Regolamento (UE) 2026/1778

Regolamento di esecuzione (UE) 2026/1778 della Commissione

Il regolamento attua l’articolo 13 del regolamento (UE) 2024/1781, istituendo e disciplinando il registro dei passaporti digitali di prodotto. La disciplina è costruita per garantire identificazione certa degli operatori, integrità dei dati, interoperabilità semantica e cooperazione con autorità nazionali, dogane e Commissione, in un quadro coerente con la normativa UE su eIDAS, protezione dei dati e sicurezza informatica.

Ambito soggettivo e oggettivo

Il regolamento si applica ai prodotti per i quali il diritto dell’Unione richiede un passaporto digitale di prodotto e la relativa registrazione nel registro. Sono inclusi in modo espresso:

• prodotti disciplinati dagli atti delegati adottati a norma dell’articolo 4 del regolamento (UE) 2024/1781;
• batterie disciplinate dall’articolo 77 del regolamento (UE) 2023/1542;
• prodotti da costruzione disciplinati dall’articolo 76 del regolamento (UE) 2024/3110;
• giocattoli disciplinati dall’articolo 19 del regolamento (UE) 2025/2509;
• detergenti e tensioattivi destinati all’utilizzatore finale disciplinati dall’articolo 21 del regolamento (UE) 2026/405;
• ogni altro prodotto per cui la normativa UE imponga l’uso del passaporto digitale di prodotto nel registro.

Oltre agli operatori economici, sono coinvolti i soggetti della catena del valore, le autorità nazionali competenti, le autorità doganali e la Commissione. Il regolamento non pregiudica eventuali regole specifiche di settore sul passaporto digitale di prodotto, né i requisiti di stabilimento previsti da altri atti UE.

Definizioni e impostazione generale

L’articolo 2 chiarisce nozioni centrali come registro, credenziali di accesso, token di autenticazione, procedura di verifica dell’identità, operatore economico verificato, soggetto della catena del valore verificato, archivio semantico, interoperabilità semantica, vocabolario controllato, specifica semantica, modello di dati, sistema di registrazione, modello di scambio dei dati, hash della versione e scaricamento massiccio di dati. Vengono inoltre richiamate numerose definizioni da regolamenti e direttive UE, tra cui quelle del regolamento (UE) 2024/1781, del regolamento (UE) n. 910/2014, del regolamento (UE) 2018/1725, della direttiva (UE) 2022/2555 e dei regolamenti sulla vigilanza del mercato e sulle dogane.

Struttura del registro e requisiti tecnici

L’articolo 3 descrive il registro come sistema composto da:

• sito web con interfaccia utente sicura;
• API per registrazione e ricezione dati;
• piattaforma di verifica dei passaporti;
• sistema di generazione degli identificativi univoci;
• componente per conservare identificativi e codici delle merci per prodotti destinati all’immissione in libera pratica;
• elenco dei fornitori di servizi di passaporto digitale di prodotto verificati;
• archivio semantico;
• sistema di registrazione;
• sistemi di identificazione e autorizzazione.

Il registro si fonda su un modello decentrato, ma la Commissione resta titolare e gestore del sistema, responsabile dello sviluppo, della disponibilità, dell’hosting, del monitoraggio, degli aggiornamenti e della manutenzione.

Verifica degli operatori economici e dei soggetti della catena del valore

Gli articoli 4 e 5 disciplinano la procedura di verifica dell’identità. Per le persone fisiche che agiscono come imprese individuali, la verifica può avvenire mediante firma elettronica qualificata con certificato qualificato, mezzo di identificazione elettronica con livello di garanzia "elevato" oppure attestato elettronico di attributi, se l’interessato deve essere stabilito nell’Unione; per i soggetti non tenuti allo stabilimento nell’Unione, il mezzo ordinario è la firma elettronica qualificata o l’attestato elettronico di attributi. Per le persone giuridiche, la prova di identità e stabilimento si fonda su sigillo elettronico qualificato con certificato qualificato o su attestato elettronico di attributi qualificato.

L’esito positivo conferisce lo status di "operatore economico verificato" o "soggetto della catena del valore verificato", necessario per accedere al registro e registrare o modificare dati, nei limiti consentiti dal diritto UE applicabile. Lo status dura fino alla scadenza dei mezzi di identificazione elettronica e, in ogni caso, per non più di 3 anni. Alla scadenza occorre ripetere la procedura. Se il registro è integrato con altri sistemi UE dotati di verifica equivalente o identica, è esclusa la duplicazione della verifica.

Gestione dei profili, deleghe e trasferimenti

L’articolo 6 consente, se previsto dal diritto dell’Unione, la delega a terzi dei diritti di accesso da parte di operatori e soggetti verificati. Ogni soggetto resta responsabile della propria procedura di verifica elettronica e dell’aggiornamento dei dati del profilo. L’articolo 6 bis disciplina il trasferimento dei passaporti digitali di prodotto registrati ad altro operatore economico verificato o, se del caso, a un soggetto della catena del valore verificato, che subentra negli obblighi con decorrenza dalla data indicata per il trasferimento.

Ruolo delle autorità nazionali

L’articolo 7 richiede a ciascuno Stato membro di nominare, entro il 18 febbraio 2027, un amministratore nazionale designato quale punto di contatto unico con la Commissione per la gestione dei diritti di accesso. L’amministratore può delegare accessi alle autorità nazionali competenti; tali deleghe avvengono sotto la piena responsabilità dello Stato membro e con garanzie di sicurezza, integrità e riservatezza. I dati personali dei profili delle autorità nazionali competenti e delle autorità doganali sono trattati dalla Commissione quale titolare del trattamento ai sensi del regolamento (UE) 2018/1725.

Registrazione del passaporto digitale di prodotto

L’articolo 8 stabilisce chi registra il passaporto digitale di prodotto e con quale livello di granularità. Per i prodotti del regolamento (UE) 2024/1781, registra l’operatore economico verificato che immette il prodotto sul mercato o lo mette in servizio, al livello indicato negli atti delegati applicabili. Per gli altri prodotti, registra il soggetto interessato al livello previsto dal diritto UE.

La registrazione avviene tramite interfaccia sicura o API. Prima della convalida, la Commissione verifica automaticamente:

• conformità semantica dei dati;
• coerenza dei dati obbligatori con quelli inseriti;
• corretto livello di granularità (modello, lotto o articolo);
• validità, se del caso, del codice delle merci;
• validità del link al back-up ospitato da un fornitore di servizi di passaporto digitale di prodotto.

Se la verifica è positiva, il registro genera e conserva un identificativo univoco e persistente, che viene comunicato automaticamente al registrante. Devono inoltre essere memorizzate le informazioni essenziali sull’evento di registrazione, compresa data e ora, integrità del passaporto e riferimenti del soggetto registrante.

Prova della registrazione

L’articolo 9 attribuisce all’operatore economico, o a un terzo per suo conto, il diritto di ottenere la prova della registrazione di uno o più passaporti digitali di prodotto. La prova è un documento elettronico sicuro che contiene almeno identificativo del prodotto, eventuale codice delle merci, identità dell’operatore responsabile, data e ora della registrazione più recente, convalidata dalla Commissione, e hash della versione del passaporto.

La prova è sigillata con sigillo elettronico qualificato e resta disponibile per 90 giorni dalla generazione, con possibilità di rigenerazione.

Conservazione, versionamento e cancellazione dei dati

L’articolo 10 impone che ogni modifica, creazione o cancellazione dei dati di registrazione sia tracciata nel sistema di registrazione. Il registro deve supportare il versionamento dei dati e la validazione temporale per ciascun aggiornamento. Se il diritto UE non stabilisce una durata specifica, i dati di registrazione sono cancellati automaticamente dopo 10 anni; se invece è previsto un diverso periodo di disponibilità, si applica quel termine.

Modelli di dati e archivio semantico

Gli articoli 11 e 12 sono centrali per l’interoperabilità. I modelli di dati applicabili ai gruppi di prodotti si fondano, ove esistenti, sugli atti delegati o su altre norme UE pertinenti; possono anche utilizzare risorse semantiche esistenti e devono essere versionati. Tutti i dati del passaporto digitale di prodotto devono essere strutturati in conformità alle definizioni semantiche e ai modelli pubblicati nell’archivio semantico.

La Commissione istituisce e mantiene un archivio semantico che contiene almeno:

• significato degli attributi e specifiche tecniche per collegamenti tipizzati e risolvibili;
• modelli di dati per i diversi prodotti e relativi formati;
• metadati dei modelli;
• significato semantico dei ruoli previsti dal diritto UE;
• etichette e definizioni multilingue per gli attributi obbligatori.

I metadati seguono le specifiche DCAT-AP; l’archivio comprende un servizio di ricerca e API pubblicamente documentate. L’accesso e l’utilizzo sono gratuiti.

Assistenza tecnica e continuità operativa

L’articolo 13 prevede un helpdesk della Commissione, operativo tutto l’anno dalle 8:00 alle 20:00 (ora di Bruxelles), per assistere operatori, soggetti della catena del valore e autorità. Entro febbraio 2029 deve essere sviluppato uno strumento automatico di assistenza tecnica disponibile 24/7. Gli scambi scritti con l’helpdesk sono conservati per 6 mesi dopo l’archiviazione della richiesta e possono essere messi a disposizione delle autorità di vigilanza del mercato.

L’articolo 15 disciplina la disponibilità del registro: accessibile in ogni momento salvo manutenzione programmata, per la quale va pubblicato un preavviso; la Commissione può anche sospendere senza preavviso in caso di malfunzionamento, attacco informatico o urgente necessità di sicurezza. In caso di indisponibilità che impedisca la registrazione, la Commissione registra data e ora e conserva le informazioni per almeno 5 anni.

Sistema di registrazione, tracciabilità e sicurezza

L’articolo 14 istituisce un sistema di registrazione capace di generare una pista di controllo completa e affidabile. Vanno tracciati:

• accessi e autenticazioni;
• modifiche dei dati;
• azioni amministrative;
• scambi di dati.

I termini di conservazione sono differenziati: 6 mesi per accessi/autenticazioni, 5 anni per azioni amministrative e scambi di dati, durata della registrazione per gli eventi di modifica dei dati. Le autorità nazionali competenti possono accedere alle registrazioni in caso di incidenti o per controlli di sicurezza.

Gli articoli 16 e 17 rafforzano la sicurezza del sistema con verifiche tecniche, controlli casuali e misure anti-abuso, incluse quelle contro scaricamenti massicci di dati e attività fraudolente. Gli utenti devono segnalare immediatamente alla Commissione, e se del caso agli Stati membri, ogni comportamento malevolo sospetto.

Dati personali e responsabilità del trattamento

L’articolo 18 elenca i dati personali raccolti per l’identificazione degli utenti: nome e cognome, credenziali di autenticazione, indirizzo postale, e-mail, metadati utili all’identificazione e, per le persone fisiche, ulteriori identificativi personali. Il trattamento è soggetto al regolamento (UE) 2018/1725 per la Commissione e al regolamento (UE) 2016/679 per gli Stati membri, quando questi trattano dati personali per le finalità previste dal diritto dell’Unione.

Gli articoli 19, 20, 21 e 22 assegnano responsabilità specifiche:

• gli operatori economici verificati e i soggetti della catena del valore verificati rispondono dell’accuratezza dei dati, della sicurezza dei propri sistemi e delle credenziali, nonché dei dati trasmessi alla Commissione;
• la Commissione è titolare e gestore del registro, responsabile del ciclo di vita completo del sistema e della sicurezza del trattamento;
• gli Stati membri sono responsabili dei propri componenti nazionali interconnessi, della sicurezza dei sistemi sotto la loro sfera di controllo e del trattamento dei dati che effettuano; possono revocare diritti di accesso in caso di accesso non autorizzato o errato.

Monitoraggio e durata del regolamento

L’articolo 23 prevede che, nel quadro della valutazione del regolamento (UE) 2024/1781 e del suo contributo al mercato interno, la Commissione valuti il presente regolamento entro la fine del 2032 e successivamente ogni 6 anni, presentando se del caso una proposta di revisione.

Entrata in vigore

L’articolo 24 dispone che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.