DPP : qui peut accéder à quelles données ? Le modèle d'accès à 5 niveaux

La question que tout le monde pose

C'est la première objection que nous entendons chez les industriels qui découvrent le Digital Product Passport : « Si je mets mes données dans un DPP, mes concurrents vont-ils voir ma composition, mes fournisseurs, mes coûts ? »

La réponse courte : non. Le DPP n'est pas une fiche produit publique où tout serait visible par tous. C'est une architecture à accès différencié, où chaque acteur ne voit que ce dont il a besoin pour jouer son rôle. Et depuis mars 2026, il existe une grille de référence pour penser ces accès : le modèle à cinq niveaux proposé par l'Annexe 8 du rapport JRC145830 de la Commission européenne.

Ce que dit le droit — et ce qu'il ne dit pas

L'article 9(2)(f-g) de l'ESPR permet aux actes délégués de spécifier quels acteurs accèdent à quelles catégories d'informations du DPP. Mais le règlement lui-même ne définit ni niveaux d'accès, ni modèle technique : ces arbitrages se feront groupe de produits par groupe de produits, dans chaque acte délégué, en pesant proportionnalité, protection des données et secret des affaires.

C'est là qu'intervient le rapport JRC145830 (Methodology for defining data requirements for the Digital Product Passport under the ESPR framework, mars 2026). Son Annexe 8 propose aux équipes qui rédigeront ces actes délégués un modèle d'accès de référence, fondé sur deux principes :

1. 01.Role-Based Access Control (RBAC) : les droits sont attachés à des rôles (consommateur, réparateur, recycleur, autorité…), pas à des entités individuelles.
2. 02.Need-to-Know : pour chaque rôle, l'accès est limité au minimum de données nécessaires à sa fonction. Le consommateur a besoin du score de réparabilité, pas des rapports de test qui l'ont produit.

Précision importante : ce modèle s'applique champ par champ, pas au passeport entier. Un même DPP sert plusieurs audiences, chacune avec sa clé.

Les 5 niveaux d'accès

Un exemple concret : trois lectures d'une même donnée

Le rapport illustre le modèle avec le contenu recyclé. Un fabricant de laptops déclare « coque en plastique 50 % recyclé post-consommation » :

• •Le consommateur (Tier 1) voit la déclaration : « Coque fabriquée avec 50 % de plastique recyclé ». C'est l'argument d'achat.
• •Les autorités (Tier 5) voient les preuves : registres de mass-balance de l'usine, certificats chain-of-custody (GRS) du fournisseur de matière.
• •Personne d'autre ne voit ces preuves : ce sont des secrets d'affaires qui révèlent les relations fournisseurs.

C'est tout l'intérêt du modèle : il rend le greenwashing contrôlable sans exposer la supply chain. Même logique pour un score de réparabilité — la note « B » est publique, les sous-scores et la liste des pièces vont au réparateur, le dossier de conformité complet aux autorités.

Les trois questions qu'on nous pose

« Mes concurrents verront-ils mes données ? » Non. Un concurrent n'a pas de rôle dans le cycle de vie de votre produit — il accède au Tier 1, comme n'importe quel membre du public. Les données sensibles (procédés, fournisseurs, preuves de conformité) sont réservées aux niveaux 4 et 5, sur authentification.

« Le modèle à 5 niveaux est-il obligatoire ? » Pas en tant que tel. C'est une grille de référence proposée par la JRC ; chaque acte délégué fixera ses propres catégories d'accès. Mais c'est cette grille que les équipes de rédaction utiliseront comme point de départ — et la Battery Regulation, déjà en vigueur, applique une logique équivalente à quatre niveaux.

« Qui décide qu'un réparateur est bien un réparateur ? » C'est le point dur. Le rapport évoque pour le Tier 2 un accès conditionné à un enregistrement ou une certification. La mise en œuvre technique — authentification des rôles, vérification des habilitations — relève des standards CEN/CENELEC JTC 24 et des solutions DPP.

Ce que cela implique pour votre architecture DPP

Un modèle d'accès à cinq niveaux, appliqué champ par champ, élimine d'office certaines approches : un PDF hébergé, une page web statique ou un simple QR code vers une fiche produit ne savent pas faire de la visibilité différenciée. Il faut :

• •des permissions au niveau de chaque donnée, pas du document ;
• •une authentification des rôles (qui prouve qu'un recycleur est un recycleur) ;
• •une traçabilité des accès pour le Tier 5, condition de confiance du système.

C'est précisément ce que gère notre Compliance Engine : les règles d'accès sont attachées aux champs du passeport, et évolueront avec les actes délégués de chaque catégorie.

Pour le décodage complet du rapport JRC145830 — classification des données, Core DPP et Life-cycle Log, granularité, calendrier — lisez notre analyse en 9 sections. Et pour savoir quelles données votre DPP devra contenir, notre guide est ici.

Vous préparez un DPP et la question des accès se pose ? Parlons-en.