EN 18216 a 18223: as seis normas CEN que definem um passaporte digital do produto conforme

Há três anos que todas as discussões sobre o passaporte digital do produto (DPP) esbarram na mesma pergunta: qual é, afinal, o aspeto de um sistema DPP conforme? O regulamento ESPR (UE 2024/1781) é a base jurídica. O CIRPASS-2 esboçou a arquitetura. O GS1 Digital Link deu-nos a sintaxe dos URL. Mas faltavam as verdadeiras normas técnicas normativas — aquelas que uma marca pode apontar e dizer «construam segundo isto».

Essa lacuna está agora preenchida. O Comité Técnico Conjunto 24 (JTC 24) do CEN/CENELEC publicou seis normas europeias normativas que abrangem a arquitetura técnica de um passaporte digital do produto. Em conjunto, definem como funcionam os identificadores, como os dados são transportados, como se comporta a API, como os dados são trocados e arquivados e como os sistemas interoperam.

As seis normas publicadas são:

  • EN 18216 — Protocolos de intercâmbio de dados
  • EN 18219 — Identificadores únicos
  • EN 18220 — Suportes de dados
  • EN 18221 — Armazenamento e persistência dos dados
  • EN 18222 — API para o ciclo de vida e a pesquisabilidade dos passaportes de produtos
  • EN 18223 — Interoperabilidade dos sistemas

Outras duas — a EN 18239 (direitos de acesso e segurança) e a EN 18246 (autenticação e integridade dos dados) — estão ainda em preparação como projetos prEN e são referidas normativamente pelas 18221, 18222 e 18223. São as próximas esperadas. Atualização, outubro de 2026: ambas foram aprovadas pelo CEN em 17 de agosto de 2026 e estão agora publicadas — ver as oito normas DPP estão publicadas, só seis têm referência publicada no Jornal Oficial.

Este artigo percorre o que cada uma das seis normas publicadas exige efetivamente, porque é que as marcas devem alinhar já os seus sistemas DPP com elas e como as normas se articulam com o calendário dos atos delegados do ESPR para os têxteis.

Porque é que estas normas são importantes para a conformidade com o ESPR

O artigo 9.º do ESPR exige passaportes digitais dos produtos para os produtos colocados no mercado da UE nos grupos de produtos abrangidos por atos delegados. Os artigos 10.º e 11.º enumeram os requisitos essenciais: os passaportes têm de estar associados a um identificador único permanente e ser legíveis por máquina, acessíveis, seguros e interoperáveis.

Esses artigos não especificam, porém, como cumprir os requisitos a nível técnico. É isso que estas normas CEN fazem. O anexo ZA de cada norma faz corresponder as suas cláusulas aos requisitos do ESPR que abrange e, assim que a Comissão publica a referência de uma norma no Jornal Oficial, segui-la confere uma presunção de conformidade (artigo 41.º do ESPR) — o que significa que se presume que um sistema alinhado com a EN 18216 cumpre o requisito de intercâmbio de dados do ESPR, que um sistema que utiliza identificadores EN 18219 cumpre o requisito de unicidade, e assim por diante. Atualização, outubro de 2026: as referências das seis foram publicadas em 15 de julho de 2026 pela Decisão de Execução (UE) 2026/1736.

Em termos práticos: se não conseguir demonstrar o alinhamento com estas normas, a sua avaliação da conformidade ao abrigo do ESPR passa a ser uma argumentação à medida, caso a caso. Se conseguir, passa a ser uma caixa de verificação.

EN 18216 — Protocolos de intercâmbio de dados

Esta é a norma da camada de transporte. Define como um recurso DPP é pedido, transmitido e apresentado.

Secção 4 — Transporte: o intercâmbio de dados DPP tem de usar HTTPS com, no mínimo, TLS 1.2 (TLS 1.3 vivamente recomendado) e, no mínimo, HTTP/2, sendo recomendado o HTTP/3. As API devem seguir o estilo RESTful. Os protocolos mais antigos (TLS 1.1, SSL) são proibidos.

Secção 5 — Formatos e negociação de conteúdo: o JSON (segundo a ISO/IEC 21778) tem de ser suportado como base da interoperabilidade sintática. Podem ser oferecidos adicionalmente XML, JSON-LD e HTML, e o formato servido é escolhido por negociação de conteúdo HTTP (segundo o RFC 9110, o padrão habitual do cabeçalho Accept).

Este último requisito é aquele em que falha a maioria das implementações DPP atuais. O mesmo URL tem de devolver HTML apresentado (para um consumidor que lê um código QR) ou JSON / JSON-LD legível por máquina (para a ferramenta de um reciclador, a integração de um mercado em linha ou um verificador), consoante o cabeçalho Accept enviado pelo cliente. Um recurso, várias representações.

Quando é devolvido HTML, este tem de estar conforme com a EN 301549 (a norma europeia de acessibilidade). Uma página DPP apenas em HTML não está conforme com a EN 18216, mesmo que tudo o resto esteja correto.

EN 18219 — Identificadores únicos

Esta é a norma dos esquemas de identificadores, e a mais prescritiva das seis.

Secção 4.1 — unicidade global: sem reatribuição, distinto de qualquer outro identificador, sem coexistência com outro ID para a mesma instância do produto.

Secção 4.2 — persistência: o identificador tem de sobreviver à insolvência ou liquidação do operador. Uma nota acrescenta que o registo DPP da UE assegura um nível mínimo de preservação dos identificadores; manter o próprio passaporte disponível é um dever distinto do ESPR, cumprido através de uma cópia de segurança junto de um prestador de serviços de passaporte digital do produto (artigo 10.º, n.º 4, do ESPR).

Secção 4.3 — sintaxe: conjunto de caracteres segundo a ISO/IEC 646; a forma URI tem de seguir o RFC 3986; o identificador tem de ser um URL ou poder ser convertido num URL.

Secção 4.4 — granularidade: cada identificador tem de ser único na granularidade mais fina que serve (modelo, lote ou número de série ao nível do artigo). A granularidade tem de se manter coerente depois de o produto estar no mercado. Se a granularidade mudar — por exemplo, uma marca que passa de DPP ao nível do lote para DPP ao nível do artigo —, tem de ser emitido um novo identificador, ligado ao antigo para efeitos de rastreabilidade.

Secção 4.6 — abertura: a informação pública do DPP tem de ser acessível sem registo, sem descarregar uma aplicação e sem credenciais. Não é permitida a dependência de um fornecedor.

Esquema de ID 1 — ID de caminho estruturado habilitado para a Web (a via GS1): a via dominante na prática. Exige que o identificador esteja conforme com a GS1 Digital Link URI Syntax v1.6.0:2022, aplique os identificadores de aplicação GS1 segundo a ISO/IEC 15418, siga a resolução de caminho estruturado da ISO/IEC 18975 e utilize um código de agência emissora registado ao abrigo da ISO/IEC 15459-2 (um verdadeiro GS1 Global Company Prefix, não um marcador de posição).

Um URL GS1 Digital Link conforme tem este aspeto: /01/{GTIN}/22/{CPV}/10/{batch}/21/{serial}. Os segmentos do caminho codificam a granularidade automaticamente: /01/{GTIN} sozinho corresponde ao nível do modelo, acrescentar /10/{batch} torna-o ao nível do lote e acrescentar /21/{serial} torna-o ao nível do artigo.

Secção 6 — Identificadores do operador económico e da instalação: têm de usar um dos esquemas ISO/IEC 6523 (LEI, GS1 GCP, PEPPOL), ISO/IEC 15418/15459, DID ou DOI. Nomes de fabricante em texto livre no cabeçalho de um DPP não estão conformes.

EN 18220 — Suportes de dados

Esta norma define o meio físico ou visual através do qual o identificador do DPP chega a um leitor. Na prática: códigos QR, códigos Data Matrix, etiquetas RFID, etiquetas NFC.

A EN 18220 exige que o suporte codifique o identificador único de produto (segundo a EN 18219) que dá acesso ao DPP, possa ser lido pelas câmaras de smartphones amplamente disponíveis e por leitores industriais normais, e cumpra requisitos de durabilidade adequados ao ciclo de vida do produto.

Para a maioria das categorias destinadas ao consumidor — têxteis, calçado, mobiliário — um código QR que codifica o URL GS1 Digital Link é o suporte de facto. A EN 18220 confirma que isso é aceitável, mas fixa requisitos de durabilidade e de contraste. As marcas que usam etiquetas de papel penduradas têm de garantir que o suporte sobrevive pelo menos até o produto ser vendido; as marcas que usam etiquetas cosidas têm de garantir que pode ser lido durante o tempo de vida previsto do produto.

EN 18221 — Armazenamento, arquivo e persistência dos dados

É aqui que a maioria das implementações DPP existentes tem a maior lacuna.

Secção 4.2 — arquivo a partir da primeira alteração: cada alteração a um DPP tem de ser arquivada a partir do momento em que ocorre, e o histórico de versões tem de ser conservado durante todo o tempo de vida do DPP. O DPP não é um registo único e mutável; é um objeto versionado com histórico completo.

Secções 4.3 e 4.5 — prestador de serviços de cópia de segurança do DPP: quando um produto é colocado no mercado, pode ser exigido que seja disponibilizada uma cópia de segurança através de um prestador de serviços — a redação da norma é condicional, e se é aplicável decorre das regras do próprio produto. Quando o é, a cópia de segurança contém a versão atual e todas as versões históricas exigidas, e o acesso geral ao passaporte na cópia de segurança abre-se assim que o operador económico deixa de estar ativo no mercado. É isso que dá ao identificador a persistência exigida (EN 18219 §4.2.2, que exige que o identificador sobreviva à insolvência, à liquidação ou à cessação de atividade).

A duração não é um número nesta norma. A EN 18221 define o tempo de vida do passaporte digital do produto como o período durante o qual a regulamentação exige que o passaporte esteja disponível, e todos os requisitos de duração remetem para essa definição — pelo que os anos vêm do ato delegado do ESPR para a categoria, não da norma. A norma fixa, sim, um requisito de padrão de acesso: a versão tal como estava num dado momento tem de poder ser obtida por intervenientes autenticados e autorizados, pelo que o arquivo pode ser consultado, em vez de ser um registo só de escrita.

Um sistema DPP que armazena apenas o estado mais recente de cada passaporte não está conforme. As marcas têm de conceber para armazenamento versionado desde o primeiro dia — acrescentar tabelas de histórico de versões e pontos de leitura que tenham em conta as versões é muito mais fácil num sistema novo do que adaptar um que está em funcionamento há dois anos.

EN 18222 — API para o ciclo de vida e a pesquisabilidade dos passaportes de produtos

Esta é a norma das API. Define a interface mínima que todos os sistemas DPP têm de expor.

A EN 18222 impõe três métodos de leitura que todos os sistemas DPP conformes têm de expor como pontos de acesso normalizados:

  • ReadDPPById — obter um DPP pelo seu identificador único (o URI Digital Link completo ou o ID canónico).
  • ReadDPPByProductId — obter o DPP atual para um identificador de produto (normalmente o GTIN), devolvendo o passaporte mais recente.
  • ReadDPPIdsByProductIds — consulta em massa: dada uma lista de identificadores de produto, devolver os ID de DPP correspondentes. É assim que os mercados em linha, as autoridades aduaneiras e os recicladores processam catálogos de forma eficiente.

A norma define também métodos de ciclo de vida para criar, atualizar, arquivar e registar DPP no registo da UE. Estes têm de ser autenticados e sujeitos a controlo de acesso (com recurso à EN 18239, assim que esta for publicada).

A maioria dos sistemas DPP atuais expõe apenas uma interface CRUD genérica sobre o seu próprio modelo de dados. A EN 18222 exige que os três métodos de leitura existam como pontos de acesso normalizados — o que significa que uma ferramenta construída para um sistema DPP conforme com a EN 18222 pode consultar outro sem alterações de código. É essa a base técnica da integração de mercados em linha e recicladores à escala da UE.

EN 18223 — Interoperabilidade dos sistemas

Esta é a norma do esquema. Define a estrutura canónica do cabeçalho de um DPP — os metadados que envolvem o conteúdo específico do produto — para que diferentes sistemas DPP possam trocar e interpretar os passaportes uns dos outros.

Segundo a secção 4.1.2.1, o cabeçalho do DPP tem de incluir:

  • granularity — modelo, lote ou artigo — declarada explicitamente
  • dppSchemaVersion — versão do esquema utilizado
  • dppStatus — ativo, retirado, substituído, arquivado
  • lastUpdated — carimbo temporal da última alteração
  • economicOperatorId — devidamente formatado segundo a ISO/IEC 6523 (LEI ou GS1 GCP), não texto livre
  • facilityId — mesmo requisito de formatação
  • dictionaryReference — por elemento de dados, uma referência ao vocabulário controlado que define esse elemento
  • contentSpecificationIds — referências às especificações de conteúdo da categoria de produto (o esquema do ato delegado do ESPR, nos DPP de têxteis)

A EN 18223 é o que torna a interoperabilidade real. Dois sistemas DPP alinhados com a mesma especificação de conteúdo e que produzam ambos cabeçalhos conformes com a EN 18223 podem trocar dados sem trabalho de integração à medida. Um reciclador pode construir uma única ferramenta que processa DPP de têxteis de qualquer marca.

O que ainda falta: EN 18239 e EN 18246

Outras duas normas da família estão ainda a ser finalizadas (atualização, outubro de 2026: ambas estão agora publicadas, mas as suas referências ainda não foram publicadas no Jornal Oficial):

  • EN 18239 — Direitos de acesso e segurança. Define como funcionam a autenticação, a autorização e o acesso baseado em funções para os dados DPP. Diferentes partes interessadas (consumidor, oficina de reparação, reciclador, autoridade aduaneira, autoridade de fiscalização) precisam de diferentes níveis de acesso ao mesmo DPP.
  • EN 18246 — Autenticação e integridade dos dados. Define como um DPP pode ser verificado criptograficamente como autêntico e não modificado. Provavelmente recorre a credenciais verificáveis ou a trabalho semelhante do W3C.

Ambas são referidas normativamente pelas EN 18221, EN 18222 e EN 18223 — pelo que as seis normas existentes têm dependências que ainda não estão totalmente publicadas. As marcas que constroem agora infraestruturas DPP devem conceber camadas de autenticação e de integridade substituíveis, prontas a receber a EN 18239 e a EN 18246 assim que estejam finalizadas.

Como isto se articula com o calendário dos atos delegados do ESPR

O regulamento-quadro ESPR (UE 2024/1781) entrou em vigor em 18 de julho de 2024. O plano de trabalho da Comissão para o ESPR (publicado em abril de 2025) confirma os atos delegados sucessivos que definem os requisitos específicos de cada grupo de produtos. Para os têxteis, o ato delegado é indicativamente esperado em 2027, com requisitos aplicáveis pelo menos 18 meses após a sua entrada em vigor — portanto, não antes de meados de 2028.

As normas CEN aqui descritas são horizontais — definem o sistema, não os campos de dados específicos dos têxteis. O esquema de dados dos têxteis virá do ato delegado do ESPR e do trabalho setorial do CIRPASS-2, e encaixará no cabeçalho EN 18223 como a referência contentSpecificationIds.

Esta separação é importante para o planeamento. Uma marca pode construir hoje segundo as EN 18216 / 18219 / 18220 / 18221 / 18222 / 18223 — a camada de sistema está agora totalmente especificada para as seis publicadas. A camada dos campos dos têxteis será acrescentada por cima quando o ato delegado for publicado, sem reconceber o sistema.

O que as marcas devem fazer agora

Para as marcas que já têm DPP-piloto em funcionamento (com códigos QR e URL Digital Link), os passos práticos a curto prazo são:

  1. Audite o seu resolver face à EN 18216 §5. O mesmo URL devolve JSON ou JSON-LD quando chamado com Accept: application/json? Se não, acrescente negociação de conteúdo. É normalmente a correção mais pequena da lista.
  2. Passe granularity, dppSchemaVersion, dppStatus e lastUpdated para o cabeçalho do DPP. Segundo a EN 18223 §4.1.2.1, são obrigatórios.
  3. Substitua qualquer campo de fabricante em texto livre por um economicOperatorId devidamente formatado. Segundo a EN 18219 §6, tem de ser um LEI, um GS1 GCP ou equivalente. O texto livre não passa na avaliação da conformidade.
  4. Planeie a conceção do arquivo para a EN 18221. Se a sua tabela de DPP só armazena o estado mais recente, acrescente uma tabela de versões e pontos de leitura que tenham em conta as versões. Isto é muito mais fácil de acrescentar antes de ter centenas de milhares de DPP em produção.
  5. Planeie os três métodos de leitura obrigatórios da EN 18222. Se a sua API atual é um CRUD genérico sobre um modelo de fonte de dados, coloque à frente dela aliases REST simples que exponham ReadDPPById, ReadDPPByProductId e ReadDPPIdsByProductIds como pontos de acesso normalizados.

Onde obter as normas

O CEN não vende normas diretamente. São distribuídas através dos organismos nacionais de normalização. Vias de compra habituais para a série EN 18216–18223:

  • SIS (sis.se) — o organismo nacional sueco. Compra por norma ou assinatura SIS. Útil se quiser a série completa em sueco (SS EN) e em inglês.
  • en-standard.eu — loja privada, descarga imediata em PDF.
  • DIN (Alemanha) / BSI (Reino Unido) — as mesmas normas EN, por vezes com versões em inglês mais rápidas.

O custo típico é de 50-200 € por norma. O conjunto completo das seis normas fica entre 300 e 1 000 €, consoante a via. O estado da série mais alargada pode ser acompanhado em standards.cencenelec.eu.

Em suma

A publicação das EN 18216, 18219, 18220, 18221, 18222 e 18223 elimina a maior ambiguidade técnica que pairou sobre o trabalho com DPP nos últimos três anos. As marcas já não têm de adivinhar o aspeto de um sistema DPP conforme — as especificações são agora normativas, podem ser adquiridas e — assim que a sua referência for publicada no Jornal Oficial — conferem presunção de conformidade ao abrigo do artigo 41.º do ESPR.

O período entre agora e a aplicação do ESPR aos têxteis (não antes de meados de 2028) é o momento certo para auditar os pilotos existentes face às normas, colmatar as lacunas na negociação de conteúdo, nos atributos do cabeçalho, na conceção do arquivo e nos métodos de leitura normalizados, e conceber com pontos de encaixe substituíveis para a EN 18239 e a EN 18246, assim que estejam finalizadas.

As marcas que construírem agora segundo estas normas terão presunção de conformidade quando chegar a fiscalização. As que não o fizerem terão de apresentar uma argumentação à medida em cada avaliação da conformidade.