Si votre prestataire DPP fait faillite demain, que deviennent vos passeports ?

Quand une entreprise choisit une plateforme de passeport numérique de produit, elle s'interroge en général sur le prix, les intégrations et les délais. Elle pose rarement la question qui comptera le plus dans cinq ans : si vous cessez d'exister, que deviennent les passeports de mes produits ?

La question n'a rien de théorique. Un passeport doit rester accessible des années après la sortie d'usine du produit, et le marché des plateformes DPP compte aujourd'hui beaucoup de sociétés créées il y a moins de trois ans.

Ce que le règlement exige réellement

Le règlement (UE) 2024/1781 traite ce sujet à deux endroits, et ce n'est pas la même chose.

L'article 10, paragraphe 4, est bref et sans ambiguïté : lorsqu'il met le produit sur le marché, l'opérateur économique met à disposition une copie de sauvegarde du passeport par l'intermédiaire d'un prestataire de services de passeport numérique de produit. C'est une obligation, pas une bonne pratique.

L'article 2, point 32), définit qui peut être ce prestataire : un tiers indépendant, autorisé par l'opérateur, qui traite les données du passeport pour les mettre à la disposition des personnes disposant de droits d'accès.

La copie de sauvegarde ne peut donc ni rester chez vous ni être confiée au même prestataire. Elle est détenue par un tiers indépendant. C'est le mécanisme censé vous protéger.

⚠ La précision que la plupart des explications oublient

L'article 11, point e), prévoit que le passeport reste disponible pendant la durée fixée par les actes délégués, y compris après une insolvabilité, une liquidation ou une cessation d'activité dans l'Union de l'opérateur économique qui a créé le passeport.

Lisez bien la fin de cette phrase. La protection vise la défaillance du fabricant, c'est-à-dire de la partie qui crée le passeport. Pas celle de la plateforme qui l'héberge.

Si votre éditeur de logiciel disparaît, le règlement ne décrit pas ce scénario explicitement. Il n'est couvert qu'indirectement : par l'obligation de l'article 10, paragraphe 4, de confier la copie de sauvegarde à un tiers indépendant, et par la norme européenne EN 18221, qui encadre le stockage, l'archivage et la persistance des données, y compris la réplication entre opérateurs économiques et opérateurs de sauvegarde. C'est l'une des six normes citées au Journal officiel le 15 juillet 2026.

Cette distinction a des conséquences pratiques. À la question « et si vous disparaissez ? », la réponse ne doit pas être une promesse dans un e-mail, mais le nom d'un tiers et la norme selon laquelle il travaille.

Il n'existe toujours aucune accréditation des prestataires DPP

C'est le point dont presque personne ne parle. L'article 11 habilite la Commission à adopter des actes délégués fixant les exigences que doivent remplir les prestataires de services de passeport numérique de produit pour exercer cette activité, et, le cas échéant, un système de certification permettant de vérifier leur conformité.

L'habilitation existe, l'acte n'existe pas. Aujourd'hui, n'importe qui peut donc se présenter comme prestataire DPP. Il n'y a ni registre, ni accréditation, ni examen.

Conséquence pratique : le choix d'un prestataire relève aujourd'hui entièrement de votre responsabilité. Aucune autorité ne l'a vérifié à votre place.

Combien de temps le passeport doit-il rester accessible ?

La réponse franche : personne ne le sait encore. L'article 11 renvoie à la durée fixée par les actes délégués, et l'acte délégué pour votre groupe de produits n'existe probablement pas encore.

Si un prestataire vous donne aujourd'hui une durée précise pour votre catégorie, demandez-lui d'où elle vient. Le règlement n'en fixe aucune.

Six questions à poser avant de signer

1. Qui est votre prestataire de sauvegarde, et en quoi est-il indépendant de vous ? La réponse attendue est un nom, pas un simple « oui ».

2. Où se trouve la copie principale ? L'article 11, point c), permet qu'elle soit conservée soit par l'opérateur économique, soit par le prestataire de services : vérifiez ce qui s'applique à vous.

3. Mettez-vous en œuvre la norme EN 18221, en particulier la réplication vers un opérateur de sauvegarde et les règles de durée de conservation des données ?

4. Si je résilie le contrat, sous quel format est-ce que je récupère mes données ? L'article 10, paragraphe 1, point d), exige que les données reposent sur des normes ouvertes et soient transférables via un réseau d'échange ouvert et interopérable, explicitement sans dépendance à un fournisseur.

5. Que faites-vous de mes données en dehors de leur stockage ? L'article 11 interdit aux prestataires de vendre, de réutiliser ou de traiter les données au-delà de ce qu'exige le service, sauf accord spécifique avec l'opérateur.

6. Comment l'authenticité des données est-elle démontrée ? L'article 11, point g), exige l'authentification, la fiabilité et l'intégrité des données. À noter : les deux normes de sécurité, sur les droits d'accès et sur l'authentification des données, n'ont pas encore été citées au Journal officiel.

Pourquoi ces questions nous concernent aussi

Nous publions ces questions parce qu'elles s'appliquent aussi à nous. Si vous les posez et recevez une réponse qui contient des noms, des articles et des normes, vous avez affaire à un prestataire sérieux. Si l'on vous répond seulement de ne pas vous inquiéter, vous savez ce qui manque.

Le passeport doit survivre au produit. Le produit survit souvent à son fabricant. Et sur ce marché, parfois aussi à la plateforme.