Fornitori di connettività IoT, SIM ed eSIM

• Directive (EU) 2018/1972 — European Electronic Communications Code
• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy for traffic and location data
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2024/2847 — CRA for modules

Chi deve nominarlo

Fornitori al di fuori dell'Unione che forniscono connettività a dispositivi nell'UE. La fornitura di un servizio di comunicazione elettronica richiede la notifica all'autorità di regolamentazione nazionale di ciascuno stato membro in cui il servizio è offerto, che è un obbligo separato dalla protezione dei dati e non può essere soddisfatto da un rappresentante.

Soglie ed esenzioni

La NIS2 coinvolge i fornitori di reti o servizi di comunicazione elettronica pubblici indipendentemente dalle dimensioni in diversi stati membri. I doveri di notifica dipendono dall'attuazione nazionale.

Cosa deve comparire in etichetta

Non fisico. Ciò che deve essere pubblicato è l'identità del fornitore, i termini contrattuali richiesti dal Codice delle Comunicazioni, inclusa la sintesi del contratto, e l'identità del rappresentante nell'informativa sulla privacy.

Campi sui marketplace

Gli acquirenti di IoT aziendale richiedono prove di notifica nei paesi target, la documentazione sulla protezione dei dati e, sempre più, la registrazione NIS2. I produttori di dispositivi si affidano alla conformità del fornitore di connettività per le proprie affermazioni sui prodotti.

Documentazione da tenere

Registrazioni ai sensi dell'articolo 30 che coprono dati di abbonati, traffico e posizione, la designazione ai sensi dell'articolo 27, documentazione di trasferimento, conferme di notifica da ciascun regolatore nazionale, prontezza all'intercettazione legale dove richiesta a livello nazionale, e procedure di gestione del rischio e incidenti NIS2.

Norme e prove

Non applicabile, ma gli accordi di roaming permanente sono scrutinati dai regolatori in diversi stati membri e possono essere limitati, il che rappresenta un rischio commerciale per le implementazioni IoT.

Requisiti linguistici

Sintesi e termini contrattuali nella lingua degli stati membri serviti, come richiesto dal Codice delle Comunicazioni.

Da quando si applica

Notifica prima di offrire il servizio. Il rappresentante GDPR prima dell'inizio del trattamento. Le scadenze di reporting NIS2 di 24 ore, 72 ore e un mese si applicano una volta in ambito.

Per quanto si conservano i documenti

Dati di traffico e posizione solo per i periodi consentiti, che sono stabiliti a livello nazionale e sono contestati dalla giurisprudenza sulla conservazione dei dati. La conservazione indefinita non è disponibile.

Cosa succede se non sei in regola

Sanzioni da parte delle autorità nazionali di regolamentazione, inclusa la proibizione del servizio, multe GDPR fino al 4% del fatturato e sanzioni NIS2 fino a €10 milioni o 2% per entità essenziali.

Chi controlla

Autorità nazionali di regolamentazione per le comunicazioni elettroniche, autorità per la protezione dei dati e autorità competenti NIS2 e CSIRT.

Dove passa il confine

Il roaming permanente è la trappola pratica: le SIM di un paese permanentemente collegate a reti in un altro sono limitate o proibite in diversi stati membri, e le implementazioni vengono disconnesse senza preavviso. Questa è una questione di licenza e contrattuale che nessuna nomina di dati affronta.

Le domande che ci fanno

Dobbiamo notificare in ogni paese?

Dove fornisci un servizio di comunicazione elettronica, la notifica è generalmente richiesta in ciascuno stato membro in cui è offerto, ai sensi dell'attuazione di quel paese del Codice.

Il roaming permanente è consentito?

È limitato in diversi stati membri e dipende dagli accordi dell'operatore ospitante. Le implementazioni sono state terminate con poco preavviso, quindi deve essere verificato per paese.