EN 18216 à 18223 : les six normes CEN qui définissent un passeport numérique de produit conforme

Depuis trois ans, chaque discussion sur le passeport numérique de produit (DPP) bute sur la même question : à quoi ressemble concrètement un système de DPP conforme ? Le règlement ESPR (UE 2024/1781) est la source juridique. CIRPASS-2 a esquissé l’architecture. GS1 Digital Link nous a donné la syntaxe des URL. Mais les véritables normes techniques normatives — celles qu’une marque peut désigner en disant « construisez selon ceci » — faisaient défaut.

Cette lacune est désormais comblée. Le comité technique mixte 24 du CEN/CENELEC (JTC 24) a publié six normes européennes normatives portant sur l’architecture technique d’un passeport numérique de produit. Ensemble, elles définissent le fonctionnement des identifiants, la manière dont les données sont portées, le comportement de l’API, l’échange et l’archivage des données, et l’interopérabilité des systèmes.

Les six normes publiées sont :

  • EN 18216 — Protocoles d’échange de données
  • EN 18219 — Identifiants uniques
  • EN 18220 — Supports de données
  • EN 18221 — Stockage et persistance des données
  • EN 18222 — API pour le cycle de vie des passeports de produit et leur consultabilité
  • EN 18223 — Interopérabilité des systèmes

Deux autres — EN 18239 (droits d’accès et sécurité) et EN 18246 (authentification et intégrité des données) — sont encore en préparation sous forme de projets prEN et sont référencées de manière normative par 18221, 18222 et 18223. Elles sont attendues prochainement. Mise à jour, octobre 2026 : toutes deux ont été approuvées par le CEN le 17 août 2026 et sont désormais publiées — voir les huit normes DPP sont publiées, seules six sont citées.

Cet article passe en revue ce qu’exige réellement chacune des six normes publiées, explique pourquoi les marques devraient dès maintenant aligner leurs systèmes de DPP sur elles, et montre comment ces normes s’articulent avec le calendrier des actes délégués de l’ESPR pour les textiles.

Pourquoi ces normes comptent pour la conformité à l’ESPR

L’article 9 de l’ESPR exige des passeports numériques de produit pour les produits mis sur le marché de l’Union qui relèvent des groupes de produits couverts par des actes délégués. Les articles 10 et 11 énumèrent les exigences essentielles : les passeports doivent être reliés à un identifiant unique persistant, lisibles par machine, accessibles, sécurisés et interopérables.

Ces articles ne précisent toutefois pas comment satisfaire à ces exigences sur le plan technique. C’est précisément le rôle de ces normes CEN. L’annexe ZA de chaque norme fait correspondre ses clauses aux exigences de l’ESPR qu’elle couvre et, une fois qu’une norme est citée par la Commission au Journal officiel, la suivre confère une présomption de conformité (article 41 de l’ESPR) — autrement dit, un système aligné sur EN 18216 est présumé satisfaire à l’exigence de l’ESPR en matière d’échange de données, un système utilisant les identifiants d’EN 18219 est présumé satisfaire à l’exigence d’unicité, et ainsi de suite. Mise à jour, octobre 2026 : les six normes ont été citées le 15 juillet 2026 par la décision d’exécution (UE) 2026/1736.

Concrètement : si vous ne pouvez pas démontrer l’alignement sur ces normes, votre évaluation de la conformité au titre de l’ESPR devient un argumentaire sur mesure, au cas par cas. Si vous le pouvez, elle devient une case à cocher.

EN 18216 — Protocoles d’échange de données

C’est la norme de la couche transport. Elle définit la manière dont une ressource DPP est demandée, transmise et restituée.

Section 4 — Transport : l’échange de données DPP doit utiliser HTTPS avec TLS 1.2 au minimum (TLS 1.3 vivement recommandé) et HTTP/2 au minimum, HTTP/3 étant recommandé. Les API devraient suivre le style RESTful. Les protocoles plus anciens (TLS 1.1, SSL) sont interdits.

Section 5 — Formats et négociation de contenu : le JSON (selon ISO/IEC 21778) doit être pris en charge comme socle d’interopérabilité syntaxique. Le XML, le JSON-LD et le HTML peuvent être proposés en complément, et le format servi est sélectionné par négociation de contenu HTTP (selon la RFC 9110, le mécanisme standard de l’en-tête Accept).

C’est sur cette dernière exigence qu’échouent la plupart des mises en œuvre actuelles de DPP. La même URL doit renvoyer soit du HTML restitué (pour un consommateur qui scanne un QR code), soit du JSON / JSON-LD lisible par machine (pour l’outil d’un recycleur, l’intégration d’une place de marché ou un vérificateur), en fonction de l’en-tête Accept envoyé par le client. Une seule ressource, plusieurs représentations.

Lorsque du HTML est renvoyé, il doit être conforme à EN 301549 (la norme européenne d’accessibilité). Une page DPP uniquement en HTML n’est pas conforme à EN 18216, même si tout le reste est correct.

EN 18219 — Identifiants uniques

C’est la norme relative aux schémas d’identification, et la plus prescriptive des six.

Section 4.1 — unicité mondiale : aucune réattribution, distinction par rapport à tout autre identifiant, aucune coexistence avec un autre identifiant pour la même instance de produit.

Section 4.2 — persistance : l’identifiant doit survivre à l’insolvabilité ou à la liquidation de l’opérateur. Une note précise que le registre DPP de l’UE garantit un niveau minimal de conservation des identifiants ; maintenir le passeport lui-même disponible est une obligation distincte de l’ESPR, remplie au moyen d’une copie de sauvegarde auprès d’un prestataire de services de passeport numérique de produit (article 10, paragraphe 4, de l’ESPR).

Section 4.3 — syntaxe : jeu de caractères selon ISO/IEC 646 ; la forme URI doit suivre la RFC 3986 ; l’identifiant doit être une URL ou pouvoir être converti en URL.

Section 4.4 — granularité : chaque identifiant doit être unique au niveau de granularité le plus fin qu’il sert (modèle, lot ou numéro de série à l’article). La granularité doit rester constante une fois le produit sur le marché. Si la granularité change — par exemple lorsqu’une marque passe de DPP au niveau du lot à des DPP au niveau de l’article —, un nouvel identifiant doit être émis et relié à l’ancien à des fins de traçabilité.

Section 4.6 — ouverture : les informations publiques du DPP doivent être accessibles sans inscription, sans téléchargement d’application et sans identifiants de connexion. Aucune dépendance à un fournisseur n’est autorisée.

Schéma d’identification 1 — identifiant à chemin structuré compatible web (la voie GS1) : la voie dominante en pratique. Elle exige que l’identifiant soit conforme à GS1 Digital Link URI Syntax v1.6.0:2022, applique les identifiants d’application GS1 selon ISO/IEC 15418, suive la résolution à chemin structuré d’ISO/IEC 18975 et utilise un code d’agence émettrice enregistré au titre d’ISO/IEC 15459-2 (un véritable GS1 Global Company Prefix, pas une valeur fictive).

Une URL GS1 Digital Link conforme se présente ainsi : /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Les segments du chemin encodent automatiquement la granularité : /01/{GTIN} seul correspond au niveau du modèle, l’ajout de /10/{batch} au niveau du lot, l’ajout de /21/{serial} au niveau de l’article.

Section 6 — Identifiants des opérateurs économiques et des installations : ils doivent utiliser l’un des schémas suivants : ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID ou DOI. Des noms de fabricant en texte libre dans l’en-tête d’un DPP ne sont pas conformes.

EN 18220 — Supports de données

Cette norme définit les moyens physiques ou visuels par lesquels l’identifiant du DPP parvient à un scanner ou à un lecteur. En pratique : QR codes, codes Data Matrix, étiquettes RFID, étiquettes NFC.

EN 18220 exige que le support de données encode l’identifiant unique « produit » (selon EN 18219) qui donne accès au DPP, qu’il soit lisible par les appareils photo de smartphones largement répandus et par les lecteurs industriels standard, et qu’il satisfasse à des exigences de durabilité adaptées au cycle de vie du produit.

Pour la plupart des catégories destinées aux consommateurs — textiles, chaussures, meubles —, un QR code encodant l’URL GS1 Digital Link est le support de fait. EN 18220 confirme que c’est acceptable, mais fixe des exigences de durabilité et de contraste. Les marques qui utilisent des étiquettes volantes en papier doivent s’assurer que le support survit au moins jusqu’à la vente du produit ; celles qui utilisent des étiquettes cousues doivent garantir la lisibilité au scanner pendant toute la durée de vie attendue du produit.

EN 18221 — Stockage, archivage et persistance des données

C’est là que la plupart des mises en œuvre de DPP existantes présentent leur plus grande lacune.

Section 4.2 — archivage dès la première modification : chaque modification d’un DPP doit être archivée dès qu’elle intervient, et l’historique des versions doit être conservé pendant toute la durée de vie du DPP. Le DPP n’est pas un enregistrement unique modifiable ; c’est un objet versionné avec un historique complet.

Sections 4.3 et 4.5 — prestataire de services de sauvegarde du DPP : lorsqu’un produit est mis sur le marché, il peut être exigé qu’une copie de sauvegarde soit mise à disposition par l’intermédiaire d’un prestataire de services — la formulation de la norme est conditionnelle, et son applicabilité découle des règles propres au produit. Le cas échéant, la sauvegarde contient la version actuelle et toutes les versions antérieures requises, et l’accès général au passeport auprès de la sauvegarde s’ouvre dès que l’opérateur économique n’est plus actif sur le marché. C’est ce qui confère à l’identifiant la persistance requise (EN 18219 §4.2.2, qui exige que l’identifiant survive à l’insolvabilité, à la liquidation ou à la cessation d’activité).

La durée n’est pas un chiffre dans cette norme. EN 18221 définit la durée de vie du passeport numérique de produit comme la période pendant laquelle la réglementation exige que le passeport soit disponible, et toutes les exigences de durée renvoient à cette définition — les années découlent donc de l’acte délégué de l’ESPR applicable à la catégorie, et non de la norme. Elle fixe en revanche une exigence relative aux modes d’accès : la version telle qu’elle existait à un moment donné doit pouvoir être récupérée par des acteurs authentifiés et autorisés, de sorte que l’archive puisse être interrogée au lieu d’être un simple journal en écriture seule.

Un système de DPP qui ne stocke que le dernier état de chaque passeport n’est pas conforme. Les marques doivent prévoir un stockage versionné dès le premier jour — ajouter des tables d’historique des versions et des points de lecture tenant compte des versions est bien plus simple dans un nouveau système que dans un système en production depuis deux ans.

EN 18222 — API pour le cycle de vie des passeports de produit et leur consultabilité

C’est la norme relative aux API. Elle définit l’interface minimale que tout système de DPP doit exposer.

EN 18222 impose trois méthodes de lecture que tout système de DPP conforme doit exposer sous forme de points d’accès normalisés :

  • ReadDPPById — récupérer un DPP par son identifiant unique (l’URI Digital Link complet ou l’identifiant canonique).
  • ReadDPPByProductId — récupérer le DPP actuel d’un identifiant de produit (généralement le GTIN), en renvoyant le passeport le plus récent.
  • ReadDPPIdsByProductIds — consultation en masse : à partir d’une liste d’identifiants de produit, renvoyer les identifiants de DPP correspondants. C’est ainsi que les places de marché, les autorités douanières et les recycleurs traitent efficacement des catalogues.

La norme définit également des méthodes de cycle de vie pour créer, mettre à jour, archiver et enregistrer des DPP dans le registre de l’UE. Celles-ci doivent être authentifiées et soumises à un contrôle d’accès (au moyen d’EN 18239 une fois publiée).

La plupart des systèmes de DPP actuels n’exposent qu’une interface CRUD générique sur leur propre modèle de données. EN 18222 exige que les trois méthodes de lecture existent sous forme de points d’accès normalisés — de sorte qu’un outil construit pour un système de DPP conforme à EN 18222 puisse en interroger un autre sans modification du code. C’est le fondement technique de l’intégration des places de marché et des recycleurs à l’échelle de l’UE.

EN 18223 — Interopérabilité des systèmes

C’est la norme relative au schéma. Elle définit la structure canonique de l’en-tête d’un DPP — les métadonnées qui enveloppent le contenu propre au produit — afin que différents systèmes de DPP puissent échanger et interpréter les passeports les uns des autres.

Selon la section 4.1.2.1, l’en-tête du DPP doit comprendre :

  • granularity — modèle, lot ou article — déclarée explicitement
  • dppSchemaVersion — version du schéma utilisé
  • dppStatus — actif, retiré, remplacé, archivé
  • lastUpdated — horodatage de la dernière modification
  • economicOperatorId — formaté correctement selon ISO/IEC 6523 (LEI ou GS1 GCP), pas en texte libre
  • facilityId — même exigence de formatage
  • dictionaryReference — pour chaque élément de données, une référence au vocabulaire contrôlé qui définit cet élément
  • contentSpecificationIds — références aux spécifications de contenu de la catégorie de produits (le schéma de l’acte délégué de l’ESPR, pour les DPP textiles)

EN 18223 est ce qui rend l’interopérabilité réelle. Deux systèmes de DPP alignés sur la même spécification de contenu et produisant tous deux des en-têtes conformes à EN 18223 peuvent échanger des données sans aucun travail d’intégration sur mesure. Un recycleur peut construire un seul outil qui traite les DPP textiles de n’importe quelle marque.

Ce qui manque encore : EN 18239 et EN 18246

Deux autres normes de la famille sont encore en cours de finalisation (mise à jour, octobre 2026 : toutes deux sont désormais publiées, mais pas encore citées au Journal officiel) :

  • EN 18239 — Droits d’accès et sécurité. Définit le fonctionnement de l’authentification, de l’autorisation et de l’accès fondé sur les rôles pour les données DPP. Les différentes parties prenantes (consommateur, atelier de réparation, recycleur, autorité douanière, autorité de surveillance) ont besoin de niveaux d’accès différents au même DPP.
  • EN 18246 — Authentification et intégrité des données. Définit comment l’authenticité et l’intégrité d’un DPP peuvent être vérifiées par des moyens cryptographiques. S’appuiera probablement sur des attestations vérifiables ou des travaux similaires du W3C.

Toutes deux sont référencées de manière normative par EN 18221, EN 18222 et EN 18223 — les six normes existantes ont donc des dépendances qui ne sont pas encore entièrement publiées. Les marques qui construisent aujourd’hui une infrastructure DPP devraient prévoir des couches d’authentification et d’intégrité enfichables, prêtes à accueillir EN 18239 et EN 18246 une fois finalisées.

Correspondance avec le calendrier des actes délégués de l’ESPR

Le règlement-cadre ESPR (UE 2024/1781) est entré en vigueur le 18 juillet 2024. Le plan de travail de la Commission pour l’ESPR (publié en avril 2025) confirme les actes délégués successifs qui définissent les exigences propres à chaque groupe de produits. Pour les textiles, l’acte délégué est attendu à titre indicatif en 2027, les exigences s’appliquant au moins 18 mois après son entrée en vigueur — donc pas avant mi-2028.

Les normes CEN décrites ici sont horizontales — elles définissent le système, pas les champs de données propres aux textiles. Le schéma de données textiles proviendra de l’acte délégué de l’ESPR et des travaux sectoriels de CIRPASS-2, et s’insérera dans l’en-tête EN 18223 en tant que référence contentSpecificationIds.

Cette séparation est importante pour la planification. Une marque peut construire dès aujourd’hui selon EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 — la couche système est désormais entièrement spécifiée pour les six normes publiées. La couche des champs textiles s’y ajoutera lors de la publication de l’acte délégué, sans refonte du système.

Ce que les marques devraient faire dès maintenant

Pour les marques qui ont déjà des DPP pilotes en service (avec des QR codes et des URL Digital Link), les étapes pratiques à court terme sont les suivantes :

  1. Auditez votre résolveur au regard d’EN 18216 §5. La même URL renvoie-t-elle du JSON ou du JSON-LD lorsqu’elle est appelée avec Accept: application/json ? Sinon, ajoutez la négociation de contenu. C’est généralement la correction la plus légère de la liste.
  2. Intégrez granularity, dppSchemaVersion, dppStatus et lastUpdated dans l’en-tête du DPP. Selon EN 18223 §4.1.2.1, ils sont obligatoires.
  3. Remplacez tout champ fabricant en texte libre par un economicOperatorId correctement formaté. Selon EN 18219 §6, il doit s’agir d’un LEI, d’un GS1 GCP ou d’un équivalent. Le texte libre échoue à l’évaluation de la conformité.
  4. Prévoyez la conception de l’archive selon EN 18221. Si votre table de DPP ne stocke que le dernier état, ajoutez une table des versions et des points de lecture tenant compte des versions. C’est bien plus simple à ajouter avant d’avoir des centaines de milliers de DPP en production.
  5. Prévoyez les trois méthodes de lecture obligatoires d’EN 18222. Si votre API actuelle est un CRUD générique sur un modèle de source de données, placez devant elle de fins alias REST qui exposent ReadDPPById, ReadDPPByProductId et ReadDPPIdsByProductIds sous forme de points d’accès normalisés.

Où se procurer les normes

Le CEN ne vend pas directement les normes. Elles sont distribuées par les organismes nationaux de normalisation. Voies d’achat courantes pour la série EN 18216–18223 :

  • SIS (sis.se) — l’organisme national suédois. Achat à l’unité ou abonnement SIS. Utile si vous voulez la série complète en suédois (SS EN) et en anglais.
  • en-standard.eu — boutique privée, téléchargement immédiat en PDF.
  • DIN (Allemagne) / BSI (Royaume-Uni) — les mêmes normes EN, parfois avec des versions anglaises disponibles plus rapidement.

Le coût habituel est de 50 à 200 € par norme. La série complète des six normes coûte de 300 à 1 000 € selon la voie choisie. L’état d’avancement de l’ensemble de la série peut être suivi sur standards.cencenelec.eu.

En résumé

La publication d’EN 18216, 18219, 18220, 18221, 18222 et 18223 lève la principale ambiguïté technique qui pesait sur les travaux relatifs au DPP depuis trois ans. Les marques n’ont plus à deviner à quoi ressemble un système de DPP conforme — les spécifications sont désormais normatives, disponibles à l’achat et — une fois citées au Journal officiel — confèrent une présomption de conformité au titre de l’article 41 de l’ESPR.

La période qui nous sépare de l’application de l’ESPR aux textiles (pas avant mi-2028) est le bon moment pour auditer les pilotes existants au regard des normes, combler les lacunes en matière de négociation de contenu, d’attributs d’en-tête, de conception de l’archive et de méthodes de lecture normalisées, et prévoir des points d’ancrage enfichables pour EN 18239 et EN 18246 une fois finalisées.

Les marques qui construisent dès maintenant selon ces normes bénéficieront de la présomption de conformité au moment de l’application. Les autres devront présenter un argumentaire sur mesure à chaque évaluation de la conformité.