEN-CLC/JTC 24 erano però otto, e le due che in Gazzetta non compaiono sono proprio quella sulla gestione dei diritti di accesso, sulla sicurezza dei sistemi informativi e sulla riservatezza commerciale, e quella sull’autenticazione, l’affidabilità e l’integrità dei dati.
Sei riferimenti, e la data che conta
La decisione è stata adottata il 14 luglio 2026 ed entra in vigore il giorno stesso della pubblicazione in Gazzetta. La base formale è l’articolo 10, paragrafo 6, del regolamento (UE) n. 1025/2012 sulla normazione europea, mentre l’effetto sostanziale discende dall’articolo 41, paragrafo 2, dell’ESPR: i passaporti conformi alle norme armonizzate i cui riferimenti sono pubblicati in Gazzetta sono considerati conformi ai requisiti degli articoli 10 e 11, nella misura in cui detti requisiti sono contemplati dalle norme o da parti di esse. Le sei norme citate coprono i protocolli di scambio dei dati (EN 18216:2026), gli identificativi unici (EN 18219:2026), i supporti dati (EN 18220:2026), la conservazione, l’archiviazione e la persistenza dei dati (EN 18221:2026), le interfacce per programmi applicativi che gestiscono il ciclo di vita del passaporto e la sua ricercabilità (EN 18222:2026) e l’interoperabilità dei sistemi (EN 18223:2026). Erano state redatte da CEN, Cenelec ed ETSI su richiesta formulata dalla Commissione con la decisione di esecuzione C(2024) 5423, poi modificata dalla decisione C(2025) 8024.
L’infrastruttura ha la presunzione, la fiducia nel dato no
Le sei norme pubblicate descrivono come i dati viaggiano, come si identifica il prodotto, dove il dato risiede nel tempo e come i sistemi si parlano tra loro. Restano fuori, secondo l’elenco delle otto norme diffuso da CEN e CENELEC, la EN 18239 sulla gestione dei diritti di accesso, sulla sicurezza dei sistemi informativi e sulla riservatezza commerciale, e la EN 18246 sull’autenticazione, l’affidabilità e l’integrità dei dati. Non si tratta di un dettaglio di calendario. L’articolo 11 dell’ESPR chiede, tra i requisiti essenziali, che siano assicurate l’autenticazione, l’affidabilità e l’integrità dei dati e che il passaporto sia progettato e gestito in modo da garantire un elevato livello di sicurezza e di tutela della vita privata e da evitare le frodi. Sono esattamente i requisiti per i quali oggi non esiste un riferimento armonizzato che offra la scorciatoia probatoria della presunzione. L’obbligo resta e va soddisfatto, ma chi immette il prodotto sul mercato dovrà dimostrarlo per altra via, documentando le proprie scelte tecniche anziché appoggiarsi a una norma pubblicata. È la stessa asimmetria che si osserva nel percorso di attuazione del Cyber Resilience Act, dove la responsabilità è già collocata e gli strumenti per provarla arrivano dopo.
Dove il passaporto incontra il GDPR
L’articolo 10, paragrafo 1, lettera e), dell’ESPR è netto: i dati personali relativi ai clienti non sono conservati nel passaporto digitale di prodotto senza il loro consenso esplicito, conformemente all’articolo 6 del regolamento (UE) 2016/679. Il rinvio individua una base giuridica sola, il consenso, per dati che in altri contesti potrebbero reggersi su basi diverse. L’articolo 11 aggiunge che, quando il passaporto è conservato o altrimenti trattato da fornitori di servizi, questi non vendono, riutilizzano o trattano quei dati oltre quanto necessario per erogare il servizio, salvo accordo specifico con l’operatore economico che immette il prodotto sul mercato. Stabilire dove passi il confine di ciò che è personale, in un sistema costruito per far circolare dati lungo l’intera catena del valore e ben oltre la vita del prodotto, diventa allora una questione operativa e non teorica, come le recenti linee guida dell’EDPB sull’anonimizzazione hanno mostrato in un ambito diverso ma con la medesima logica.
Un registro pubblico, archivi privati, un dato che sopravvive all’impresa
Il sistema europeo non è centralizzato né interamente distribuito. Secondo la descrizione fornita da CEN e CENELEC, la Commissione gestirà un registro contenente gli identificativi dei prodotti, dei fabbricanti e degli stabilimenti, mentre la gestione operativa dei dati di prodotto e la loro conservazione, compresa la copia di sicurezza a lungo termine, saranno affidate a fornitori terzi, di regola imprese private. A ciò si aggiunge una previsione dell’articolo 11 che merita attenzione: il passaporto resta disponibile per il periodo fissato dagli atti delegati anche in caso di insolvenza dell’operatore economico che lo ha creato, o di liquidazione o cessazione della sua attività nell’Unione. Il dato deve dunque sopravvivere all’impresa che lo ha generato, e la norma che disciplina proprio la persistenza, la EN 18221:2026, è tra quelle ora citate in Gazzetta. Chi gestirà materialmente quella sopravvivenza, e con quali garanzie verso il mercato, resta materia dei rapporti contrattuali tra operatori economici e fornitori di servizi.
Che cosa queste norme non fanno
Le norme del JTC 24 sono trasversali e indipendenti dal prodotto: definiscono il contenitore, non il contenuto. Quali dati debbano essere registrati per ciascuna categoria lo stabiliranno gli atti delegati adottati a norma dell’articolo 4 dell’ESPR, secondo le priorità del piano di lavoro 2025/2030 della Commissione, e i metodi per calcolarli richiederanno ulteriori richieste di normazione rivolte ai comitati tecnici competenti per ciascun gruppo di prodotti. Anche l’accesso resta da definire: la Commissione adotterà atti di esecuzione per individuare quali soggetti abbiano un interesse legittimo ad accedere a determinate informazioni e per quali finalità. La presunzione di conformità pubblicata il 15 luglio riguarda quindi il modo in cui il passaporto funziona, non ciò che il passaporto dovrà dire. È una distinzione che conviene tenere ferma, perché non ogni strumento adeguato produce presunzione di conformità, e non ogni presunzione copre l’intero obbligo.
L’infrastruttura pensata per rendere verificabile la sostenibilità di un prodotto gode dunque, da oggi, di una presunzione di conformità sul modo in cui i dati circolano, ma non su ciò che ne garantisce l’autenticità e ne protegge l’accesso. Fino a quando le due norme mancanti non saranno citate in Gazzetta, l’onere di dimostrare che il dato è affidabile e che vi accede soltanto chi ne ha titolo resta per intero su chi il prodotto lo immette sul mercato, insieme alla documentazione che dovrà sostenerlo davanti alle autorità di vigilanza.
