Connectivité IoT, fournisseurs de SIM et eSIM

• Directive (EU) 2018/1972 — European Electronic Communications Code
• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy for traffic and location data
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2024/2847 — CRA for modules

Qui doit le désigner

Fournisseurs situés en dehors de l'Union fournissant une connectivité aux dispositifs dans l'UE. Fournir un service de communications électroniques nécessite une notification à l'autorité de régulation nationale de chaque État membre où le service est proposé, ce qui est une obligation distincte de la protection des données et ne peut pas être satisfaite par un représentant.

Seuils et exemptions

La NIS2 concerne les fournisseurs de réseaux ou de services de communications électroniques publics, quelle que soit leur taille, dans plusieurs États membres. Les obligations de notification dépendent de la mise en œuvre nationale.

Ce qui doit figurer sur l’étiquette

Non physique. Ce qui doit être publié est l'identité du fournisseur, les conditions contractuelles requises par le Code des communications, y compris le résumé du contrat, et l'identité du représentant dans l'avis de confidentialité.

Champs des marketplaces

Les acheteurs d'IoT d'entreprise exigent des preuves de notification dans les pays cibles, la documentation sur la protection des données et, de plus en plus, l'enregistrement NIS2. Les fabricants de dispositifs comptent sur la conformité du fournisseur de connectivité pour leurs propres revendications de produit.

Documents à conserver

Dossiers de l'article 30 couvrant les données des abonnés, le trafic et les données de localisation, la désignation de l'article 27, la documentation de transfert, les confirmations de notification de chaque régulateur national, la préparation à l'interception légale lorsque cela est requis au niveau national, et les procédures de gestion des risques et d'incidents NIS2.

Normes et essais

Non applicable, mais les arrangements de roaming permanent sont examinés par les régulateurs dans plusieurs États membres et peuvent être restreints, ce qui représente un risque commercial pour les déploiements IoT.

Exigences linguistiques

Résumé et conditions des contrats dans la langue des États membres desservis, comme l'exige le Code des communications.

À partir de quand

Notification avant d'offrir le service. Le représentant du RGPD avant le début du traitement. Les délais de reporting NIS2 de 24 heures, 72 heures et un mois s'appliquent une fois dans le champ d'application.

Durée de conservation

Données de trafic et de localisation uniquement pour les périodes autorisées, qui sont fixées au niveau national et contestées depuis la jurisprudence sur la conservation des données. La conservation indéfinie n'est pas disponible.

En cas de manquement

Sanctions des régulateurs nationaux, y compris l'interdiction du service, des amendes RGPD allant jusqu'à 4 % du chiffre d'affaires, et des pénalités NIS2 allant jusqu'à 10 millions d'euros ou 2 % pour les entités essentielles.

Qui contrôle

Autorités de régulation nationales pour les communications électroniques, autorités de protection des données, et autorités compétentes NIS2 et CSIRTs.

Où se situe la limite

Le roaming permanent est le piège pratique : les SIM d'un pays attachées de manière permanente à des réseaux dans un autre sont restreintes ou interdites dans plusieurs États membres, et les déploiements sont déconnectés sans avertissement. Il s'agit d'une question de licence et de contrat que aucune nomination de données ne traite.

Les questions qu’on nous pose

Devrons-nous notifier dans chaque pays ?

Là où vous fournissez un service de communications électroniques, la notification est généralement requise dans chaque État membre où il est proposé, en vertu de la mise en œuvre de ce code par cet État.

Le roaming permanent est-il autorisé ?

Il est restreint dans plusieurs États membres et dépend des accords de l'opérateur hôte. Les déploiements ont été interrompus avec peu de préavis, il doit donc être vérifié par pays.