Qui peut consulter quelles données de la fiche technique de produit?

L'accès est organisé par niveaux, pas identique pour tous

Le passeport produit numérique fonctionne selon différents niveaux d'accès : tous les utilisateurs ne voient pas les mêmes données. Le règlement ESPR (Règlement (UE) 2024/1781) stipule que le passeport doit indiquer, par catégorie d'utilisateur, quelles données sont accessibles. Un consommateur qui scanne le code QR voit généralement des informations différentes de celles qu'une autorité de surveillance du marché, un service douanier ou une entreprise en aval de la chaîne qui traite le demi-produit en aluminium peuvent consulter. Certaines données sont publiques et visibles pour tous, d'autres sont protégées et accessibles uniquement aux parties ayant un rôle ou une compétence démontrable, comme le contrôle ou l'application de la réglementation. La détermination des données qui relèvent de chaque niveau se fait finalement par groupe de produits dans l'acte délégué établi pour ce groupe — pour les demi-produits en aluminium, c'est l'acte que cette plateforme suit.

Pour qui cela s'applique et ce qui sort du cadre du passeport

Ce sujet porte sur l'accès aux données figurant dans le passeport produit numérique lui-même : caractéristiques techniques, composition, origine, informations sur la réutilisation et le recyclage, et données produit comparables telles qu'établies pour les demi-produits en aluminium. Il ne s'agit pas de l'accès aux documents internes de l'entreprise, devis, contrats ou autres informations qu'un fabricant ou importateur conserve séparément et qui ne font pas partie du passeport. Il ne s'agit pas non plus de la question de savoir qui est autorisé à créer ou modifier le passeport — c'est une question distincte de gestion et de responsabilité, indépendamment de qui peut le consulter. Les informations sensibles pour l'entreprise qui ne sont pas obligatoires dans le passeport n'ont pas à être rendues visibles : le règlement distingue explicitement entre les données accessibles à tous et les données réservées à des parties spécifiques, précisément pour pouvoir protéger les informations commerciales confidentielles.

Pas encore de date fixe, mais un principe établi

Le principe d'accès par niveaux est déjà inscrit dans le règlement ESPR lui-même, mais sa mise en œuvre précise — quelle donnée relève de quel niveau pour les demi-produits en aluminium — découle seulement de l'acte délégué pour ce groupe de produits. Selon le plan de travail de la Commission européenne pour 2025-2030, cet acte est attendu vers 2027, après quoi une période de transition s'applique avant que l'obligation ne devienne effective. Cette plateforme suppose donc pour l'instant que le passeport produit pour l'aluminium deviendra obligatoire vers 2029, mais cette date n'est pas encore fixe. Dès que l'acte délégué sera publié et que la date indicative sera remplacée par une date définitive, cela sera mis à jour ici. En attendant, aucune obligation légale ne s'applique à la mise en place d'un passeport avec accès par niveaux pour les demi-produits en aluminium, et aucune classification concrète des données par groupe d'utilisateurs n'a été établie pour ce produit.

Ce que cela signifie pour l'approche du passeport

Pour un fabricant ou un importateur de demi-produits en aluminium, la conséquence pratique est que la classification des données en public et confidentiel n'est pas déterminée par lui-même, mais découle des règles qui s'appliqueront au groupe de produits. Celui qui s'oriente dès maintenant ferait bien de cartographier d'ores et déjà quelles données relatives au produit sont disponibles — composition, origine des matières premières, taux de recyclage, spécifications techniques — et lesquelles pourraient être sensibles pour l'entreprise. Cet aperçu sera utile dès que l'acte délégué clarifiera quel niveau s'applique à quelle donnée. Lors de la compilation d'un passeport via cette plateforme, la classification en niveaux d'accès est appliquée automatiquement dès que celle-ci est fixée ; le fabricant ou l'importateur n'a donc pas besoin de déterminer lui-même qui peut voir quelle donnée, mais fournit les données sous-jacentes à partir desquelles ce passeport est constitué. Il est donc judicieux de commencer dès maintenant à élaborer un aperçu complet et structuré des données produit, même si la classification d'accès exacte n'est pas encore définitive.

La base : articles 10 et 11 du DESP

Le fait que le passeport produit fonctionne avec un accès différencié découle de l'article 10 du DESP (Règlement (UE) 2024/1781), qui fixe les exigences générales pour le passeport produit numérique, y compris le principe selon lequel les données accessibles sont déterminées par catégorie d'utilisateur. L'article 11 du même règlement porte sur la conception technique et le fonctionnement du passeport, et garantit que ce système de droits d'accès différenciés est également maintenu techniquement — par exemple par la manière dont les données sont stockées, liées et mises à disposition via le support de données. Les deux articles laissent la mise en œuvre concrète par groupe de produits à des actes délégués ultérieurs, ce qui explique pourquoi aucune classification d'accès exacte n'existe encore pour les demi-produits en aluminium.

Celui qui souhaite dès maintenant prendre les devants ferait mieux de commencer par organiser ses propres données produit selon les lignes que le DESP indique déjà — accessibles au public par rapport à potentiellement confidentielles — afin que ces données soient prêtes dès que l'acte délégué pour l'aluminium fixe la classification définitive.

Sur quoi cela repose

Le règlement lui-même figure sur EUR-Lex. Nous faisons référence à chaque affirmation ; vous n'avez pas besoin de nous croire sur parole.

Ce que vous devez concrètement faire

Le digital product passport n'est pas un livre ouvert pour quiconque y a accès. L'ESPR fait la distinction entre les données qui sont visibles pour tous dès que quelqu'un scanne le code QR, et les données que seules certaines parties voient — pensez à une autorité de surveillance, un recycleur, ou le maillon suivant de la chaîne. Pour un fabricant ou un importateur de demi-produits en aluminium, cette distinction est pertinente, car tout ce que vous fournissez n'est pas automatiquement public.

Ce qu'on attend de vous

Faire la distinction entre accès public et accès restreint

L'article 10 du règlement ESPR (Règlement (UE) 2024/1781) décrit que le passport produit contient différents types d'informations, et que toutes les informations ne sont pas destinées au même groupe cible. Pour une entreprise de 10 à 100 salariés, cela signifie que la composition du passeport doit être classée au préalable : quelles données sont destinées à l'utilisateur final ou à un scanner quelconque du code QR, et quelles données sont destinées à une partie spécifique comme une autorité de surveillance du marché, une autorité douanière ou une entreprise de recyclage plus loin dans la chaîne. Ce classement n'est pas quelque chose qu'on ajoute après coup — il est déjà intégré dans la structure du passeport.

Organiser techniquement les droits d'accès

L'article 11 du règlement ESPR (Règlement (UE) 2024/1781) concerne la conception technique et le fonctionnement du passeport, et il en découle que l'accès à certaines données peut être lié au rôle de l'utilisateur. Pour une fonderie ou un fabricant de profilés, cela signifie que la plateforme utilisée pour composer et héberger le passeport doit supporter une structure de rôles : un consommateur qui scanne voit quelque chose de différent d'une autorité de surveillance du marché qui se connecte avec des pouvoirs, et celle-ci voit quelque chose de différent du recycleur qui, en fin de vie, a besoin de données sur la composition des matériaux. C'est l'une des raisons pour lesquelles il est pratique de confier cela à une plateforme plutôt que de construire votre propre PDF avec code QR : la structure des droits doit s'adapter à qui scanne.

Déterminer quelles données vous considérez comme sensibles pour l'entreprise

Une partie des données qui figurent dans un passeport touche aux connaissances de production, à la formulation d'alliages, ou aux relations avec les fournisseurs. L'article 10 offre la possibilité de faire la distinction entre ce qui est rendu public et ce qui reste d'accès limité, mais cette distinction ne se crée pas automatiquement — une entreprise doit elle-même établir quelles données elle considère comme sensibles et pourquoi. Cette évaluation est décrite plus largement à la question dois-je rendre publiques les données sensibles de mon entreprise concernant mon aluminiumet est étroitement liée à la question quelles données doivent figurer dans le passeport en premier lieu.

Savoir quelles parties ont besoin de quelles données, et pourquoi

Pour une entreprise de cette taille, il est pratique de savoir à l'avance quelles parties demanderont en pratique l'accès : un client qui compose lui-même un passeport produit pour un produit transformé, un auditeur, un recycleur, ou une autorité de surveillance lors d'un contrôle. Cela nécessite un aperçu des données qui vont à quelle couche du passeport — public, limité, ou uniquement pour la surveillance — et cet aperçu est différent de la question quelles données doivent en fait figurer, comme décrit à quelles données figurent dans le passeport numérique du produit aluminium.

Où cela s'avère problématique en pratique

Tout est rendu public par défaut. Une entreprise fournit toutes les données sans distinction entre ce qui doit être public et ce qui peut rester limité, avec pour résultat que les données sensibles de composition d'un alliage sont visibles pour tous ceux qui scannent.

On ne tient pas compte du rôle du recycleur. En fin de vie, un recycleur a besoin de données différentes de celles d'un consommateur au début — par exemple, des informations détaillées sur la composition d'alliage selon la désignation EN-AW. Si ces informations ne sont disponibles que sous une forme publique simplifiée, le recycleur manque de ce dont il a besoin.

Les droits d'accès ne sont pas pris en compte dans le choix d'une plateforme. Une entreprise choisit une solution qui n'offre qu'un code QR statique avec un seul fichier de données fixe, sans possibilité de faire la distinction entre les groupes cibles. Dès qu'il s'avère que certaines données doivent avoir un accès limité, il n'est techniquement plus possible d'y remédier.

Aucune distinction n'est faite entre le dossier technique et le passeport. Les données destinées à un usage interne ou à une autorité de contrôle sont confondues avec ce qui doit figurer dans le passeport public. La différence entre ces deux documents est expliquée à quelle est la différence entre mon dossier technique et le passeport de produit numérique.

Personne n'est responsable de la mise à jour des droits d'accès. Un collaborateur qui avait précédemment accès à des données limitées quitte l'entreprise, ou une nouvelle partie dans la chaîne ne reçoit pas l'accès assigné, de sorte que les données n'arrivent pas à qui en a besoin. Cela est lié à la question à quelle fréquence dois-je mettre à jour les données dans le passeport produit, car l'accès et l'actualité vont souvent de pair.

Ce que vous pouvez documenter

Un aperçu des données qui sont visibles publiquement dans le passeport et lesquelles ont un accès limité, avec une brève justification par catégorie.
Une liste des parties qui devraient vraisemblablement avoir besoin d'accès à des données limitées — pensez aux autorités de contrôle, aux clients plus loin dans la chaîne, et aux recycleurs — et quelles données sont pertinentes pour chacun d'eux.
Un accord interne sur la personne au sein de l'entreprise responsable de l'attribution et du retrait des droits d'accès, et la fréquence à laquelle cela est contrôlé.
Une justification du choix de classer certaines données comme sensibles pour l'entreprise, incluant la distinction qui est faite entre ce qui est et ce qui n'est pas rendu public.
Une brève description de la manière dont la plateforme choisie règle techniquement l'accès — par le biais de rôles, de connexion, ou de couches de données séparées — afin que cela puisse être présenté lors d'un contrôle.

Ceci n'est pas un avis juridique. Cette page fournit des informations générales sur la réglementation qui régit cette plateforme. Nous ne connaissons pas votre situation. En cas de doute concernant votre propre cas, consultez un juriste ou l'autorité de contrôle compétente.

Rédigé avec l'IA sur la base des sources ci-dessus, vérifié par un humain le 2026-08-22. Quelque chose ne va pas ? Faites-le nous savoir — les corrections sont prioritaires.