Smartwatches, rastreadores de fitness e wearables

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2016/679 — GDPR, Article 27 and Article 9
• Regulation (EU) 2017/745 — MDR where a medical purpose is claimed
• Regulation (EU) 2024/2847 — CRA

Quem tem de designar

Fabricantes fora da União que vendem wearables para consumidores da UE. Esta categoria quase sempre aciona duas nomeações separadas ao mesmo tempo: uma para o hardware colocado no mercado e outra para os dados pessoais processados através do aplicativo acompanhante, pois os dados de saúde e biométricos dos usuários da UE são processados pela nuvem do fornecedor.

Limiares e isenções

Nenhum limite para qualquer obrigação. O que muda completamente a situação é a alegação: um rastreador de passos e sono é um produto de consumo, enquanto um dispositivo que afirma detectar fibrilação atrial, medir pressão arterial ou diagnosticar apneia do sono é um dispositivo médico que requer um organismo notificado.

O que deve constar do rótulo

Marca CE, detalhes do fabricante e do representante da UE, modelo e número de série, bandas de frequência e potência máxima transmitida nas instruções, o símbolo WEEE e marcações de bateria. No aplicativo e aviso de privacidade, a identidade e os detalhes de contato do representante do Art. 27.

Campos nos marketplaces

Os marketplaces exigem a pessoa responsável da UE e, para dispositivos sem fio, a declaração de conformidade sob desafio. As lojas de aplicativos exigem um contato de privacidade e verificam a linguagem de alegação de saúde, e rejeitam aplicativos cujas descrições prometem diagnóstico sem um registro do dispositivo.

Documentação a conservar

Para o hardware: declaração de conformidade da UE, arquivo técnico, relatórios de testes de rádio e segurança, documentação de cibersegurança sob EN 18031, registros de bateria e WEEE. Para o lado dos dados: o registro de processamento do Art. 30, a designação do Art. 27, uma base legal para o processamento de dados de saúde sob o Art. 9 — na prática, consentimento explícito — uma avaliação de impacto sobre a proteção de dados e o mecanismo de transferência para dados que saem da União.

Normas e ensaios

EN 300 328 e os padrões de rádio relevantes, EN IEC 62368-1 para segurança, EN 55032 e EN 55035 para EMC, IEC 62133 para a célula, testes de sensibilização da pele para materiais em contato prolongado, e onde existe uma alegação médica, avaliação clínica sob o MDR.

Requisitos linguísticos

Instruções do dispositivo e informações de segurança na língua nacional de cada estado membro. O aviso de privacidade e os fluxos de consentimento na língua do usuário, uma vez que o Art. 12 GDPR exige informações inteligíveis.

A partir de quando

Documentação do hardware antes de colocar no mercado; o representante do GDPR antes que o processamento dos dados dos usuários da UE comece, o que na prática significa antes que o aplicativo esteja disponível para download na União. O relatório de vulnerabilidade do CRA se aplica a partir de 11 de setembro de 2026.

Prazo de conservação

Documentação técnica por dez anos. Registros de processamento durante a vida do processamento mais evidência do período. Dados de saúde não devem ser mantidos por mais tempo do que o necessário, e uma retenção indefinida por padrão é uma infração.

Em caso de incumprimento

Duas exposições paralelas. Do lado do produto: retirada, recusa aduaneira, remoção de marketplace e multas nacionais. Do lado dos dados: até €20 milhões ou 4% do faturamento por processamento ilegal de dados de saúde, e até €10 milhões ou 2% por não designar um representante. Wearables atraíram a atenção das autoridades precisamente porque os dados de saúde são dados de categoria especial processados em grande escala.

Quem fiscaliza

Autoridades de vigilância do mercado e reguladores de rádio para o dispositivo, autoridades de proteção de dados para o processamento, e autoridades competentes de dispositivos médicos onde uma alegação médica é feita.

Onde está a fronteira

A alegação decide qual regime se aplica ao mesmo hardware. 'Rastreia sua atividade' é um produto de consumo. 'Detecta ritmo cardíaco irregular' é um dispositivo médico, geralmente Classe IIa, exigindo um organismo notificado e evidência clínica. Vendedores frequentemente escrevem alegações médicas em marketing enquanto declaram um produto de consumo no arquivo técnico, e essa inconsistência é exatamente o que uma autoridade procura.

Perguntas frequentes

Precisamos de uma pessoa responsável pelo GPSR e um representante do GDPR?

Para um wearable conectado, efetivamente sim: uma para o dispositivo colocado no mercado e uma para os dados pessoais processados através do aplicativo. Eles são papéis legais diferentes sob regulamentos diferentes.

Os dados de frequência cardíaca são dados de saúde sob o GDPR?

Dados que revelam informações sobre o estado de saúde são dados de categoria especial sob o Art. 9. Frequência cardíaca contínua, métricas de sono e estresse são rotineiramente tratados dessa forma pelas autoridades, o que significa consentimento explícito e um padrão mais alto em todo o processo.

Podemos confiar em interesses legítimos para a análise?

Para dados de categoria especial, não. O Art. 9 exige uma condição separada, e para um wearable de consumo isso é consentimento explícito, dado livremente e separável da compra.