Noul blocaj practic: cine are voie să înregistreze un pașaport?
Registrul DPP al UE este operațional din 20 iulie 2026. Pentru multe echipe, întrebarea tehnică a fost inițial în prim-plan: poate fi înregistrat un identificator de produs și se rezolvă corect suportul de date? Acest lucru este necesar, dar incomplet. Prin Regulamentul de punere în aplicare (UE) 2026/1778 din 16 iulie 2026, identitatea din etapa premergătoare dobândește o semnificație de sine stătătoare în materie de reglementare: ar trebui să înregistreze operatori economici verificați, iar accesul la funcțiile registrului nu este același lucru cu accesul public la informațiile despre produse.
Acesta nu este un motiv pentru a complica codurile QR. Este un motiv pentru a modela clar responsabilitățile, dovezile și autorizările înaintea primului proces de înregistrare în producție. Ghidul de mai jos separă aceste niveluri și arată ce pot pregăti practic acum producătorii.
Trei identități care nu trebuie confundate
Într-un proiect DPP apar cel puțin trei identități diferite.
În primul rând, există operatorul economic: compania sau întreprinzătorul individual care introduce un produs pe piață sau efectuează operațiuni în registru. Articolul 4 din Regulamentul 2026/1778 leagă clasificarea drept „operator economic verificat” de o dovadă de identitate. Pentru întreprinzătorii individuali stabiliți în UE, actul juridic menționează, de exemplu, o semnătură electronică calificată sau un mijloc de identificare electronică conform eIDAS, cu un nivel ridicat de încredere. Și persoanele juridice trebuie verificate pe baza unor dovezi definite.
În al doilea rând, există utilizatorul uman. Achizițiile, administrarea datelor de bază, conformitatea, furnizorii externi de servicii și un DPP-Service-Provider nu acționează automat cu aceeași autoritate. Prin urmare, un cont de utilizator nu înlocuiește contextul corporativ verificat. Este necesară o atribuire trasabilă: cine acționează pentru ce operator economic, cu ce rol și până când?
În al treilea rând, există identitatea produsului. Un GTIN, un număr de serie sau un alt identificator descrie produsul, respectiv granularitatea solicitată; acesta nu dovedește că persoana de la ecran are dreptul să efectueze înregistrarea. ESPR separă explicit aceste sfere: suportul de date conectează produsul cu pașaportul, în timp ce registrul păstrează identificatorii unici și datele de înregistrare. Prezentarea generală a Comisiei privind DPP descrie procesul în consecință: informațiile despre produs sunt create și înregistrate, apoi registrul generează un ID unic de înregistrare.
Cine reunește aceste trei identități într-un tabel, într-un token API sau într-o căsuță poștală comună creează ulterior un risc de audit și operațional. Întrebarea corectă nu este „Cine cunoaște linkul?”, ci „Cine are voie să inițieze o operațiune în registru în numele acestui operator economic?”.
Accesul public prin QR nu reprezintă o autorizare în registru
Un cod QR de pe produs rămâne o cale de acces la pașaport. Nu este un mecanism de autentificare pentru registru și nici nu ar trebui să devină unul. Consumatorii, atelierele de reparații, reciclatorii și autoritățile au nevoie fiecare de informații diferite. Ghidul actual al Comisiei privind DPP precizează explicit că informațiile sunt accesibile în funcție de rolurile utilizatorilor.
În practică, se recomandă, prin urmare, o separare clară pe niveluri:
- Scanarea publică oferă o vizualizare stabilă și accesibilă gratuit a pașaportului, cu informațiile obligatorii pentru categoria de produse respectivă.
- O interfață cu acces restricționat în funcție de rol administrează dovezile, datele furnizorilor, istoricul modificărilor și aprobările interne.
- Conectorul registrului trebuie să transmită numai datele de înregistrare necesare și să asocieze răspunsul registrului unui set concret de date despre produs.
Acest lucru previne două presupuneri răspândite. În primul rând, un link QR „secret” nu înlocuiește controlul accesului; acesta poate fi transmis mai departe și nu constituie o dovadă solidă a autorizării. În al doilea rând, registrul nu este locul de stocare pentru toate documentele despre produs. Comisia explică faptul că informațiile complete despre produs pot fi păstrate la operatorul economic sau la un DPP-Service-Provider; în registru sunt înregistrate metadatele și identificatorii necesari.
Ce sugerează tehnic regulamentul
Regulamentul 2026/1778 nu descrie registrul ca pe o simplă bază de date de tip lookup. Acesta menționează, printre altele, un API pentru înregistrare și primirea datelor, o platformă pentru confirmarea existenței și caracterului complet, o schemă pentru ID-uri unice de înregistrare, un registru al furnizorilor de servicii DPP verificați, un sistem de jurnalizare, precum și scheme de identificare și autorizare. În plus, modelele de date trebuie versionate.
Aceste cerințe nu conduc la o arhitectură de produs gata definită. Ele oferă însă repere solide:
Profilul companiei înainte de importul produselor
Înaintea unui import în masă, creați un set de date controlat despre companie. Acesta include entitatea juridică, statutul său de operator economic, dovada de identitate aleasă, momentul verificării și departamentul responsabil. Dovada propriu-zisă ar trebui stocată de un sistem DPP numai în măsura în care acest lucru este necesar și permis; adesea este suficient un statut al verificării, cu referință și cu o logică privind expirarea sau reevaluarea.
Delegarea este un set de date distinct
Dacă acționează un furnizor de servicii sau o agenție, delegarea trebuie să aibă un domeniu de aplicare. Cel puțin operatorul economic, acțiunile permise, categoriile de produse sau mărcile, începutul, sfârșitul și revocarea ar trebui definite. O cheie API generală, fără o limită a mandatului, este prea largă pentru o operațiune relevantă pentru înregistrare.
Înregistrarea ca operațiune demonstrabilă
Pentru fiecare înregistrare, echipele ar trebui să păstreze cel puțin versiunea locală a produsului, identificatorul transmis, răspunsul inclusiv ID-ul de înregistrare, marca temporală, rolul care a acționat și categoria erorii. Astfel se poate distinge ulterior dacă un pașaport era incomplet din punct de vedere tehnic, dacă un identificator a intrat în conflict sau dacă lipsea autorizarea. Jurnalizarea nu trebuie să devină o colectare de date cu caracter personal inutile; ea trebuie să creeze un lanț de acțiuni responsabil și verificabil.
Testați autorizările ca pe niște reguli de specialitate
Cazurile de test nu ar trebui să se încheie cu „API-ul răspunde 200”. Verificați cel puțin următoarele: un utilizator neautorizat nu poate iniția o înregistrare; un furnizor delegat poate prelucra numai mandatul convenit; o delegare expirată este respinsă; vizualizarea publică a pașaportului nu expune date interne ale registrului sau ale dovezilor; iar o operațiune transmisă din nou este tratată în mod trasabil drept repetare.
Un plan de pornire simplu pentru următoarele săptămâni
Nu începeți cu o migrare completă. Alegeți o gamă mică și reprezentativă de produse și un lanț real de responsabilități.
- Atribuiți pentru fiecare produs-pilot producătorul, importatorul, responsabilii de date și, după caz, furnizorul de servicii.
- Documentați procedura prin care este verificat operatorul economic și persoana care aprobă verificarea.
- Definiți roluri pentru redactare, aprobare de specialitate, înregistrare și simple drepturi de citire.
- Înregistrați un set de date de test cu date despre produs versionate și jurnalizați înregistrarea, răspunsul și traseul de corectare.
- Testați accesul public prin QR separat de rolurile interne și de conectorul registrului.
- Exersați revocarea și schimbarea: ce se întâmplă la schimbarea furnizorului de servicii, la modificarea denumirii companiei sau în cazul unui identificator eronat?
Acest flux corespunde și recomandării deja publicate de a testa separat registrul, resolverul și sursa de date. Noutatea este accentul pus pe următorul aspect: înaintea unei integrări API robuste trebuie să fie clar ce organizație verificată și ce rol își asumă responsabilitatea pentru operațiune.
Ce nu ar trebui afirmat încă
Regulamentul privind registrul creează cadrul tehnic și organizațional. Acesta nu face imediat obligatoriu pentru DPP orice categorie de produse și nu înlocuiește actele delegate specifice sectorului. Comisia continuă să stabilească introducerea pe categorii de produse; în temeiul actelor delegate ESPR este prevăzută, în principiu, o perioadă de tranziție de cel puțin 18 luni. De asemenea, statutul verificat al unei companii nu reprezintă o dispensă pentru date despre produse incomplete sau incorecte.
Pentru echipe, consecința este totuși concretă: identitatea, mandatul, rolurile și jurnalizarea trebuie incluse în backlogul DPP înainte ca înregistrările să fie extinse. Astfel, codul QR rămâne calea simplă de acces public — iar operațiunea din registru devine ceea ce este din punct de vedere al reglementării: o acțiune responsabilă și trasabilă a unui operator economic verificat.
