EXPUNERE DE MOTIVE
1.CONTEXTUL ACTULUI DELEGAT
Un număr mare de echipamente radio sunt folosite zilnic, nu numai de către consumatori adulți sau utilizatori profesioniști, ci și de către utilizatori vulnerabili, cum ar fi copiii.
Pe de o parte, Parlamentul European și Consiliul au subliniat în mod repetat necesitatea de a consolida securitatea cibernetică în UE, recunoscând importanța crescândă a echipamentelor radio conectate, inclusiv a echipamentelor, senzorilor și rețelelor care alcătuiesc internetul obiectelor (IoT), precum și riscurile de securitate aferente. Cadrul UE este alcătuit din mai multe acte legislative care abordează aspecte legate de securitatea cibernetică sau unele dintre elementele acesteia. În ceea ce privește abordarea anumitor aspecte legate de securitatea cibernetică, diferiți actori/diferite părți interesate pot avea obligații specifice de a contribui la menținerea securității întregului ecosistem. De exemplu, operatorii de rețea și furnizorii de servicii ar trebui să se asigure că sistemele și platformele lor sunt securizate, producătorii de echipamente ar trebui să se asigure că acestea sunt proiectate în concordanță cu principiile de securitate, utilizatorii ar trebui să fie conștienți de riscurile pe care le implică anumite operațiuni și de necesitatea de a efectua actualizările necesare ale echipamentelor pe care le utilizează, iar statele membre pot stabili priorități. Securitatea cibernetică a întregului ecosistem este asigurată numai dacă toate componentele acestuia îndeplinesc condițiile de securitate cibernetică.
Pe de altă parte, în decembrie 2016, Consiliul Consumatorilor din Norvegia a evaluat caracteristicile tehnice ale anumitor jucării conectate la internet. Rezultatele evaluării indică o posibilă lipsă de protecție a drepturilor copiilor la viață privată, de protecție a datelor cu caracter personal și de securitate. Datorită boxelor, microfoanelor și altor senzori integrați, jucăriile interconectate sunt, prin definiție, „inteligente” și, de exemplu, pot înțelege cuvintele, fiind astfel capabile să interacționeze cu copilul. De asemenea, acestea pot înregistra nu numai fotografii, videoclipuri, date de geolocalizare, date legate de joc, ci și ritmul cardiac, obiceiurile de somn sau alte date biometrice. Raportul arată, de asemenea, că unele dintre aceste jucării pot promova produse atunci când interacționează cu copilul, lucru care este posibil să nu fie în concordanță cu transparența așteptată de la acest tip de produse. Rezultatul raportului a determinat asociațiile europene ale consumatorilor să ia poziție față de aceste neajunsuri.
Jucăriile sunt doar o parte a unui sector mai extins, care prezintă riscuri similare. Directiva 2009/48/CE stabilește cerințe de siguranță pe care jucăriile care intră sub incidența acesteia trebuie să le îndeplinească pentru a putea fi introduse pe piața UE. Cu toate acestea, directiva amintită nu include, de exemplu, cerințe care să asigure protecția datelor cu caracter personal și a vieții private sau protecția împotriva fraudelor.
Aparatele inteligente, camerele inteligente și o serie de alte echipamente radio conectate, precum telefoane mobile, laptopuri, chei hardware, sisteme de alarmă și sisteme de automatizare a locuințelor, sunt alte exemple de echipamente expuse riscului de piraterie informatică și de încălcare a dreptului la viață privată atunci când sunt conectate la internet. În plus, echipamentele radio portabile (de exemplu, inele, brățări, cleme, căști, dispozitive de monitorizare a condiției fizice etc.) pot monitoriza și înregistra în timp o serie de date sensibile ale utilizatorului (de exemplu, locația, temperatura, tensiunea arterială, ritmul cardiac) și le pot retransmite nu numai prin internet, ci și prin intermediul unor tehnologii de comunicare cu rază scurtă de acțiune nesecurizate. Directiva 2014/53/UE privind echipamentele radio stabilește un cadru de reglementare pentru introducerea pe piața unică a echipamentelor radio. Aceasta include condițiile obligatorii care trebuie îndeplinite de echipamentele radio pentru a putea fi introduse pe piață. În domeniul de aplicare al directivei intră echipamentele electrice și electronice care pot utiliza spectrul radio în scopul realizării comunicațiilor radio și/sau al radiodeterminării. Statele membre (SM), prin intermediul autorităților naționale de supraveghere a pieței, iau măsuri de corecție cu privire la echipamentele radio neconforme.
Articolul 3 din Directiva privind echipamentele radio stabilește cerințele esențiale pe care trebuie să le îndeplinească echipamentele radio introduse pe piața UE. Articolul 3 alineatul (1) litera (a) stabilește cerințe esențiale legate de protejarea sănătății și a siguranței, articolul 3 alineatul (1) litera (b) stabilește cerințe esențiale legate de compatibilitatea electromagnetică, iar articolul 3 alineatul (2) stabilește cerințe esențiale legate de utilizarea eficace și eficientă a spectrului de frecvențe radio. În plus, articolul 3 alineatul (3) prevede cerințe esențiale suplimentare, care se aplică acelor categorii sau clase de echipamente radio specificate în actul/actele delegat(e) conexe ale Comisiei.
Directiva împuternicește Comisia să adopte acte delegate pentru a pune în aplicare oricare dintre cerințele esențiale prevăzute la articolul 3 alineatul (3), specificând categoriile sau clasele de echipamente radio care sunt vizate de fiecare dintre aceste cerințe. Cele trei litere de la articolul 3 alineatul (3) al doilea paragraf, relevante pentru această inițiativă, sunt:
·litera (d), pentru a asigura protecția rețelei;
·litera (e), pentru a asigura sisteme pentru protecția datelor cu caracter personal și a vieții private;
·litera (f), pentru a asigura protecția împotriva fraudelor.
Scopul nu este însă de a elabora norme suplimentare sau care se suprapun legislației existente, ci de a asigura faptul că principiile existente, dacă este cazul, sunt transpuse în cerințe specifice pentru fabricarea de bunuri ce urmează să fie introduse pe piața Uniunii cu un anumit grad de aplicabilitate sau de verificabilitate. Este important să se asigure complementaritatea cu cadrul de reglementare existent al UE. În acest sens, echipamentele radio, produsele sau componentele care intră sub incidența Regulamentelor (UE) 2019/2144și (UE) 2018/1139 sau a Directivei (UE) 2019/520 nu ar trebui să se încadreze în categoriile sau clasele de echipamente radio care trebuie să respecte cerințele esențiale prevăzute la articolul 3 alineatul (3) literele (e) și (f) din Directiva 2014/53/UE.
În ceea ce privește protecția datelor, legislația Uniunii privind datele cu caracter personal și protecția vieții private, cum ar fi Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului și Directiva 2002/58/CE a Parlamentului European și a Consiliului, reglementează prelucrarea datelor cu caracter personal și protecția vieții private, însă nu reglementează introducerea pe piața Uniunii a echipamentelor radio.
Obiectivul principal al acestei inițiative este de a contribui la consolidarea „ecosistemului de încredere” care rezultă din sinergiile tuturor actelor legislative conexe ale UE privind protecția rețelelor, a vieții private și protecția împotriva fraudelor, prezentate mai în detaliu în evaluarea impactului care însoțește prezentul document. Prin urmare, această inițiativă ar trebui să permită introducerea pe piața UE numai a echipamentelor radio care asigură un nivel suficient de securitate. Având în vedere obiectivele generale, inițiativa urmărește să consolideze respectarea anumitor drepturi fundamentale (de exemplu, dreptul la viață privată) și să sprijine obiectivele de politică prevăzute în alte acte legislative ale UE care nu permit asigurarea respectării normelor de pe piață. De asemenea, este necesară o intervenție rapidă, având în vedere amploarea riscurilor și faptul că o aplicare imediată va avea un impact pozitiv asupra obiectivelor de politică existente ale UE. Posibilitatea utilizării competențelor care i-au fost deja conferite Comisiei va permite o astfel de intervenție, prin raportare la cadrul existent și fără a fi nevoie de o legislație suplimentară specifică. Pentru abordarea problemelor legate de produsele care nu dispun de caracteristici de securitate, un obiectiv specific este de a oferi autorităților de supraveghere a pieței un instrument de asigurare a respectării legislației care să le permită să ia măsuri de corecție. Un alt obiectiv este acela de a asigura o piață unică a produselor în cauză în care să nu existe reglementări divergente la nivel local sau național care să sporească sarcinile administrative, în special pentru întreprinderile mai mici. Un ultim obiectiv este asigurarea unor condiții de concurență echitabile prin norme clare și proporționale care să fie puse în aplicare în mod eficace și uniform în întreaga UE.
Necesitatea unor norme privind piața internă care să includă măsuri de protecție împotriva produselor și serviciilor nesecurizate este evidențiată în Comunicarea comună a Comisiei și a Înaltului Reprezentant al Uniunii pentru afaceri externe și politica de securitate din 16 decembrie 2020 privind Strategia de securitate cibernetică a UE pentru deceniul digital.
2.CONSULTĂRI ÎNAINTEA ADOPTĂRII ACTULUI
Strategia de consultare pentru această inițiativă a luat în considerare toate aspectele conexe posibile, inclusiv în ceea ce privește impactul pentru societate (de exemplu, consumatori și operatori economici), autoritățile naționale, condițiile de acces pe piața comună și punerea în aplicare a altor acte legislative ale UE sau sinergiile cu acestea. A fost utilizat feedbackul furnizat de părțile interesate, precum și datele concrete obținute din alte surse de cercetare (de exemplu, cercetarea documentară).
Au fost consultate următoarele părți interesate relevante: autorități publice responsabile pentru prelucrarea datelor, fraude și/sau echipamente radio, asociații de operatori economici, operatori economici individuali, asociații de consumatori, cetățeni, instituții academice/de cercetare și organizații neguvernamentale relevante, organisme notificate, organizații europene de standardizare.
Au fost efectuate următoarele activități de consultare specifice:
·Toate părțile interesate au avut la dispoziție patru săptămâni pentru a transmite un feedback cu privire la evaluarea inițială a impactului;
·A fost lansată o consultare publică care a durat 12 săptămâni pe Portalul pentru o mai bună legiferare al Comisiei;
·O consultare specifică a vizat în mod specific statele membre, operatorii economici (asociații sau persoane fizice), asociațiile de consumatori, organismele de evaluare a conformității, consumatorii sau alți experți.
De asemenea, părțile interesate au fost invitate să participe la un sondaj specific, inclusiv cele care au participat la reuniunea Grupului de experți privind echipamentele radio. 56 dintre acestea au răspuns invitației și au completat chestionarul. Cei 56 de respondenți au provenit din 20 de țări, 14 dintre acestea fiind state membre ale UE. Cele mai multe răspunsuri (14) au fost primite din Belgia, aproape toate din partea unor organisme care reprezintă producătorii sau consumatorii. Germania a fost următoarea țară cea mai bine reprezentată, cu 11 respondenți, majoritatea fiind producători. Dintre țările terțe, SUA a fost cea mai bine reprezentată, cu 5 respondenți, dintre care unii erau producători, iar alții organisme din industrie. A existat un echilibru în ceea ce privește dimensiunea organizațiilor respondente. Toate organizațiile mari au fost producători sau administrații publice naționale, cu excepția a două organisme de evaluare a conformității și a unei universități. Multe dintre microîntreprinderi au fost asociații profesionale sau de consumatori. Organizațiile mici și mijlocii au reprezentat o combinație a tuturor tipurilor de organizații.
42 de respondenți au participat la consultarea publică deschisă, care a constat în întrebări deschise și închise. În ceea ce privește țara de proveniență a respondenților, situația a fost următoarea:
·Cei 42 de respondenți au provenit din 14 state membre ale UE.
·Cele mai multe răspunsuri (8) au fost primite din Germania, dintre care șapte din partea unor cetățeni.
·Șase respondenți au provenit din Belgia, toate fiind organisme reprezentative la nivelul UE (cinci asociații de întreprinderi și o asociație de consumatori).
·Șase au provenit din Spania, dintre care patru autorități publice și două întreprinderi.
·Nu a existat niciun respondent din afara UE.
În ceea ce privește tipul de respondenți, situația a fost următoarea:
·Dintre cei 42 de respondenți, puțin peste jumătate (22) au fost cetățeni.
·Cetățenii au provenit din 10 state membre ale UE.
·Dintre cele șase autorități publice, patru au provenit din Spania și câte una din Estonia și Irlanda.
·Dintre cele șapte asociații de întreprinderi, cinci au fost organisme la nivelul UE cu sediul în Belgia.
·Cele șase întreprinderi au provenit din cinci țări diferite. Trei dintre acestea au fost microîntreprinderi, două întreprinderi mici și una mare.
·Singura organizație de consumatori a fost un organism la nivelul UE cu sediul în Belgia.
Grupul de experți privind echipamentele radio (E03587) a fost consultat cu privire la documentele preliminare care abordează aspecte-cheie ale actului delegat (domeniul de aplicare, articolele aplicabile, excepții, data de aplicare), la 18 septembrie 2020 și la 17 noiembrie 2020. Acesta a fost consultat și cu privire la proiectul de lege, la 24 februarie 2021. La reuniunile Grupului de experți privind echipamentele radio participă autorități ale statelor membre ale UE și ale țărilor asociate, asociații de consumatori, asociații de operatori economici care se ocupă de Directiva privind echipamentele radio, organizații europene de standardizare. Observațiile primite sunt puse la dispoziția publicului în CIRCABC, unde discuțiile aferente sunt, de asemenea, rezumate în procesele-verbale ale reuniunilor.
Câteva opțiuni de politică au fost abandonate fie într-o etapă timpurie, fie în cursul elaborării acestei inițiative, din diferite motive, după cum urmează:
·Într-o etapă timpurie, o posibilă opțiune de politică luată în considerare a fost introducerea unui act legislativ orizontal privind securitatea cibernetică. Mai mulți producători individuali și asociațiile din care fac parte au considerat că aceasta este cea mai bună opțiune de politică care, în opinia lor, ar preveni fragmentarea rezultatelor, a eficienței și a eficacității. Cu toate acestea, s-a subliniat, de exemplu, în timpul discuțiilor care au avut loc în cadrul Grupului de experți privind echipamentele radio, faptul că, în mod realist, având în vedere termenele legislative necesare pentru o procedură de codecizie, o astfel de opțiune nu este la fel de oportună precum adoptarea unuia sau a mai multor acte delegate în temeiul Directivei privind echipamentele radio.
·La momentul publicării evaluării inițiale a impactului, Regulamentul privind securitatea cibernetică nu era încă adoptat și, prin urmare, nicio opțiune nu se putea baza pe acest act legislativ. În plus, instituirea unor sisteme de certificare de securitate cibernetică în temeiul regulamentului nu creează nicio obligație juridică în ceea ce privește introducerea produselor pe piață. Prin urmare, certificarea de securitate cibernetică rămâne o activitate voluntară și a făcut obiectul abordărilor voluntare pentru industrie în contextul opțiunilor de politică.
În cele din urmă, într-o etapă ulterioară, și anume după publicarea evaluării inițiale a impactului, unele state membre au propus adoptarea articolului 3 alineatul (3) litera (d) coroborat cu articolul 3 alineatul (3) litera (e) și cu articolul 3 alineatul (3) litera (f), având în vedere sinergiile create datorită adoptării concomitente a celor trei articole. Întrucât statele membre și asociațiile de consumatori au considerat că adoptarea articolului 3 alineatul (3) litera (d) reprezintă o completare a opțiunii 4, nu a fost luată în considerare o opțiune de sine stătătoare pentru articolul 3 alineatul (3) litera (d).
În plus, pentru a aborda riscurile pentru securitatea cibernetică a tuturor produselor conectate și a serviciilor asociate, și pe parcursul întregului ciclu de viață al acestora, în Comunicarea comună privind „Strategia de securitate cibernetică a UE pentru deceniul digital” din decembrie 2020, Comisia a anunțat că va avea în vedere o abordare cuprinzătoare, inclusiv posibile noi norme orizontale pentru îmbunătățirea securității cibernetice a tuturor produselor conectate și a serviciilor asociate introduse pe piața internă.
3.CONSULTARE PUBLICĂ CU PRIVIRE LA PROIECTUL DE ACT
După discutarea proiectului de act cu Grupul de experți privind echipamentele radio, a fost lansată o consultare publică oficială timp de patru săptămâni. Consultarea a fost deschisă tuturor cetățenilor și părților interesate, fără restricții.
Numărul final de contribuții primite a fost de 26. În ceea ce privește țara de proveniență a respondenților, situația a fost următoarea:
·Cel mai mare număr de răspunsuri (18) a provenit din Belgia.
·O singură contribuție a fost trimisă din afara Uniunii Europene (Elveția).
·Restul răspunsurilor au provenit din Țările de Jos (4), Polonia (1), Germania (1) și Franța (1).
În ceea ce privește tipul de respondenți, situația a fost următoarea:
·Cea mai mare parte a contribuțiilor (17) a venit din partea industriei.
·Consumatorii și asociațiile neguvernamentale au oferit trei răspunsuri.
·Patru cetățeni au trimis feedback.
·Au fost primite două contribuții din partea organizațiilor europene de standardizare.
După evaluarea acestor contribuții, s-a ajuns la concluzia că nu este necesară modificarea proiectului de act, din motivele explicate mai jos:
·Unele contribuții s-au referit în mod specific la măsurile tehnice de atenuare a amenințărilor la adresa securității cibernetice. Cu toate acestea, prezentul act nu stabilește măsuri tehnice, ci doar cerințe esențiale. Opiniile exprimate în contribuțiile primite cu privire la aceste aspecte tehnice vor fi luate în considerare la elaborarea standardelor armonizate de sprijin.
·Unele părți interesate și-au exprimat îngrijorarea cu privire la presupusa suprapunere a obligațiilor cu cele prevăzute în alte acte legislative ale UE. Prezentul proiect de act reglementează introducerea pe piață a echipamentelor care intră în domeniul său de aplicare, iar restul cadrului juridic al UE nu a reglementat acest element. În plus, actul nu are rolul de a reglementa niciun proces sau serviciu și niciun aspect ulterior introducerii pe piață care nu este reglementat de Directiva privind echipamentele radio.
·O asociație din sector a indicat că, în opinia sa, actul creează obstacole pentru IMM-uri. După cum se indică în evaluarea impactului, viitoarele standarde armonizate vor oferi soluții tehnice. IMM-urile vor contribui la dezvoltarea acestora.
·Au fost primite o serie de observații privind categoriile de echipamente cărora li se vor aplica cerințele esențiale. Definiția „dispozitivului conectat la internet” a fost discutată pe larg în cadrul grupului de experți relevant. Limitarea domeniului de aplicare pe baza utilizării prevăzute, și nu a capacităților tehnice va implica faptul că mai multe echipamente nu vor intra sub incidența actului. Din punct de vedere tehnic, comunicarea prin internet este posibilă, iar hackerii ar putea exploata aceste vulnerabilități. În plus, conceptul de „rețea” este clar și include internetul.
·Unele asociații din sector și-au exprimat îngrijorarea cu privire la principiul neutralității tehnologice, deoarece echipamentele cu fir nu fac obiectul actului. Evaluarea impactului confirmă faptul că dispozitivele fără fir prezintă un risc mai ridicat în ceea ce privește securitatea cibernetică și, prin urmare, trebuie puse în aplicare măsuri de politică specifice pentru echipamentele radio respective.
·O asociație din sector a subliniat că actul nu reglementează toate echipamentele utilizate de copii. În acest sens, protecția copiilor în ceea ce privește viața privată este asigurată prin obligațiile impuse producătorilor de dispozitive conectate la internet, de jucării și de echipamente de îngrijire a copiilor (în cazul ultimelor două, chiar dacă acestea nu permit comunicarea prin internet). Echipamentele radio utilizate de copii sunt, în mare măsură, incluse în categoriile menționate anterior.
·În sfârșit, majoritatea părților interesate și-au exprimat îngrijorarea cu privire la perioada de tranziție, fiind considerată prea scurtă sau prea lungă. Se consideră că perioada de tranziție de 30 de luni asigură un echilibru adecvat între necesitatea de a îmbunătăți urgent nivelul de securitate cibernetică al echipamentelor radio de pe piața europeană și necesitatea de a acorda producătorilor o perioadă rezonabilă de timp pentru a-și adapta produsele.
4.ELEMENTELE JURIDICE ALE ACTULUI DELEGAT
Obiectivul prezentului regulament delegat este de a pune în aplicare cerințele esențiale prevăzute la articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva privind echipamentele radio, care abordează elementele de securitate cibernetică, pentru categoriile de echipamente radio care prezintă riscuri în materie de securitate cibernetică.
Mai exact, acesta prevede că articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva privind echipamentele radio se aplică echipamentelor radio conectate la internet, definite la articolul 1, sub rezerva unor excluderi specificate în actul delegat.
În plus, acesta prevede că articolul 3 alineatul (3) litera (e) din Directiva privind echipamentele radio se aplică echipamentelor radio portabile, jucăriilor care sunt și echipamente radio și echipamentelor radio pentru îngrijirea copiilor, conectate sau nu la internet, sub rezerva anumitor excluderi, astfel cum se specifică în actul delegat.
Regulamentul delegat este în concordanță cu principiile prevăzute în diferite acte legislative relevante ale UE, în special în legislația UE în domeniul securității cibernetice.
Data de aplicare a regulamentului delegat este după 30 de luni de la intrarea în vigoare a acestuia și, prin urmare, regulamentul delegat nu va afecta echipamentele radio introduse pe piața Uniunii înainte de această dată.
Regulamentul delegat nu are implicații asupra bugetului UE.
REGULAMENTUL DELEGAT (UE) …/… AL COMISIEI
din 29.10.2021
de completare a Directivei 2014/53/UE a Parlamentului European și a Consiliului în ceea ce privește aplicarea cerințelor esențiale menționate la articolul 3 alineatul (3) literele (d), (e) și (f) din directiva respectivă
(Text cu relevanță pentru SEE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 2014/53/UE a Parlamentului European și a Consiliului din 16 aprilie 2014 privind armonizarea legislației statelor membre referitoare la punerea la dispoziție pe piață a echipamentelor radio și de abrogare a Directivei 1999/5/CE, în special articolul 3 alineatul (3) al doilea paragraf, coroborat cu articolul 3 alineatul (3) primul paragraf literele (d), (e) și (f),
întrucât:
(1)Protecția împotriva prejudicierii rețelei sau a funcționării acesteia, protecția datelor cu caracter personal și a vieții private a utilizatorilor și a abonaților și protecția împotriva fraudelor sunt elemente care sprijină protecția împotriva riscurilor în materie de securitate cibernetică.
(2)Astfel cum se menționează în considerentul 13 din Directiva 2014/53/UE, protecția datelor cu caracter personal și a vieții private a utilizatorilor și a abonaților la echipamente radio și protecția împotriva fraudelor poate fi sporită prin caracteristici speciale ale echipamentelor radio. Conform aceluiași considerent, echipamentele radio trebuie, deci, în cazurile corespunzătoare, să fie concepute astfel încât să fie compatibile cu aceste caracteristici.
(3)Tehnologia 5G va juca un rol-cheie în dezvoltarea economiei și a societății digitale în Uniune în anii următori și este posibil să influențeze aproape toate aspectele vieții cetățenilor UE. Documentul intitulat „Securitatea cibernetică a rețelelor 5G – Setul de instrumente cu măsuri de atenuare a riscurilor al UE” identifică un posibil set comun de măsuri pentru atenuarea principalelor riscuri pentru securitatea cibernetică a rețelelor 5G și oferă orientări pentru alegerea măsurilor cărora trebuie să li se acorde prioritate în cadrul planurilor de atenuare la nivel național și la nivelul Uniunii. Pe lângă aceste măsuri, este foarte importantă adoptarea unei abordări armonizate a cerințelor esențiale referitoare la elementele de asigurare a securității cibernetice aplicabile echipamentelor radio 5G la introducerea acestora pe piața UE.
(4)Nivelul de securitate aplicabil în temeiul cerințelor esențiale ale Uniunii prevăzute la articolul 3 alineatul (3) literele (d), (e) și (f) pentru a asigura protecția rețelei, sisteme pentru protecția datelor cu caracter personal și a vieții private și protecția împotriva fraudelor nu subminează nivelul ridicat de securitate solicitat la nivel național pentru rețelele inteligente descentralizate în domeniul energiei în care sunt utilizate contoare inteligente care fac obiectul cerințelor respective și pentru echipamentele de rețea 5G utilizate de furnizorii de rețele publice de comunicații electronice și de servicii de comunicații electronice destinate publicului în sensul Directivei (UE) 2018/1972.
(5)Au fost exprimate, de asemenea, numeroase îngrijorări legate de creșterea riscurilor în materie de securitate cibernetică ca urmare a utilizării sporite de către profesioniști și consumatori, inclusiv copii, a echipamentelor radio care: (i) pot comunica prin internet, fie direct, fie prin intermediul oricărui alt echipament („echipamente radio conectate la internet”), adică aceste echipamente conectate la internet utilizează protocoale necesare pentru a schimba date cu internetul direct sau prin intermediul unui echipament intermediar; (ii) pot fi jucării cu funcție radio care intră, de asemenea, sub incidența Directivei 2009/48/CE a Parlamentului European și a Consiliului sau care sunt concepute sau destinate exclusiv îngrijirii copiilor, cum ar fi sistemele de monitorizare pentru copii; sau (iii) sunt concepute sau destinate, exclusiv sau neexclusiv, pentru a fi purtate pe, prinse sau atârnate de orice parte a corpului (inclusiv cap, gât, trunchi, brațe, mâini și picioare) sau de orice articole de îmbrăcăminte (inclusiv articole pentru acoperirea capului, a mâinilor și încălțăminte) purtate de persoane, cum ar fi echipamente radio sub formă de ceasuri de mână, inele, brățări, căști cu fixare pe cap și cu fixare pe ureche sau ochelari („echipamente radio portabile”).
(6)În acest sens, orice echipament radio pentru îngrijirea copiilor, orice echipament radio reglementat de Directiva 2009/48/CE sau orice echipament radio portabil care poate comunica prin internet, fie direct, fie prin intermediul oricărui alt echipament, trebuie să fie considerat echipament radio conectat la internet. Implanturile, de exemplu, nu trebuie considerate echipamente radio portabile, deoarece nu sunt purtate pe, prinse sau atârnate de nicio parte a corpului sau de niciun articol de îmbrăcăminte. Totuși, implanturile trebuie să fie considerate echipamente radio conectate la internet dacă sunt capabile să comunice prin internet, fie direct, fie prin intermediul oricărui alt echipament.
(7)Având în vedere îngrijorările exprimate ca urmare a faptului că echipamentele radio nu asigură protecția împotriva unor elemente de risc la adresa securității cibernetice, este necesară aplicarea, în cazul echipamentelor radio care aparțin anumitor categorii sau clase, a cerințelor esențiale prevăzute în Directiva 2014/53/UE legate de protecția împotriva prejudicierii rețelei, protecția datelor cu caracter personal și a vieții private a utilizatorilor și a abonaților, precum și protecția împotriva fraudelor.
(8)Directiva 2014/53/UE se aplică produselor care corespund definiției „echipamentelor radio” de la articolul 2 din directiva respectivă, sub rezerva excluderilor specifice menționate la articolul 1 alineatul (2) și la articolul 1 alineatul (3) din directiva respectivă. În timp ce definiția echipamentelor radio de la articolul 2 din Directiva 2014/53/UE se referă la echipamentele care pot realiza comunicații prin intermediul undelor radio, nicio cerință din directiva amintită nu face distincție între funcțiile radio și cele non-radio ale echipamentelor radio și, prin urmare, toate aspectele și componentele echipamentelor trebuie să respecte cerințele esențiale prevăzute în prezentul regulament delegat.
(9)În ceea ce privește prejudicierea rețelei sau a funcționării acesteia ori utilizarea în mod necorespunzător a resurselor acesteia, deteriorarea inacceptabilă a serviciilor poate fi cauzată de echipamentele radio conectate la internet care nu garantează faptul că rețelele nu vor fi prejudiciate sau că resursele acestora nu vor fi utilizate în mod necorespunzător. De exemplu, un atacator rău-intenționat poate inunda cu date rețeaua de internet pentru a împiedica traficul legitim de rețea, poate întrerupe conexiunile dintre două produse radio, împiedicând astfel accesul la un serviciu, poate împiedica o anumită persoană să acceseze un serviciu, poate întrerupe un serviciu către un anumit sistem sau o anumită persoană sau poate perturba informațiile. Deteriorarea serviciilor online poate duce astfel la atacuri cibernetice rău-intenționate, care vor determina creșterea costurilor și vor genera inconveniente sau riscuri pentru operatori, prestatori de servicii sau utilizatori. Prin urmare, articolul 3 alineatul (3) litera (d) din Directiva 2014/53/UE, care prevede cerința ca echipamentele radio să nu prejudicieze rețeaua sau funcționarea acesteia și să nu utilizeze în mod necorespunzător resursele acesteia, provocând astfel o deteriorare inacceptabilă a serviciului, trebuie să se aplice echipamentelor radio conectate la internet.
(10)Au fost exprimate îngrijorări și în ceea ce privește protecția datelor cu caracter personal și a vieții private a utilizatorilor și a abonaților la echipamentele radio conectate la internet, având în vedere faptul că acestea pot înregistra, stoca și partaja informații, pot interacționa cu utilizatorul, inclusiv cu copiii, atunci când în echipamentele radio respective sunt integrate difuzoare, microfoane și alți senzori. Aceste îngrijorări se referă în special la capacitatea echipamentelor radio respective de a înregistra fotografii, videoclipuri, date de localizare, date referitoare la joc, precum și ritmul cardiac, obiceiurile de somn sau alte date cu caracter personal. De exemplu, setările avansate ale echipamentelor radio pot fi accesate printr-o parolă implicită în cazul în care conexiunea sau datele nu sunt criptate sau dacă nu este implementat un mecanism solid de autentificare.
(11)Prin urmare, este important ca echipamentele radio conectate la internet introduse pe piața Uniunii să includă sisteme pentru asigurarea protecției datelor cu caracter personal și a vieții private în cazul în care sunt capabile să prelucreze date cu caracter personal, astfel cum sunt definite la articolul 4 punctul 1 din Regulamentul (UE) 2016/679, sau datele definite la articolul 2 literele (b) și (c) din Directiva 2002/58/CE. Așadar, articolul 3 alineatul (3) litera (e) din Directiva 2014/53/UE trebuie să se aplice echipamentelor radio conectate la internet.
(12)În plus, în ceea ce privește protecția datelor cu caracter personal și a vieții private, echipamentele radio pentru îngrijirea copiilor, echipamentele radio care intră sub incidența Directivei 2009/48/CE și echipamentele radio portabile prezintă riscuri de securitate chiar și în cazul în care nu sunt conectate la internet. Datele cu caracter personal pot fi interceptate atunci când echipamentele radio emit sau recepționează unde radio și nu dispun de sisteme care să asigure protecția datelor cu caracter personal și a vieții private. Echipamentele radio pentru îngrijirea copiilor, echipamentele radio care intră sub incidența Directivei 2009/48/CE și echipamentele radio portabile pot monitoriza și înregistra în timp o serie de date sensibile (cu caracter personal) ale utilizatorului și le pot retransmite prin intermediul unor tehnologii de comunicare care ar putea fi nesecurizate. Echipamentele radio pentru îngrijirea copiilor, echipamentele radio care intră sub incidența Directivei 2009/48/CE și echipamentele radio portabile trebuie, de asemenea, să asigure protecția datelor cu caracter personal și a vieții private în cazul în care sunt capabile să prelucreze, în sensul articolului 4 punctul 2 din Regulamentul (UE) 2016/679, date cu caracter personal, astfel cum sunt definite la articolul 4 punctul 1 din Regulamentul (UE) 2016/679, sau date de transfer și date de localizare, astfel cum sunt definite la articolul 2 literele (b) și (c) din Directiva 2002/58/CE. Prin urmare, articolul 3 alineatul (3) litera (e) din Directiva 2014/53/UE trebuie să se aplice echipamentelor radio respective.
(13)În ceea ce privește riscul de fraude, din echipamentele radio conectate la internet care nu asigură protecția împotriva fraudelor pot fi furate informații, inclusiv date cu caracter personal. Mai multe tipuri specifice de fraude se referă la echipamentele radio conectate la internet care sunt utilizate pentru efectuarea de plăți online. Costurile pot fi ridicate, și nu doar pentru victima respectivei fraude, ci și pentru întreaga societate (de exemplu, costul anchetei derulate de poliție, costurile serviciilor de sprijin pentru victime, costurile proceselor pentru identificarea vinovaților). Prin urmare, este necesar să se asigure tranzacții sigure și să se reducă la minimum riscul de pierderi financiare pentru utilizatorii de echipamente radio conectate la internet care efectuează plăți prin intermediul echipamentelor radio respective și pentru destinatarul plății efectuate prin intermediul acestor echipamente.
(14)Echipamentele radio conectate la internet introduse pe piața UE trebuie să includă caracteristici care asigură protecția împotriva fraudelor atunci când deținătorul sau utilizatorul transferă prin intermediul acestora bani, valori monetare sau monede virtuale, astfel cum sunt definite la articolul 2 litera (d) din Directiva (UE) 2019/713 a Parlamentului European și a Consiliului. Prin urmare, articolul 3 alineatul (3) litera (f) din Directiva 2014/53/UE trebuie să se aplice echipamentelor radio respective.
(15)Regulamentul (UE) 2017/745 al Parlamentului European și al Consiliului stabilește norme privind dispozitivele medicale, iar Regulamentul (UE) 2017/746 al Parlamentului European și al Consiliului stabilește norme privind dispozitivele medicale pentru diagnostic in vitro. Atât Regulamentul (UE) 2017/745, cât și Regulamentul (UE) 2017/746 abordează anumite elemente de risc la adresa securității cibernetice asociate cu riscurile prevăzute la articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva 2014/53/UE. Prin urmare, echipamentele radio care intră sub incidența oricăruia dintre cele două regulamente nu trebuie să se încadreze în categoriile sau clasele de echipamente radio care trebuie să respecte cerințele esențiale prevăzute la articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva 2014/53/UE.
(16)Regulamentul (UE) 2019/2144 al Parlamentului European și al Consiliului stabilește cerințele pentru omologarea de tip a autovehiculelor, precum și a sistemelor și componentelor acestora. În plus, principalul obiectiv al Regulamentului (UE) 2018/1139 al Parlamentului European și al Consiliului este stabilirea și menținerea unui nivel ridicat și uniform al siguranței aviației civile în Uniune. De asemenea, Directiva (UE) 2019/520 a Parlamentului European și a Consiliului stabilește condițiile pentru interoperabilitatea sistemelor de taxare rutieră electronică și pentru facilitarea schimbului transfrontalier de informații cu privire la neplata taxelor rutiere în cadrul Uniunii. Regulamentele (UE) 2019/2144 și (UE) 2018/1139 și Directiva (UE) 2019/520 abordează elemente de risc la adresa securității cibernetice asociate cu riscurile prevăzute la articolul 3 alineatul (3) literele (e) și (f) din Directiva 2014/53/UE. Prin urmare, echipamentele radio care intră sub incidența Regulamentelor (UE) 2019/2144 și (UE) 2018/1139 sau a Directivei (UE) 2019/520 nu trebuie să se încadreze în categoriile sau clasele de echipamente radio care trebuie să respecte cerințele esențiale prevăzute la articolul 3 alineatul (3) literele (e) și (f) din Directiva 2014/53/UE.
(17)Articolul 3 din Directiva 2014/53/UE prevede cerințe esențiale pe care trebuie să le îndeplinească operatorii economici. Pentru a facilita evaluarea conformității cu aceste cerințe, directiva prevede o prezumție de conformitate pentru echipamentele radio care respectă standardele armonizate voluntare adoptate în conformitate cu Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului în scopul formulării specificațiilor tehnice detaliate ale cerințelor respective. Specificațiile vor lua în considerare și vor aborda nivelul riscurilor asociate utilizării preconizate a fiecărei categorii sau clase de echipamente radio vizate de regulamentul respectiv.
(18)Operatorilor economici trebuie să li se acorde suficient timp pentru a se adapta la cerințele prevăzute de prezentul regulament. Prin urmare, aplicarea prezentului regulament trebuie să fie amânată. Prezentul regulament nu trebuie să împiedice respectarea acestuia de către operatorii economici după data intrării sale în vigoare.
(19)Comisia a efectuat consultări adecvate în cursul activității sale de elaborare a măsurilor prevăzute în prezentul regulament și a consultat Grupul de experți privind echipamentele radio,
ADOPTĂ PREZENTUL REGULAMENT:
Articolul 1
1. Cerința esențială prevăzută la articolul 3 alineatul (3) litera (d) din Directiva 2014/53/UE se aplică oricăror echipamente radio care pot comunica prin internet, fie direct, fie prin intermediul oricărui alt echipament („echipamente radio conectate la internet”).
2. Cerința esențială prevăzută la articolul 3 alineatul (3) litera (e) din Directiva 2014/53/UE se aplică oricăruia dintre următoarele echipamente radio, în cazul în care echipamentele radio respective sunt capabile să prelucreze, în sensul articolului 4 punctul 2 din Regulamentul (UE) 2016/679, date cu caracter personal, astfel cum sunt definite la articolul 4 punctul 1 din Regulamentul (UE) 2016/679, sau date de transfer și date de localizare, astfel cum sunt definite la articolul 2 literele (b) și (c) din Directiva 2002/58/CE:
(a)echipamentele radio conectate la internet, altele decât cele menționate la literele (b), (c) sau (d);
(b)echipamentele radio concepute sau destinate exclusiv îngrijirii copiilor;
(c)echipamentele radio reglementate de Directiva 2009/48/CE;
(d)echipamentele radio concepute sau destinate, exclusiv sau neexclusiv, pentru a fi purtate pe, prinse sau atârnate de:
(i)orice parte a corpului, inclusiv cap, gât, trunchi, brațe, mâini și picioare;
(ii)orice articole de îmbrăcăminte, inclusiv articole pentru acoperirea capului, a mâinilor și încălțăminte purtate de persoane;
3. Cerința esențială prevăzută la articolul 3 alineatul (3) litera (f) din Directiva 2014/53/UE se aplică oricăror echipamente radio conectate la internet care îi permit deținătorului sau utilizatorului acestora să transfere bani, valori monetare sau monede virtuale, astfel cum sunt definite la articolul 2 litera (d) din Directiva (UE) 2019/713.
Articolul 2
1. Prin derogare de la articolul 1, cerințele esențiale prevăzute la articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva 2014/53/UE nu se aplică echipamentelor radio care intră, de asemenea, sub incidența oricăruia dintre următoarele acte legislative ale UE:
(a)Regulamentul (UE) 2017/745;
(b)Regulamentul (UE) 2017/746.
2. Prin derogare de la articolul 1 alineatul (2) și de la articolul 1 alineatul (3), cerințele esențiale prevăzute la articolul 3 alineatul (3) literele (e) și (f) din Directiva 2014/53/UE nu se aplică echipamentelor radio care intră, de asemenea, sub incidența oricăruia dintre următoarele acte legislative ale UE:
(a)Regulamentul (UE) 2018/1139;
(b)Regulamentul (UE) 2019/2144;
(c)Directiva (UE) 2019/520.
Articolul 3
Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării sale în Jurnalul Oficial al Uniunii Europene.
Se aplică de la …[OP vă rugăm să introduceți data = 30 de luni de la intrarea în vigoare a prezentului regulament].
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 29.10.2021
Pentru Comisie,
Președinta
Ursula VON DER LEYEN