Monitores contínuos de glicose e dispositivos de terapia conectados

• Regulation (EU) 2017/745 — MDR
• Regulation (EU) 2017/746 — IVDR for measuring devices
• Regulation (EU) 2016/679 — GDPR, Articles 9 and 27
• Regulation (EU) 2024/2847 — CRA
• Directive 2014/53/EU

Quem tem de designar

Fabricantes fora da União que colocam dispositivos médicos conectados no mercado da UE. Três regimes se sobrepõem: conformidade do dispositivo, proteção de dados de saúde e, a partir de 2027, cibersegurança para o elemento conectado.

Limiares e isenções

Nenhum. Esses dispositivos são tipicamente Classe IIb ou III, exigindo a participação de um organismo notificado e evidência clínica.

O que deve constar do rótulo

Marca CE com o número do organismo notificado, detalhes do fabricante e do REP da CE, UDI e Basic UDI-DI, número do lote ou de série, e as instruções de uso. O aplicativo e a nuvem contêm o representante do Artigo 27 no aviso de privacidade.

Campos nos marketplaces

Os órgãos de reembolso exigem o registro do dispositivo e evidência clínica, e a aquisição hospitalar adiciona requisitos de segurança que excedem o mínimo regulatório.

Documentação a conservar

Documentação técnica do MDR ou IVDR, avaliação clínica ou de desempenho, gestão de riscos, vigilância pós-comercialização e PSUR, registro no EUDAMED, o mandato do Artigo 11, e do lado dos dados o registro do Artigo 30, a condição do Artigo 9 para dados de saúde, uma avaliação de impacto sobre a proteção de dados e o mecanismo de transferência.

Normas e ensaios

Série IEC 60601 para equipamentos médicos elétricos, IEC 62304 para ciclo de vida de software, IEC 62366 para usabilidade, desempenho analítico e clínico para dispositivos de medição, e testes de cibersegurança sob a orientação do dispositivo e, a partir de 2027, o CRA.

Requisitos linguísticos

Instruções de uso e conteúdo do aplicativo na língua exigida por cada estado membro, que para dispositivos voltados para pacientes é obrigatório.

A partir de quando

Certificação e registro antes da colocação no mercado. Relatórios de vulnerabilidade do CRA a partir de setembro de 2026 se aplicam aos elementos conectados não excluídos pela carve-out setorial.

Prazo de conservação

Dez anos sob o MDR, quinze para implantáveis. Dados de saúde apenas enquanto necessário, com a retenção clínica justificada separadamente.

Em caso de incumprimento

Retirada, suspensão de certificado e multas do GDPR de até 4% para os dados de saúde. Uma vulnerabilidade em um dispositivo de terapia é um evento de segurança do paciente, assim como um evento de segurança.

Quem fiscaliza

Autoridades competentes de dispositivos médicos, organismos notificados, autoridades de proteção de dados e CSIRTs.

Onde está a fronteira

Dispositivos já cobertos pelos requisitos de cibersegurança do MDR estão em grande parte excluídos do CRA para evitar duplicação, mas o aplicativo e a nuvem ao redor deles podem não estar. Dados de saúde são dados de categoria especial, mesmo quando o dispositivo é prescrito, e o consentimento explícito geralmente não é a base correta em um contexto clínico.

Perguntas frequentes

Precisamos de um representante do MDR e de um do GDPR?

Para um dispositivo conectado com um serviço em nuvem, efetivamente sim: são papéis diferentes sob regulamentos diferentes com responsabilidades diferentes.

O aplicativo também é um dispositivo médico?

Se ele direciona ou influencia o tratamento, sim, e é avaliado como parte do dispositivo ou como um dispositivo por si só.