Qui héberge les données derrière un passeport produit ?
L'opérateur économique chargé de le créer, ou un prestataire de services de passeport numérique de produit. Le règlement exige aussi une copie de sauvegarde détenue par un tel prestataire, et une disponibilité qui continue après une insolvabilité, une liquidation ou une cessation d'activité.
Deux détenteurs possibles
L'article 11 du règlement (UE) 2024/1781 dit que le passeport est stocké par l'opérateur économique chargé de sa création ou par des prestataires de services de passeport numérique de produit. Le règlement définit un tel prestataire comme un tiers indépendant, autorisé par l'opérateur qui met le produit sur le marché, qui traite les données du passeport pour les rendre disponibles.
L'hébergement est donc une décision plutôt qu'un défaut. Un fabricant peut garder les données dans ses propres systèmes, ou les confier à un prestataire, et le règlement traite les deux comme des façons conformes de les détenir.
La copie de sauvegarde est exigée
L'article 10 ajoute une obligation qui surprend à la première lecture du texte : l'opérateur économique, au moment de mettre le produit sur le marché, met à disposition une copie de sauvegarde du passeport par l'intermédiaire d'un prestataire de services. Un fabricant qui héberge ses propres passeports n'est pas dispensé de cette copie.
Et la copie fait partie du contenu même du passeport : l'annexe III cite, parmi les données qu'un acte peut exiger, la référence du prestataire qui héberge la copie de sauvegarde. L'arrangement est destiné à être visible, pas privé.
Elle doit survivre à l'entreprise
L'article 11 exige que le passeport reste disponible pendant la période fixée par l'acte applicable, y compris après une insolvabilité, une liquidation ou une cessation d'activité dans l'Union de l'opérateur chargé de le créer. La page de la disponibilité reprend cette période et ce qu'elle coûte.
Lu avec la copie de sauvegarde, l'intention est nette : les données survivent à l'entreprise qui les a produites. Une adresse qui cesse de répondre quand une société disparaît est exactement ce contre quoi le texte est écrit, et le même raisonnement vaut pour tout tag qui pointe vers un domaine, ce que rencontre sous une forme plus simple la page de la préparation.
Ce qu'un prestataire n'a pas le droit de faire
L'article 11 encadre le prestataire : lorsqu'il stocke ou traite autrement les données du passeport, il ne peut pas les vendre, les réutiliser ou les traiter, en tout ou en partie, au-delà de ce qui est nécessaire au service, sauf accord spécifique avec l'opérateur qui met le produit sur le marché.
Le même article habilite la Commission à fixer les exigences qu'un prestataire doit remplir, et le cas échéant un schéma de certification pour les vérifier. Un contrat avec un prestataire a donc un sol mouvant sous lui, ce qui est une raison de lire l'acte et les conditions du prestataire en même temps.
Questions fréquentes
Un fabricant peut-il héberger ses propres passeports ?
Oui. Le règlement autorise le stockage par l'opérateur économique chargé de créer le passeport ou par un prestataire de services.
La copie de sauvegarde est-elle facultative ?
Non. L'opérateur qui met le produit sur le marché met à disposition une copie de sauvegarde par l'intermédiaire d'un prestataire de services de passeport numérique de produit.
Que se passe-t-il si l'entreprise disparaît ?
Le passeport doit rester disponible pendant la période fixée par l'acte, y compris après une insolvabilité, une liquidation ou une cessation d'activité dans l'Union.
Un prestataire peut-il employer les données à ses propres fins ?
Pas au-delà de ce qu'exige le service, sauf accord spécifique avec l'opérateur qui met le produit sur le marché.