背景
-2024年6月，欧盟通过《可持续产品生态设计法规》（编号Regulation (EU) 2024/1781，Eco Design for Sustainable Products Regulation，简称ESPR），引入产品数字护照（Digital Product Passport, 简称DPP）概念，要求为产品提供可持续性、可循环性和合规性相关的数字信息。
-2024至2026年，欧盟陆续通过电池法规（编号Regulation (EU) 2023/1542）、建筑产品法规（编号Regulation (EU) 2024/3110）、玩具安全法规（编号Regulation (EU) 2025/2509）及洗涤剂法规（编号Regulation (EU) 2026/405），均要求相关产品使用产品数字护照并接入注册系统。
2026年4月29日， 欧盟委员会依据ESPR第13条第5款的要求，发布了实施性法规草案，旨在建立产品数字护照注册系统的实施安排。该注册系统用于安全存储产品数字护照的唯一标识符，是欧盟推动产品全生命周期可持续性和可追溯性的关键基础设施。该草案的公开征求意见已于2026年5月27日结束。
本文梳理了该草案的核心内容，供相关企业参考。
注册系统的核心结构
草案规定，产品数字护照注册系统由以下核心组件构成：
安全用户界面网站：为经济经营者（Economic operator）、价值链参与者（Value chain actor）、成员国主管部门及海关提供访问入口。
应用程序编程接口（Application Programming Interface，简称API）：用于注册产品数字护照和接收注册系统信息。
验证平台：用于确认和核实产品数字护照的存在性和完整性。
唯一注册标识符（Unique Registration Identifier）生成机制：为每个注册的产品数字护照生成唯一且持久的标识符。
商品代码（Commodity Code）：拟通过“放行自由流通”海关程序的产品的商品代码。
产品数字护照服务提供商列表：记录托管产品数字护照备份副本的服务提供商。
语义存储库：作为产品数字护照数据语义含义、结构、版本控制和互操作性要求的权威参考源。
日志系统：记录注册系统中的所有操作和交互行为。
用户识别和授权方案
用户验证与权限管理
经济经营者的验证
草案对经济经营者（即将产品投放市场的主体）的验证作出了详细规定：
自然人（个体经营者）
在欧盟境内设立的，须通过以下方式之一证明身份:
符合eIDAS法规（编号Regulation (EU) No 910/2014）要求的合格电子签名（Qualified electronic signature）;
高等级电子识别途径（Electronic identification means）;
欧盟法律下的电子属性证明（Electronic attestation of attributes）
在欧盟境外设立的，须通过符合eIDAS法规的合格电子签名或欧盟法律下的电子属性证明进行身份验证。
法人
在欧盟境内设立的，须通过以下方式之一进行身份和设立地验证:
使用合格信任服务提供商签发的合格电子印章，同时证明身份和设立地;
或先通过合格电子属性证明提交身份信息，再另行证明设立地
验证通过后，经济经营者获得“已验证经济经营者”（Verified economic operators）身份，有效期以电子识别途径失效日或自验证之日起三年中先到者为准。有效期届满后须重新验证；未续期者将转为“未验证”状态，丧失登记新产品数字护照及上传数据的权限。
价值链参与者（Value chain actor）的验证
除经济经营者外，其他价值链参与者（如维修商、翻新商、再制造商）如需访问或更新产品数字护照信息，也须通过类似的验证程序获得“已验证”身份。其角色和可执行的操作须在相关授权法案中具体规定。
成员国主管部门的权限管理
各成员国须指定一名国家管理员，作为与欧盟委员会就注册系统访问权限管理的主要联络点。国家管理员负责为本国相关主管部门委派访问权限。成员国须将国家管理员的姓名和联系方式告知欧盟委员会。
产品数字护照的注册
注册层级
经济经营者须根据适用法律要求的颗粒度层级（Granularity level），即型号（model）、批次（batch）或单品级（item level），注册产品数字护照：
单品级注册：须同时关联批次和型号标识符（如存在）
批次级注册：须同时关联型号标识符（如存在）
注册方式
经济经营者可通过注册系统的安全用户界面或API提交注册。欧盟委员会将自动验证以下内容：
强制性数据的存在性和语义符合性
产品数字护照与颗粒度层级要求的符合性
验证产品的商品代码是否在产品组允许的范围内（如适用）
与产品数字护照服务提供商托管备份的链接（如适用）
合格电子签名或电子印章的使用
验证通过后，注册系统将生成并保存唯一且持久的注册标识符（Registration identifier），并通过用户界面或API反馈给注册方。
注册证明
经济经营者可向注册系统申请注册证明，作为向第三方证明产品数字护照已按规定注册的证据。该证明以安全电子文档形式生成，包含注册标识符、商品代码、注册方信息、注册时间戳及产品数字护照版本哈希值（Hash）等信息。注册证明自生成之日起90天内有效，可重新生成。
数据管理与版本控制
版本控制
注册系统支持注册数据的版本控制，每个新版本的产品数字护照须链接至原始注册标识符，每次更新均须加盖欧盟委员会的时间戳。
数据保留与删除
如适用法律未规定产品数字护照的保留期限，注册数据将在注册后10年自动删除；如适用法律规定了具体保留期限，则数据保留期限与该期限对齐；注册系统用户如不再负责与注册系统相关的活动，有权请求删除其相应账户。相关操作均须在日志系统中记录。
数据模型
产品数字护照内包含的所有数据，须按照语义存储库（Semantic repository）发布的通用数据模型（Common data model）和语义定义（Semantic definition）进行结构化。数据模型在适用情况下应复用现有的欧盟级语义资产（EU-level semantic assets）、受控词汇表（Controlled vocabularies）和参考数据模型。
每个产品类别的数据模型须至少为以下类别数据提供结构：
根据ESPR及其补充授权法案所要求的数据
根据其他要求使用产品数字护照的欧盟立法所要求的数据
数据模型须进行版本控制
语义存储库
欧盟委员会须建立并维护产品数字护照语义存储库，作为适用于所有产品类别的数据模型、语义定义和词汇表的权威且机器可读的来源。语义存储库须：
规定产品数字护照中数据属性的语义含义和技术规范
定义不同产品类别的数据模型结构及其格式
规定针对数据产品收集的关于数据模型的元数据
规定角色语义含义
提供所有强制性数据属性的多语言标签和定义
包含搜索服务，允许用户读取、搜索和检索语义定义
通过公开文档化的API提供内容访问，支持常见数据格式
免费提供访问和使用
日志系统与安全审计
日志记录
欧盟委员会须建立、维护和运行日志系统，记录以下类别的事件：
访问和认证事件：日志保留期限为6个月
数据修改事件：包括所有注册用户的上传和更新操作，日志保留期限为注册存续期间
管理操作事件：包括创建、变更、删除用户账户、更改访问权限和权限配置等操作，日志保留期限为5年
数据交换事件：系统间数据交换记录，日志保留期限为5年
审计与检查
欧盟委员会须通过技术审计和随机检查等措施，确保注册系统及其组件的安全，防止未经授权的访问、处理、数据泄露及检测未经授权活动，并确保安全事件按欧盟委员会信息技术安全标准记录。
不当或欺诈使用
如发现注册系统存在不当或欺诈活动（包括大规模数据下载），欧盟委员会须采取必要措施予以制止和缓解。任何用户如发现或合理怀疑恶意行为，须立即通知欧盟委员会和相关成员国。
技术支持和维护
技术支持
欧盟委员会须设立服务台，为经济经营者、价值链参与者、主管部门和海关提供技术支持。服务台在欧盟委员会工作日正常工作时间内可用。
注册系统可用性
注册系统原则上应随时可访问，但以下情形除外：
计划维护（如软件更新）：须提前在注册系统公共网站发布通知
紧急情况（如系统故障、网络攻击）：可暂停访问而无需事先通知
因注册系统临时不可用或故障导致无法注册的，欧盟委员会须记录不可用的日期和时间，并在五年内应请求提供给相关方。
各方责任
经济经营者的责任
负责提供注册所需的所有信息，并对信息的准确性和完整性负责
确保注册系统中存储的信息始终保持准确、完整和最新
对其IT系统和访问凭证实施适当的技术和组织安全措施
如授权第三方代表其执行注册操作，仍须完全承担本法规规定的义务
对其提交的数据承担控制者责任
价值链参与者的责任
如授权第三方代表其行事，仍须完全承担合规义务
对其IT系统和访问凭证实施适当的安全措施
对其提交的数据承担控制者责任
结语
产品数字护照注册系统是欧盟推进产品全生命周期可持续性和可追溯性的核心信息系统。该实施性法规草案明确了注册系统的技术架构、用户验证程序、数据管理规则及各方的责任划分，覆盖了从电池、玩具到建筑产品、洗涤剂等多类产品。
对于向欧盟出口相关产品的中国企业而言，建议：
识别适用产品类别，确认是否属于产品数字护照的覆盖范围
关注后续授权法案，了解具体产品类别的数据要求和颗粒度层级
提前准备身份验证材料，包括合格电子签名/电子印章及电子识别途径所需凭证
建立内部数据管理流程，确保注册数据的准确性、完整性和及时更新
跟踪语义存储库和数据模型的发布，确保技术对接符合要求
评估数据保护合规状况，应对GDPR下的控制者义务
