Και τα οκτώ πρότυπα DPP δημοσιεύθηκαν. Μόνο έξι έχουν δημοσιευθεί στην Επίσημη Εφημερίδα.

Τον Μάιο του 2026, η CEN/CENELEC JTC 24 δημοσίευσε έξι από τα οκτώ εναρμονισμένα πρότυπα για τα ψηφιακά διαβατήρια προϊόντων. Γράψαμε γι’ αυτά τότε, και σημειώσαμε ότι έλειπαν ακόμη δύο.

Δεν λείπουν πια. Τα EN 18239 και EN 18246 εγκρίθηκαν από την CEN στις 17 Αυγούστου 2026 και υιοθετήθηκαν ως SS-EN στις 16 Σεπτεμβρίου. Η σειρά είναι πλήρης.

Αυτό είναι το κομμάτι που θα αναφέρουν όλοι. Το κομμάτι που έχει μεγαλύτερη σημασία είναι ότι η ολοκλήρωση της σειράς δεν έκανε και τα οκτώ ισότιμα, και η διαφορά δεν είναι τυπικότητα.

Έξι έχουν δημοσιευθεί στην Επίσημη Εφημερίδα, δύο όχι

Η εκτελεστική απόφαση (ΕΕ) 2026/1736 της Επιτροπής δημοσιεύει στην Επίσημη Εφημερίδα τα στοιχεία αναφοράς έξι προτύπων:

Τα EN 18239 (διαχείριση δικαιωμάτων πρόσβασης, ασφάλεια πληροφοριακών συστημάτων και επιχειρηματική εμπιστευτικότητα) και EN 18246 (γνησιότητα, αξιοπιστία και ακεραιότητα δεδομένων) δεν περιλαμβάνονται σε αυτόν τον κατάλογο.

Η δημοσίευση στην Επίσημη Εφημερίδα είναι αυτό που προσδίδει σε ένα εναρμονισμένο πρότυπο έννομα αποτελέσματα. Ένα εναρμονισμένο πρότυπο που έχει δημοσιευθεί εκεί παρέχει τεκμήριο συμμόρφωσης (άρθρο 41 του ESPR): αν το ακολουθείτε, τεκμαίρεται ότι πληροίτε την αντίστοιχη νομική απαίτηση, εκτός αν κάποιος αποδείξει το αντίθετο. Ένα πρότυπο που δεν έχει δημοσιευθεί εκεί δεν παρέχει τέτοιο τεκμήριο, όσο πρόσφατα κι αν εκδόθηκε και όσο καλό κι αν είναι.

Έτσι, τα δύο νεότερα πρότυπα βρίσκονται σε μια ιδιόμορφη θέση. Είναι πραγματικά, μπορεί κανείς να τα αγοράσει, αντιπροσωπεύουν τη σταθμισμένη άποψη της επιτροπής που συνέταξε τα άλλα έξι — και η εφαρμογή τους είναι επιλογή, όχι υπεράσπιση. Δεν μπορείτε να επικαλεστείτε το EN 18246 και να πείτε ότι τεκμαίρεται η συμμόρφωσή σας. Ούτε μπορεί κανείς άλλος, κάτι που αξίζει να γνωρίζετε όταν ένας ανταγωνιστής ισχυρίζεται εναρμονισμένη συμμόρφωση με «και τα οκτώ».

Το πιθανότερο είναι ότι και τα δύο θα δημοσιευθούν σε μεταγενέστερη τροποποίηση της εκτελεστικής απόφασης. Μέχρι τότε, η έντιμη διατύπωση είναι «το ακολουθούμε», όχι «συμμορφωνόμαστε με αυτό».

Αφού διορθώνουμε πράγματα: δεν υπάρχει EN 18217

Η σειρά γράφεται ως EN 18216–18223 σχεδόν παντού, ακόμη και από ανθρώπους που θα έπρεπε να γνωρίζουν καλύτερα. Δεν πρόκειται για συνεχές εύρος.

Δεν υπάρχει EN 18217 ούτε EN 18218. Τα οκτώ είναι τα 18216, 18219, 18220, 18221, 18222, 18223, 18239 και 18246. Αν γράψετε το εύρος ως 18216–18223, επινοείτε δύο πρότυπα που δεν υπάρχουν και παραλείπετε τα δύο που δημοσιεύθηκαν πιο πρόσφατα.

Αν τα παραθέτετε σε μια προδιαγραφή, σε μια απάντηση σε διαγωνισμό ή σε ένα ερωτηματολόγιο προμηθευτή, παραθέστε τα με αριθμό και ρήτρα. Ένα εύρος είναι λάθος και προς τις δύο κατευθύνσεις.

Τι μπορεί πράγματι να ελεγχθεί απ’ έξω

Το εργαλείο επικύρωσής μας ακολουθεί τη δημοσιευμένη σειρά. Εκτελεί δέκα ελέγχους σε επτά από τα οκτώ πρότυπα, για οποιαδήποτε διεύθυνση URL διαβατηρίου, χωρίς συνεργασία του εκδότη και χωρίς λογαριασμό.

Επτά, όχι οκτώ. Το EN 18239 αφορά τον έλεγχο πρόσβασης, την ασφάλεια και την εμπιστευτικότητα, και σχεδόν τίποτα σε αυτό δεν μπορεί να απαντηθεί από έναν άγνωστο που κάνει ένα αίτημα. Το υλοποιούμε — πρόσβαση σε επίπεδο γραμμής ανά πελάτη, βραχύβια tokens αντί για κοινόχρηστα κλειδιά, περιορισμός ρυθμού αιτημάτων στον resolver σύμφωνα με το §5.2 σημείο 11 — αλλά η υλοποίηση ενός προτύπου και ο έλεγχός του απ’ έξω είναι διαφορετικά πράγματα, και ένας έλεγχος που δεν μπορεί να αποτύχει δεν είναι έλεγχος.

Η ίδια συγκράτηση ισχύει και μέσα στο EN 18246. Οι βαρύτερες απαιτήσεις του αφορούν την απόδειξη ότι ένα διαβατήριο και ο φορέας δεδομένων του είναι γνήσια, κάτι που απαιτεί κρυπτογραφική υπογραφή. Τίποτα δεν υπογράφει τίποτα ακόμη — ούτε τα δικά μας, ούτε κανενός άλλου — και ένας έλεγχος που κανένα διαβατήριο στη Γη δεν μπορεί να περάσει δεν διδάσκει τίποτα στον αναγνώστη. Τρεις από τις ρήτρες του μπορούν να απαντηθούν απ’ έξω. Αυτές τις τρεις ελέγχουμε.

Ο έλεγχος στον οποίο θα αποτύχουν τα περισσότερα διαβατήρια

Από αυτές τις τρεις, η μία θα εκπλήξει πολλούς.

Το EN 18246 §5.1.2 απαγορεύει τη συλλογή προσωπικών πληροφοριών από φυσικά πρόσωπα που διαβάζουν δημόσια δεδομένα διαβατηρίου. Το §5.1.5 απαιτεί να αποτρέπεται η κατάρτιση προφίλ. Μαζί, περιγράφουν ακριβώς αυτό που κάνει μια ετικέτα analytics: ορίζει ένα αναγνωριστικό σε έναν αναγνώστη, τον ακολουθεί από σελίδα σε σελίδα και το στέλνει σε τρίτο.

Ένα ψηφιακό διαβατήριο προϊόντος που φορτώνει Google Analytics, Meta Pixel, Hotjar, Clarity ή Segment συλλέγει προσωπικές πληροφορίες από κάποιον του οποίου η μόνη πράξη ήταν να σαρώσει έναν κωδικό QR σε ένα πουλόβερ. Το εργαλείο επικύρωσης αναζητά τον host του tracker στη σελίδα που πράγματι λαμβάνει ο καταναλωτής, όχι ένα όνομα αρχείου script, επειδή καθένα από αυτά κυκλοφορεί με μισή ντουζίνα ονόματα.

Αυτόν τον έλεγχο δεν είναι άνετο να τον κυκλοφορήσουμε, οπότε αξίζει να είμαστε σαφείς για τη δική μας θέση: ο resolver μας εισάγει μια ετικέτα GA4 όταν ένας πελάτης ορίσει measurement ID. Η λειτουργία υπάρχει, και κάθε πελάτης που ορίσει ένα θα αποτύχει σε αυτόν τον έλεγχο στο δικό μας εργαλείο επικύρωσης, στις δικές μας σελίδες. Μόνο τέτοιους ελέγχους αξίζει να γράφει κανείς. Ένας έλεγχος που εξαιρεί τον συντάκτη του είναι μάρκετινγκ.

Αν χρησιμοποιείτε analytics στις σελίδες των διαβατηρίων σας, το ερώτημα που πρέπει να θέσετε στη νομική σας ομάδα δεν είναι αν για την παρακολούθηση έχει δοθεί συγκατάθεση — είναι αν το §5.1.2 την επιτρέπει καθόλου στο δημόσιο μισό ενός διαβατηρίου.

Ο περιορισμός μέσα στο EN 18239 που το κάνει δύσκολο

Το EN 18239 §5.2 σημείο 11 απαιτεί η πρόσβαση στις υπηρεσίες DPP να «περιορίζεται με τρόπο που αποτρέπει επιθέσεις ή μη εξουσιοδοτημένη μαζική απόξεση δεδομένων».

Οι προφανείς υλοποιήσεις αποκλείονται όλες από άλλες ρήτρες του ίδιου ζεύγους προτύπων:

• Κλειδί API ή σύνδεση; Το EN 18246 §4.3 ορίζει ότι τα δημόσια δεδομένα εξυπηρετούνται χωρίς ταυτοποίηση. Το EN 18239 §5.2(2) λέει το ίδιο και αναφέρει ως λόγο την αποφυγή διακρίσεων με βάση τη γεωγραφική θέση.
• Αποκλεισμός ανά χώρα; Το EN 18239 §5.2(3) ορίζει ότι η πρόσβαση δεν απορρίπτεται αποκλειστικά με βάση την τοποθεσία ή τη δικαιοδοσία του φορέα.
• Τείχος CAPTCHA; Το ίδιο πρόβλημα, και αποτυγχάνει στο §5.4.2 ως προς την αναγνωσιμότητα σε οποιαδήποτε καταναλωτική συσκευή.
• Καταγραφή διευθύνσεων IP για τον εντοπισμό καταχραστών; Μια διεύθυνση IP είναι δεδομένο προσωπικού χαρακτήρα, και το §5.1.2 απαγορεύει τη συλλογή προσωπικών πληροφοριών από αναγνώστες δημόσιων δεδομένων.
• Αποκλεισμός bots; Το EN 18246 §5.1.8 ορίζει ότι θα πρέπει να εφαρμόζονται ισχυροί μηχανισμοί κατά της απόξεσης, και στην ίδια ανάσα ότι το σύστημα μπορεί να επιτρέπει σε χρήσιμες μηχανές αναζήτησης να ευρετηριάζουν δεδομένα DPP. Ένας περιοριστής που μπλοκάρει το Googlebot δεν είναι ασφαλέστερος, είναι λάθος.

Αυτό που απομένει είναι στενό: περιορισμός ρυθμού με βάση ένα salted hash της διεύθυνσης, που κρατείται στη μνήμη για τη διάρκεια ενός παραθύρου και δεν γράφεται πουθενά. Αυτό που επιβιώνει μετά το λεπτό είναι ένας αριθμός, και ένας αριθμός δεν αφορά ένα πρόσωπο.

Αυτός είναι ένας πραγματικός μηχανικός περιορισμός, και είναι το είδος του πράγματος που γίνεται ορατό μόνο όταν τα πρότυπα διαβάζονται μαζί και όχι ένα-ένα.

Τι να κάνετε με αυτό

1. Σταματήστε να γράφετε το εύρος. Το EN 18216–18223 επινοεί δύο πρότυπα και παραλείπει δύο. Παραθέτετε με αριθμό και ρήτρα.
2. Διαχωρίστε το «δημοσιεύθηκε» από το «δημοσιεύθηκε στην Επίσημη Εφημερίδα» στους δικούς σας ισχυρισμούς. Έξι παρέχουν τεκμήριο συμμόρφωσης. Δύο όχι, ακόμη. Όποιος ισχυρίζεται εναρμονισμένη συμμόρφωση και με τα οκτώ ισχυρίζεται κάτι που σήμερα δεν υπάρχει.
3. Δείτε τι φορτώνουν οι σελίδες των διαβατηρίων σας. Αν υπάρχει ετικέτα analytics στο δημόσιο μισό, το EN 18246 §5.1.2 είναι μια συζήτηση που πρέπει να κάνετε πριν την ξεκινήσει κάποιος άλλος.
4. Αγοράστε τα πρότυπα. Διατίθενται από το SIS και το en-standard.eu. Έξι από αυτά κρίνουν αν τεκμαίρεται η συμμόρφωση της υλοποίησής σας, και καμία από τις περιλήψεις που κυκλοφορούν — συμπεριλαμβανομένης αυτής — δεν υποκαθιστά το κείμενο.

Μπορείτε να εκτελέσετε τους παραπάνω ελέγχους για οποιαδήποτε διεύθυνση URL διαβατηρίου στο dppagent.com/validate, ακόμη και για διαβατήρια που δεν είναι δικά μας. Αναφέρει αποτελέσματα ανά πρότυπο και ανά ρήτρα, και λέει ποια ευρήματα είναι μερικά και γιατί.

Πηγές

Πρωτογενείς πηγές που χρησιμοποιήθηκαν σε αυτό το άρθρο:

• Εκτελεστική απόφαση (ΕΕ) 2026/1736 της Επιτροπής — δημοσίευση των στοιχείων αναφοράς εναρμονισμένων προτύπων για τα ψηφιακά διαβατήρια προϊόντων στην Επίσημη Εφημερίδα
• EN 18216 (πρωτόκολλα ανταλλαγής δεδομένων), EN 18219 (μοναδικοί αναγνωριστικοί κωδικοί), EN 18220 (φορείς δεδομένων), EN 18221 (αποθήκευση, αρχειοθέτηση και διατήρηση δεδομένων), EN 18222 (API για τη διαχείριση του κύκλου ζωής του διαβατηρίου και τη δυνατότητα αναζήτησης), EN 18223 (διαλειτουργικότητα συστημάτων) — CEN/CENELEC JTC 24, δημοσιεύθηκαν τον Μάιο του 2026
• EN 18239 (διαχείριση δικαιωμάτων πρόσβασης, ασφάλεια πληροφοριακών συστημάτων και επιχειρηματική εμπιστευτικότητα) και EN 18246 (γνησιότητα, αξιοπιστία και ακεραιότητα δεδομένων) — εγκρίθηκαν από την CEN στις 17 Αυγούστου 2026, υιοθετήθηκαν ως SS-EN στις 16 Σεπτεμβρίου 2026
• Κανονισμός (ΕΕ) 2024/1781 (ESPR), άρθρα 4, 9 και 10 — EUR-Lex

Οι παραπομπές σε ρήτρες σε αυτό το άρθρο αφορούν τις αδειοδοτημένες εκδόσεις SS-EN του 2026. Τα πρότυπα είναι έγγραφα που προστατεύονται από πνευματικά δικαιώματα και δεν μπορούν να αναπαραχθούν εδώ· οι αριθμοί των ρητρών δίνονται ώστε το κείμενο να μπορεί να ελεγχθεί με βάση τα πρωτότυπα.