الساعات الذكية، أجهزة تتبع اللياقة البدنية والأجهزة القابلة للارتداء

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
• Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
• Regulation (EU) 2024/2847 — CRA

من يجب أن يعيّن

المصنعون خارج الاتحاد الذين يبيعون الأجهزة القابلة للارتداء للمستهلكين في الاتحاد الأوروبي. هذه الفئة غالبًا ما تستدعي تعيينين منفصلين في وقت واحد: واحد للعتاد الذي تم طرحه في السوق، وآخر للبيانات الشخصية المعالجة من خلال التطبيق المرافق، لأن بيانات الصحة والبيانات البيومترية لمستخدمي الاتحاد الأوروبي تتم معالجتها من خلال سحابة البائع.

الحدود والإعفاءات

لا يوجد حد أدنى لأي من الالتزامات. ما يغير الصورة تمامًا هو الادعاء: جهاز تتبع الخطوات والنوم هو منتج استهلاكي، بينما الجهاز الذي يدعي اكتشاف الرجفان الأذيني، قياس ضغط الدم أو تشخيص انقطاع النفس أثناء النوم هو جهاز طبي يتطلب هيئة مُعتمدة.

ما يجب أن يظهر على الملصق

علامة CE، تفاصيل الشركة المصنعة والممثل الأوروبي، رقم الطراز ورقم السلسلة، نطاقات التردد والحد الأقصى للطاقة المرسلة في التعليمات، رمز WEEE، وعلامات البطارية. في التطبيق وإشعار الخصوصية، هوية وتفاصيل الاتصال بالممثل بموجب المادة 27.

حقول المنصات

تتطلب الأسواق وجود شخص مسؤول من الاتحاد الأوروبي، وللأجهزة اللاسلكية، إعلان المطابقة عند الطلب. تتطلب متاجر التطبيقات وجود جهة اتصال للخصوصية والتحقق من لغة ادعاءات الصحة، وترفض التطبيقات التي تعد بالتشخيص دون تسجيل الجهاز.

المستندات الواجب الاحتفاظ بها

بالنسبة للعتاد: إعلان المطابقة للاتحاد الأوروبي، الملف الفني، تقارير اختبارات الراديو والسلامة، وثائق الأمن السيبراني بموجب EN 18031، تسجيلات البطارية وWEEE. بالنسبة لجانب البيانات: سجل المعالجة بموجب المادة 30، التعيين بموجب المادة 27، أساس قانوني لمعالجة بيانات الصحة بموجب المادة 9 - في الممارسة العملية، الموافقة الصريحة - تقييم تأثير حماية البيانات، وآلية النقل للبيانات التي تغادر الاتحاد.

المعايير والاختبارات

EN 300 328 والمعايير الراديوية ذات الصلة، EN IEC 62368-1 للسلامة، EN 55032 وEN 55035 للامتثال الكهرومغناطيسي، IEC 62133 للخلايا، اختبار حساسية الجلد للمواد التي تتعرض للاتصال المطول، وحيثما يوجد ادعاء طبي، التقييم السريري بموجب MDR.

المتطلبات اللغوية

تعليمات الجهاز ومعلومات السلامة باللغة الوطنية لكل دولة عضو. يجب أن يكون إشعار الخصوصية وتدفقات الموافقة بلغة المستخدم، حيث تتطلب المادة 12 من اللائحة العامة لحماية البيانات معلومات مفهومة.

متى ينطبق

وثائق العتاد قبل طرحها في السوق؛ الممثل بموجب اللائحة العامة لحماية البيانات قبل بدء معالجة بيانات مستخدمي الاتحاد الأوروبي، مما يعني عمليًا قبل أن يصبح التطبيق قابلاً للتنزيل في الاتحاد. ينطبق تقرير ضعف CRA اعتبارًا من 11 سبتمبر 2026.

مدة حفظ المستندات

الوثائق الفنية لمدة عشر سنوات. سجلات المعالجة طوال فترة المعالجة بالإضافة إلى دليل على الفترة. يجب ألا تُحتفظ بيانات الصحة لفترة أطول من اللازم، واحتفاظ غير محدد هو في حد ذاته انتهاك.

عند عدم الامتثال

تعرضان متوازيان. من جانب المنتج: سحب، رفض الجمارك، إزالة من السوق وغرامات وطنية. من جانب البيانات: تصل إلى 20 مليون يورو أو 4% من العائدات لمعالجة غير قانونية لبيانات الصحة، وتصل إلى 10 مليون يورو أو 2% لفشل في تعيين ممثل. لقد جذبت الأجهزة القابلة للارتداء انتباه السلطات بالضبط لأن بيانات الصحة هي بيانات من فئة خاصة تتم معالجتها على نطاق واسع.

من ينفّذ

سلطات مراقبة السوق ومنظمي الراديو للجهاز، سلطات حماية البيانات للمعالجة، والسلطات المختصة للأجهزة الطبية حيثما تم تقديم ادعاء طبي.

أين يقع الحد الفاصل

الادعاء يحدد أي نظام ينطبق على نفس العتاد. 'يتتبع نشاطك' هو منتج استهلاكي. 'يكتشف عدم انتظام ضربات القلب' هو جهاز طبي، عادة من الفئة IIa، يتطلب هيئة مُعتمدة وأدلة سريرية. يكتب البائعون غالبًا ادعاءات طبية في التسويق بينما يعلنون عن منتج استهلاكي في الملف الفني، وهذه التناقضات هي بالضبط ما تبحث عنه السلطة.

أسئلة تُطرح علينا

هل نحتاج إلى شخص مسؤول عن GPSR وممثل عن GDPR؟

بالنسبة لجهاز قابل للارتداء متصل، نعم فعليًا: واحد للجهاز الذي تم طرحه في السوق وآخر للبيانات الشخصية المعالجة من خلال التطبيق. إنهما دوران قانونيان مختلفان بموجب تنظيمات مختلفة.

هل تعتبر بيانات معدل ضربات القلب بيانات صحية بموجب GDPR؟

البيانات التي تكشف عن معلومات حول حالة الصحة هي بيانات من فئة خاصة بموجب المادة 9. يتم التعامل مع قياسات معدل ضربات القلب المستمر، والنوم، والضغط بشكل روتيني بهذه الطريقة من قبل السلطات، مما يعني الموافقة الصريحة ومعيار أعلى طوال الوقت.

هل يمكننا الاعتماد على المصالح المشروعة للتحليلات؟

بالنسبة لبيانات الفئة الخاصة، لا. تتطلب المادة 9 شرطًا منفصلًا، وبالنسبة لجهاز قابل للارتداء للمستهلك، فإن ذلك هو الموافقة الصريحة، التي تُعطى بحرية وقابلة للفصل عن الشراء.