As oito normas DPP estão publicadas. Só seis têm referência no Jornal Oficial.

Em maio de 2026, o CEN/CENELEC JTC 24 publicou seis das oito normas harmonizadas para passaportes digitais dos produtos. Escrevemos sobre elas na altura e observámos que ainda faltavam duas.

Já não faltam. A EN 18239 e a EN 18246 foram aprovadas pelo CEN em 17 de agosto de 2026 e adotadas como SS-EN em 16 de setembro. O conjunto está completo.

É essa a parte que todos vão noticiar. A parte que importa mais é que o facto de o conjunto estar completo não tornou as oito iguais, e a diferença não é um pormenor técnico.

Seis têm referência publicada, duas não

A Decisão de Execução (UE) 2026/1736 da Comissão publica no Jornal Oficial a referência de seis normas:

A EN 18239 (gestão dos direitos de acesso, segurança dos sistemas de informação e confidencialidade comercial) e a EN 18246 (autenticidade, fiabilidade e integridade dos dados) não constam dessa lista.

É a publicação da referência no Jornal Oficial que confere efeito jurídico a uma norma harmonizada. Uma norma harmonizada cuja referência foi publicada confere presunção de conformidade (artigo 41.º do ESPR): siga-a e presume-se que cumpre o requisito legal correspondente, a menos que alguém prove o contrário. Uma norma sem referência publicada não confere essa presunção, por muito recente que seja e por muito boa que seja.

Por isso, as duas normas mais recentes ocupam uma posição peculiar. São reais, podem ser adquiridas, representam a opinião ponderada do comité que redigiu as outras seis — e segui-las é uma escolha, não uma defesa. Não pode apontar para a EN 18246 e dizer que se presume que está em conformidade. Ninguém mais pode, o que vale a pena saber quando um concorrente alega conformidade harmonizada com «as oito».

O mais provável é que as referências de ambas venham a ser publicadas numa alteração posterior da Decisão de Execução. Até lá, a formulação honesta é «seguimo-la», não «estamos em conformidade com ela».

Já que estamos a corrigir: não existe EN 18217

A série é escrita como EN 18216–18223 em quase todo o lado, incluindo por pessoas que deviam saber melhor. Não é um intervalo contínuo.

Não existe EN 18217 nem EN 18218. As oito são 18216, 18219, 18220, 18221, 18222, 18223, 18239 e 18246. Escrever o intervalo como 18216–18223 inventa duas normas que não existem e omite as duas que foram publicadas mais recentemente.

Se as cita numa especificação, numa resposta a um concurso ou num questionário a fornecedores, cite-as pelo número e pela cláusula. Um intervalo está errado nos dois sentidos.

O que pode realmente ser verificado do exterior

O nosso validador segue o conjunto publicado. Executa dez verificações, abrangendo sete das oito normas, sobre qualquer URL de passaporte, sem qualquer colaboração de quem o publica e sem conta.

Sete, não oito. A EN 18239 trata de controlo de acesso, segurança e confidencialidade, e quase nada nela pode ser respondido por um desconhecido que faz um único pedido. Implementamo-la — acesso ao nível da linha por cliente, tokens de curta duração em vez de chaves partilhadas, limitação de pedidos no resolver redigida em função do §5.2, ponto 11 —, mas implementar uma norma e testá-la do exterior são coisas diferentes, e uma verificação que não pode falhar não é uma verificação.

A mesma contenção aplica-se dentro da EN 18246. Os seus requisitos mais pesados dizem respeito a provar que um passaporte e o seu suporte são autênticos, o que exige assinatura criptográfica. Nada assina nada ainda — nem o nosso, nem o de ninguém —, e uma verificação em que nenhum passaporte do mundo pode passar não ensina nada ao leitor. Três das suas cláusulas podem ser respondidas do exterior. São essas três que executamos.

A verificação em que a maioria dos passaportes vai falhar

Dessas três, uma vai surpreender.

A EN 18246 §5.1.2 proíbe recolher informações pessoais de pessoas singulares que leem dados públicos do passaporte. O §5.1.5 exige que a definição de perfis seja impedida. Lidos em conjunto, descrevem exatamente o que faz uma etiqueta de análise: atribuir um identificador a quem lê, segui-lo de página em página, enviá-lo a um terceiro.

Um passaporte digital do produto que carrega Google Analytics, Meta Pixel, Hotjar, Clarity ou Segment está a recolher informações pessoais de alguém cujo único ato foi ler o código QR de uma camisola. O validador procura o anfitrião do rastreador na página que o consumidor efetivamente recebe, e não o nome de um ficheiro de script, porque cada um destes é distribuído com meia dúzia de nomes.

Esta é desconfortável de lançar, por isso vale a pena ser claro sobre a nossa própria posição: o nosso resolver injeta uma etiqueta GA4 quando um cliente define um ID de medição. A funcionalidade existe, e qualquer cliente que defina um falhará esta verificação no nosso próprio validador, nas nossas próprias páginas. É o único tipo de verificação que vale a pena escrever. Uma que isente o seu autor é marketing.

Se usa ferramentas de análise nas suas páginas de passaporte, a pergunta a levar à sua equipa jurídica não é se o rastreio é consentido — é se o §5.1.2 o permite sequer na metade pública de um passaporte.

A restrição dentro da EN 18239 que a torna difícil

A EN 18239 §5.2, ponto 11, exige que o acesso aos serviços DPP «seja limitado de forma a impedir ataques ou a recolha massiva não autorizada de dados».

As implementações óbvias estão todas vedadas por outras cláusulas do mesmo par de normas:

• Uma chave de API ou um início de sessão? A EN 18246 §4.3 diz que os dados públicos devem ser servidos sem autenticação. A EN 18239 §5.2(2) diz o mesmo e indica como motivo evitar a discriminação em função da localização geográfica.
• Bloquear por país? A EN 18239 §5.2(3) diz que o acesso não pode ser recusado apenas com base na localização ou na jurisdição do interveniente.
• Uma barreira CAPTCHA? O mesmo problema, e falha o §5.4.2 quanto à legibilidade em qualquer dispositivo de consumo.
• Registar endereços IP para detetar abusos? Um endereço IP é um dado pessoal, e o §5.1.2 proíbe recolher informações pessoais de quem lê dados públicos.
• Bloquear bots? A EN 18246 §5.1.8 diz que devem ser implementados mecanismos robustos contra a recolha automatizada de dados e, no mesmo fôlego, que o sistema pode permitir que motores de pesquisa benéficos indexem os dados do DPP. Um limitador que bloqueia o Googlebot não é mais seguro, está errado.

O que resta é estreito: limitar por um hash com sal do endereço, mantido em memória durante uma janela, nunca escrito em lado nenhum. O que sobrevive ao minuto é uma contagem, e uma contagem não diz respeito a uma pessoa.

É uma verdadeira restrição de engenharia, e é o tipo de coisa que só se torna visível quando as normas são lidas em conjunto e não uma de cada vez.

O que fazer com isto

1. Deixe de escrever o intervalo. EN 18216–18223 inventa duas normas e omite duas. Cite pelo número e pela cláusula.
2. Distinga «publicada» de «com referência publicada» nas suas próprias alegações. Seis conferem presunção de conformidade. Duas ainda não. Quem alega conformidade harmonizada com as oito está a alegar algo que neste momento não existe.
3. Veja o que as suas páginas de passaporte carregam. Se houver uma etiqueta de análise na metade pública, a EN 18246 §5.1.2 é uma conversa que tem de ter antes que outra pessoa a comece.
4. Compre as normas. Estão disponíveis no SIS e em en-standard.eu. Seis delas decidem se se presume que a sua implementação está em conformidade, e nenhum dos resumos em circulação — incluindo este — substitui o texto.

Pode executar as verificações acima sobre qualquer URL de passaporte em dppagent.com/validate, incluindo passaportes que não são nossos. O relatório é dado por norma e por cláusula, e indica que constatações são parciais e porquê.

Fontes

Fontes primárias utilizadas neste artigo:

• Decisão de Execução (UE) 2026/1736 da Comissão — publicação no Jornal Oficial das referências das normas harmonizadas para passaportes digitais dos produtos
• EN 18216 (protocolos de intercâmbio de dados), EN 18219 (identificadores únicos), EN 18220 (suportes de dados), EN 18221 (armazenamento, arquivo e persistência dos dados), EN 18222 (API para a gestão do ciclo de vida e a pesquisabilidade dos passaportes), EN 18223 (interoperabilidade dos sistemas) — CEN/CENELEC JTC 24, publicadas em maio de 2026
• EN 18239 (gestão dos direitos de acesso, segurança dos sistemas de informação e confidencialidade comercial) e EN 18246 (autenticidade, fiabilidade e integridade dos dados) — aprovadas pelo CEN em 17 de agosto de 2026, adotadas como SS-EN em 16 de setembro de 2026
• Regulamento (UE) 2024/1781 (ESPR), artigos 4.º, 9.º e 10.º — EUR-Lex

As referências a cláusulas neste artigo remetem para as edições SS-EN 2026 licenciadas. As normas são documentos protegidos por direitos de autor e não podem ser reproduzidas aqui; os números das cláusulas são indicados para que o texto possa ser confrontado com os originais.