GPSR

GPSR — Regolamento sulla sicurezza generale dei prodotti (UE 2023/988)

Il Regolamento sulla sicurezza generale dei prodotti (GPSR, Regolamento UE 2023/988) è la legge orizzontale fondamentale dell’UE in materia di sicurezza dei prodotti. Sostituisce la Direttiva sulla sicurezza generale dei prodotti del 2001 (GPSD, 2001/95/CE) con un quadro notevolmente modernizzato e rafforzato — concepito esplicitamente per affrontare le realtà delle vendite online, dei prodotti digitali e dei dispositivi connessi che la direttiva originaria non riusciva a coprire adeguatamente.

Il GPSR è entrato in applicazione il 13 dicembre 2024 e funge ora da rete di sicurezza di base per i prodotti di consumo venduti nell’UE. Laddove si applica una legislazione settoriale (come il Regolamento Macchine o la Direttiva sulle apparecchiature radio), il GPSR copre soltanto gli aspetti e i rischi che tale legislazione non disciplina (articolo 2(1)).

Fatti chiave

Cosa è cambiato dalla GPSD al GPSR?

Il passaggio da una Direttiva a un Regolamento è di per sé significativo — significa che il GPSR si applica in modo uniforme in tutti i 27 Stati membri dell’UE senza variazioni nazionali. Oltre a ciò, le modifiche sostanziali sono rilevanti:

Chi deve conformarsi?

Il GPSR introduce obblighi lungo l’intera catena di approvvigionamento, estendendoli oltre i fabbricanti. Gli obblighi degli operatori di cui agli articoli 9–18 non si applicano ai prodotti soggetti alla normativa di armonizzazione dell’Unione, che ne stabilisce di propri (articolo 2(1)):

Fabbricanti

• Garantire che i prodotti siano sicuri prima di immetterli sul mercato dell’UE.
• Predisporre e mantenere la documentazione tecnica che dimostra la sicurezza.
• Apporre le marcature necessarie e fornire informazioni di sicurezza chiare.
• Mettere a disposizione canali per i reclami dei consumatori, indagare su reclami e incidenti e tenerne un registro interno (art. 9(11)–(12)).
• Informare immediatamente i consumatori e — tramite il Safety Business Gateway — le autorità in merito ai prodotti pericolosi (art. 9(8)) e notificare gli incidenti senza indebito ritardo (art. 20).
• Adottare azioni correttive, inclusi i richiami di prodotto, quando viene individuato un rischio per la sicurezza.

Importatori

• Verificare che il fabbricante abbia adempiuto ai propri obblighi prima dell’importazione.
• Garantire che i prodotti rechino le marcature e la documentazione richieste.
• Informare i fabbricanti dei problemi di sicurezza; ritirare i prodotti se necessario.
• Tenere una copia della documentazione tecnica a disposizione delle autorità per 10 anni (art. 11(6)).

Distributori (inclusi i rivenditori online)

• Verificare gli indicatori di conformità di base prima di immettere i prodotti sul mercato.
• Cooperare con le autorità e gli operatori economici nelle azioni di richiamo.
• Conservare la documentazione che consente la tracciabilità.

Gestori di marketplace online (nuovi con il GPSR)

• Registrarsi sul portale EU Safety Gate.
• Designare un punto di contatto unico per le autorità di vigilanza del mercato e uno per i consumatori (art. 22(1)–(2)).
• Rimuovere gli annunci di prodotti pericolosi notificati dalle autorità.
• Rimuovere gli annunci identici relativi allo stesso prodotto pericoloso quando l’ordine dell’autorità lo impone (art. 22(5)).
• Cooperare con le autorità di vigilanza del mercato.

Fornitori di servizi di logistica (nuovi con il GPSR)

• Cooperare con i richiami e le azioni di sicurezza per i prodotti che transitano nelle loro strutture.
• Segnalare i prodotti pericolosi di cui vengono a conoscenza.

Il “requisito generale di sicurezza” — Cosa significa “sicuro”?

Il nucleo del GPSR è un requisito generale di sicurezza: qualsiasi prodotto di consumo immesso sul mercato dell’UE deve essere sicuro. Un prodotto è considerato sicuro se non presenta alcun rischio, oppure solo i rischi minimi compatibili con l’uso del prodotto — tenendo conto degli utenti previsti, comprese le categorie vulnerabili (bambini, anziani, persone con disabilità).

Per determinare la sicurezza, il GPSR riconosce una gerarchia di fonti di evidenza:

1. norme armonizzate UE — I prodotti conformi alle norme armonizzate applicabili si presumono sicuri.
2. Norme europee o internazionali — Altre norme riconosciute forniscono evidenza di supporto.
3. Decisioni o orientamenti della Commissione — Orientamenti tecnici pubblicati dalla Commissione.
4. Codici di buona pratica del settore — I codici volontari possono essere presi in considerazione.
5. Stato dell’arte — Livello generale della tecnologia di sicurezza nel settore.

Per i fabbricanti di elettronica e IoT: se il vostro prodotto è coperto da una direttiva settoriale (ad es. RED, LVD, Regolamento Macchine), il GPSR si applica come base di sicurezza per qualsiasi rischio non coperto da tale legislazione settoriale. Il GPSR e le regole settoriali coesistono — il GPSR colma le lacune.

Prodotti digitali e aggiornamenti software

Il GPSR affronta esplicitamente le sfide poste dai prodotti con caratteristiche digitali:

• Gli aggiornamenti software che incidono sulla sicurezza rientrano nel GPSR. Se un aggiornamento software modifica le caratteristiche di sicurezza di un prodotto fisico, l’aggiornamento non deve ridurre il livello di sicurezza del prodotto.
• I prodotti connessi devono rimanere sicuri per tutto il loro uso ragionevolmente prevedibile, incluso l’uso improprio prevedibile.
• Gli aggiornamenti OTA (Over-the-Air) che introducono nuovi rischi per la sicurezza devono essere trattati come modifiche con potenziali obblighi di rivalutazione.

Ciò è particolarmente rilevante per i fabbricanti di hardware embedded: un aggiornamento firmware che disabiliti involontariamente una funzione protettiva (ad es. la protezione da sovratensione, lo spegnimento termico) potrebbe attivare obblighi ai sensi del GPSR.

Requisiti di tracciabilità

Il GPSR introduce obblighi di tracciabilità obbligatori:

• I prodotti devono recare un tipo, numero di lotto, numero seriale o altro identificativo che ne consenta l’identificazione.
• I prodotti devono riportare il nome del fabbricante, la denominazione commerciale registrata, l’indirizzo postale e i dati di contatto — sul prodotto stesso o sul suo imballaggio.
• Per determinate categorie di prodotto può essere richiesto un supporto dati sul prodotto nell’ambito di un sistema di tracciabilità stabilito mediante atto delegato (art. 18); negli altri casi i codici QR possono essere utilizzati su base volontaria per fornire le informazioni in formato digitale (art. 21).

Per i fabbricanti di hardware che producono dispositivi IoT in volume, ciò significa che il processo di produzione ed etichettatura deve essere in grado di applicare identificativi univoci per unità o per lotto — un requisito di ingegneria di produzione, non un semplice adempimento documentale.

Obblighi di sorveglianza post-commercializzazione

Il GPSR pone a carico dei fabbricanti obblighi continuativi dopo l’immissione di un prodotto sul mercato — non un mero esercizio di conformità precommercializzazione una tantum. Il regolamento stesso non utilizza l’espressione “sorveglianza post-commercializzazione”:

• I fabbricanti devono mettere a disposizione canali attraverso i quali i consumatori possano presentare reclami e segnalare incidenti o problemi di sicurezza (art. 9(11)).
• I reclami e le informazioni sugli incidenti devono essere oggetto di indagine e conservati in un registro interno, insieme ai richiami e alle misure correttive (art. 9(12)).
• I prodotti pericolosi devono essere segnalati immediatamente alle autorità nazionali tramite il Safety Business Gateway (art. 9(8)).
• Le autorità si scambiano quindi le informazioni tramite il sistema di allarme rapido EU Safety Gate (successore di RAPEX) (art. 26).

Il Safety Gate si compone di tre elementi: il sistema di allarme rapido utilizzato dalle autorità, il portale pubblico Safety Gate e il Safety Business Gateway, attraverso il quale gli operatori economici informano le autorità e i consumatori (art. 25, 27, 34). Soltanto i fornitori di mercati online devono registrarsi sul portale Safety Gate (art. 22(1)).

GPSR e marcatura CE

Il GPSR non richiede di per sé la marcatura CE — la marcatura CE è richiesta da specifiche direttive e regolamenti tecnici (RED, LVD, Macchine, MDR, ecc.). Tuttavia:

• I prodotti soggetti alla legislazione settoriale sulla marcatura CE sono generalmente esclusi dall’ambito del GPSR per gli aspetti coperti da tale legislazione.
• Il GPSR si applica ai prodotti di consumo che non hanno alcuna regolamentazione settoriale che richieda un marchio CE.
• Un prodotto con marcatura CE ha comunque obblighi ai sensi del GPSR per qualsiasi aspetto di sicurezza non coperto dalla sua legislazione sulla marcatura CE.

GPSR e altri regolamenti UE

Azioni correttive e richiami

Il GPSR stabilisce obblighi più chiari per i richiami di prodotto:

• Gli operatori economici devono disporre di processi interni per la sicurezza dei prodotti (art. 14); un piano di richiamo documentato è una buona pratica, non un requisito espressamente previsto dal GPSR.
• I richiami devono essere comunicati direttamente ai consumatori interessati ove siano disponibili le informazioni di contatto.
• Le autorità devono essere informate dei prodotti pericolosi tramite il Safety Business Gateway (art. 9(8)); le autorità nazionali notificano poi, tramite il Safety Gate, le misure relative ai rischi gravi (art. 26).
• Le azioni correttive devono essere gratuite per i consumatori.
• Il rifiuto del richiamo da parte di una piccola percentuale di consumatori non esonera il fabbricante dai propri obblighi.

Dalla nostra esperienza

Lavorando alle valutazioni di prontezza al GPSR con i fabbricanti di hardware nel 2024–2025, queste sono le lacune che individuiamo con costanza:

Il problema dell’aggiornamento firmware della protezione termica. Abbiamo lavorato con un fabbricante di elettronica di consumo che aveva rilasciato un aggiornamento firmware per la gestione dell’alimentazione che spostava la soglia di spegnimento termico di 2°C — collocandola appena al di fuori dei parametri operativi collaudati e certificati del dispositivo. Ai sensi del GPSR, un aggiornamento software che alteri negativamente le caratteristiche di sicurezza di un prodotto può attivare un obbligo di rivalutazione. Il fabbricante non era consapevole che il proprio processo standard di rilascio OTA non prevedesse alcun controllo sull’impatto sulla sicurezza. Ora raccomandiamo che ogni rilascio firmware per i prodotti con marcatura CE includa un’esplicita fase di revisione del delta di sicurezza prima della distribuzione — ponendosi la domanda: “Questo aggiornamento modifica un parametro che faceva parte della valutazione della sicurezza?”

Fabbricanti extra-UE che scoprono in ritardo il requisito della Persona responsabile (UE). Un pattern ricorrente nel nostro lavoro: fabbricanti di hardware asiatici e statunitensi che vendono da anni su Amazon EU sotto il regime della GPSD scoprono alla fine del 2024 che il GPSR richiede una persona responsabile stabilita nell’UE (articolo 16) e che le offerte online devono indicarla (articolo 19). Un importatore UE ricopre questo ruolo per legge; per le vendite dirette senza importatore si tratta di un rappresentante autorizzato munito di mandato o di un fornitore di servizi di logistica. La persona responsabile deve essere in grado di mettere a disposizione la documentazione sulla sicurezza del prodotto ed è il contatto per le autorità di vigilanza del mercato. Le aziende che non disponevano di tale assetto hanno subìto pressioni di delisting da Amazon EU a dicembre 2024. La lezione: la prontezza al mercato GPSR include sia la documentazione sia una struttura formale di rappresentanza.

La sorveglianza post-commercializzazione come processo reale, non come adempimento formale. Gli obblighi del GPSR in materia di gestione dei reclami e di registro (art. 9(11)–(12)) sono giuridicamente vincolanti, ma la maggior parte dei fabbricanti che valutiamo non ha alcun processo sistematico — solo risposte ad hoc ai resi. Una sorveglianza post-commercializzazione minima e funzionale ai sensi del GPSR richiede: un sistema di tracciamento dei reclami dei clienti che segnali le questioni rilevanti per la sicurezza, una cadenza di revisione (ad es. trimestrale), un percorso di escalation definito verso la Persona responsabile (UE) o l’Organismo notificato e l’evidenza documentata della revisione. Predisporre tutto ciò richiede all’incirca 2–3 settimane di progettazione del processo, ma non può essere creato retroattivamente se un’autorità richiede la documentazione.

Il malinteso “è marcato CE, quindi il GPSR non si applica a noi”. La marcatura CE ai sensi di RED, LVD o della Direttiva sulla sicurezza dei giocattoli non esclude un prodotto dal GPSR. La marcatura CE copre i requisiti essenziali specifici di tali direttive. Il GPSR si applica agli aspetti di sicurezza non affrontati dalla legislazione settoriale — ad esempio, la robustezza meccanica fisica di un involucro non collaudata ai sensi della RED, o la stabilità di un dispositivo per la casa intelligente che potrebbe ribaltarsi. Vediamo ripetutamente fabbricanti presumere che CE = esenzione dal GPSR, quando in pratica il GPSR è un obbligo aggiuntivo e parallelo.

Termini correlati

• marcatura CE — Richiesta dalle direttive settoriali, non dal GPSR stesso; il GPSR è complementare.
• Documentazione tecnica — Il GPSR richiede una documentazione tecnica che dimostri la sicurezza del prodotto.
• Sorveglianza post-commercializzazione — Monitoraggio successivo all’immissione sul mercato; il GPSR richiede la gestione dei reclami e un registro interno (art. 9(11)–(12)).
• Persona responsabile (UE) — Operatore economico stabilito nell’UE, richiesto per i prodotti contemplati dall’articolo 16 del GPSR.
• Safety Gate / RAPEX — Il sistema di allarme rapido dell’UE attraverso il quale le autorità si scambiano le allerte sui prodotti pericolosi.
• CRA — Regolamento sulla cibersicurezza che integra il GPSR per i prodotti con elementi digitali.

Fonti ufficiali

• GPSR — Regolamento (UE) 2023/988 — testo completo EUR-Lex
• Portale EU Safety Gate — Commissione europea
• Orientamenti di attuazione del GPSR — Commissione europea (DG JUST)
• Il GPSR sostituisce la GPSD — EUR-Lex (abrogazione della Direttiva 2001/95/CE)

Il GPSR riguarda qualsiasi fabbricante di hardware che vende prodotti di consumo nell’UE — anche le aziende già provviste di marcatura CE ai sensi di RED o LVD. La nostra consulenza per la conformità UE copre gli obblighi del GPSR insieme ai regolamenti sulla cibersicurezza, in modo che il lancio del vostro prodotto sia tutelato su tutti i fronti: dalla preparazione della documentazione tecnica e dalla documentazione di sicurezza fino ai processi di sorveglianza post-commercializzazione e alle notifiche tramite il Safety Business Gateway.