DPP-standarderna: en översikt

Ett digitalt produktpass är en uppsättning data om en produkt som nås elektroniskt via en databärare, till exempel en QR-kod, på produkten eller förpackningen. EU-förordningen om ekodesign för hållbara produkter, ESPR (EU) 2024/1781, säger vad ett pass ska klara. Hur ett passsystem byggs för att klara det beskrivs i en serie europeiska standarder från CEN och CENELEC.

Den här översikten är för dig som ansvarar för produktdata, IT eller regelefterlevnad hos ett varumärke eller en tillverkare och vill förstå vilka standarder som finns, vilken status de har och hur de hänger ihop. Varje standard har en egen artikel som går djupare.

Varför standarderna finns

ESPR ställer krav på passet i två artiklar. Artikel 10 säger bland annat att passet ska vara kopplat via en databärare till en beständig unik produktidentifierare, att databäraren ska finnas fysiskt på produkten, förpackningen eller medföljande dokument, och att datan ska bygga på öppna standarder och vara maskinläsbar, strukturerad, sökbar och överförbar utan inlåsning hos en leverantör. Artikel 11 handlar om teknisk utformning och drift: passen ska vara fullt interoperabla, lagras av den ekonomiska aktören eller av en tjänsteleverantör för produktpass, finnas kvar även efter en konkurs eller likvidation, och datans autenticitet, tillförlitlighet och integritet ska säkerställas.

Förordningen säger alltså vad, men inte hur. För att fylla det gav kommissionen 2024 en standardiseringsbegäran till CEN, CENELEC och ETSI, genomförandebeslut C(2024) 5423 av den 31 juli 2024, ändrat genom C(2025) 8024 av den 28 november 2025. Begäran kallas M/604 och gäller produktpass både för ekodesign och för batterier. Arbetet gjordes i den gemensamma tekniska kommittén CEN-CLC/JTC 24.

Vinsten för den som följer standarderna står i ESPR artikel 41.2: ett produktpass som överensstämmer med harmoniserade standarder vars referenser har publicerats i Europeiska unionens officiella tidning (EUT) presumeras uppfylla kraven i artiklarna 10 och 11, i den mån standarderna täcker dem. Det kallas presumtion om överensstämmelse.

De åtta standarderna

JTC 24 har tagit fram åtta standarder. Sex publicerades i maj 2026 och fastställdes av SIS som svensk standard den 27 maj 2026. De två som handlar om säkerhet fastställdes den 16 september 2026.

Standard	Ämne	Citerad i EUT
EN 18216:2026	Protokoll och dataformat för datautbyte	Ja, 15 juli 2026
EN 18219:2026	Unika identifierare för produkter, aktörer och anläggningar	Ja, 15 juli 2026
EN 18220:2026	Databärare	Ja, 15 juli 2026
EN 18221:2026	Lagring, arkivering och beständighet	Ja, 15 juli 2026
EN 18222:2026	API:er för passets livscykel och sökbarhet	Ja, 15 juli 2026
EN 18223:2026	Systeminteroperabilitet	Ja, 15 juli 2026
EN 18239:2026	Åtkomsträtter, informationssäkerhet och affärssekretess	Nej
EN 18246:2026	Dataautentisering, tillförlitlighet och integritet	Nej

Numren är inte en sammanhängande serie. EN 18217 och EN 18218 ingår inte, och den som skriver "EN 18216–18223" räknar in två standarder som inte hör dit och missar de två senaste. Ange dem hellre en och en.

Citerad eller bara publicerad

En standard kan vara publicerad utan att vara citerad. Publiceringen gör CEN-CENELEC och de nationella organen, i Sverige SIS. Citeringen gör kommissionen genom att publicera standardens referens i EUT, och det är först då presumtionen i artikel 41.2 gäller.

För de sex första skedde det genom kommissionens genomförandebeslut (EU) 2026/1736 av den 14 juli 2026, som publicerades i EUT och trädde i kraft den 15 juli 2026. Beslutet konstaterar att EN 18216, EN 18219, EN 18220, EN 18221, EN 18222 och EN 18223 uppfyller kraven i artiklarna 10 och 11 i ESPR.

EN 18239 och EN 18246 är fastställda men inte citerade. De ger alltså ingen presumtion om överensstämmelse ännu. Den som följer dem gör det för att de är kommitténs genomtänkta svar på kraven om säkerhet och dataintegritet i artikel 11, inte för att det ger ett rättsligt skydd i dag.

CEN-CENELEC påpekar själva att harmoniserade standarder förblir frivilliga att använda. Det finns ingen skyldighet att följa dem. Den som väljer en annan lösning måste visa på annat sätt att kraven i artiklarna 10 och 11 är uppfyllda.

Hur de hänger ihop

På CEN-CENELEC:s webbinarium den 25 juni 2026 beskrevs standarderna utifrån vad en ekonomisk aktör behöver göra. Ordningen är en bra karta:

1. Skapa en unik identifierare för produkten: EN 18219.
2. Skapa en databärare med identifieraren och fäst den på produkten: EN 18220.
3. Lagra passets data för produkten, på modell-, parti- eller artikelnivå: EN 18221. Själva nivåerna definieras i EN 18219.
4. Lagra en säkerhetskopia hos en tjänsteleverantör: också EN 18221.
5. Registrera passet och gör datan nåbar via identifieraren och ett API: EN 18222.
6. Styr åtkomst och åtkomsträtter: EN 18239.
7. Säkerställ att datan är äkta och oförändrad: EN 18246.

Två standarder går genom alla steg. EN 18216 anger protokoll och dataformat för hur system utbyter passdata. EN 18223 ger den gemensamma informationsmodellen, metadatamodellerna och reglerna för hur de används när datamodeller för en produktgrupp tas fram, så att pass från olika system går att läsa på samma sätt.

1. 1Skapa en unik identifierare för produktenEN 18219
2. 2Fäst en databärare med identifieraren på produktenEN 18220
3. 3Lagra passets data på modell-, parti- eller artikelnivåEN 18221
4. 4Lagra en säkerhetskopia hos en tjänsteleverantörEN 18221
5. 5Registrera passet, gör datan nåbar via identifierare och APIEN 18222
6. 6Styr åtkomst och åtkomsträtterEN 18239inte citerad
7. 7Säkerställ att datan är äkta och oförändradEN 18246inte citerad

Genom alla stegEN 18216 protokoll och dataformatEN 18223 informationsmodell, metadata och regler

Alla åtta är produktneutrala. De säger inte vilka uppgifter en tröja, ett batteri eller en soffa ska ha i sitt pass. Det bestäms i de delegerade akterna per produktgrupp, som enligt ESPR artikel 9.2 bland annat anger vilken data som ska med, vilken databärare som ska användas, om passet gäller modell, parti eller artikel och hur länge passet ska finnas kvar.

Standarderna som ligger under

De europeiska standarderna bygger på äldre identifierings- och kodstandarder, och lagtexten nämner några av dem direkt.

• ISO/IEC 15459 handlar om unik identifiering och om registrering av utfärdande organ. ESPR bilaga III säger att databäraren och identifierarna ska följa ISO/IEC 15459-1 till -6 där det är relevant, och ESPR artikel 10.1 c låter dessa standarder gälla tills harmoniserade standarder publicerats i EUT. Batteriförordningen artikel 77.3 kräver detsamma för batteripassets QR-kod och identifierare.
• GS1 Digital Link gör ett GTIN, med variant, parti och serienummer, till en webbadress. EN 18219 hänvisar till GS1 Digital Link för den som använder GS1:s applikationsidentifierare.
• IEC 61406 Identification Link beskriver en identifierare som både är en unik identitet och en länk, utan att någon utfärdare behövs.
• QR-koden specificeras i ISO/IEC 18004. EN 18220 kräver 2024 års utgåva; batteriförordningens skäl hänvisar till 2015 års. Mer om koder och taggar finns i artikeln om EN 18220.

Batterier har egna regler

Batteripasset kommer från batteriförordningen (EU) 2023/1542, inte från ESPR. Enligt artikel 77.1 ska varje LMT-batteri, varje industribatteri över 2 kWh och varje elfordonsbatteri som släpps ut på marknaden från den 18 februari 2027 ha ett batteripass. Bärbara batterier och SLI-batterier omfattas inte av passkravet. Passet ska nås via den QR-kod som artikel 13.6 kräver, och koden och identifieraren ska enligt artikel 77.3 följa ISO/IEC 15459-1 till -6 eller motsvarande.

Artikel 78 a kräver att batteripasset är fullt interoperabelt med de produktpass som ESPR kräver. Standardiseringsbegäran M/604 omfattar också batterier. Hänvisningen till ISO/IEC 15459 i artikel 77.3 gäller tills förordningen ändras.

Vanliga missförstånd

"Standarderna är obligatoriska"

Nej. Kraven i ESPR artiklarna 10 och 11 är obligatoriska när en delegerad akt gör passet obligatoriskt för en produktgrupp. Standarderna är ett frivilligt sätt att visa att kraven är uppfyllda, med presumtion om överensstämmelse för de sex som är citerade.

"Man måste använda GS1"

Nej. EN 18219 beskriver enligt sin egen omfattning identifieringsscheman som använder utfärdande organ, självutfärdande system eller en kombination. GS1 Digital Link är ett av flera godtagbara sätt, inte det enda.

"Standarderna säger vilken data passet ska innehålla"

Nej. De beskriver systemet runt datan. Innehållet per produktgrupp kommer från de delegerade akterna, och för batterier från batteriförordningens bilaga XIII.

"Alla åtta ger presumtion om överensstämmelse"

Nej. Bara de sex som citeras i beslut (EU) 2026/1736 gör det. EN 18239 och EN 18246 gör det inte förrän kommissionen publicerar deras referenser i EUT.

Så ser det ut i praktiken

Blippa står bakom DPP Agent, där varje pass får en adress enligt GS1 Digital Link när produkten har ett GTIN, till exempel https://lindex.dpp.dppagent.com/01/07314781685466/21/002 för en Lindex-jacka på artikelnivå. DPP Agents validator på dppagent.com/validate kontrollerar vilket pass som helst, även andras, mot krav i sju av de åtta standarderna och redovisar resultatet per standard och klausul. EN 18239 handlar om åtkomstkontroll inifrån systemet och går nästan inte att pröva utifrån, så den kontrolleras inte där.