欧盟《产品数字护照（DPP）注册系统实施条例》草案解读

产品数字护照是欧盟推动绿色转型、循环经济和产品全生命周期监管的重要工具。按照ESPR第13条，欧盟委员会将建立一个产品数字护照注册系统，用于安全存储DPP相关唯一标识符及必要登记信息。此次草案的核心作用，就是把这一要求进一步细化为可执行的系统规则。

简单来说，这份草案回答了四个问题：哪些产品要接入DPP注册系统；哪些主体可以注册或访问系统；企业如何提交DPP信息并获得注册标识；欧盟如何通过日志、安全审计、数据留存和权限管理实现监管追溯。

因此，该草案可视为欧盟DPP制度从“法规要求”走向“系统落地”的关键一步。它不仅影响企业的产品合规工作，也会影响企业内部的ERP、PLM、供应链数据管理、电子身份认证和跨境数据治理能力。

草案明确，DPP注册系统适用于多类欧盟法规下要求配备产品数字护照的产品。具体包括：ESPR授权法案覆盖的产品、电池、建筑产品、玩具、洗涤剂，以及未来其他欧盟法律要求配备DPP并登记到该系统的产品。

这意味着，该系统并不是为单一行业建立的独立数据库，而是欧盟面向多个产品类别建设的统一注册平台。随着后续产品授权法案陆续出台，更多高环境影响、高贸易规模或高监管关注度的产品可能被纳入。

对企业而言，这一变化的影响主要体现在两方面：一方面，不同产品法规下的DPP要求将逐步汇入同一注册系统，企业需要关注的不再只是单一产品法规，而是整个欧盟DPP体系的共同规则；另一方面，企业如果同时出口多个品类，未来可能需要建立统一的数据管理和系统对接能力，避免每个产品线各自应对、重复建设。

草案规定，欧盟DPP注册系统将包括九类核心组成部分：安全网站界面、API接口、验证平台、唯一注册标识符生成机制、商品编码信息、DPP服务提供商清单、语义库、日志系统，以及用户身份识别和授权机制。

其中，安全网站界面供企业、其他价值链参与者、成员国主管机关和海关机关使用；API接口支持企业通过系统自动化方式注册DPP并接收反馈；验证平台用于确认DPP是否存在、是否完整；唯一注册标识符生成机制用于为成功登记的DPP生成唯一且持久的注册标识；商品编码信息用于支撑与海关“自由流通放行”程序相关的监管需求；DPP服务提供商清单用于记录托管DPP备份副本的服务提供商；语义库用于统一数据模型、数据定义、词汇和多语言解释；日志系统用于记录系统访问、数据修改、管理操作和数据交换；用户身份识别和授权机制用于管理不同用户的访问权限。

由此可见，DPP注册系统不仅是一个信息填报平台，而是一个集身份认证、数据登记、海关衔接、语义标准、日志审计和权限管理于一体的数字监管系统。对于企业而言，未来仅靠人工填报很难满足大规模产品注册需求，特别是SKU数量多、产品更新频繁的行业，更需要提前规划API对接和内部数据治理。

草案对注册主体设置了较严格的身份验证要求。只有完成验证的经济运营者，才能成为“已验证经济运营者”，并具备注册DPP、修改注册信息、管理用户权限等能力。其他价值链参与者，如维修商、翻新商、再制造商、回收商等，如果需要访问登记册或更新DPP信息，也需要通过相应验证。

对自然人独资经营者，草案要求其通过合格电子签名、符合eIDAS“高”等级要求的电子身份识别方式，或欧盟法认可的电子属性证明来证明身份。对法人企业，草案要求其通过合格电子印章、合格电子属性证明等方式证明企业身份及设立情况。上述机制均与欧盟eIDAS电子身份和信任服务框架密切相关。

草案还规定，验证状态最长有效三年；如果电子身份凭证提前到期，则以较早时间为准。到期后，企业需要重新完成验证，否则将无法继续注册新的DPP或上传相关数据。

草案要求，DPP应按照适用欧盟法律或授权法案规定的层级进行注册，可能是型号层级、批次层级或单件产品层级。

如果DPP按单件产品层级创建，且该产品存在批次和型号设计，则应同时关联批次标识符和型号标识符；如果按批次层级创建，且存在型号设计，则应关联型号标识符。对于手工制品等没有批次或型号设计的特殊产品，则不适用相同要求。

企业可以通过两种方式完成注册：一是使用欧盟注册系统提供的安全网页界面，二是通过API接口进行系统对接。对于产品数量较少的企业，网页界面可能能够满足基本需求；但对于SKU数量大、数据更新频繁、批量出口欧盟的企业，API对接几乎会成为必要选项。

提交注册后，系统将自动校验以下内容：必填数据是否存在并符合语义要求；DPP是否符合规定的型号、批次或单件产品层级；商品编码是否在该产品组允许范围内；是否存在DPP服务提供商托管备份的链接；是否使用合格电子签名或合格电子印章。

校验成功后，系统将生成并存储唯一且持久的注册标识符，并通过网页界面或API反馈给注册主体。

草案规定，企业或其他相关主体在完成DPP注册后，可以为一个或多个DPP生成注册证明。该证明用于证明相关DPP已完成登记义务。

注册证明至少包括：唯一且持久的注册标识符、商品编码、负责登记的已验证经济运营者名称和身份、最新版本DPP的登记日期和时间、欧盟委员会电子时间戳，以及该DPP版本的哈希值。证明本身应作为安全电子文件，并通过合格电子印章和合格时间戳保障其可信度。生成后，注册证明将在系统中保留90个日历日，可供下载。

草案对DPP注册数据提出了较强的版本管理和长期留存要求。系统需要支持注册数据版本控制，每一个新的DPP版本都要与原始注册标识符关联，并保存欧盟委员会时间戳。DPP注册数据的创建、修改和删除，也要记录到日志系统中。

在数据留存方面，如果其他欧盟法律没有规定DPP的可用期限，相关DPP注册数据将在注册后保存10年并自动删除；如果具体欧盟法律规定了其他期限，则按照该期限执行。

这对企业提出了长期运维要求。企业不仅要在产品上市时完成一次性登记，还需要持续维护DPP数据，确保其准确、完整、及时更新，并能够解释不同版本之间的变化。对于涉及供应商信息、材料来源、回收内容、碳足迹、维修记录等敏感数据的产品，企业还应同步加强商业秘密保护和内部访问控制。

DPP制度能否运行，关键在于不同企业、不同系统、不同成员国监管部门能否理解同一组产品数据。为此，草案要求欧盟建立并维护DPP语义库，该语义存储库依据Regulation（EU）2024/903（《欧盟互操作性法案》）建立，是全欧盟范围内权威、机器可读的统一数据模型与词表来源；同时DPP元数据需符合欧盟标准DCATAP规范，底层采用RDF语义网技术体系，确保数据在欧盟境内可被统一识别与处理。

所有DPP数据都需要按照语义库发布的共同数据模型和语义定义进行结构化。语义库还将提供公开文档化API，支持机器可读访问，并免费开放使用。

对企业而言，这意味着未来DPP不是简单上传PDF或填写若干字段，而是要按照欧盟规定的数据模型组织信息。DCAT-AP语义标准化体系从理念上有利于跨境数据互操作，但从实操层面看对中国企业构成了明显的技术壁垒和制度性障碍，大部分中国企业目前不具备直接对接DCAT-AP的技术条件。企业内部的ERP、PLM、PIM、供应链管理、合规管理等系统，都可能需要与欧盟语义标准进行映射和改造。对于产品种类多、供应链层级深的企业，这将是一项长期的数据治理工程。

草案要求欧盟委员会建立日志系统，形成完整、准确、可靠的审计轨迹。日志记录范围包括访问和认证、数据修改、管理操作以及数据交换。不同日志的留存期限不同：访问和认证日志保存6个月；管理操作和数据交换日志保存5年；数据修改日志保存至登记期间。

此外，草案还要求欧盟委员会确保系统安全，采取措施防止未经授权访问、未经授权处理、数据泄露和其他安全事件，并可开展技术审计和随机检查。如果发现不当或欺诈使用，包括大规模异常下载等，欧盟委员会应采取必要措施予以防范、制止并减轻影响。

草案对不同主体的责任进行了较清晰的划分。

对企业而言，已验证经济运营者需要对其提交的数据准确性、完整性和及时更新负责。企业还需要保护自身IT系统和登录凭证，防止未经授权访问或修改注册数据。即使企业授权第三方代为注册DPP，企业自身仍需承担合规责任。

对其他价值链参与者而言，如果欧盟法律要求其上传信息，则其也要对提交的数据负责，并采取适当技术和组织措施保护系统访问安全。

对欧盟委员会而言，其是DPP注册系统的所有者和管理者，负责系统开发、可用性、监控、更新、维护和托管，并确保系统数据处理符合欧盟法律和个人数据保护要求。

对成员国而言，如果其建立与欧盟DPP注册系统的互联组件，则需对本国组件的建设、维护、安全和访问权限管理负责。每个成员国还需指定国家管理员，统一管理本国主管机关和海关机关的访问权限。

一是企业需要尽早关注产品适用范围变化。欧盟DPP注册系统将覆盖ESPR授权法案、电池、建筑产品、玩具、洗涤剂以及未来其他可能被纳入DPP要求的产品。这表明，对欧出口企业不能仅关注当前单一产品法规，而应持续跟踪自身产品是否进入欧盟DPP适用范围，并关注后续具体产品授权法案和实施时间表。

二是，DPP数据管理能力将成为企业合规能力的重要组成部分。草案围绕产品型号、批次、单件产品标识、商品编码、供应链信息、材料信息、合规证明和版本记录提出了系统性要求。这表明，企业需要逐步建立统一的数据台账，并推动ERP、PLM、PIM等系统与DPP数据要求衔接，避免未来因数据分散或系统不兼容影响合规。

三是，第三方服务商管理的重要性进一步上升。未来企业如果使用DPP服务提供商或SaaS平台，服务商的数据托管能力、安全措施、备份机制、长期服务能力、接口开放性和责任分配，将直接影响企业自身合规稳定性。这提示企业在选择和管理第三方服务商时，需要把DPP合规和数据安全要求纳入重点评估范围。

四是，行业层面的公共服务和标准协调需求更加迫切。欧盟DPP注册系统涉及语义模型、接口规则、身份验证、数据托管等多项复杂要求，单个企业特别是中小企业独立应对成本较高。这表明，有必要通过行业协会、公共服务机构和重点企业协同研究欧盟规则，建设面向企业的语义转换、数据托管和合规咨询服务，降低行业整体应对成本。

欧盟DPP注册系统草案表明，欧盟产品监管正在进入更加数字化、系统化和可追溯的新阶段。欧盟产品合规管理正在从传统的文件化、标签化管理，逐步转向以数字身份、结构化数据、系统接口和长期追溯为基础的管理方式。

对我国企业而言，应将DPP视为一项长期合规能力建设，而不是一次性填报任务。越早完成电子身份、数据模型、系统接口和供应链数据治理准备，越能在未来欧盟数字化产品监管体系中降低合规成本、减少贸易不确定性，并保持对欧出口竞争力。

下一步，中国信通院将持续跟踪欧盟DPP立法进展与系统建设动态，及时发布最新政策解读与合规指南，并组织开展行业培训与技术交流活动，助力我国企业平稳应对数字贸易新规则，提升国际市场竞争力。