Les huit normes DPP sont publiées. Seules six sont citées.

En mai 2026, le CEN/CENELEC JTC 24 a publié six des huit normes harmonisées relatives aux passeports numériques de produit. Nous les avions présentées à l’époque, en notant qu’il en manquait encore deux.

Elles ne manquent plus. EN 18239 et EN 18246 ont été approuvées par le CEN le 17 août 2026 et adoptées en tant que SS-EN le 16 septembre. La série est complète.

C’est ce que tout le monde va retenir. Ce qui compte davantage, c’est que la série complète n’a pas rendu les huit normes équivalentes, et que cette différence n’a rien d’un détail technique.

Six sont citées, deux ne le sont pas

La décision d’exécution (UE) 2026/1736 de la Commission cite six normes au Journal officiel :

EN 18239 (gestion des droits d’accès, sécurité des systèmes d’information et confidentialité des affaires) et EN 18246 (authenticité, fiabilité et intégrité des données) ne figurent pas dans cette liste.

C’est la citation au Journal officiel qui donne à une norme harmonisée un effet juridique. Une norme harmonisée citée confère une présomption de conformité (article 41 de l’ESPR) : si vous la suivez, vous êtes présumé satisfaire à l’exigence légale correspondante, sauf preuve du contraire. Une norme non citée ne confère aucune présomption de ce type, aussi récente et aussi bonne soit-elle.

Les deux normes les plus récentes occupent donc une position singulière. Elles existent, elles peuvent être achetées, elles reflètent l’avis mûrement réfléchi du comité qui a rédigé les six autres — et les suivre relève du choix, non de la défense. Vous ne pouvez pas invoquer EN 18246 pour vous dire présumé conforme. Personne d’autre ne le peut non plus, ce qu’il est utile de savoir lorsqu’un concurrent revendique une conformité harmonisée aux « huit normes ».

Les deux seront très probablement citées dans une modification ultérieure de la décision d’exécution. D’ici là, la formulation honnête est « nous la suivons », et non « nous y sommes conformes ».

Puisque nous rectifions : il n’existe pas d’EN 18217

La série est présentée presque partout sous la forme EN 18216–18223, y compris par des personnes qui devraient être mieux informées. Ce n’est pas une plage continue.

Il n’existe ni EN 18217 ni EN 18218. Les huit normes sont 18216, 18219, 18220, 18221, 18222, 18223, 18239 et 18246. Écrire la plage 18216–18223, c’est à la fois inventer deux normes qui n’existent pas et omettre les deux publiées le plus récemment.

Si vous citez ces normes dans un cahier des charges, une réponse à un appel d’offres ou un questionnaire fournisseur, citez-les par numéro et par clause. Une plage est fausse dans les deux sens.

Ce qui peut réellement être contrôlé de l’extérieur

Notre validateur suit la série publiée. Il effectue dix contrôles couvrant sept des huit normes, sur n’importe quelle URL de passeport, sans coopération de l’éditeur et sans compte.

Sept, pas huit. EN 18239 porte sur le contrôle d’accès, la sécurité et la confidentialité, et presque rien de son contenu ne peut être vérifié par un inconnu qui envoie une seule requête. Nous la mettons en œuvre — accès au niveau des lignes par espace client, jetons à courte durée de vie plutôt que clés partagées, limitation du débit du résolveur conçue au regard du §5.2, point 11 — mais mettre en œuvre une norme et la tester de l’extérieur sont deux choses différentes, et un contrôle qui ne peut pas échouer n’est pas un contrôle.

La même retenue s’applique au sein d’EN 18246. Ses exigences les plus lourdes consistent à prouver qu’un passeport et son support de données sont authentiques, ce qui nécessite une signature cryptographique. Rien n’est encore signé — ni chez nous, ni chez personne — et un contrôle qu’aucun passeport au monde ne peut réussir n’apprend rien au lecteur. Trois de ses clauses peuvent être vérifiées de l’extérieur. Ce sont ces trois-là que nous contrôlons.

Le contrôle auquel la plupart des passeports vont échouer

Parmi ces trois clauses, l’une va surprendre.

EN 18246 §5.1.2 interdit de collecter des informations personnelles auprès des personnes physiques qui lisent les données publiques d’un passeport. Le §5.1.5 exige que le profilage soit empêché. Lues ensemble, ces clauses décrivent exactement ce que fait une balise d’analyse d’audience : attribuer un identifiant à un lecteur, le suivre de page en page, transmettre ces données à un tiers.

Un passeport numérique de produit qui charge Google Analytics, Meta Pixel, Hotjar, Clarity ou Segment collecte des informations personnelles auprès d’une personne dont le seul acte a été de scanner un QR code sur un pull. Le validateur recherche l’hôte du traceur dans la page que le consommateur reçoit réellement, et non un nom de fichier de script, car chacun de ces outils est diffusé sous une demi-douzaine de noms.

Ce contrôle est inconfortable à publier, il vaut donc la peine d’être clair sur notre propre position : notre résolveur injecte une balise GA4 lorsqu’un client renseigne un identifiant de mesure. La fonctionnalité existe, et tout client qui en renseigne un échouera à ce contrôle dans notre propre validateur, sur nos propres pages. C’est le seul type de contrôle qui vaille la peine d’être écrit. Celui qui exempte son auteur relève du marketing.

Si vous utilisez un outil d’analyse d’audience sur vos pages de passeport, la question à poser à votre service juridique n’est pas de savoir si le suivi fait l’objet d’un consentement — c’est de savoir si le §5.1.2 l’autorise tout simplement sur la partie publique d’un passeport.

La contrainte d’EN 18239 qui complique tout

Le §5.2, point 11, d’EN 18239 exige que l’accès aux services DPP « soit limité de manière à empêcher les attaques ou l’extraction massive non autorisée de données ».

Les mises en œuvre évidentes sont toutes exclues par d’autres clauses de ces deux mêmes normes :

• Une clé d’API ou une connexion ? EN 18246 §4.3 dispose que les données publiques doivent être servies sans authentification. EN 18239 §5.2(2) dit la même chose et invoque, comme raison, la nécessité d’éviter toute discrimination fondée sur la localisation géographique.
• Bloquer par pays ? EN 18239 §5.2(3) dispose que l’accès ne doit pas être refusé sur la seule base de la localisation ou de la juridiction de l’acteur.
• Un mur de CAPTCHA ? Même problème, et il échoue au §5.4.2 sur la lisibilité avec n’importe quel appareil grand public.
• Journaliser les adresses IP pour repérer les abus ? Une adresse IP est une donnée personnelle, et le §5.1.2 interdit de collecter des informations personnelles auprès des lecteurs de données publiques.
• Bloquer les robots ? EN 18246 §5.1.8 dispose que des mécanismes robustes contre l’extraction de données devraient être mis en œuvre et, dans le même souffle, que le système peut permettre à des moteurs de recherche utiles d’indexer les données DPP. Un limiteur qui bloque Googlebot n’est pas plus sûr, il est erroné.

Ce qui reste est étroit : limiter le débit au moyen d’un hachage salé de l’adresse, conservé en mémoire pendant la durée d’une fenêtre, jamais écrit nulle part. Ce qui survit à la minute est un décompte, et un décompte ne concerne pas une personne.

C’est une véritable contrainte d’ingénierie, et le genre de chose qui n’apparaît qu’une fois les normes lues ensemble plutôt qu’une à une.

Que faire de tout cela

1. Cessez d’écrire la plage. EN 18216–18223 invente deux normes et en omet deux. Citez par numéro et par clause.
2. Distinguez « publiée » et « citée » dans vos propres déclarations. Six confèrent une présomption de conformité. Deux ne le font pas, pas encore. Quiconque revendique une conformité harmonisée aux huit normes revendique quelque chose qui n’existe pas à ce jour.
3. Regardez ce que chargent vos pages de passeport. S’il y a une balise d’analyse d’audience sur la partie publique, EN 18246 §5.1.2 est une discussion que vous devez avoir avant que quelqu’un d’autre ne l’engage.
4. Achetez les normes. Elles sont disponibles auprès de SIS et d’en-standard.eu. Six d’entre elles déterminent si votre mise en œuvre est présumée conforme, et aucun des résumés en circulation — celui-ci compris — ne remplace le texte.

Vous pouvez effectuer les contrôles ci-dessus sur n’importe quelle URL de passeport à l’adresse dppagent.com/validate, y compris pour des passeports qui ne sont pas les nôtres. Le rapport est établi par norme et par clause, et indique quels constats sont partiels et pourquoi.

Sources

Sources primaires utilisées dans cet article :

• Décision d’exécution (UE) 2026/1736 de la Commission — citation au Journal officiel des normes harmonisées relatives aux passeports numériques de produit
• EN 18216 (protocoles d’échange de données), EN 18219 (identifiants uniques), EN 18220 (supports de données), EN 18221 (stockage, archivage et persistance des données), EN 18222 (API pour la gestion du cycle de vie des passeports et leur consultabilité), EN 18223 (interopérabilité des systèmes) — CEN/CENELEC JTC 24, publiées en mai 2026
• EN 18239 (gestion des droits d’accès, sécurité des systèmes d’information et confidentialité des affaires) et EN 18246 (authenticité, fiabilité et intégrité des données) — approuvées par le CEN le 17 août 2026, adoptées en tant que SS-EN le 16 septembre 2026
• Règlement (UE) 2024/1781 (ESPR), articles 4, 9 et 10 — EUR-Lex

Les références de clauses dans cet article renvoient aux éditions SS-EN 2026 sous licence. Les normes sont des documents protégés par le droit d’auteur et ne peuvent pas être reproduites ici ; les numéros de clauses sont indiqués afin que le texte puisse être vérifié par rapport aux originaux.