Chi può vedere e modificare i dati del tuo DPP

Introduzione: lo stesso QR code, risposte diverse

Quando si immagina un Digital Product Passport (DPP) viene spontaneo pensare a una pagina web pubblica, raggiungibile scansionando un QR code sull'etichetta. È vero solo in parte. Il passaporto è piuttosto un archivio di dati a più livelli: chiunque può leggerne una porzione, ma molte informazioni sono riservate a specifici soggetti della filiera, e solo alcuni di essi possono scriverci o aggiornarle.

Decidere chi vede cosa e chi può modificare cosa è quindi una delle scelte progettuali più delicate nell'implementazione di un DPP. Una matrice degli accessi troppo aperta espone segreti commerciali; una troppo chiusa rende il passaporto inutile per chi ripara, ricicla o controlla.

In questo articolo approfondiamo i cinque profili di utenti previsti, il quadro normativo europeo e i criteri pratici per progettare i permessi del vostro passaporto.

---

Il principio normativo: accesso differenziato per tipo di soggetto

Il riferimento è il Regolamento (UE) 2024/1781 sulla progettazione ecocompatibile dei prodotti sostenibili (ESPR). Il regolamento non stabilisce una volta per tutte quali dati siano pubblici, ma fissa alcuni principi validi per tutti i passaporti:

• Accesso gratuito in base ai diritti di accesso. Consumatori, operatori economici e altri attori rilevanti devono poter consultare il passaporto senza costi, nei limiti dei diritti stabiliti per la loro categoria (art. 10).
• Lettura e scrittura sono diritti distinti. Il diritto di introdurre, modificare o aggiornare informazioni nel passaporto è limitato in base ai diritti di accesso definiti negli atti delegati (art. 10).
• Le regole concrete arrivano con gli atti delegati. Per ogni gruppo di prodotti, l'atto delegato adottato ai sensi dell'art. 4 indica quali dati vanno nel passaporto, chi può accedervi e chi può aggiornarli.

In altre parole: ESPR fornisce la cornice, l'atto delegato di settore riempie la tabella dei permessi. Finché l'atto delegato per il vostro gruppo di prodotti non è pubblicato, conviene progettare un sistema di permessi flessibile, capace di spostare un campo da "pubblico" a "riservato" (o viceversa) senza riscrivere l'architettura.

---

I cinque profili di accesso

Il punto di partenza pratico è mappare i destinatari del passaporto. Ne individuiamo cinque.

Profilo	Chi è	Cosa gli serve (esempi)	Tipo di accesso tipico
Consumatori	Chi acquista e utilizza il prodotto	Composizione, istruzioni d'uso, indicazioni di riciclo	Lettura dei dati pubblici
Clienti e partner B2B	Clienti professionali e partner della filiera	Dati tecnici per integrare un componente nel proprio prodotto	Lettura di dati riservati
Riparatori e manutentori	Tecnici che riparano o mantengono il prodotto	Schemi di smontaggio, codici ricambi, informazioni diagnostiche	Lettura riservata ed eventuale registrazione degli interventi
Riciclatori e gestori del fine vita	Chi tratta il prodotto a fine vita	Materiali presenti, sostanze pericolose e loro posizione, istruzioni di smontaggio	Lettura riservata ed eventuale aggiornamento dello stato
Autorità di vigilanza e dogane	Autorità di vigilanza del mercato e dogane	Dichiarazione di conformità, documentazione tecnica	Lettura estesa per i controlli

1. Consumatori: il livello pubblico

È lo strato visibile a chiunque scansioni il supporto dati. Deve essere comprensibile e utile: composizione del prodotto, istruzioni per un uso corretto, indicazioni per la raccolta differenziata e il riciclo, informazioni ambientali richieste dall'atto delegato.

L'errore più comune è trattare questo livello come una vetrina di marketing o, all'opposto, come un dump tecnico illeggibile. Il consumatore ha bisogno di poche informazioni, ben presentate, spesso sul telefono e in pochi secondi.

2. Clienti e partner B2B: dati tecnici per la filiera

Nelle catene del valore industriali, il passaporto di un componente diventa una fonte di dati per il passaporto del prodotto finito. Un costruttore che integra il vostro componente ha bisogno di specifiche tecniche, dati sui materiali o sull'impronta ambientale che non avrebbe senso pubblicare per tutti.

Questo profilo pone una questione importante: come concedere l'accesso solo ai partner autorizzati, e come revocarlo quando il rapporto commerciale cambia. Servono quindi meccanismi di identificazione e gestione delle credenziali, non un semplice link nascosto.

3. Riparatori e manutentori: il diritto a riparare passa dal DPP

Il passaporto è uno degli strumenti con cui l'Europa sostiene l'economia circolare e il diritto alla riparazione. I riparatori professionali hanno bisogno di istruzioni di smontaggio, elenchi dei ricambi e informazioni diagnostiche: dati preziosi, che molti produttori finora hanno custodito gelosamente.

Se i vostri prodotti prevedono manutenzione, tenete conto di due aspetti:

• i riparatori dovranno accedere alle informazioni di riparazione;
• a seconda del settore, potrebbero dover registrare gli interventi effettuati, trasformandosi da semplici lettori in soggetti che scrivono nel passaporto.

Questo secondo punto cambia l'architettura: occorre prevedere chi è autorizzato a scrivere, quali campi può toccare e come tracciare ogni modifica.

4. Riciclatori e gestori del fine vita: sapere cosa c'è dentro

Per chi tratta un prodotto a fine vita, la domanda chiave è: quali materiali contiene e dove si trovano? I riciclatori hanno bisogno di informazioni precise sulle sostanze pericolose o preoccupanti e sulla loro posizione all'interno del prodotto, oltre che delle istruzioni per smontarlo in sicurezza.

Sono dati che migliorano la qualità del riciclo e la sicurezza degli operatori, ma che possono rivelare dettagli progettuali: per questo, di norma, rientrano in un livello riservato.

5. Autorità di vigilanza e dogane: il livello dei controlli

Le autorità di vigilanza del mercato e le dogane usano il passaporto per verificare la conformità: dichiarazione di conformità, documentazione tecnica, eventuali rapporti di prova. È tipicamente il livello con l'accesso più ampio.

Il passaporto si collega anche al registro UE dei passaporti digitali previsto dall'art. 13 ESPR, che conserva gli identificativi dei prodotti e consente alle dogane di verificare, al momento dell'importazione, che il passaporto esista.

---

Leggere non è scrivere: chi aggiorna il passaporto

Una matrice degli accessi completa deve distinguere almeno tre azioni:

1. Lettura — consultare i dati del proprio livello.
2. Inserimento e modifica — creare o correggere un dato.
3. Aggiornamento nel ciclo di vita — aggiungere eventi successivi all'immissione sul mercato (riparazioni, cambi di proprietà, rigenerazione, stato di fine vita).

In linea generale, l'operatore economico che immette il prodotto sul mercato è responsabile dei dati del passaporto e mantiene il diritto di scrittura sui campi di sua competenza. Altri soggetti della filiera — fornitori di servizi DPP, rappresentanti autorizzati, riparatori, ricondizionatori, rigeneratori, riciclatori — possono intervenire solo nei limiti fissati dall'atto delegato.

Un caso tipico è il cambio di responsabilità: quando un prodotto viene rigenerato e reimmesso sul mercato, oppure quando cambia il fornitore che ospita il passaporto, i diritti di accesso devono essere trasferiti in modo controllato.

---

Il caso concreto: il passaporto delle batterie

Il Regolamento (UE) 2023/1542 sulle batterie è il primo a rendere obbligatorio un passaporto digitale e offre un esempio molto concreto di accesso a livelli.

• Chi è coinvolto. Dal 18 febbraio 2027 il passaporto è richiesto per le batterie dei mezzi di trasporto leggeri (LMT), per le batterie industriali con capacità superiore a 2 kWh e per le batterie dei veicoli elettrici (art. 77).
• Tre livelli di accesso. L'art. 77, paragrafo 2, distingue informazioni accessibili al pubblico, informazioni riservate a organismi notificati, autorità di vigilanza del mercato e Commissione, e informazioni accessibili a persone con un interesse legittimo.
• Assegnazione campo per campo. L'Allegato XIII attribuisce ogni dato al suo livello: ad esempio, la composizione dettagliata, le informazioni di smontaggio e i dati dinamici come lo stato di salute della batteria non sono pubblici.
• Chi ha un "interesse legittimo". Tipicamente riparatori, rigeneratori, operatori della seconda vita e riciclatori. L'art. 77, paragrafo 9, affida a un atto di esecuzione della Commissione il compito di definire chi rientra in questa categoria e cosa può fare con i dati; la scadenza prevista era il 18 agosto 2026. Prima di progettare i permessi conviene verificare lo stato di pubblicazione dell'atto.
• Chi può scrivere. Anche qui, i diritti di introdurre, modificare o aggiornare informazioni sono limitati in base all'Allegato XIII e all'atto di esecuzione (art. 78).

Il modello delle batterie è un'ottima anticipazione di come verranno trattati gli altri gruppi di prodotti sotto ESPR: un unico passaporto, più livelli di lettura, diritti di scrittura circoscritti.

---

Gli standard tecnici: prEN 18239

Sul piano tecnico, il lavoro di normazione europeo (CEN/CENELEC JTC 24) sta definendo come implementare concretamente questi principi. Il progetto di norma prEN 18239 riguarda la gestione dei diritti di accesso, la sicurezza dei sistemi informativi e la riservatezza commerciale del DPP.

Tra i temi trattati:

• definizione dei ruoli (operatori economici, fornitori di servizi DPP principali e di back-up, riparatori, riciclatori, autorità);
• procedure per il trasferimento di responsabilità e diritti tra operatori economici, ad esempio quando cambia il proprietario o il fornitore di servizi;
• scambio delle informazioni sui diritti di accesso tra operatori, sistemi di back-up e registro della Commissione.

Seguire l'evoluzione di questa norma è utile per scegliere fornitori e architetture già allineati a ciò che diventerà lo standard di riferimento.

---

Come progettare la matrice degli accessi: checklist operativa

1. Censite i destinatari reali. Chi, nella vostra filiera, consulterà davvero il passaporto? Non tutti i prodotti hanno riparatori o partner B2B.
2. Classificate ogni campo. Per ogni dato indicate livello di lettura (pubblico, B2B, riparazione, fine vita, autorità) e chi può scriverlo. Una tabella campo per campo è lo strumento più efficace.
3. Partite dall'atto delegato, se esiste. Dove la classificazione è già fissata dalla norma (come nell'Allegato XIII per le batterie), non c'è margine di scelta.
4. Proteggete le informazioni commerciali sensibili. Distinguete ciò che serve davvero a riparare, riciclare o controllare da ciò che sarebbe solo un'esposizione di know-how.
5. Prevedete identificazione e verifica dei soggetti. Un livello riservato richiede autenticazione, gestione delle credenziali e possibilità di revoca.
6. Tracciate ogni modifica. Registrate chi ha scritto cosa e quando: è fondamentale per responsabilità, audit e controlli delle autorità.
7. Pianificate il trasferimento dei diritti. Rigenerazione, cambio di proprietario o di fornitore DPP non devono lasciare il passaporto "orfano".
8. Restate flessibili. Gli atti delegati arriveranno per gruppi di prodotti in tempi diversi: un sistema configurabile evita costose riprogettazioni.

---

Conclusione

Il Digital Product Passport è uno strumento a più voci: parla in modo semplice ai consumatori, in modo tecnico ai partner, in modo operativo a riparatori e riciclatori, in modo formale alle autorità. Progettare bene i livelli di accesso significa rendere il passaporto utile per chi lo usa e sicuro per chi lo pubblica.

La regola d'oro è semplice: ogni campo deve avere un destinatario e un responsabile. Chiarito questo, il resto è implementazione.