Câmeras de segurança, campainhas de vídeo e monitores de bebê

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR, Articles 27 and 5

Quem tem de designar

Fabricantes fora da União que vendem câmeras conectadas para usuários da UE. Duas obrigações surgem juntas: o produto colocado no mercado e os dados pessoais processados através da nuvem do vendedor, que para uma câmera incluem imagens de pessoas identificáveis e frequentemente áudio.

Limiares e isenções

Sem limite para nenhum dos dois. Mesmo uma única câmera vendida a um consumidor aciona as obrigações do produto, e qualquer armazenamento em nuvem de gravações de usuários da UE aciona o Art. 3(2) GDPR.

O que deve constar do rótulo

Marca CE, detalhes do fabricante e do representante da UE, modelo e número de série, bandas de frequência e potência transmitida, o símbolo WEEE, e a partir de dezembro de 2027 o período de suporte do CRA e ponto de contato de vulnerabilidade. No aplicativo e aviso de privacidade, a identidade e os detalhes de contato do representante do Art. 27.

Campos nos marketplaces

Os marketplaces exigem a pessoa responsável pela UE e a declaração de conformidade em caso de contestação. Câmeras com senhas padrão codificadas ou streams não criptografados foram removidas após a aplicação coordenada, e os requisitos de cibersegurança da RED desde agosto de 2025 elevaram ainda mais o padrão.

Documentação a conservar

Declaração de conformidade da UE, arquivo técnico, relatórios de testes de rádio e segurança, documentação de cibersegurança sob a EN 18031, e a partir de 2026 o processo de tratamento de vulnerabilidades do CRA e SBOM. Do lado dos dados: o registro do Art. 30, a designação do Art. 27, uma avaliação de impacto sobre a proteção de dados, regras de retenção para gravações e o mecanismo de transferência onde gravações saem da União.

Normas e ensaios

EN 300 328 e normas de rádio relacionadas, EN IEC 62368-1 para segurança, EN 55032 e EN 55035 para EMC, e EN 18031 para os requisitos de proteção de rede, proteção de dados e prevenção de fraudes. Testes de penetração não são obrigatórios, mas são a maneira prática de evidenciar os requisitos de cibersegurança.

Requisitos linguísticos

Instruções e avisos na língua nacional, e as informações de privacidade na língua dos usuários envolvidos.

A partir de quando

Documentação do produto antes de ser colocado no mercado. Requisitos de cibersegurança aplicáveis desde 1 de agosto de 2025. Relato de vulnerabilidades do CRA a partir de 11 de setembro de 2026, CRA completo a partir de 11 de dezembro de 2027. O representante do GDPR antes que as gravações dos usuários da UE sejam processadas.

Prazo de conservação

Dez anos para documentação técnica, ou o período de suporte do CRA se for mais longo. As gravações não devem ser retidas por mais tempo do que o necessário, e uma retenção padrão ilimitada é, por si só, uma infração.

Em caso de incumprimento

Do lado do produto, retirada, recusa aduaneira e remoção do marketplace. Do lado dos dados, até €20 milhões ou 4% do faturamento, e as autoridades de proteção de dados multaram vendedores de câmeras por streams inseguros, retenção excessiva e upload padrão em nuvem. Uma violação que expõe gravações aciona a notificação do Art. 33 dentro de 72 horas.

Quem fiscaliza

Autoridades de vigilância do mercado e reguladores de rádio para o dispositivo, CSIRTs para relato do CRA, e autoridades de proteção de dados para as gravações.

Onde está a fronteira

Monitores de bebê e campainhas levantam uma questão adicional que o vendedor não pode controlar, mas deve projetar: o próprio processamento do usuário de imagens de vizinhos e visitantes, que as autoridades abordaram por meio de orientações sobre o uso de câmeras domésticas. Vendedores que default para upload em nuvem, ou que tornam o armazenamento local impossível, foram criticados precisamente porque a escolha de design remove a capacidade do usuário de cumprir.

Perguntas frequentes

Precisamos de um operador do Art. 4 e de um representante do GDPR?

Para uma câmera conectada, sim. Um cobre o dispositivo colocado no mercado, o outro o processamento de gravações de pessoas na União.

O que mudou para as câmeras em agosto de 2025?

O Regulamento Delegado da RED tornou a proteção de rede, a proteção de dados pessoais e a prevenção de fraudes requisitos essenciais. Senhas padrão e streams não criptografados não são mais aceitos.