Passeport numérique de produit : le règlement d’exécution qui met le registre européen en ordre de marche

Publié au Journal officiel du 17 juillet 2026, le règlement d’exécution (UE) 2026/1778 définit les modalités de fonctionnement du registre des passeports numériques de produit prévu à l’article 13 du règlement (UE) 2024/1781. Vérification d’identité des opérateurs, niveaux de granularité, preuve d’enregistrement, référentiel sémantique : lecture d’un texte de vingt-quatre articles qui organise l’infrastructure sans laquelle le passeport resterait une intention.

Adopté le 16 juillet 2026 par la Commission européenne et publié le lendemain au Journal officiel, le règlement d’exécution (UE) 2026/1778 ne crée pas le passeport numérique de produit. Celui-ci existe déjà, depuis le règlement (UE) 2024/1781 établissant un cadre pour la fixation d’exigences en matière d’écoconception. Ce que le nouveau texte apporte est d’un autre ordre : il décrit la machine. Composition du registre, conditions d’accès, procédure d’enregistrement, gestion des versions, durées de conservation, répartition des responsabilités entre la Commission, les États membres et les opérateurs. Il entre en vigueur le vingtième jour suivant celui de sa publication.

La base juridique est étroite et assumée : l’article 13, paragraphe 5, du règlement (UE) 2024/1781, qui impose à la Commission d’établir un registre numérique contenant de manière sécurisée, au minimum, les identifiants uniques. Le considérant 1 en tire toutes les conséquences : il fallait définir les composantes principales de ce registre, déterminer les rôles et obligations techniques et opérationnels de chacun, et mettre en place un système d’enregistrement par fichiers journaux permettant de documenter et de surveiller les opérations.

Un registre unique pour plusieurs législations

Le champ d’application, fixé à l’article 1er, déborde largement l’écoconception. Le registre accueille les produits couverts par les actes délégués adoptés en vertu de l’article 4 du règlement (UE) 2024/1781, mais aussi les batteries relevant de l’article 77 du règlement (UE) 2023/1542, les produits de construction visés à l’article 76 du règlement (UE) 2024/3110, les jouets couverts par l’article 19 du règlement (UE) 2025/2509 et les détergents et agents de surface destinés aux utilisateurs finals relevant de l’article 21 du règlement (UE) 2026/405. Une clause de portée générale y ajoute tout produit qu’une législation future de l’Union soumettrait à l’enregistrement dans ce même registre.

Le considérant 2 précise la ligne de partage : les modalités du présent règlement s’appliquent chaque fois qu’un autre acte de l’Union renvoie au registre, sans préjudice des règles spécifiques adoptées par ailleurs — le cas des produits de construction, visé à l’article 79, paragraphe 2, du règlement (UE) 2024/3110, est expressément réservé. Toute interconnexion avec d’autres systèmes d’information devra par ailleurs se faire sans compromettre leur interopérabilité.

Ce dont le registre est fait

L’article 3 en dresse l’inventaire : un site web offrant une interface utilisateur sécurisée ; une API pour l’enregistrement des passeports et la réception d’informations ; une plateforme de vérification permettant de confirmer l’existence et l’exhaustivité des passeports ; un dispositif de génération d’identifiants d’enregistrement uniques ; une composante de stockage, au moins pour les identifiants uniques et les codes de marchandises des produits destinés au régime douanier de la mise en libre pratique ; une liste des prestataires de services de passeport numérique de produit vérifiés ; un référentiel sémantique ; un système d’enregistrement par fichiers journaux ; enfin, des dispositifs d’identification et d’autorisation des utilisateurs.

La présence de cette liste de prestataires n’est pas anodine. Le considérant 3 la justifie par le caractère décentralisé du système : les données du passeport ne résident pas dans le registre, qui n’en conserve que les points d’ancrage. Le registre européen est un annuaire vérifié et horodaté, non un entrepôt de données produits.

La vérification d’identité, condition d’accès

C’est le cœur du dispositif, et probablement la disposition la plus contraignante du texte. Les articles 4 et 5 subordonnent tout accès au registre à une procédure de vérification d’identité, définie à l’article 2 comme le processus par lequel une personne physique ou morale fournit la preuve de son identité et, le cas échéant, de son établissement.

Pour une personne physique agissant en qualité de commerçant individuel tenue d’être établie dans l’Union, trois voies sont ouvertes : une signature électronique qualifiée étayée par un certificat qualifié de signature électronique conformément au règlement (UE) n° 910/2014 ; un moyen d’identification électronique satisfaisant aux exigences de ce règlement pour le niveau de garantie « élevé » ; ou une attestation électronique d’attributs délivrée en vertu du droit de l’Union. Pour celle qui n’est pas tenue d’être établie dans l’Union, la deuxième voie disparaît : restent la signature électronique qualifiée et l’attestation électronique d’attributs.

Pour une personne morale, l’exigence monte d’un cran. Établie dans l’Union, elle prouve son identité et son établissement au moyen d’un cachet électronique qualifié étayé par un certificat qualifié de cachet électronique délivré par un prestataire de services de confiance qualifié, ou au moyen d’une attestation électronique qualifiée d’attributs. Non tenue d’être établie dans l’Union, elle dispose des mêmes instruments, l’attestation n’étant alors plus nécessairement qualifiée. Dans tous les cas, le cachet électronique qualifié constitue la voie principale.

La conséquence est nette : seul un opérateur ayant obtenu le statut « vérifié » peut enregistrer un passeport numérique de produit ou apporter des corrections aux enregistrements existants. Ce statut n’est pas définitif. Il est conservé jusqu’à l’expiration des moyens d’identification électronique et, en tout état de cause, pour une durée maximale de trois ans à compter de la date de vérification. Passé le premier de ces deux termes, l’opérateur ne peut plus enregistrer de nouveaux passeports ni modifier les données visées à l’article 8, et le statut du passeport dans le registre est mis à jour en conséquence. Seul le renouvellement réussi de la procédure rétablit ces droits.

Le même régime s’applique aux acteurs de la chaîne de valeur, catégorie que l’article 2 définit comme toute personne, autre que l’opérateur économique, exerçant des activités dans la chaîne de valeur d’un produit soumis à passeport : réparateur, reconditionneur, entreprise de remanufacturage, recycleur. Seuls les acteurs vérifiés accèdent au registre ; leur rôle et les actions qu’ils peuvent y accomplir sont précisés, selon le considérant 9, par les actes délégués ou par d’autres actes législatifs de l’Union.

Deux tempéraments méritent d’être signalés. D’une part, les articles 4 et 5 écartent la double vérification lorsque le registre est intégré à un autre système d’information de l’Union disposant d’une procédure équivalente ou identique ; le considérant 11 cite nommément le registre européen de l’étiquetage énergétique des produits, EPREL. D’autre part, l’article 19 règle le cas de la délégation : lorsqu’un opérateur vérifié autorise un tiers à effectuer des actions d’enregistrement en son nom, ce tiers doit lui-même se soumettre à la procédure de vérification prévue à l’article 5, l’opérateur restant pleinement responsable du respect de ses obligations.

Profil d’utilisateur et transfert des enregistrements

L’article 6 organise la vie du compte. Lorsque le droit de l’Union le prévoit, les opérateurs et acteurs vérifiés peuvent déléguer des droits d’accès à des utilisateurs tiers agissant pour leur compte. Chacun demeure responsable de la gestion de son propre processus de vérification électronique et de la mise à jour de ses données en cas de modification pertinente. Le considérant 11 ajoute une exigence de continuité : au moins une personne doit toujours être associée au compte pour en gérer les données, veiller à l’exactitude et à l’actualité des enregistrements, y compris en cas de changement de représentant légal.

L’article 6 bis introduit une souplesse attendue : les passeports numériques de produit enregistrés peuvent être transférés à un autre opérateur vérifié ou, le cas échéant, à un acteur de la chaîne de valeur vérifié, qui assume les obligations de son prédécesseur à compter de la date indiquée pour le transfert. Le considérant 10 en éclaire les usages : opérateurs n’ayant pas réussi la vérification dans les délais, mais aussi fusion, scission, vente de tout ou partie de l’activité, cessation d’activité.

Trois niveaux de granularité, une exception pour l’unique

L’article 8 fixe le niveau auquel l’enregistrement doit intervenir : modèle, lot ou article, selon ce que prévoient les actes délégués applicables ou la législation sectorielle pertinente. Lorsque le passeport est créé au niveau de l’article, les identifiants de lot et de modèle lui sont associés — mais seulement si une conception par lots et par modèles existe pour le produit. Même logique un cran au-dessus : un passeport créé au niveau du lot se voit associer les identifiants de modèle si une conception par modèles existe.

Le considérant 14 tire la conséquence de cette condition et le fait sans détour : pour les produits uniques par nature, notamment les produits de fabrication artisanale, aucun identifiant de lot ou de modèle n’est requis. La précision est brève ; elle règle une difficulté réelle pour les productions qui ne connaissent ni série ni référence catalogue.

À l’inverse, l’article 8 durcit la règle en cas de concours de législations : lorsque le même produit est soumis à plusieurs règles de l’Union imposant l’enregistrement à des niveaux de granularité différents, c’est le niveau le plus détaillé requis qui s’impose.

Un contrôle automatique à l’entrée

L’enregistrement s’effectue soit par l’interface utilisateur sécurisée, soit par l’API. À la soumission, la Commission consulte le contenu du passeport et confirme automatiquement la conformité sémantique des données au regard des actes délégués applicables ; le cas échéant, la cohérence entre les données obligatoires téléchargées dans le registre et les valeurs figurant dans le passeport ; la conformité au niveau de granularité prescrit ; la validité du code de marchandise par rapport aux gammes autorisées pour le groupe de produits ; et, le cas échéant, le lien vers la sauvegarde hébergée par un prestataire de services de passeport numérique de produit.

La vérification réussie déclenche la génération d’un identifiant d’enregistrement unique et permanent, stocké dans le registre et communiqué automatiquement à l’acteur qui a procédé à l’enregistrement, par le même canal que celui qu’il a utilisé. La Commission conserve en outre, au titre des données d’enregistrement, les identifiants uniques, le code de marchandise, la référence au prestataire de services de passeport numérique et les informations relatives au responsable de l’enregistrement, y compris la date, l’heure et l’intégrité du passeport, à titre d’éléments de preuve de l’événement.

Le considérant 16 pose une limite que les opérateurs auraient tort de négliger : ces vérifications automatisées ne constituent pas une preuve de conformité aux exigences applicables au produit. La vérification de l’exactitude matérielle des données enregistrées demeure une tâche des autorités de surveillance du marché.

La preuve d’enregistrement

L’article 9 crée un document jusqu’ici inexistant. Un opérateur économique, ou un tiers agissant pour son compte, peut à tout moment générer une preuve d’enregistrement portant sur un ou plusieurs passeports dont il est responsable. Sa fonction est explicitement définie : démontrer, y compris auprès de tiers, que l’obligation d’enregistrement a été remplie.

Le document électronique sécurisé, téléchargeable depuis le registre, contient au minimum un identifiant de produit unique, le cas échéant le code de marchandise, le nom et l’identité de l’opérateur vérifié responsable de l’enregistrement, la date et l’heure d’enregistrement de la dernière version concernée validées par un horodatage électronique de la Commission ainsi qu’une empreinte de la version du passeport, définie à l’article 2 comme le résultat généré à partir des données électroniques pertinentes au moyen d’un algorithme cryptographique. La preuve est garantie par un cachet électronique qualifié conformément à l’article 38 du règlement (UE) n° 910/2014. Elle reste disponible quatre-vingt-dix jours civils à compter de sa production, le considérant 17 réservant la possibilité d’une réémission.

Versions, conservation, effacement

L’article 10 traite du temps. Toute modification des données d’enregistrement, création, modification, suppression est consignée dans le système d’enregistrement par fichiers journaux et prise en compte dans le statut de l’enregistrement. Le registre prend en charge les différentes versions des données et conserve un horodatage de la Commission pour chaque mise à jour, chaque nouvelle version étant rattachée à l’identifiant d’enregistrement initial.

En l’absence de durée spécifique prévue par le droit de l’Union, les données d’enregistrement sont automatiquement supprimées dix ans après l’enregistrement, le considérant 18 renvoyant sur ce point aux règles énoncées dans le « Guide bleu » de 2022 relatif à la mise en œuvre de la réglementation de l’UE sur les produits. Lorsque le droit de l’Union prévoit une durée spécifique de disponibilité du passeport, la conservation s’aligne sur celle-ci. Enfin, les utilisateurs peuvent demander la suppression de leur compte dès lors qu’ils ne sont plus responsables d’activités liées au registre.

Le référentiel sémantique, source faisant autorité

Les articles 11 et 12 constituent le socle technique du dispositif. Le modèle de données applicable à chaque groupe de produits est fondé, lorsqu’il est disponible, sur les actes délégués ou sur les autres actes applicables de l’Union ; il peut s’appuyer sur les ressources sémantiques, vocabulaires contrôlés et modèles de données de référence existants ; il fait l’objet de versions successives. Toutes les données contenues dans un passeport doivent être structurées conformément aux modèles communs et aux définitions publiés dans le référentiel sémantique.

Ce référentiel, établi et tenu à jour par la Commission conformément au règlement (UE) 2024/903 sur l’interopérabilité du secteur public, constitue une source faisant autorité et lisible par machine. Il comprend au minimum la signification sémantique des attributs requis et les spécifications techniques permettant de créer des liens résolubles entre passeports et entre attributs et éléments de preuve sous-jacents ; les modèles de données et leurs formats ; les métadonnées associées, conformes aux spécifications DCAT-AP ; la signification sémantique des rôles ; et des étiquettes et définitions multilingues pour tous les attributs obligatoires. Un service de recherche permet de lire, rechercher et extraire ces définitions. L’accès au référentiel et à ses API publiquement documentées, ainsi que leur utilisation, sont gratuits.

L’article 2 définit par ailleurs la conformité sémantique en trois volets : présence de tous les éléments de données requis ; respect, par les éléments obligatoires comme facultatifs, des exigences de structure, de format, de type de valeur, de vocabulaire contrôlé et des règles d’applicabilité ; enfin, capacité de ces éléments à être interprétés de manière cohérente par d’autres systèmes par référence au référentiel applicable.

Assistance, journaux, disponibilité

L’article 13 institue un service d’assistance technique accessible aux opérateurs, aux acteurs de la chaîne de valeur, aux autorités nationales compétentes et aux autorités douanières, en fonctionnement toute l’année de 8 heures à 20 heures, heure de Bruxelles. La Commission s’engage à mettre au point, au plus tard pour février 2029, un outil d’assistance technique automatisé accessible vingt-quatre heures sur vingt-quatre. Les échanges écrits sont conservés six mois après la clôture de la demande et mis à la disposition des autorités de surveillance du marché sur demande.

L’article 14 détaille le système d’enregistrement par fichiers journaux, dont la Commission doit garantir qu’il produit une piste d’audit complète, précise et fiable. Quatre catégories d’événements sont consignées : les données d’accès et d’authentification ; les modifications de données effectuées par tous les utilisateurs ; les actions administratives, y compris la création, la modification ou la suppression de comptes et les changements de droits d’accès ; les fichiers journaux d’échange de données. Les durées de conservation sont différenciées : six mois pour la première catégorie, cinq ans pour les deux dernières, et toute la durée de l’enregistrement pour les modifications de données. En cas d’incident présumé, ou aux fins d’audits et de contrôles de sécurité aléatoires, ces registres sont mis à la disposition des autorités nationales concernées. Les mesures techniques et organisationnelles appliquées doivent garantir au minimum l’immuabilité et la confidentialité des journaux.

L’article 15 pose le principe d’une accessibilité permanente du registre, sous réserve des activités de maintenance nécessaires, annoncées par un avis préalable publié sur le site web public. La Commission peut toutefois suspendre la mise à disposition du registre sans préavis en cas de dysfonctionnement, de cyberattaque ou de besoin urgent et impérieux en matière de sécurité. Lorsqu’une indisponibilité empêche les enregistrements, la date et l’heure en sont consignées et mises à disposition, sur demande, pendant au moins cinq ans.

L’article 16 charge la Commission d’assurer la sécurité du registre et de ses composantes, au besoin par des audits techniques et des contrôles aléatoires, avec pour objectifs d’empêcher tout accès et tout traitement non autorisés, de détecter les activités non autorisées, de prévenir les violations de données et de consigner les événements de sécurité conformément à ses normes informatiques.

L’article 17 traite de l’usage inapproprié ou frauduleux du registre, y compris le téléchargement de données massives, défini à l’article 2 comme l’extraction d’un jeu de données exceptionnellement volumineux ou complexe, généralement de l’ordre du téraoctet au pétaoctet, dépassant les capacités d’outils conventionnels ou interférant avec les garanties de surveillance. Une obligation de signalement pèse sur les utilisateurs : quiconque a connaissance d’un comportement malveillant, ou des motifs raisonnables de le soupçonner, en informe immédiatement la Commission et, le cas échéant, les États membres concernés.

Données personnelles et partage des responsabilités

L’article 18 énumère les données à caractère personnel stockées aux fins de la vérification d’identité : prénom et nom de chaque utilisateur ou du représentant légal ; identifiants d’authentification, y compris identifiants de connexion et jetons ; adresse postale des opérateurs et acteurs utilisateurs ; adresse électronique ; métadonnées intégrées dans les documents chargés lorsqu’elles permettent l’identification ou la vérification d’un utilisateur. Pour les personnes physiques s’ajoutent des identifiants personnels, numéro de passeport, de carte d’identité nationale, d’identification électronique nationale, d’enregistrement civil, d’identification fiscale, ou tout identifiant de pays tiers. L’ensemble est traité conformément au règlement (UE) 2018/1725, la Commission étant désignée responsable du traitement pour le registre.

Les articles 19 et 20 fixent les obligations des opérateurs et des acteurs de la chaîne de valeur vérifiés : fournir toutes les informations nécessaires à l’enregistrement, répondre de leur exactitude et de leur exhaustivité, maintenir les informations à jour, et appliquer des mesures de sécurité techniques et organisationnelles appropriées aux systèmes informatiques et aux identifiants utilisés pour accéder au registre. Chacun est considéré comme responsable du traitement des données qu’il transmet.

L’article 21 rappelle que la Commission est propriétaire du registre et responsable de sa gestion, développement, disponibilité, suivi, mise à jour, maintenance, hébergement et qu’elle peut transmettre les données obtenues du registre à ses services compétents ou aux autorités nationales aux fins de la surveillance du marché, de la protection des consommateurs et du respect des obligations douanières. L’article 22 fait des États membres les propriétaires de leurs systèmes d’information interconnectés, responsables de leur développement et de leur sécurité, responsables du traitement au sens du règlement (UE) 2016/679, et chargés du retrait des droits d’accès en cas d’accès non autorisé ou incorrect.

Entre les deux, l’article 7 institue une figure nouvelle : l’administrateur national. Chaque État membre doit en désigner un au plus tard le 18 février 2027, point de contact officiel unique de la Commission pour la gestion des droits d’accès concernant cet État membre. Il peut déléguer ces droits aux autorités nationales compétentes, sous l’entière responsabilité de l’État membre ; celles-ci peuvent à leur tour les gérer en interne.

Ce que le texte laisse ouvert

Le règlement 2026/1778 organise le contenant, non le contenu. Les exigences de données propres à chaque groupe de produits, comme le niveau de granularité applicable, continuent de relever des actes délégués adoptés en vertu de l’article 4 du règlement (UE) 2024/1781 ou des législations sectorielles. Le référentiel sémantique lui-même est présenté au considérant 19 comme une collection évolutive, appelée à s’enrichir à mesure que d’autres groupes de produits seront intégrés, et pensée pour rester flexible et extensible.

L’article 23 fixe le rendez-vous suivant : la Commission procédera, au plus tard pour la fin de 2032 puis tous les six ans, à une évaluation du présent règlement au regard du fonctionnement du registre et, le cas échéant, présentera un projet de proposition de révision. D’ici là, le texte est directement applicable dans tous les États membres, sans transposition.

FAQ

Que fixe le règlement (UE) 2026/1778 ?

Il définit les modalités de fonctionnement du registre des passeports numériques de produit : composantes techniques, vérification des opérateurs, procédure d’enregistrement, conservation des données et responsabilités.

Qui peut enregistrer un passeport numérique de produit ?

Seuls les opérateurs économiques ayant obtenu le statut « vérifié » au titre de l’article 4, ainsi que les acteurs de la chaîne de valeur vérifiés au titre de l’article 5.

Combien de temps dure le statut d’opérateur vérifié ?

Jusqu’à l’expiration des moyens d’identification électronique et, en tout état de cause, trois ans au maximum à compter de la vérification.

Les produits artisanaux doivent-ils avoir un identifiant de lot ou de modèle ?

Non. Le considérant 14 précise que pour les produits uniques par nature, notamment les produits de fabrication artisanale, aucun identifiant de lot ou de modèle n’est requis.

Qu’est-ce que la preuve d’enregistrement ?

Un document électronique sécurisé, garanti par un cachet électronique qualifié et horodaté par la Commission, disponible quatre-vingt-dix jours civils à compter de sa production (article 9).

Quels produits sont concernés ?

Ceux couverts par les actes délégués ESPR, les batteries, les produits de construction, les jouets, ainsi que les détergents et agents de surface destinés aux utilisateurs finals.

« Cet article est fourni à titre informatif et ne constitue pas un avis juridique. En cas de divergence, le texte officiel publié au Journal officiel de l’Union européenne prévaut. »

Référence : Règlement d’exécution (UE) 2026/1778 de la Commission du 16 juillet 2026 définissant les modalités de mise en œuvre du registre des passeports numériques de produit établi en vertu du règlement (UE) 2024/1781 du Parlement européen et du Conseil. JO L du 17.7.2026. ELI : http://data.europa.eu/eli/reg_impl/2026/1778/oj