CIRPASS et CEN/CENELEC : les normes DPP expliquées

Derrière chaque passeport numérique de produit se trouve un ensemble de normes techniques qui définissent la manière dont les données sont structurées, partagées et vérifiées. Deux noms reviennent sans cesse dans les discussions sur le DPP : CIRPASS et CEN/CENELEC. Comprendre ce qu’ils sont et ce qu’ils ont produit est indispensable pour quiconque met en œuvre la conformité DPP.

Qu’est-ce que CIRPASS ?

CIRPASS (Collaborative Initiative for a Standards-based Digital Product Passport for Stakeholder-Specific Sharing of Product Data for a Circular Economy) était un projet financé par l’UE, mené d’octobre 2022 à mars 2024. Sa mission : poser les bases techniques de la mise en œuvre à grande échelle des passeports numériques de produit en Europe.

CIRPASS a réuni environ 30 partenaires et partenaires associés — associations professionnelles, entreprises technologiques, organismes de normalisation et instituts de recherche — afin de répondre aux questions pratiques que le règlement ESPR laissait aux spécifications techniques :

Quel format de données les DPP doivent-ils utiliser ?
Comment les différents systèmes doivent-ils échanger les données DPP ?
À quoi ressemble l’interopérabilité entre secteurs et par-delà les frontières ?
Comment le contrôle d’accès doit-il fonctionner pour les différents types de parties prenantes ?

Livrables de CIRPASS

Le projet a produit plusieurs résultats clés :

Plan d’architecture DPP — Une architecture de référence qui définit le fonctionnement des systèmes de DPP, y compris les modèles de données, les spécifications d’API et les schémas d’interaction entre les plateformes DPP, le registre de l’UE et les utilisateurs finaux.

Feuilles de route sectorielles — Des feuilles de route pour des prototypes dans trois chaînes de valeur : batteries, textiles et électronique. Leur mise à l’essai incombe au projet qui lui a succédé, CIRPASS-2.

Cadre d’interopérabilité — Des spécifications sur la manière dont des DPP issus de plateformes et de secteurs différents peuvent fonctionner ensemble. C’est essentiel : une installation de recyclage ne devrait pas avoir besoin d’un outil différent pour le passeport de chaque marque.

Outils open source — CIRPASS-2 (le projet qui a pris la suite) a publié des outils open source, notamment :

Un validateur DPP pour vérifier la conformité des passeports
Un registre de l’UE fictif pour tester les procédures d’enregistrement

Ils sont disponibles sur github.com/CIRPASS-2 et sont précieux pour les entreprises qui construisent ou valident leur mise en œuvre de DPP.

CIRPASS-2

Le projet qui a pris la suite, CIRPASS-2, est actuellement en cours et se concentre sur :

L’affinage des normes à partir des retours de projets pilotes réels
Le soutien à l’élaboration des actes délégués par la Commission européenne
La constitution de la communauté de pratique (CoP) des parties prenantes du DPP
La préparation du lancement du registre DPP de l’UE (19 juillet 2026 ; mise à jour : en service depuis le 20 juillet 2026)

Qu’est-ce que le CEN/CENELEC ?

Le CEN (Comité européen de normalisation) et le CENELEC (Comité européen de normalisation électrotechnique) sont les organisations européennes officielles de normalisation. Lorsque l’UE a besoin de normes techniques à l’appui d’un règlement, c’est au CEN/CENELEC qu’elles sont élaborées.

Pour l’ESPR et les passeports numériques de produit, la Commission européenne a adressé une demande de normalisation (juillet 2024) au CEN, au CENELEC et à l’ETSI afin d’élaborer des normes harmonisées couvrant les exigences techniques de la mise en œuvre des DPP.

Les 8 normes DPP du CEN/CENELEC

Six ont été publiées en mai 2026 et les deux dernières en septembre 2026. Ensemble, elles constituent le référentiel technique de la mise en œuvre des DPP. Notez que les numéros ne forment pas une plage continue — il n’existe ni EN 18217 ni EN 18218 :

1. EN 18216 — Protocoles d’échange de données

Précise la manière dont les données DPP sont demandées et transmises entre les systèmes : transport HTTPS sécurisé, JSON comme format de base commun, et négociation de contenu pour que la même adresse puisse servir une page web ou des données lisibles par machine. Sans cette norme, chaque plateforme DPP parlerait sa propre langue.

2. EN 18219 — Identifiants uniques

Définit la manière dont les produits, les opérateurs économiques et les installations sont identifiés. Elle reconnaît cinq schémas d’identification de produit : GS1 Digital Link et d’autres chemins structurés compatibles web, l’Identification Link (EN IEC 61406), les identifiants décentralisés (DID), les identifiants ISO/IEC 15459 tels qu’utilisés en RFID, et le Digital Object Identifier (DOI).

3. EN 18220 — Supports de données

Définit les moyens physiques ou visuels — QR codes, codes Data Matrix, étiquettes RFID et NFC — par lesquels l’identifiant d’un produit parvient à un téléphone ou à un lecteur, y compris leur durabilité et leur emplacement.

4. EN 18221 — Stockage, archivage et persistance des données

Fixe des exigences pour que les passeports et leur historique de versions restent disponibles pendant la période requise, y compris au moyen de copies de sauvegarde détenues par un prestataire de services de passeport numérique de produit.

5. EN 18222 — API pour la gestion du cycle de vie des passeports et leur consultabilité

Précise l’interface qu’un système de DPP expose pour créer, lire, mettre à jour et rechercher des passeports, de sorte qu’un outil construit pour un système puisse en interroger un autre.

6. EN 18223 — Interopérabilité des systèmes

Définit la structure commune d’un passeport — comme l’en-tête qui déclare la granularité, la version du schéma et le statut — afin que différents systèmes de DPP puissent échanger et interpréter les passeports les uns des autres.

7. EN 18239 — Gestion des droits d’accès, sécurité des systèmes d’information et confidentialité des affaires

Définit la manière dont les différentes parties prenantes accèdent aux données DPP. Les consommateurs voient un ensemble d’informations, les partenaires commerciaux un autre, et les autorités ce à quoi elles ont droit. Étant donné que les DPP peuvent contenir des informations commercialement sensibles, la sécurité n’est pas facultative.

8. EN 18246 — Authentification, fiabilité et intégrité des données

Fixe des exigences pour démontrer que les données du passeport sont authentiques et non altérées, et pour protéger les personnes qui lisent les données publiques d’un passeport.

Comment les normes deviennent obligatoires

Une source fréquente de confusion : les normes du CEN/CENELEC sont par défaut d’application volontaire. Elles deviennent obligatoires dans les faits grâce au mécanisme de « présomption de conformité » de l’ESPR :

L’ESPR fixe des exigences (par exemple « les DPP doivent être interopérables »)
Le CEN/CENELEC élabore des normes harmonisées qui définissent comment satisfaire à ces exigences
Si vous suivez une norme harmonisée dont la référence est citée au Journal officiel, vous êtes présumé satisfaire aux exigences qu’elle couvre (article 41 de l’ESPR)
Si vous ne suivez pas la norme, vous devez démontrer la conformité par d’autres moyens — ce qui est nettement plus difficile et plus coûteux

En pratique, cela signifie que les normes du CEN/CENELEC sont obligatoires de facto. Construire un système de DPP qui les ignore est techniquement légal, mais peu judicieux en pratique.

Ce que les normes signifient pour votre mise en œuvre

Si vous choisissez une plateforme DPP

Posez ces questions à votre fournisseur de plateforme :

Êtes-vous conforme aux normes DPP du CEN/CENELEC ?
Comment traitez-vous la norme relative au modèle de données et au schéma ?
Votre interface avec le registre de l’UE est-elle prête pour le lancement de juillet 2026 ?
Comment mettez-vous en œuvre le contrôle d’accès conformément à la norme d’authentification ?

Une plateforme construite avant la finalisation des normes peut nécessiter d’importantes mises à jour. Des plateformes comme DPP Agent, construites en parallèle du processus de normalisation, sont conçues pour la conformité dès l’origine.

Si vous développez une solution sur mesure

Les normes sont votre plan directeur. Ne concevez pas votre modèle de données ou la structure de votre API de manière indépendante — alignez-vous sur les spécifications du CEN/CENELEC. Vous gagnez ainsi du temps de développement et garantissez que votre système pourra interagir avec l’écosystème DPP au sens large.

Si vous êtes fournisseur

Vos clients vous demanderont de fournir des données dans les formats définis par ces normes. Comprendre la norme relative au modèle de données vous aide à préparer des données structurées qui s’intègrent proprement dans les systèmes de DPP de vos clients.

La méthodologie DPP du JRC

Parallèlement aux normes du CEN/CENELEC, le Centre commun de recherche (JRC) de la Commission européenne a publié sa méthodologie DPP en mars 2026. Cette méthodologie complète les normes en définissant :

Trois niveaux de priorité pour les données — essentielles, fortement recommandées et volontaires
Une méthode pas à pas — comment choisir, pour un groupe de produits, quelles données un passeport doit contenir et pourquoi

La méthodologie du JRC est un rapport technique, ni une norme ni un texte juridique, mais elle montre comment les exigences en matière de données des futurs actes délégués seront probablement choisies.

Le rôle de GS1

GS1, l’organisation mondiale de normalisation à l’origine des codes-barres et des GTIN, joue un rôle précis mais déterminant dans l’écosystème DPP :

GS1 Digital Link est l’un des schémas d’identification reconnus par EN 18219, et le plus utilisé pour les produits de consommation
Le GTIN est l’identifiant de produit intégré dans un GS1 Digital Link
L’infrastructure de résolveurs GS1 prend en charge la résolution technique des URL de DPP

Si vous choisissez la voie GS1 et ne disposez pas encore de GTIN pour vos produits, la première étape consiste à les obtenir auprès de l’organisation membre GS1 de votre pays. Pour en savoir plus, consultez notre guide GS1 Digital Link.

Normes encore en cours d’élaboration

Les huit normes étant publiées, les travaux se poursuivent sur :

Les extensions sectorielles — Champs de données supplémentaires pour les batteries, les textiles et l’électronique
L’alignement international — Coordination avec l’ISO et d’autres organismes internationaux de normalisation
Les spécifications opérationnelles du registre — Procédures détaillées pour le registre DPP de l’UE
Les essais et la certification — Comment les plateformes DPP peuvent être certifiées conformes aux normes

Implications pratiques

L’interopérabilité est réelle

Les normes garantissent qu’un DPP créé sur une plateforme A peut être lu par une plateforme B, vérifié par le registre de l’UE et consulté par toute partie prenante autorisée. Ce n’est pas théorique — les pilotes CIRPASS ont démontré en pratique l’interopérabilité entre plateformes.

Aucune dépendance propriétaire

Comme les formats de données et les API sont normalisés, les entreprises ne sont pas prisonnières d’une seule plateforme DPP. Vous pouvez changer de prestataire sans perdre les données de vos passeports ni rendre vos QR codes inopérants. C’est voulu.

La conformité est démontrable

Suivre les normes vous donne un argument de conformité clair. Lorsqu’une autorité de surveillance du marché demande « comment savez-vous que vos DPP sont conformes ? », la réponse est simple : « Nous suivons les normes harmonisées du CEN/CENELEC. »

Prochaines étapes

Comprendre les normes est important. Les mettre en œuvre est ce qui compte.

Commencez par une évaluation de votre préparation sur dppagent.com pour savoir quelles normes s’appliquent à vos produits et dans quelle mesure vos systèmes actuels sont prêts. Utilisez ensuite DPP Agent pour mettre en œuvre des DPP conformes sur une infrastructure construite selon les spécifications du CEN/CENELEC. Propulsé par Blippa — aux côtés des entreprises européennes face aux normes DPP depuis le premier jour.