Conectividade IoT, provedores de SIM e eSIM

• Directive (EU) 2018/1972 — European Electronic Communications Code
• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy for traffic and location data
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2024/2847 — CRA for modules

Quem tem de designar

Provedores fora da União que fornecem conectividade a dispositivos na UE. Fornecer um serviço de comunicações eletrônicas requer notificação à autoridade reguladora nacional de cada estado membro onde o serviço é oferecido, o que é uma obrigação separada da proteção de dados e não pode ser atendido por um representante.

Limiares e isenções

O NIS2 abrange provedores de redes ou serviços de comunicações eletrônicas públicas, independentemente do tamanho, em vários estados membros. As obrigações de notificação dependem da implementação nacional.

O que deve constar do rótulo

Não físico. O que deve ser publicado é a identidade do provedor, os termos do contrato exigidos pelo Código de Comunicações, incluindo o resumo do contrato, e a identidade do representante no aviso de privacidade.

Campos nos marketplaces

Compradores de IoT empresarial exigem evidências de notificação nos países-alvo, a documentação de proteção de dados e, cada vez mais, o registro no NIS2. Fabricantes de dispositivos dependem da conformidade do provedor de conectividade para suas próprias reivindicações de produto.

Documentação a conservar

Registros do Artigo 30 cobrindo dados de assinantes, tráfego e localização, a designação do Artigo 27, documentação de transferência, confirmações de notificação de cada regulador nacional, prontidão para interceptação legal onde exigido nacionalmente, e procedimentos de gestão de risco e incidentes do NIS2.

Normas e ensaios

Não aplicável, mas arranjos de roaming permanente são examinados por reguladores em vários estados membros e podem ser restritos, o que representa um risco comercial para implantações de IoT.

Requisitos linguísticos

Resumos e termos de contrato na língua dos estados membros atendidos, conforme exigido pelo Código de Comunicações.

A partir de quando

Notificação antes de oferecer o serviço. O representante do GDPR antes do início do processamento. Prazos de relatório do NIS2 de 24 horas, 72 horas e um mês se aplicam uma vez dentro do escopo.

Prazo de conservação

Dados de tráfego e localização apenas pelos períodos permitidos, que são definidos nacionalmente e são contestados desde a jurisprudência sobre retenção de dados. A retenção indefinida não está disponível.

Em caso de incumprimento

Sanções de reguladores nacionais, incluindo proibição do serviço, multas do GDPR de até 4% do faturamento e penalidades do NIS2 de até €10 milhões ou 2% para entidades essenciais.

Quem fiscaliza

Autoridades reguladoras nacionais para comunicações eletrônicas, autoridades de proteção de dados e autoridades competentes do NIS2 e CSIRTs.

Onde está a fronteira

Roaming permanente é a armadilha prática: SIMs de um país permanentemente conectados a redes em outro são restritos ou proibidos em vários estados membros, e implantações são desconectadas sem aviso prévio. Esta é uma questão de licenciamento e contratual que nenhuma nomeação de dados aborda.

Perguntas frequentes

Precisamos notificar em todos os países?

Onde você fornece um serviço de comunicações eletrônicas, a notificação é geralmente exigida em cada estado membro onde é oferecido, sob a implementação desse estado do Código.

Roaming permanente é permitido?

É restrito em vários estados membros e depende dos acordos do operador anfitrião. Implantações foram encerradas com pouco aviso, então deve ser verificado por país.