Conectividad IoT, proveedores de SIM y eSIM

• Directive (EU) 2018/1972 — European Electronic Communications Code
• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy for traffic and location data
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2024/2847 — CRA for modules

Quién debe designarlo

Proveedores fuera de la Unión que suministran conectividad a dispositivos en la UE. Proporcionar un servicio de comunicaciones electrónicas requiere notificación a la autoridad reguladora nacional de cada estado miembro donde se ofrece el servicio, lo cual es una obligación separada de la protección de datos y no puede ser cumplida por un representante.

Umbrales y exenciones

NIS2 abarca a los proveedores de redes o servicios de comunicaciones electrónicas públicas independientemente de su tamaño en varios estados miembros. Las obligaciones de notificación dependen de la implementación nacional.

Qué debe figurar en la etiqueta

No físico. Lo que debe publicarse es la identidad del proveedor, los términos del contrato requeridos por el Código de Comunicaciones, incluyendo el resumen del contrato, y la identidad del representante en el aviso de privacidad.

Campos en los marketplaces

Los compradores de IoT empresarial requieren evidencia de notificación en los países objetivo, la documentación de protección de datos y, cada vez más, el registro en NIS2. Los fabricantes de dispositivos dependen del cumplimiento del proveedor de conectividad para sus propias afirmaciones de producto.

Documentación que debes conservar

Registros del Artículo 30 que cubren datos de suscriptores, tráfico y localización, la designación del Artículo 27, documentación de transferencia, confirmaciones de notificación de cada regulador nacional, preparación para la interceptación legal donde se requiera a nivel nacional, y procedimientos de gestión de riesgos e incidentes de NIS2.

Normas y ensayos

No aplicable, pero los acuerdos de roaming permanente son examinados por reguladores en varios estados miembros y pueden ser restringidos, lo que representa un riesgo comercial para las implementaciones de IoT.

Requisitos lingüísticos

Resúmenes y términos del contrato en el idioma de los estados miembros atendidos, según lo requerido por el Código de Comunicaciones.

Desde cuándo se aplica

Notificación antes de ofrecer el servicio. El representante del RGPD antes de que comience el procesamiento. Los plazos de informes de NIS2 de 24 horas, 72 horas y un mes se aplican una vez que está en el ámbito.

Cuánto se conservan los documentos

Datos de tráfico y localización solo por los períodos permitidos, que están establecidos a nivel nacional y son objeto de controversia desde la jurisprudencia sobre retención de datos. La retención indefinida no está disponible.

Qué ocurre si no cumples

Sanciones de reguladores nacionales que incluyen la prohibición del servicio, multas del RGPD de hasta el 4% de la facturación, y sanciones de NIS2 de hasta 10 millones de euros o el 2% para entidades esenciales.

Quién lo controla

Autoridades reguladoras nacionales para comunicaciones electrónicas, autoridades de protección de datos, y autoridades competentes de NIS2 y CSIRTs.

Dónde está el límite

El roaming permanente es la trampa práctica: las SIM de un país permanentemente conectadas a redes en otro están restringidas o prohibidas en varios estados miembros, y las implementaciones se desconectan sin previo aviso. Este es un asunto de licencia y contractual que ningún nombramiento de datos aborda.

Las preguntas que nos hacen

¿Necesitamos notificar en cada país?

Donde proporcione un servicio de comunicaciones electrónicas, generalmente se requiere notificación en cada estado miembro donde se ofrece, bajo la implementación de ese estado del Código.

¿Se permite el roaming permanente?

Está restringido en varios estados miembros y depende de los acuerdos del operador anfitrión. Las implementaciones han sido terminadas con poco aviso, por lo que debe verificarse por país.