This document is an excerpt from the EUR-Lex website
Document 32021R2078
Commission Implementing Regulation (EU) 2021/2078 of 26 November 2021 laying down rules for the application of Regulation (EU) 2017/745 of the European Parliament and of the Council as regards the European Database on Medical Devices (Eudamed)
Kommissionens genomförandeförordning (EU) 2021/2078 av den 26 november 2021 om bestämmelser för tillämpningen av Europaparlamentets och rådets förordning (EU) 2017/745 vad gäller den europeiska databasen för medicintekniska produkter (Eudamed)
Kommissionens genomförandeförordning (EU) 2021/2078 av den 26 november 2021 om bestämmelser för tillämpningen av Europaparlamentets och rådets förordning (EU) 2017/745 vad gäller den europeiska databasen för medicintekniska produkter (Eudamed)
C/2021/8447
EUT L 426, 29.11.2021, p. 9–15
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
29.11.2021 |
SV |
Europeiska unionens officiella tidning |
L 426/9 |
KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/2078
av den 26 november 2021
om bestämmelser för tillämpningen av Europaparlamentets och rådets förordning (EU) 2017/745 vad gäller den europeiska databasen för medicintekniska produkter (Eudamed)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets förordning (EU) 2017/745 av den 5 april 2017 om medicintekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG) nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG (1), särskilt artikel 33.8, och
av följande skäl:
(1) |
Enligt förordning (EU) 2017/745 ska kommissionen fastställa de närmare bestämmelser som krävs för upprättandet och förvaltningen av den europeiska databasen för medicintekniska produkter (Eudamed). |
(2) |
Enligt Europaparlamentets och rådets förordning (EU) 2017/746 (2) ska kommissionen upprätta, underhålla och förvalta Eudamed i enlighet med de villkor och närmare bestämmelser som fastställs i förordning (EU) 2017/745. |
(3) |
I enlighet med förordningarna (EU) 2017/745 och (EU) 2017/746 bör kommissionen, behöriga myndigheter, myndigheter med ansvar för anmälda organ, anmälda organ, tillverkare, auktoriserade representanter, importörer, de fysiska eller juridiska personer som avses i artikel 22.1 i förordning (EU) 2017/745 (tillverkare av modulsammansatta produkter eller vårdset) samt sponsorer för kliniska prövningar och prestandastudier ha åtkomst till och använda Eudamed för att fullgöra sina skyldigheter och utföra sina uppgifter enligt de förordningarna. Det är därför nödvändigt att ge åtkomst till Eudamed via en begränsad webbplats. Dessutom bör Eudamed ge allmänheten adekvat information om produkter som har släppts ut på marknaden, om tillhörande intyg som utfärdats av anmälda organ, om de berörda ekonomiska aktörerna och om kliniska prövningar. Därför är det också nödvändigt att göra Eudamed tillgänglig via en offentlig webbplats. För att möjliggöra utbyte av uppgifter mellan Eudamed och nationella databaser är det dessutom nödvändigt att ge åtkomst till Eudamed genom tjänster för utbyte av uppgifter maskin-till-maskin. |
(4) |
När det gäller fysiska och juridiska personer som behöver ha åtkomst till Eudamed via den begränsade webbplatsen är det nödvändigt att ange villkoren och förfarandena för att ge sådan åtkomst. |
(5) |
Kommissionen har fastställt den europeiska nomenklaturen för medicintekniska produkter (EMDN) i enlighet med förordningarna (EU) 2017/745 och (EU) 2017/746. EMDN bör därför vara tillgänglig kostnadsfritt i Eudamed och användas för att lämna information om medicintekniska produkter i Eudamed. |
(6) |
För att säkerställa att Eudameds användare får det stöd de behöver när de använder databasen bör kommissionen tillhandahålla tekniskt och administrativt stöd avseende Eudamed. |
(7) |
Om Eudamed inte är tillgänglig av tekniska skäl eller vid funktionsfel bör behöriga användare fortfarande kunna fullgöra sina skyldigheter. Därför är det nödvändigt att ange alternativa metoder för utbyte av uppgifter i sådana fall och att fastställa bestämmelser för oförutsedda händelser för dessa metoder. |
(8) |
Bestämmelserna om it-säkerhet i kommissionens beslut (EU, Euratom) 2017/46 (3) är tillämpliga på Eudamed. För att Eudamed ska fungera på ett säkert sätt, så att tillgången till dess funktioner och uppgifter och deras integritet och sekretess inte hotas, bör det fastställas ytterligare säkerhetsbestämmelser. |
(9) |
För att minska riskerna och hantera bedräglig användning av Eudamed bör man fastställa särskilda bestämmelser om bedräglig aktivitet i Eudamed. |
(10) |
Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (4) och avgav ett yttrande den 9 juli 2021. |
(11) |
De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från kommittén för medicintekniska produkter. |
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Definitioner
I denna förordning avses med
1. |
aktör: kommissionen, en behörig myndighet, en myndighet med ansvar för anmälda organ, ett anmält organ, en tillverkare, en auktoriserad representant, en importör, en producent av modulsammansatta produkter eller vårdset eller en sponsor som har registrerats i Eudamed i enlighet med artikel 3 i den här förordningen i syfte att fullgöra sina skyldigheter enligt förordningarna (EU) 2017/745 och (EU) 2017/746. |
2. |
behörig användare: fysisk person som har beviljats åtkomst till Eudamed via den begränsade webbplatsen för att agera på uppdrag av en aktör. |
3. |
lokal aktörsadministratör (LAA): behörig användare som har rätt att hantera viss information rörande aktörens uppgifter och att ge andra fysiska personer åtkomst till Eudamed via den begränsade webbplatsen för att agera på uppdrag av den aktören. |
4. |
lokal användaradministratör (LUA): behörig användare som har rätt att ge andra fysiska personer åtkomst till Eudamed via den begränsade webbplatsen för att agera på uppdrag av en aktör. |
5. |
funktionsfel: betydande fel i Eudameds funktion, inklusive fel som orsakats av oförutsebara omständigheter eller force majeure, som kan inverka negativt på it-säkerheten eller försvåra tillgången till någon av funktionerna i Eudameds elektroniska system enligt artikel 33.2 i förordning (EU) 2017/745. |
Artikel 2
Åtkomstsätt
1. Eudamed ska vara tillgänglig för behöriga användare via en begränsad webbplats (nedan kallad den begränsade webbplatsen) och för oidentifierade användare via en offentlig webbplats (nedan kallad den offentliga webbplatsen).
2. De behöriga myndigheter som avses i artikel 101 i förordning (EU) 2017/745 och artikel 96 i förordning (EU) 2017/746 (nedan kallade behöriga myndigheter) och anmälda organ som registrerats i Eudamed i enlighet med artikel 3 i den här förordningen ska ha åtkomst till Eudamed genom tjänster för utbyte av uppgifter maskin-till-maskin. Kommissionen ska på begäran ge alla medlemsstater och anmälda organ åtkomstpunkter för utbyte av uppgifter så att de kan använda dessa tjänster för utbyte av uppgifter.
Genom tjänster för utbyte av uppgifter maskin-till-maskin ska andra aktörer än behöriga myndigheter och anmälda organ ges åtkomst till Eudamed, förutsatt att den berörda aktörens LAA lämnar in en begäran om sådan åtkomst i enlighet med artikel 3.8 första stycket. Kommissionen ska godkänna begäran på de villkor som anges i artikel 3.8 andra stycket.
Artikel 3
Registrering i Eudamed och åtkomst till Eudamed via den begränsade webbplatsen
1. För att få åtkomst till Eudamed via den begränsade webbplatsen ska en fysisk person skapa ett konto hos kommissionens autentiseringstjänst.
2. Kommissionen ska registrera de behöriga myndigheterna och myndigheterna med ansvar för anmälda organ och ska ge en första fysisk person åtkomst till den begränsade webbplatsen för att agera på deras uppdrag. För det ändamålet ska medlemsstaterna ge kommissionen information om sina behöriga myndigheter, myndigheterna med ansvar för anmälda organ och de fysiska personer som ska bli dessa myndigheters första behöriga användare.
3. Kommissionen ska registrera de anmälda organen i Eudamed på grundval av informationen i den databas för anmälda organ som utvecklats och förvaltas av kommissionen (Nando):
För att få åtkomst till Eudamed via den begränsade webbplatsen ska den första fysiska person som agerar på uppdrag av en aktör som är ett anmält organ lämna in en begäran om åtkomst via den begränsade webbplatsen. Myndigheten med ansvar för det anmälda organet ska godkänna begäran.
4. För att andra enheter än de som nämns i punkterna 2 och 3 ska kunna registreras i Eudamed ska en fysisk person som agerar på uppdrag av den tilltänkta aktören lämna in en begäran om registrering av aktör, via den begränsade webbplatsen. Begäran om registrering av aktörer ska innehålla den undertecknade försäkran om ansvar för informationssäkerhet som avses i artikel 10.1. En nationell behörig myndighet ska godkänna begäran om registrering av aktörer, utom när begäran gäller en sponsor för en klinisk prövning eller en prestandastudie.
När begäran om registrering av aktörer har godkänts eller, om det gäller en sponsor, när begäran om registrering av aktörer har lämnats in ska den fysiska person som lämnade in den begäran som avses i första stycket automatiskt ges åtkomst till den begränsade webbplatsen och bli den första behöriga användaren, förutsatt att villkoren i punkt 6 är uppfyllda.
Vid tillämpning av denna punkt ska den nationella behöriga myndigheten vara myndigheten i det land där den tilltänkta aktören är etablerad. När det gäller tillverkare som är etablerade utanför unionen ska den nationella behöriga myndigheten vara myndigheten med ansvar för den auktoriserade representant som är angiven i begäran om registrering av aktörer. När det gäller tillverkare av modulsammansatta produkter eller vårdset som är etablerade utanför unionen ska den nationella behöriga myndigheten vara myndigheten i den medlemsstat där den tillverkarens första modulsammansatta produkter eller vårdset ska släppas ut på marknaden.
5. För att en fysisk person ska få åtkomst till Eudamed via den begränsade webbplatsen för att agera på uppdrag av en aktör ska personen lämna in en begäran om åtkomst via den begränsade webbplatsen. Aktörens LAA eller LUA ska godkänna begäran om åtkomst.
6. För att bli behöriga användare ska fysiska personer godkänna villkoren för användares rättigheter och skyldigheter i det dokument som avses i artikel 10.1 a och ta del av det meddelande om skydd av personuppgifter som avses i led c i den artikeln.
7. En aktörs första behöriga användare ska automatiskt bli den aktörens första LAA.
8. En LAA kan via den begränsade webbplatsen göra en begäran till kommissionen om en maskin-till-maskin-anslutning för utbyte av uppgifter mellan aktörens databas och Eudamed.
Kommissionen får godkänna den begäran som avses i första stycket förutsatt att LAA har bekräftat att aktören uppfyller de informationssäkerhetskrav för utbyte av uppgifter som avses i artikel 10.1.
Artikel 4
Nomenklatur
Behöriga användare ska använda koderna för öppen tillgång i den europeiska nomenklaturen för medicintekniska produkter (EMDN) när de lämnar information om medicintekniska produkter i Eudamed.
Kommissionen ska göra EMDN tillgänglig i Eudamed kostnadsfritt.
Artikel 5
Tekniskt och administrativt stöd
1. Till stöd för Eudameds användare ska kommissionen inrätta en supportavdelning som kan nås via en särskild funktionsbrevlåda.
2. Kommissionen ska ge Eudameds användare tillgång till relevant teknisk dokumentation om Eudamed, vanliga frågor om Eudamed och dokumentation till stöd för tjänsterna för utbyte av uppgifter maskin-till-maskin.
Artikel 6
Äganderätt till och behandling av personuppgifter
1. Kommissionen ska äga Eudamed och ha fullständiga administratörsrättigheter.
2. Personuppgifter ska behandlas i Eudamed på ett sådant sätt att skyldigheterna enligt förordningarna (EU) 2017/745 och (EU) 2017/746 fullgörs.
3. Följande kategorier av personuppgifter ska behandlas:
a) |
Aktörers och behöriga användares namn. |
b) |
Aktörers och behöriga användares kontaktuppgifter. |
c) |
Identifiering och kontaktuppgifter, och uppgifter om andra fysiska eller juridiska personers yrkeskvalifikationer, som ska rapporteras i Eudamed på ett sådant sätt att skyldigheterna enligt förordningarna (EU) 2017/745 och (EU) 2017/746 fullgörs. |
Artikel 7
Bestämmelser avseende funktioner
1. Inlämningen av uppgifter i Eudamed ska anses vara genomförd vid det datum och den tidpunkt som uppgifterna har registrerats i Eudamed. Datum och tidpunkt för inlämning ska fastställas enligt centraleuropeisk tid (CET) eller centraleuropeisk sommartid (CEST), beroende på vad som är tillämpligt.
2. Eudamed ska vara tillgänglig vid alla tidpunkter, utom vid nödvändiga och aviserade driftavbrott för underhåll, inklusive nya versioner. Kommissionen ska på förhand publicera ett meddelande om detta på den begränsade webbplatsen eller den offentliga webbplatsen, beroende på vad som är tillämpligt.
Artikel 8
Funktionsfel
1. Kommissionen ska vidta alla nödvändiga åtgärder för att förhindra funktionsfel och för att utan onödigt dröjsmål identifiera felet när det inträffar.
2. En aktör eller behörig användare som misstänker funktionsfel ska omedelbart underrätta kommissionen.
3. Om kommissionen identifierar ett funktionsfel ska den vidta följande åtgärder:
a) |
Utan dröjsmål publicera ett meddelande om detta (nedan kallat felmeddelande) på den begränsade webbplatsen eller den offentliga webbplatsen, beroende på vad som är tillämpligt, om inte funktionsfelet hindrar kommissionen från att göra detta; om så är fallet ska kommissionen publicera meddelandet på sin webbplats för medicintekniska produkter. |
b) |
Förlänga fristerna för att lämna uppgifter till Eudamed enligt förordningarna (EU) 2017/745 och (EU) 2017/746, om funktionsfelet innebär det inte går att ange de berörda uppgifterna. |
Om kommissionen förlänger fristerna för att lämna uppgifter till Eudamed i enlighet med första stycket led b ska det i felmeddelandet anges vilken tid meddelandet publiceras och hur långvarig avstängningen väntas bli.
4. Förutom den förlängning av fristerna som avses i punkt 3 första stycket b i denna artikel och om ett funktionsfel innebär att det inte går att fullgöra någon av de skyldigheter som avses i artiklarna 80, 87.1, 89.5, 89.7, 89.8, 89.9, 95.2, 95.4 och 95.6 eller artikel 98.2 i förordning (EU) 2017/745 eller i artiklarna 76, 82.1, 84.5, 84.7, 84.8, 84.9, 90.2, 90.4 och 90.6 eller artikel 93.2 i förordning (EU) 2017/746, ska något av följande förfaranden tillämpas:
a) |
Om funktionsfelet varar mer än 12 timmar efter att felmeddelandet publicerats ska aktören utan dröjsmål lämna allmän information om de berörda uppgifterna, och en angivelse av att det på grund av funktionsfel tillfälligt inte går att lämna uppgifter, till kommissionen, de berörda nationella behöriga myndigheterna och det anmälda organ som utfärdat det intyg om överensstämmelse som avses i artikel 56 i förordning (EU) 2017/745 eller artikel 51 i förordning (EU) 2017/746, beroende på vad som är tillämpligt. |
b) |
Om funktionsfelet varar mer än 24 timmar efter att felmeddelandet publicerats, eller om funktionsfelet varar mindre än 24 timmar och de berörda nationella behöriga myndigheterna så begär efter att ha fått den information som avses i led a i denna punkt, ska aktören utan dröjsmål lämna de berörda uppgifterna till dessa myndigheter, på det sätt som de föreskriver. |
5. Förutom den förlängning av fristerna som avses i punkt 3 första stycket b i denna artikel, och om ett funktionsfel gör det omöjligt att fullgöra någon annan av skyldigheterna i förordning (EU) 2017/745 eller förordning (EU) 2017/746 än de skyldigheter som avses i punkt 4 i denna artikel, ska följande förfarande tillämpas:
a) |
Om funktionsfelet varar mer än 36 timmar efter att felmeddelandet publicerats ska aktören utan dröjsmål lämna allmän information om dessa uppgifter, och en angivelse av att det på grund av funktionsfel tillfälligt inte går att lämna uppgifter, till kommissionen, de berörda nationella behöriga myndigheterna och det anmälda organ som utfärdat det intyg om överensstämmelse som avses i artikel 56 i förordning (EU) 2017/745 eller artikel 51 i förordning (EU) 2017/746, beroende på vad som är tillämpligt. |
b) |
Om funktionsfelet varar mer än fem dagar efter att felmeddelandet publicerats ska aktören underrätta de berörda nationella behöriga myndigheterna om detta och ska, om de så begär, ge dem de berörda uppgifterna, på det sätt som de föreskriver. |
6. När kommissionen har fastställt att funktionsfelet inte längre föreligger ska den underrätta de behöriga myndigheterna om detta. Dessutom ska kommissionen publicera ett meddelande om detta på den begränsade webbplatsen och/eller den offentliga webbplatsen, beroende på vad som är tillämpligt. Både underrättelsen och meddelandet ska ange varaktighet för funktionsfelet och den förlängning av tidsfrister som avses i punkt 3 b.
7. När kommissionen har publicerat det meddelande som avses i punkt 6 ska aktörerna utan dröjsmål lägga in de uppgifter som de inte kunde lämna medan funktionsfelet i Eudamed varade.
Artikel 9
Webbplatser avsedda för testning och utbildning
1. Kommissionen ska ge aktörerna tillgång till webbplatser avsedda för testning och utbildning om hur man använder Eudamed (nedan kallade webbplatser avsedda för testning och utbildning).
Uppgifter som läggs in i Eudamed för testning och utbildning ska anses vara fiktiva och får inte göras allmänt tillgängliga.
2. Innan en aktör för första gången använder tjänsterna för utbyte av uppgifter maskin-till-maskin ska aktören göra minst ett framgångsrikt försök att lämna in uppgifter genom tjänsten för maskin-till-maskin på en webbplats avsedd för testning och utbildning.
3. Alla ändringar som kommissionen avser att genomföra av Eudameds tjänster för utbyte av uppgifter maskin-till-maskin ska den först införa på webbplatserna avsedda för testning och utbildning, och de ska vara tillgängliga på dessa webbplatser under en tidsperiod som fastställts på förhand av kommissionen i samarbete med den samordningsgrupp för medicintekniska produkter som inrättats genom artikel 103 i förordning (EU) 2017/745.
Kommissionen ska via Eudamed underrätta de berörda aktörerna i förväg om de planerade ändringarna och om hur länge de kommer att vara tillgängliga på webbplatserna avsedda för testning och utbildning.
Artikel 10
It-säkerhet
1. Kommissionen ska göra följande dokument tillgängliga på den begränsade webbplatsen:
a) |
Ett dokument om användarens rättigheter och skyldigheter. |
b) |
En försäkran om ansvar för informationssäkerhet. |
c) |
Ett meddelande om skydd av personuppgifter. |
d) |
Informationssäkerhetskraven för utbyte av uppgifter. |
2. Aktörerna ska uppfylla villkoren i de dokument som avses i punkt 1 b och, i tillämpliga fall, i punkt 1 d.
3. Om kommissionen misstänker att en säkerhetsincident på it-området, en it-säkerhetsrisk eller ett it-säkerhetshot enligt definitionerna i artikel 2.15, 2.22 respektive 2.25 i beslut (EU, Euratom) 2017/46 som den anser kan skada Eudamed, uppgifterna däri eller deras konfidentialitet (säkerhetsincident på it-området, it-säkerhetsrisk eller it-säkerhetshot) har ägt rum eller föreligger får kommissionen stänga av all åtkomst till Eudamed.
4. Kommissionen får helt eller delvis stänga av funktionerna i Eudameds elektroniska system om den identifierar en säkerhetsincident på it-området, en it-säkerhetsrisk eller ett it-säkerhetshot.
Om den avstängning som avses i första stycket gör det omöjligt att lägga in uppgifter i Eudamed ska artikel 8.3, 8.4 och 8.5 gälla i tillämpliga delar.
5. Varje aktör eller behörig användare som får kännedom om eller misstänker en säkerhetsincident på it-området, en it-säkerhetsrisk eller ett it-säkerhetshot ska omedelbart underrätta kommissionen och de berörda medlemsstaterna om detta.
Artikel 11
Bedräglig aktivitet i Eudamed
1. Om en behörig myndighet, en LAA eller en LUA misstänker bedrägeri vid en begäran om åtkomst till Eudamed ska de avvisa begäran och omedelbart underrätta kommissionen om detta via den supportavdelning som avses i artikel 5.1, med angivande av att det gäller en misstänkt bedräglig begäran om åtkomst.
2. Om kommissionen har en skälig misstanke om att en behörig användare ägnar sig åt bedräglig aktivitet som påverkar Eudameds it-säkerhet ska den tillfälligt stänga av den behöriga användarens åtkomst till Eudamed. I det fallet ska kommissionen utan dröjsmål underrätta alla medlemsstater och de berörda aktörerna om avstängningen och motiveringen till den.
3. Varje aktör eller behörig användare som misstänker att en behörig användare ägnar sig åt bedräglig aktivitet ska utan dröjsmål underrätta kommissionen och medlemsstaterna om den misstänkt bedrägliga aktiviteten via den supportavdelning som avses i artikel 5.1.
4. Om kommissionen fastställer att det förekommer bedräglig aktivitet i Eudamed ska den omedelbart stänga av de berörda behöriga användarnas åtkomst till Eudamed och vidta de åtgärder som är nödvändiga, även i förekommande fall förhindra all framtida åtkomst till Eudamed från de konton som skapats hos kommissionens autentiseringstjänst. Kommissionen ska utan dröjsmål underrätta de berörda nationella behöriga myndigheterna och de berörda aktörerna om alla åtgärder som vidtagits i enlighet med denna punkt.
Artikel 12
Ikraftträdande
Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
Utfärdad i Bryssel den 26 november 2021.
På kommissionens vägnar
Ursula VON DER LEYEN
Ordförande
(1) EUT L 117, 5.5.2017, s. 1.
(2) Europaparlamentets och rådets förordning (EU) 2017/746 av den 5 april 2017 om medicintekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kommissionens beslut 2010/227/EU (EUT L 117, 5.5.2017, s. 176).
(3) Kommissionens beslut (EU, Euratom) 2017/46 av den 10 januari 2017 om säkerheten i Europeiska kommissionens kommunikations- och informationssystem (EUT L 6, 11.1.2017, s. 40.).
(4) Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).