Beveiligingscamera's, videodeurbellen en babyfoons

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR, Articles 27 and 5

Wie moet aanwijzen

Fabrikanten buiten de Unie die verbonden camera's verkopen aan EU-gebruikers. Twee verplichtingen ontstaan samen: het product dat op de markt wordt gebracht, en de persoonsgegevens die via de cloud van de verkoper worden verwerkt, wat voor een camera beelden van identificeerbare personen en vaak audio omvat.

Drempels en vrijstellingen

Geen drempel voor beide. Zelfs een enkele camera die aan een consument wordt verkocht, activeert de productverplichtingen, en elke cloudopslag van beelden van EU-gebruikers activeert Artikel 3(2) GDPR.

Wat op het etiket moet

CE-markering, details van de fabrikant en EU-vertegenwoordiger, model- en serienummer, frequentiebanden en verzonden vermogen, het WEEE-symbool, en vanaf december 2027 de CRA-ondersteuningsperiode en kwetsbaarheid contactpunt. In de app en privacyverklaring, de identiteit en contactgegevens van de Artikel 27 vertegenwoordiger.

Marktplaatsvelden

Marktplaatsen vereisen de EU verantwoordelijke persoon en de verklaring van overeenstemming op verzoek. Camera's met hardcoded standaardwachtwoorden of ongecodeerde streams zijn verwijderd na gecoördineerde handhaving, en de RED-cybersecurityvereisten sinds augustus 2025 hebben de lat verder verhoogd.

Documentatie die u moet bewaren

EU-verklaring van overeenstemming, technisch dossier, radio- en veiligheids testverslagen, cybersecuritydocumentatie onder EN 18031, en vanaf 2026 het CRA-kwetsbaarheidsbehandelingsproces en SBOM. Aan de gegevenskant: het Artikel 30-register, de Artikel 27 aanwijzing, een gegevensbeschermingseffectbeoordeling, bewaarbeleid voor beelden, en het overdrachtsmechanisme waarop opnames de Unie verlaten.

Normen en tests

EN 300 328 en gerelateerde radio-standaarden, EN IEC 62368-1 voor veiligheid, EN 55032 en EN 55035 voor EMC, en EN 18031 voor de netwerkbescherming, gegevensbescherming en fraudepreventievereisten. Penetratietests zijn niet verplicht maar zijn de praktische manier om de cybersecurityvereisten aan te tonen.

Taalvereisten

Instructies en waarschuwingen in de nationale taal, en de privacy-informatie in de taal van de betrokken gebruikers.

Vanaf wanneer

Productdocumentatie vóór het op de markt brengen. Cybersecurityvereisten van toepassing sinds 1 augustus 2025. CRA-kwetsbaarheidsrapportage vanaf 11 september 2026, volledige CRA vanaf 11 december 2027. De GDPR-vertegenwoordiger vóór de verwerking van beelden van EU-gebruikers.

Bewaartermijn

Tien jaar voor technische documentatie, of de CRA-ondersteuningsperiode als deze langer is. Beelden mogen niet langer worden bewaard dan nodig, en een onbeperkte standaardbewaring is op zich een inbreuk.

Bij niet-naleving

Aan de productzijde, terugroeping, douaneweigering en verwijdering van marktplaatsen. Aan de gegevenszijde, tot €20 miljoen of 4% van de omzet, en gegevensbeschermingsautoriteiten hebben camera-verkopers beboet voor onveilige streams, overmatige bewaring en standaard cloud-upload. Een inbreuk die beelden blootlegt activeert Artikel 33 melding binnen 72 uur.

Wie handhaaft

Marktoezichtautoriteiten en radio-regulators voor het apparaat, CSIRTs voor CRA-rapportage, en gegevensbeschermingsautoriteiten voor de beelden.

Waar de grens ligt

Babyfoons en deurbelletjes brengen een extra probleem met zich mee dat de verkoper niet kan beheersen maar voor moet ontwerpen: de eigen verwerking van beelden van buren en bezoekers door de gebruiker, waarover autoriteiten richtlijnen hebben gegeven voor het gebruik van camera's in huis. Verkoper die standaard naar cloud-upload gaat, of die lokale opslag onmogelijk maakt, is bekritiseerd omdat de ontwerpkeuze de mogelijkheid van de gebruiker om te voldoen, wegneemt.

Veelgestelde vragen

Hebben we zowel een Artikel 4 operator als een GDPR-vertegenwoordiger nodig?

Voor een verbonden camera, ja. De ene dekt het apparaat dat op de markt wordt gebracht, de andere de verwerking van beelden van mensen in de Unie.

Wat is er veranderd voor camera's in augustus 2025?

De RED gedelegeerde verordening maakte netwerkbescherming, persoonsgegevensbescherming en fraudepreventie essentiële vereisten. Standaardwachtwoorden en ongecodeerde streams voldoen niet meer.