Qui peut consulter quelles données du passeport de produit?

L'accès varie selon le groupe d'utilisateurs, pas identique pour tous

Le passeport numérique de produit n'est pas un document unique identique pour tous : le ESPR établit une distinction entre les données visibles par tous et les données accessibles uniquement à des parties spécifiques. L'article 11 du ESPR (Règlement (UE) 2024/1781) régit le fonctionnement technique du passeport et détermine que l'accès aux informations du passeport est organisé selon le rôle de l'utilisateur. Un consommateur qui scanne le code QR sur un profil d'acier avec son téléphone voit d'autres informations qu'une autorité de surveillance du marché qui consulte le même passeport dans l'exercice de sa mission de contrôle. Le principe de cette distinction est que le passeport doit offrir de la transparence sur l'origine, la composition et la circularité d'un produit, sans obliger les entreprises à révéler publiquement leurs informations commerciales sensibles.

Pour les données de produit dans la chaîne, pas pour les données personnelles

Ce qui est décrit ici concerne l'accès aux informations de produit telles qu'elles sont enregistrées dans le passeport dans le cadre du ESPR : composition matérielle, origine, performances, informations de recyclage et similaires. Il ne s'agit pas de la gestion des données personnelles d'individus ; d'autres règles s'appliquent à ce sujet, telles que le RGPD, et celles-ci sortent du champ d'application des articles 10 et 11 du ESPR. Il ne s'agit pas non plus d'une liberté de choix pour le fabricant ou l'importateur de déterminer lui-même qui peut voir quoi : la classification en niveaux d'accès est établie au niveau de l'UE, de manière générique dans le ESPR et de manière spécifique par catégorie de produit dans les actes délégués qui suivront. Pour le fer et l'acier, cette spécification pour le groupe de produits n'existe pas encore, pas plus que les données qui seront publiques et celles qui seront réservées uniquement aux participants au marché ou aux autorités de contrôle. Ce qui est établi, c'est le principe du ESPR lui-même : une partie des données est destinée au grand public, une autre partie est réservée aux parties ayant un rôle spécifique dans la chaîne ou le contrôle.

Pas encore de date d'entrée en vigueur fixe pour l'acier

Il n'existe pas encore de date à laquelle ces règles d'accès pour le fer et l'acier entreront en vigueur. Selon le plan de travail de la Commission européenne pour 2025-2030, le premier acte délégué concrétisant le ESPR est attendu en 2026, avec des obligations entrant en vigueur ultérieurement. Pour le fer et l'acier, aucun acte délégué n'a été publié, il n'y a donc rien de définitif concernant les niveaux d'accès précis qui s'appliqueront à ce groupe de produits. Une fois cet acte disponible, il sera traité ici. Jusqu'à présent, il n'existe pas d'obligations au titre du ESPR pour le fer et l'acier de disposer d'un passeport numérique de produit avec accès différencié.

Ce qu'un négociant ou transformateur d'acier peut en faire maintenant

Celui qui s'engage dès maintenant sur ce sujet agira judicieusement en clarifiant d'abord quelles données relatives à un produit sont de toute façon déjà partagées avec les clients ou les autorités de contrôle, par exemple via des certificats existants, des rapports d'inspection ou des documents de livraison — cela donne une image de ce qui pourrait ensuite figurer dans la partie « publique » du passeport. Il est ensuite utile de faire l'inventaire des informations qui ne sont justement pas destinées à tout le monde, comme les détails précis de composition, les paramètres de procédé ou les informations sur les fournisseurs qui sont considérées comme sensibles pour l'entreprise ; il s'agit des informations dont on peut s'attendre à ce qu'elles relèvent d'un niveau d'accès plus restreint dès que les règles pour l'acier deviennent concrètes. Troisièmement, il est pratique de vérifier qui, au sein de sa propre chaîne, jouera quel rôle par la suite — fabricant, importateur, négociant, transformateur — car le rôle dans la chaîne est déterminant pour le niveau d'accès applicable, et non le souhait de l'entreprise elle-même. Enfin : parce que la spécification propre au groupe de produits pour le fer et l'acier doit encore venir, il n'y a actuellement aucune raison de mettre en place définitivement des systèmes selon une répartition particulière des droits d'accès ; il est toutefois utile de classer ses propres données dès maintenant selon ce qui deviendra probablement public et ce qui restera probablement limité, afin que la transition ultérieure soit plus rapide.

Où cela est indiqué : articles 10 et 11 du RSPR

L'article 10 du RSPR (Règlement (UE) 2024/1781) décrit les exigences auxquelles doit satisfaire le contenu du passeport produit numérique, y compris la nature des informations qui y sont intégrées. L'article 11 du même règlement régit la conception technique et le fonctionnement du passeport, et il y est établi que l'accès aux données est différencié selon le groupe d'utilisateurs, de sorte que chaque utilisateur ne voit pas les mêmes données. Le détail d'exécution par groupe de produits — y compris pour le fer et l'acier — résulte des actes délégués que la Commission doit encore adopter sur la base de ce règlement.

Celui qui souhaite suivre ce sujet peut au mieux commencer par classer sa propre information produit selon ce qui deviendra probablement public et ce qui deviendra probablement d'accès limité, et surveiller la publication de l'acte délégué pour le fer et l'acier — dès qu'il sera disponible, la répartition sera concrétisée ici.

Sur quoi cela s'appuie

Le règlement lui-même figure sur EUR-Lex. Nous renvoyons à chaque affirmation ; vous n'avez pas besoin de nous croire sur parole.

Ce que vous devez concrètement faire

Ce qu'on attend de vous

Le passeport produit n'est pas un document avec un seul niveau d'accès. L'ESPR part d'un accès stratifié : certaines données sont visibles pour tous via le code QR sur le produit, d'autres uniquement pour les parties ayant un rôle spécifique dans la chaîne, et d'autres encore uniquement pour les autorités de surveillance. L'article 10 de l'ESPR (Règlement (UE) 2024/1781) mentionne cette distinction comme étant une exigence pour le passeport, et l'article 11 explique comment cela prend forme techniquement et organisationnellement. Pour une entreprise qui transforme ou revend de l'acier, cela signifie qu'il faut réfléchir à qui a accès à quelle partie des données et à quel moment.

Faire la distinction entre les données publiques et les données à accès restreint

Une partie des données du passeport est accessible à tous ceux qui scannent le code QR : un utilisateur final, un acheteur dans une entreprise de construction, une autorité de surveillance en déplacement. Une autre partie est réservée aux parties ayant un intérêt justifié, comme les entreprises de recyclage qui ont besoin de la composition des matériaux, ou les organismes de certification. Pour une entreprise de transformation des métaux de taille moyenne, cela signifie que la question « qui peut voir quoi et qui ne peut pas » doit être répondue lors de l'établissement du passeport, et non après coup. Cela soulève directement la question de savoir si les données sensibles sur le plan commercial concernant l'acier doivent être rendues publiques: tout ce qui figure dans le passeport n'a pas besoin d'être visible pour tous.

Lier l'accès au rôle dans la chaîne

L'article 11 décrit que le niveau d'accès peut dépendre du rôle de la partie qui demande les données : fabricant, importateur, distributeur, utilisateur final, autorité de surveillance du marché ou exploitant de traitement des déchets. Pour un négoce d'acier qui achète des demi-produits et les revend, cela signifie que votre rôle dans la chaîne détermine quelles données sont visibles et lesquelles ne le sont pas. Un négociant qui revend un matériau à une entreprise de construction transmet également une part de responsabilité : l'acheteur doit avoir accès aux données pertinentes pour l'application et la transformation, comme le type d'acier et la composition.

Veiller à ce que les autorités de surveillance aient toujours accès

Outre l'accès stratifié pour les acteurs du marché, il y a l'exigence que les autorités de surveillance (autorités de surveillance du marché et douane) aient accès au passeport complet, y compris aux parties qui ne sont pas publiques. Pour une entreprise de 10 à 100 salariés, cela signifie qu'aucune donnée du passeport ne peut rester « cachée » à la supervision, même si elle est commercialement sensible. Cette distinction entre non-publique et non-contrôlable est essentielle : les données peuvent être réservées au public, mais jamais aux autorités qui doivent pouvoir vérifier que le passeport est correct.

Veiller à ce que la structure d'accès fonctionne techniquement

L'article 11 énonce des exigences concernant la structure technique : le passeport doit être construit de telle sorte que différents niveaux d'accès puissent réellement être appliqués, non seulement en théorie. Pour une entreprise qui n'a pas son propre département informatique pour construire cela, cela signifie que le choix d'un partenaire d'hébergement est pertinent : la technologie doit veiller à ce qu'un utilisateur final n'accède pas accidentellement à des données destinées uniquement à un recycleur, et inversement.

Où cela tourne mal en pratique

Quelques situations qui créent souvent de la confusion dans la pratique :

Un négociant pense que le passeport doit être entièrement public, et publie donc aussi des données destinées uniquement à la partie suivante de la chaîne, comme des paramètres de processus internes. Cela se produit souvent par prudence (« mieux partager trop que trop peu »), mais sans distinction entre les niveaux d'accès, les informations parviennent à des parties qui ne doivent pas ou ne peuvent pas les utiliser.

Un autre scénario : une entreprise suppose plutôt que tout ce qui n'est pas explicitement « obligatoirement public » peut être réservé à tous, y compris aux autorités de surveillance. Cette distinction entre public et non-contrôlable est alors confondue, avec pour résultat qu'une inspection s'enlise parce que l'inspecteur n'a pas accès aux données sous-jacentes.

Il existe aussi des situations où un fabricant fait établir le passeport par un tiers sans préciser qui a les droits d'accès à quoi. Si un différend surgit plus tard sur la question de savoir qui a fourni ou modifié quelles données, il n'y a alors aucune trace de qui avait accès quand.

En outre, il arrive qu'une entreprise assimile la structure d'accès du passeport à celle d'un certificat d'inspection 3.1, alors que c'est un autre document ayant une autre fonction et un autre public. Cela crée une confusion sur ce qui est précisément partagé avec qui ; comment un certificat d'inspection 3.1 se rapporte au passeport produit est donc aussi une question qui se pose souvent en parallèle.

Enfin : une entreprise compile les données sans distinction entre ce qui est techniquement (composition, norme) et ce qui est commercialement (prix des fournisseurs, spécifications internes) sensible, de sorte qu'il s'avère après coup que des informations sensibles sur le plan concurrentiel étaient visibles pour tous.

Ce que vous pouvez documenter

Un aperçu de quelles données du passeport sont accessibles au public et lesquelles sont restreintes, adapté à quelles données du passeport produit d'acier doivent figurer.
Une décision interne sur les données considérées comme sensibles pour l'entreprise, avec justification de la raison, afin que cela soit traçable par la suite.
Des accords avec la partie chargée de l'hébergement sur les rôles d'accès qui seront supportés (utilisateur final, partenaire de la chaîne, autorité de surveillance) et comment ils seront techniquement séparés.
Une enregistrement de qui au sein de l'entreprise est responsable de l'attribution et de la gestion des droits d'accès au passeport.
Un aperçu de quels acteurs de la chaîne (fournisseur, client, recycleur) ont besoin de quelles données, associé à des thèmes tels que la part de ferraille dans la fusion ou les éléments d'alliage qui doivent être déclarés, afin qu'il soit clair quelles données sont pertinentes pour quel rôle.
Un journal des modifications et des demandes d'accès, afin qu'un contrôle puisse montrer que les autorités de surveillance avaient toujours accès à l'ensemble complet des données.

Ce n'est pas un avis juridique. Cette page fournit des informations générales sur la réglementation qui s'applique à cette plateforme. Nous ne connaissons pas votre situation. En cas de doute sur votre cas particulier, consultez un avocat ou l'autorité de contrôle compétente.

Rédigé avec l'IA sur la base des sources ci-dessus, vérifié par un humain le 2026-08-22. Quelque chose ne va pas ? Faites-le-nous savoir — les corrections sont prioritaires.