Ciągłe monitory glukozy i połączone urządzenia terapeutyczne

• Regulation (EU) 2017/745 — MDR
• Regulation (EU) 2017/746 — IVDR for measuring devices
• Regulation (EU) 2016/679 — GDPR, Articles 9 and 27
• Regulation (EU) 2024/2847 — CRA
• Directive 2014/53/EU

Kto musi wyznaczyć

Producenci spoza Unii wprowadzający połączone urządzenia medyczne na rynek UE. Trzy reżimy się pokrywają: zgodność urządzenia, ochrona danych zdrowotnych oraz, od 2027 roku, cyberbezpieczeństwo dla elementu połączonego.

Progi i wyłączenia

Brak. Te urządzenia to zazwyczaj Klasa IIb lub III, wymagające zaangażowania jednostki notyfikowanej i dowodów klinicznych.

Co musi być na etykiecie

Oznakowanie CE z numerem jednostki notyfikowanej, danymi producenta i EC REP, UDI i Basic UDI-DI, numer partii lub seryjny oraz instrukcje użytkowania. Aplikacja i chmura zawierają przedstawiciela na mocy Artykułu 27 w powiadomieniu o prywatności.

Pola na platformach

Organizacje zajmujące się refundacją wymagają rejestracji urządzenia i dowodów klinicznych, a zakupy szpitalne dodają wymagania dotyczące bezpieczeństwa, które przekraczają minimalne wymagania regulacyjne.

Dokumentacja do przechowywania

Dokumentacja techniczna MDR lub IVDR, ocena kliniczna lub wydajności, zarządzanie ryzykiem, nadzór po wprowadzeniu na rynek i PSUR, rejestracja EUDAMED, mandat Artykułu 11 oraz w zakresie danych rejestr Artykułu 30, warunek Artykułu 9 dotyczący danych zdrowotnych, ocena skutków ochrony danych oraz mechanizm transferu.

Normy i badania

Seria IEC 60601 dla elektrycznego sprzętu medycznego, IEC 62304 dla cyklu życia oprogramowania, IEC 62366 dla użyteczności, analityczna i kliniczna wydajność dla urządzeń pomiarowych oraz testowanie cyberbezpieczeństwa zgodnie z wytycznymi dla urządzeń, a od 2027 roku CRA.

Wymogi językowe

Instrukcje użytkowania i treść aplikacji w języku wymaganym przez każde państwo członkowskie, co w przypadku urządzeń skierowanych do pacjentów jest obowiązkowe.

Od kiedy obowiązuje

Certyfikacja i rejestracja przed wprowadzeniem na rynek. Raportowanie o podatności CRA od września 2026 roku dotyczy elementów połączonych, które nie są wyłączone przez sektorowe wyłączenie.

Jak długo przechowywać

Dziesięć lat na mocy MDR, piętnaście dla implantów. Dane zdrowotne tylko tak długo, jak to konieczne, z uzasadnieniem przechowywania klinicznego oddzielnie.

Co grozi za brak zgodności

Wycofanie, zawieszenie certyfikatu oraz kary finansowe GDPR do 4% za dane zdrowotne. Podatność w urządzeniu terapeutycznym jest zdarzeniem związanym z bezpieczeństwem pacjenta, jak również zdarzeniem związanym z bezpieczeństwem.

Kto egzekwuje

Właściwe organy ds. urządzeń medycznych, jednostki notyfikowane, organy ochrony danych oraz CSIRTy.

Gdzie przebiega granica

Urządzenia już objęte wymaganiami dotyczącymi cyberbezpieczeństwa MDR są w dużej mierze wyłączone z CRA, aby uniknąć duplikacji, ale aplikacja i chmura wokół nich mogą nie być. Dane zdrowotne są danymi szczególnej kategorii, nawet gdy urządzenie jest przepisywane, a wyraźna zgoda zazwyczaj nie jest właściwą podstawą w kontekście klinicznym.

Najczęstsze pytania

Czy potrzebujemy zarówno przedstawiciela MDR, jak i GDPR?

Dla połączonego urządzenia z usługą chmurową, w zasadzie tak: są to różne role w ramach różnych regulacji z różnymi odpowiedzialnościami.

Czy aplikacja jest również urządzeniem medycznym?

Jeśli wpływa na leczenie lub je prowadzi, tak, i jest oceniana jako część urządzenia lub jako urządzenie samodzielne.