Dostawcy łączności IoT, SIM i eSIM

• Directive (EU) 2018/1972 — European Electronic Communications Code
• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy for traffic and location data
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2024/2847 — CRA for modules

Kto musi wyznaczyć

Dostawcy spoza Unii, którzy dostarczają łączność do urządzeń w UE. Świadczenie usługi komunikacji elektronicznej wymaga powiadomienia krajowego organu regulacyjnego w każdym państwie członkowskim, w którym usługa jest oferowana, co jest osobnym obowiązkiem od ochrony danych i nie może być spełnione przez przedstawiciela.

Progi i wyłączenia

NIS2 obejmuje dostawców publicznych sieci lub usług komunikacji elektronicznej niezależnie od wielkości w kilku państwach członkowskich. Obowiązki powiadamiania zależą od krajowej implementacji.

Co musi być na etykiecie

Nie fizyczny. To, co musi być opublikowane, to tożsamość dostawcy, warunki umowy wymagane przez Kodeks komunikacji, w tym streszczenie umowy, oraz tożsamość przedstawiciela w informacji o prywatności.

Pola na platformach

Nabywcy IoT w przedsiębiorstwach wymagają dowodów powiadomienia w docelowych krajach, dokumentacji dotyczącej ochrony danych oraz, coraz częściej, rejestracji NIS2. Producenci urządzeń polegają na zgodności dostawcy łączności dla własnych roszczeń produktowych.

Dokumentacja do przechowywania

Rekordy zgodnie z artykułem 30 obejmujące dane subskrybentów, dane o ruchu i lokalizacji, oznaczenie zgodnie z artykułem 27, dokumentację transferową, potwierdzenia powiadomienia od każdego krajowego regulatora, gotowość do legalnej inwigilacji, gdzie wymagana jest krajowo, oraz procedury zarządzania ryzykiem i incydentami NIS2.

Normy i badania

Nie dotyczy, ale stałe umowy roamingowe są badane przez regulatorów w kilku państwach członkowskich i mogą być ograniczone, co stanowi ryzyko komercyjne dla wdrożeń IoT.

Wymogi językowe

Streszczenia umów i warunki w języku państw członkowskich, w których są świadczone usługi, zgodnie z wymaganiami Kodeksu komunikacji.

Od kiedy obowiązuje

Powiadomienie przed oferowaniem usługi. Przedstawiciel RODO przed rozpoczęciem przetwarzania. Terminy raportowania NIS2 wynoszą 24 godziny, 72 godziny i jeden miesiąc, gdy są w zakresie.

Jak długo przechowywać

Dane o ruchu i lokalizacji tylko przez okresy dozwolone, które są ustalane krajowo i są kwestionowane od czasu orzecznictwa w sprawie przechowywania danych. Przechowywanie na czas nieokreślony nie jest dostępne.

Co grozi za brak zgodności

Sankcje ze strony krajowych regulatorów, w tym zakaz świadczenia usługi, kary RODO do 4% obrotu oraz kary NIS2 do 10 milionów € lub 2% dla podmiotów istotnych.

Kto egzekwuje

Krajowe organy regulacyjne dla komunikacji elektronicznej, organy ochrony danych oraz kompetentne organy NIS2 i CSIRT.

Gdzie przebiega granica

Stały roaming to praktyczna pułapka: karty SIM z jednego kraju trwale podłączone do sieci w innym są ograniczone lub zabronione w kilku państwach członkowskich, a wdrożenia są rozłączane bez ostrzeżenia. To kwestia licencjonowania i umowy, której żadne powołanie do danych nie dotyczy.

Najczęstsze pytania

Czy musimy powiadamiać w każdym kraju?

Gdzie świadczysz usługę komunikacji elektronicznej, powiadomienie jest zazwyczaj wymagane w każdym państwie członkowskim, w którym jest oferowane, zgodnie z implementacją Kodeksu w tym państwie.

Czy stały roaming jest dozwolony?

Jest ograniczony w kilku państwach członkowskich i zależy od umów operatora gospodarza. Wdrożenia zostały zakończone z niewielkim wyprzedzeniem, więc należy to sprawdzić w każdym kraju.