Tutte e otto le norme DPP sono pubblicate. Solo sei sono citate.

Nel maggio 2026 il CEN/CENELEC JTC 24 ha pubblicato sei delle otto norme armonizzate per i passaporti digitali di prodotto. All'epoca ne abbiamo scritto, osservando che due mancavano ancora.

Ora non mancano più. EN 18239 ed EN 18246 sono state approvate dal CEN il 17 agosto 2026 e adottate come SS-EN il 16 settembre. La serie è completa.

Questa è la parte che tutti riporteranno. La parte che conta di più è che la serie, pur completa, non ha reso uguali tutte e otto le norme, e la differenza non è un tecnicismo.

Sei sono citate, due no

La decisione di esecuzione (UE) 2026/1736 della Commissione cita sei norme nella Gazzetta ufficiale:

EN 18239 (gestione dei diritti di accesso, sicurezza dei sistemi informativi e riservatezza commerciale) ed EN 18246 (autenticità, affidabilità e integrità dei dati) non sono in quell'elenco.

È la citazione nella Gazzetta ufficiale a conferire effetti giuridici a una norma armonizzata. Una norma armonizzata citata comporta la presunzione di conformità (articolo 41 dell'ESPR): se la seguite, si presume che soddisfiate il requisito giuridico corrispondente, a meno che qualcuno non dimostri il contrario. Una norma non citata non comporta alcuna presunzione di questo tipo, per quanto recente sia la sua pubblicazione e per quanto sia valida.

Le due norme più recenti si trovano quindi in una posizione particolare. Sono reali, si possono acquistare, rappresentano la posizione meditata del comitato che ha scritto le altre sei, eppure seguirle è una scelta, non una difesa. Non potete indicare EN 18246 e dire che si presume siate conformi. Né può farlo nessun altro, ed è bene saperlo quando un concorrente dichiara una conformità armonizzata a «tutte e otto».

Con ogni probabilità entrambe saranno citate in una successiva modifica della decisione di esecuzione. Finché non lo saranno, la formulazione onesta è «la seguiamo», non «siamo conformi».

Già che correggiamo: non esiste una EN 18217

La serie viene scritta come EN 18216–18223 quasi ovunque, anche da chi dovrebbe saperlo. Non è un intervallo continuo.

Non esistono né una EN 18217 né una EN 18218. Le otto sono 18216, 18219, 18220, 18221, 18222, 18223, 18239 e 18246. Scrivere l'intervallo 18216–18223 inventa due norme che non esistono e omette le due pubblicate più di recente.

Se citate queste norme in una specifica, in una risposta a una gara o in un questionario per i fornitori, citatele per numero e punto. Un intervallo è sbagliato in entrambe le direzioni.

Cosa si può verificare davvero dall'esterno

Il nostro validatore segue la serie pubblicata. Esegue dieci controlli su sette delle otto norme, su qualsiasi URL di passaporto, senza alcuna collaborazione da parte di chi pubblica e senza account.

Sette, non otto. EN 18239 riguarda controllo degli accessi, sicurezza e riservatezza, e quasi nulla al suo interno può essere verificato da un estraneo con una sola richiesta. La implementiamo (accesso a livello di riga per tenant, token di breve durata anziché chiavi condivise, limitazione della frequenza delle richieste al resolver scritta in base al §5.2 punto 11), ma implementare una norma e verificarla dall'esterno sono cose diverse, e un controllo che non può fallire non è un controllo.

Lo stesso riserbo vale all'interno di EN 18246. I suoi requisiti più impegnativi riguardano la prova che un passaporto e il suo supporto dati sono autentici, il che richiede la firma crittografica. Al momento nessuno firma nulla, né noi né altri, e un controllo che nessun passaporto al mondo può superare non insegna nulla a chi legge. Tre dei suoi punti possono essere verificati dall'esterno. Sono quei tre che eseguiamo.

Il controllo che la maggior parte dei passaporti non supererà

Di quei tre, uno sorprenderà molti.

EN 18246 §5.1.2 vieta di raccogliere informazioni personali dalle persone fisiche che leggono i dati pubblici del passaporto. §5.1.5 richiede che la profilazione sia impedita. Letti insieme, descrivono esattamente ciò che fa un tag di analytics: assegnare un identificativo a chi legge, seguirlo da una pagina all'altra, inviarlo a un terzo.

Un passaporto digitale di prodotto che carica Google Analytics, Meta Pixel, Hotjar, Clarity o Segment raccoglie informazioni personali da qualcuno il cui unico gesto è stato scansionare un codice QR su un maglione. Il validatore cerca l'host del tracker nella pagina che il consumatore riceve effettivamente, non il nome di uno script, perché ciascuno di questi strumenti circola sotto una mezza dozzina di nomi.

È un controllo scomodo da rilasciare, quindi vale la pena essere chiari sulla nostra posizione: il nostro resolver inserisce un tag GA4 quando un tenant imposta un ID di misurazione. La funzione esiste, e qualsiasi tenant che ne imposti uno non supererà questo controllo nel nostro stesso validatore, sulle nostre stesse pagine. È l'unico tipo di controllo che valga la pena scrivere. Uno che esenta il suo autore è marketing.

Se usate strumenti di analytics sulle pagine dei vostri passaporti, la domanda da porre al vostro ufficio legale non è se il tracciamento sia acconsentito, ma se il §5.1.2 lo consenta affatto sulla parte pubblica di un passaporto.

Il vincolo dentro EN 18239 che rende tutto difficile

EN 18239 §5.2 punto 11 richiede che l'accesso ai servizi DPP «sia limitato in modo da impedire attacchi o lo scraping massivo non autorizzato dei dati».

Le implementazioni ovvie sono tutte precluse da altri punti della stessa coppia di norme:

• Una chiave API o un login? EN 18246 §4.3 dice che i dati pubblici devono essere serviti senza autenticazione. EN 18239 §5.2(2) dice lo stesso e indica come motivo l'esigenza di evitare discriminazioni in base alla posizione geografica.
• Bloccare per paese? EN 18239 §5.2(3) dice che l'accesso non deve essere negato unicamente in base alla posizione o alla giurisdizione del soggetto.
• Un muro di CAPTCHA? Stesso problema, e non soddisfa il §5.4.2 sulla leggibilità con qualsiasi dispositivo di consumo.
• Registrare gli indirizzi IP per individuare gli abusi? Un indirizzo IP è un dato personale, e il §5.1.2 vieta di raccogliere informazioni personali da chi legge i dati pubblici.
• Bloccare i bot? EN 18246 §5.1.8 dice che dovrebbero essere implementati meccanismi anti-scraping robusti e, nella stessa frase, che il sistema può consentire ai motori di ricerca utili di indicizzare i dati DPP. Un limitatore che blocca Googlebot non è più sicuro, è sbagliato.

Ciò che resta è un margine stretto: limitare la frequenza in base a un hash con salt dell'indirizzo, tenuto in memoria per la durata di una finestra e mai scritto da nessuna parte. Ciò che sopravvive al minuto è un conteggio, e un conteggio non riguarda una persona.

È un vincolo ingegneristico reale, ed è il genere di cosa che diventa visibile solo quando le norme vengono lette insieme anziché una alla volta.

Cosa farne

1. Smettete di scrivere l'intervallo. EN 18216–18223 inventa due norme e ne omette due. Citate per numero e punto.
2. Distinguete «pubblicata» da «citata» nelle vostre dichiarazioni. Sei comportano la presunzione di conformità. Due no, per ora. Chiunque dichiari una conformità armonizzata a tutte e otto dichiara qualcosa che al momento non esiste.
3. Guardate cosa caricano le pagine dei vostri passaporti. Se sulla parte pubblica c'è un tag di analytics, EN 18246 §5.1.2 è una conversazione che dovete avviare prima che la avvii qualcun altro.
4. Acquistate le norme. Sono disponibili presso SIS ed en-standard.eu. Sei di esse decidono se si presume che la vostra implementazione sia conforme, e nessuna delle sintesi in circolazione, compresa questa, può sostituirne il testo.

Potete eseguire i controlli descritti sopra su qualsiasi URL di passaporto su dppagent.com/validate, compresi passaporti che non sono nostri. Il rapporto è suddiviso per norma e per punto, e indica quali rilievi sono parziali e perché.

Fonti

Fonti primarie usate in questo articolo:

• Decisione di esecuzione (UE) 2026/1736 della Commissione — citazione delle norme armonizzate per i passaporti digitali di prodotto nella Gazzetta ufficiale
• EN 18216 (protocolli di scambio dei dati), EN 18219 (identificativi univoci), EN 18220 (supporti dati), EN 18221 (archiviazione, conservazione e persistenza dei dati), EN 18222 (API per la gestione del ciclo di vita e la ricercabilità dei passaporti), EN 18223 (interoperabilità dei sistemi) — CEN/CENELEC JTC 24, pubblicate a maggio 2026
• EN 18239 (gestione dei diritti di accesso, sicurezza dei sistemi informativi e riservatezza commerciale) ed EN 18246 (autenticità, affidabilità e integrità dei dati) — approvate dal CEN il 17 agosto 2026, adottate come SS-EN il 16 settembre 2026
• Regolamento (UE) 2024/1781 (ESPR), articoli 4, 9 e 10 — EUR-Lex

I riferimenti ai punti delle norme in questo articolo si riferiscono alle edizioni SS-EN 2026 con licenza. Le norme sono documenti protetti da diritto d'autore e non possono essere riprodotte qui; i numeri dei punti sono indicati affinché il testo possa essere verificato rispetto agli originali.