EU-kommissionen samråder om utkast till förordning för centralt DPP-register

Bakgrund: Varför ett centralt register för digitala produktpass?

Det digitala produktpasset (DPP) är hörnstenen i den europeiska förordningen om ekodesign för hållbara produkter (ESPR), som har varit i kraft sedan juli 2024. Den kräver att tillverkare tillhandahåller maskinläsbara dataposter för ett växande antal produktkategorier — från batterier och textilier till elektronik. Men var finns egentligen referenserna till dessa poster? Det är just detta som den nya genomförandeförordningen tar upp.

Den 29 april 2026 publicerade Europeiska kommissionen ett utkast till genomförandeförordning om DPP-registret, som nu är öppet för offentligt samråd. Dokumentet beskriver hur ett centraliserat register ska lagra unika produktidentifierare och länka dem till produktdata som lagras decentraliserat. Detta är inte en databas över själva produktdatan — det är en katalog över referenser.

Detta arkitekturval är medvetet: EU vill inte skapa ett monolitiskt datasilo, utan snarare ett interoperabelt nätverk av tillverkarsystem som kan upptäckas genom en gemensam central nod.

Vad utkastet faktiskt kräver

Struktur: Centralt register, decentraliserad data

Grundprincipen i utkastet är tydlig: registret lagrar endast unika identifierare (UID) och de tillhörande resolver-slutpunkterna — det vill säga de URL:er där de faktiska DPP-uppgifterna kan hämtas. Själva produktdatan stannar hos tillverkaren eller en utsedd dataoperatör.

Denna modell ligger konceptuellt nära GS1 Digital Link, den öppna standard som kopplar GTIN till strukturerade webb-URI:er. En skanner eller en marknadskontrollmyndighet kan använda den centrala registerposten för att lokalisera den ansvariga resolvern och därifrån hämta de fullständiga passuppgifterna.

Registreringsskyldigheter för ekonomiska aktörer

Utkastet fastställer att tillverkare och importörer är skyldiga att registrera sina produkter i registret innan de släpps ut på marknaden. Konkret måste de:

lämna in den unika produktidentifieraren (UID),
ange resolver-slutpunkten (URL) där DPP:n kan nås,
tillhandahålla metadata om produktkategorin och den ansvariga ekonomiska aktören.

Registreringen ska genomföras via ett standardiserat API, vars tekniska specifikation fortfarande utvecklas av ECLASS och andra standardiseringsorgan. Utkastet hänvisar till det pågående arbetet inom CEN/CENELEC JTC 24, som har i uppdrag att harmonisera datamodellerna.

Åtkomsträttigheter och dataskydd

En av de centrala stridsfrågorna i samrådet kommer sannolikt att bli frågan om vem som får komma åt vilka registeruppgifter. Utkastet skiljer mellan tre kategorier av aktörer:

Aktör	Läsåtkomst	Skrivåtkomst	Anmärkningar
Allmänhet / Konsumenter	Resolver-URL, produktkategori	Nej	Inga kommersiellt känsliga affärsuppgifter
Marknadskontrollmyndigheter	Fullständig post inklusive metadata	Nej	Enhetlig i hela EU
Ekonomiska aktörer (tillverkare, importörer)	Egna poster	Ja	Autentisering via EU Login

Kommersiellt känslig information — såsom leverantörsrelationer eller inköpspriser — ska uttryckligen inte lagras i registret. För det hänvisar utkastet till möjligheten att definiera åtkomstnivåer (Access Rights) inom själva DPP:n, vilket redan föreskrivs i ESPR:s delegerade förordning för batterier.

Tekniska konsekvenser för tillverkare och IT-tjänsteleverantörer

API-integration och massregistrering

För företag med stora produktportföljer är frågan om massregistrering avgörande. Utkastet beskriver ett REST API genom vilket UID:er kan lämnas in i grupper. Ett förenklat exempel på hur ett sådant registreringsanrop kan struktureras:

POST /registry/v1/products
Content-Type: application/json
Authorization: Bearer <EU-Login-Token>

{
  "uid": "https://id.gs1.org/01/04012345678901/21/ABC123",
  "resolverEndpoint": "https://dpp.example.com/resolver",
  "productCategory": "ESPR:TextileUpperGarment",
  "economicOperator": {
    "eori": "DE123456789",
    "name": "Muster GmbH"
  }
}

Själva UID:n måste följa ett erkänt identifieringssystem — utkastet nämner uttryckligen GS1 GTIN samt ISO/IEC 15459-kompatibla koder. Proprietära system är tillåtna, men måste vara globalt unika och permanent möjliga att resolva.

För företag som redan arbetar med verktyg som qr3.app Bulk Import förändras den underliggande principen inte nämnvärt: en strukturerad CSV- eller JSON-leverans av UID:er och resolver-URL:er kan mappas till registrets API. Den verkliga utmaningen ligger i styrning — vem inom organisationen ansvarar för att underhålla posterna när resolver-URL:er ändras eller produkter dras tillbaka från marknaden?

Livscykelhantering: Återkallelser och arkivering

Utkastet behandlar också produktens livscykel efter att den släppts ut på marknaden. Tillverkare är skyldiga att uppdatera registerposterna när:

resolver-slutpunkten ändras,
produkten återkallas (posten måste då markeras som "recalled" men inte raderas),
företaget upplöses eller överlåts.

Arkiveringsskyldigheten är satt till minst 10 år efter den senaste gången produkten släpptes ut på marknaden — ett krav som utgör en särskild utmaning för små och medelstora företag utan egen IT-infrastruktur.

Tidsplan och nästa steg

Det offentliga samrådet om utkastet förväntas pågå till slutet av juni 2026. Synpunkter kan lämnas via EU:s portal Have Your Say. Kommissionen har signalerat sin avsikt att anta den slutliga genomförandeförordningen före utgången av 2026, för att samordna den med de första produktspecifika delegerade förordningarna enligt ESPR — framför allt för textilier (planerad till 2027).

För batteriförordningen, som har varit bindande sedan februari 2024, gäller en särskild ordning: batteripass-systemet fungerar inledningsvis genom en separat mekanism, men är avsett att på medellång sikt integreras i det centrala registret.

Vad företag bör göra nu

Även om förordningen ännu inte är slutgiltig finns det förberedande åtgärder du kan vidta redan idag:

Definiera din UID-strategi: Avgör om du ska förlita dig på GS1 GTIN eller ett alternativt system. GS1 Digital Link har fördelen att identifieraren samtidigt fungerar som en resolvbar webb-URI.
Bygg din resolver-infrastruktur: Resolver-slutpunkten måste vara permanent tillgänglig och versionshanterad. Använd stabila bas-URL:er — inte dynamiska korta URL:er.
Definiera processer för dataunderhåll: Vem i din organisation ansvarar för registeruppdateringar när produkter ändras eller återkallas?
Bevaka samrådet: Den slutliga förordningen kan skilja sig från utkastet — särskilt när det gäller API-specifikationer och åtkomsträttigheter.

Bedömning: Vad registret gör — och vad det inte gör

Det centrala DPP-registret är inte ett kvalitetscertifikat eller en bedömning av överensstämmelse. Det är en katalogtjänst — jämförbar med en DNS för produktidentifierare. Riktigheten i DPP-uppgifterna förblir de ekonomiska aktörernas ansvar och verifieras av marknadskontrollmyndigheterna.

Branschkritiker — däribland BusinessEurope — har redan påpekat att den dubbla strukturen med ett centralt register och decentraliserad datalagring ökar efterlevnadskostnaderna utan att på något meningsfullt sätt förbättra dataskyddet. Förespråkare, inklusive miljöorganisationer som European Environmental Bureau, hävdar i sin tur att endast en central ingångspunkt kan säkerställa myndigheternas möjlighet till tillsyn.

Samrådsfasen kommer att avgöra om kommissionen håller fast vid den hybrida arkitekturen eller gör justeringar. För företag som nu inleder sina tekniska förberedelser är den viktigaste slutsatsen denna: de grundläggande principerna — unika identifierare, stabila resolvers, strukturerad metadata — kommer att förbli giltiga oavsett den slutliga förordningstexten.