Règlement d’exécution (UE) 2026/1778 de la Commission du 16 juillet 2026 définissant les modalités de mise en œuvre du registre des passeports numériques de produit établi en vertu du règlement (UE) 2024/1781 du Parlement européen et du Conseil

(1)

L’article 13, paragraphe 1, du règlement (UE) 2024/1781 impose à la Commission d’établir un registre numérique des passeports numériques de produit (ci-après dénommé «registre») contenant de manière sécurisée au moins les identifiants uniques. Il est nécessaire de définir les principales composantes de ce registre et de déterminer les rôles et obligations techniques et opérationnels des opérateurs économiques qui mettent un produit sur le marché ou le mettent en service dans le cadre du registre des passeports numériques de produit, ainsi que ceux des autorités nationales compétentes, des autorités douanières et de la Commission. En outre, il convient de mettre en place un système d’enregistrement par fichiers journaux permettant de documenter et de surveiller les opérations et les interactions effectuées dans le registre afin de garantir la responsabilité de tous les utilisateurs et de définir les responsabilités associées à la maintenance, au fonctionnement et à la sécurité de ce registre. Ces modalités de mise en œuvre comprennent également les règles applicables aux acteurs de la chaîne de valeur, aux autorités nationales compétentes et aux autorités douanières ainsi qu’à la Commission en ce qui concerne l’utilisation du registre. Le cas échéant, il convient que les autorités nationales compétentes puissent actualiser ou modifier le statut du passeport numérique de produit sur la base des contrôles effectués conformément aux tâches qui leur incombent en vertu du droit de l’Union et de la législation nationale qui est conforme au droit de l’Union.

(2)

Le registre devrait fournir des informations sur les produits couverts par les actes délégués adoptés en vertu du règlement (UE) 2024/1781, dans la mesure où l’utilisation d’un passeport numérique de produit est prévue, et, en ce qui concerne les batteries, en vertu du règlement (UE) 2023/1542 du Parlement européen et du Conseil (2). D’autres actes législatifs de l’Union peuvent exiger que les informations sur certains produits soient stockées dans le registre. C’est déjà le cas pour les produits de construction relevant du champ d’application du règlement (UE) 2024/3110 du Parlement européen et du Conseil (3), pour les jouets relevant du champ d’application du règlement (UE) 2025/2509 du Parlement européen et du Conseil (4) et pour les détergents et les agents de surface destinés aux utilisateurs finals relevant du champ d’application du règlement (UE) 2026/405 du Parlement européen et du Conseil (5). Lorsque d’autres actes législatifs de l’Union font référence au registre établi en vertu du règlement (UE) 2024/1781, les modalités de mise en œuvre énoncées dans le présent règlement devraient s’appliquer. Cela devrait être sans préjudice des règles spécifiques de l’Union concernant le registre des passeports numériques de produit, qui comprennent les règles adoptées au moyen d’habilitations permettant de compléter ou d’adapter les exigences de celui-ci, comme dans le cas des produits de construction visés à l’article 79, paragraphe 2, du règlement (UE) 2024/3110 du Parlement européen et du Conseil (6). Toute interconnexion du registre avec d’autres systèmes d’information devrait avoir lieu sans que l’interopérabilité de ces systèmes en soit compromise.

(3)

Pour que son efficacité, sa sécurité et son interopérabilité soient garanties, le registre devrait comprendre les éléments suivants: un site web fournissant une interface utilisateur sécurisée; une interface de programmation d’application (API) pour l’enregistrement des passeports numériques de produit; une plateforme de vérification permettant de vérifier et de confirmer l’existence et l’exhaustivité des passeports numériques de produit; un dispositif d’identification et d’autorisation pour les utilisateurs; un dispositif permettant de générer des identifiants d’enregistrement uniques; une composante de stockage des identifiants uniques et des codes de marchandises des produits destinés à être placés sous le régime douanier de la «mise en libre pratique»; un référentiel sémantique faisant autorité pour les exigences en matière de signification sémantique, de structure, de gestion des versions et d’interopérabilité des données relatives aux passeports numériques de produit; un système d’enregistrement des opérations pertinentes. Étant donné que le système des passeports numériques de produit repose sur un modèle décentralisé, le registre devrait également inclure une liste de référence des prestataires de services de passeport numérique de produit vérifiés enregistrés dans le registre.

(4)

Afin de garantir la prise de responsabilité, chaque opérateur économique et acteur de la chaîne de valeur (tels que les prestataires de services de passeport numérique de produit, les réparateurs, les reconditionneurs, les entreprises de remanufacturage et les recycleurs) devraient être identifiés par un processus de vérification.

(5)

Dans le cas d’une personne physique agissant en tant que commerçant individuel, qui est tenue d’être établie dans l’Union, son identité devrait être prouvée au moyen d’une signature électronique qualifiée étayée par un certificat qualifié de signature électronique conformément au règlement (UE) no 910/2014 du Parlement européen et du Conseil (7), ou par un moyen d’identification électronique qui satisfait aux exigences dudit règlement concernant le niveau de garantie «élevé», ou par une attestation électronique d’attributs délivrée en vertu du droit de l’Union qui permet l’identification de l’opérateur économique. Dans le cas d’une personne physique agissant en tant que commerçant individuel, qui n’est pas tenue d’être établie dans l’Union, son identité devrait être prouvée au moyen d’une signature électronique qualifiée étayée par un certificat qualifié de signature électronique conformément au règlement (UE) no 910/2014, ou par une attestation électronique d’attributs délivrée en vertu du droit de l’Union qui permet l’identification de l’opérateur économique.

(6)

Dans le cas d’une personne morale tenue d’être établie dans l’Union, la preuve de son identité et de son établissement devrait être vérifiée par un prestataire de services de confiance qualifié au moyen d’un cachet électronique qualifié étayé par un certificat qualifié de cachet électronique conformément au règlement (UE) no 910/2014, ou par une attestation électronique qualifiée d’attributs délivrée en vertu du droit de l’Union qui permet l’identification et d’établissement de l’opérateur économique. Dans le cas d’une personne morale qui n’est pas tenue d’être établie dans l’Union, la preuve de son identité et, le cas échéant, de son établissement devrait être vérifiée au moyen d’un cachet électronique qualifié étayé par un certificat qualifié de cachets électroniques, délivré par un prestataire de services de confiance qualifié conformément au règlement (UE) no 910/2014, ou au moyen d’une attestation électronique d’attributs délivrée en vertu du droit de l’Union qui permet l’identification de l’opérateur économique.

(7)

Le présent règlement devrait être sans préjudice des exigences énoncées dans d’autres actes législatifs de l’Union concernant le lieu d’établissement des opérateurs économiques ou, le cas échéant, des acteurs de la chaîne de valeur qui mettent des produits sur le marché ou les mettent en service. Par conséquent, lorsque de telles exigences s’appliquent, l’utilisation du registre ne devrait pas contourner ou compromettre l’application de celles-ci, et le registre devrait fonctionner d’une manière parfaitement compatible avec lesdites exigences.

(8)

Une fois le processus de vérification achevé, l’opérateur économique devrait être considéré comme un «opérateur économique vérifié», autorisé à créer un profil d’utilisateur et à gérer les droits d’accès pour d’autres utilisateurs agissant pour son propre compte, à enregistrer de nouveaux passeports numériques de produit dans le registre et à modifier les enregistrements existants. Il convient que seul un opérateur économique ayant le statut «vérifié» puisse enregistrer des passeports numériques de produit dans le registre et apporter des corrections aux enregistrements existants, dans un souci d’intégrité et d’exactitude des données. Le registre devrait indiquer la validité ou non de l’enregistrement d’un opérateur économique vérifié. Un processus de vérification unique devrait permettre à l’opérateur économique d’obtenir le statut «vérifié» jusqu’à l’expiration de ses moyens d’identification électronique, et, en tout état de cause, pour une période limitée à trois ans. Lorsqu’un opérateur économique ne renouvelle pas ce processus à l’expiration de la période de trois ans ou lorsque ses moyens d’identification ont expiré, il ne devrait plus être considéré comme un «opérateur économique vérifié». Par conséquent, il perdra la capacité d’enregistrer de nouveaux passeports numériques de produit ou de modifier des données dans le registre.

(9)

Pour que les acteurs de la chaîne de valeur (réparateurs, reconditionneurs, entreprises de remanufacturage ou autres) puissent obtenir l’accès au registre, ceux-ci devront se soumettre au processus de vérification décrit en détail dans l’article 5. Par conséquent, seuls les acteurs ayant obtenu le statut «vérifié» disposeront d’un accès au registre des passeports numériques de produit. Leur rôle (réparateur, recycleur, entreprise de remanufacturage ou autre) et toute action qu’ils peuvent exécuter dans le registre devraient être précisés dans les actes délégués adoptés en vertu du règlement (UE) 2024/1781 ou d’autres actes législatifs de l’Union.

(10)

Les opérateurs économiques ou les acteurs de la chaîne de valeur qui n’ont pas réussi la vérification d’identité avant le délai prévu dans le présent règlement devraient pouvoir transférer leurs passeports numériques de produit enregistrés vers un opérateur économique vérifié ou, le cas échéant, un acteur de la chaîne de valeur vérifié qui assumera les responsabilités liées à ces passeports numériques de produit. Ce transfert peut également être possible pour tout opérateur économique vérifié ou acteur de la chaîne de valeur vérifié en cas de changements organisationnels, tels que la fusion, la scission ou la vente de tout ou partie de l’acteur, de cessation des activités ou d’autres circonstances.

(11)

Pour garantir le bon fonctionnement du registre et la responsabilité des utilisateurs, il convient d’établir des règles encadrant la gestion des données relatives au profil d’utilisateur des opérateurs économiques vérifiés et des acteurs de la chaîne de valeur vérifiés. À cette fin, chaque opérateur économique vérifié et acteur de la chaîne de valeur vérifié devrait toujours avoir au moins une personne associée à leur compte dans le registre qui gère les données de leur profil. Il s'agit notamment, mais pas exclusivement: de l’octroi de droits d’accès à d’autres utilisateurs lorsque cela est possible, de la modification et de la consultation des enregistrements existants et de l’enregistrement de nouveaux passeports numériques de produit. Cette personne peut également être la personne qui enregistre l’opérateur économique vérifié ou l’acteur de la chaîne de valeur vérifié dans le registre. L’opérateur économique vérifié et l’acteur de la chaîne de valeur vérifié devraient faire en sorte que leurs enregistrements dans le registre soient exacts, complets et à jour et veiller à ce que toutes les informations fournies soient correctes, y compris toute modification apportée à leur représentant légal. L’opérateur économique et les acteurs de la chaîne de valeur devraient également être responsables de la gestion du processus de vérification de l’identité électronique au sein du registre. Le registre ne devrait pas empêcher tout transfert licite de la propriété des enregistrements de passeports numériques de produit à tout autre opérateur économique vérifié ou acteur de la chaîne de valeur vérifié, indépendamment de leur propre statut en matière de vérification d’identité. Lorsque le registre des passeports numériques de produit est intégré à des systèmes de l’UE déjà établis, tels que le registre européen de l’étiquetage énergétique des produits (EPREL), qui utilisent le même niveau de vérification pour les opérateurs économiques ou, le cas échéant, pour les acteurs de la chaîne de valeur vérifiés, il y a lieu d’éviter la double vérification.

(12)

Les autorités nationales compétentes, telles que les autorités de surveillance du marché, et les autorités douanières devraient avoir accès au registre pour accomplir leurs tâches sur la base de leurs droits d’accès précisés dans les législations nationales et de l’Union applicables, conformément au droit de l’Union. Pour rationaliser la gestion de l’accès et garantir l’obligation de rendre des comptes, chaque État membre devrait désigner un administrateur national unique qui sera le principal point de contact avec la Commission en vue de gérer et de superviser les droits d’accès correspondant à cet État membre. L’administrateur national désigné devrait agir en tant qu’autorité centrale responsable de la gestion des droits d’accès pour toutes les autorités nationales concernées au sein de cet État membre, afin de veiller à ce que seules les autorités concernées se voient attribuer des droits d’accès au registre. Le rôle des administrateurs nationaux désignés n’englobe pas le respect des obligations énoncées à l’article 22 pour l’État membre. Les États membres devraient communiquer à la Commission le nom et les coordonnées de l’administrateur national qu’ils ont désigné et notifier à la Commission toute modification apportée à ces informations. Pour garantir la sécurité, l’intégrité et la confidentialité des données, la délégation des droits d’accès devrait être effectuée sous l’entière responsabilité de l’État membre, compte tenu des besoins spécifiques de ses autorités.

(13)

En assurant la gestion du registre conformément à l’article 13, paragraphe 1, du règlement (UE) 2024/1781, la Commission devrait veiller à ce que les données à caractère personnel soient traitées dans le respect des normes les plus élevées en matière de protection des données, conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil (8). La Commission devrait donc être considérée comme le «responsable du traitement» pour le registre au sens de l’article 3, point 8), dudit règlement. Il convient de traiter des données à caractère personnel uniquement aux fins de la gestion et du fonctionnement du registre. Ces informations devraient être protégées contre tout accès, utilisation ou partage non autorisés. Les données concernées ne devraient être conservées que pendant la durée nécessaire et devraient être supprimées lorsque les comptes d’utilisateur sont supprimés ou lorsque l’accès est révoqué. Toutefois, si les actions d’un utilisateur dans le registre nécessitent la conservation de données à des fins d’audit ou de traçabilité au titre du droit de l’Union, ces données devraient être conservées en conséquence.

(14)

L’enregistrement du passeport numérique d’un produit dans le registre devrait être effectué par l’opérateur économique au niveau de granularité prévu dans le droit de l’Union applicable, à savoir au niveau du modèle, du lot ou de l’article. En vue de garantir la pleine fonctionnalité du registre, en particulier pour les autorités nationales compétentes et les autorités douanières, lorsqu’un passeport numérique de produit est créé au niveau de l’article, les identifiants des lots et des modèles correspondants devraient également être enregistrés dans le registre avec ce passeport numérique de produit, à condition qu’il existe une conception par lots et par modèles pour le produit concerné. Pour les produits uniques par nature, notamment les produits de fabrication artisanale, aucun identifiant de lot ou de modèle n’est requis. La même règle s’applique aux passeports numériques de produit délivrés au niveau des lots, dans les cas où un identifiant de modèle est requis lors de l’enregistrement. Dans ce contexte, l’identifiant du lot et l’identifiant du modèle devraient correspondre au groupement de niveau plus élevé du produit concerné. Ces identifiants devraient être délivrés par l’opérateur économique afin de permettre aux autorités nationales compétentes d’assurer la traçabilité des produits appartenant à un lot ou modèle spécifique enregistré dans le registre des passeports numériques de produit. Lorsque le même produit est soumis à plusieurs règles de l’Union imposant l’enregistrement de son passeport numérique de produit à différents niveaux de granularité (modèle, lot ou article), il convient d’enregistrer le passeport numérique du produit au niveau le plus détaillé.

(15)

L’enregistrement devrait être effectué au moyen de l’interface utilisateur sécurisée du registre fournie par la Commission ou au moyen de l’API mise en place à cette fin. Une fois que l’enregistrement d’un passeport numérique de produit a été validé, un identifiant d’enregistrement unique est généré, stocké dans le registre et communiqué automatiquement, conformément à l’article 8, à l’acteur qui a enregistré le passeport numérique de produit, au moyen du même service que celui utilisé par cet acteur pour charger les données du passeport numérique de produit.

(16)

Pour garantir que seuls des passeports numériques de produit complets et valides sont enregistrés, la Commission devrait, en tant que propriétaire et gestionnaire du registre conformément à l’article 13, paragraphe 1, du règlement (UE) 2024/1781, procéder à une vérification automatique des données soumises. Elle devrait vérifier au moins la structure des données et le niveau de granularité (modèle, lot ou article) du passeport numérique de produit pour le produit concerné conformément aux règles applicables de l’Union. Le cas échéant, il convient de vérifier également les codes de marchandises du produit et le lien vers la sauvegarde hébergée par un prestataire de services de passeport numérique de produit. La vérification de l’exactitude matérielle des données enregistrées reste une tâche qui incombe aux autorités de surveillance du marché en vertu des règles applicables de l’Union. Par conséquent, les vérifications automatisées ne devraient pas être considérées comme constituant une preuve de la conformité avec les exigences des règles de l’Union applicables au produit, y compris les règles en matière de surveillance du marché.

(17)

Lorsqu’un passeport numérique de produit est enregistré dans le registre, l’opérateur économique ou, le cas échéant, un tiers agissant pour le compte de celui-ci, est habilité à demander une preuve de cet enregistrement au registre. Cette demande peut porter sur un ou plusieurs passeports numériques de produit dont l’opérateur économique est responsable. La preuve d’enregistrement devrait servir à démontrer à des tiers qu’un passeport numérique de produit donné a été correctement enregistré. Elle devrait être créée sous la forme d’un document électronique sécurisé, qui peut être téléchargé à partir du registre. Cette preuve devrait rester disponible pendant 90 jours civils à compter de la date de son émission, avec la possibilité d’une réémission si nécessaire.

(18)

Pour garantir l’exactitude et la précision des données du registre, il convient de veiller à ce que celui-ci prenne en charge les différentes versions des données enregistrées. Chaque nouvelle version du passeport numérique d’un produit devrait être associée à l’identifiant d’enregistrement initial et chaque mise à jour devrait être horodatée. Aux fins du traitement sécurisé des données, toutes les opérations effectuées devraient également être consignées dans le registre. Dans les cas où le droit de l’Union ne précise pas la durée pendant laquelle un passeport numérique de produit doit rester disponible, le registre supprimera automatiquement les données d’enregistrement du passeport numérique de produit dix ans après son enregistrement, conformément aux règles énoncées dans la communication de la Commission intitulée «Le “Guide bleu” relatif à la mise en œuvre de la réglementation de l’UE sur les produits 2022» (9). Lorsque le droit de l’Union prévoit une durée spécifique, les données seront conservées dans le registre pendant ladite durée.

(19)

Afin de garantir l’interopérabilité sémantique des passeports numériques de produit et le fonctionnement technique du registre, il convient de mettre en place un référentiel sémantique. Ce référentiel constituera une collection évolutive de modèles de données et de définitions sémantiques, qui s’enrichira progressivement à mesure que d’autres groupes de produits seront intégrés. Toutes les données contenues dans un passeport numérique de produit doivent être structurées conformément aux modèles de données communs et aux définitions sémantiques publiés dans le référentiel sémantique du registre. Ce cadre devrait rester flexible et extensible pour pouvoir s’adapter à toute modification future des exigences en matière de données concernant l’inclusion d’un produit dans le passeport numérique de produit. La Commission s’efforce de faire en sorte qu’il soit techniquement possible, à partir du référentiel sémantique, de publier des spécifications sémantiques et de les échanger avec d’autres référentiels au niveau de l’Union, y compris ceux gérés par les institutions et organes de l’UE.

(20)

Pour permettre la lecture, la recherche et la comparaison des définitions sémantiques et des structures de données, le référentiel sémantique devrait comprendre un service de recherche. La Commission devrait veiller à ce que le contenu du référentiel sémantique soit toujours accessible au moyen d’API documentées publiquement, sauf pendant les périodes de maintenance nécessaire ou de suspension temporaire du service conformément à l’article 15. Les API devraient prendre en charge des formats de données communs pour faciliter l’utilisation automatisée par des systèmes externes. L’accès au référentiel sémantique et à ses API, ainsi que leur utilisation, devraient être gratuits.

(21)

Pour garantir l’accompagnement approprié des utilisateurs, la Commission devrait mettre en place un service d’assistance technique afin de fournir, au besoin, une assistance technique à tous les utilisateurs du registre. Le service d’assistance devrait fonctionner tout au long de l’année pendant les heures normales de travail. De plus amples informations, y compris les procédures opérationnelles, devraient être disponibles sur le site web de la Commission.

(22)

Pour garantir l’intégrité, la sécurité et la transparence du registre, la Commission devrait maintenir un système d’enregistrement par fichiers journaux robuste et automatisé, documentant toutes les activités réalisées au sein du registre. Dans le cadre de ce système d’enregistrement, des pistes d’audit complètes devraient être créées. À cette fin, et pour suivre toutes les actions réalisées au sein du registre en vue de garantir l’obligation de rendre compte pour tous les utilisateurs, il convient de conserver des fichiers journaux documentant les tentatives d’accès, tant réussies qu’infructueuses, ainsi que les modifications et les actions administratives.

(23)

Les durées de conservation de ces fichiers journaux devraient être proportionnées à leurs finalités. Alors qu’il y a lieu de conserver les fichiers journaux répertoriant les modifications des données pendant toute la durée de l’enregistrement afin de faciliter la vérification à long terme, les enquêtes sur les incidents et le respect des obligations juridiques, les fichiers journaux documentant les tentatives d’authentification requièrent une période de conservation plus courte, l’objectif étant de trouver un équilibre entre les besoins en matière de sécurité et les principes de minimisation des données. Les fichiers journaux répertoriant les opérations administratives et les échanges de données sont conservés pendant une durée moyenne de cinq ans.

(24)

Il est essentiel que les autorités nationales compétentes et les autorités douanières puissent accéder aux fichiers journaux afin de réaliser des enquêtes ou des audits de sécurité, ou en cas d’incident, pour garantir une coopération et une application des règles efficaces. Cet accès devrait être accordé d’une manière qui respecte la confidentialité et l’intégrité des fichiers journaux, tout en permettant la réalisation d’enquêtes ou d’audits approfondis en temps utile.

(25)

Compte tenu du caractère sensible des données contenues dans les fichiers journaux, qui peuvent inclure des informations à caractère personnel ou confidentiel, la Commission devrait mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les fichiers journaux contre tout accès non autorisé ou traitement illicite, toute perte, toute destruction ou tout dégât d’origine accidentelle. Ces mesures devraient garantir la continuité et la confidentialité des fichiers journaux ainsi que leur intégrité et leur fiabilité en tant qu’éléments de preuve. Le recours au chiffrement, à des contrôles d’accès et à des contrôles d’intégrité réguliers devrait être considéré comme une bonne pratique pour satisfaire à ces obligations.

(26)

Pour faciliter l’utilisation efficace et efficiente du registre, la Commission devrait fournir des orientations claires, accessibles et actualisées ainsi que des instructions sur les procédures d’enregistrement et la gestion des données. La mise à disposition de ces ressources sur le site web de la Commission permettra à tous les utilisateurs, quelle que soit leur expertise technique, de se conformer à leurs obligations. Ces orientations sont indispensables pour réduire au minimum les erreurs, alléger les charges administratives et promouvoir une application uniforme des exigences en matière d’enregistrement dans l’ensemble de l’Union.

(27)

La disponibilité permanente du registre est une obligation essentielle à son bon fonctionnement, car des interruptions pourraient perturber les activités relatives à la conformité, la surveillance du marché, les contrôles douaniers et la libre circulation des biens et des services au sein du marché intérieur. Toutefois, la maintenance planifiée du registre, telle que les mises à jour logicielles, les correctifs de sécurité ou les mises à niveau du système, peut occasionnellement nécessiter une inaccessibilité temporaire. En vue d’atténuer les perturbations, la Commission devrait notifier ces périodes d’interruption à l’avance sur un site web accessible au public, pour permettre aux utilisateurs de s’adapter en conséquence. En outre, dans certaines circonstances exceptionnelles, telles que des dysfonctionnements du système, des cyberattaques ou des menaces urgentes pour la sécurité, la Commission peut suspendre l’accès au registre sans préavis afin d’empêcher les violations de données, l’accès non autorisé ou d’autres pratiques dommageables. Ces mesures sont justifiées par la nécessité impérieuse de protéger l’intégrité et la sécurité du registre et des données qu’il contient. En cas de suspension, la Commission devrait agir rapidement pour rétablir le fonctionnement normal du registre et, dans la mesure du possible, informer les utilisateurs, dans les plus brefs délais, de cette suspension et de sa durée prévue. Pour garantir l’obligation de rendre des comptes et permettre l’accès des autorités de surveillance du marché et des autorités douanières, la Commission devrait documenter la durée ainsi que les dates et heures des indisponibilités et conserver ces données pendant au moins cinq ans.

(28)

Le registre devrait fonctionner dans le respect de normes de sécurité de haut niveau afin de protéger l’intégrité, la confidentialité et la disponibilité des données qu’il contient. Par conséquent, la Commission devrait élaborer un plan de sécurité informatique prévoyant des évaluations de la cybersécurité et d’autres évaluations des risques informatiques, procéder à des audits techniques et à des contrôles aléatoires permettant de vérifier la conformité et de recenser les vulnérabilités, afin de garantir la résilience constante du système face aux cybermenaces. La Commission devrait veiller à ce que tous les événements liés à la sécurité, qui comprennent, sans s’y limiter, l’accès non autorisé, le traitement non autorisé, les violations de données et les défauts de logique d’exécution, soient consignés dans un fichier journal conformément aux normes de sécurité des technologies de l’information appliquées par la Commission. En outre, le registre devrait respecter, dès que les services concernés seront disponibles sur le marché de l’Union, un niveau adéquat de souveraineté, sur la base du cadre de souveraineté de l’informatique en nuage (10).

(29)

La Commission devrait pouvoir prendre les mesures nécessaires si elle soupçonne qu’une activité frauduleuse est menée dans le registre, y compris un téléchargement inapproprié d’informations. Les utilisateurs ont la responsabilité d’informer immédiatement la Commission et, le cas échéant, les autorités nationales concernées en cas de suspicion de comportement malveillant.

(30)

Le traitement de données à caractère personnel dans le registre est nécessaire en vertu du règlement (UE) 2024/1781, notamment pour la vérification des passeports numériques de produit, la surveillance du marché et les contrôles douaniers. En vue de garantir l’authenticité et l’intégrité des données et de protéger les droits des personnes concernées, le registre devrait traiter les données à caractère personnel qui y sont stockées, telles que les noms, les coordonnées et les identifiants de connexion, conformément au règlement (UE) 2018/1725.

(31)

L’opérateur économique devrait être chargé de fournir des informations exactes et complètes au registre. Compte tenu des risques que pourrait engendrer un accès non autorisé au registre, tels qu’un risque de modification des données, l’opérateur économique devrait être tenu d’appliquer des mesures de sécurité techniques et organisationnelles adéquates pour protéger ses systèmes informatiques, en particulier les identifiants utilisés pour accéder au registre. L’opérateur économique devrait rester responsable même si un tiers est autorisé à enregistrer un passeport numérique de produit pour le compte de cet opérateur.

(32)

La Commission, qui doit être propriétaire et gestionnaire du registre, devrait être responsable de la gestion globale du cycle de vie du registre, y compris de son développement, de sa disponibilité, de son suivi, de sa mise à jour, de sa maintenance et de son hébergement. Cela implique notamment que la Commission ait accès au registre. Elle devrait également pouvoir accéder au registre afin d’obtenir des informations nécessaires à l’exécution des mesures requises en vertu d’autres actes législatifs de l’Union, y compris aux fins de la surveillance du marché, de la protection des consommateurs et du respect des obligations douanières.

(33)

Elle devrait par ailleurs rester chargée de veiller à ce que les données qui y sont stockées soient traitées de manière sécurisée et dans le respect du droit de l’Union, y compris des règles en matière de protection des données.

(34)

Les États membres doivent être en mesure d’interagir avec le registre pour réaliser efficacement leur surveillance du marché, leurs contrôles douaniers et d’autres tâches prévues au niveau national ou en vertu du droit de l’Union. Ils devraient rester responsables du développement, de la maintenance et de la sécurité des composantes nationales qu’ils utilisent pour accéder au système, tels que les registres ou systèmes d’information nationaux. Pour garantir une protection appropriée des données à caractère personnel, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil (11), les États membres devraient être considérés comme responsables du traitement au sens de l’article 4, point 7), dudit règlement lorsqu’ils traitent des données à caractère personnel aux fins prévues par le droit de l’Union. Les États membres sont habilités à traiter des données issues du registre conformément au droit de l’Union.

(35)

Les mesures prévues par le présent règlement sont conformes à l’avis du comité établi par l’article 73 du règlement (UE) 2024/1781,

(1)

«registre des passeports numériques de produit», ou «registre», le système d’information établi et tenu à jour par la Commission conformément à l’article 13 du règlement (UE) 2024/1781;

(2)

«identifiants de connexion», un ensemble d’identifiants uniques, par exemple un nom d’utilisateur et un mot de passe, qui permettent à un utilisateur de vérifier son identité afin de s’authentifier dans le registre;

(3)

«jeton d’authentification», un jeton qui transmet de manière sécurisée des informations sur une authentification réussie et qui est utilisé en tant que preuve d’une session authentifiée ou d’un accès délégué entre des applications et le système d’information sur les passeports numériques de produit;

(4)

«processus de vérification de l’identité», le processus par lequel une personne physique ou morale fournit la preuve de son identité et, le cas échéant, de son établissement;

(5)

«opérateur économique vérifié», un opérateur économique qui a mené à bien le processus de vérification de son identité dans le registre conformément à l’article 4;

(6)

««acteur de la chaîne de valeur», une personne physique ou morale, autre que l’opérateur économique, qui exerce des activités dans la chaîne de valeur d’un produit nécessitant un passeport numérique de produit et son enregistrement dans le registre, telle qu’un réparateur, un reconditionneur, une entreprise de remanufacturage ou un recycleur;

(7)

«acteur de la chaîne de valeur vérifié», un acteur de la chaîne de valeur qui a mené à bien le processus de vérification de son identité dans le registre conformément à l’article 5;

(8)

«référentiel sémantique», un ensemble de modèles de données et de définitions sémantiques composés d’un ensemble structuré et logiquement interconnecté de termes et de leurs significations précisant les éléments essentiels du passeport numérique de produit, les définitions des noms ou termes, les éléments de données et l’ontologie associés à certaines données afin de garantir une compréhension commune à tous les utilisateurs, ainsi qu’une interprétation multilingue utilisée pour la validation des passeports numériques de produit et pour relier les données du registre aux passeports numériques de produit;

(9)

«interopérabilité sémantique», la capacité des systèmes d’information et des organisations sur lesquelles ils reposent à échanger des données de manière à ce que la signification des informations échangées soit comprise mutuellement et puisse être interprétée sans ambiguïté par toutes les parties, quelle que soit la technologie ou la juridiction sous-jacente;

(10)

«vocabulaire contrôlé», un ensemble structuré, faisant autorité, de termes normalisés ayant des significations définies en vue d’assurer une représentation cohérente des attributs de données dans les passeports numériques de produit;

(11)

«spécification sémantique», tout élément publié dans le référentiel sémantique, y compris les ontologies, les modèles de données, les vocabulaires contrôlés et les listes de codes, ainsi que leurs métadonnées de version et les informations indiquant leur origine;

(12)

«conformité sémantique», la mesure dans laquelle les données figurant sur un passeport numérique de produit satisfont aux spécifications sémantiques applicables, en ce sens que:

(13)

«modèle de données», un cadre structuré qui organise des éléments de données, normalise leur structure, détermine leur relation mutuelle et identifie les entités, leurs attributs et la relation entre ces entités;

(14)

«système d’enregistrement», un système automatisé qui enregistre et stocke des informations sur toutes les opérations et interactions effectuées dans le registre;

(15)

«modèle d’échange de données», un cadre structuré permettant l’échange de données entre différents systèmes et différentes plateformes;

(16)

«empreinte de la version du passeport numérique de produit», le résultat généré à partir des données électroniques pertinentes à l’aide d’un algorithme cryptographique correspondant à la version pertinente du passeport numérique de produit;

(17)

«téléchargement de données massives», l’extraction d’un jeu de données exceptionnellement volumineux ou complexe - généralement d’un ordre de grandeur allant des téraoctets à des pétaoctets - qui dépasse les capacités de traitement ou de stockage d’outils conventionnels ou d’une seule machine locale ou qui interfère avec les garanties en matière de surveillance.

(a)

un site web fournissant une interface utilisateur sécurisée qui permet aux opérateurs économiques, aux acteurs de la chaîne de valeur, aux autorités nationales compétentes et aux autorités douanières d’accéder au registre;

(b)

une API pour l’enregistrement des passeports numériques de produit et la réception d’informations provenant du registre;

(c)

une plateforme de vérification permettant de confirmer et de vérifier l’existence et l’exhaustivité des passeports numériques de produit;

(d)

un dispositif permettant de générer des identifiants d’enregistrement uniques;

(e)

une composante de stockage au moins pour les identifiants uniques et les codes de marchandises des produits destinés à être placés sous le régime douanier de la «mise en libre pratique»;

(f)

une liste des prestataires de services de passeport numérique de produit vérifiés enregistrés dans le registre;

(g)

un référentiel sémantique;

(h)

un système d’enregistrement par fichiers journaux;

(i)

des dispositifs d’identification et d’autorisation pour les utilisateurs du registre.