Las ocho normas DPP están publicadas. Solo seis están citadas.
En mayo de 2026, el CEN/CENELEC JTC 24 publicó seis de las ocho normas armonizadas para los pasaportes digitales de productos. Escribimos sobre ellas entonces y señalamos que aún faltaban dos.
Ya no faltan. La EN 18239 y la EN 18246 fueron aprobadas por el CEN el 17 de agosto de 2026 y adoptadas como SS-EN el 16 de septiembre. El conjunto está completo.
Eso es lo que todo el mundo contará. Lo que importa más es que el hecho de que el conjunto esté completo no ha hecho iguales a las ocho, y la diferencia no es un tecnicismo.
Seis están citadas, dos no
La Decisión de Ejecución (UE) 2026/1736 de la Comisión cita seis normas en el Diario Oficial:
| Norma | Ámbito |
|---|---|
| EN 18216 | Protocolos de intercambio de datos |
| EN 18219 | Identificadores únicos |
| EN 18220 | Soportes de datos |
| EN 18221 | Almacenamiento, archivo y persistencia de datos |
| EN 18222 | API para la gestión del ciclo de vida y la búsqueda de pasaportes |
| EN 18223 | Interoperabilidad de sistemas |
La EN 18239 (gestión de derechos de acceso, seguridad de los sistemas de información y confidencialidad empresarial) y la EN 18246 (autenticidad, fiabilidad e integridad de los datos) no están en esa lista.
La cita en el Diario Oficial es lo que da efecto jurídico a una norma armonizada. Una norma armonizada citada confiere presunción de conformidad (artículo 41 del ESPR): si la sigue, se presume que cumple el requisito jurídico correspondiente, salvo que alguien demuestre lo contrario. Una norma no citada no confiere esa presunción, por reciente que sea su publicación y por buena que sea.
Así que las dos normas más recientes ocupan una posición peculiar. Son reales, pueden comprarse y representan la opinión meditada del comité que redactó las otras seis, pero seguirlas es una opción, no una defensa. No puede remitirse a la EN 18246 y decir que se presume su conformidad. Nadie más puede hacerlo tampoco, y conviene saberlo cuando un competidor declara conformidad armonizada con «las ocho».
Lo más probable es que ambas se citen en una modificación posterior de la Decisión de Ejecución. Hasta entonces, la formulación honesta es «la seguimos», no «somos conformes con ella».
Ya que estamos corrigiendo: no existe la EN 18217
La serie se escribe como EN 18216–18223 casi en todas partes, incluso por personas que deberían saberlo. No es un rango continuo.
No existen la EN 18217 ni la EN 18218. Las ocho son la 18216, 18219, 18220, 18221, 18222, 18223, 18239 y 18246. Escribir el rango como 18216–18223 inventa dos normas que no existen y omite las dos que se publicaron más recientemente.
Si las cita en una especificación, en la respuesta a una licitación o en un cuestionario para proveedores, cítelas por número y apartado. Un rango es erróneo en ambos sentidos.
Qué puede comprobarse realmente desde fuera
Nuestro validador sigue el conjunto publicado. Ejecuta diez comprobaciones de siete de las ocho normas sobre cualquier URL de pasaporte, sin colaboración del editor y sin cuenta.
| Norma | Apartado | Qué se comprueba |
|---|---|---|
| EN 18216 | §5 | Se devuelve JSON legible por máquina mediante negociación de contenido HTTP |
| EN 18219 | §5.1 | El identificador sigue uno de los cinco esquemas de ID de producto permitidos |
| EN 18219 | §5.2 | ?linkType=all devuelve un linkset de GS1 para descubrir enlaces |
| EN 18220 | §5.2 | El destino del soporte resuelve a un pasaporte, no a un error |
| EN 18221 | §4.5 | Se anuncia un alojamiento de copia de seguridad |
| EN 18222 | §4.1 | Responden los tres métodos obligatorios de la Life Cycle API |
| EN 18223 | §4.1.2.1 | Atributos de la cabecera del pasaporte: granularidad, versión del esquema, última actualización, ID del operador económico |
| EN 18246 | §4.3 | Los datos públicos del pasaporte se sirven sin autenticación |
| EN 18246 | §5.4.2 | Legible en cualquier dispositivo de consumo, sin software adicional |
| EN 18246 | §5.1.2 / §5.1.5 | Sin rastreo por terceros de quienes leen los datos públicos |
Siete, no ocho. La EN 18239 trata del control de acceso, la seguridad y la confidencialidad, y casi nada de ella puede responderlo un desconocido que hace una sola solicitud. La implementamos (acceso a nivel de fila por cliente, tokens de corta duración en lugar de claves compartidas, limitación de frecuencia en el resolver redactada conforme al §5.2, punto 11), pero implementar una norma y comprobarla desde fuera son cosas distintas, y una comprobación que no puede fallar no es una comprobación.
La misma contención se aplica dentro de la EN 18246. Sus requisitos más exigentes consisten en demostrar que un pasaporte y su soporte son auténticos, lo que requiere firma criptográfica. Todavía nada firma nada, ni lo nuestro ni lo de nadie, y una comprobación que ningún pasaporte del mundo puede superar no le enseña nada al lector. Tres de sus apartados pueden responderse desde fuera. Esos tres son los que ejecutamos.
La comprobación que no superará la mayoría de los pasaportes
De esas tres, una va a sorprender.
El §5.1.2 de la EN 18246 prohíbe recabar información personal de las personas físicas que leen datos públicos del pasaporte. El §5.1.5 exige impedir la elaboración de perfiles. Leídos juntos, describen exactamente lo que hace una etiqueta de analítica: asignar un identificador a un lector, seguirlo por las páginas y enviarlo a un tercero.
Un pasaporte digital del producto que carga Google Analytics, Meta Pixel, Hotjar, Clarity o Segment está recabando información personal de alguien cuyo único acto fue escanear un código QR en un jersey. El validador busca el host del rastreador en la página que realmente recibe el consumidor, no el nombre de un archivo de script, porque cada uno de ellos se distribuye con media docena de nombres.
Es incómodo publicar esta comprobación, así que conviene ser claros sobre nuestra propia posición: nuestro resolver inserta una etiqueta GA4 cuando un cliente configura un ID de medición. La función existe, y cualquier cliente que configure uno no superará esta comprobación en nuestro propio validador, en nuestras propias páginas. Es el único tipo de comprobación que merece la pena escribir. Una que exime a su autor es marketing.
Si usa analítica en sus páginas de pasaporte, la pregunta que debe llevar a su equipo jurídico no es si el rastreo cuenta con consentimiento, sino si el §5.1.2 lo permite en absoluto en la parte pública de un pasaporte.
La restricción de la EN 18239 que la hace difícil
El §5.2, punto 11, de la EN 18239 exige que el acceso a los servicios DPP «se limite de manera que se eviten ataques o la extracción masiva de datos no autorizada».
Las implementaciones obvias quedan todas descartadas por otros apartados del mismo par de normas:
- ¿Una clave de API o un inicio de sesión? El §4.3 de la EN 18246 dice que los datos públicos se servirán sin autenticación. El §5.2(2) de la EN 18239 dice lo mismo y da como motivo evitar la discriminación por ubicación geográfica.
- ¿Bloquear por país? El §5.2(3) de la EN 18239 dice que no se denegará el acceso únicamente en función de la ubicación o la jurisdicción del agente.
- ¿Un muro de CAPTCHA? El mismo problema, y además no cumple el §5.4.2 sobre la legibilidad en cualquier dispositivo de consumo.
- ¿Registrar direcciones IP para detectar abusos? Una dirección IP es un dato personal, y el §5.1.2 prohíbe recabar información personal de quienes leen datos públicos.
- ¿Bloquear bots? El §5.1.8 de la EN 18246 dice que deberían implementarse mecanismos robustos contra la extracción de datos y, en la misma frase, que el sistema puede permitir que los motores de búsqueda beneficiosos indexen los datos del DPP. Un limitador que bloquea Googlebot no es más seguro, es erróneo.
Lo que queda es estrecho: limitar la frecuencia mediante un hash con sal de la dirección, conservado en memoria durante una ventana y nunca escrito en ningún sitio. Lo que sobrevive al minuto es un recuento, y un recuento no se refiere a una persona.
Es una restricción de ingeniería real, y es el tipo de cosa que solo se hace visible cuando las normas se leen juntas y no una por una.
Qué hacer con esto
- Deje de escribir el rango. EN 18216–18223 inventa dos normas y omite dos. Cite por número y apartado.
- Distinga entre «publicada» y «citada» en sus propias declaraciones. Seis confieren presunción de conformidad. Dos no, todavía. Quien declara conformidad armonizada con las ocho declara algo que hoy no existe.
- Mire qué cargan sus páginas de pasaporte. Si hay una etiqueta de analítica en la parte pública, el §5.1.2 de la EN 18246 es una conversación que debe tener antes de que otro la inicie.
- Compre las normas. Están disponibles en SIS y en en-standard.eu. Seis de ellas deciden si se presume la conformidad de su implementación, y ninguno de los resúmenes que circulan, incluido este, sustituye al texto.
Puede ejecutar las comprobaciones anteriores sobre cualquier URL de pasaporte en dppagent.com/validate, incluidos pasaportes que no son nuestros. El informe se desglosa por norma y por apartado, e indica qué resultados son parciales y por qué.
Fuentes
Fuentes primarias utilizadas en este artículo:
- Decisión de Ejecución (UE) 2026/1736 de la Comisión: cita de las normas armonizadas para los pasaportes digitales de productos en el Diario Oficial
- EN 18216 (protocolos de intercambio de datos), EN 18219 (identificadores únicos), EN 18220 (soportes de datos), EN 18221 (almacenamiento, archivo y persistencia de datos), EN 18222 (API para la gestión del ciclo de vida y la búsqueda de pasaportes), EN 18223 (interoperabilidad de sistemas): CEN/CENELEC JTC 24, publicadas en mayo de 2026
- EN 18239 (gestión de derechos de acceso, seguridad de los sistemas de información y confidencialidad empresarial) y EN 18246 (autenticidad, fiabilidad e integridad de los datos): aprobadas por el CEN el 17 de agosto de 2026, adoptadas como SS-EN el 16 de septiembre de 2026
- Reglamento (UE) 2024/1781 (ESPR), artículos 4, 9 y 10. EUR-Lex
Las referencias a apartados de este artículo remiten a las ediciones SS-EN 2026 con licencia. Las normas son documentos protegidos por derechos de autor y no pueden reproducirse aquí; los números de apartado se indican para que el texto pueda contrastarse con los originales.