Smartwatches, fitness trackers en wearables

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
• Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
• Regulation (EU) 2024/2847 — CRA

Wie moet aanwijzen

Fabrikanten buiten de Unie die wearables aan EU-consumenten verkopen. Deze categorie activeert bijna altijd twee afzonderlijke aanstellingen tegelijk: één voor de hardware die op de markt wordt gebracht, en één voor de persoonlijke gegevens die via de companion app worden verwerkt, omdat gezondheids- en biometrische gegevens van EU-gebruikers door de cloud van de verkoper worden verwerkt.

Drempels en vrijstellingen

Geen drempel voor beide verplichtingen. Wat het plaatje volledig verandert, is de claim: een stap- en slaaptracker is een consumentenproduct, terwijl een apparaat dat beweert atriumfibrilleren te detecteren, de bloeddruk te meten of slaapapneu te diagnosticeren een medisch apparaat is dat een aangemelde instantie vereist.

Wat op het etiket moet

CE-markering, details van de fabrikant en EU-vertegenwoordiger, model- en serienummer, frequentiebanden en maximaal uitgezonden vermogen in de instructies, het WEEE-symbool en batterijmarkeringen. In de app en privacyverklaring, de identiteit en contactgegevens van de Artikel 27 vertegenwoordiger.

Marktplaatsvelden

Marktplaatsen vereisen de EU verantwoordelijke persoon en, voor draadloze apparaten, de verklaring van overeenstemming op verzoek. App-winkels vereisen een privacycontact en controleren de taal van gezondheidsclaims, en wijzen apps af waarvan de beschrijvingen diagnose beloven zonder een apparaatregistratie.

Documentatie die u moet bewaren

Voor de hardware: EU-verklaring van overeenstemming, technisch dossier, radio- en veiligheidstestverslagen, documentatie over cyberbeveiliging onder EN 18031, batterij- en WEEE-registraties. Voor de gegevenskant: het Artikel 30 register van verwerking, de Artikel 27 aanwijzing, een rechtmatige basis voor de verwerking van gezondheidsgegevens onder Artikel 9 — in de praktijk expliciete toestemming — een gegevensbeschermingseffectbeoordeling, en het overdrachtsmechanisme voor gegevens die de Unie verlaten.

Normen en tests

EN 300 328 en de relevante radio-standaarden, EN IEC 62368-1 voor veiligheid, EN 55032 en EN 55035 voor EMC, IEC 62133 voor de cel, huidsensibiliseringstests voor materialen in langdurig contact, en waar een medische claim bestaat, klinische evaluatie onder de MDR.

Taalvereisten

Apparaatinstructies en veiligheidsinformatie in de nationale taal van elke lidstaat. De privacyverklaring en toestemmingsstromen in de taal van de gebruiker, aangezien Artikel 12 GDPR begrijpelijke informatie vereist.

Vanaf wanneer

Hardwaredocumentatie vóór het op de markt brengen; de GDPR-vertegenwoordiger vóór de verwerking van gegevens van EU-gebruikers begint, wat in de praktijk betekent vóór de app downloadbaar is in de Unie. CRA-kwetsbaarheidsrapportage is van toepassing vanaf 11 september 2026.

Bewaartermijn

Technische documentatie tien jaar. Verwerkingsregisters voor de duur van de verwerking plus bewijs van de periode. Gezondheidsgegevens mogen niet langer worden bewaard dan nodig is, en een onbepaalde bewaartermijn is op zich een inbreuk.

Bij niet-naleving

Twee parallelle blootstellingen. Aan de productzijde: terugroeping, douaneweigering, verwijdering van de marktplaats en nationale boetes. Aan de gegevenszijde: tot €20 miljoen of 4% van de omzet voor onrechtmatige verwerking van gezondheidsgegevens, en tot €10 miljoen of 2% voor het niet aanwijzen van een vertegenwoordiger. Wearables hebben de aandacht van autoriteiten getrokken juist omdat gezondheidsgegevens speciale-categoriegegevens zijn die op grote schaal worden verwerkt.

Wie handhaaft

Markttoezichtautoriteiten en radio-regulators voor het apparaat, gegevensbeschermingsautoriteiten voor de verwerking, en bevoegde autoriteiten voor medische apparaten waar een medische claim wordt gedaan.

Waar de grens ligt

De claim bepaalt welk regime van toepassing is op dezelfde hardware. 'Volgt je activiteit' is een consumentenproduct. 'Detecteert onregelmatige hartslag' is een medisch apparaat, meestal Klasse IIa, dat een aangemelde instantie en klinisch bewijs vereist. Verkopers schrijven vaak medische claims in marketing terwijl ze een consumentenproduct in het technische dossier verklaren, en die inconsistentie is precies wat een autoriteit zoekt.

Veelgestelde vragen

Hebben we zowel een GPSR verantwoordelijke persoon als een GDPR vertegenwoordiger nodig?

Voor een verbonden wearable, effectief ja: één voor het apparaat dat op de markt is gebracht en één voor de persoonlijke gegevens die via de app worden verwerkt. Het zijn verschillende juridische rollen onder verschillende regelgeving.

Is hartslaggegevens gezondheidsgegevens onder de GDPR?

Gegevens die informatie onthullen over de gezondheidstoestand zijn speciale-categoriegegevens onder Artikel 9. Continue hartslag, slaap- en stressmetingen worden routinematig zo behandeld door autoriteiten, wat betekent expliciete toestemming en een hogere standaard overal.

Kunnen we ons beroepen op legitieme belangen voor de analyses?

Voor speciale-categoriegegevens, nee. Artikel 9 vereist een aparte voorwaarde, en voor een consumentenwearable is dat expliciete toestemming, vrij gegeven en scheidbaar van de aankoop.