Alla åtta DPP-standarder är publicerade. Bara sex är offentliggjorda i EUT.

I maj 2026 publicerade CEN/CENELEC JTC 24 sex av de åtta harmoniserade standarderna för digitala produktpass. Vi skrev om dem då och noterade att två fortfarande saknades.

De saknas inte längre. EN 18239 och EN 18246 godkändes av CEN den 17 augusti 2026 och fastställdes som SS-EN den 16 september. Serien är komplett.

Det är den del alla kommer att rapportera. Den del som betyder mer är att en komplett serie inte har gjort alla åtta likvärdiga, och skillnaden är ingen formalitet.

Sex är offentliggjorda i EUT, två är det inte

Kommissionens genomförandebeslut (EU) 2026/1736 offentliggör hänvisningar till sex standarder i Europeiska unionens officiella tidning:

EN 18239 (hantering av åtkomsträttigheter, informationssystemsäkerhet och affärsmässig konfidentialitet) och EN 18246 (dataäkthet, tillförlitlighet och integritet) finns inte med i den listan.

Det är offentliggörandet i EUT som ger en harmoniserad standard rättslig verkan. En harmoniserad standard som offentliggjorts där ger presumtion om överensstämmelse (artikel 41 i ESPR): följer du den presumeras du uppfylla motsvarande rättsliga krav, om inte någon visar motsatsen. En standard som inte offentliggjorts ger ingen sådan presumtion, hur nyligen den än publicerats och hur bra den än är.

De två nyaste standarderna befinner sig alltså i ett märkligt läge. De är verkliga, de går att köpa, de representerar den genomtänkta uppfattningen hos kommittén som skrev de andra sex – och att följa dem är ett val snarare än ett försvar. Du kan inte peka på EN 18246 och säga att du presumeras uppfylla kraven. Det kan ingen annan heller, vilket är värt att veta när en konkurrent hävdar harmoniserad överensstämmelse med ”alla åtta”.

Båda kommer sannolikt att offentliggöras i en senare ändring av genomförandebeslutet. Tills dess är den ärliga formuleringen ”vi följer den”, inte ”vi överensstämmer med den”.

När vi ändå rättar saker: det finns ingen EN 18217

Serien skrivs som EN 18216–18223 nästan överallt, även av folk som borde veta bättre. Det är inte ett sammanhängande intervall.

Det finns ingen EN 18217 och ingen EN 18218. De åtta är 18216, 18219, 18220, 18221, 18222, 18223, 18239 och 18246. Att skriva intervallet som 18216–18223 både hittar på två standarder som inte finns och utelämnar de två som publicerades senast.

Om du hänvisar till dem i en specifikation, ett anbud eller ett leverantörsformulär, ange dem med nummer och avsnitt. Ett intervall blir fel åt båda hållen.

Vad som faktiskt kan kontrolleras utifrån

Vår validator följer den publicerade serien. Den kör tio kontroller mot sju av de åtta standarderna, på vilken pass-URL som helst, utan medverkan från utgivaren och utan konto.

Sju, inte åtta. EN 18239 handlar om åtkomstkontroll, säkerhet och konfidentialitet, och nästan inget i den kan besvaras av en utomstående som gör en enda förfrågan. Vi implementerar den – åtkomst på radnivå per kundkonto, kortlivade token i stället för delade nycklar, hastighetsbegränsning i resolvern skriven mot §5.2 punkt 11 – men att implementera en standard och att testa den utifrån är olika saker, och en kontroll som inte kan underkänna är ingen kontroll.

Samma återhållsamhet gäller inom EN 18246. Dess tyngsta krav handlar om att bevisa att ett pass och dess databärare är äkta, vilket kräver kryptografisk signering. Ingenting signeras ännu – inte våra pass, inte någon annans – och en kontroll som inget pass på jorden kan klara lär läsaren ingenting. Tre av dess avsnitt kan besvaras utifrån. Det är de tre vi kör.

Kontrollen som de flesta pass kommer att underkännas på

Av de tre kommer en att överraska.

EN 18246 §5.1.2 förbjuder insamling av personuppgifter från fysiska personer som läser publik passdata. §5.1.5 kräver att profilering förhindras. Lästa tillsammans beskriver de precis vad en analystagg gör: sätter en identifierare på läsaren, följer hen mellan sidor och skickar den till en tredje part.

Ett digitalt produktpass som laddar Google Analytics, Meta Pixel, Hotjar, Clarity eller Segment samlar in personuppgifter från någon vars enda handling var att skanna en QR-kod på en tröja. Validatorn letar efter spårarens värd i den sida som en konsument faktiskt får, inte efter ett skriptfilnamn, eftersom vart och ett av dem levereras under ett halvdussin namn.

Den här kontrollen är obekväm att lansera, så det är värt att vara tydlig med vår egen position: vår resolver lägger in en GA4-tagg när ett kundkonto anger ett mät-ID. Funktionen finns, och varje kund som anger ett ID underkänns på den här kontrollen i vår egen validator, på våra egna sidor. Det är den enda sortens kontroll som är värd att skriva. En som undantar upphovsmannen är marknadsföring.

Om du kör analysverktyg på dina passidor är frågan att ta med till juristerna inte om spårningen sker med samtycke – utan om §5.1.2 över huvud taget tillåter den på den publika delen av ett pass.

Begränsningen i EN 18239 som gör det svårt

EN 18239 §5.2 punkt 11 kräver att åtkomsten till DPP-tjänster ”ska begränsas på ett sådant sätt att attacker eller obehörig massinsamling av data förhindras”.

De uppenbara lösningarna stängs alla av andra avsnitt i samma par av standarder:

• En API-nyckel eller inloggning? EN 18246 §4.3 säger att publik data ska levereras utan autentisering. EN 18239 §5.2(2) säger samma sak och anger att undvika diskriminering på grund av geografisk plats som skälet.
• Blockera per land? EN 18239 §5.2(3) säger att åtkomst inte får nekas enbart på grund av aktörens plats eller jurisdiktion.
• En CAPTCHA-vägg? Samma problem, och den underkänns mot §5.4.2 om läsbarhet på alla konsumentenheter.
• Logga IP-adresser för att hitta missbrukare? En IP-adress är en personuppgift, och §5.1.2 förbjuder insamling av personuppgifter från dem som läser publik data.
• Blockera robotar? EN 18246 §5.1.8 säger att robusta mekanismer mot skrapning bör införas, och i samma andetag att systemet får låta nyttiga sökmotorer indexera DPP-data. En begränsare som blockerar Googlebot är inte säkrare, den är fel.

Det som återstår är snävt: strypa per saltad hash av adressen, hållen i minnet under ett fönster, aldrig skriven någonstans. Det som överlever minuten är ett antal, och ett antal handlar inte om en person.

Det är en verklig teknisk begränsning, och den sortens sak som bara blir synlig när standarderna läses tillsammans snarare än en i taget.

Vad du ska göra med det här

1. Sluta skriva intervallet. EN 18216–18223 hittar på två standarder och utelämnar två. Hänvisa med nummer och avsnitt.
2. Skilj mellan ”publicerad” och ”offentliggjord i EUT” i dina egna påståenden. Sex ger presumtion om överensstämmelse. Två gör det inte, ännu. Den som hävdar harmoniserad överensstämmelse med alla åtta hävdar något som inte finns i dag.
3. Titta på vad dina passidor laddar. Om det finns en analystagg på den publika delen är EN 18246 §5.1.2 ett samtal du behöver ta innan någon annan tar det.
4. Köp standarderna. De finns hos SIS och en-standard.eu. Sex av dem avgör om din implementation presumeras uppfylla kraven, och ingen av de sammanfattningar som cirkulerar – den här inräknad – ersätter texten.

Du kan köra kontrollerna ovan mot vilken pass-URL som helst på dppagent.com/validate, även pass som inte är våra. Rapporten redovisar per standard och per avsnitt, och anger vilka resultat som är partiella och varför.

Källor

Primärkällor som används i artikeln:

• Kommissionens genomförandebeslut (EU) 2026/1736 – offentliggörande av hänvisningar till harmoniserade standarder för digitala produktpass i Europeiska unionens officiella tidning
• EN 18216 (protokoll för datautbyte), EN 18219 (unika identifierare), EN 18220 (databärare), EN 18221 (datalagring, arkivering och beständighet), EN 18222 (API:er för hantering av passens livscykel och sökbarhet), EN 18223 (interoperabilitet mellan system) – CEN/CENELEC JTC 24, publicerade i maj 2026
• EN 18239 (hantering av åtkomsträttigheter, informationssystemsäkerhet och affärsmässig konfidentialitet) och EN 18246 (dataäkthet, tillförlitlighet och integritet) – godkända av CEN den 17 augusti 2026, fastställda som SS-EN den 16 september 2026
• Förordning (EU) 2024/1781 (ESPR), artiklarna 4, 9 och 10 – EUR-Lex

Avsnittshänvisningarna i artikeln avser de licensierade SS-EN-utgåvorna från 2026. Standarder är upphovsrättsskyddade dokument och kan inte återges här; avsnittsnumren anges så att texten kan kontrolleras mot originalen.