Si su proveedor de DPP quiebra mañana, ¿qué pasa con sus pasaportes?

Cuando una empresa elige una plataforma de pasaporte digital de producto (DPP), suele preguntar por el precio, las integraciones y los plazos. Casi nunca hace la pregunta que más pesará dentro de cinco años: si ustedes dejan de existir, ¿qué pasa con los pasaportes de mis productos?

La pregunta no es teórica. El pasaporte tiene que seguir disponible durante años después de que el producto haya salido de fábrica, y hoy el mercado de plataformas DPP está lleno de empresas fundadas hace menos de tres años.

Qué exige realmente el reglamento

El Reglamento (UE) 2024/1781 trata el asunto en dos lugares distintos, y no dicen lo mismo.

El artículo 10, apartado 4, es breve y no deja lugar a dudas: al introducir el producto en el mercado, el operador económico debe poner a disposición una copia de seguridad del pasaporte a través de un prestador de servicios de pasaporte digital de productos. Es una obligación, no una buena práctica.

El artículo 2, punto 32, define quién puede ser ese prestador: un tercero independiente, autorizado por el operador, que trata los datos del pasaporte para ponerlos a disposición de quienes tienen derechos de acceso.

Por tanto, la copia de seguridad no puede quedarse en su empresa ni en el mismo proveedor. Tiene que estar en manos de un tercero independiente. Ese es el mecanismo pensado para protegerle.

⚠ El matiz que se pierde en la mayoría de las explicaciones

El artículo 11, letra e), establece que el pasaporte debe seguir disponible durante el período que fijen los actos delegados, también en caso de insolvencia, liquidación o cese de actividad en la Unión del operador económico responsable de crear el pasaporte.

Fíjese bien en esas últimas palabras. La protección está redactada pensando en la quiebra del fabricante, la parte que crea el pasaporte, y no en la de la plataforma que lo aloja.

Si desaparece su proveedor de software, el reglamento no contempla ese supuesto de forma expresa. Solo lo cubre de manera indirecta: mediante la obligación del artículo 10, apartado 4, de depositar la copia de seguridad en un tercero independiente, y mediante la norma europea EN 18221, que regula el almacenamiento, el archivo y la persistencia de los datos, incluida la replicación entre operadores económicos y operadores de copia de seguridad. Es una de las seis normas citadas en el Diario Oficial el 15 de julio de 2026.

La diferencia tiene consecuencias prácticas. La respuesta a «¿y si ustedes desaparecen?» no debería ser una promesa en un correo electrónico, sino el nombre de un tercero y la norma con la que trabaja.

Todavía no existe acreditación para los proveedores de DPP

De esto casi nadie escribe. El artículo 11 faculta a la Comisión para adoptar actos delegados que fijen los requisitos que deben cumplir los prestadores de servicios de pasaporte digital de productos para poder actuar como tales y, cuando proceda, un sistema de certificación que verifique su cumplimiento.

La habilitación existe; el acto, no. Así que, a día de hoy, cualquiera puede presentarse como prestador de servicios de DPP. No hay registro, ni acreditación, ni examen.

En la práctica, elegir proveedor hoy es responsabilidad exclusivamente suya: ningún regulador lo ha comprobado antes por usted.

¿Durante cuánto tiempo debe estar disponible el pasaporte?

Nadie lo sabe todavía. El artículo 11 remite al «período especificado en los actos delegados», y es probable que el acto delegado para su grupo de productos aún no exista.

Si hoy un proveedor le da una cifra concreta para su categoría, pregúntele de dónde la saca. El reglamento no la contiene.

Seis preguntas antes de firmar

1. ¿Quién es su proveedor de copia de seguridad y en qué sentido es independiente de ustedes? La respuesta es un nombre, no un «sí».

2. ¿Dónde se guarda la copia principal? El artículo 11, letra c), permite que esté en manos del operador económico o del prestador de servicios: averigüe cuál de los dos casos es el suyo.

3. ¿Aplican la norma EN 18221, y en concreto la replicación hacia un operador de copia de seguridad y las reglas sobre la vida útil de los datos?

4. Si rescindo el contrato, ¿en qué formato me llevo mis datos? El artículo 10, apartado 1, letra d), exige que los datos se basen en normas abiertas y puedan transferirse a través de una red de intercambio abierta e interoperable, expresamente sin dependencia de un proveedor.

5. ¿Qué hacen con mis datos, además de almacenarlos? El artículo 11 prohíbe a los prestadores vender, reutilizar o tratar los datos más allá de lo que requiere el servicio, salvo acuerdo expreso con el operador.

6. ¿Cómo se demuestra la autenticidad de los datos? El artículo 11, letra g), exige autenticación, fiabilidad e integridad. Tenga en cuenta que las dos normas de seguridad, la de derechos de acceso y la de autenticación de datos, todavía no se han citado en el Diario Oficial.

Por qué estas preguntas también nos ponen a prueba a nosotros

Publicamos estas preguntas porque también nos afectan. Si las hace y recibe una respuesta con nombres, artículos y normas, está hablando con un proveedor serio. Si lo que recibe son palabras tranquilizadoras, ya sabe qué falta.

El pasaporte tiene que durar más que el producto. El producto suele durar más que su fabricante. Y en este mercado, a veces también más que la plataforma.