comment m'assurer que les données du passeport produit sont sécurisées

L'accès, la traçabilité et la protection contre la manipulation sont essentiels

La sécurité du passeport produit repose sur trois éléments : seules les parties autorisées peuvent consulter ou modifier certaines données, les données peuvent être retracées jusqu'à celui qui les a fournies, et personne ne peut modifier un passeport après coup sans laisser de trace. Le ESPR (Règlement (UE) 2024/1781) l'impose comme exigence du système dans lequel fonctionne le passeport, non pas comme un choix libre de la partie qui assemble le passeport. Cela signifie qu'une plateforme hébergeant des passeports doit déjà l'avoir réglé techniquement — le négociant en acier ou le transformateur de métaux qui fait créer le passeport n'a pas besoin de le construire lui-même, mais il est judicieux de savoir ce qui est et n'est pas garanti.

Pour qui cela s'applique, et ce qui en est exclu

Ces exigences de sécurité s'appliquent au passeport produit numérique lui-même : le fichier de données accessible via le code QR, et le système qui stocke et affiche ce fichier. Elles portent sur la question de savoir qui peut consulter les données, qui peut les modifier, et si l'origine d'une modification est établie. Elles ne portent pas sur la question de savoir si le contenu du passeport est correct — c'est une question d'exactitude des données, non pas de sécurité. Elles ne portent pas non plus sur le code QR physique sur le produit : la manière dont il est apposé et s'il reste lisible est décrite à la page consacrée à comment le code QR arrive sur l'acier, et c'est une question distincte de celle de la sécurité des données derrière ce code. Et ces exigences ne disent rien sur un système informatique ou un produit fournisseur spécifique : le règlement prescrit une fonctionnalité, non pas une technique.

Il est également important de distinguer qui peut consulter quelles données. Toutes les données d'un passeport ne sont pas destinées à tout le monde — certaines informations sont destinées à l'utilisateur final, certaines à un expert du marché, certaines uniquement à une autorité de surveillance. Cet accès hiérarchisé fait partie du même enjeu de sécurité, mais la répartition exacte sera précisée par groupe de produits et n'est donc pas encore fixée en détail.

Pas encore de date d'entrée en vigueur définitive, mais un cadre établi

Il n'existe pas encore de date définitive à laquelle ces exigences de sécurité s'appliqueront au fer et à l'acier. Le plan de travail de la Commission européenne prévoit un premier acte délégué en 2026, suivi d'obligations qui entreront en vigueur par la suite ; dès que cet acte sera publié, la date sera mentionnée ici. Ce qui est déjà établi, c'est le cadre du ESPR lui-même : l'article 10 et l'article 11 décrivent les exigences applicables au passeport et à la conception technique, et ce texte ne changera plus — seule la mise en œuvre spécifique au produit et la date d'entrée en vigueur restent à déterminer. En attendant, il n'existe pas d'obligation légale de détenir un passeport produit pour l'acier, mais les exigences de sécurité qui s'appliqueront bientôt sont déjà lisibles dans le règlement.

Ce qu'il en résulte en pratique

Lors de la mise en place d'un passeport, la question de la sécurité revient dans un ordre fixe. Premièrement : qui fournit les données, et cette traçabilité est-elle établie ? Un passeport est constitué de données du fabricant ou de l'importateur, et il doit être possible de retracer après coup qui a saisi quelle donnée. Deuxièmement : qui peut encore modifier le passeport après sa publication ? Le règlement exige qu'un passeport ne puisse pas être modifié sans laisser de trace — une modification doit être visible ou vérifiable, non pas remplacée discrètement. Troisièmement : qui voit quelles données ? Un négociant en acier qui transmet le passeport à un client n'a pas besoin de se préoccuper lui-même des droits d'accès au sein du système — c'est la responsabilité de la partie qui héberge le passeport — mais il est bon de savoir que toutes les données ne doivent pas être accessibles au public.

Quiconque souhaite lier un passeport numérique de produit à un système ERP ou d'inventaire existant ferait bien de se poser cette question de sécurité en amont : les données qui s'écoulent automatiquement d'un système interne vers un passeport public doivent rester protégées en route contre toute modification non autorisée. Vous trouverez plus d'informations à ce sujet sur la page consacrée à la liaison du passeport à votre propre système. La question de savoir pendant combien de temps un passeport doit rester disponible et inchangé après sa publication est également liée à ces exigences de sécurité; ce sujet est traité séparément sur la page intitulée pendant combien de temps un passeport numérique de produit reste disponible.

Pour l'entrepreneur qui n'a pas son propre service informatique, cela se réduit en pratique à une question de contrôle adressée à la partie qui héberge le passeport : peut-elle prouver qui a fourni quelles données, existe-t-il un mécanisme de verrouillage contre les modifications non détectées, et l'accès aux données sensibles est-il isolé de la partie publique du passeport? Ce ne sont pas des questions juridiques mais pratiques, et elles peuvent être posées sans avoir besoin de connaître le règlement lui-même.

Où cela se trouve : article 10 et article 11 du RSPR

L'article 10 du RSPR (Règlement (UE) 2024/1781) décrit les exigences auxquelles le passeport numérique de produit doit satisfaire, notamment l'accès aux données par différents types d'utilisateurs. L'article 11 porte spécifiquement sur la conception technique et le fonctionnement du passeport, et c'est là que se trouvent les exigences en matière de traçabilité, de protection contre la manipulation et de fonctionnement du système sous-jacent. Ces deux articles forment ensemble le cadre dont découlent les exigences de sécurité; le détail technique supplémentaire suivra avec les actes délégués qui doivent encore être publiés.

Quiconque souhaite dès maintenant se lancer dans un passeport numérique de produit ferait mieux de commencer par mettre de l'ordre dans ses propres flux de données — en documentant qui fournit quelles données et comment elles sont conservées — de sorte qu'il y ait peu de changements à apporter dès que l'obligation et les détails techniques seront définitivement établis.

Sur quoi cela s'appuie

Le règlement lui-même figure sur EUR-Lex. Nous renvoyons à chaque affirmation ; vous n'avez pas besoin de nous croire sur parole.

Ce que vous devez concrètement faire

Ce qu'on attend de vous

Le RSPR impose des exigences au passeport numérique de produit qui ne portent pas seulement sur les données qui y figurent, mais aussi sur la manière dont ces données sont gérées et protégées. L'article 10 et l'article 11 du RSPR (Règlement (UE) 2024/1781) en forment ensemble la base : l'article 10 décrit les exigences auxquelles le passeport doit satisfaire, l'article 11 porte spécifiquement sur la conception technique et le fonctionnement. Pour un négoce d'acier ou un transformateur de métaux qui organisent cela pour la première fois, cela se décompose en un certain nombre de points d'attention pratiques.

Réglementer l'accès aux données en fonction du rôle

Tous ceux qui consultent le passeport n'ont pas besoin de voir les mêmes données. Un acheteur chez une entreprise de construction a besoin d'informations différentes de celles d'un contrôleur ou d'un recycleur en fin de vie. L'article 10 du RSPR part du principe d'un accès différencié : certaines données sont publiques, d'autres ne sont visibles que pour certaines parties comme les opérateurs économiques ou les autorités. Pour une entreprise de 10 à 100 salariés, cela signifie que, avant que le passeport ne devienne opérationnel, un choix doit avoir été fait sur qui voit quelle couche de données — et ce choix doit être réellement mis en œuvre sur le plan technique, pas seulement sur le papier.

Assurer l'origine et l'exactitude des données

Un passeport numérique de produit n'a de valeur que si les données qu'il contient sont correctes et traçables jusqu'à la source. Cela touche à la fiabilité de l'ensemble du système : si un destinataire ne peut pas vérifier d'où proviennent les données, le passeport perd sa fonction. En pratique, cela signifie qu'il faut documenter qui a fourni quelle donnée — le fabricant, l'importateur ou un tiers — et quand cela s'est produit. Pour les entreprises qui ne saisissent pas elles-mêmes les données mais les transmettent, il importe de savoir comment les données ont été fournies dans le format approprié, car une fourniture incorrecte se traduit plus loin dans la chaîne par un passeport non fiable.

Protection contre la modification après publication

L'article 11 du ESPR décrit que le passeport numérique de produit doit fonctionner techniquement de manière à ce que les données ne puissent pas être modifiées sans laisser de traces après leur enregistrement. Pour un transformateur de métaux qui n'héberge pas lui-même le passeport mais le fait héberger — par exemple via une plateforme comme celle-ci — cela signifie que le choix d'un prestataire d'hébergement est aussi un choix concernant la manière dont ce prestataire enregistre, journalise et sécurise les modifications. Ce n'est pas un point théorique : si un client ou une autorité de contrôle conteste une donnée du passeport, il doit être démontrable quand cette donnée a été enregistrée et par qui.

Intégration avec les systèmes d'entreprise existants

De nombreuses entreprises ne veulent pas gérer le passeport de produit comme un système isolé, mais l'intégrer à l'administration existante. C'est possible, mais la sécurité du passeport n'est alors pas indépendante de la sécurité de ce système sous-jacent. Celui qui envisage de coupler le passeport avec son propre système ERP ou de gestion des stocks, ferait bien de vérifier qui a accès à ce couplage et si une fuite dans l'un des systèmes aurait des conséquences sur l'autre.

Où cela tourne mal en pratique

Un certain nombre de situations reviennent régulièrement dans la pratique.

Dans les entreprises qui font imprimer le code QR sur le produit lui-même, on oublie parfois que le code en soi ne fournit aucune sécurité — la question est ce qui se passe derrière ce code. Celui qui se demande comment le code QR arrive sur l'acier, doit aussi se demander qui gère les données sous-jacentes et si cette séparation entre support et contenu est clairement établie.

Une autre situation se présente lorsque plusieurs parties de la chaîne fournissent des données pour le même passeport, sans avoir convenu à l'avance qui peut modifier telle ou telle partie. Cela crée de la confusion sur la version valable, et parfois aboutit à l'écrasement accidentel de données correctes par une autre partie.

Même pour les petites pièces, cela peut mal tourner : si un code QR sur une petite pièce d'acier est techniquement limité, on choisit parfois un lien simplifié ou une page intermédiaire — sans toujours avoir réfléchi à la question de savoir si cette étape intermédiaire suit les mêmes accords de sécurité que le passeport principal.

Une quatrième situation : les entreprises qui conservent elles-mêmes une copie hors ligne des données du passeport pour une utilisation sur les sites sans connexion, oublient de synchroniser ou sécuriser cette copie de la même manière que la version en ligne. C'est un point réel, car tous les postes de travail n'ont pas une connexion stable, et la question de savoir si le passeport doit aussi fonctionner hors ligne est justement importante dans ce type d'organisation pratique.

Enfin : les entreprises qui cessent leurs activités ou qui se débarrassent d'une branche d'activité oublient parfois que les données du passeport continuent à exister et que l'accès et la gestion doivent en être transférés — ce qui est lié à la question de savoir ce qu'il advient du passeport si l'entreprise cesse ses activités.

Ce que vous pouvez documenter

Un certain nombre d'accords et de documents permettent de démontrer la sécurité des données du passeport :

Un aperçu de qui a quel rôle dans la fourniture et la gestion des données, incluant un contact pour chaque partie de la chaîne.
Un enregistrement de l'origine de chaque donnée : de quel fabricant, importateur ou intermédiaire elle provient et à quel moment elle a été fournie.
Des accords avec le prestataire d'hébergement sur la journalisation des modifications, de manière à démontrer quand une donnée a été enregistrée et si elle a été modifiée par la suite.
Une description des niveaux d'accès qui ont été définis : quelles données sont publiques et quelles données ne sont visibles que pour des parties spécifiques.
Le cas échéant, un aperçu du couplage avec son propre système ERP ou de gestion des stocks, indiquant qui a accès à ce couplage.
Un plan pour le cas où l'entreprise cesserait ses activités ou une branche serait transférée, de sorte que la gestion et l'accès aux passeports existants ne restent pas en suspens.

Cette documentation n'est pas seulement utile vis-à-vis du contrôle, mais aussi d'un point de vue pratique : elle évite que les connaissances internes sur qui gère quoi ne se perdent lors de changements de personnel ou de reprises d'entreprise.

Ce n'est pas un avis juridique. Cette page fournit des informations générales sur la réglementation qui s'applique à cette plateforme. Nous ne connaissons pas votre situation. En cas de doute sur votre cas particulier, consultez un avocat ou l'autorité de contrôle compétente.

Rédigé avec l'IA sur la base des sources ci-dessus, contrôlé par un humain le 2026-09-05. Y a-t-il quelque chose qui ne va pas ? Faites-le-nous savoir — les corrections sont prioritaires.