Auditoría y validación del DPP: ¿quién comprueba que los datos de su pasaporte son correctos?

Cuando se lee sobre el DPP, es fácil dejarse llevar por el entusiasmo tecnológico: «¡Tendremos códigos QR! ¡Tendremos blockchain! ¡Todo será transparente!». Pero si nos detenemos un momento y miramos las cosas con realismo, aparece una pregunta grande e incómoda: ¿quién garantiza de verdad que los datos de este pasaporte son correctos?

Si una empresa afirma en su DPP que sus zapatillas están hechas con un 40 % de plástico reciclado recuperado del océano y en realidad son de poliéster puro obtenido de derivados del petróleo, ¿quién lo va a descubrir? En un mundo en el que el greenwashing se ha convertido en un arte corporativo (lo que la Directiva 2024/825 llama «ecoimpostura»), la confianza es el bien más escaso.

La Unión Europea lo sabe bien. Por eso el pasaporte digital de producto no se queda en un justificante que las empresas se firman a sí mismas: detrás hay un sistema complejo de controles, contrapesos y auditorías. Veamos quién está en cada punto de control.

Autoridades de vigilancia del mercado

La primera línea de defensa son las autoridades nacionales. Todos los Estados miembros de la UE cuentan con autoridades de vigilancia del mercado, o ampliarán sus competencias. Estas instituciones tienen derecho legal a realizar inspecciones sin previo aviso.

Las inspecciones anteriores solían centrarse solo en la seguridad del producto (por ejemplo, si un juguete tiene piezas pequeñas que un niño podría tragarse). Los nuevos inspectores, en cambio, tendrán acceso digital al DPP y podrán comparar la composición física de un producto con los datos declarados en su gemelo digital.

• Controles documentales: Los inspectores pueden solicitar la documentación técnica que respalda las afirmaciones del pasaporte.
• Análisis de laboratorio: Si hay cualquier duda de que el tejido sea lo que indica el pasaporte, el producto se envía a análisis químicos y estructurales.
• Auditorías digitales: Las autoridades comprobarán si los identificadores únicos están activos y si los enlaces a los datos funcionan de forma fiable.

Organismos notificados

En determinadas categorías de productos de alto riesgo o con un impacto ambiental importante (las baterías industriales, por ejemplo), la UE no se fiará de la palabra del fabricante. Aquí entran en juego los llamados organismos notificados.

Son organizaciones independientes (como TÜV, SGS, Intertek y otras) acreditadas por el Estado para realizar evaluaciones de la conformidad. Su función se parece a la de una auditoría financiera, pero aplicada a los parámetros técnicos y de sostenibilidad. Antes de que un producto obtenga el derecho a introducirse en el mercado con un DPP válido, estos organismos tienen que «sellar» los datos.

¿Cuándo se exige una auditoría externa?

No todas las camisetas necesitarán una auditoría externa, porque eso dispararía el precio del producto. El sistema funciona por niveles:

1. Autodeclaración: En los productos de bajo riesgo, el propio fabricante introduce los datos y responde legalmente de su exactitud.
2. Verificación parcial: Solo se verifican afirmaciones concretas (por ejemplo, las relativas a la huella de carbono).
3. Certificación completa: Es obligatoria para baterías, productos químicos y materiales de construcción, donde la exactitud de los datos es una cuestión de seguridad y de primer orden para el medio ambiente.

La cadena de suministro

Uno de los mayores problemas de los fabricantes es que a menudo no saben con exactitud qué hacen sus proveedores de segundo o tercer nivel en Asia o América Latina. Si su proveedor de cuero le asegura en falso que el material se curtió sin cromo, usted trasladará esa mentira, sin saberlo, a su

pasaporte digital de producto.

Por eso el DPP provoca un efecto dominó. Para validar su pasaporte, usted empezará a exigir pruebas digitales a sus proveedores, y la auditoría pasa a formar parte del contrato comercial.

• Auditorías contractuales: Las empresas contratan auditores privados para inspeccionar las fábricas de sus socios.
• Validación automatizada: Los sistemas de software actuales se conectan directamente a las bases de datos de los organismos emisores y comprueban si los certificados de los proveedores (como ISO u OEKO-TEX) siguen vigentes.

La tecnología como «auditor silencioso»

En artículos anteriores hablamos de blockchain y de criptografía. Aquí se ve para qué sirven de verdad. La tecnología no puede impedir que alguien introduzca datos incorrectos al principio, pero sí puede hacer imposible manipularlos después.

Firmas digitales y sellos de tiempo

Cada entrada de datos en el DPP debe firmarse con el certificado digital de la persona o la empresa que la realiza. Así se genera la llamada pista de auditoría. Si dos años después se descubre que los datos son erróneos, el regulador puede ver con precisión cuándo se hizo el cambio, desde qué ordenador y quién lo hizo. Esta responsabilidad personal y de la empresa es una herramienta muy eficaz de autorregulación.

Contratos inteligentes

En los sistemas más avanzados, los contratos inteligentes pueden «rechazar» automáticamente los datos que no son lógicamente coherentes. Por ejemplo, si el sistema detecta que el peso del producto terminado es mayor que la suma de los pesos de todos los materiales de entrada, marcará automáticamente el pasaporte como «no válido» y pedirá una corrección.

El papel de las aduanas y de la inteligencia artificial

Cuando un producto entra en el territorio de la UE, las autoridades aduaneras estarán entre los «verificadores» más importantes. El registro de pasaportes digitales de productos de la UE funciona desde el 20 de julio de 2026 y está previsto conectarlo con los sistemas aduaneros.

Si llega un contenedor de aparatos electrónicos al puerto de Róterdam, el sistema aduanero escaneará automáticamente los identificadores únicos del envío y, con algoritmos de inteligencia artificial, comparará los datos del DPP con los datos históricos de productos similares.

Si la IA detecta una anomalía (por ejemplo, un precio demasiado bajo para los materiales caros que se declaran o una huella de carbono sospechosamente optimista), el envío queda marcado para una inspección física.

Importante: las aduanas no revisarán cada pasaporte a mano. Aplicarán un «enfoque basado en el riesgo», en el que los algoritmos filtran los casos sospechosos.

La sociedad civil y las ONG

Tampoco hay que subestimar la auditoría «no oficial». Como gran parte de los datos del pasaporte digital de producto será de acceso público mediante un código QR, las empresas quedan bajo la mirada de millones de consumidores y de miles de organizaciones no gubernamentales.

Organizaciones como Greenpeace o Fashion Revolution podrán revisar miles de productos de una vez. Un solo «escándalo de datos» destapado por un consumidor atento o por un activista puede causar un daño a la reputación mucho más doloroso que cualquier multa de la Administración. En este sentido, el carácter público del DPP es el mecanismo de validación más potente de todos.

¿Qué sanciones hay por datos incorrectos?

Para que una auditoría sea eficaz, tiene que poder sancionar. Las directivas de la UE prevén consecuencias graves para las empresas que presenten información falsa en los pasaportes de sus productos:

• Multas: Un porcentaje de la facturación anual de la empresa.
• Retirada del mercado: Los productos con pasaportes no válidos o fraudulentos pueden decomisarse y retirarse de la red de venta.
• Prohibición de comerciar: Ante infracciones sistemáticas, una empresa puede perder el derecho a vender determinadas categorías de productos en el mercado único.
• «Listas negras»: La divulgación pública de las empresas infractoras, que destruye la confianza de inversores y socios.

Del «marketing» a las «pruebas»

La llegada del pasaporte digital de producto pone fin a la época de las afirmaciones sin fundamento. Ya no basta con decir que se es «ecológico»: hay que demostrarlo con datos auditables, trazables y a prueba de manipulaciones.

Para las empresas, esto significa una cosa: la auditoría del DPP debe entenderse como una inversión en la integridad de la marca, y no como una carga administrativa. Las empresas que creen ahora sistemas de datos honestos y transparentes superarán sin problemas los filtros normativos, mientras que las que intenten «trucar» el sistema con datos superficiales chocarán con la pesada maquinaria de la supervisión europea. En la nueva economía, decir la verdad deja de ser solo una cuestión moral, porque de ello depende el acceso al mercado.

Preguntas frecuentes sobre la auditoría y la validación del DPP

¿Quién asume la responsabilidad legal última si los datos del pasaporte son incorrectos pero nos los facilitó un proveedor?

Según la legislación europea, la responsabilidad última de la conformidad del producto recae en el operador económico que lo introduce en el mercado de la UE. Normalmente es el fabricante (si está establecido en la UE) o el importador.

¿Tendremos que auditar cada producto por separado?

No. Por lo general, la auditoría se hace a nivel de modelo o de lote de producción, salvo que se trate de bienes únicos de muy alto valor. En los productos de consumo masivo se revisa el sistema de gestión de datos y se analizan muestras representativas. Si su ERP y su proceso de recogida de datos están certificados como fiables, la necesidad de inspeccionar físicamente cada unidad se reduce mucho.

¿Cómo protegemos nuestros secretos comerciales frente a la competencia durante una auditoría pública?

La UE prevé tres niveles de acceso a los datos del DPP. No todo lo que se audita es de acceso público:

• Nivel público: Información general sobre sostenibilidad y reciclaje.
• Nivel de autoridades: La documentación técnica completa, accesible solo para los reguladores durante las inspecciones.
• Nivel profesional: Instrucciones específicas de reparación y reciclaje. La validación por terceros da a los reguladores la seguridad de que los datos son exactos sin que usted tenga que revelar al gran público sus fórmulas de producción exactas.

¿Qué ocurre si descubrimos un error en el pasaporte cuando el producto ya está en la tienda?

Como el pasaporte es digital, puede actualizarse en tiempo real. Si detecta una inexactitud, debe corregir los datos en la base de datos central de inmediato. Si el error afecta a la seguridad o resulta gravemente engañoso, puede que tenga que notificarlo a las autoridades de vigilancia del mercado, aunque el hecho de haber detectado y corregido usted mismo el error suele considerarse una circunstancia atenuante.

¿Existe software que valide automáticamente nuestros datos?

Existen plataformas CaaS (Compliance-as-a-Service, es decir, cumplimiento normativo como servicio). Usan algoritmos para comprobar la coherencia lógica de los datos (por ejemplo, si el peso de los componentes coincide con el del producto terminado) y si los certificados de proveedores adjuntos siguen vigentes en los registros internacionales. Aun así, el software es una herramienta de preparación y no sustituye a una auditoría oficial cuando la ley la exige.