Dois-je rendre publiques des données sensibles sur mon électronique ?

Pas tout est public : le passeport connaît différents niveaux d'accès

Non, toutes les données du passeport numérique de produit ne sont pas automatiquement visibles pour tout le monde. Le ESPR repose sur un passeport à accès stratifié : une partie des informations est destinée au grand public, une autre partie exclusivement aux autorités de surveillance, aux douanes ou à des acteurs du marché spécifiques comme les réparateurs ou les recycleurs. Cette architecture existe précisément parce que le législateur reconnaît que toutes les informations de produit ne sont pas également pertinentes ou souhaitables à partager pour chacun. Les données sensibles au regard commercial, telles que la formulation précise, les relations avec les fournisseurs ou les détails de production, ne doivent pas nécessairement être rendus publics dès qu'un passeport devient opérationnel.

Pour quelles données cela s'applique, et pour lesquelles non

Cette protection concerne les données qui représentent un intérêt commercial réel et dont la divulgation pourrait nuire à la position concurrentielle — pensez aux informations spécifiques sur les fournisseurs, aux processus de production internes ou aux détails techniques qui vont au-delà de ce qui est nécessaire pour la réparation, le recyclage ou la surveillance du marché. Elle ne s'applique pas aux informations essentielles que le passeport doit contenir : les données sur la durabilité, l'origine des matériaux, les informations de réparation et de recyclage et la conformité aux exigences de produit. Ces informations constituent l'intérêt même du passeport et ne relèvent pas d'une réclamation de confidentialité, même si un fabricant aurait préféré ne pas les partager. La distinction ne réside donc pas dans « je veux partager cela » mais dans ce que la réglementation considère comme nécessaire pour le passeport par rapport à ce qui va au-delà.

Important aussi : l'accès stratifié ne signifie pas que les données sensibles ne doivent pas être partagées du tout. Les acteurs de la chaîne d'approvisionnement peuvent être tenus de fournir certaines informations à d'autres parties de cette chaîne ou aux autorités de surveillance, même si ces informations ne sont pas destinées au grand public. La confidentialité envers le consommateur est donc différente de la confidentialité envers l'ensemble de la chaîne ou envers une autorité de surveillance.

Pas encore de date fixe, mais un principe établi

Pour les appareils électroniques et ICT, la date à laquelle le passeport numérique de produit devient obligatoire n'est pas encore fixée : elle découle par sous-catégorie d'actes délégués attendus à partir de 2027 dans le cadre du plan de travail ESPR 2025-2030. Tant que cet acte délégué n'existe pas pour une catégorie de produit spécifique, il n'y a pas non plus d'obligation de tenir un passeport, et donc pas de question concrète sur les données qui peuvent rester confidentielles. Ce qui est établi, en revanche, c'est le principe du ESPR lui-même : l'accès stratifié aux données du passeport fait partie du règlement de base et s'appliquera donc dès qu'un acte délégué pour l'électronique entrera en vigueur. La mise en œuvre concrète — quels champs de données exactement sont publics et lesquels ont un accès limité — sera élaborée davantage par catégorie de produit dans ces actes délégués. En attendant, il n'y a rien à remplir ; cette page sera mise à jour dès que l'acte délégué pour l'électronique sera publié.

Comment cela se concrétise en pratique

Celui qui réfléchit dès à présent au passeport produit ferait bien de commencer par identifier les données qui de toute façon doivent figurer dans le passeport en vertu des exigences d'information essentielles, indépendamment de la question de savoir si cela est sensible. Ensuite, il est judicieux d'examiner quelles données supplémentaires un fournisseur, fabricant ou importateur souhaiterait ajouter ou devrait fournir lui-même, et si parmi elles se trouvent des informations qui vont au-delà du minimum obligatoire. Pour cette couche supplémentaire, la question pertinente est de savoir qui aura exactement accès : le grand public via le code QR, ou un cercle plus restreint tel que les autorités de surveillance ou les partenaires de la chaîne. Puisque la classification exacte des champs de données par catégorie de produits doit encore être établie, il n'est pas encore possible de déterminer par champ si quelque chose est rendu public ou reste protégé. Ce qui est possible dès maintenant : mettre en ordre les inventaires de données internes existants, de sorte qu'il soit rapidement clair quelles données relèvent de quelle catégorie dès que l'acte délégué sera disponible. Celui qui fait établir un passeport via Elektropas reçoit cette classification traitée conformément aux règles alors en vigueur ; les données qui sont fournies ne doivent pas dépasser ce que la réglementation exige pour la catégorie en question.

D'où cela découle : article 10 et article 38 du ESPR

La base de l'accès en couches aux données du passeport se trouve à l'article 10 du Règlement (UE) 2024/1781 (ESPR), qui établit les exigences relatives au passeport produit numérique, y compris la manière dont les informations sont rendues accessibles à différents types d'utilisateurs. L'article 38 du même règlement établit les exigences pour les acteurs de la chaîne d'approvisionnement, et est pertinent pour la question de savoir quelles informations doivent être partagées entre les parties de la chaîne, même si elles ne sont pas destinées au public. La délimitation précise entre les données publiques et celles à accès limité pour l'électronique découle de l'acte délégué qui doit encore être établi pour cette catégorie de produits.

Que faire maintenant

Identifiez vos propres données de produits et distinguez déjà d'une part ce qui relève probablement de l'information essentielle obligatoire et d'autre part ce qui constitue une information supplémentaire ou sensible ; consultez le plan de travail ESPR de la Commission européenne pour connaître l'état actuel des actes délégués, et revenez sur cette page dès que l'acte pour l'électronique sera publié — il sera traité ici immédiatement.

Sur quoi ceci repose

Le règlement lui-même se trouve sur EUR-Lex. Nous renvoyons pour chaque affirmation ; vous n'avez pas besoin de nous croire.

Ce que vous devez faire concrètement

Ce que l'on attend de vous

Le passeport numérique des produits demande des informations sur le produit : composition, origine des matériaux, données de réparation, consommation énergétique. Pour une entreprise, une partie de ces informations semble rapidement sensible — relations avec les fournisseurs, formule, structures d'approvisionnement. Le ESPR ne stipule pas que toutes les informations commerciales deviennent publiques, mais bien que les informations relatives au produit doivent être disponibles, avec une distinction concernant qui peut voir quoi.

Le passeport contient des données relatives au produit, non des données commerciales libres

L'article 10 du ESPR (Règlement (UE) 2024/1781) décrit le type de données qui figure dans le passeport : les caractéristiques du produit lui-même, non pas une collection ouverte de tout ce qu'une entreprise possède comme informations. Ce qui est exactement demandé varie selon le groupe de produits et est déterminé dans l'acte délégué pour ce groupe. Concrètement, pour une entreprise de 10 à 100 salariés, la première étape consiste à vérifier quelles données l'acte applicable demande effectivement, plutôt que de supposer à l'avance que les informations sensibles du point de vue concurrentiel deviennent publiques. Le niveau de détail exactement demandé varie en outre selon le type de produit — voir quelles données dois-je exactement remplir pour mon type d'appareil.

L'accès est hiérarchisé, pas identique pour tous

Toute partie qui consulte le passeport ne voit pas les mêmes données. Le ESPR distingue ce qu'un consommateur voit via le code QR, ce qu'une autorité de surveillance peut demander, et ce qui n'est accessible que pour les recycleurs ou les opérateurs de la chaîne. Pour une entreprise, cela signifie que la question « est-ce que cela devient public » est en réalité deux questions : est-ce dans le passeport, et qui peut le voir là. Cette distinction est précisément expliquée sur qui peut voir quelles données du passeport numérique de produit, et est pertinente avant qu'une entreprise ne décide d'omettre ou de généraliser quelque chose.

Les acteurs de la chaîne d'approvisionnement fournissent des données, pas tout n'est public

L'article 38 du ESPR (Règlement (UE) 2024/1781) décrit les obligations des acteurs de la chaîne d'approvisionnement : ils fournissent les informations relatives au produit à la partie qui constitue le passeport. C'est un flux différent de la publication publique. Pour une entreprise de 10 à 100 salariés qui alimente un fabricant, cela signifie que les données vont bien circuler dans la chaîne — vers la partie qui établit le passeport — sans que cela établisse que ces données deviennent aussi visibles pour le public ou pour les concurrents.

L'obligation porte sur le produit, non sur l'entreprise dans son ensemble

Le passeport concerne un modèle de produit ou un lot, non pas la gestion de l'entreprise. Une entreprise n'a donc pas besoin d'expliquer comment elle achète, avec qui elle négocie, ou quelles sont les marges. Ce qui est demandé, en revanche, est lié aux caractéristiques pertinentes pour la réparation, le recyclage et la durée de vie — pensez à l'assistance logicielle ou à l'utilisation de matières premières. Ces deux sujets sont pour cette raison souvent confondus avec les secrets commerciaux, alors qu'il s'agit en essence de caractéristiques du produit ; voir dois-je indiquer combien de temps un appareil reçoit des mises à jour logicielles et quelles matières premières critiques dois-je déclarer dans le passeport.

Où cela échoue en pratique

Un fournisseur refuse le transfert de données par crainte d'une divulgation publique. Un fournisseur de composants soupçonne que toutes les spécifications fournies deviennent automatiquement publiques, et retient par conséquent des données nécessaires au passeport du fabricant final. Cela entraîne un retard dans la chaîne sans qu'il soit établi que la préoccupation soit justifiée.

La composition des matériaux est confondue avec la formule. Un fabricant d'électroménager préfère ne pas signaler les pourcentages de matériaux exacts, par crainte que les concurrents ne puissent reconstruire la formule du produit. Il s'agit souvent d'informations à un niveau d'agrégation différent de celui auquel porte la préoccupation réelle.

Les données internes de qualité sont indûment incluses. Une entreprise ajoute les rapports d'essai et la documentation interne des procédés au dossier du passeport « par sécurité », alors que seules les valeurs finales sont demandées. Cela augmente le risque que des documents internes sensibles soient inclus dans quelque chose qui est plus largement accessible que prévu.

Imprécision sur qui voit les données de l'importateur. Un importateur d'équipements informatiques ne sait pas si le nom de sa propre entreprise et sa relation commerciale seront visibles pour les utilisateurs finaux, et reporte de ce fait la transmission des données.

Hypothèses sur la publicité sans consulter l'acte délégué. Parce que l'acte délégué par catégorie de produits n'a pas encore été publié pour chaque groupe, certaines entreprises comblent elles-mêmes l'incertitude — souvent de manière plus prudente que nécessaire, ce qui les amène à retenir indûment des données qui seront pourtant demandées ultérieurement.

Ce que vous pouvez documenter

Un aperçu des données que l'acte délégué applicable pour son propre groupe de produits demande, dès sa publication, avec une note séparée sur ce qui constitue des informations sur les produits et ce qui serait des informations sur l'entreprise.
Un accord interne sur quel collaborateur ou département transmet les données à la partie qui constitue le passeport, y compris ce qui est et ce qui n'est pas communiqué — la classification dans qui peut voir quelles données du passeport numérique de produit peut servir de base.
Un accord avec les fournisseurs ou un avenant dans lequel est précisé quelles données un fournisseur transmet en vertu de l'article 38 du ESPR, et à quelle fin — de sorte qu'un fournisseur n'ait pas à deviner lui-même ce qu'il advient des données.
Une attribution établie des données au niveau d'agrégation correct : par modèle de produit au lieu de par recette interne ou processus, conformément à quelles données figurent dans le passeport numérique de produit électronique.
Une procédure en cas où il s'avère que des données ont été transmises avec un niveau de détail ou une étendue indue, afin que cela puisse être révisé — voir aussi j'ai découvert une erreur dans la fiche produit numérique que faire maintenant.

Ceci n'est pas un conseil juridique. Cette page fournit des informations générales sur la réglementation couverte par cette plateforme. Nous ne connaissons pas votre situation. En cas de doute sur votre propre cas, consultez un juriste ou l'autorité compétente de surveillance.

Écrit avec l'IA sur la base des sources ci-dessus, contrôlé par un humain le 2026-08-22. Quelque chose ne va pas ? Faites-le nous savoir — les corrections sont prioritaires.