Jeśli twój dostawca DPP jutro zniknie — co stanie się z paszportami?

Gdy firma wybiera platformę do cyfrowych paszportów produktów, zwykle pyta o cenę, integracje i terminy. Rzadko zadaje pytanie, które za pięć lat okaże się najważniejsze: jeśli przestaniecie istnieć, co stanie się z paszportami moich produktów?

Pytanie nie jest teoretyczne. Paszport musi pozostać dostępny latami po tym, jak produkt opuścił fabrykę — a rynek platform DPP jest dziś pełen firm założonych krócej niż trzy lata temu.

Czego naprawdę wymaga rozporządzenie

Rozporządzenie (UE) 2024/1781 reguluje to w dwóch miejscach, a nie są one tym samym.

Artykuł 10 ust. 4 jest krótki i jednoznaczny: podmiot gospodarczy przy wprowadzaniu produktu do obrotu udostępnia kopię zapasową paszportu za pośrednictwem dostawcy usług cyfrowego paszportu produktu. To obowiązek, a nie dobra praktyka.

Artykuł 2 pkt 32 określa, kto może być takim dostawcą: niezależna strona trzecia upoważniona przez podmiot gospodarczy, która przetwarza dane paszportu, aby udostępniać je tym, którzy mają prawa dostępu.

Kopia zapasowa nie może więc znajdować się u ciebie ani u tego samego dostawcy. Znajduje się u niezależnej strony trzeciej. To właśnie ten mechanizm ma cię chronić.

⚠ Precyzja, którą większość wyjaśnień pomija

Artykuł 11 lit. e) mówi, że paszport pozostaje dostępny przez okres określony w aktach delegowanych — w tym po upadłości, likwidacji lub zaprzestaniu działalności w Unii podmiotu gospodarczego odpowiedzialnego za utworzenie paszportu.

Przeczytaj te ostatnie słowa uważnie. Ochrona napisana jest przeciw upadkowi producenta — tego, kto tworzy paszport. Nie przeciw upadkowi platformy, która go hostuje.

Jeśli twój dostawca oprogramowania zniknie, rozporządzenie nie opisuje tego scenariusza wprost. Pokrywa go tylko pośrednio: obowiązkiem z art. 10 ust. 4, by kopia zapasowa była u niezależnej strony trzeciej, oraz normą europejską EN 18221, która reguluje przechowywanie, archiwizację i trwałość danych, w tym replikację między podmiotami gospodarczymi a operatorami zapasowymi. Jest jedną z sześciu norm przywołanych w Dzienniku Urzędowym 15 lipca 2026 r.

Rozróżnienie ma praktyczne skutki. Oznacza, że odpowiedzią na „a co, jeśli znikniecie?” nie powinna być obietnica w mailu. Powinna nią być nazwa strony trzeciej i norma, według której ona pracuje.

Akredytacji dostawców DPP wciąż nie ma

To część, o której prawie nikt nie pisze. Artykuł 11 upoważnia Komisję do przyjęcia aktów delegowanych określających wymogi, które dostawcy usług cyfrowego paszportu produktu muszą spełnić, aby nimi zostać — oraz, w stosownych przypadkach, system certyfikacji weryfikujący zgodność.

Upoważnienie istnieje. Aktu nie ma. To znaczy, że dziś każdy może nazwać się dostawcą usług DPP. Nie ma rejestru, nie ma akredytacji, nie ma egzaminu.

Praktyczny skutek: wybór dostawcy jest dziś w pełni twoją odpowiedzialnością, a nie czymś, co regulator już sprawdził za ciebie.

Jak długo paszport musi pozostać dostępny?

Uczciwa odpowiedź brzmi: jeszcze nikt nie wie. Artykuł 11 odsyła do „okresu określonego w aktach delegowanych” — a akt delegowany dla twojej grupy produktów prawdopodobnie jeszcze nie istnieje.

Jeśli dostawca poda ci dziś konkretną liczbę dla twojej kategorii, zapytaj, skąd pochodzi. Rozporządzenie żadnej nie zawiera.

Sześć pytań przed podpisaniem

1. Kto jest waszym dostawcą kopii zapasowej i w czym jest od was niezależny? Odpowiedzią jest nazwa, nie słowo „tak”.

2. Gdzie znajduje się kopia podstawowa? Artykuł 11 lit. c) dopuszcza, by była u podmiotu gospodarczego albo u dostawcy usług — ustal, co dotyczy ciebie.

3. Czy wdrażacie EN 18221, a konkretnie replikację do operatora zapasowego i zasady czasu życia danych?

4. Jeśli wypowiem umowę, w jakim formacie zabiorę swoje dane? Artykuł 10 ust. 1 lit. d) wymaga, by dane opierały się na otwartych standardach i były przenoszalne przez otwartą, interoperacyjną sieć — wprost bez uzależnienia od dostawcy.

5. Co robicie z moimi danymi poza ich przechowywaniem? Artykuł 11 zakazuje dostawcom sprzedaży, ponownego wykorzystania lub przetwarzania danych ponad to, co niezbędne dla usługi, chyba że wyraźnie uzgodniono to z podmiotem gospodarczym.

6. Jak wykazywana jest autentyczność danych? Artykuł 11 lit. g) wymaga uwierzytelniania, wiarygodności i integralności. Uwaga: dwie normy bezpieczeństwa — o prawach dostępu i o autentyczności danych — nie zostały jeszcze przywołane w Dzienniku Urzędowym.

Dlaczego to test także dla nas

Publikujemy te pytania, bo dotyczą również nas. Jeśli je zadasz i otrzymasz odpowiedź zawierającą nazwy, artykuły i normy, rozmawiasz z poważnym dostawcą. Jeśli dostaniesz zapewnienia, wiesz, czego brakuje.

Paszport musi przeżyć produkt. Produkt często przeżywa swojego producenta. A na tym rynku — czasem także platformę.