Il registro DPP dell'UE, spiegato

Partite da qui: è un elenco telefonico, non un archivio

È l'equivoco più diffuso in assoluto. Il registro non conserva i dati del vostro prodotto — conserva un puntatore ad essi. Il vostro passaporto risiede presso di voi, o presso un fornitore che scegliete voi, e deve rispondere ogni volta che qualcuno scansiona il codice.

Tenuto dalla Commissione

Il record di registrazione DPP

Una voce di indice a livello UE. Il suo compito sono i controlli di conformità, la ricerca da parte delle autorità e l'applicazione transfrontaliera — non mostrare qualcosa a un consumatore.

Che cosa contiene: Metadati di registrazione, identificativi, metadati di interoperabilità e regole di accesso. Non il set di dati tecnico.
Chi lo controlla: La Commissione. Non è previsto alcun canone di abbonamento. Solo gli operatori economici verificati possono scrivervi.

Tenuti da voi

I dati del DPP

Il passaporto stesso — tutto ciò che un consumatore, un riciclatore o un ispettore legge davvero dopo aver scansionato il codice QR.

Che cosa contiene: Come minimo ogni attributo obbligatorio dello schema del vostro gruppo di prodotti; al massimo quelli obbligatori e quelli facoltativi.
Chi lo controlla: Nelle parole della guida: “la banca dati dell'operatore economico o di un fornitore di servizi”, e “l'operatore economico ne ha il pieno controllo e la piena responsabilità”. Devono essere risolvibili in ogni momento.

Che cosa succede davvero, dall'inizio alla fine

Tre fasi. La prima richiede pochi minuti, la seconda è quella che fallisce, la terza è per ora una sala d'attesa.

1 · EntrarePochi minuti, se avete già un EU Login

1.i Andate sul registro

registry.product-passport.ec.europa.eu — venite reindirizzati direttamente a EU Login.

1.ii Accedete con EU Login

Il single sign-on della Commissione, con autenticazione a più fattori. Non avete ancora un EU Login? Crearne uno è gratuito e richiede pochi minuti.

1.iii Arrivate sulla pagina di benvenuto

Da qui avviate l'iscrizione. Ancora nulla sui vostri prodotti — prima la Commissione deve sapere chi siete.

L'account è personale. L'organizzazione viene dopo.

2 · Dimostrare chi sieteLa parte che viene respinta

2.i Descrivete l'organizzazione

Denominazione legale, sede legale, paese, un identificativo (preferibilmente NTR, oppure LEI, partita IVA, eID) e un contatto per la conformità. Un lavoratore autonomo si iscrive invece come persona fisica.

2.ii Richiedete la dichiarazione PDF sigillata

La Commissione blocca i vostri dati in un PDF e lo sigilla. Se poi cambiate qualcosa, la verifica riparte da capo.

2.iii Sigillatela — offline, fuori dal registro

Il vostro rappresentante legale contro-sigilla esattamente quel file con il QSeal dell'azienda (o con una QES, per un lavoratore autonomo).

È qui che le cose vanno storte — vedi sotto

2.iv Caricate e inviate

Di nuovo nel registro. Solo PDF, fino a 1 GB, nome del file sotto i 100 caratteri.

2.v Verificati — siete l'amministratore

L'Activity Dashboard segnala PROCESSING, poi SUCCESS o FAILURE. Un rapporto di successo vi dice il giorno in cui scade il vostro sigillo.

Lo stato verificato dura quanto il vostro certificato, e mai più di tre anni.

3 · Registrare i passaportiAperto, ma non ancora concludibile

3.i Scegliete il gruppo di prodotti

Le batterie — industriali, per veicoli elettrici e LMT — sono il primo e, ad oggi, l'unico gruppo. Gli altri seguiranno i rispettivi atti delegati ESPR.

3.ii Scegliete come inviare

Un passaporto tramite un modulo web, oppure un file JSON/XML con fino a 100 passaporti alla volta. Sono forniti dei modelli.

3.iii Indicate l'UPI

Un URL che si risolve nel vostro passaporto. Gli identificativi di modello e di lotto sono facoltativi; oggi è offerta solo la registrazione a livello di singolo articolo.

3.iv Ricevete un URI in risposta

L'identificativo che il registro assegna al record e che voi conservate insieme al passaporto.

Non ancora possibile — vedi “A che punto siamo oggi”

In un lotto da 100, una sola riga errata fa respingere tutte e 100.

Dove le domande falliscono davvero: il sigillo

La verifica è automatizzata e senza indulgenza, e quasi ogni rifiuto deriva dallo stesso piccolo numero di cause. Nessuna di esse riguarda i vostri prodotti. Vale la pena leggerlo prima che il vostro rappresentante legale dedichi a questo un pomeriggio.

Un certificato qualificato non è un sigillo qualificato

Un certificato consegnato come file software (.p12, .pfx) produce soltanto una firma avanzata — AdES/QC — che viene respinta. Serve che la chiave sia su una smart card o un token USB, oppure in un servizio di firma remota qualificata gestito dal vostro QTSP.

Il formato predefinito di Adobe Acrobat è sbagliato

Di serie Acrobat incorpora le firme in un formato non conforme a PAdES, e la dichiarazione viene respinta anche se il certificato è perfettamente valido. Impostate l'opzione “Default Signing Format” su CAdES-Equivalent prima di firmare.

Sono accettati solo quattro profili di firma

PAdES Baseline B, T, LT oppure LTA. Tutto il resto — altri contenitori, altri formati — viene rifiutato senza appello.

Il vostro modulo deve corrispondere esattamente al certificato

Non approssimativamente. Dalla v1.03 il rapporto di rifiuto indica ogni campo divergente e stampa i due valori affiancati, così almeno vedete che cosa correggere.

Ciò che digitate	Attributo del certificato	OID
Denominazione legale	`organizationName`	`2.5.4.10`
Paese di registrazione	`countryName`	`2.5.4.6`
Identificativo	`organizationIdentifier`	`2.5.4.97`

Non toccate nient'altro nel file

Dopo aver scaricato la dichiarazione sigillata l'unica modifica consentita è l'aggiunta del vostro sigillo. Qualsiasi altra modifica rompe il sigillo della Commissione e l'invio fallisce.

Validation result showing Qualification QESig, signature format PAdES-BASELINE-B and indication TOTAL_PASSED — **Verificatelo prima di inviare.** Lo strumento gratuito di validazione DSS della Commissione vi dice in anticipo se il vostro sigillo passerà. La riga che conta è **Qualification**: deve indicare `QESeal` per una società oppure `QESig` per un lavoratore autonomo. Se indica *AdESeal-QC* oppure *AdESig-QC*, il registro vi respingerà — quasi sempre perché è stato usato un certificato software. Schermata: DPP Registry User Guide for Economic Operators v1.03 · © Unione europea, 2026

Che cosa chiede il registro al collegamento verso il vostro passaporto

Un solo campo regge tutto: l'identificativo unico del prodotto. È un URL, e il registro lo recupera per verificare che si risolva davvero. È proprio questo che una piattaforma di passaporti esiste per fare bene.

The Registry's DPP registration screen: choose an online form or a file upload of up to 100 products, then provide granularity, unique product identifier, model and batch identifiers — **Registrare un passaporto.** Due vie — uno alla volta tramite il modulo, oppure fino a 100 in un file JSON o XML. L'identificativo unico del prodotto è l'unico campo obbligatorio sullo schermo. Schermata: DPP Registry User Guide for Economic Operators v1.03 · © Unione europea, 2026

Deve essere un URL reale e funzionante

Solo HTTPS, un formato di URL conforme a JTC 24, fino a 2000 caratteri. Un semplice http:// viene rifiutato dal modulo.

Deve risolversi ancora nel momento in cui lo verificano

Il registro segue il collegamento. Troppi reindirizzamenti, un reindirizzamento che scende a un protocollo meno sicuro, un dominio o una porta non consentiti, o una risposta troppo grande, e ottenete NOT_RESOLVABLE_UPI. Un URL di passaporto è infrastruttura, non un link di marketing.

Ogni identificativo deve essere unico all'interno dell'invio

Due passaporti che condividono un UPI nello stesso file fanno fallire il file. E una sola riga errata fa respingere l'intero lotto da 100 — quindi convalidate prima di caricare, non dopo.

I nomi dei file sono esigenti

Solo lettere, cifre, punto, trattino basso e trattino. Niente spazi, niente barre. Sotto i 100 caratteri, sotto 1 GB.

A che punto siamo oggi — onestamente

Il registro è operativo, e questo è vero. Ma operativo non significa ancora finito, e conviene pianificare in base a ciò che sa davvero fare questa settimana.

Iscrizione e verifica: funzionanti

Potete iscrivere la vostra organizzazione e farla verificare già oggi. È il percorso più lungo — il sigillo, il rappresentante legale, il QTSP — quindi iniziare ora ha un valore reale.

Registrazione dei passaporti: non ancora concludibile

La guida lo dice chiaramente: la registrazione dei passaporti della batteria “non è attualmente disponibile, poiché il catalogo semantico di questo gruppo di prodotti non è ancora stato definito”. Le schermate ci sono; gli invii non possono ancora andare a buon fine.

Un gruppo di prodotti, una sola granularità

Solo batterie, solo a livello di singolo articolo. I livelli di modello e di lotto sono definiti ma non offerti. Gli altri settori arriveranno con i rispettivi atti delegati ESPR.

Solo in inglese, per ora

L'interfaccia del registro e la dichiarazione PDF sono disponibili solo in inglese — utile saperlo prima di passare la pratica a un ufficio legale che lavora in un'altra lingua.

Esiste un ambiente sandbox

Un ambiente di prova rispecchia il vero processo di verifica, così potete provare il sigillo senza rischi. Richiede un EU Login separato, e tutto ciò che vi create può essere cancellato.

La verifica scade

Lo stato verificato dura quanto il vostro mezzo di identificazione elettronica, e mai più di tre anni. Dopo di che ripetete la procedura, altrimenti non potete più registrare né modificare passaporti.

Dove si colloca dpp.gs

Il registro conserva un collegamento. Noi siamo ciò a cui il collegamento punta.

Ospitiamo il passaporto

Conserviamo i dati del DPP, li serviamo a chiunque scansioni il codice — consumatore, riciclatore, autorità di mercato — e li manteniamo risolvibili per tutta la vita del prodotto. È questo l'obbligo che il registro controlla.

Deteniamo il collegamento di riserva

Il modello decentralizzato prevede una seconda via di accesso al vostro passaporto, detenuta da un fornitore di servizi DPP, affinché i dati sopravvivano anche se cessate l'attività. Fa parte di ciò che state acquistando.

Manteniamo i vostri UPI registrabili

URL HTTPS stabili, nessuna catena di reindirizzamenti, nessun declassamento — costruiti perché il controllo di risolvibilità del registro passi al primo colpo. GS1 Digital Link è la nostra forma predefinita, ma l'UE non la impone: la norma EN 18219 riconosce cinque schemi di identificazione, e un nostro passaporto può essere identificato altrettanto bene da EPC, UUID, DID o MA-DPP.

La vostra identità resta vostra

L'iscrizione e il QSeal sono legati alla vostra azienda e al vostro rappresentante legale, e il registro non dà a nessuno il modo di fare quella parte al posto vostro. Noi vi ci prepariamo; non possiamo sostituirvi.