EXPOSIÇÃO DE MOTIVOS
1.CONTEXTO DO ATO DELEGADO
Um grande número de equipamentos de rádio é utilizado diariamente, não apenas por consumidores adultos ou utilizadores profissionais, mas também por utilizadores vulneráveis, como as crianças.
Por um lado, o Parlamento Europeu e o Conselho têm apelado repetidamente à necessidade de reforçar a cibersegurança na UE, reconhecendo a crescente importância dos equipamentos de rádio ligados, incluindo máquinas, sensores e redes que compõem a Internet das coisas e as preocupações de segurança conexas. O quadro da UE é composto por diversos atos legislativos que abrangem aspetos ligados à cibersegurança ou a alguns dos seus elementos. Ao tratar de determinadas questões de cibersegurança, diferentes agentes/partes interessadas podem ter obrigações específicas para contribuir de modo a assegurar que todo o ecossistema permanece em segurança. Por exemplo, os operadores de rede e prestadores de serviços devem garantir que os seus sistemas e plataformas são seguros, os fabricantes de equipamentos devem garantir que estes são concebidos tendo em conta os princípios de segurança, os utilizadores devem estar cientes dos riscos ao executar determinadas operações e da necessidade de realizar as atualizações necessárias dos equipamentos que utilizam, os Estados-Membros podem estabelecer prioridades. A cibersegurança de todo o ecossistema só é assegurada se todos os seus componentes forem ciberseguros.
Por outro lado, em dezembro de 2016, o Conselho dos Consumidores da Noruega avaliou as características técnicas de determinados brinquedos radioconectados. As suas conclusões apontam para uma eventual falha na proteção dos direitos das crianças à privacidade, proteção dos dados pessoais e segurança. Graças a altifalantes, microfones e outros sensores integrados, os brinquedos interligados são, por definição, «inteligentes» e podem, por exemplo, interpretar a fala, o que os torna capazes de interagir com a criança. Também podem registar não só fotografias, vídeos, dados de geolocalização, dados ligados à experiência de brincar, mas também a frequência cardíaca, os hábitos de sono ou outros dados biométricos. O relatório também mostra que alguns destes brinquedos podem igualmente publicitar produtos quando interagem com a criança, o que pode não estar em conformidade com a transparência esperada deste tipo de produtos. Por este motivo, os seus resultados levaram as associações europeias de consumidores a apelar a uma intervenção.
Os brinquedos são apenas uma parte de um setor mais amplo, que apresenta riscos similares. A Diretiva 2009/48/CE estabelece requisitos de segurança que os brinquedos abrangidos pelo âmbito de aplicação dessa diretiva devem cumprir antes de poderem ser comercializados na União. Contudo, os requisitos estabelecidos nessa diretiva não incluem, por exemplo, requisitos que assegurem a proteção dos dados pessoais e a privacidade ou a proteção de fraudes.
Os aparelhos inteligentes, câmaras inteligentes e uma série de outros equipamentos de rádio ligados, como os telemóveis, computadores portáteis, adaptadores ou chaves (dongles), sistemas de alarme e sistemas de automação residencial, também são exemplos de equipamentos em risco de sofrer problemas de privacidade e pirataria informática quando estão ligados à Internet. Além disso, os equipamentos de rádio usáveis (por exemplo, anéis, pulseiras, clipes de bolso, auscultadores, monitores de atividade física, etc.) podem monitorizar e registar diversos dados sensíveis do utilizador ao longo do tempo (por exemplo, posição, temperatura, pressão arterial, frequência cardíaca) e retransmiti-los, não só na Internet, mas também através de tecnologias das comunicações de curto alcance não seguras. A Diretiva Equipamentos de Rádio 2014/53/UE (DER) estabelece um quadro regulamentar para a colocação de equipamentos de rádio no mercado único. Diz respeito a condições obrigatórias de acesso ao mercado de equipamentos de rádio. A DER abrange equipamento elétrico e eletrónico que pode utilizar o espetro de radiofrequências para fins de radiocomunicação e/ou radiodeterminação. Os Estados-Membros, através das suas autoridades nacionais de fiscalização do mercado, devem tomar medidas corretivas relativamente a equipamentos de rádio não conformes.
O artigo 3.º da DER estabelece os requisitos essenciais que os equipamentos de rádio colocados no mercado da União devem cumprir. O artigo 3.º, n.º 1, alínea a), estabelece requisitos essenciais relativamente à saúde e segurança, o artigo 3.º, n.º 1, alínea b), estabelece requisitos essenciais relativamente à compatibilidade eletromagnética, e o artigo 3.º, n.º 2, estabelece requisitos essenciais relativamente à utilização efetiva e eficaz do espetro de radiofrequências. Além disso, o artigo 3.º, n.º 3, prevê requisitos essenciais adicionais, aplicáveis às categorias ou classes de equipamentos de rádio especificadas em atos delegados da Comissão conexos.
A DER habilita a Comissão a adotar atos delegados, a fim de tornar aplicável qualquer um dos requisitos essenciais estabelecidos no artigo 3.º, n.º 3, da DER, especificando cada um dos requisitos que devem dizer respeito às categorias ou classes de equipamentos de rádio. As três alíneas do artigo 3.º, n.º 3, segundo parágrafo, são pertinentes para esta iniciativa:
·artigo 3.º, n.º 3, alínea d), para assegurar a proteção das redes,
·artigo 3.º, n.º 3, alínea e), para assegurar salvaguardas para a proteção dos dados pessoais e da privacidade,
·artigo 3.º, n.º 3, alínea f), para assegurar a proteção de fraudes.
Contudo, o objetivo não é produzir regras adicionais ou que se sobreponham à legislação existente, mas sim assegurar que os princípios existentes, se for caso disso, sejam traduzidos em requisitos específicos para o fabrico de mercadorias a colocar no mercado da União com um certo grau de aplicação ou verificabilidade. É importante assegurar a complementaridade com o quadro da UE existente. Neste sentido, os equipamentos, produtos ou componentes de rádio aos quais se aplicam os Regulamentos (UE) 2019/2144e (UE) 2018/1139 ou a Diretiva (UE) 2019/520 não deverão enquadrar-se nas categorias ou classes de equipamentos de rádio que devem cumprir os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alíneas e) e f), da Diretiva 2014/53/UE.
Relativamente à proteção dos dados, as leis da União em matéria de dados pessoais e proteção da privacidade, tal como o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, regulamentam o tratamento dos dados pessoais e a proteção da privacidade, mas não regulamentam a colocação no mercado da União dos equipamentos de rádio.
O objetivo principal desta iniciativa é contribuir para reforçar o «ecossistema de confiança» que decorre das sinergias de todos os atos legislativos da UE conexos relativos à proteção das redes, da privacidade e de fraudes, que são mais pormenorizados na avaliação de impacto em anexo. Esta iniciativa deve então permitir apenas a entrada no mercado da UE dos equipamentos de rádio suficientemente seguros. Com os objetivos gerais em mente, a iniciativa pretende reforçar o respeito de determinados direitos fundamentais (por exemplo, privacidade) e apoiar os objetivos políticos estabelecidos noutros atos legislativos da UE que não permitem a aplicação das regras no mercado. Também são necessárias medidas oportunas, dada a extensão dos riscos e considerando que uma aplicabilidade rápida tem um impacto positivo nos objetivos políticos da UE existentes. A possibilidade de recorrer às habilitações existentes já concedidas à Comissão permitirá agir, em relação ao quadro existente e sem a necessidade de uma legislação adicional específica. A fim de dar resposta aos problemas relativos a produtos aos quais faltam características de segurança, um objetivo específico é fornecer às autoridades de fiscalização do mercado uma ferramenta de aplicação que lhes permita tomar medidas corretivas. Outro objetivo é assegurar um mercado único nos produtos em causa, livre de regulamentos nacionais ou locais divergentes que aumentam os encargos administrativos para as empresas mais pequenas, em particular. Um objetivo final é estabelecer condições de concorrência equitativas através de regras claras e equilibradas que sejam aplicadas de forma eficaz e uniforme em toda a UE.
A necessidade de regras do mercado interno que prevejam salvaguardas contra produtos e serviços inseguros é destacada na Comunicação Conjunta da Comissão e do Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança, de 16 de dezembro de 2020, relativa à estratégia de cibersegurança da UE para a década digital.
2.CONSULTAS ANTERIORES À ADOÇÃO DO ATO
A estratégia de consulta para esta iniciativa teve em conta todos os possíveis aspetos conexos, também em termos dos impactos para a sociedade (por exemplo, consumidores e operadores económicos), as autoridades nacionais, as condições comuns de acesso ao mercado e a execução de atos legislativos da UE adicionais, ou sinergias com os mesmos. Os comentários apresentados pelas partes interessadas foram utilizados em complemento dos elementos de prova adquiridos através de outras fontes de investigação (por exemplo, investigação documental).
As partes interessadas pertinentes eram: autoridades públicas responsáveis pelo tratamento de dados, pelo combate a fraudes e/ou pelos equipamentos de rádio, associações de operadores económicos, operadores económicos individuais, organizações de consumidores, cidadãos, instituições académicas/de investigação e organizações não governamentais competentes, organismos notificados, organizações europeias de normalização.
Foram levadas a cabo as seguintes atividades de consulta específicas:
·todas as partes interessadas poderiam apresentar comentários sobre a avaliação de impacto inicial durante um período de quatro semanas,
·foi iniciada uma consulta pública de 12 semanas no Portal Legislar Melhor da Comissão,
·uma consulta dedicada, dirigida especificamente aos Estados-Membros, operadores económicos (associações ou individuais), organizações de consumidores, organismos de avaliação da conformidade, consumidores ou outros peritos.
As partes interessadas também foram convidadas a participar no inquérito específico, incluindo aquelas que participaram na reunião do grupo de peritos sobre equipamentos de rádio. Destas, 56 optaram por responder mediante o preenchimento do questionário. Os 56 inquiridos eram provenientes de 20 países, incluindo 14 Estados-Membros da UE. O maior número de respostas (14) veio da Bélgica, sendo quase todas de organismos que representam fabricantes ou consumidores. A Alemanha foi o país seguinte mais bem representado, com 11 inquiridos, a maioria dos quais eram fabricantes. Dos Estados-Membros não pertencentes à UE, os EUA foram os mais bem representados, com cinco inquiridos, que incluíam uma combinação de fabricantes e organismos do setor. Houve um equilíbrio na dimensão das organizações inquiridas. As organizações de grande dimensão eram todas fabricantes ou administrações públicas nacionais, exceto dois organismos de avaliação da conformidade e uma universidade. Muitas das micro-organizações eram associações do setor ou de consumidores. As pequenas e médias organizações eram uma combinação de todos os tipos de organização.
Um total de 42 inquiridos concluiu a consulta pública aberta, composta por perguntas abertas e fechadas. O perfil do país dos inquiridos foi o seguinte:
·os 42 inquiridos eram provenientes de 14 Estados-Membros da UE,
·o maior número de respostas (8) proveio da Alemanha, das quais sete eram de cidadãos,
·seis eram da Bélgica, sendo todos órgãos representativos ao nível da UE (cinco associações empresariais e uma associação de consumidores),
·seis eram de Espanha, dos quais quatro eram autoridades públicas e dois eram empresas,
·nenhum dos inquiridos estava localizado fora da UE.
O perfil dos tipos de inquirido foi o seguinte:
·dos 42 inquiridos, um pouco mais de metade (22) eram cidadãos,
·os cidadãos eram provenientes de 10 Estados-Membros da UE,
·das seis autoridades públicas, quatro eram de Espanha, uma da Estónia e uma da Irlanda,
·das sete associações empresariais, cinco eram órgãos ao nível da UE sediados na Bélgica,
·as seis empresas eram provenientes de cinco países diferentes. Três eram microempresas, duas eram pequenas empresas e uma era uma empresa de grande dimensão,
·a única organização de consumidores era um órgão ao nível da UE sediado na Bélgica.
A consulta do grupo de peritos sobre equipamentos de rádio (E03587) relativamente a documentos preparatórios que abordam os pontos principais do ato delegado (âmbito de aplicação, artigos aplicáveis, exceções, data de aplicabilidade) ocorreu em 18 de setembro de 2020 e em 17 de novembro de 2020. O mesmo grupo foi consultado sobre o projeto de ato em 24 de fevereiro de 2021. Participam no grupo de peritos sobre equipamentos de rádio as autoridades de Estados-Membros da UE e países associados, associações de consumidores, associações de operadores económicos cuja atividade tem a ver com a DER, organizações europeias de normalização. Os comentários recebidos estão disponíveis ao público no CIRCABC, onde também estão resumidos os debates conexos nas atas das reuniões.
Algumas opções políticas foram rejeitadas numa fase inicial, ou durante o desenvolvimento desta iniciativa, por diferentes motivos, como se segue:
·numa fase inicial, uma opção política potencial igualmente ponderada foi a introdução de um ato legislativo horizontal em matéria de cibersegurança. Vários fabricantes a título próprio e respetivas associações do setor propuseram-na como a melhor opção política que, na sua opinião, evitaria a fragmentação dos resultados, eficiência e eficácia. Contudo, destacou-se, por exemplo, em debates no grupo de peritos sobre equipamentos de rádio que, realisticamente, tendo em conta os prazos legislativos necessários para um processo de codecisão, tal opção não pode ser tão atempada como um ou vários atos delegados ao abrigo da DER,
·no momento da publicação da avaliação de impacto inicial, o Regulamento Cibersegurança ainda não tinha sido adotado, por conseguinte, nenhuma opção poderia basear-se neste ato legislativo. Além disso, o estabelecimento de sistemas de certificação da cibersegurança ao abrigo do regulamento não cria quaisquer obrigações jurídicas no que toca à colocação de produtos no mercado. Como tal, a certificação da cibersegurança continua a ser uma atividade voluntária e foi abordada ao abrigo das abordagens voluntárias industriais no contexto de opções políticas.
Por fim, numa fase posterior, ou seja, após a publicação da avaliação de impacto inicial, determinados Estados-Membros sugeriram adotar o artigo 3.º, n.º 3, alínea d), em conjugação com o artigo 3.º, n.º 3, alíneas e) e f), salientando as sinergias da adoção das três alíneas em conjunto. Uma vez que os Estados-Membros e as associações de consumidores consideraram a adoção do artigo 3.º, n.º 3, alínea d), como um complemento à opção 4, não foi, por conseguinte, tomada em consideração uma opção individual para o artigo 3.º, n.º 3, alínea d).
Além disso, para fazer face aos riscos de cibersegurança em todos os produtos ligados e serviços conexos e ao longo de todo o seu ciclo de vida, a Comissão anunciou na Comunicação Conjunta de dezembro de 2020 relativa à «Estratégia de cibersegurança da UE para a década digital» que considerará uma abordagem abrangente, incluindo eventuais novas regras horizontais para melhorar a cibersegurança de todos os produtos conectados e serviços conexos colocados no mercado interno.
3. CONSULTA PÚBLICA DO PROJETO DE ATO
Após ter debatido o projeto de ato com o grupo de peritos sobre equipamentos de rádio, foi lançada uma consulta pública formal de quatro semanas. A consulta foi aberta a todos os cidadãos e partes interessadas, sem restrições.
O número final de contributos recebidos foi 26. O perfil do país dos inquiridos foi o seguinte:
·o maior número de respostas (18) veio da Bélgica,
·apenas um contributo veio de fora da União Europeia (Suíça),
·as restantes respostas vieram dos Países Baixos (4), da Polónia (1), da Alemanha (1) e da França (1).
O perfil dos tipos de inquirido foi o seguinte:
·a maior parte dos contributos (17) veio da indústria,
·os consumidores e as associações não governamentais apresentaram três respostas,
·quatro cidadãos enviaram comentários,
·foram recebidos dois contributos de organizações europeias de normalização.
Após a avaliação destes contributos, concluiu-se que não é necessário alterar o projeto de ato, pelas razões a seguir explicadas:
·alguns contributos abordaram especificamente medidas técnicas destinadas a atenuar as ameaças à cibersegurança. No entanto, este ato não estabelece medidas técnicas, mas apenas estabelece requisitos essenciais. As opiniões expressas nos contributos recebidos sobre estas questões técnicas serão tidas em conta na elaboração das normas harmonizadas de apoio,
·algumas partes interessadas manifestaram preocupações quanto à alegada duplicação de obrigações com outros atos legislativos da UE. O presente projeto de ato regula a colocação no mercado dos equipamentos no seu âmbito, e o resto do quadro jurídico da UE não regulamentou este elemento. Além disso, o ato não pretende regulamentar quaisquer processos ou serviços, nem quaisquer questões pós-comercialização não abrangidas pela Diretiva Equipamentos de Rádio,
·uma associação industrial indicou que, na sua opinião, a lei cria obstáculos às PME. Tal como indicado na avaliação de impacto, as próximas normas harmonizadas fornecerão as soluções técnicas. As PME contribuirão para o seu desenvolvimento,
·foram recebidas várias observações sobre o conceito das categorias de equipamento às quais serão aplicáveis os requisitos essenciais. A definição de «dispositivo ligado à Internet» foi amplamente debatida no grupo de peritos competente. A limitação do âmbito de aplicação em termos de utilização prevista e não de capacidades técnicas implicará que vários equipamentos não sejam abrangidos pelo ato. Do ponto de vista técnico, a comunicação via Internet seria possível e estas vulnerabilidades poderiam ser explorados por piratas informáticos. Além disso, o conceito de «rede» é claro e inclui a Internet,
·algumas associações industriais manifestaram preocupações quanto ao princípio da neutralidade tecnológica, uma vez que o equipamento com fios não é abrangido pelo ato. A avaliação de impacto confirma que os dispositivos sem fios apresentam um risco mais elevado em termos de cibersegurança, pelo que devem ser aplicadas medidas específicas a esses equipamentos de rádio,
·uma associação industrial salientou que nem todo o equipamento utilizado por crianças estava abrangido pelo ato. A este respeito, a proteção das crianças no que diz respeito à privacidade é assegurada através das obrigações impostas aos fabricantes de dispositivos ligados à Internet, brinquedos e equipamento para cuidados infantis (os dois últimos, mesmo que não sejam capazes de comunicar através da Internet). Os equipamentos de rádio utilizados por crianças estão em termos gerais incluídos nas categorias acima referidas,
·por último, a maioria das partes interessadas manifestaram preocupações quanto ao período transitório, considerando-o demasiado curto ou demasiado longo. Considera-se que o período transitório de 30 meses é um justo equilíbrio entre a necessidade de melhorar urgentemente o nível de cibersegurança dos equipamentos de rádio no mercado europeu e a necessidade de dar tempo razoável aos fabricantes para adaptarem os seus produtos.
4.ELEMENTOS JURÍDICOS DO ATO DELEGADO
O objetivo do presente regulamento delegado é tornar aplicáveis os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alíneas d), e) e f), da DER, que abordam elementos de cibersegurança, às categorias de equipamentos de rádio que apresentam riscos de cibersegurança.
Mais especificamente, prevê que o artigo 3.º, n.º 3, alíneas d), e) e f), da DER seja aplicável a equipamentos de rádio ligados à Internet, definidos no artigo 1.º, sob reserva de determinadas exclusões, conforme especificadas no ato delegado.
Além disso, prevê que o artigo 3.º, n.º 3, alínea e), da DER seja aplicável a equipamentos de rádio usáveis, brinquedos que também são equipamentos de rádio e equipamentos de rádio para cuidados infantis, quer sejam ligados à Internet ou não, sob reserva de determinadas exclusões, conforme especificadas no ato delegado.
O regulamento delegado é coerente com os princípios estabelecidos em diferentes atos legislativos da UE pertinentes, em particular a legislação da UE no domínio da cibersegurança.
A data de aplicabilidade do regulamento delegado é 30 meses a contar da sua entrada em vigor; por conseguinte, o regulamento delegado não afetará os equipamentos de rádio colocados no mercado da União antes dessa data de aplicabilidade.
O regulamento delegado não tem implicações para o orçamento da UE.
REGULAMENTO DELEGADO (UE) …/... DA COMISSÃO
de 29.10.2021
que complementa a Diretiva 2014/53/UE do Parlamento Europeu e do Conselho no que diz respeito à aplicação dos requisitos essenciais referidos no artigo 3.º, n.º 3, alíneas d), e) e f), dessa diretiva
(Texto relevante para efeitos do EEE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Diretiva 2014/53/UE do Parlamento Europeu e do Conselho, de 16 de abril de 2014, relativa à harmonização da legislação dos Estados-Membros respeitante à disponibilização de equipamentos de rádio no mercado e que revoga a Diretiva 1999/5/CE, nomeadamente o artigo 3.º, n.º 3, segundo parágrafo, em conjugação com o artigo 3.º, n.º 3, primeiro parágrafo, alíneas d), e) e f),
Considerando o seguinte:
(1)A proteção da rede ou do seu funcionamento contra danos, a proteção dos dados pessoais e da privacidade do utilizador e do assinante e a proteção de fraudes são elementos que apoiam a proteção contra riscos de cibersegurança.
(2)Conforme indicado no considerando 13 da Diretiva 2014/53/UE, a proteção dos dados pessoais e da privacidade dos utilizadores e dos assinantes de equipamentos de rádio e a proteção contra a fraude podem ser reforçadas através de características específicas dos equipamentos de rádio. De acordo com o referido considerando, em certos casos, os equipamentos de rádio deverão assim ser concebidos de forma a incluírem essas funcionalidades.
(3)A tecnologia 5G desempenhará um papel fundamental no desenvolvimento da economia digital e da sociedade da União nos próximos anos e afetará potencialmente quase todos os aspetos das vidas dos cidadãos da União. O documento com o título «Cybersecurity of 5G networks EU Toolbox of risk mitigating measures» («Conjunto de instrumentos da UE para a cibersegurança das redes 5G») identifica um possível conjunto de medidas comuns que podem atenuar os principais riscos de cibersegurança das redes 5G e fornece orientações para a seleção das medidas às quais deve ser dada prioridade nos planos de atenuação a nível nacional e da União. Além destas medidas, é muito importante seguir uma abordagem harmonizada aos requisitos essenciais relacionados com elementos de proteção da cibersegurança aplicáveis aos equipamentos de rádio 5G quando são colocados no mercado da União.
(4)O nível de segurança aplicável ao abrigo dos requisitos essenciais da União estabelecidos no artigo 3.º, n.º 3, alíneas d), e) e f), para assegurar a proteção das redes, salvaguardas para a proteção dos dados pessoais e da privacidade e proteção de fraudes não pode comprometer o elevado nível de segurança exigido a nível nacional para redes inteligentes descentralizadas no domínio da energia nos casos em que devam ser utilizados contadores inteligentes sujeitos aos referidos requisitos, e para equipamento de rede 5G utilizado por fornecedores de redes públicas de comunicações eletrónicas e de serviços de comunicações eletrónicas acessíveis ao público na aceção da Diretiva (UE) 2018/1972.
(5)Foram igualmente manifestadas diversas preocupações relativamente ao aumento dos riscos de cibersegurança como resultado do aumento da utilização por profissionais e consumidores, incluindo crianças, de equipamentos de rádio: i) capazes, por si só, de comunicar na Internet, independentemente de comunicarem diretamente ou através de qualquer outro equipamento («equipamento de rádio ligado à Internet»), ou seja, esse equipamento ligado à Internet opera protocolos necessários ao intercâmbio de dados com a Internet diretamente ou através de equipamento intermédio, ii) que podem ser um brinquedo com função de rádio que também se enquadra no âmbito de aplicação da Diretiva 2009/48/CE do Parlamento Europeu e do Conselho ou ser concebidos ou destinados exclusivamente a cuidados infantis, tais como monitores de crianças, ou iii) concebidos ou destinados, exclusivamente ou não, a ser usados, presos ou pendurados em qualquer parte do corpo humano (incluindo a cabeça, pescoço, tronco, braços, mãos, pernas e pés) ou qualquer vestuário (incluindo acessórios para a cabeça, para as mãos e calçado) usado por seres humanos, tais como equipamentos de rádio sob a forma de relógio de pulso, anel, pulseira, auscultador, auricular ou óculos («equipamento de rádio usável»).
(6)A este respeito, qualquer equipamento de rádio para cuidados infantis, equipamento de rádio abrangido pela Diretiva 2009/48/CE ou equipamento de rádio usável, capaz de comunicar por si só na Internet, independentemente de comunicar diretamente ou através de qualquer outro equipamento, deve ser considerado equipamento de rádio ligado à Internet. Os implantes, por exemplo, não devem ser considerados equipamento de rádio usável, uma vez que não são usados, presos ou pendurados em qualquer parte do corpo humano ou qualquer vestuário. Contudo, os implantes devem ser considerados equipamento de rádio ligado à Internet caso sejam capazes por si só de comunicar na Internet, independentemente de comunicarem diretamente ou através de qualquer outro equipamento.
(7)Dadas as preocupações manifestadas devido ao facto de o equipamento de rádio não assegurar a proteção contra elementos dos riscos de cibersegurança, é necessário tornar aplicáveis, para os equipamentos de rádio abrangidos por determinadas categorias ou classes, os requisitos essenciais da Diretiva 2014/53/UE associados à proteção da rede contra danos, à proteção dos dados pessoais e da privacidade dos utilizadores e dos assinantes e à proteção de fraudes.
(8)A Diretiva 2014/53/UE aplica-se a produtos que satisfazem a definição de «equipamento de rádio» no artigo 2.º dessa diretiva, sob reserva de exclusões específicas indicadas no artigo 1.º, n.os 2 e 3, dessa diretiva. Embora a definição de equipamento de rádio no artigo 2.º da Diretiva 2014/53/UE se refira a equipamento capaz de comunicar com ondas hertzianas, nenhum requisito da Diretiva 2014/53/UE estabelece uma distinção entre as funções de rádio e não rádio do equipamento de rádio e, por conseguinte, todos os aspetos e partes do equipamento devem cumprir os requisitos essenciais previstos neste regulamento delegado.
(9)Relativamente aos danos à rede ou ao seu funcionamento ou à utilização inadequada dos recursos da rede, equipamentos de rádio ligados à Internet que não assegurem que as redes não sejam danificadas nem utilizadas inadequadamente podem provocar uma degradação inaceitável dos serviços. Por exemplo, um atacante pode inundar maliciosamente a rede de Internet para evitar o tráfego na rede legítimo, prejudicar as ligações entre dois produtos de rádio e assim bloqueando assim o acesso a um serviço, bloquear o acesso de uma pessoa específica a um serviço, perturbar um serviço para uma pessoa ou um sistema específico ou interferir com informação. Como tal, a degradação de serviços em linha pode resultar em ciberataques maliciosos, que conduzirão ao aumento de custos, transtornos ou riscos para operadores, prestadores de serviços ou utilizadores. Por conseguinte, o artigo 3.º, n.º 3, alínea d), da Diretiva 2014/53/UE, que exige que os equipamentos de rádio não danifiquem a rede nem o seu funcionamento, nem utilizem inadequadamente os recursos da rede, provocando uma degradação inaceitável do serviço, deve aplicar-se aos equipamentos de rádio ligados à Internet.
(10)Foram igualmente manifestadas preocupações relativamente à proteção dos dados pessoais e da privacidade do utilizador e do assinante dos equipamentos de rádio ligados à Internet devido à capacidade dos referidos equipamentos de rádio de registar, armazenar e partilhar informações, interagir com o utilizador, incluindo crianças, quando estejam integrados altifalantes, microfones e outros sensores nesses equipamentos de rádio . Estas preocupações dizem respeito, em particular, à capacidade desses equipamentos de rádio de registar fotografias, vídeos, dados de localização, dados ligados à experiência de brincar, bem como a frequência cardíaca, os hábitos de sono ou outros dados pessoais. Por exemplo, é possível aceder às configurações avançadas dos equipamentos de rádio através de uma palavra-passe predefinida, se a ligação ou os dados não estiverem encriptados ou se não for usado um mecanismo de autenticação forte.
(11)Por conseguinte, é importante que os equipamentos de rádio ligados à Internet, colocados no mercado da União, incluam salvaguardas que assegurem a proteção dos dados pessoais e da privacidade quando são capazes de tratar dados pessoais, conforme definidos no artigo 4.º, ponto 1, do Regulamento (UE) 2016/679, ou dados definidos no artigo 2.º, alíneas b) e c), da Diretiva 2002/58/CE. Por conseguinte, o artigo 3.º, n.º 3, alínea e), da Diretiva 2014/53/UE deve aplicar-se aos equipamentos de rádio ligados à Internet.
(12)Adicionalmente, no que respeita à proteção dos dados pessoais e da privacidade, os equipamentos de rádio para cuidados infantis, os equipamentos de rádio abrangidos pela Diretiva 2009/48/CE e os equipamentos de rádio usáveis apresentam riscos de segurança mesmo na ausência de uma ligação à Internet. Os dados pessoais podem ser intercetados quando esse equipamento de rádio transmite ou recebe ondas hertzianas e não inclui salvaguardas que assegurem a proteção dos dados pessoais e da privacidade. Os equipamentos de rádio para cuidados infantis, os equipamentos de rádio abrangidos pela Diretiva 2009/48/CE e os equipamentos de rádio usáveis podem monitorizar e registar diversos dados (pessoais) sensíveis do utilizador ao longo do tempo e retransmiti-los através de tecnologias das comunicações que podem não ser seguras. Os equipamentos de rádio para cuidados infantis, os equipamentos de rádio abrangidos pela Diretiva 2009/48/CE e os equipamentos de rádio usáveis devem igualmente assegurar a proteção dos dados pessoais e da privacidade, caso sejam capazes de tratar, na aceção do artigo 4.º, ponto 2, do Regulamento (UE) 2016/679, dados pessoais, conforme definidos no artigo 4.º, ponto 1, do Regulamento (UE) 2016/679, ou dados de tráfego e dados de localização, conforme definidos no artigo 2.º, alíneas b) e c), da Diretiva 2002/58/CE. Por conseguinte, o artigo 3.º, n.º 3, alínea e), da Diretiva 2014/53/UE deve aplicar-se aos referidos equipamentos de rádio.
(13)No que respeita à fraude, podem ser roubadas informações, incluindo dados pessoais, dos equipamentos de rádio ligados à Internet, que não asseguram a proteção de fraudes. Há tipos específicos de fraudes que afetam equipamentos de rádio ligados à Internet quando utilizados para realizar pagamentos na Internet. Os custos podem ser elevados e não afetam apenas a pessoa que sofreu a fraude, mas também a sociedade em geral (por exemplo, o custo da investigação policial, os custos de serviços de apoio à vítima, os custos de julgamentos para apurar responsabilidades). Por conseguinte, é necessário garantir transações fiáveis e minimizar o risco de incorrer em perdas financeiras para os utilizadores de equipamento de rádio ligado à Internet que realizem o pagamento através desse equipamento de rádio e para o destinatário do pagamento realizado através desse equipamento de rádio.
(14)Os equipamentos de rádio ligados à Internet colocados no mercado da União devem apoiar características que assegurem a proteção de fraudes quando permitem ao titular ou utilizador transferir dinheiro, valor monetário ou moeda virtual, conforme definida no artigo 2.º, alínea d), da Diretiva (UE) 2019/713 do Parlamento Europeu e do Conselho. Por conseguinte, o artigo 3.º, n.º 3, alínea f), da Diretiva 2014/53/UE deve aplicar-se aos referidos equipamentos de rádio.
(15)O Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho estabelece regras relativas aos dispositivos médicos e Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho estabelece regras relativas aos dispositivos médicos para diagnóstico in vitro. Ambos os Regulamentos (UE) 2017/745 e (UE) 2017/746 abordam determinados elementos dos riscos de cibersegurança associados aos riscos abrangidos pelo artigo 3.º, n.º 3, alíneas d), e) e f), da Diretiva 2014/53/UE. Por conseguinte, os equipamentos de rádio aos quais se aplica um desses regulamentos não deverão enquadrar-se nas categorias ou classes de equipamentos de rádio que devem cumprir os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alíneas d), e) e f), da Diretiva 2014/53/UE.
(16)O Regulamento (UE) 2019/2144 do Parlamento Europeu e do Conselho estabelece requisitos para a homologação de veículos e de respetivos sistemas e componentes. Além disso, o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho tem como objetivo principal estabelecer e manter um nível elevado e uniforme de segurança operacional da aviação civil na União. A Diretiva (UE) 2019/520 do Parlamento Europeu e do Conselho estabelece ainda as condições para a interoperabilidade dos sistemas eletrónicos de portagem rodoviária e para facilitar o intercâmbio transfronteiriço de informações sobre o não pagamento de taxas rodoviárias na União. Os Regulamentos (UE) 2019/2144 e (UE) 2018/1139 e a Diretiva (UE) 2019/520 abordam elementos dos riscos de cibersegurança associados aos riscos estabelecidos no artigo 3.º, n.º 3, alíneas e) e f), da Diretiva 2014/53/UE. Por conseguinte, os equipamentos de rádio aos quais se aplicam os Regulamentos (UE) 2019/2144 e (UE) 2018/1139 ou a Diretiva (UE) 2019/520 não deverão enquadrar-se nas categorias ou classes de equipamentos de rádio que devem cumprir os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alíneas e) e f), da Diretiva 2014/53/UE.
(17)O artigo 3.º da Diretiva 2014/53/UE prevê requisitos essenciais que os operadores económicos devem cumprir. A fim de facilitar a avaliação da conformidade com esses requisitos, prevê uma presunção de conformidade para os equipamentos de rádio que cumpram normas harmonizadas voluntárias adotadas nos termos do Regulamento (UE) n.º 1025/2012 do Parlamento Europeu e do Conselho, com vista à formulação de especificações técnicas pormenorizadas para esses requisitos. As especificações terão em consideração e abordarão o nível dos riscos que corresponda à utilização prevista de cada categoria ou classe de equipamento de rádio abrangido por este regulamento.
(18)Os operadores económicos devem dispor de tempo suficiente para se adaptarem aos requisitos do presente regulamento. Por conseguinte, a aplicação do presente regulamento deverá ser diferida. O presente regulamento não impede os operadores económicos de o cumprirem a partir da data da sua entrada em vigor.
(19)A Comissão realizou consultas adequadas durante o trabalho preparatório das medidas estabelecidas no presente regulamento e consultou o grupo de peritos sobre equipamentos de rádio,
ADOTOU O PRESENTE REGULAMENTO:
Artigo 1.º
1. Os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alínea d), da Diretiva 2014/53/UE aplicam-se a qualquer equipamento de rádio capaz de comunicar por si só na Internet, independentemente de comunicar diretamente ou através de qualquer outro equipamento («equipamento de rádio ligado à Internet»).
2. Os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alínea e), da Diretiva 2014/53/UE aplicam-se a qualquer um dos equipamentos de rádio seguintes, caso esses equipamentos de rádio sejam capazes de, na aceção do artigo 4.º, ponto 2, do Regulamento (UE) 2016/679, tratar dados pessoais, conforme definidos no artigo 4.º, ponto 1, do Regulamento (UE) 2016/679, ou dados de tráfego e dados de localização, conforme definidos no artigo 2.º, alíneas b) e c), da Diretiva 2002/58/CE:
(a)Equipamentos de rádio ligados à Internet, com exceção dos equipamentos referidos nas alíneas b), c) ou d);
(b)Equipamentos de rádio concebidos ou destinados exclusivamente a cuidados infantis;
(c)Equipamentos de rádio abrangidos pela Diretiva 2009/48/CE;
(d)Equipamentos de rádio concebidos ou destinados, exclusivamente ou não, a ser usados, presos ou pendurados em qualquer um dos seguintes:
(i)qualquer parte do corpo humano, incluindo a cabeça, pescoço, tronco, braços, mãos, pernas e pés,
(ii)qualquer vestuário, incluindo acessórios para a cabeça, para as mãos e calçado, usado por seres humanos.
3. Os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alínea f), da Diretiva 2014/53/UE aplicam-se a qualquer equipamento de rádio ligado à Internet, caso esse equipamento permita ao titular ou utilizador transferir dinheiro, valor monetário ou moeda virtual, conforme definida no artigo 2.º, alínea d), da Diretiva (UE) 2019/713.
Artigo 2.º
1. Em derrogação do artigo 1.º, os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alíneas d), e) e f), da Diretiva 2014/53/UE não se aplicam a equipamentos de rádio aos quais se aplica igualmente uma das leis da União seguintes:
(a)Regulamento (UE) 2017/745;
(b)Regulamento (UE) 2017/746.
2. Em derrogação do artigo 1.º, n.os 2 e 3, os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alíneas e) e f), da Diretiva 2014/53/UE não se aplicam a equipamentos de rádio aos quais se aplica igualmente qualquer uma das leis da União seguintes:
(a)Regulamento (UE) 2018/1139;
(b)Regulamento (UE) 2019/2144;
(c)Diretiva (UE) 2019/520.
Artigo 3.º
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
É aplicável a partir de … [Serviço das Publicações: inserir a data = 30 meses após a data de entrada em vigor do presente regulamento].
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
Feito em Bruxelas, em 29.10.2021
Pela Comissão
A Presidente
Ursula VON DER LEYEN