El Reglamento no fija cuantías ni tipos infractores. Encarga a cada Estado miembro establecer el régimen de sanciones aplicable a cualquier infracción y adoptar las medidas necesarias para garantizar su ejecución, con la fórmula habitual de que sean efectivas, proporcionadas y disuasorias (art. 74.1).

Conviene no leer esto como un régimen de notificación de incidentes al uso. El sujeto es cualquier usuario del registro, no una entidad designada; el objeto es el registro europeo, no los sistemas de la empresa; y el disparador es la sospecha razonable, no una clasificación de gravedad. Un incidente que afecte a los sistemas propios con los que la empresa accede al registro no se notifica por esta vía: se notifica, si procede, por la que le corresponda a esa empresa en otras normas. En el otro sentido del circuito, la Comisión adopta medidas cuando detecta actividad inapropiada o fraudulenta, y el texto nombra expresamente la descarga masiva de datos como una de ellas.

Comportamiento malintencionado en el registro europeo de pasaportes o contra él

Plazo

Inmediatamente, sin plazo cifrado

Desde cuándo corre

Tener conocimiento del comportamiento o motivos razonables para sospecharlo. No hace falta confirmación ni evaluación de impacto

RE (UE) 2026/1778, art. 17, párrafo segundo

La Comisión Europea, como gestora del registro

Cuándo

Inmediatamente al conocer o sospechar razonablemente el comportamiento malintencionado

En España

No hay intermediario español en esta vía: el aviso va directamente a la Comisión, que gestiona el registro y es responsable del tratamiento de los datos personales que contiene.

Comisión Europea ↗

RE (UE) 2026/1778, art. 17, párrafo segundo

Los Estados miembros afectados

Cuándo

En el mismo momento, cuando proceda. El texto no define cuándo procede ni a qué órgano de cada Estado se dirige el aviso

En España

Pendiente. Cada Estado debe designar antes del 18 de febrero de 2027 un administrador nacional que actúe como punto de contacto único ante la Comisión para gestionar los derechos de acceso al registro. Quién será en España no se ha verificado en esta ficha.

RE (UE) 2026/1778, art. 17, párrafo segundo

Fabricantes

Quien fabrica o encarga fabricar y comercializa con su nombre o marca. Responde de que el pasaporte exista, de que incluya la copia de seguridad de su versión más actual alojada en un prestador de servicios y de que sus datos de contacto figuren en la parte pública del pasaporte (art. 27.1 y 27.6)

Importadores y distribuidores

Quien trae producto de fuera de la Unión o lo comercializa dentro de ella. Al importador le alcanza además el control aduanero: la aduana solo despacha a libre práctica tras comprobar que el identificador único de registro y el código de mercancía se corresponden con lo almacenado en el registro (art. 15.2)

Comerciantes y mercados en línea

Quien ofrece el producto al usuario final, incluida la venta a distancia. No crea el pasaporte: lo recibe. El operador económico que introduce el producto tiene que facilitarle copia digital del soporte de datos o del identificador único, gratis y en cinco días hábiles desde la solicitud (art. 10.3)

Prestadores de servicios de pasaporte

Terceros independientes autorizados por el operador económico para tratar los datos del pasaporte. Alojan obligatoriamente la copia de seguridad y no pueden vender, reutilizar ni tratar los datos más allá de lo necesario para el servicio salvo acuerdo específico. Los requisitos para serlo y su posible certificación quedan pendientes de un acto delegado (art. 2.32 · art. 10.4 · art. 11, párrafos segundo y tercero)

Agentes de la cadena de valor

Reparadores, reacondicionadores, remanufacturadores y recicladores, definidos en el acto de ejecución del registro y no en el Reglamento. Solo los verificados acceden al registro y solo pueden actuar en él donde el Derecho de la Unión lo prevea (RE (UE) 2026/1778, art. 2.6 y art. 5)

Organismos emisores de identificadores

Quienes expiden los identificadores únicos de producto, de operador y de instalación y los soportes de datos. Sus criterios, su función y las normas que garantizan que los identificadores sean fiables, verificables y únicos a escala mundial quedan pendientes de un acto delegado (art. 12.4 y 12.5)

Sin acto delegado no hay pasaporte

Los requisitos de información dispondrán que un producto solo pueda introducirse en el mercado si existe un pasaporte digital disponible, pero esos requisitos de información los establece un acto delegado por grupo de productos. Todo el capítulo del pasaporte está redactado por remisión a ese acto: qué datos lleva, qué soporte de datos, a qué nivel (modelo, lote o artículo), quién accede a qué y quién puede escribir (art. 9.1 y 9.2)

Dieciocho meses de margen, como regla

La fecha de aplicación de un acto delegado no será anterior a dieciocho meses desde su entrada en vigor, salvo casos debidamente justificados o derogación parcial y modificación de actos previos. Es el colchón de preparación con el que se puede contar entre la publicación de un acto y su exigibilidad (art. 4.4)

Exención posible por grupo de productos

La Comisión puede eximir a un grupo de productos del pasaporte en dos supuestos: que no existan especificaciones técnicas disponibles para los requisitos esenciales de los artículos 10 y 11, o que otra norma de la Unión ya prevea un sistema digital equivalente para ese grupo (art. 9.4)

Exclusiones

Reglamento (UE) 2024/1781 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se instaura un marco para el establecimiento de requisitos de diseño ecológico aplicables a los productos sostenibles, se modifican la Directiva (UE) 2020/1828 y el Reglamento (UE) 2023/1542 y se deroga la Directiva 2009/125/CE

Identificador

CELEX 32024R1781

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Las palabras ciberseguridad y ciberataque no aparecen ni una vez en los ochenta artículos de este Reglamento, y sin embargo hay contenido de seguridad que a un responsable de seguridad le toca. Está concentrado en un sitio: el pasaporte digital del producto, un sistema de datos que acompaña a cada producto durante toda su vida útil y que el artículo 11 obliga a diseñar garantizando la autenticación, la fiabilidad y la integridad de los datos, restringiendo los derechos de escritura a quien tenga derecho de acceso y funcionando con un elevado nivel de seguridad y privacidad. El Reglamento de Ejecución (UE) 2026/1778 añade encima la capa operativa del registro europeo: identidad verificada con firma o sello electrónico cualificado, reverificación cada tres años como mucho, medidas técnicas y organizativas sobre los sistemas propios que acceden al registro y aviso inmediato a la Comisión ante comportamiento malintencionado. Lo que impide subir de nivel es que casi nada de eso muerde todavía. El pasaporte solo es obligatorio para un producto cuando un acto delegado por grupo de productos lo exige, y a fecha de esta revisión no se ha adoptado ninguno. El primer pasaporte realmente exigible no llegará por esta norma sino por el Reglamento (UE) 2023/1542, que impone el pasaporte para baterías desde el 18 de febrero de 2027 y cuyo identificador único se carga en este mismo registro.

Valoración del curador · nivel 2 de 5

Sin pasaporte digital no hay acceso al mercado Ciber parcial

Un producto de un grupo cubierto por un acto delegado solo puede introducirse en el mercado o ponerse en servicio si existe un pasaporte digital disponible conforme a ese acto delegado y a los requisitos de los artículos 10 y 11. Los datos que figuran en él tienen que ser exactos, completos y estar actualizados. El fabricante responde además de que el pasaporte incluya una copia de seguridad de su versión más actual almacenada por un prestador de servicios. Nada de esto es exigible hasta que el acto delegado del grupo de productos exista y sea aplicable.

Literal de la norma Los requisitos de información dispondrán que los productos solo puedan introducirse en el mercado o ponerse en servicio si existe un pasaporte digital del producto disponible de conformidad con los actos delegados aplicables adoptados en virtud de los artículos 4, 10 y 11. Los datos que figuren en el pasaporte digital del producto serán exactos y completos y estarán actualizados.

Art. 9.1 · art. 27.1.c)

Requisitos esenciales del pasaporte Ciber parcial

El pasaporte va vinculado a un identificador único y constante de producto a través de un soporte de datos presente físicamente en el producto, su envase o la documentación que lo acompaña. Soporte e identificadores siguen normas abiertas publicadas en el Diario Oficial o equivalentes; los datos son interoperables, legibles por máquina, estructurados, buscables y transferibles por una red abierta sin dependencia de proveedor. No se almacenan datos personales de clientes sin su consentimiento expreso, y el acceso a los datos se regula por los derechos de acceso que fije el acto delegado del grupo de productos.

Literal de la norma los datos personales relativos a clientes no se almacenarán en el pasaporte digital del producto sin su consentimiento expreso de conformidad con el artículo 6 del Reglamento (UE) 2016/679;

Art. 10.1

Autenticación, integridad y escritura restringida Ciber

Es el núcleo de seguridad de toda la norma, y cabe en tres letras. Los derechos a introducir, modificar o actualizar datos en el pasaporte quedan restringidos según los derechos de acceso que especifique el acto delegado del grupo de productos: escribir no es un permiso general, es un permiso nominal. Se garantizan la autenticación, la fiabilidad y la integridad de los datos, es decir, hay que poder demostrar que el dato es el que se puso y que quien lo puso era quien decía ser. Y el pasaporte se diseña y funciona con un elevado nivel de seguridad y privacidad, evitando el fraude. El texto no dice cómo: el cómo llega por las normas armonizadas EN publicadas en julio de 2026.

Literal de la norma f) los derechos a introducir, modificar o actualizar datos en el pasaporte digital del producto serán restringidos sobre la base de los derechos de acceso especificados en el acto delegado adoptado en virtud del artículo 4; g) se garantizarán la autenticación, la fiabilidad y la integridad de los datos; h) los pasaportes digitales de productos se diseñarán y funcionarán de manera que se garantice un elevado nivel de seguridad y privacidad y se evite el fraude.

Art. 11, párrafo primero, letras f), g) y h)

El pasaporte sobrevive a la empresa Ciber

El pasaporte permanece disponible durante el período que fije el acto delegado, que se corresponderá al menos con la vida útil prevista del producto, e incluso después de un procedimiento de insolvencia o liquidación o del cese de actividad en la Unión del operador económico responsable de crearlo. Es un requisito de disponibilidad a plazo largo que no depende de que quien lo creó siga existiendo, y es la razón de ser de la copia de seguridad obligatoria en un prestador de servicios. Además, cuando se cree un pasaporte nuevo para un producto que ya tenía uno, el nuevo queda vinculado a los originales: la cadena no se rompe al reacondicionar o remanufacturar.

Literal de la norma el pasaporte digital del producto permanecerá disponible durante el período especificado en los actos delegados adoptados en virtud del artículo 4, incluso después de procedimientos de insolvencia o liquidación o de un cese de actividad en la Unión del operador económico responsable de la creación del pasaporte digital del producto;

Art. 11, párrafo primero, letras d) y e) · art. 9.2.i)

Copia de seguridad en un prestador de servicios Ciber

Cuando un acto delegado active el pasaporte para su grupo de productos, el operador económico que lo introduzca en el mercado pone a disposición una copia de seguridad del pasaporte a través de un prestador de servicios de pasaporte digital de productos. Dentro de ese supuesto no es opcional ni depende del tamaño de la empresa, y el fabricante tiene que asegurarse de que esa copia es de la versión más actual. El pasaporte en sí puede almacenarlo el propio operador económico responsable de crearlo o un prestador de servicios; la copia de seguridad, en cambio, va siempre a un tercero.

Literal de la norma Al introducir el producto en el mercado, el operador económico pondrá a disposición una copia de seguridad del pasaporte digital del producto a través de un prestador de servicios de pasaporte digital de productos.

Art. 10.4 · art. 11, párrafo primero, letra c) · art. 27.1.c)

Límite al tratamiento por el prestador de servicios Ciber parcial

El prestador de servicios que almacene o trate de otro modo los datos del pasaporte no puede venderlos, reutilizarlos ni tratarlos, ni en todo ni en parte, más allá de lo necesario para prestar el servicio de almacenamiento o tratamiento. La única salida es un acuerdo específico con el operador económico que introduce el producto en el mercado o lo pone en servicio.

Literal de la norma […] dichos prestadores de servicios de pasaporte digital de productos no podrán vender, reutilizar o tratar tales datos, total o parcialmente, en mayor medida de lo necesario para la prestación de los servicios de almacenamiento o tratamiento pertinentes, salvo que así se acuerde específicamente con el operador económico que introduzca el producto en el mercado o lo ponga en servicio.

Art. 11, párrafo segundo

Identificadores únicos de producto, operador e instalación Ciber parcial

Los identificadores únicos de operador y de instalación cumplen las normas del anexo III o equivalentes europeas o internacionales. Cuando un agente de la cadena de valor todavía no tiene identificador de operador, el operador económico que crea o actualiza el pasaporte lo solicita en su nombre, tras pedirle confirmación de que no existe ya, y le comunica los detalles una vez expedido. La misma regla vale para el identificador de instalación. Todo el andamiaje que falta, criterios para ser organismo emisor, reglas de creación, mantenimiento, actualización y retirada, y gestión del ciclo de vida, queda pendiente de un acto delegado que no se ha adoptado.

Art. 12

Carga de los identificadores en el registro europeo Ciber parcial

El operador económico que introduce el producto en el mercado o lo pone en servicio carga en el registro los identificadores únicos y, para los productos destinados a despacho a libre práctica, el código de mercancía, más los datos adicionales que fije el acto delegado. Hecha la carga, el registro le devuelve automáticamente un identificador único de registro asociado a lo cargado para ese producto concreto. Ese identificador es lo que después se enseña en la aduana, y no acredita cumplimiento de nada.

Literal de la norma A más tardar el 19 de julio de 2026, la Comisión creará un registro digital (en lo sucesivo, «registro») en el que se almacenen de manera segura al menos los identificadores únicos.

Art. 13.1, 13.4 y 13.5

Identificador de registro ante la aduana Ciber parcial

Quien vaya a incluir en el régimen aduanero de despacho a libre práctica un producto regulado por un acto delegado proporciona o pone a disposición de las autoridades aduaneras el identificador único de registro de ese producto. La aduana solo despacha tras comprobar, como mínimo, que ese identificador y el código de mercancía facilitados se corresponden con los datos almacenados en el registro. La obligación se aplica desde el momento en que el registro esté operativo, no desde la entrada en vigor del Reglamento.

Art. 15.1 y 15.2

Identidad verificada para escribir en el registro Ciber

Nadie escribe en el registro sin identidad verificada. Una persona jurídica obtiene el estado de verificada presentando prueba de identidad y de establecimiento mediante sello electrónico cualificado basado en certificado cualificado expedido por un prestador cualificado de servicios de confianza conforme al Reglamento eIDAS, o mediante declaración electrónica cualificada de atributos. Una persona física que actúe como comerciante individual, mediante firma electrónica cualificada o un medio de identificación electrónica de nivel de seguridad alto. Los agentes de la cadena de valor pasan por el mismo proceso. La verificación caduca cuando caducan los medios de identificación electrónica y, en todo caso, a los tres años: vencida, no se pueden inscribir pasaportes nuevos ni modificar los datos inscritos hasta repetir el proceso, y el estado de validez del pasaporte en el registro se actualiza en consecuencia.

Literal de la norma Los operadores económicos conservarán su condición de operadores económicos verificados hasta que caduquen sus medios de identificación electrónica, pero por no más de tres años desde la fecha de verificación de conformidad con los apartados 1 o 2. […] Solo podrán hacerlo si repiten satisfactoriamente el proceso de verificación de la identidad de conformidad con los apartados 1 o 2.

RE (UE) 2026/1778, arts. 4 y 5

Seguridad de los sistemas propios que acceden al registro Ciber

El operador económico verificado aplica medidas de seguridad técnicas y organizativas adecuadas a sus sistemas informáticos y a las credenciales que usa para acceder al registro, con una finalidad escrita: evitar que los datos registrados a través de su sistema sean objeto de accesos o modificaciones no autorizados. El agente de la cadena de valor verificado tiene exactamente la misma obligación. Es la única exigencia de todo el marco que apunta a los sistemas de la propia empresa y no al diseño del pasaporte, y no está condicionada a ningún acto delegado: rige desde la entrada en vigor del Reglamento de Ejecución para quien use el registro.

Literal de la norma El operador económico verificado será responsable de aplicar las medidas de seguridad técnicas y organizativas adecuadas para sus sistemas informáticos y credenciales que se utilicen para acceder al registro, a fin de evitar que los datos registrados a través de su sistema informático sean objeto de accesos o modificaciones no autorizados.

RE (UE) 2026/1778, arts. 19.3 y 20.2

Delegación de acceso sin dilución de responsabilidad Ciber

Se pueden delegar derechos de acceso a terceros que actúen en nombre propio, cuando el Derecho de la Unión lo permita, pero con dos condiciones que cierran el agujero habitual de la externalización. La primera: ese tercero pasa el mismo proceso de verificación de identidad que cualquier agente de la cadena de valor, de modo que no hay cuentas compartidas ni credenciales prestadas. La segunda: el operador económico verificado sigue siendo plenamente responsable del cumplimiento de las obligaciones del Reglamento, y lo mismo vale para el agente de la cadena de valor que autoriza a un tercero. Cada operador es además responsable del tratamiento de los datos que presenta.

Literal de la norma Cuando un operador económico verificado autorice a un tercero a llevar a cabo acciones de inscripción en el registro en su nombre, dicho tercero deberá seguir el proceso de verificación de conformidad con el artículo 5. El operador económico verificado seguirá siendo plenamente responsable del cumplimiento de las obligaciones establecidas en el presente Reglamento.

RE (UE) 2026/1778, arts. 6.1, 19.4 y 20.1

Exactitud y actualización de lo inscrito Ciber parcial

El operador económico verificado responde de la exactitud y exhaustividad de la información que presenta en el momento de la inscripción, y de que lo almacenado en el registro se mantenga exacto, completo y actualizado en todo momento. La comprobación no es solo declarativa: el registro valida automáticamente la conformidad semántica de los datos, su coherencia con los valores del pasaporte, el nivel de detalle (modelo, lote o artículo), la validez del código de mercancía y el enlace a la copia de seguridad alojada en el prestador de servicios.

Literal de la norma El operador económico verificado se asegurará de que la información almacenada en el registro del pasaporte digital del producto se mantenga exacta, completa y actualizada en todo momento.

RE (UE) 2026/1778, arts. 19.1, 19.2 y 8.7

Aviso inmediato de comportamiento malintencionado Ciber

Todo usuario que tenga conocimiento de un comportamiento malintencionado en el registro, o contra él, o motivos razonables para sospecharlo, informa inmediatamente a la Comisión y, cuando proceda, a los Estados miembros afectados. El umbral es bajo a propósito: basta la sospecha razonable, no hace falta confirmar nada. En el sentido contrario, cuando la Comisión detecta actividad inapropiada o fraudulenta, incluida la descarga masiva de datos, adopta las medidas necesarias para prevenirla, contrarrestarla y mitigar sus efectos.

Literal de la norma Si la Comisión detecta una actividad inapropiada o fraudulenta en el registro, incluida cualquier actividad relacionada con la descarga masiva de datos, adoptará las medidas necesarias para prevenir y contrarrestar dicha actividad y mitigar sus efectos.

RE (UE) 2026/1778, art. 17

Presunción de conformidad por normas armonizadas Ciber

Un pasaporte conforme con normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial se presume conforme con los requisitos de los artículos 10 y 11, en la medida en que esas normas los cubran. Desde el 15 de julio de 2026 esas normas existen y son seis: EN 18216 sobre protocolos de intercambio de datos, EN 18219 sobre identificadores únicos, EN 18220 sobre soportes de datos, EN 18221 sobre almacenamiento, archivo y persistencia de datos, EN 18222 sobre las interfaces de programación para la gestión del ciclo de vida y la capacidad de búsqueda, y EN 18223 sobre interoperabilidad del sistema. La Decisión que las publica afirma que cumplen los requisitos de los artículos 10 y 11, sin excluir ninguna letra: eso incluye la autenticación, la integridad y el elevado nivel de seguridad y privacidad. Es, a día de hoy, la única vía escrita para demostrar que un pasaporte cumple los requisitos de seguridad.

Literal de la norma Los pasaportes digitales de productos que sean conformes con normas armonizadas o partes de estas cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea se presumirán conformes con los requisitos establecidos en los artículos 10 y 11, en la medida en que dichas normas armonizadas o partes de estas contemplen tales requisitos.

Art. 41.2 · Decisión de Ejecución (UE) 2026/1736, anexo

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 11, párrafo primero, letras g) y h) · art. 41.2 · RE (UE) 2026/1778, arts. 3.c), 8.9.d) y 17 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 9.2.f) y 9.2.g) · art. 10.1.g) · art. 11, párrafo primero, letra f) · RE (UE) 2026/1778, arts. 4, 5, 6.1 y 19.4 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 10.4 · art. 11, párrafo primero, letras c) y e) · art. 27.1.c) · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 2.32 · art. 10.4 · art. 11, párrafos segundo y tercero · RE (UE) 2026/1778, arts. 3.f), 6.1 y 19.4 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 4.5 · art. 41.2 · art. 27.1.c) y 27.2 · Decisión de Ejecución (UE) 2026/1736, anexo · categorización del curador, no de la norma

Operador económico

El término paraguas del Reglamento: agrupa a los seis papeles que pueden intervenir en la puesta de un producto en el mercado. Sobre él recaen las obligaciones del pasaporte que no dependen de fabricar: crear el pasaporte o actualizarlo, depositar una copia de seguridad en un prestador de servicios, cargar los identificadores únicos en el registro europeo y responder de que lo cargado sea exacto y esté al día.

Literal de la norma el fabricante, el representante autorizado, el importador, el distribuidor, el comerciante y el prestador de servicios logísticos

Art. 2.46 · art. 10.4 · art. 13.4

Fabricante

Quien fabrica el producto o encarga su diseño o fabricación y lo comercializa con su nombre o marca. Es el destinatario natural del pasaporte: el artículo 27.1.c) le exige asegurarse de que el pasaporte existe y de que incluye una copia de seguridad de su versión más actual almacenada por un prestador de servicios, antes de introducir el producto en el mercado.

Literal de la norma toda persona física o jurídica que fabrica un producto o que encarga su diseño o fabricación y lo comercializa con su nombre o marca

Art. 2.42 · art. 27.1

Importador

Quien está establecido en la Unión e introduce en su mercado un producto de un tercer país. Además de las comprobaciones documentales propias de cualquier norma de producto, es quien queda en primera línea del control aduanero del artículo 15: sin el identificador único de registro puesto a disposición de la aduana, el producto no se despacha a libre práctica.

Literal de la norma toda persona física o jurídica establecida en la Unión que introduce un producto de un tercer país en el mercado de la Unión

Art. 2.44 · art. 15 · art. 29

Comerciante

Quien ofrece el producto al usuario final, incluida la venta a distancia. No crea el pasaporte, pero es uno de los destinatarios de la obligación del artículo 10.3: el operador económico que introduce el producto tiene que facilitarle una copia digital del soporte de datos o del identificador único, gratis y en cinco días hábiles desde que la pida, para que pueda enseñarla a quien no tenga el producto delante.

Art. 2.55 · art. 10.3

Prestador de servicios de pasaporte

Un tercero independiente que el operador económico autoriza para tratar los datos del pasaporte y ponerlos a disposición de quien tenga derecho de acceso. Es una figura de externalización con dos límites escritos: puede almacenar el pasaporte y aloja obligatoriamente la copia de seguridad, pero no puede vender, reutilizar ni tratar esos datos más allá de lo necesario para prestar el servicio salvo acuerdo específico. El Reglamento prevé que un acto delegado fije los requisitos para serlo y, en su caso, un sistema de certificación; ese acto no se ha adoptado.

Literal de la norma una persona física o jurídica que es un tercero independiente autorizado por el operador económico que introduce el producto en el mercado o lo pone en servicio y que trata los datos del pasaporte digital del producto con el fin de ponerlos a disposición de los operadores económicos y otros agentes pertinentes con derecho de acceso a dichos datos en virtud del presente Reglamento u otras disposiciones de Derecho de la Unión

Art. 2.32 · art. 10.4 · art. 11, párrafos segundo y tercero

Agente de la cadena de valor

Figura que no está en el Reglamento sino en el acto de ejecución del registro, y que recoge a quien opera sobre el producto después de venderse: reparador, reacondicionador, fabricante de productos remanufacturados o reciclador. Para tocar el registro tiene que pasar el mismo proceso de verificación de identidad que el operador económico, y responde de las medidas de seguridad de los sistemas con los que accede.

Literal de la norma una persona física o jurídica, distinta del operador económico, que realiza actividades en la cadena de valor de un producto que requiere un pasaporte digital del producto y la inscripción de este en el registro, como un reparador, un reacondicionador, un fabricante de productos remanufacturados o un reciclador

RE (UE) 2026/1778, art. 2.6 · arts. 5 y 20

Organismo emisor de identificadores

La entidad que expide los identificadores únicos de producto, de operador y de instalación y los soportes de datos que los llevan. El Reglamento no la regula: encarga a un acto delegado que fije los criterios para serlo, su función y las normas que garanticen que los identificadores sean fiables, verificables y únicos a escala mundial, incluida la alternativa de que un operador económico se cree los suyos sin depender de un organismo emisor. Ese acto delegado tampoco se ha adoptado.

Art. 12.4 y 12.5