Agencia Estatal Boletín Oficial del Estado

(1)

El artículo 13, apartado 1, del Reglamento (UE) 2024/1781 requiere que la Comisión cree un registro digital de pasaportes digitales de productos («el registro») en el que se almacenen de manera segura al menos los identificadores únicos. Es necesario definir los principales componentes del registro y establecer las funciones y obligaciones técnicas y operativas de los operadores económicos que introduzcan un producto en el mercado o lo pongan en servicio en el marco del registro de pasaportes digitales de productos, de las autoridades nacionales competentes y las autoridades aduaneras y de la Comisión. Además, es necesario establecer un sistema de registro para consignar y llevar el control de las operaciones e interacciones efectuadas en el registro con el fin de garantizar la rendición de cuentas de todos los usuarios y delimitar la responsabilidad del mantenimiento, el funcionamiento y la seguridad del registro. Estas modalidades de aplicación también incluyen normas aplicables a los agentes de la cadena de valor, las autoridades nacionales competentes y las autoridades aduaneras, así como a la Comisión, en relación con el uso del registro. Cuando proceda, las autoridades nacionales competentes deben poder actualizar o modificar el estado del pasaporte digital del producto sobre la base de los controles realizados en el desempeño de sus funciones en virtud del Derecho de la Unión pertinente y del Derecho nacional conforme con el Derecho de la Unión.

(2)

El registro debe proporcionar información acerca de los productos regulados por los actos delegados que se adopten en virtud del Reglamento (UE) 2024/1781 en la medida en que se prevea el uso de un pasaporte digital del producto y, en lo que respecta a las pilas y baterías, en virtud del Reglamento (UE) 2023/1542 del Parlamento Europeo y del Consejo (2). Es posible que en legislación ulterior de la Unión se establezca la obligación de almacenar información sobre los productos en el registro. Así ocurre ya con los productos de construcción que entran en el ámbito de aplicación del Reglamento (UE) 2024/3110 del Parlamento Europeo y del Consejo (3), los juguetes que entran en el ámbito de aplicación del Reglamento (UE) 2025/2509 del Parlamento Europeo y del Consejo (4) y los detergentes y tensioactivos destinados a los usuarios finales que entran en el ámbito de aplicación del Reglamento (UE) 2026/405 del Parlamento Europeo y del Consejo (5). Cuando en legislación ulterior de la Unión se haga referencia al registro establecido por el Reglamento (UE) 2024/1781, deberán aplicarse las modalidades de aplicación establecidas en el presente Reglamento. Ello ha de entenderse sin perjuicio de las normas específicas de la Unión relativas al registro de pasaportes digitales de productos, incluidas las normas adoptadas mediante poderes que faculten para complementar o adaptar sus requisitos, como en el caso de los productos de construcción a que se refiere el artículo 79, apartado 2, del Reglamento (UE) 2024/3110 del Parlamento Europeo y del Consejo (6). Cuando el registro esté interconectado con otros sistemas de información, dicha interconexión no deberá comprometer la interoperabilidad de esos sistemas.

(3)

Para garantizar la eficacia, la seguridad y la interoperabilidad del registro, este debe constar de los siguientes elementos: un sitio web que proporcione una interfaz de usuario segura; una interfaz de programación de aplicaciones (API) para registrar pasaportes digitales de productos; una plataforma de verificación para verificar y confirmar la existencia e integridad de los pasaportes digitales de productos; un sistema de identificación y autorización de usuarios; un esquema para generar identificadores de registro únicos; un componente de almacenamiento de los identificadores únicos y los códigos de mercancía de los productos previstos para su inclusión en el régimen aduanero de «despacho a libre práctica»; un repositorio semántico que sirva de referencia autorizada para el significado semántico, la estructura, el versionado y los requisitos de interoperabilidad de los datos del pasaporte digital del producto; un sistema de registro en los que se consignen las operaciones pertinentes. Teniendo en cuenta que el sistema de pasaportes digitales de productos se basa en un modelo descentralizado, el registro también debe incluir una lista de referencia de los prestadores de servicios de pasaporte digital de productos verificados inscritos en el registro.

(4)

A fin de garantizar la rendición de cuentas, cada operador económico y cada agente de la cadena de valor (por ejemplo, un prestador de servicios de pasaporte digital de productos, un reparador, un reacondicionador, un fabricante de productos remanufacturados o un reciclador) debe ser identificado mediante un proceso de verificación.

(5)

En el caso de una persona física que actúe como comerciante individual a la que se exija estar establecida en la Unión, su identidad debe demostrarse mediante una firma electrónica cualificada basada en un certificado cualificado de firma electrónica de conformidad con el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo (7), o a través de un medio de identificación electrónica que cumpla los requisitos de dicho Reglamento con respecto al nivel de seguridad «alto», o mediante una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico. En el caso de una persona física que actúe como comerciante individual a la que no se exija estar establecida en la Unión, su identidad debe demostrarse mediante una firma electrónica cualificada respaldada por un certificado cualificado de firma electrónica de conformidad con el Reglamento (UE) n.o 910/2014, o mediante una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico.

(6)

En el caso de una persona jurídica a la que se exija estar establecida en la Unión, las pruebas de su identidad y su establecimiento deben ser verificadas por un prestador cualificado de servicios de confianza a través de un sello electrónico cualificado respaldado por un certificado cualificado de sello electrónico de conformidad con el Reglamento (UE) n.o 910/2014, o mediante una declaración electrónica cualificada de atributos expedida con arreglo al Derecho de la Unión que permita la identificación y la verificación de establecimiento del operador económico. En el caso de una persona jurídica a la que no se exija estar establecida en la Unión, las pruebas de su identidad y, en su caso, de su establecimiento deben verificarse mediante un sello electrónico cualificado respaldado por un certificado cualificado de sello electrónico, expedido por un prestador cualificado de servicios de confianza con arreglo al Reglamento (UE) n.o 910/2014, o mediante una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico.

(7)

El presente Reglamento debe entenderse sin perjuicio de los requisitos establecidos en otros actos legislativos de la Unión relativos al lugar de establecimiento de los operadores económicos o, en su caso, de los agentes de la cadena de valor que introduzcan productos en el mercado o los pongan en servicio. Por lo tanto, cuando tales requisitos sean de aplicación, el uso del registro no debe eludir ni menoscabar su aplicación, y este debe funcionar de manera plenamente coherente con ellos.

(8)

Una vez finalizado el proceso de verificación, debe considerarse que el operador económico es un «operador económico verificado», autorizado a crear un perfil de usuario y gestionar los derechos de acceso de usuarios adicionales que actúen en nombre del mismo operador, a inscribir nuevos pasaportes digitales de productos en el registro y a modificar las inscripciones existentes. Solo un operador económico con el estado «verificado» debe poder inscribir pasaportes digitales de productos en el registro y corregir las inscripciones existentes, en favor de la integridad y exactitud de los datos. El registro debe indicar si la inscripción del operador económico verificado es válida. El estado «verificado» debe conferirse mediante un único proceso de verificación al operador económico hasta que caduquen sus medios de identificación electrónica y, en cualquier caso, durante un período no superior a tres años. Cuando un operador económico no repita ese proceso al expirar el período de tres años o cuando sus medios de identificación hayan caducado, ya no deberá considerarse un «operador económico verificado». Por lo tanto, perderá la capacidad de inscribir nuevos pasaportes digitales de productos o de modificar cualquier dato en el registro.

(9)

Para que los agentes de la cadena de valor (reparadores, reacondicionadores, fabricantes de productos remanufacturados, etcétera) puedan acceder al registro, dichos agentes tendrán que someterse al proceso de verificación detallado en el artículo 5. Por lo tanto, solo los agentes que hayan obtenido el estado «verificado» deberán tener acceso al registro de pasaportes digitales de productos. Su función (por ejemplo, reparador, reciclador, fabricante de productos remanufacturados, etcétera) y cualquier acción que lleven a cabo en el registro deberán especificarse en los actos delegados que se adopten en virtud del Reglamento (UE) 2024/1781 o en virtud de otros actos legislativos de la Unión.

(10)

Los operadores económicos o los agentes de la cadena de valor que no hayan superado la verificación de la identidad antes del plazo previsto en el presente Reglamento deberán poder transferir sus pasaportes digitales de productos registrados a un operador económico verificado o, en su caso, a un agente de la cadena de valor verificado que asuma las responsabilidades relacionadas con dichos pasaportes digitales de productos. Esa transferencia también podrá ser posible para cualquier operador económico verificado o agente de la cadena de valor verificado si se producen cambios organizativos como la fusión, la escisión o la venta de la totalidad o partes del agente, el cese de actividades u otras circunstancias.

(11)

Para garantizar el correcto funcionamiento del registro y la rendición de cuentas de los usuarios, deben establecerse normas para gestionar los datos de los perfiles de usuario de operadores económicos verificados y agentes de la cadena de valor verificados. A tal fin, cada operador económico verificado y cada agente de la cadena de valor verificado deberá tener siempre al menos una persona vinculada a la cuenta del registro que gestione los datos del perfil. Esto incluye, entre otras cosas, lo siguiente: conceder derechos de acceso a usuarios adicionales cuando sea posible, modificar y leer las inscripciones existentes e inscribir nuevos pasaportes digitales de productos en el registro. Esa persona puede ser también la misma persona que inscriba en el registro al operador económico verificado o al agente de la cadena de valor verificado. El operador económico verificado y el agente de la cadena de valor verificado deben mantener en el registro datos acreditativos exactos, completos y actualizados, y garantizar que toda la información facilitada sea correcta, incluido cualquier cambio en su representante legal. El operador económico y los agentes de la cadena de valor deben ser también los responsables de gestionar el proceso de verificación de la identidad electrónica en el registro. El registro no debe impedir ninguna transmisión lícita de la propiedad de las inscripciones de pasaportes digitales de productos a cualquier otro operador económico verificado o agente de la cadena de valor verificado, independientemente de su propio estado de verificación de la identidad. Cuando el registro de pasaportes digitales de productos se integre en sistemas de la UE ya establecidos, como el registro europeo de productos para el etiquetado energético (EPREL), que utilicen el mismo nivel de verificación para los operadores económicos o, cuando proceda, para otros agentes de la cadena de valor verificados, se evitará la doble verificación.

(12)

Las autoridades nacionales competentes —como las autoridades de vigilancia del mercado— y las autoridades aduaneras deben tener acceso al registro a efectos del desempeño de sus funciones sobre la base de sus derechos de acceso especificados en el Derecho de la Unión pertinente y en el Derecho nacional conforme con el Derecho de la Unión. Con el fin de racionalizar la gestión del acceso y garantizar la rendición de cuentas, cada Estado miembro debe designar a un único administrador nacional como principal punto de contacto con la Comisión para gestionar y supervisar los derechos de acceso de ese Estado miembro. El administrador nacional designado debe actuar como autoridad central responsable de la gestión de los derechos de acceso de todas las autoridades nacionales pertinentes de ese Estado miembro, a fin de garantizar que solo se asignen derechos de acceso al registro a las autoridades pertinentes. La función de los administradores nacionales designados no incluye el cumplimiento de las obligaciones establecidas en el artículo 22 para el Estado miembro. Los Estados miembros deben comunicar a la Comisión el nombre y los datos de contacto de su administrador nacional designado y notificar a la Comisión cualquier cambio en esta información. A fin de garantizar la seguridad, integridad y confidencialidad de los datos, la delegación de los derechos de acceso debe llevarse a cabo bajo la plena responsabilidad del Estado miembro, teniendo en cuenta las necesidades específicas de sus autoridades.

(13)

La Comisión, al gestionar el registro de conformidad con el artículo 13, apartado 1, del Reglamento (UE) 2024/1781, debe garantizar que los datos personales se traten de conformidad con las normas más estrictas en materia de protección de datos de con arreglo al Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (8). Por lo tanto, la Comisión debe considerarse la «responsable del tratamiento» del registro, tal como se define en el artículo 3, punto 8, de dicho Reglamento. Los datos personales deben tratarse únicamente a efectos de la gestión y el funcionamiento del registro. Esa información debe protegerse frente a accesos, usos o comunicaciones no autorizados. Esos datos solo deben conservarse durante el tiempo que sea necesario y deberán suprimirse cuando se eliminen las cuentas de usuario o se revoque el acceso. No obstante, si las acciones de un usuario en el registro hacen necesaria la retención de los datos a efectos de auditoría o trazabilidad con arreglo al Derecho de la Unión, dichos datos deberán conservarse a tal efecto.

(14)

El operador económico debe llevar a cabo la inscripción del pasaporte digital del producto en el registro en el nivel de detalle establecido en el Derecho de la Unión aplicable, concretamente a nivel de modelo, lote o artículo. A fin de garantizar la plena funcionalidad del registro, en particular para las autoridades nacionales competentes y las autoridades aduaneras, cuando se cree un pasaporte digital de producto a nivel de artículo, los identificadores de lote y de modelo correspondientes deberán inscribirse también en el registro junto con dicho pasaporte, siempre que existan diseños de lotes y modelos para el producto de que se trate. En el caso de los productos que son únicos por naturaleza, como los artículos hechos a mano, no se requieren identificadores de lote ni de modelo. La misma norma se aplica a los pasaportes digitales de productos expedidos a nivel de lote, en los que se requiere un identificador del modelo en el momento de la inscripción en el registro. En este contexto, el identificador de lote y el identificador de modelo deben representar la agrupación de nivel superior del producto de que se trate. Dichos identificadores deben ser expedidos por el operador económico para que las autoridades nacionales competentes puedan rastrear los productos pertenecientes a un lote o modelo específico inscrito en el registro de pasaportes digitales de productos. Cuando el mismo producto esté sujeto a varias normas de la Unión que exijan la inscripción de su pasaporte digital en el registro en diferentes niveles de detalle (modelo, lote o artículo), el pasaporte deberá inscribirse en el nivel más detallado.

(15)

La inscripción debe llevarse a cabo utilizando la interfaz de usuario segura del registro facilitada por la Comisión o a través de la API creada a tal efecto. Una vez se valida satisfactoriamente la inscripción de un pasaporte digital de producto, se genera y almacena en el registro un identificador único de registro que se comunica automáticamente, de conformidad con el artículo 8, al agente que registra el pasaporte, utilizando para ello el mismo servicio empleado por el agente para cargar los datos del pasaporte.

(16)

Para garantizar que solo se registren pasaportes digitales de productos completos y válidos, la Comisión, como propietaria y gestora del registro de conformidad con el artículo 13, apartado 1, del Reglamento (UE) 2024/1781, debe llevar a cabo una verificación automática de los datos presentados. Debe verificar al menos la estructura de los datos y el nivel de detalle (modelo, lote o artículo) del pasaporte digital del producto pertinente de conformidad con las normas aplicables de la Unión. Cuando proceda, los códigos de mercancía de los productos y el enlace a la copia de seguridad alojada por un prestador de servicios de pasaporte digital de productos también deben ser objeto de verificación. La verificación de la exactitud sustantiva de los datos registrados sigue siendo tarea de las autoridades de vigilancia del mercado con arreglo a las normas aplicables de la Unión. En consecuencia, las verificaciones automatizadas no deben considerarse prueba del cumplimiento de los requisitos de las normas de la Unión aplicables al producto, incluidas las normas de vigilancia del mercado.

(17)

Cuando el pasaporte digital del producto se haya inscrito en el registro, el operador económico o, cuando proceda, un tercero que actúe en nombre del operador económico tendrá derecho a solicitar al registro un comprobante de inscripción. Dicha solicitud puede abarcar uno o varios pasaportes digitales de productos de los que sea responsable el operador económico. El comprobante de inscripción debe servir para demostrar a terceros que el pasaporte digital del producto concreto ha sido debidamente registrado. Debe ser un documento electrónico seguro que pueda descargarse del registro. Dicho comprobante debe mantenerse disponible durante noventa días naturales a partir de la fecha de su generación, con la posibilidad de volver a generarlo si es necesario.

(18)

Para garantizar la exactitud y corrección de los datos del registro, este debe admitir un sistema de versionado de los datos registrados. Cada nueva versión del pasaporte digital del producto debe estar vinculada al identificador de registro original, y cada actualización debe llevar un sello de tiempo. A efectos de un tratamiento seguro de los datos, todas las operaciones realizadas deben asimismo consignarse en el registro. En los casos en que el Derecho de la Unión no especifique cuánto tiempo debe permanecer disponible un pasaporte digital de producto, el registro suprimirá automáticamente los datos de inscripción del pasaporte al cabo de diez años, de conformidad con las normas establecidas en la Comunicación de la Comisión «Guía azul» sobre la aplicación de la normativa de la UE relativa a los productos, de 2022 (9). Cuando el Derecho de la Unión establezca una duración específica, los datos se conservarán en el registro durante ese período específico.

(19)

Para garantizar la interoperabilidad semántica de los pasaportes digitales de productos y el funcionamiento técnico del registro, debe crearse un repositorio semántico. El repositorio semántico será una recopilación en evolución de modelos de datos y definiciones semánticas, que se irá ampliando progresivamente a medida que se incorporen grupos de productos adicionales. Todos los datos contenidos en el pasaporte digital del producto han de estar estructurados con arreglo a modelos de datos y definiciones semánticas comunes publicados en el repositorio semántico del registro. Este marco debe seguir siendo flexible y ampliable para adaptarse a cualquier futuro cambio en los requisitos de datos relativos a la inclusión de un producto en el pasaporte digital del producto. La Comisión se esfuerza por garantizar que el repositorio semántico sea técnicamente capaz de publicar especificaciones semánticas e intercambiarlas con otros repositorios a escala de la Unión, incluidos los mantenidos por las instituciones y los organismos de la Unión.

(20)

Para permitir la lectura, la búsqueda y la comparación de definiciones semánticas y estructuras de datos, el repositorio semántico debe incluir un servicio de búsqueda. La Comisión debe garantizar que el contenido del repositorio semántico esté siempre accesible a través de API documentadas públicamente, excepto durante los períodos de mantenimiento necesario o suspensión temporal del servicio de conformidad con el artículo 15. Las API deben admitir formatos de datos comunes para facilitar el uso automatizado por parte de sistemas externos. El acceso al repositorio semántico y a sus API, así como su uso, deben ser gratuitos.

(21)

La Comisión debe crear un servicio de asistencia que garantice que todos los usuarios del registro dispongan de asistencia técnica adecuada cuando la necesiten. El servicio de asistencia debe funcionar a lo largo de todo el año durante el horario normal de trabajo. En el sitio web de la Comisión deben ofrecerse más detalles, incluidos los procedimientos operativos.

(22)

Para garantizar la integridad, la seguridad y la transparencia del registro, la Comisión debe mantener un sistema fiable y automatizado de archivos de registro en los que se consignen todas las actividades del registro. Como parte de este sistema de archivos de registro, deben crearse pistas de auditoría exhaustivas. A estos efectos, y para hacer un seguimiento de todas las acciones realizadas en el registro con el fin de garantizar la rendición de cuentas de todos los usuarios, deben conservarse archivos de registro de los intentos de acceso, tanto logrados como fallidos, así como de las modificaciones y acciones administrativas.

(23)

Los períodos de conservación de los archivos de registro deben ser proporcionales a sus fines. Si bien los archivos de registro relacionados con modificaciones de datos deben conservarse el tiempo que dure la inscripción en el registro, a fin de hacer posible la verificación a largo plazo, la investigación de incidentes y el cumplimiento de las obligaciones legales, los archivos de registro de los intentos de autenticación requieren un período de conservación más corto para equilibrar las necesidades de seguridad con los principios de minimización de datos. Los archivos de registro de operaciones administrativas e intercambio de datos se conservan durante un período medio de cinco años.

(24)

El acceso a los archivos de registro por parte de las autoridades nacionales competentes y las autoridades aduaneras, con el fin de llevar a cabo investigaciones o auditorías de seguridad, o en caso de incidentes, es esencial para la cooperación y el cumplimiento efectivos. Dicho acceso debe concederse de manera que se respete la confidencialidad y la integridad de los archivos de registro, sin que ello impida que se realicen investigaciones o auditorías oportunas y exhaustivas.

(25)

Dado el carácter sensible de los datos registrados, que pueden incluir información personal o confidencial, la Comisión debe aplicar medidas técnicas y organizativas adecuadas para proteger los archivos de registro contra el acceso no autorizado o el tratamiento ilícito y contra su pérdida, destrucción o daño accidentales. Dichas medidas deben garantizar la continuidad y la confidencialidad de los archivos de registro, así como su integridad y fiabilidad como elementos de prueba. El uso de sistemas de cifrado, controles de acceso y verificaciones periódicas de integridad debe considerarse la mejor práctica para cumplir estas obligaciones.

(26)

Para facilitar el uso eficaz y eficiente del registro, la Comisión debe proporcionar directrices claras, accesibles y actualizadas, así como instrucciones sobre los procedimientos de inscripción y la gestión de los datos. La puesta a disposición de estos recursos a través del sitio web de la Comisión garantizará que todos los usuarios, independientemente de sus conocimientos técnicos, puedan cumplir sus obligaciones. Estas directrices son esenciales para minimizar errores, reducir cargas administrativas y promover la aplicación uniforme de los requisitos de registro en toda la Unión.

(27)

Un requisito fundamental para el correcto funcionamiento del registro es que este esté disponible en todo momento, ya que las interrupciones podrían perturbar las actividades de cumplimiento, la vigilancia del mercado, los controles aduaneros y la libre circulación de bienes y servicios en el mercado interior. Sin embargo, en ocasiones puede ser necesario interrumpir el acceso de forma temporal para realizar trabajos de mantenimiento planificado, como la instalación de actualizaciones de software, parches de seguridad o actualizaciones del sistema. Para reducir esas interrupciones, la Comisión debe notificar con antelación esos períodos en un sitio web de acceso público, de modo que los usuarios puedan organizarse en consecuencia. Además, en circunstancias excepcionales, como fallos de funcionamiento del sistema, ciberataques o amenazas urgentes para la seguridad, la Comisión podrá suspender el acceso al registro sin previo aviso para evitar violaciones de la seguridad de los datos, accesos no autorizados o daños adicionales. Este tipo de medidas se justifican por la necesidad imperiosa de proteger la integridad y la seguridad del registro y de los datos que contiene. En caso de suspensión, la Comisión debe actuar con rapidez para restablecer el funcionamiento normal y, cuando sea factible, informar a los usuarios, tan pronto como sea posible, de la suspensión y de su duración prevista. Para garantizar la rendición de cuentas y permitir el acceso por parte de las autoridades de vigilancia del mercado y las autoridades aduaneras, la Comisión debe documentar la duración y la cronología de cualquier interrupción y conservar estos datos durante al menos cinco años.

(28)

El registro debe funcionar con arreglo a normas de seguridad de alto nivel para proteger la integridad, confidencialidad y disponibilidad de sus datos. Por consiguiente, la Comisión debe preparar un plan de seguridad informática que abarque la ciberseguridad y otras evaluaciones de riesgos informáticos, realizar auditorías técnicas y controles aleatorios para verificar el cumplimiento y detectar vulnerabilidades, a fin de garantizar que el sistema mantenga su resiliencia frente a las ciberamenazas. La Comisión debe garantizar que todos los incidentes de seguridad, incluidos, entre otros, el acceso no autorizado, el tratamiento no autorizado, las violaciones de la seguridad de los datos y los fallos en la lógica de aplicación, se consignen de conformidad con las normas de seguridad informática aplicadas por la Comisión. Además, el registro debe satisfacer un nivel de soberanía adecuado, tan pronto como los servicios pertinentes estén disponibles en el mercado de la Unión, sobre la base del marco de soberanía en la nube (10).

(29)

La Comisión debe poder adoptar las medidas necesarias en caso de sospecha de actividad fraudulenta en el registro, como por ejemplo la descarga inapropiada de información. Los usuarios tienen la responsabilidad de notificar inmediatamente cualquier sospecha de comportamiento malintencionado a la Comisión y, cuando proceda, a las autoridades nacionales afectadas.

(30)

El tratamiento de datos personales en el registro es necesario en virtud del Reglamento (UE) 2024/1781, incluida la verificación de los pasaportes digitales de productos, la vigilancia del mercado y los controles aduaneros. Para garantizar la autenticidad e integridad de los datos y proteger los derechos de los interesados, el registro debe tratar los datos personales almacenados en él, como los nombres, la información de contacto y las credenciales de inicio de sesión, de conformidad con el Reglamento (UE) 2018/1725.

(31)

El operador económico debe ser responsable de proporcionar información exacta y completa al registro. Habida cuenta de los posibles riesgos asociados al acceso no autorizado al registro, como la modificación de datos, el operador económico debe estar obligado a aplicar medidas de seguridad técnicas y organizativas adecuadas para proteger sus sistemas informáticos, en particular las credenciales utilizadas para acceder al registro. El operador económico debe seguir siendo responsable incluso si un tercero está autorizado a registrar el pasaporte digital del producto en nombre del operador económico.

(32)

La Comisión, que es la propietaria y gestora del registro, debe ser responsable de la gestión general del ciclo de vida del registro que incluye su desarrollo, disponibilidad, seguimiento, actualización, mantenimiento y alojamiento. Ello implica, entre otras cosas, que la Comisión tenga acceso al registro. La Comisión también debe poder acceder al registro con el fin de obtener la información necesaria para llevar a cabo las medidas exigidas en virtud de otros actos legislativos de la Unión, en particular a efectos de vigilancia del mercado, protección de los consumidores y cumplimiento de las normas aduaneras.

(33)

Asimismo, debe seguir siendo responsable de garantizar que los datos almacenados en el registro sean tratados de forma segura y de conformidad con el Derecho de la Unión, en particular con las normas de protección de datos.

(34)

Los Estados miembros deben poder interactuar con el registro para llevar a cabo eficazmente sus labores de vigilancia del mercado, los controles aduaneros y demás tareas establecidas a nivel nacional o en virtud del Derecho de la Unión. Los Estados miembros deben seguir siendo responsables de garantizar el desarrollo, el mantenimiento y la seguridad de los componentes nacionales que utilicen para acceder al sistema, como registros o sistemas de información nacionales. Para garantizar una protección adecuada de los datos personales, de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (11), los Estados miembros deben tener la consideración de responsables del tratamiento en el sentido del artículo 4, punto 7, de dicho Reglamento, cuando traten datos personales para los fines establecidos en el Derecho de la Unión. Los Estados miembros tienen derecho a tratar los datos obtenidos del registro de conformidad con el Derecho de la Unión.

(35)

Las medidas previstas en el presente Reglamento se ajustan al dictamen del Comité creado en virtud del artículo 73 del Reglamento (UE) 2024/1781.

a)

los productos regulados por los actos delegados que se adopten con arreglo al artículo 4 del Reglamento (UE) 2024/1781;

b)

las pilas y baterías a las que se aplica el artículo 77 del Reglamento (UE) 2023/1542;

c)

los productos de construcción a los que se aplica el artículo 76 del Reglamento (UE) 2024/3110;

d)

los juguetes a los que se aplica el artículo 19 del Reglamento (UE) 2025/2509;

e)

los detergentes y tensioactivos destinados a los usuarios finales a los que se aplica el artículo 21 del Reglamento (UE) 2026/405;

f)

cualquier otro producto regulado por la legislación de la Unión que requiera un pasaporte digital del producto y su inscripción en el registro establecido en virtud del artículo 13 del Reglamento (UE) 2024/1781.

a)

la gestión del acceso al registro;

b)

el proceso de verificación que permite verificar a los operadores económicos y a los agentes de la cadena de valor;

c)

la configuración técnica del registro, incluido el repositorio semántico, el sistema de registro relacionado con los modelos de intercambio de datos y la gestión de las versiones de software;

d)

el proceso de registro y almacenamiento de identificadores únicos;

e)

el proceso de registro y almacenamiento de los códigos de mercancía de los productos previstos para su inclusión en el régimen aduanero de «despacho a libre práctica»;

f)

los requisitos para consignar, cuando proceda, el nivel de detalle del pasaporte digital del producto: modelo, lote y artículo;

g)

los estados relacionados con los datos registrados del pasaporte digital del producto;

h)

los datos que permitirán la trazabilidad de los productos dentro de su grupo de productos pertinente, en todos los niveles de detalle a que se refiere el artículo 8, apartado 2, aplicables a su pasaporte digital del producto;

i)

la actualización y supresión de los datos de la inscripción;

j)

el tratamiento de los datos personales;

k)

las medidas destinadas a prevenir, detectar y abordar cualquier uso indebido o fraudulento del registro;

l)

las auditorías técnicas;

m)

la garantía de disponibilidad del registro y de los datos que contiene.

1)

«registro de pasaportes digitales de productos» o «registro»: el sistema de información establecido y mantenido por la Comisión de conformidad con el artículo 13 del Reglamento (UE) 2024/1781;

2)

«credenciales de inicio de sesión»: el conjunto de identificadores únicos, como nombre de usuario y contraseña, que permiten a un usuario verificar su identidad para autenticarse en el registro;

3)

«testigo de autenticación»: un testigo que transmite de forma segura información sobre una autenticación satisfactoria y se utiliza como elemento de prueba de sesiones autenticadas o del acceso delegado entre aplicaciones y el sistema de información de pasaportes digitales de productos;

4)

«proceso de verificación de la identidad»: el proceso mediante el cual una persona física o jurídica aporta pruebas de su identidad y, en su caso, de su establecimiento;

5)

«operador económico verificado»: un operador económico que ha completado satisfactoriamente el proceso de verificación de la identidad en el registro de conformidad con el artículo 4;

6)

«agente de la cadena de valor»: una persona física o jurídica, distinta del operador económico, que realiza actividades en la cadena de valor de un producto que requiere un pasaporte digital del producto y la inscripción de este en el registro, como un reparador, un reacondicionador, un fabricante de productos remanufacturados o un reciclador;

7)

«agente de la cadena de valor verificado»: un agente de la cadena de valor que ha completado satisfactoriamente el proceso de verificación de la identidad en el registro de conformidad con el artículo 5;

8)

«repositorio semántico»: una recopilación de modelos de datos y definiciones semánticas que se componen de un conjunto estructurado e interrelacionado lógicamente de términos y sus significados, en el que se especifican los elementos esenciales del pasaporte digital del producto, las definiciones de nombres o vocabularios, los elementos de datos y la ontología asociada a datos específicos con el fin de garantizar una comprensión común entre todos los usuarios, así como la interpretación interlingüística utilizada para la validación del pasaporte digital del producto y para vincular los datos del registro con los pasaportes digitales de productos;

9)

«interoperabilidad semántica»: la capacidad de los sistemas de información y de las organizaciones que los utilizan para intercambiar datos de manera que el significado de la información intercambiada sea mutuamente comprendido e inequívocamente interpretable por todas las partes, independientemente de la tecnología o jurisdicción subyacentes;

10)

«vocabulario controlado»: un conjunto estructurado y autorizado de términos normalizados con significados definidos con el fin de garantizar una representación coherente de los atributos de los datos en todos los pasaportes digitales de productos;

11)

«especificación semántica»: todo artefacto publicado en el repositorio semántico, incluidas ontologías, modelos de datos, vocabularios controlados y listas de códigos, junto con sus metadatos de versionado e información de procedencia;

12)

«conformidad semántica»: la medida en que los datos contenidos en un pasaporte digital de producto cumplen la especificación semántica aplicable, y por tanto:

a) están presentes todos los elementos de datos exigidos de conformidad con los actos delegados adoptados en virtud del artículo 4 del Reglamento (UE) 2024/1781 o en virtud de otra legislación de la Unión;

b) los elementos de datos obligatorios (exigidos y definidos) y opcionales (no exigidos pero definidos) de conformidad con los actos delegados adoptados en virtud del artículo 4 del Reglamento (UE) 2024/1781 o en virtud de otra legislación de la Unión cumplen los requisitos aplicables, por ejemplo, en lo que respecta a la estructura, el formato, el tipo de valor, el vocabulario controlado y las normas de aplicabilidad; y

c) esos elementos de datos pueden ser interpretados de manera coherente por otros sistemas mediante referencia al repositorio semántico aplicable;

13)

«modelo de datos»: un marco estructurado que organiza elementos de datos, normaliza la estructura, determina cómo se relacionan entre sí e identifica a las entidades, sus atributos y la relación entre dichas entidades;

14)

«sistema de registro»: un sistema automatizado en el que se consigna y almacena información sobre todas las operaciones e interacciones efectuadas en el registro;

15)

«modelo de intercambio de datos»: un marco estructurado a través del cual pueden intercambiarse datos entre diferentes sistemas y plataformas;

16)

«hash de la versión del pasaporte digital del producto»: resultado generado a partir de los datos electrónicos pertinentes utilizando un algoritmo criptográfico de la versión pertinente del pasaporte digital del producto;

17)

«descarga masiva de datos»: recuperación de un conjunto de datos excepcionalmente grande o complejo —normalmente con una magnitud que oscila entre terabytes y petabytes— que supera las capacidades de tratamiento o almacenamiento de las herramientas convencionales o de una única máquina local o interfiere con las salvaguardias de supervisión.

a)

un sitio web que proporcione una interfaz de usuario segura para que los operadores económicos, los agentes de la cadena de valor, las autoridades nacionales competentes y las autoridades aduaneras accedan al registro;

b)

una API para inscribir el pasaporte digital del producto en el registro y recibir información de este;

c)

una plataforma de verificación para confirmar y verificar la existencia e integridad de pasaportes digitales de productos;

d)

un esquema para generar identificadores de registro únicos;

e)

un componente para almacenar, como mínimo, los identificadores únicos y los códigos de mercancía de los productos previstos para su inclusión en el régimen aduanero de «despacho a libre práctica»;

f)

una lista de los prestadores de servicios de pasaporte digital de productos verificados inscritos en el registro;

g)

un repositorio semántico;

h)

un sistema de archivos de registro;

i)

sistemas de identificación y autorización de usuarios del registro.

a)

cuando se le exija estar establecido en la Unión, si presenta pruebas de su identidad mediante una firma electrónica cualificada respaldada por un certificado cualificado de firma electrónica de conformidad con el Reglamento (UE) n.o 910/2014, o si presenta pruebas de su identidad a través de un medio de identificación electrónica que cumpla los requisitos del Reglamento (UE) n.o 910/2014 con respecto a los niveles de seguridad «altos», o una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico;

b)

cuando no se le exija estar establecido en la Unión, si presenta pruebas de su identidad mediante una firma electrónica cualificada respaldada por un certificado cualificado de firma electrónica de conformidad con el Reglamento (UE) n.o 910/2014, o una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico.

a)

cuando se le exija estar establecido en la Unión, si presenta pruebas de su identidad y de su establecimiento mediante un sello electrónico cualificado basado en un certificado cualificado de sello electrónico expedido por un prestador cualificado de servicios de confianza con arreglo al Reglamento (UE) n.o 910/2014, o si presenta pruebas de su identidad y de su establecimiento mediante una declaración electrónica cualificada de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico;

b)

cuando no se le exija estar establecido en la Unión, si presenta pruebas de su identidad y, en su caso, de su establecimiento mediante un sello electrónico cualificado respaldado por un certificado cualificado de sello electrónico expedido por un prestador cualificado de servicios de confianza con arreglo al reglamento (UE) n.o 910/2014, o una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del operador económico.

a)

cuando se le exija estar establecido en la Unión, si presenta pruebas de su identidad mediante una firma electrónica cualificada respaldada por un certificado cualificado de firma electrónica de conformidad con el Reglamento (UE) n.o 910/2014, o si presenta pruebas de su identidad a través de un medio de identificación electrónica que cumpla los requisitos del Reglamento (UE) n.o 910/2014 con respecto a los niveles de seguridad «altos», o una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del agente de la cadena de valor;

b)

cuando no se le exija estar establecido en la Unión, si presenta pruebas de su identidad mediante una firma electrónica cualificada respaldada por un certificado cualificado de firma electrónica de conformidad con el Reglamento (UE) n.o 910/2014, o una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del agente de la cadena de valor.

a)

cuando se le exija estar establecido en la Unión, si presenta pruebas de su identidad y de su establecimiento mediante un sello electrónico cualificado respaldado por un certificado cualificado de sello electrónico expedido por un prestador cualificado de servicios de confianza con arreglo al Reglamento (UE) n.o 910/2014, o si presenta pruebas de su identidad y de su establecimiento mediante una declaración electrónica cualificada de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del agente de la cadena de valor;

b)

cuando no se le exija estar establecido en la Unión, si presenta pruebas de su identidad y, en su caso, de su establecimiento mediante un sello electrónico cualificado respaldado por un certificado cualificado de sello electrónico expedido por un prestador cualificado de servicios de confianza con arreglo al reglamento (UE) n.o 910/2014, o una declaración electrónica de atributos expedida con arreglo al Derecho de la Unión que permita la identificación del agente de la cadena de valor.

a)

la conformidad semántica de los datos incluidos en el pasaporte digital del producto, tal como se establezca en los actos delegados aplicables que se adopten en virtud del artículo 4 del Reglamento (UE) 2024/1781 o en los actos delegados aplicables que se adopten en virtud del artículo 77 del Reglamento (UE) 2023/1542, o en virtud de otras disposiciones del Derecho de la Unión que prevean la inscripción de datos sobre el pasaporte digital del producto en el registro de pasaportes digitales de productos;

b)

cuando proceda, la coherencia de los datos obligatorios que deben cargarse en el registro con el valor de los datos facilitados en el pasaporte digital del producto;

c)

la conformidad del pasaporte digital del producto con el nivel de detalle (modelo, lote o artículo) previsto en los actos delegados aplicables que se adopten en virtud del artículo 4 del Reglamento (UE) 2024/1781 o en los actos delegados aplicables que se adopten en virtud del artículo 77 del Reglamento (UE) 2023/1542, o en virtud de otra legislación de la Unión que establezca un nivel específico para la inscripción del pasaporte digital del producto en el registro;

d)

cuando proceda, la validez del código de mercancía del producto en relación con las gamas permitidas para ese grupo de productos;

e)

cuando proceda, el enlace a la copia de seguridad alojada por un prestador de servicios de pasaporte digital de productos.

a)

cuando proceda, los identificadores únicos;

b)

cuando proceda, el código de mercancía del producto;

c)

cuando proceda, la referencia al prestador de servicios de pasaporte digital de productos;

d)

la información del solicitante de registro, incluidas la fecha y hora de la inscripción y la integridad del pasaporte digital del producto como parte de las pruebas del acto de inscripción.

a)

el identificador único del producto;

b)

cuando proceda, el código de mercancía a que se refiere el artículo 8, apartado 9, letra b);

c)

el nombre y la identidad del operador económico verificado responsable de la inscripción a que se refiere el artículo 8, apartado 9, letra d);

d)

la fecha y hora de inscripción de la última versión del pasaporte digital del producto para la que se genere el comprobante, de conformidad con el artículo 8, apartado 9, letra d), que estén validadas por un sello de tiempo electrónico de la Comisión;

e)

un hash de la versión del pasaporte digital del producto para el que se genera el comprobante.

a)

el significado semántico de los atributos de datos requeridos en un pasaporte digital de producto y las especificaciones técnicas para crear, cuando proceda, enlaces tipificados y resolubles entre diferentes pasaportes digitales de productos, y enlaces entre los atributos del pasaporte digital del producto y las pruebas subyacentes comunicadas a lo largo de la cadena de valor del producto;

b)

los modelos de datos para los diferentes productos incluidos en el ámbito de aplicación del presente Reglamento y sus formatos;

c)

los metadatos recogidos en relación con los modelos de datos para los productos;

d)

el significado semántico de las funciones previstas en los actos delegados aplicables adoptados en virtud del artículo 4 del Reglamento (UE) 2024/1781, o en otra legislación de la Unión aplicable a cualquier producto que esté obligado a utilizar un pasaporte digital del producto;

e)

etiquetas y definiciones multilingües para todos los atributos de datos obligatorios.

a)

datos relacionados con entradas de acceso y autenticación;

b)

modificaciones de datos por parte de todos los usuarios del registro, incluida la carga o actualización de los datos a que se refiere el artículo 13, apartado 4, del Reglamento (UE) 2024/1781, o de los datos que deban cargarse en el registro de conformidad con otra legislación de la Unión que requiera el uso del pasaporte digital del producto para un producto;

c)

acciones administrativas de todos los usuarios del registro, incluida la creación, modificación o supresión de cuentas de usuario, los cambios en los derechos y permisos de acceso, y cualquier cambio en la configuración del registro y otras acciones administrativas de los usuarios del registro;

d)

archivos de registro de intercambio de datos.

a)

seis meses en el caso de las categorías de acciones a que se refiere el apartado 2, letra a);

b)

cinco años en el caso de las categorías de acciones a que se refiere el apartado 2, letras c) y d);

c)

mientras dure la inscripción en el registro en los casos relacionados con las categorías de acciones a que se refiere el apartado 2, letra b).

a)

impedir todo acceso no autorizado al registro;

b)

impedir todo tratamiento no autorizado de los datos del registro;

c)

detectar cualquier actividad no autorizada en el registro;

d)

prevenir cualquier violación de la seguridad de los datos del registro;

e)

garantizar que los incidentes de seguridad se consignen de conformidad con las normas de seguridad informática aplicadas por la Comisión.

a)

nombre y apellidos de cada usuario; o nombre y apellidos de la persona legalmente facultada para actuar como representante legal del operador económico, cuando proceda;

b)

credenciales de autenticación asociadas al usuario, incluidas las credenciales de inicio de sesión o los testigos de autenticación, necesarias para el acceso seguro al registro;

c)

dirección postal de los operadores económicos y agentes de la cadena de valor que sean usuarios;

d)

la dirección de correo electrónico de cada usuario;

e)

metadatos integrados en documentos cargados cuando dichos metadatos contribuyan a la identificación o verificación de un usuario.