Da EN 18216 a 18223: le sei norme CEN che definiscono un passaporto digitale di prodotto conforme

Da tre anni ogni discussione sul passaporto digitale di prodotto (DPP) si scontra con la stessa domanda: che aspetto ha, concretamente, un sistema DPP conforme? Il regolamento ESPR (UE 2024/1781) è la fonte giuridica. CIRPASS-2 ha abbozzato l'architettura. GS1 Digital Link ci ha dato la sintassi degli URL. Ma mancavano le vere norme tecniche normative, quelle che un brand può indicare dicendo «costruite secondo questo».

Quella lacuna ora è colmata. Il comitato tecnico congiunto 24 (JTC 24) del CEN/CENELEC ha pubblicato sei norme europee normative che coprono l'architettura tecnica di un passaporto digitale di prodotto. Insieme definiscono come funzionano gli identificativi, come vengono veicolati i dati, come si comporta l'API, come i dati vengono scambiati e conservati e come i sistemi interoperano.

Le sei norme pubblicate sono:

• EN 18216 — Protocolli di scambio dei dati
• EN 18219 — Identificativi univoci
• EN 18220 — Supporti dati
• EN 18221 — Archiviazione e persistenza dei dati
• EN 18222 — API per il ciclo di vita e la ricercabilità dei passaporti di prodotto
• EN 18223 — Interoperabilità dei sistemi

Altre due, EN 18239 (diritti di accesso e sicurezza) ed EN 18246 (autenticazione e integrità dei dati), sono ancora in preparazione come progetti prEN e sono richiamate normativamente da 18221, 18222 e 18223. Sono attese a breve. Aggiornamento, ottobre 2026: entrambe sono state approvate dal CEN il 17 agosto 2026 e sono ora pubblicate; vedete tutte e otto le norme DPP sono pubblicate, solo sei sono citate.

Questo articolo illustra cosa richiede concretamente ciascuna delle sei norme pubblicate, perché i brand dovrebbero allineare fin d'ora i propri sistemi DPP a esse e come le norme si intrecciano con il calendario degli atti delegati ESPR per i tessili.

Perché queste norme contano per la conformità all'ESPR

L'articolo 9 dell'ESPR richiede passaporti digitali di prodotto per i prodotti immessi sul mercato dell'UE nei gruppi di prodotti coperti da atti delegati. Gli articoli 10 e 11 elencano i requisiti essenziali: i passaporti devono essere collegati a un identificativo univoco persistente, leggibili da dispositivo, accessibili, sicuri e interoperabili.

Quegli articoli, tuttavia, non specificano come soddisfare i requisiti sul piano tecnico. È ciò che fanno queste norme CEN. L'allegato ZA di ciascuna norma collega i suoi punti ai requisiti ESPR che copre e, una volta che la Commissione cita una norma nella Gazzetta ufficiale, seguirla conferisce una presunzione di conformità (articolo 41 dell'ESPR): ciò significa che si presume che un sistema allineato a EN 18216 soddisfi il requisito ESPR sullo scambio di dati, che un sistema che usa identificativi EN 18219 soddisfi il requisito di univocità, e così via. Aggiornamento, ottobre 2026: tutte e sei sono state citate il 15 luglio 2026 con la decisione di esecuzione (UE) 2026/1736.

In termini pratici: se non riuscite a dimostrare l'allineamento a queste norme, la vostra valutazione della conformità ai sensi dell'ESPR diventa un'argomentazione su misura, caso per caso. Se ci riuscite, diventa una casella da spuntare.

EN 18216 — Protocolli di scambio dei dati

È la norma del livello di trasporto. Definisce come una risorsa DPP viene richiesta, trasmessa e visualizzata.

Sezione 4 — Trasporto: lo scambio di dati DPP deve usare HTTPS con almeno TLS 1.2 (TLS 1.3 fortemente raccomandato) e almeno HTTP/2, con HTTP/3 raccomandato. Le API dovrebbero seguire lo stile RESTful. I protocolli più vecchi (TLS 1.1, SSL) sono vietati.

Sezione 5 — Formati e negoziazione dei contenuti: JSON (secondo ISO/IEC 21778) deve essere supportato come base di interoperabilità sintattica. XML, JSON-LD e HTML possono essere offerti in aggiunta, e il formato servito viene scelto tramite negoziazione dei contenuti HTTP (secondo RFC 9110, il consueto schema dell'intestazione Accept).

Quest'ultimo requisito è quello che la maggior parte delle implementazioni DPP attuali non soddisfa. Lo stesso URL deve restituire HTML visualizzato (per un consumatore che scansiona un codice QR) oppure JSON / JSON-LD leggibile da dispositivo (per lo strumento di un riciclatore, un'integrazione con un marketplace o un verificatore), a seconda dell'intestazione Accept inviata dal client. Una risorsa, più rappresentazioni.

Quando viene restituito HTML, deve essere conforme a EN 301549 (la norma UE sull'accessibilità). Una pagina DPP solo HTML non è conforme a EN 18216, anche se tutto il resto è corretto.

EN 18219 — Identificativi univoci

È la norma sullo schema degli identificativi, e la più prescrittiva delle sei.

Sezione 4.1 — univocità globale: nessuna riassegnazione, distinzione da qualsiasi altro identificativo, nessuna coesistenza con un altro ID per la stessa istanza di prodotto.

Sezione 4.2 — persistenza: l'identificativo deve sopravvivere all'insolvenza o alla liquidazione dell'operatore. Una nota aggiunge che il registro UE dei DPP garantisce un livello minimo di conservazione degli identificativi; mantenere disponibile il passaporto stesso è un obbligo ESPR distinto, soddisfatto tramite una copia di riserva presso un fornitore di servizi di passaporto digitale di prodotto (articolo 10, paragrafo 4, dell'ESPR).

Sezione 4.3 — sintassi: insieme di caratteri secondo ISO/IEC 646; la forma URI deve seguire RFC 3986; l'identificativo deve essere un URL o convertibile in un URL.

Sezione 4.4 — granularità: ogni identificativo deve essere univoco al livello di granularità più fine che serve (modello, lotto o numero di serie dell'articolo). La granularità deve restare coerente una volta che il prodotto è sul mercato. Se la granularità cambia (ad esempio un brand che passa da DPP a livello di lotto a DPP a livello di articolo), deve essere emesso un nuovo identificativo, collegato a quello precedente ai fini della tracciabilità.

Sezione 4.6 — apertura: le informazioni pubbliche del DPP devono essere raggiungibili senza registrazione, download di app o credenziali. Non è ammesso alcun vincolo verso un fornitore.

Schema di ID 1 — ID a percorso strutturato abilitato al web (la via GS1): la via dominante nella pratica. Richiede che l'identificativo sia conforme a GS1 Digital Link URI Syntax v1.6.0:2022, applichi gli Application Identifier GS1 secondo ISO/IEC 15418, segua la risoluzione a percorso strutturato di ISO/IEC 18975 e usi un Issuing Agency Code registrato ai sensi di ISO/IEC 15459-2 (un vero GS1 Global Company Prefix, non un segnaposto).

Un URL GS1 Digital Link conforme ha questo aspetto: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. I segmenti del percorso codificano automaticamente la granularità: /01/{GTIN} da solo è a livello di modello, aggiungendo /10/{batch} diventa a livello di lotto, aggiungendo /21/{serial} diventa a livello di articolo.

Sezione 6 — Identificativi dell'operatore economico e del sito: devono usare uno degli schemi ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID o DOI. I nomi del fabbricante in testo libero nell'intestazione di un DPP non sono conformi.

EN 18220 — Supporti dati

Questa norma definisce i mezzi fisici o visivi con cui l'identificativo del DPP raggiunge uno scanner o un lettore. In pratica: codici QR, codici Data Matrix, tag RFID, tag NFC.

EN 18220 richiede che il supporto dati codifichi l'identificativo univoco del prodotto (secondo EN 18219) che dà accesso al DPP, sia leggibile dalle fotocamere degli smartphone comunemente disponibili e dai lettori industriali standard, e soddisfi requisiti di durabilità adeguati al ciclo di vita del prodotto.

Per la maggior parte delle categorie rivolte ai consumatori (tessili, calzature, mobili) un codice QR che codifica l'URL GS1 Digital Link è il supporto dati di fatto. EN 18220 conferma che è accettabile, ma fissa requisiti di durabilità e di contrasto. I brand che usano cartellini di carta devono assicurarsi che il supporto dati sopravviva almeno fino alla vendita del prodotto; i brand che usano etichette cucite devono garantire la scansionabilità per tutta la durata di vita prevista del prodotto.

EN 18221 — Archiviazione, conservazione e persistenza dei dati

È qui che la maggior parte delle implementazioni DPP esistenti ha la lacuna più grande.

Sezione 4.2 — conservazione dalla prima modifica: ogni modifica a un DPP deve essere archiviata dal momento in cui avviene, e la cronologia delle versioni deve essere conservata per l'intera durata del DPP. Il DPP non è un singolo record modificabile; è un oggetto con versioni e cronologia completa.

Sezioni 4.3 e 4.5 — fornitore di servizi DPP di backup: quando un prodotto viene immesso sul mercato, può essere richiesto che una copia di riserva sia resa disponibile tramite un fornitore di servizi (la formulazione della norma è condizionale, e se si applichi dipende dalle regole proprie del prodotto). In tal caso, la copia di riserva contiene la versione attuale e tutte le versioni storiche richieste, e l'accesso generale al passaporto presso la copia di riserva si apre quando l'operatore economico non è più attivo sul mercato. È ciò che conferisce all'identificativo la persistenza richiesta (EN 18219 §4.2.2, che richiede che l'identificativo sopravviva a insolvenza, liquidazione o cessazione dell'attività).

La durata non è un numero in questa norma. EN 18221 definisce la durata del passaporto digitale di prodotto come il periodo durante il quale la normativa richiede che il passaporto sia disponibile, e ogni requisito di durata rimanda a essa: gli anni vengono quindi dall'atto delegato ESPR per la categoria, non dalla norma. La norma fissa però un requisito sulle modalità di accesso: la versione in vigore in un dato momento deve poter essere recuperata da soggetti autenticati e autorizzati, quindi l'archivio deve essere interrogabile, non un log in sola scrittura.

Un sistema DPP che conserva solo lo stato più recente di ciascun passaporto non è conforme. I brand devono progettare un'archiviazione con versioni fin dal primo giorno: aggiungere tabelle della cronologia delle versioni ed endpoint di lettura che tengano conto delle versioni è molto più facile in un sistema nuovo che adattarlo a uno in produzione da due anni.

EN 18222 — API per il ciclo di vita e la ricercabilità dei passaporti di prodotto

È la norma sulle API. Definisce l'interfaccia minima che ogni sistema DPP deve esporre.

EN 18222 impone tre metodi di lettura che ogni sistema DPP conforme deve esporre come endpoint standardizzati:

• ReadDPPById — recupera un DPP tramite il suo identificativo univoco (l'URI Digital Link completo o l'ID canonico).
• ReadDPPByProductId — recupera il DPP attuale per un identificativo di prodotto (di solito il GTIN), restituendo il passaporto più recente.
• ReadDPPIdsByProductIds — consultazione in blocco: dato un elenco di identificativi di prodotto, restituisce gli ID dei DPP corrispondenti. È così che marketplace, autorità doganali e riciclatori elaborano i cataloghi in modo efficiente.

La norma definisce anche metodi del ciclo di vita per creare, aggiornare, archiviare e registrare i DPP nel registro UE. Questi devono essere autenticati e soggetti a controllo degli accessi (secondo EN 18239, una volta pubblicata).

Oggi la maggior parte dei sistemi DPP espone solo un'interfaccia CRUD generica sul proprio modello di dati. EN 18222 richiede che i tre metodi di lettura esistano come endpoint standardizzati: uno strumento costruito per un sistema DPP conforme a EN 18222 può quindi interrogarne un altro senza modifiche al codice. È la base tecnica dell'integrazione di marketplace e riciclatori su scala UE.

EN 18223 — Interoperabilità dei sistemi

È la norma sugli schemi. Definisce la struttura canonica dell'intestazione di un DPP, i metadati che racchiudono il contenuto specifico del prodotto, così che sistemi DPP diversi possano scambiarsi e interpretare i passaporti gli uni degli altri.

Secondo la sezione 4.1.2.1, l'intestazione del DPP deve includere:

• granularity — modello, lotto o articolo, dichiarata esplicitamente
• dppSchemaVersion — versione dello schema in uso
• dppStatus — attivo, ritirato, sostituito, archiviato
• lastUpdated — marca temporale dell'ultima modifica
• economicOperatorId — formattato correttamente secondo ISO/IEC 6523 (LEI o GS1 GCP), non testo libero
• facilityId — stesso requisito di formattazione
• dictionaryReference — per ogni elemento di dati, un riferimento al vocabolario controllato che lo definisce
• contentSpecificationIds — riferimenti alle specifiche di contenuto della categoria di prodotto (lo schema dell'atto delegato ESPR, nei DPP tessili)

EN 18223 è ciò che rende reale l'interoperabilità. Due sistemi DPP allineati alla stessa specifica di contenuto ed entrambi in grado di produrre intestazioni conformi a EN 18223 possono scambiarsi dati senza alcun lavoro di integrazione su misura. Un riciclatore può costruire un unico strumento che elabora i DPP tessili di qualsiasi brand.

Cosa manca ancora: EN 18239 ed EN 18246

Altre due norme della famiglia sono ancora in fase di finalizzazione (aggiornamento, ottobre 2026: entrambe sono ora pubblicate, ma non ancora citate nella Gazzetta ufficiale):

• EN 18239 — Diritti di accesso e sicurezza. Definisce come funzionano autenticazione, autorizzazione e accesso basato sui ruoli per i dati DPP. Soggetti diversi (consumatore, riparatore, riciclatore, autorità doganale, autorità di vigilanza) hanno bisogno di livelli di accesso diversi allo stesso DPP.
• EN 18246 — Autenticazione e integrità dei dati. Definisce come un DPP può essere verificato crittograficamente come autentico e non modificato. Probabilmente userà credenziali verificabili o lavori analoghi del W3C.

Entrambe sono richiamate normativamente da EN 18221, EN 18222 ed EN 18223: le sei norme esistenti hanno quindi dipendenze non ancora pubblicate per intero. I brand che costruiscono oggi un'infrastruttura DPP dovrebbero progettare livelli di autenticazione e integrità intercambiabili, pronti ad accogliere EN 18239 ed EN 18246 una volta finalizzate.

Il rapporto con il calendario degli atti delegati ESPR

Il regolamento quadro ESPR (UE 2024/1781) è entrato in vigore il 18 luglio 2024. Il piano di lavoro della Commissione per l'ESPR (pubblicato nell'aprile 2025) conferma la serie progressiva di atti delegati che definiscono i requisiti specifici per gruppo di prodotti. Per i tessili, l'atto delegato è atteso indicativamente nel 2027, con requisiti che si applicano almeno 18 mesi dopo la sua entrata in vigore, quindi non prima della metà del 2028.

Le norme CEN qui descritte sono orizzontali: definiscono il sistema, non i campi di dati specifici dei tessili. Lo schema dei dati tessili arriverà dall'atto delegato ESPR e dal lavoro settoriale di CIRPASS-2, e si innesterà nell'intestazione EN 18223 come riferimento contentSpecificationIds.

Questa separazione conta per la pianificazione. Un brand può costruire oggi secondo EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223: il livello di sistema è ora completamente specificato per le sei pubblicate. Il livello dei campi tessili verrà aggiunto sopra quando l'atto delegato sarà pubblicato, senza riprogettare il sistema.

Cosa dovrebbero fare ora i brand

Per i brand che hanno già DPP pilota in funzione (con codici QR e URL Digital Link), i passi pratici a breve termine sono:

1. Verificate il vostro resolver rispetto a EN 18216 §5. Lo stesso URL restituisce JSON o JSON-LD quando viene chiamato con Accept: application/json? In caso contrario, aggiungete la negoziazione dei contenuti. Di solito è la correzione più piccola dell'elenco.
2. Portate granularity, dppSchemaVersion, dppStatus e lastUpdated nell'intestazione del DPP. Secondo EN 18223 §4.1.2.1 sono obbligatori.
3. Sostituite qualsiasi campo del fabbricante in testo libero con un economicOperatorId formattato correttamente. Secondo EN 18219 §6 deve essere un LEI, un GS1 GCP o equivalente. Il testo libero non supera la valutazione della conformità.
4. Pianificate la progettazione dell'archivio per EN 18221. Se la vostra tabella DPP conserva solo lo stato più recente, aggiungete una tabella delle versioni ed endpoint di lettura che tengano conto delle versioni. È molto più facile farlo prima di avere centinaia di migliaia di DPP in produzione.
5. Pianificate i tre metodi di lettura obbligatori di EN 18222. Se la vostra API attuale è un CRUD generico su un modello di origine dati, anteponetele sottili alias REST che espongano ReadDPPById, ReadDPPByProductId e ReadDPPIdsByProductIds come endpoint standardizzati.

Dove procurarsi le norme

Il CEN non vende direttamente le norme. Sono distribuite tramite gli organismi nazionali di normazione. Canali di acquisto comuni per la serie EN 18216–18223:

• SIS (sis.se) — l'organismo nazionale svedese. Acquisto della singola norma o abbonamento SIS. Utile se volete l'intera serie in svedese (SS EN) e in inglese.
• en-standard.eu — negozio privato, download immediato del PDF.
• DIN (Germania) / BSI (Regno Unito) — le stesse norme EN, a volte con versioni inglesi più rapide.

Il costo tipico è di 50-200 € per norma. L'intera serie di sei norme costa 300-1.000 € a seconda del canale. Lo stato della serie più ampia può essere seguito su standards.cencenelec.eu.

In sintesi

La pubblicazione di EN 18216, 18219, 18220, 18221, 18222 e 18223 chiude la più grande ambiguità tecnica che ha pesato sul lavoro DPP negli ultimi tre anni. I brand non devono più indovinare che aspetto abbia un sistema DPP conforme: le specifiche sono ora normative, acquistabili e, una volta citate nella Gazzetta ufficiale, conferiscono la presunzione di conformità ai sensi dell'articolo 41 dell'ESPR.

La finestra da qui all'applicazione dell'ESPR ai tessili (non prima della metà del 2028) è il momento giusto per verificare i progetti pilota esistenti rispetto alle norme, colmare le lacune su negoziazione dei contenuti, attributi dell'intestazione, progettazione dell'archivio e metodi di lettura standardizzati, e progettare punti di aggancio intercambiabili per EN 18239 ed EN 18246 una volta finalizzate.

I brand che costruiscono oggi secondo queste norme avranno la presunzione di conformità al momento dell'applicazione. Quelli che non lo fanno dovranno costruire un'argomentazione su misura in ogni valutazione della conformità.