Smartwatche, opaski fitness i urządzenia noszone

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
• Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
• Regulation (EU) 2024/2847 — CRA

Kto musi wyznaczyć

Producenci spoza Unii sprzedający urządzenia noszone konsumentom w UE. Ta kategoria niemal zawsze wywołuje jednoczesne dwa oddzielne powołania: jedno dla sprzętu wprowadzonego na rynek, a drugie dla danych osobowych przetwarzanych przez aplikację towarzyszącą, ponieważ dane zdrowotne i biometryczne użytkowników UE są przetwarzane przez chmurę dostawcy.

Progi i wyłączenia

Brak progu dla obu zobowiązań. To, co całkowicie zmienia sytuację, to twierdzenie: tracker kroków i snu to produkt konsumpcyjny, podczas gdy urządzenie twierdzące, że wykrywa migotanie przedsionków, mierzy ciśnienie krwi lub diagnozuje bezdech senny, to urządzenie medyczne wymagające jednostki notyfikowanej.

Co musi być na etykiecie

Oznakowanie CE, dane producenta i przedstawiciela UE, model i numer seryjny, pasma częstotliwości oraz maksymalna moc nadawania w instrukcjach, symbol WEEE oraz oznaczenia baterii. W aplikacji i powiadomieniu o prywatności, tożsamość i dane kontaktowe przedstawiciela Artykułu 27.

Pola na platformach

Rynki wymagają osoby odpowiedzialnej w UE, a dla urządzeń bezprzewodowych, deklaracji zgodności na wezwanie. Sklepy z aplikacjami wymagają kontaktu w sprawie prywatności i sprawdzają język dotyczący roszczeń zdrowotnych, a także odrzucają aplikacje, których opisy obiecują diagnozę bez rejestracji urządzenia.

Dokumentacja do przechowywania

Dla sprzętu: deklaracja zgodności UE, dokumentacja techniczna, raporty z testów radiowych i bezpieczeństwa, dokumentacja dotycząca cyberbezpieczeństwa zgodnie z EN 18031, rejestracje baterii i WEEE. Dla strony danych: rejestr przetwarzania Artykułu 30, oznaczenie Artykułu 27, podstawy prawne przetwarzania danych zdrowotnych zgodnie z Artykułem 9 — w praktyce wyraźna zgoda — ocena skutków dla ochrony danych oraz mechanizm transferu danych opuszczających Unię.

Normy i badania

EN 300 328 oraz odpowiednie normy radiowe, EN IEC 62368-1 dla bezpieczeństwa, EN 55032 i EN 55035 dla EMC, IEC 62133 dla ogniwa, testy uczuleniowe dla materiałów w długotrwałym kontakcie, a tam, gdzie istnieje roszczenie medyczne, ocena kliniczna zgodnie z MDR.

Wymogi językowe

Instrukcje urządzenia i informacje o bezpieczeństwie w języku krajowym każdego państwa członkowskiego. Powiadomienie o prywatności i przepływy zgody w języku użytkownika, ponieważ Artykuł 12 RODO wymaga zrozumiałych informacji.

Od kiedy obowiązuje

Dokumentacja sprzętowa przed wprowadzeniem na rynek; przedstawiciel RODO przed rozpoczęciem przetwarzania danych użytkowników UE, co w praktyce oznacza przed udostępnieniem aplikacji do pobrania w Unii. Zgłaszanie podatności CRA obowiązuje od 11 września 2026 roku.

Jak długo przechowywać

Dokumentacja techniczna przez dziesięć lat. Rejestry przetwarzania przez czas przetwarzania plus dowody na ten okres. Dane zdrowotne nie mogą być przechowywane dłużej niż to konieczne, a domyślne przechowywanie na czas nieokreślony samo w sobie stanowi naruszenie.

Co grozi za brak zgodności

Dwa równoległe narażenia. Po stronie produktu: wycofanie, odmowa celna, usunięcie z rynku i krajowe kary. Po stronie danych: do 20 milionów € lub 4% obrotu za niezgodne przetwarzanie danych zdrowotnych oraz do 10 milionów € lub 2% za brak wyznaczenia przedstawiciela. Urządzenia noszone przyciągnęły uwagę organów, ponieważ dane zdrowotne są danymi szczególnej kategorii przetwarzanymi na dużą skalę.

Kto egzekwuje

Organy nadzoru rynku i regulatorzy radiowi dla urządzenia, organy ochrony danych dla przetwarzania oraz kompetentne organy ds. urządzeń medycznych, gdy istnieje roszczenie medyczne.

Gdzie przebiega granica

Roszczenie decyduje, który reżim ma zastosowanie do tego samego sprzętu. 'Śledzi twoją aktywność' to produkt konsumpcyjny. 'Wykrywa nieregularny rytm serca' to urządzenie medyczne, zazwyczaj Klasa IIa, wymagające jednostki notyfikowanej i dowodów klinicznych. Sprzedawcy często piszą roszczenia medyczne w marketingu, deklarując jednocześnie produkt konsumpcyjny w dokumentacji technicznej, a ta niespójność jest dokładnie tym, czego szuka organ.

Najczęstsze pytania

Czy potrzebujemy zarówno osoby odpowiedzialnej za GPSR, jak i przedstawiciela RODO?

Dla połączonego urządzenia noszonego, w zasadzie tak: jedna dla urządzenia wprowadzonego na rynek i jedna dla danych osobowych przetwarzanych przez aplikację. To różne role prawne w ramach różnych regulacji.

Czy dane dotyczące tętna są danymi zdrowotnymi zgodnie z RODO?

Dane ujawniające informacje o stanie zdrowia są danymi szczególnej kategorii zgodnie z Artykułem 9. Ciągłe dane dotyczące tętna, snu i stresu są rutynowo traktowane w ten sposób przez organy, co oznacza wyraźną zgodę i wyższy standard w całym zakresie.

Czy możemy polegać na uzasadnionych interesach w przypadku analityki?

Dla danych szczególnej kategorii, nie. Artykuł 9 wymaga oddzielnego warunku, a dla konsumpcyjnego urządzenia noszonego jest to wyraźna zgoda, dobrowolnie udzielona i oddzielona od zakupu.