Hosting del DPP: la scelta che l’ESPR non ti lascia sbagliare

Perché l'hosting è una decisione strategica, non solo tecnica

Quando si progetta un Digital Product Passport (DPP) si tende a concentrarsi sui dati: quali informazioni raccogliere, da quali fornitori, in quale formato. Ma c'è una domanda che arriva subito dopo e che ha conseguenze di lungo periodo: dove verranno ospitati i passaporti?

Il punto di partenza è semplice e vincolante: il passaporto deve rimanere disponibile per tutta la vita del prodotto, anche se nel frattempo cambiano il fornitore tecnologico o la stessa azienda che lo ha creato. Un QR code stampato oggi su un prodotto che durerà quindici anni deve continuare a "rispondere" per quindici anni, indipendentemente da fusioni, cambi di software house, dismissioni di piattaforme o fallimenti.

Questo trasforma l'hosting da scelta infrastrutturale a decisione di continuità aziendale e conformità normativa.

Il quadro normativo: cosa chiede l'ESPR

Il riferimento è il Regolamento (UE) 2024/1781, noto come ESPR (Ecodesign for Sustainable Products Regulation), entrato in vigore il 18 luglio 2024. Le regole sul passaporto digitale sono contenute principalmente negli articoli dal 9 al 13, mentre i singoli atti delegati stabiliscono quali categorie di prodotto dovranno averlo e con quali dati.

Per quanto riguarda l'hosting, i punti chiave sono quattro.

1. Chi può conservare il passaporto

Il passaporto può essere conservato dall'operatore economico responsabile della sua creazione oppure da un fornitore di servizi del passaporto digitale (DPP service provider). Il modello è quindi decentrato: non esiste un unico server europeo che contiene tutti i passaporti.

L'ESPR definisce il fornitore di servizi come una persona fisica o giuridica terza e indipendente, autorizzata dall'operatore che immette il prodotto sul mercato, che tratta i dati del passaporto per renderli disponibili a chi ha diritto di accedervi.

2. La copia di backup obbligatoria

Questo è il requisito più rilevante per la scelta dell'hosting. L'operatore che immette il prodotto sul mercato deve rendere disponibile una copia di backup del passaporto, nella sua versione più aggiornata, tramite un fornitore di servizi indipendente.

In pratica, anche chi sceglie di ospitare internamente i propri passaporti dovrà comunque affidarsi a un soggetto terzo per il backup. Il motivo è chiaro: se il soggetto principale scompare, la copia sopravvive.

3. Disponibilità anche dopo insolvenza o cessazione

Il passaporto deve restare consultabile per il periodo fissato dall'atto delegato di riferimento (che corrisponde almeno alla vita attesa del prodotto), anche in caso di insolvenza, liquidazione o cessazione dell'attività nell'Unione dell'operatore che lo ha creato.

4. Formati aperti e niente lock-in

I dati devono basarsi su norme aperte, essere in formato interoperabile, strutturati, leggibili meccanicamente dove necessario e trasferibili senza blocco da parte del fornitore (vendor lock-in). Inoltre, i fornitori di servizi non possono vendere, riutilizzare o trattare i dati del passaporto oltre quanto necessario per il servizio, salvo accordo specifico con l'operatore.

Il registro europeo dei passaporti

A completare il quadro c'è il registro digitale dei DPP previsto dall'articolo 13, che conserva almeno gli identificativi univoci e include un elenco di riferimento dei fornitori di servizi verificati. Le modalità di attuazione sono state definite dal Regolamento di esecuzione (UE) 2026/1778. Il registro non sostituisce l'hosting: è un indice, mentre i dati restano presso l'operatore o i suoi fornitori.

Le quattro risposte possibili

Di fronte alla domanda "dove ospiterete i passaporti?", le opzioni realistiche sono tre più una condizione di partenza.

Piattaforma proprietaria

Una soluzione sviluppata e gestita internamente o realizzata su misura.

Vantaggi

• Controllo completo su dati, architettura e roadmap.
• Integrazione profonda con ERP, PLM e sistemi di qualità esistenti.
• Nessuna dipendenza commerciale da un fornitore di piattaforma.

Svantaggi

• Costi iniziali e di manutenzione elevati, da sostenere per decenni.
• Serve personale qualificato su sicurezza, disponibilità e standard.
• Non esonera dal backup presso un fornitore terzo indipendente.
• Rischio di "debito tecnico": una piattaforma interna abbandonata dopo cinque anni è un problema di conformità.

Adatta a: grandi gruppi con forti competenze IT e volumi elevati di prodotti.

Licenza SaaS

Una piattaforma pronta all'uso in abbonamento, gestita interamente dal fornitore.

Vantaggi

• Tempi di avvio rapidi e costi prevedibili.
• Aggiornamenti normativi e tecnici gestiti dal fornitore.
• Spesso il fornitore può fungere anche da fornitore di servizi DPP per l'hosting principale o il backup.

Svantaggi

• Dipendenza dalla continuità del fornitore.
• Rischio di lock-in se esportazione dei dati e portabilità non sono garantite contrattualmente.
• Personalizzazione limitata.

Adatta a: PMI e aziende che vogliono arrivare in fretta alla conformità senza costruire competenze interne.

Licenza PaaS

Servizi cloud (database, API, identità, storage) su cui costruire la propria soluzione.

Vantaggi

• Equilibrio tra controllo e velocità: l'infrastruttura è gestita, la logica applicativa è vostra.
• Scalabilità e affidabilità tipiche dei grandi cloud provider.

Svantaggi

• Servono comunque competenze di sviluppo.
• Dipendenza dai servizi specifici del cloud scelto, se non si progettano astrazioni portabili.
• Anche qui resta l'obbligo del backup presso un terzo indipendente.

Adatta a: aziende con un team digitale che vogliono una soluzione su misura senza gestire l'infrastruttura.

Non ancora deciso

È una risposta legittima nelle prime fasi. L'importante è non rimandare troppo: la scelta dell'hosting influenza lo schema degli identificativi, gli URL stampati sui prodotti e la gestione degli accessi, cioè decisioni difficili da cambiare una volta che i prodotti sono sul mercato.

Confronto rapido

Criterio	Proprietaria	SaaS	PaaS
Tempo di avvio	Lungo	Breve	Medio
Costo iniziale	Alto	Basso	Medio
Controllo sui dati	Massimo	Contrattuale	Alto
Competenze interne richieste	Alte	Basse	Medie
Rischio lock-in	Basso	Da gestire	Medio
Backup presso terzo indipendente	Obbligatorio	Obbligatorio	Obbligatorio

Le domande da porre prima di scegliere

Indipendentemente dal modello, prima di firmare un contratto o avviare uno sviluppo conviene verificare:

1. Dove sono conservati i dati principali e dove si trova la copia di backup? Il fornitore del backup è davvero indipendente?
2. Cosa succede ai passaporti se il fornitore chiude o viene acquisito? Esistono clausole di continuità ed escrow dei dati?
3. Cosa succede se è la nostra azienda a cessare l'attività? Chi garantisce la disponibilità residua?
4. I dati sono esportabili in formati aperti e standard, senza costi o vincoli proibitivi?
5. Gli URL e gli identificativi sono sotto il nostro controllo (ad esempio su un dominio aziendale con resolver gestibile) o legati al dominio del fornitore?
6. Cosa può fare il fornitore con i dati? Il contratto vieta vendita e riutilizzo oltre il servizio?
7. Come vengono gestiti accessi differenziati per consumatori, riparatori, riciclatori e autorità?
8. Per quanto tempo deve restare disponibile lo storico e chi ne sostiene i costi nel tempo?

Un consiglio pratico: separare l'URL dalla piattaforma

Uno degli errori più costosi è stampare sui prodotti URL che puntano direttamente al dominio del fornitore di piattaforma. Se il fornitore cambia, quei QR code diventano inutilizzabili. Usare un dominio proprio (o un resolver basato su standard come GS1 Digital Link) permette di cambiare backend senza toccare i prodotti già in circolazione. È il modo più concreto per rendere il passaporto davvero indipendente dal fornitore.

Le scadenze da tenere d'occhio

Il passaporto delle batterie è il primo banco di prova: dal 18 febbraio 2027 diventa obbligatorio per le batterie dei veicoli elettrici, dei mezzi di trasporto leggeri e per quelle industriali sopra i 2 kWh. Per le altre categorie (tessili, acciaio, mobili, elettronica e altre) le date dipenderanno dai singoli atti delegati previsti dal piano di lavoro ESPR. Chi si muove ora ha il vantaggio di scegliere l'hosting con calma, invece di subirlo all'ultimo momento.

Conclusione

Scegliere dove ospitare i passaporti significa scegliere chi garantirà la memoria dei vostri prodotti nei prossimi anni. Proprietaria, SaaS o PaaS sono tutte strade valide, a patto di rispettare tre principi che l'ESPR rende non negoziabili: backup presso un terzo indipendente, disponibilità oltre la vita dell'azienda e del fornitore, dati aperti e portabili. Il resto è una questione di competenze, budget e tempi.