Dois-je rendre publiques les données sensibles de mon entreprise concernant mes produits ?

Tout ne doit pas être public dans le passeport

Non, toutes les données relatives à un produit ne doivent pas être visibles par tous. Le ESPR (Règlement (UE) 2024/1781) part du principe d'un passeport produit comportant différents niveaux d'accès : certaines informations sont consultables par tous via le code QR, d'autres ne sont disponibles que pour des parties spécifiques comme les autorités de surveillance, les opérateurs du marché en aval de la chaîne ou les réparateurs. Cette structure existe précisément pour laisser de la place aux situations où un fabricant ou un importateur dispose de données sensibles du point de vue concurrentiel ou couvertes par la propriété intellectuelle. Le règlement impose la transparence sur le produit, non la divulgation de chaque secret commercial sous-jacent.

Pour qui cela s'applique, et pour quoi non

Cette distinction joue surtout pour les fabricants et importateurs qui fournissent des données allant au-delà de ce dont un consommateur a besoin pour comprendre un produit : formulation, détails de composition, informations sur les fournisseurs ou procédés de production. Pour ce type de données, la structure du passeport offre la possibilité de les conserver en dehors de la partie accessible au public. Il ne s'agit pas ici d'une permission de retenir les informations essentielles : les données que le règlement et les règles d'exécution spécifiques aux produits désignent comme obligatoires et publiques — telles que les données sur la durabilité, la réparation ou le recyclage dont le consommateur a besoin — n'en relèvent pas. La distinction ne réside donc pas dans « veux-je partager cela » mais dans « pour quel groupe cible cette donnée est-elle destinée et quel rôle joue-t-elle dans la chaîne ». Les acteurs de la chaîne d'approvisionnement peuvent en outre être tenus de fournir certaines informations à d'autres opérateurs du marché ou aux autorités de surveillance, même si ces informations ne sont pas visibles au grand public.

Ce qui est déjà établi et ce qui reste à déterminer

Une date fixe à laquelle cela s'applique à un groupe de produits spécifique n'est pas au cœur de la question — cela est réglé séparément par groupe de produits via des actes délégués. Ce qui est établi, c'est le principe du ESPR lui-même : le passeport est structuré de manière à ce que l'accès puisse être différencié, en accordant une attention particulière à la protection des informations commerciales confidentielles. L'application concrète — quelle donnée devient publique et quelle donnée reste d'accès limité — est établie par groupe de produits dans les règles d'exécution qui doivent encore paraître ou qui ont déjà été publiées. Tant que ces règles n'existent pas pour un groupe de produits spécifique, il n'existe pas d'obligation de passeport et donc aucun choix concret à faire quant à ce qui devient public.

Comment s'y prendre en pratique

Il est judicieux de commencer par faire la distinction entre deux types de données : les données que les règles spécifiques aux produits désigneront comme obligatoires et publiques, et les données que tu fournis uniquement parce qu'elles sont pertinentes pour la surveillance, la réparation ou le reste de la chaîne. Pour la première catégorie, il y a peu de choix — ces informations figureront dans la partie accessible au public du passeport, indépendamment du fait que ces informations soient commercialement sensibles. Pour la deuxième catégorie, il est utile d'examiner les niveaux d'accès que les règles d'exécution permettent pour le groupe de produits concerné, et d'adapter la fourniture de données en fonction : ce qui va à la partie visibile au public et ce qui peut rester limité à, par exemple, les autorités de surveillance ou les parties professionnelles de la chaîne. En cas de doute sur une donnée spécifique, il est recommandé de consulter l'acte d'exécution de son propre groupe de produits, car il indique quels champs sont obligatoirement publics et lesquels ne le sont pas. Quiconque fournit des données pour un passeport et constate qu'une partie est destinée à être confidentielle ferait bien de le marquer explicitement lors de la compilation du passeport, afin que cette distinction ne soit pas accidentellement perdue lors de l'hébergement et de l'affichage des données.

Sur quoi cela s'appuie : articles 10 et 38 du ESPR

L'article 10 du RPPP (Règlement (UE) 2024/1781) décrit les exigences auxquelles la fiche produit numérique doit satisfaire, notamment en prévoyant un accès différencié aux données pour différents groupes d'utilisateurs — une structure nécessaire pour permettre à la fois la transparence et la protection des informations commerciales confidentielles. L'article 38 régit les exigences applicables aux acteurs de la chaîne d'approvisionnement, y compris la manière dont les informations sont partagées entre les acteurs du marché et les autorités de surveillance, sans que cela constitue une divulgation au grand public. Les deux articles laissent la mise en œuvre concrète par groupe de produits à la réglementation ultérieure spécifique à chaque groupe de produits.

Que faire avec ces informations

Quiconque prépare actuellement une fiche peut très bien enregistrer pour chaque donnée si elle est destinée au public, à la chaîne ou à la surveillance — et communiquer cette classification lors de la transmission des données. Dès que les règles d'exécution pour le groupe de produits concerné seront connues, il sera possible de vérifier si cette classification correspond à ce qui y est marqué comme obligatoirement public. Pour les cas où subsiste un doute quant au statut d'une donnée spécifique, le texte officiel de l'acte d'exécution pertinent est l'endroit approprié pour le vérifier.