CIRPASS y CEN/CENELEC: las normas DPP explicadas

Detrás de cada pasaporte digital del producto hay un conjunto de normas técnicas que definen cómo se estructuran, comparten y verifican los datos. Dos nombres aparecen una y otra vez en las conversaciones sobre el DPP: CIRPASS y CEN/CENELEC. Entender qué son y qué han producido es esencial para cualquiera que implemente el cumplimiento del DPP.

¿Qué es CIRPASS?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) fue un proyecto financiado por la UE que se desarrolló de octubre de 2022 a marzo de 2024. Su misión: sentar las bases técnicas para implantar los pasaportes digitales de productos a escala en toda Europa.

CIRPASS reunió a unos 30 socios y socios asociados (asociaciones sectoriales, empresas tecnológicas, organismos de normalización e instituciones de investigación) para responder a las preguntas prácticas que el ESPR dejó a las especificaciones técnicas:

  • ¿Qué formato de datos deben usar los DPP?
  • ¿Cómo deben intercambiar datos DPP los distintos sistemas?
  • ¿Cómo es la interoperabilidad entre sectores y fronteras?
  • ¿Cómo debe funcionar el control de acceso para los distintos tipos de partes interesadas?

Resultados de CIRPASS

El proyecto produjo varios resultados clave:

Plano de la arquitectura DPP: una arquitectura de referencia que define cómo deben funcionar los sistemas DPP, con modelos de datos, especificaciones de API y patrones de interacción entre las plataformas DPP, el registro de la UE y los usuarios finales.

Hojas de ruta sectoriales: hojas de ruta para prototipos en tres cadenas de valor: baterías, textiles y electrónica. Ponerlos a prueba es la tarea del proyecto sucesor, CIRPASS-2.

Marco de interoperabilidad: especificaciones sobre cómo pueden funcionar juntos los DPP de distintas plataformas y sectores. Esto es fundamental: una instalación de reciclaje no debería necesitar una herramienta distinta para el pasaporte de cada marca.

Herramientas de código abierto: CIRPASS-2 (el proyecto sucesor) ha publicado herramientas de código abierto, entre ellas:

  • Un validador DPP para comprobar la conformidad de los pasaportes
  • Un registro de la UE simulado para probar los flujos de inscripción

Están disponibles en github.com/CIRPASS-2 y son valiosas para las empresas que construyen o validan sus implementaciones DPP.

CIRPASS-2

El proyecto sucesor, CIRPASS-2, está activo actualmente y se centra en:

  • Perfeccionar las normas a partir de los resultados de pilotos reales
  • Apoyar la elaboración de los actos delegados de la Comisión Europea
  • Crear la comunidad de práctica (CoP) para las partes interesadas en el DPP
  • Preparar la puesta en marcha del registro DPP de la UE (19 de julio de 2026; actualización: en funcionamiento desde el 20 de julio de 2026)

¿Qué es CEN/CENELEC?

El CEN (Comité Europeo de Normalización) y el CENELEC (Comité Europeo de Normalización Electrotécnica) son las organizaciones europeas oficiales de normalización. Cuando la UE necesita normas técnicas en apoyo de un reglamento, es en el CEN/CENELEC donde se elaboran.

Para el ESPR y los pasaportes digitales de productos, la Comisión Europea dirigió una petición de normalización (julio de 2024) al CEN, al CENELEC y al ETSI para que elaboraran normas armonizadas que cubrieran los requisitos técnicos de la implantación del DPP.

Las 8 normas DPP del CEN/CENELEC

Seis se publicaron en mayo de 2026 y las dos últimas en septiembre de 2026. En conjunto forman el código de reglas técnicas de la implantación del DPP. Tenga en cuenta que los números no son un rango continuo: no existen la EN 18217 ni la EN 18218.

1. EN 18216: protocolos de intercambio de datos

Especifica cómo se solicitan y transmiten los datos DPP entre sistemas: transporte HTTPS seguro, JSON como formato básico común y negociación de contenido para que la misma dirección pueda servir una página web o datos legibles por máquina. Sin esta norma, cada plataforma DPP hablaría su propio idioma.

2. EN 18219: identificadores únicos

Define cómo se identifican los productos, los operadores económicos y las instalaciones. Reconoce cinco esquemas de identificadores de producto: GS1 Digital Link y otras rutas estructuradas habilitadas para la web, el Identification Link (EN IEC 61406), los identificadores descentralizados (DID), los identificadores ISO/IEC 15459 tal como se usan en RFID y el Digital Object Identifier (DOI).

3. EN 18220: soportes de datos

Define los medios físicos o visuales (códigos QR, códigos Data Matrix, etiquetas RFID y NFC) por los que el identificador de un producto llega a un teléfono o a un lector, incluidas la durabilidad y la colocación.

4. EN 18221: almacenamiento, archivo y persistencia de datos

Fija requisitos para mantener disponibles los pasaportes y su historial de versiones durante el periodo exigido, incluidas las copias de seguridad en poder de un prestador de servicios de pasaporte digital de productos.

5. EN 18222: API para la gestión del ciclo de vida y la búsqueda de pasaportes

Especifica la interfaz que expone un sistema DPP para crear, leer, actualizar y buscar pasaportes, de modo que una herramienta construida para un sistema pueda consultar otro.

6. EN 18223: interoperabilidad de sistemas

Define la estructura común de un pasaporte (como la cabecera que declara la granularidad, la versión del esquema y el estado) para que distintos sistemas DPP puedan intercambiar e interpretar los pasaportes de los demás.

7. EN 18239: gestión de derechos de acceso, seguridad de los sistemas de información y confidencialidad empresarial

Define cómo acceden las distintas partes interesadas a los datos del DPP. Los consumidores ven un conjunto de información, los socios comerciales otro, y las autoridades ven aquello a lo que tienen derecho. Dado que los DPP pueden contener información comercialmente sensible, la seguridad no es opcional.

8. EN 18246: autenticidad, fiabilidad e integridad de los datos

Fija requisitos para demostrar que los datos del pasaporte son auténticos y no se han alterado, y para proteger a las personas que leen los datos públicos del pasaporte.

Cómo pasan a ser obligatorias las normas

Una fuente habitual de confusión: las normas del CEN/CENELEC son voluntarias por defecto. Pasan a ser obligatorias en la práctica a través del mecanismo de «presunción de conformidad» del ESPR:

  1. El ESPR fija requisitos (por ejemplo, «los DPP deben ser interoperables»)
  2. El CEN/CENELEC elabora normas armonizadas que definen cómo cumplir esos requisitos
  3. Si sigue una norma armonizada cuya referencia se ha citado en el Diario Oficial, se presume que cumple los requisitos que cubre (artículo 41 del ESPR)
  4. Si no sigue la norma, debe demostrar el cumplimiento por otros medios, lo que es bastante más difícil y caro

En la práctica, esto significa que las normas del CEN/CENELEC son obligatorias de facto. Construir un sistema DPP que las ignore es técnicamente legal, pero poco sensato en la práctica.

Qué significan las normas para su implementación

Si está eligiendo una plataforma DPP

Pregunte a su proveedor de plataforma:

  • ¿Cumple las normas DPP del CEN/CENELEC?
  • ¿Cómo gestiona la norma sobre el modelo de datos y el esquema?
  • ¿Está su interfaz con el registro de la UE lista para la puesta en marcha de julio de 2026?
  • ¿Cómo implementa el control de acceso conforme a la norma de autenticación?

Una plataforma construida antes de que se finalizaran las normas puede necesitar actualizaciones importantes. Plataformas como DPP Agent, construidas en paralelo al proceso de normalización, están diseñadas para el cumplimiento desde la base.

Si desarrolla a medida

Las normas son su plano. No diseñe su modelo de datos ni la estructura de su API por su cuenta: ajústese a las especificaciones del CEN/CENELEC. Así ahorra tiempo de desarrollo y garantiza que su sistema pueda interoperar con el ecosistema DPP en su conjunto.

Si es proveedor

Sus clientes le pedirán que facilite datos en los formatos definidos por estas normas. Entender la norma sobre el modelo de datos le ayuda a preparar datos estructurados que fluyan sin problemas a los sistemas DPP de sus clientes.

La metodología DPP del JRC

Junto con las normas del CEN/CENELEC, el Centro Común de Investigación (JRC) de la Comisión Europea publicó su metodología DPP en marzo de 2026. Esta metodología complementa las normas definiendo:

  • Tres niveles de prioridad para los datos: esenciales, muy recomendados y voluntarios
  • Un método paso a paso: cómo elegir, para un grupo de productos, qué datos debe llevar un pasaporte y por qué

La metodología del JRC es un informe técnico, no una norma ni un texto jurídico, pero muestra cómo es probable que se elijan los requisitos de datos de los futuros actos delegados.

El papel de GS1

GS1, la organización mundial de normalización que está detrás de los códigos de barras y los GTIN, desempeña un papel concreto pero crucial en el ecosistema DPP:

  • GS1 Digital Link es uno de los esquemas de identificadores que reconoce la EN 18219, y el más utilizado para los productos de consumo
  • GTIN es el identificador de producto incorporado en un GS1 Digital Link
  • La infraestructura de resolver de GS1 respalda la resolución técnica de las URL de los DPP

Si sigue la vía GS1 y aún no tiene GTIN para sus productos, obtenerlos de la organización miembro de GS1 de su país es el primer paso. Más información en nuestra guía de GS1 Digital Link.

Normas aún en desarrollo

Con las ocho normas publicadas, el trabajo continúa en:

  • Extensiones sectoriales: campos de datos adicionales para baterías, textiles y electrónica
  • Armonización internacional: coordinación con la ISO y otros organismos internacionales de normalización
  • Especificaciones operativas del registro: procedimientos detallados para el registro DPP de la UE
  • Ensayos y certificación: cómo pueden certificarse las plataformas DPP para el cumplimiento de las normas

Implicaciones prácticas

La interoperabilidad es real

Las normas garantizan que un DPP creado en la plataforma A pueda leerse en la plataforma B, verificarse en el registro de la UE y consultarse por cualquier parte interesada autorizada. No es teoría: los pilotos de CIRPASS demostraron en la práctica la interoperabilidad entre plataformas.

Sin dependencia de un proveedor

Como los formatos de datos y las API están normalizados, las empresas no quedan atadas a una única plataforma DPP. Puede cambiar de proveedor sin perder los datos de sus pasaportes ni romper sus códigos QR. Está diseñado así.

El cumplimiento puede demostrarse

Seguir las normas le da un argumento de cumplimiento claro. Cuando una autoridad de vigilancia del mercado pregunte «¿cómo sabe que sus DPP cumplen?», la respuesta es sencilla: «Seguimos las normas armonizadas del CEN/CENELEC».

Próximos pasos

Entender las normas es importante. Implementarlas es lo que cuenta.

Empiece con una evaluación de preparación en dppagent.com para saber qué normas se aplican a sus productos y lo preparados que están sus sistemas actuales. Después, use DPP Agent para implementar DPP conformes sobre una infraestructura construida según las especificaciones del CEN/CENELEC. Con la tecnología de Blippa, que ayuda a las empresas europeas a orientarse en las normas DPP desde el primer día.