This document is an excerpt from the EUR-Lex website
Document 32021R2078
Commission Implementing Regulation (EU) 2021/2078 of 26 November 2021 laying down rules for the application of Regulation (EU) 2017/745 of the European Parliament and of the Council as regards the European Database on Medical Devices (Eudamed)
Regulamento de Execução (UE) 2021/2078 da Comissão de 26 de novembro de 2021 que estabelece as normas de execução do Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho no que se refere à Base de Dados Europeia sobre Dispositivos Médicos (Eudamed)
Regulamento de Execução (UE) 2021/2078 da Comissão de 26 de novembro de 2021 que estabelece as normas de execução do Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho no que se refere à Base de Dados Europeia sobre Dispositivos Médicos (Eudamed)
C/2021/8447
JO L 426 de 29.11.2021, p. 9–15
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
29.11.2021 |
PT |
Jornal Oficial da União Europeia |
L 426/9 |
REGULAMENTO DE EXECUÇÃO (UE) 2021/2078 DA COMISSÃO
de 26 de novembro de 2021
que estabelece as normas de execução do Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho no que se refere à Base de Dados Europeia sobre Dispositivos Médicos (Eudamed)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta o Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos, que altera a Diretiva 2001/83/CE, o Regulamento (CE) n.o 178/2002 e o Regulamento (CE) n.o 1223/2009 e que revoga as Diretivas 90/385/CEE e 93/42/CEE do Conselho (1), nomeadamente o artigo 33.o, n.o 8,
Considerando o seguinte:
(1) |
O Regulamento (UE) 2017/745 exige que a Comissão estabeleça as modalidades pormenorizadas necessárias para a criação e manutenção da base de dados europeia sobre dispositivos médicos («Eudamed»). |
(2) |
O Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho (2) exige que a Comissão crie, mantenha e gira a Eudamed, em conformidade com as condições e modalidades pormenorizadas estabelecidas pelo Regulamento (UE) 2017/745. |
(3) |
Tal como previsto nos Regulamentos (UE) 2017/745 e (UE) 2017/746, a Comissão, as autoridades competentes, as autoridades responsáveis pelos organismos notificados, os organismos notificados, os fabricantes, os mandatários, os importadores, as pessoas singulares ou coletivas referidas no artigo 22.o, n.o 1, do Regulamento (UE) 2017/745 (produtores de sistemas ou conjuntos para intervenções) e os promotores de investigações clínicas e estudos de desempenho devem ter acesso e utilizar a Eudamed para efeitos do cumprimento das suas obrigações e da execução das suas tarefas ao abrigo desses regulamentos. Por conseguinte, é necessário assegurar a acessibilidade da Eudamed através de um sítio Web restrito. Além disso, a Eudamed deve disponibilizar ao público informações adequadas sobre os dispositivos colocados no mercado, os certificados correspondentes emitidos pelos organismos notificados, os operadores económicos e as investigações clínicas pertinentes. Por conseguinte, é igualmente necessário que a Eudamed seja acessível através de um sítio Web público. Além disso, para permitir o intercâmbio de dados entre a Eudamed e as bases de dados nacionais, é necessário que a Eudamed seja acessível através de serviços de intercâmbio de dados máquina-máquina. |
(4) |
No que diz respeito às pessoas singulares e coletivas que necessitam de ter acesso à Eudamed através do sítio Web restrito, é necessário especificar as condições e o procedimento para a concessão desse acesso. |
(5) |
A Comissão estabeleceu a Nomenclatura Europeia dos Dispositivos Médicos (EMDN), tal como previsto nos Regulamentos (UE) 2017/745 e (UE) 2017/746. A EMDN deve, por conseguinte, ser disponibilizada gratuitamente na Eudamed e utilizada para fornecer informações sobre dispositivos médicos na Eudamed. |
(6) |
A fim de assegurar que os utilizadores da Eudamed recebem o apoio necessário quando utilizam a base de dados, a Comissão deve prestar-lhes assistência técnica e administrativa em tempo útil relativamente à Eudamed. |
(7) |
Em caso de indisponibilidade técnica ou avaria da Eudamed, os utilizadores autorizados devem poder continuar a cumprir as suas obrigações. Por conseguinte, é necessário especificar mecanismos alternativos a utilizar para o intercâmbio de dados nessa eventualidade e estabelecer regras de contingência para esses mecanismos. |
(8) |
As regras em matéria de segurança informática estabelecidas na Decisão (UE, Euratom) 2017/46 da Comissão (3) são aplicáveis à Eudamed. Para que a Eudamed funcione de forma segura e para que esteja protegida contra ameaças à disponibilidade, integridade e confidencialidade das suas funcionalidades e dos seus dados, devem ser estabelecidas regras de segurança adicionais. |
(9) |
Para minimizar os riscos e combater a potencial utilização fraudulenta da Eudamed, devem ser estabelecidas disposições específicas em matéria de atividade fraudulenta na Eudamed por parte dos utilizadores. |
(10) |
A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (4) e emitiu um parecer em 9 de julho de 2021. |
(11) |
As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité dos Dispositivos Médicos, |
ADOTOU O PRESENTE REGULAMENTO:
Artigo 1.o
Definições
Para efeitos do presente regulamento, entende-se por:
1) |
«ator», a Comissão, uma autoridade competente, uma autoridade responsável pelos organismos notificados, um organismo notificado, um fabricante, um mandatário, um importador, um produtor de sistemas ou conjuntos para intervenções ou um promotor, que tenha sido registado na Eudamed, em conformidade com o artigo 3.o do presente regulamento, a fim de cumprir as suas obrigações estabelecidas nos Regulamentos (UE) 2017/745 e (UE) 2017/746; |
2) |
«utilizador autorizado», uma pessoa singular a quem foi concedido acesso à Eudamed, através do sítio Web restrito, para atuar em nome de um ator; |
3) |
«administrador local de ator» (ALA), um utilizador autorizado, que tem o direito de gerir determinadas informações relacionadas com os dados do ator, e de conceder a outras pessoas singulares acesso à Eudamed, através do sítio Web restrito, para atuarem em nome desse ator; |
4) |
«administrador local de utilizador» (ALU), um utilizador autorizado, que tem o direito de conceder a outras pessoas singulares acesso à Eudamed, através do sítio Web restrito, para atuarem em nome de um ator; |
5) |
«avaria», uma falha significativa no funcionamento da Eudamed, incluindo toda e qualquer falha provocada por circunstâncias imprevisíveis ou por força maior, que possa afetar negativamente a segurança informática ou prejudicar a disponibilidade de qualquer das funcionalidades dos sistemas eletrónicos da Eudamed referidos no artigo 33.o, n.o 2, do Regulamento (UE) 2017/745. |
Artigo 2.o
Modos de acesso
1. A Eudamed deve ser acessível aos utilizadores autorizados através de um sítio Web restrito («sítio Web restrito») e aos utilizadores não identificados através de um sítio Web público («sítio Web público»).
2. A Eudamed deve ser acessível, através de serviços de intercâmbio de dados máquina-máquina, às autoridades competentes referidas no artigo 101.o do Regulamento (UE) 2017/745 e no artigo 96.o do Regulamento (UE) 2017/746 («autoridades competentes») e aos organismos notificados registados na Eudamed em conformidade com o artigo 3.o do presente regulamento. A Comissão deve fornecer a cadaEstado-Membro e a cada organismo notificado pontos de acesso para intercâmbio de dados, que lhes permita, mediante pedido, utilizar os referidos serviços de intercâmbio de dados. A Eudamed deve ser acessível através de serviços de intercâmbio de dados
máquina-máquina a outros atores que não as autoridades competentes e organismos notificados, desde que o ALA do ator em causa apresente um pedido nesse sentido, tal como referido no artigo 3.o, n.o 8, primeiro parágrafo. A Comissão deve aprovar esse pedido mediante o cumprimento da condição estabelecida no artigo 3.o, n.o 8, segundo parágrafo.
Artigo 3.o
Registo na Eudamed e acesso à Eudamed através do sítio Web restrito
1. Para que lhes seja concedido acesso à Eudamed através do sítio Web restrito, as pessoas singulares devem criar uma conta no sítio Web do serviço de autenticação da Comissão.
2. A Comissão deve efetuar o registo das autoridades competentes e das autoridades responsáveis pelos organismos notificados e deve conceder acesso ao sítio Web restrito a uma primeira pessoa singular que atue em nome daquelas entidades. Para o efeito, os Estados-Membros devem fornecer à Comissão informações sobre as autoridades competentes, as autoridades responsáveis pelos organismos notificados e as pessoas singulares que se tornarão os primeiros utilizadores autorizados dessas autoridades.
3. A Comissão deve efetuar o registo dos organismos notificados na Eudamed com base nas informações constantes da base de dados dos organismos notificados desenvolvida e gerida pela Comissão (NANDO).
Para que lhe seja concedido acesso à Eudamed através do sítio Web restrito, a primeira pessoa singular que atua em nome de um ator que seja um organismo notificado deve apresentar um pedido de acesso através do sítio Web restrito. A autoridade responsável pelo organismo notificado deve aprovar o pedido.
4. Para registar na Eudamed outras entidades que não as mencionadas nos n.os 2 e 3, uma pessoa singular que atue em nome do potencial ator deve apresentar um pedido de registo de ator através do sítio Web restrito. O pedido de registo de ator deve incluir a declaração assinada sobre as responsabilidades em matéria de segurança da informação a que se refere o artigo 10.o, n.o 1. A autoridade nacional competente deve aprovar o pedido de registo de ator, exceto se o pedido disser respeito a um promotor de uma investigação clínica ou de um estudo de desempenho.
Após aprovação do pedido de registo de ator ou, no caso de um promotor, quando o pedido de registo de ator tiver sido apresentado, deve ser automaticamente concedido acesso ao sítio Web restrito à pessoa singular que apresentou esse pedido, tal como referido no primeiro parágrafo, e essa pessoa deve tornar-se o primeiro utilizador autorizado, mediante o cumprimento das condições previstas no n.o 6.
Para efeitos do presente número, a autoridade nacional competente é a autoridade do local de estabelecimento do potencial ator. No que diz respeito aos fabricantes estabelecidos fora da União, a autoridade nacional competente é a autoridade responsável pelo mandatário mencionado no pedido de registo de ator. No que diz respeito aos produtores de sistemas ou conjuntos para intervenções estabelecidos fora da União, a autoridade nacional competente deve ser a autoridade do Estado-Membro onde o primeiro sistema ou conjunto para intervenções desse produtor será colocado no mercado.
5. Para que uma pessoa singular possa ter acesso ao sítio Web restrito para atuar em nome de um ator, essa pessoa deve apresentar um pedido de acesso através do sítio Web restrito. Um ALA ou ALU desse ator deve aprovar o pedido de acesso.
6. Para se tornarem utilizadores autorizados, as pessoas singulares devem aceitar os direitos e obrigações do utilizador estabelecidos no documento referido no artigo 10.o, n.o 1, alínea a), e consultar a declaração de confidencialidade referida na alínea c) do mesmo artigo.
7. O primeiro utilizador autorizado de um ator é automaticamente o primeiro ALA desse ator.
8. Um ALA pode, através do sítio Web restrito, apresentar à Comissão um pedido de ligação máquina-máquina para realizar intercâmbios de dados entre a base de dados do ator e a Eudamed.
A Comissão pode aprovar o pedido referido no primeiro parágrafo, desde que o ALA tenha confirmado que o ator cumpre os requisitos de segurança da informação para o intercâmbio de dados referidos no artigo 10.o, n.o 1.
Artigo 4.o
Nomenclatura
Os utilizadores autorizados devem utilizar os códigos de acesso aberto da Nomenclatura Europeia dos Dispositivos Médicos (EMDN) ao prestarem informações sobre dispositivos médicos na Eudamed.
A Comissão deve disponibilizar gratuitamente a EMDN na Eudamed.
Artigo 5.o
Apoio técnico e administrativo
1. A Comissão deve criar uma equipa de apoio à aplicação, acessível através de uma caixa de correio funcional específica, para prestar assistência em tempo útil aos utilizadores da Eudamed.
2. A Comissão deve disponibilizar aos utilizadores da Eudamed a documentação técnica pertinente relativa à Eudamed, as perguntas frequentes relativas à Eudamed e a documentação de apoio aos serviços de intercâmbio de dados máquina-máquina.
Artigo 6.o
Propriedade e tratamento de dados pessoais
1. A Comissão deve ser proprietária da Eudamed e deter plenos direitos de administração.
2. Os dados pessoais devem ser tratados na Eudamed para efeitos de cumprimento das obrigações estabelecidas nos Regulamentos (UE) 2017/745 e (UE) 2017/746.
3. Devem ser tratadas as seguintes categorias de dados pessoais:
a) |
nomes dos atores e utilizadores autorizados; |
b) |
informações de contacto dos atores e utilizadores autorizados; |
c) |
identificação e informações de contacto, bem como dados sobre as qualificações profissionais de outras pessoas singulares ou coletivas, que devem ser introduzidos na Eudamed para efeitos do cumprimento das obrigações estabelecidas nos Regulamentos (UE) 2017/745 e (UE) 2017/746. |
Artigo 7.o
Regras de funcionamento
1. A introdução de dados na Eudamed é considerada executada na data e hora em que os dados são registados com sucesso na Eudamed. A data e a hora de introdução são determinadas com base na hora da Europa Central (CET) ou na hora de verão da Europa Central (CEST), consoante o caso.
2. A Eudamed deve estar permanentemente acessível, exceto durante períodos de inatividade necessários e previamente comunicados devido a atividades de manutenção, incluindo a disponibilização de novas versões. A Comissão deve publicar antecipadamente um aviso a esse respeito no sítio Web restrito ou público, consoante o caso.
Artigo 8.o
Avarias
1. A Comissão deve tomar todas as medidas necessárias para evitar a ocorrência de quaisquer avarias e deve identificá-las, sem demora injustificada, no momento em que ocorram.
2. Se um ator ou um utilizador autorizado suspeitar de uma avaria, deve informar imediatamente a Comissão desse facto.
3. Se a Comissão detetar uma avaria, deve tomar as seguintes medidas:
a) |
publicar sem demora um aviso a esse respeito («aviso de avaria») no sítio Web restrito ou público, consoante o caso, a menos que impedida de o fazer pela natureza da avaria, em cujo caso deve, na medida do possível, publicar o aviso no sítio Web específico da Comissão para dispositivos médicos; |
b) |
suspender os prazos para a introdução de dados na Eudamed previstos nos Regulamentos (UE) 2017/745 e (UE) 2017/746, se a anomalia impedir a introdução dos dados pertinentes. |
Se a Comissão suspender os prazos para a introdução de dados na Eudamed, tal como previsto no primeiro parágrafo, alínea b), o aviso de avaria deve especificar a hora em que foi publicado e a duração provável da suspensão.
4. Para além dos períodos de suspensão referidos no n.o 3, primeiro parágrafo, alínea b), do presente artigo, se uma anomalia impedir o cumprimento de qualquer uma das obrigações referidas no artigo 80.o, no artigo 87.o, n.o 1, no artigo 89.o, n.os 5, 7, 8 e 9, no artigo 95.o, n.os 2, 4 e 6, ou no artigo 98.o, n.o 2, do Regulamento (UE) 2017/745, ou no artigo 76.o, no artigo 82.o, n.o 1, no artigo 84.o, n.os 5, 7, 8 e 9, no artigo 90.o, n.os 2, 4 e 6 ou no artigo 93.o, n.o 2, do Regulamento (UE) 2017/746, é aplicável um dos seguintes procedimentos:
a) |
se a avaria durar mais de 12 horas a partir do momento da publicação do aviso de avaria, o ator deve transmitir sem demora à Comissão, às autoridades nacionais competentes em causa e ao organismo notificado que emitiu o certificado de conformidade a que se refere o artigo 56.o do Regulamento (UE) 2017/745 ou o artigo 51.o do Regulamento (UE) 2017/746, consoante o caso, informações gerais sobre os dados pertinentes e uma indicação de que a introdução de dados está pendente devido à avaria; |
b) |
se a avaria durar mais de 24 horas a partir do momento da publicação do aviso de avaria, ou se a avaria durar menos de 24 horas e as autoridades nacionais competentes em causa o solicitarem depois de receberem as informações referidas na alínea a) do presente número, o ator deve transmitir sem demora a essas autoridades os dados pertinentes, da forma por elas prescrita. |
5. Para além dos períodos de suspensão referidos no n.o 3, primeiro parágrafo, alínea b), do presente artigo, se uma anomalia impedir o cumprimento de qualquer outra das obrigações referidas no Regulamento (UE) 2017/745 ou no Regulamento (UE) 2017/746, que não as referidas no n.o 4 do presente artigo, é aplicável o seguinte procedimento:
a) |
se a avaria durar mais de 36 horas a partir do momento da publicação do aviso de avaria, o ator deve transmitir sem demora à Comissão, às autoridades nacionais competentes em causa e ao organismo notificado que emitiu o certificado de conformidade a que se refere o artigo 56.o do Regulamento (UE) 2017/745 ou o artigo 51.o do Regulamento (UE) 2017/746, consoante o caso, informações gerais sobre os dados e uma indicação de que a introdução de dados está pendente devido à avaria; |
b) |
se a avaria durar mais de cinco dias a partir do momento da publicação do aviso de avaria, o ator deve informar as autoridades nacionais competentes do facto e, se estas o solicitarem, transmitir-lhes os dados pertinentes, da forma por elas prescrita. |
6. Quando a Comissão confirmar o fim da anomalia, deve informar as autoridades competentes. Além disso, a Comissão deve publicar um aviso a esse respeito no sítio Web restrito e/ou público, consoante o caso. Tanto a comunicação como o aviso devem indicar a duração da avaria e os períodos de suspensão referidos no n.o 3, alínea b).
7. Quando a Comissão publicar o aviso referido no n.o 6, os atores devem introduzir sem demora os dados que foram impedidos de introduzir durante a avaria na Eudamed.
Artigo 9.o
Sítios Web para fins de teste e formação
1. A Comissão deve disponibilizar aos atores sítios Web para efeitos de teste e formação relativamente à utilização da Eudamed («sítios Web para teste e formação»).
Os dados introduzidos nos sítios Web para teste e formação devem ser considerados fictícios e não devem ser disponibilizados ao público.
2. Antes de utilizar pela primeira vez serviços de intercâmbio de dados máquina-máquina, o ator deve efetuar pelo menos uma tentativa bem-sucedida de introdução de dados através de um sítio Web para teste e formação.
3. Qualquer alteração que a Comissão tencione introduzir nos serviços de intercâmbio de dados máquina-máquina da Eudamed deve, em primeiro lugar, ser por ela introduzida nos sítios Web para teste e formação e estar disponível nesses sítios Web por um período a definir previamente pela Comissão em colaboração com o Grupo de Coordenação dos Dispositivos Médicos, criado nos termos do artigo 103.o do Regulamento (UE) 2017/745.
A Comissão deve informar previamente os atores em causa, através da Eudamed, das alterações previstas e do seu período de disponibilidade nos sítios Web para teste e formação.
Artigo 10.o
Segurança dos Sistemas de Informação
1. A Comissão deve disponibilizar os seguintes documentos no sítio Web restrito:
a) |
um documento sobre os direitos e obrigações dos utilizadores; |
b) |
a declaração sobre as responsabilidades em matéria de segurança da informação; |
c) |
a declaração de confidencialidade; |
d) |
os requisitos de segurança da informação para o intercâmbio de dados. |
2. Os atores devem cumprir os termos e condições estabelecidos nos documentos referidos no n.o 1, alínea b), e, se aplicável, alínea d).
3. A Comissão pode suspender todo e qualquer acesso à Eudamed se suspeitar que ocorreu ou está a decorrer um incidente de segurança informática, um risco de segurança informática ou uma ameaça à segurança informática, nas aceções do artigo 2.o, pontos 15, 22 e 25, da Decisão (UE, Euratom) 2017/46, que considere potencialmente prejudicial para a Eudamed, para os dados ou para a confidencialidade da base de dados («incidente de segurança informática», «risco de segurança informática» ou «ameaça à segurança informática»).
4. A Comissão pode suspender a totalidade ou parte das funcionalidades dos sistemas eletrónicos da Eudamed se identificar um incidente de segurança informática, uma ameaça à segurança informática ou um risco de segurança informática.
Se a suspensão referida no primeiro parágrafo impedir a introdução de dados na Eudamed, aplica-se, mutatis mutandis, o artigo 8.o, n.os 3, 4 e 5.
5. Qualquer ator ou utilizador autorizado que tome conhecimento ou suspeite de um incidente de segurança informática, de uma ameaça à segurança informática ou de um risco de segurança informática deve informar imediatamente desse facto a Comissão e os Estados-Membros em causa.
Artigo 11.o
Atividade fraudulenta dos utilizadores na Eudamed
1. Se uma autoridade competente, um ALA ou um ALU suspeitar de um pedido de acesso fraudulento à Eudamed, deve recusar o pedido e informar imediatamente a Comissão dessa recusa através da equipa de apoio à aplicação referida no artigo 5.o, n.o 1, especificando que se trata de uma suspeita de pedido de acesso fraudulento.
2. Se a Comissão tiver uma suspeita razoável de atividade fraudulenta por parte de um utilizador autorizado que afete a segurança informática da Eudamed, deve suspender temporariamente o acesso desse utilizador autorizado à Eudamed. Nesse caso, a Comissão deve informar sem demora todos os Estados-Membros e os atores em causa da suspensão e da sua justificação.
3. Qualquer ator ou utilizador autorizado que suspeite de uma atividade fraudulenta por parte de um utilizador autorizado deve informar sem demora a Comissão e os Estados-Membros dessa suspeita de atividade fraudulenta recorrendo à equipa de apoio à aplicação referida no artigo 5.o, n.o 1.
4. Se a Comissão constatar uma atividade fraudulenta na Eudamed, deve revogar imediatamente o acesso dos utilizadores autorizados em causa à Eudamed e tomar as medidas necessárias, incluindo, se aplicável, bloquear qualquer acesso futuro à Eudamed proveniente de contas conexas criadas no sítio Web do serviço de autenticação da Comissão. A Comissão deve informar sem demora as autoridades nacionais competentes e os atores em causa de quaisquer medidas tomadas nos termos do presente número.
Artigo 12.o
Entrada em vigor
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
Feito em Bruxelas, em 26 de novembro de 2021.
Pela Comissão
A Presidente
Ursula VON DER LEYEN
(1) JO L 117 de 5.5.2017, p. 1.
(2) Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos para diagnóstico in vitro e que revoga a Diretiva 98/79/CE e a Decisão 2010/227/UE da Comissão (JO L 117 de 5.5.2017, p. 176).
(3) Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (JO L 6 de 11.1.2017, p. 40).
(4) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).