- Directive 2014/53/EU — Radio Equipment
- Delegated Regulation (EU) 2022/30 — cybersecurity
- Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
- Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
- Regulation (EU) 2024/2847 — CRA
누가 지정해야 하는가
EU 소비자에게 웨어러블을 판매하는 유럽 연합 외 제조업체. 이 범주는 거의 항상 하드웨어에 대한 시장 배치와 동반 앱을 통한 개인 데이터 처리에 대한 두 개의 별도 약정을 동시에 촉발합니다. EU 사용자의 건강 및 생체 데이터는 공급자의 클라우드에서 처리됩니다.
기준과 면제
어떤 의무에도 임계값이 없습니다. 상황을 완전히 바꾸는 것은 주장입니다: 단계 및 수면 추적기는 소비자 제품인 반면, 심방세동을 감지하거나 혈압을 측정하거나 수면 무호흡증을 진단한다고 주장하는 장치는 통지된 기관이 필요한 의료 기기입니다.
라벨에 표시할 사항
CE 마크, 제조업체 및 EU 대리인 세부정보, 모델 및 일련 번호, 지침의 주파수 대역 및 최대 전송 전력, WEEE 기호 및 배터리 마킹. 앱 및 개인정보 보호 고지서에는 제27조 대리인의 신원 및 연락처 정보가 포함되어야 합니다.
마켓플레이스 항목
마켓플레이스는 EU 책임자를 요구하며, 무선 장치의 경우 도전 시 적합성 선언이 필요합니다. 앱 스토어는 개인정보 보호 연락처를 요구하고 건강 주장 언어를 확인하며, 장치 등록 없이 진단을 약속하는 앱은 거부합니다.
보관해야 할 문서
하드웨어에 대한 문서: EU 적합성 선언, 기술 파일, 라디오 및 안전 테스트 보고서, EN 18031에 따른 사이버 보안 문서, 배터리 및 WEEE 등록. 데이터 측면: 제30조 처리 기록, 제27조 지정, 제9조에 따른 건강 데이터 처리의 합법적 근거 — 실제로는 명시적 동의 — 데이터 보호 영향 평가 및 유럽 연합을 떠나는 데이터의 전송 메커니즘.
표준과 시험
EN 300 328 및 관련 라디오 표준, 안전을 위한 EN IEC 62368-1, EMC를 위한 EN 55032 및 EN 55035, 셀에 대한 IEC 62133, 장기간 접촉하는 재료에 대한 피부 감작 테스트, 의료 주장이 있는 경우 MDR에 따른 임상 평가.
언어 요건
각 회원국의 국가 언어로 된 장치 지침 및 안전 정보. 개인정보 보호 고지서 및 동의 흐름은 사용자 언어로 제공되어야 하며, 제12조 GDPR은 이해할 수 있는 정보를 요구합니다.
언제부터 적용되는가
시장에 배치하기 전에 하드웨어 문서; EU 사용자의 데이터 처리가 시작되기 전에 GDPR 대리인, 이는 실제로 앱이 유럽 연합에서 다운로드 가능해지기 전에 해당합니다. CRA 취약성 보고는 2026년 9월 11일부터 적용됩니다.
문서 보관 기간
기술 문서 10년 보관. 처리 기록은 처리 기간 동안 및 그 기간의 증거와 함께 보관. 건강 데이터는 필요 이상으로 보관해서는 안 되며, 무기한 보관 기본값은 자체적으로 위반입니다.
미준수 시 결과
두 가지 병행 노출. 제품 측면: 철회, 세관 거부, 마켓플레이스 제거 및 국가 벌금. 데이터 측면: 건강 데이터의 불법 처리에 대해 최대 €2000만 또는 매출의 4%, 대리인을 지정하지 않은 경우 최대 €1000만 또는 매출의 2%. 웨어러블은 건강 데이터가 대규모로 처리되는 특별 범주 데이터이기 때문에 당국의 주목을 받았습니다.
집행 기관
장치에 대한 시장 감시 당국 및 라디오 규제 기관, 처리에 대한 데이터 보호 당국, 의료 주장이 있는 경우 의료 기기 관련 당국.
경계선
주장이 동일한 하드웨어에 적용되는 체계를 결정합니다. '활동을 추적합니다'는 소비자 제품입니다. '불규칙한 심장 리듬을 감지합니다'는 의료 기기로, 일반적으로 IIa 등급이며 통지된 기관 및 임상 증거가 필요합니다. 판매자는 종종 마케팅에서 의료 주장을 작성하면서 기술 파일에서는 소비자 제품으로 선언하며, 그 불일치는 당국이 찾는 바로 그 점입니다.
자주 받는 질문
- GPSR 책임자와 GDPR 대리인이 모두 필요합니까?
- 연결된 웨어러블의 경우, 사실상 그렇습니다: 시장에 배치된 장치에 대한 하나와 앱을 통해 처리되는 개인 데이터에 대한 하나입니다. 이들은 서로 다른 규정에 따른 서로 다른 법적 역할입니다.
- 심박수 데이터는 GDPR에 따른 건강 데이터입니까?
- 건강 상태에 대한 정보를 드러내는 데이터는 제9조에 따른 특별 범주 데이터입니다. 지속적인 심박수, 수면 및 스트레스 지표는 당국에 의해 그렇게 처리되는 경우가 많으며, 이는 명시적 동의 및 전반적으로 더 높은 기준을 의미합니다.
- 분석을 위해 정당한 이익에 의존할 수 있습니까?
- 특별 범주 데이터의 경우, 아닙니다. 제9조는 별도의 조건을 요구하며, 소비자 웨어러블의 경우 이는 명시적 동의로, 자유롭게 제공되고 구매와 분리되어야 합니다.