Relojes inteligentes, rastreadores de fitness y dispositivos portátiles

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
• Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
• Regulation (EU) 2024/2847 — CRA

Quién debe designarlo

Fabricantes fuera de la Unión que venden dispositivos portátiles a consumidores de la UE. Esta categoría casi siempre desencadena dos nombramientos separados a la vez: uno para el hardware puesto en el mercado, y otro para los datos personales procesados a través de la aplicación complementaria, porque los datos de salud y biométricos de los usuarios de la UE son procesados por la nube del vendedor.

Umbrales y exenciones

No hay umbral para ninguna de las obligaciones. Lo que cambia completamente la situación es la reclamación: un rastreador de pasos y sueño es un producto de consumo, mientras que un dispositivo que afirma detectar fibrilación auricular, medir la presión arterial o diagnosticar apnea del sueño es un dispositivo médico que requiere un organismo notificado.

Qué debe figurar en la etiqueta

Marcado CE, detalles del fabricante y del representante de la UE, modelo y número de serie, bandas de frecuencia y potencia máxima transmitida en las instrucciones, el símbolo de RAEE, y marcas de batería. En la aplicación y el aviso de privacidad, la identidad y los datos de contacto del representante del artículo 27.

Campos en los marketplaces

Los mercados requieren la persona responsable de la UE y, para dispositivos inalámbricos, la declaración de conformidad bajo desafío. Las tiendas de aplicaciones requieren un contacto de privacidad y verifican el lenguaje de las reclamaciones de salud, y rechazan aplicaciones cuyas descripciones prometen diagnóstico sin un registro del dispositivo.

Documentación que debes conservar

Para el hardware: declaración de conformidad de la UE, archivo técnico, informes de pruebas de radio y seguridad, documentación de ciberseguridad bajo EN 18031, registros de batería y RAEE. Para el lado de los datos: el registro de procesamiento del artículo 30, la designación del artículo 27, una base legal para el procesamiento de datos de salud bajo el artículo 9 — en la práctica, consentimiento explícito — una evaluación de impacto sobre la protección de datos, y el mecanismo de transferencia para datos que salen de la Unión.

Normas y ensayos

EN 300 328 y las normas de radio relevantes, EN IEC 62368-1 para seguridad, EN 55032 y EN 55035 para EMC, IEC 62133 para la celda, pruebas de sensibilización cutánea para materiales en contacto prolongado, y donde exista una reclamación médica, evaluación clínica bajo el MDR.

Requisitos lingüísticos

Instrucciones del dispositivo e información de seguridad en el idioma nacional de cada estado miembro. El aviso de privacidad y los flujos de consentimiento en el idioma del usuario, ya que el artículo 12 del RGPD requiere información inteligible.

Desde cuándo se aplica

Documentación del hardware antes de su comercialización; el representante del RGPD antes de que comience el procesamiento de los datos de los usuarios de la UE, lo que en la práctica significa antes de que la aplicación sea descargable en la Unión. La notificación de vulnerabilidades de la CRA se aplica desde el 11 de septiembre de 2026.

Cuánto se conservan los documentos

Documentación técnica durante diez años. Registros de procesamiento durante la vida del procesamiento más evidencia del período. Los datos de salud no deben conservarse más tiempo del necesario, y un plazo de retención indefinido es en sí mismo una infracción.

Qué ocurre si no cumples

Dos exposiciones paralelas. En el lado del producto: retirada, rechazo en aduanas, eliminación del mercado y multas nacionales. En el lado de los datos: hasta 20 millones de € o el 4% de la facturación por procesamiento ilegal de datos de salud, y hasta 10 millones de € o el 2% por no designar un representante. Los dispositivos portátiles han atraído la atención de las autoridades precisamente porque los datos de salud son datos de categoría especial procesados a gran escala.

Quién lo controla

Autoridades de vigilancia del mercado y reguladores de radio para el dispositivo, autoridades de protección de datos para el procesamiento, y autoridades competentes de dispositivos médicos donde se hace una reclamación médica.

Dónde está el límite

La reclamación decide qué régimen se aplica al mismo hardware. 'Rastrea tu actividad' es un producto de consumo. 'Detecta ritmo cardíaco irregular' es un dispositivo médico, generalmente de Clase IIa, que requiere un organismo notificado y evidencia clínica. Los vendedores frecuentemente escriben reclamaciones médicas en marketing mientras declaran un producto de consumo en el archivo técnico, y esa inconsistencia es exactamente lo que busca una autoridad.

Las preguntas que nos hacen

¿Necesitamos tanto una persona responsable del GPSR como un representante del RGPD?

Para un dispositivo portátil conectado, efectivamente sí: uno para el dispositivo puesto en el mercado y otro para los datos personales procesados a través de la aplicación. Son roles legales diferentes bajo diferentes regulaciones.

¿Los datos de frecuencia cardíaca son datos de salud bajo el RGPD?

Los datos que revelan información sobre el estado de salud son datos de categoría especial bajo el artículo 9. La frecuencia cardíaca continua, las métricas de sueño y estrés son tratadas de esa manera por las autoridades, lo que significa consentimiento explícito y un estándar más alto en general.

¿Podemos confiar en intereses legítimos para el análisis?

Para datos de categoría especial, no. El artículo 9 requiere una condición separada, y para un dispositivo portátil de consumo eso es consentimiento explícito, otorgado libremente y separable de la compra.