Przeszliśmy przez weryfikację w Rejestrze DPP. Komisja nie drukuje polskich znaków

Autor: Łukasz Głuch · 26 sierpnia 2026 · DPPera

Dwudziestego pierwszego sierpnia 2026 przeszliśmy weryfikację organizacji w unijnym Rejestrze Cyfrowych Paszportów Produktów tak daleko, jak się da bez kwalifikowanej pieczęci elektronicznej. Zgłosiliśmy organizację, zamówiliśmy opieczętowaną deklarację, pobraliśmy ją, wgraliśmy celowo bez kontrasygnaty i dostaliśmy odrzucenie. Nie jesteśmy zweryfikowanym operatorem gospodarczym i ten tekst nie udaje inaczej. Jest relacją z tego, co robi każdy ekran, plus jednym błędem, który dotyka nazw prawnych w połowie Unii.

Co zrobiliśmy, a czego nie zrobiliśmy

To idzie na początek, bo relacja, która po cichu sugeruje więcej, niż zrobiono, nie jest warta nic.

• Zrobiliśmy: zgłoszenie organizacji, trzy kroki weryfikacji w interfejsie, pobranie deklaracji wystawionej i opieczętowanej przez Komisję, wysłanie pliku do walidacji i odebranie raportu odrzucenia.
• Nie zrobiliśmy: kontrasygnaty deklaracji kwalifikowanym certyfikatem. Nie mamy go jeszcze. Nie zobaczyliśmy więc udanej weryfikacji i nie powiemy Ci, co zawiera raport sukcesu, poza tym, co pisze podręcznik.
• Środowisko: Acceptance, wersja 1.0.11, ta sama, którą opisaliśmy, kiedy przeszliśmy przez rejestr 17 sierpnia. Nic z tego nie jest rejestracją produkcyjną.

Formularz organizacji już działa. Rejestracja paszportu nadal nie

Wcześniejsze podejścia kończyły się zdawkowym komunikatem: System Error. The system is unable to process your request at this time. Zgłosiliśmy to na helpdesk DPP i zgłoszenie wisiało kilka dni. Dwudziestego pierwszego sierpnia cała ścieżka dała się przejść od początku do końca.

Nie zmieniło się to, co ma znaczenie handlowe. Zakładka DPP Registration jest nadal wyszarzona. Zgadza się to z podręcznikiem Komisji i z tym, co opublikowaliśmy tydzień temu: katalog semantyczny dla baterii nie został zdefiniowany, więc żadnego paszportu nie zarejestruje dziś nikt. Rejestr przyjmuje organizacje. Paszportów nadal nie przyjmuje.

Cztery typy identyfikatora dla firmy, sześć dla osoby

Listę znaliśmy z podręcznika. Teraz zobaczyliśmy rozwijane menu: NTR dla krajowego rejestru handlowego, LEI, VAT oraz Local definition jako furtka na schematy krajowe.

Dwie rzeczy warto nazwać. Nie ma GLN ani EORI, czyli na poziomie identyfikacji firmy rejestr nie zna GS1 w ogóle, co jest kolejnym powodem, żeby twierdzenie o obowiązkowym GS1 traktować jako zdanie ze sprzedaży, a nie z przepisu. I druga: Komisja stosuje własną regułę do siebie, bo w certyfikacie, którym pieczętuje deklarację, identyfikuje się numerem LEI.

Przełącz rekord na osobę fizyczną, a lista zmienia się całkowicie. Tam dostajesz TIN dla numeru podatkowego, PNO dla numeru osobowego lub ewidencyjnego, eID, IDC dla numeru dowodu osobistego, PAS dla numeru paszportu i znowu Local definition. Sześć pozycji zamiast czterech i ani jedna nie pokrywa się z listą dla firmy.

Większość tych kodów wyda się znajoma każdemu, kto otwierał profil certyfikatu eIDAS, bo to są kody identyfikatorów, które niosą same certyfikaty kwalifikowane, zgodnie z normą ETSI EN 319 412-1. To nie jest ozdobnik i to odpowiada na pytanie, który wybrać. Wybierz ten identyfikator, który faktycznie znajdzie się w Twoim certyfikacie kwalifikowanym, bo to jego wartość rejestr porówna z Twoim rekordem, a rozjazd w tym miejscu jest jednym z wymienionych powodów odrzucenia. Zapytaj dostawcę usług zaufania, co trafia do certyfikatu, zanim go kupisz, a nie po.

Jedna pułapka dla czytelnika w Polsce, bo obie pozycje leżą na tej samej liście obok siebie. Numerem podatkowym osoby prowadzącej działalność jest NIP. Numerem osobowym jest PESEL. To są dwa różne numery pod dwoma różnymi kodami, TIN i PNO, i tylko jeden z nich zgodzi się z Twoim certyfikatem.

Deklaracja mówi dużo mniej, niż wszyscy się boją

Każdy, z kim o tym rozmawiamy, wyobraża sobie coś zbliżonego do aktu notarialnego. Treść merytoryczna dokumentu to dwa zdania. Oświadczasz, że wymienione dane są poprawne w dniu podpisu, i że organizacja będzie w rejestrze robić wyłącznie to, do czego jest prawnie uprawniona. Tyle. Ani słowa o zgodności produktów, ani słowa o odpowiedzialności za treść paszportu.

Przypis jest przydatniejszy niż główny tekst. Definiuje operatora gospodarczego przez odesłanie do artykułu 2 punkt 46 rozporządzenia (UE) 2024/1781: producent, upoważniony przedstawiciel, importer, dystrybutor, sprzedawca i dostawca usług realizacji zamówień. Jeśli sprzedajesz do Unii w którejkolwiek z tych ról, ten dokument prędzej czy później jest Twój do podpisania.

Plik przychodzi już opieczętowany i to wielu ludzi zmyli

Otwierasz pobrany PDF w Adobe Acrobat i na górze pojawia się niebieski pasek: podpisano, wszystkie podpisy są poprawne. Łatwo to przeczytać jako robotę wykonaną. To nie jest Twój podpis. To pieczęć, którą Komisja nakłada przy generowaniu pliku, i dlatego ten krok nazywa się Request Sealed PDF Declaration.

Możesz to sprawdzić sam, bez żadnego płatnego narzędzia. Wyciągnij blok podpisu z PDF i przeczytaj certyfikat:

openssl pkcs7 -inform DER -in signature.der -print_certs -noout

W polu podmiotu wraca Komisja Europejska, Dyrekcja Generalna do spraw Rynku Wewnętrznego, Przemysłu, Przedsiębiorczości i MŚP, z adresem helpdesku DPP i identyfikatorem organizacji w formacie LEI. Wystawcą jest kwalifikowany urząd certyfikacji z Portugalii. Format podpisu to CAdES detached, czyli rodzina PAdES, której rejestr wymaga. Jeden podpis i żaden z niego nie jest Twój.

Pułapka jest więc realna: użytkownik widzi poprawny podpis, wgrywa plik bez zmian i dowiaduje się, że jego certyfikat jest niezaufany albo odwołany. O tym niżej.

Kolejność ma znaczenie, bo zamówienie deklaracji blokuje dane

Przed wygenerowaniem pliku system ostrzega, że dalszy krok zablokuje dane wniosku do edycji. Znaczy to, że kolejność, którą przyjęłaby większość ludzi, jest odwrotna. Nie wypełnia się formularza z grubsza, żeby dopieścić go później. Najpierw doprowadzasz rekord organizacji do stanu zgodnego z wpisem w rejestrze przedsiębiorców, pole po polu, i dopiero wtedy zamawiasz deklarację.

Nasz własny rekord poszedł z niechlujnym adresem, dwiema liniami ulicy i miejscowością wpisaną w pole regionu, i tak się zablokował. Jest ścieżka Restart, więc nic nie jest nieodwracalne, ale na produkcji będzie to kosztować ludzi dzień pracy.

Raport odrzucenia to lista kontrolna, a nie diagnoza

Wgraliśmy deklarację bez kontrasygnaty celowo, żeby zobaczyć, co powie walidator. Odrzucił plik, słusznie. Po czym wypisał siedem zarzutów, z których prawdziwy był dokładnie jeden.

Ten prawdziwy: dokument nie zawiera wymaganej liczby podpisów, bo oczekiwane są dokładnie dwa, pieczęć instytucjonalna Komisji i kontrasygnata organizacji. Mieliśmy jeden z dwóch.

Pozostałe sześć opisywało pieczęć, której nie było. Raport stwierdzał, że certyfikat użyty do podpisu organizacji jest niezaufany, został odwołany albo nie dało się go zweryfikować. Stwierdzał, że pieczęć nie spełnia poziomu kwalifikowanej pieczęci elektronicznej. Stwierdzał, że podpis nie jest zgodny z PAdES Baseline B, T, LT ani LTA. W pliku nie było żadnego certyfikatu organizacji, więc żadne z tych zdań niczego nie opisywało.

To nie jest drobna uwaga o wygodzie. Firma, która wgra zły plik, dowie się, że ma odwołany certyfikat, i pójdzie dzwonić do dostawcy usług zaufania w sprawie problemu, którego nie ma. Sami daliśmy się na to nabrać na kilka minut. Kiedy dostawca mówi Ci, że zajmie się weryfikacją za Ciebie, to właśnie ten raport musi umieć przeczytać w Twoim imieniu.

Komisja nie potrafi wydrukować polskich znaków

To jest znalezisko o najdłuższym zasięgu i nie jest kosmetyczne.

Nazwa prawna, którą wpisaliśmy, wyszła w wygenerowanym PDF z krzyżykami w miejscu liter. Tam, gdzie w nazwie stoi ł, dokument drukuje krzyżyk. Ełk drukuje się jako E#k. W tym samym dokumencie polskie ó renderuje się poprawnie.

Ten wzór wskazuje jedną przyczynę. Czcionka użyta przez generator PDF obsługuje Latin-1, ale nie obsługuje Latin Extended-A. Litera ó siedzi w Latin-1 i przechodzi. Nie przechodzą znaki z Latin Extended-A, czyli po polsku ą, ć, ę, ł, ń, ś, ź, ż, a poza polskim litery używane w nazwach prawnych czeskich, słowackich, węgierskich, rumuńskich, chorwackich, litewskich i łotewskich.

Interfejs zapisuje i wyświetla nazwę poprawnie, więc wada jest zamknięta w generowaniu PDF. Czyli dokładnie w najgorszym możliwym miejscu, bo to ten PDF podpisuje przedstawiciel prawny kwalifikowanym certyfikatem, pod zdaniem oświadczającym, że zawarte w nim informacje są poprawne. W obecnym stanie operator z dużej części Unii ma poświadczyć nazwę prawną, która nie jest jego nazwą prawną i nie zgadza się z jego własnym certyfikatem.

Zgłosiliśmy to na helpdesk DPP 21 sierpnia 2026, z plikiem i analizą, i zadaliśmy dwa pytania: czy poprawka jest planowana przed otwarciem produkcji dla operatorów gospodarczych, oraz czy różnica między nazwą w dokumencie a nazwą w certyfikacie podpisującym wpływa na kontrolę zgodności danych organizacji. Odpowiedź opublikujemy, kiedy przyjdzie.

Czego nie sprawdziliśmy i nie będziemy udawać, że sprawdziliśmy

• Czy weryfikacja rzeczywiście przechodzi. Bez kwalifikowanego certyfikatu nie wysłaliśmy poprawnego pliku. Wszystko o ścieżce sukcesu pochodzi nadal z podręcznika, a nie od nas.
• Czy ścieżka osoby fizycznej jest lżejsza. Deklaracja, którą dostaliśmy, jest zatytułowana dla osób prawnych, a komunikat błędu mówi, że osoby prawne muszą użyć kwalifikowanej pieczęci. Podręcznik opisuje osobny profil certyfikatu dla osoby fizycznej, oparty na imieniu, nazwisku i numerze seryjnym, co sugeruje, że tam wystarczy kwalifikowany podpis osobisty. Nie przeszliśmy tej ścieżki i nie podamy tego jako faktu.
• Czy da się zmienić typ organizacji po zamówieniu deklaracji. Próbowaliśmy przełączyć rekord z osoby prawnej na osobę fizyczną. Zapis kończy się tym samym ogólnym komunikatem o błędzie systemu, a konsola przeglądarki pokazuje, że wywołanie do punktu restartu weryfikacji nigdy się nie kończy. Blokada nałożona na Twoje dane jest więc trudniejsza do cofnięcia, niż sugeruje przycisk Restart.

Ostatni punkt wymaga dopisku, bo tłumaczy też coś, czego początkowo nie umieliśmy wytłumaczyć. Panel aktywności pokazuje brak zgłoszeń, mimo że nasza weryfikacja została odrzucona przez Komisję z odnotowanym znacznikiem czasu tego samego dnia. Konsola podaje powód. Interfejs jest serwowany z jednego adresu, a o listę zadań pyta pod innym, i odpowiedź nie niesie nagłówka zezwalającego na takie wywołanie, więc przeglądarka ją odrzuca. Panel nie jest pusty. Panel jest zablokowany. Przeglądarka raportuje to jako błąd cross origin niezależnie od tego, co naprawdę zwrócił serwer, więc przyczyna może leżeć głębiej, ale tak czy inaczej użytkownik nie ma tu nic do zrobienia.

Co z tego wziąć, jeśli będziesz to musiał przejść

• Popraw dane organizacji, zanim cokolwiek zamówisz. Nazwa i adres dokładnie jak w rejestrze przedsiębiorców, bo zamówienie deklaracji blokuje rekord, a atrybuty certyfikatu są z nim porównywane.
• Kontrasygnuj jako przyrostową aktualizację, nigdy jako ponowny eksport. Dodanie podpisu to jedyna dozwolona zmiana w pobranym pliku. Każde narzędzie, które przepisuje PDF, łącznie z drukowaniem do PDF i kompresją, niszczy pieczęć Komisji i plik wraca odrzucony.
• Czytaj raport odrzucenia jak menu, nie jak wyrok. Znajdź to jedno zdanie, które opisuje coś realnie istniejącego w Twoim pliku, zanim zaczniesz działać na podstawie pozostałych.
• Jeśli Twoja nazwa prawna ma polskie znaki, sprawdź PDF przed podpisem. Dopóki czcionka nie jest poprawiona, zobacz, jak dokument nazywa Twoją firmę, i zachowaj kopię. Podpisujesz tę stronę.

FAQ