Montres intelligentes, trackers de fitness et dispositifs portables

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
• Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
• Regulation (EU) 2024/2847 — CRA

Qui doit le désigner

Fabricants en dehors de l'Union vendant des dispositifs portables aux consommateurs de l'UE. Cette catégorie déclenche presque toujours deux nominations distinctes à la fois : une pour le matériel mis sur le marché, et une pour les données personnelles traitées via l'application compagnon, car les données de santé et biométriques des utilisateurs de l'UE sont traitées par le cloud du vendeur.

Seuils et exemptions

Pas de seuil pour aucune des obligations. Ce qui change complètement la donne est la revendication : un tracker de pas et de sommeil est un produit de consommation, tandis qu'un appareil prétendant détecter la fibrillation auriculaire, mesurer la pression artérielle ou diagnostiquer l'apnée du sommeil est un dispositif médical nécessitant un organisme notifié.

Ce qui doit figurer sur l’étiquette

Marquage CE, détails du fabricant et du représentant de l'UE, modèle et numéro de série, bandes de fréquence et puissance maximale transmise dans les instructions, le symbole DEEE, et les marquages de la batterie. Dans l'application et l'avis de confidentialité, l'identité et les coordonnées du représentant de l'article 27.

Champs des marketplaces

Les places de marché nécessitent une personne responsable de l'UE et, pour les dispositifs sans fil, la déclaration de conformité sur demande. Les magasins d'applications nécessitent un contact en matière de confidentialité et vérifient le langage des revendications de santé, et rejettent les applications dont les descriptions promettent un diagnostic sans enregistrement de l'appareil.

Documents à conserver

Pour le matériel : déclaration de conformité de l'UE, dossier technique, rapports d'essai radio et de sécurité, documentation sur la cybersécurité selon la norme EN 18031, enregistrements de batterie et DEEE. Pour le côté des données : le registre de traitement de l'article 30, la désignation de l'article 27, une base légale pour le traitement des données de santé selon l'article 9 — en pratique le consentement explicite — une évaluation d'impact sur la protection des données, et le mécanisme de transfert pour les données quittant l'Union.

Normes et essais

EN 300 328 et les normes radio pertinentes, EN IEC 62368-1 pour la sécurité, EN 55032 et EN 55035 pour l'EMC, IEC 62133 pour la cellule, tests de sensibilisation cutanée pour les matériaux en contact prolongé, et là où une revendication médicale existe, évaluation clinique selon le MDR.

Exigences linguistiques

Instructions de l'appareil et informations de sécurité dans la langue nationale de chaque État membre. L'avis de confidentialité et les flux de consentement dans la langue de l'utilisateur, puisque l'article 12 RGPD exige des informations intelligibles.

À partir de quand

Documentation matérielle avant la mise sur le marché ; le représentant RGPD avant que le traitement des données des utilisateurs de l'UE ne commence, ce qui signifie en pratique avant que l'application ne soit téléchargeable dans l'Union. Le rapport de vulnérabilité CRA s'applique à partir du 11 septembre 2026.

Durée de conservation

Documentation technique pendant dix ans. Registres de traitement pendant la durée du traitement plus preuve de la période. Les données de santé ne doivent pas être conservées plus longtemps que nécessaire, et une conservation indéfinie par défaut constitue en soi une infraction.

En cas de manquement

Deux expositions parallèles. Du côté produit : retrait, refus douanier, suppression de la place de marché et amendes nationales. Du côté des données : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires pour traitement illégal de données de santé, et jusqu'à 10 millions d'euros ou 2 % pour ne pas avoir désigné de représentant. Les dispositifs portables ont attiré l'attention des autorités précisément parce que les données de santé sont des données de catégorie spéciale traitées à grande échelle.

Qui contrôle

Autorités de surveillance du marché et régulateurs radio pour l'appareil, autorités de protection des données pour le traitement, et autorités compétentes en matière de dispositifs médicaux là où une revendication médicale est faite.

Où se situe la limite

La revendication décide quel régime s'applique au même matériel. 'Suit votre activité' est un produit de consommation. 'Détecte un rythme cardiaque irrégulier' est un dispositif médical, généralement de classe IIa, nécessitant un organisme notifié et des preuves cliniques. Les vendeurs écrivent fréquemment des revendications médicales dans le marketing tout en déclarant un produit de consommation dans le dossier technique, et cette incohérence est exactement ce que recherche une autorité.

Les questions qu’on nous pose

Avons-nous besoin à la fois d'une personne responsable GPSR et d'un représentant RGPD ?

Pour un dispositif portable connecté, effectivement oui : une pour l'appareil mis sur le marché et une pour les données personnelles traitées via l'application. Ce sont des rôles juridiques différents sous des réglementations différentes.

Les données de fréquence cardiaque sont-elles des données de santé selon le RGPD ?

Les données révélant des informations sur l'état de santé sont des données de catégorie spéciale selon l'article 9. La fréquence cardiaque continue, le sommeil et les métriques de stress sont régulièrement traités de cette manière par les autorités, ce qui signifie consentement explicite et un standard plus élevé dans l'ensemble.

Pouvons-nous nous fier aux intérêts légitimes pour l'analyse ?

Pour les données de catégorie spéciale, non. L'article 9 exige une condition distincte, et pour un dispositif portable de consommation, cela signifie un consentement explicite, librement donné et séparé de l'achat.