Regulament 2021/2078 · CELEX 32021R2078

Regulamentul de punere în aplicare (UE) 2021/2078 al Comisiei din 26 noiembrie 2021 de stabilire a normelor de aplicare a Regulamentului (UE) 2017/745 al Parlamentului European și al Consiliului în ceea ce privește Baza europeană de date referitoare la dispozitivele medicale (Eudamed)

Data act: 26.11.2021
Intrare in vigoare: 19.12.2021
Jurnalul Oficial UE: oj:JOL_2021_426_R_0003
Status: In vigoare

acces la informație aplicare a legislației UE bază de date furnizare de informații instrumente medicale și chirurgicale piață unică site Internet specificații tehnice

Recitale

(1) Regulamentul (UE) 2017/745 impune Comisiei să stabilească măsurile detaliate necesare pentru instituirea și întreținerea Bazei europene de date referitoare la dispozitivele medicale („Eudamed”).

(2) Regulamentul (UE) 2017/746 al Parlamentului European și al Consiliului (2) impune Comisiei să instituie, să întrețină și să administreze Eudamed, în conformitate cu condițiile și modalitățile detaliate stabilite prin Regulamentul (UE) 2017/745.

(3) Astfel cum se prevede în Regulamentele (UE) 2017/745 și (UE) 2017/746, Comisia, autoritățile competente, autoritățile responsabile de organismele notificate, organismele notificate, producătorii, reprezentanții autorizați, importatorii, persoanele fizice sau juridice menționate la articolul 22 alineatul (1) din Regulamentul (UE) 2017/745 (producătorii de sisteme sau de pachete pentru proceduri) și sponsorii investigațiilor clinice și ai studiilor referitoare la performanță trebuie să aibă acces la Eudamed și să o utilizeze în scopul respectării obligațiilor care le revin și al îndeplinirii sarcinilor care le revin în temeiul regulamentelor respective. Prin urmare, este necesar să se asigure accesibilitatea Eudamed prin intermediul unui site web restricționat. În plus, Eudamed trebuie să furnizeze publicului informații adecvate cu privire la dispozitivele introduse pe piață, certificatele corespunzătoare eliberate de organismele notificate, operatorii economici relevanți și investigațiile clinice. Prin urmare, este necesar, de asemenea, ca Eudamed să fie accesibilă prin intermediul unui site web public. În plus, pentru a permite schimbul de date între Eudamed și bazele de date naționale, este necesar ca Eudamed să devină accesibilă prin intermediul serviciilor de schimb de date de tip mașină-mașină.

(4) În ceea ce privește persoanele fizice și juridice care trebuie să poată accesa Eudamed prin intermediul site-ului web restricționat, este necesar să se precizeze condițiile și procedura de acordare a acestui acces.

(5) Comisia a instituit Nomenclatorul european al dispozitivelor medicale (EMDN), astfel cum se prevede în Regulamentele (UE) 2017/745 și (UE) 2017/746. Prin urmare, EMDN trebuie să fie pus la dispoziție gratuit în Eudamed și să fie utilizat pentru furnizarea de informații privind dispozitivele medicale din Eudamed.

(6) Pentru a se asigura că utilizatorii Eudamed primesc sprijinul necesar atunci când utilizează baza de date, Comisia trebuie să le ofere în timp util asistență tehnică și administrativă cu privire la Eudamed.

(7) În caz de indisponibilitate tehnică sau de funcționare defectuoasă a Eudamed, utilizatorii autorizați trebuie să fie în continuare în măsură să își îndeplinească obligațiile. Prin urmare, este necesar să se specifice mecanisme alternative care să fie utilizate pentru schimbul de date în astfel de situații și să se stabilească norme de contingență pentru astfel de mecanisme.

(8) Normele privind securitatea informatică prevăzute în Decizia (UE, Euratom) 2017/46 a Comisiei (3) se aplică bazei Eudamed. Pentru ca Eudamed să funcționeze în mod sigur, protejat împotriva amenințărilor la adresa disponibilității, a integrității și a confidențialității funcțiilor și datelor sale, trebuie stabilite norme de securitate suplimentare.

(9) Pentru a atenua riscurile și a aborda posibila utilizare frauduloasă a Eudamed, trebuie stabilite dispoziții specifice privind activitatea frauduloasă a utilizatorilor în Eudamed.

(10) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (4) și a emis un aviz la 9 iulie 2021.

(11) Măsurile prevăzute în prezentul regulament sunt conforme cu avizul Comitetului pentru dispozitive medicale,

Articolul 1

Definiții

În sensul prezentului regulament, se aplică următoarele definiții: 1. „actor” înseamnă Comisia, o autoritate competentă, o autoritate responsabilă de organismele notificate, un organism notificat, un producător, un reprezentant autorizat, un importator, un producător de sisteme sau pachete pentru proceduri sau un sponsor, care a fost înregistrat în Eudamed în conformitate cu articolul 3 din prezentul regulament pentru a-și îndeplini obligațiile prevăzute în Regulamentele (UE) 2017/745 și (UE) 2017/746; 2. „utilizator autorizat” înseamnă o persoană fizică căreia i s-a acordat acces la Eudamed prin intermediul site-ului web restricționat pentru a acționa în numele unui actor; 3. „administrator local al actorului” (LAA) înseamnă un utilizator autorizat care are dreptul de a gestiona anumite informații privind datele actorului și de a acorda acces la Eudamed prin intermediul site-ului web restricționat altor persoane fizice pentru a acționa în numele actorului respectiv; 4. „administrator local al utilizatorului” (LUA) înseamnă un utilizator autorizat care are dreptul de a acorda acces la Eudamed prin intermediul site-ului web restricționat altor persoane fizice pentru a acționa în numele unui actor; 5. „defecțiune” înseamnă o deficiență semnificativă a funcționării Eudamed, inclusiv orice deficiență cauzată de un caz fortuit sau de un caz de forță majoră, care ar putea afecta securitatea informatică sau ar putea împiedica disponibilitatea oricăreia dintre funcționalitățile sistemelor electronice ale Eudamed menționate la articolul 33 alineatul (2) din Regulamentul (UE) 2017/745.

Articolul 2

Modalități de acces

(1) Eudamed este accesibilă utilizatorilor autorizați prin intermediul unui site web restricționat („site-ul web restricționat”) și utilizatorilor neidentificați prin intermediul unui site web public („site-ul web public”). (2) Eudamed este accesibilă prin intermediul serviciilor de schimb de date de tip mașină-mașină autorităților competente menționate la articolul 101 din Regulamentul (UE) 2017/745 și la articolul 96 din Regulamentul (UE) 2017/746 („autoritățile competente”) și organismelor notificate înregistrate în Eudamed în conformitate cu articolul 3 din prezentul regulament. Comisia pune la dispoziția fiecărui stat membru și a fiecărui organism notificat puncte de acces pentru schimbul de date care să le permită să utilizeze astfel de servicii de schimb de date, la cererea acestora. Eudamed este accesibilă prin intermediul serviciilor de schimb de date de tip mașină-mașină altor actori decât autoritățile competente și organismele notificate, cu condiția ca LAA al actorului în cauză să depună o cerere de acces astfel cum se menționează la articolul 3 alineatul (8) primul paragraf. Comisia aprobă cererea respectivă în condițiile prevăzute la articolul 3 alineatul (8) al doilea paragraf.

Articolul 3

Înregistrarea în Eudamed și accesul la Eudamed prin intermediul site-ului web restricționat

(1) Pentru a i se permite accesul la Eudamed prin intermediul site-ului web restricționat, o persoană fizică trebuie să creeze un cont pe site-ul web al serviciului de autentificare al Comisiei. (2) Comisia înregistrează autoritățile competente și autoritățile responsabile de organismele notificate și acordă acces la site-ul web restricționat unei prime persoane fizice care acționează în numele acestora. În acest scop, statele membre furnizează Comisiei informații privind autoritățile lor competente, autoritățile responsabile de organismele notificate și persoanele fizice care urmează să devină primii utilizatori autorizați ai acestor autorități. (3) Comisia înregistrează în Eudamed organismele notificate, în temeiul informațiilor din baza de date a organismelor notificate dezvoltată și gestionată de Comisie (NANDO). Pentru a i se permite accesul la Eudamed prin intermediul site-ului web restricționat, prima persoană fizică care acționează în numele unui actor care este organism notificat depune o cerere de acces prin intermediul site-ului web restricționat. Autoritatea responsabilă de organismul notificat aprobă cererea. (4) Pentru înregistrarea în Eudamed a altor entități decât cele menționate la alineatele (2) și (3), o persoană fizică care acționează în numele potențialului actor depune o cerere de înregistrare a actorului prin intermediul site-ului web restricționat. Cererea de înregistrare a actorului include declarația semnată privind responsabilitățile în materie de securitate a informațiilor, menționată la articolul 10 alineatul (1). O autoritate națională competentă aprobă cererea de înregistrare a actorului, cu excepția cazului în care cererea se referă la un sponsor al unei investigații clinice sau al unui studiu referitor la performanță. După aprobarea cererii de înregistrare a actorului sau, în cazul unui sponsor, atunci când a fost depusă cererea de înregistrare a actorului, persoanei fizice care a depus cererea, astfel cum se menționează la primul paragraf, i se acordă automat acces la site-ul web restricționat și aceasta devine primul utilizator autorizat, dacă sunt îndeplinite condițiile de la alineatul (6). În sensul prezentului alineat, autoritatea națională competentă este autoritatea de la locul de stabilire al potențialului actor. În ceea ce privește producătorii stabiliți în afara Uniunii, autoritatea națională competentă este autoritatea responsabilă de reprezentantul autorizat menționat în cererea de înregistrare a actorului. În ceea ce privește producătorii de sisteme sau de pachete pentru proceduri stabiliți în afara Uniunii, autoritatea națională competentă este autoritatea statului membru în care urmează să fie introdus pe piață primul sistem sau pachet pentru proceduri al producătorului respectiv. (5) Pentru ca o persoană fizică să aibă acces la site-ul web restricționat pentru a acționa în numele unui actor, aceasta trebuie să depună o cerere de acces prin intermediul site-ului web restricționat. Un LAA sau LUA al actorului respectiv aprobă cererea de acces. (6) Pentru a deveni utilizatori autorizați, persoanele fizice acceptă drepturile și obligațiile utilizatorului prevăzute în documentul menționat la articolul 10 alineatul (1) litera (a) și consultă declarația de confidențialitate menționată la alineatul respectiv litera (c). (7) Primul utilizator autorizat al unui actor este automat primul LAA al actorului respectiv. (8) Prin intermediul site-ului web restricționat, un LAA poate adresa Comisiei o cerere de conectare de tip mașină-mașină pentru efectuarea schimburilor de date între baza de date a actorului și Eudamed. Comisia poate aproba cererea menționată la primul paragraf, cu condiția ca LAA să fi confirmat că actorul respectă cerințele de securitate a informațiilor pentru schimbul de date menționat la articolul 10 alineatul (1).

Articolul 4

Nomenclatorul

Utilizatorii autorizați utilizează codurile cu acces liber din Nomenclatorul european al dispozitivelor medicale (EMDN) atunci când furnizează informații privind dispozitivele medicale în Eudamed. Comisia pune la dispoziție în mod gratuit EMDN în Eudamed.

Articolul 5

Asistență tehnică și administrativă

(1) Comisia instituie o echipă de asistență pentru aplicații pentru a oferi asistență în timp util utilizatorilor Eudamed, aceasta putând fi accesată prin intermediul unei căsuțe poștale funcționale create special în acest scop. (2) Comisia pune la dispoziția utilizatorilor Eudamed documentația tehnică relevantă privind Eudamed, întrebările frecvente privind Eudamed și documentația în sprijinul serviciilor de schimb de date de tip mașină-mașină.

Articolul 6

Dreptul de proprietate și prelucrarea datelor cu caracter personal

(1) Comisia este proprietarul Eudamed și are drepturi depline de administrare. (2) Datele cu caracter personal sunt prelucrate în Eudamed în scopul respectării obligațiilor prevăzute în Regulamentele (UE) 2017/745 și (UE) 2017/746. (3) Se prelucrează următoarele categorii de date cu caracter personal: (a) numele actorilor și ale utilizatorilor autorizați; (b) datele de contact ale actorilor și ale utilizatorilor autorizați; (c) identificarea și datele de contact, precum și datele privind calificările profesionale ale altor persoane fizice sau juridice, care se raportează în Eudamed în scopul respectării obligațiilor prevăzute în Regulamentele (UE) 2017/745 și (UE) 2017/746.

Articolul 7

Norme de funcționare

(1) Transmiterea datelor în Eudamed se consideră efectuată la data și ora la care datele sunt înregistrate cu succes în Eudamed. Data și ora transmiterii se stabilesc în funcție de ora Europei Centrale (CET) sau de ora de vară a Europei Centrale (CEST), după caz. (2) Eudamed este accesibilă în orice moment, cu excepția perioadelor de indisponibilitate necesare și anunțate anterior ca urmare a activităților de întreținere, inclusiv a lansărilor de versiuni noi. Comisia publică în prealabil un aviz în acest sens pe site-ul web restricționat sau pe site-ul web public, după caz.

Articolul 8

Defecțiune

(1) Comisia ia toate măsurile necesare pentru a preveni orice defecțiune și pentru a o identifica, fără întârzieri nejustificate, atunci când apare. (2) În cazul în care un actor sau un utilizator autorizat suspectează o defecțiune, acesta informează imediat Comisia. (3) În cazul în care Comisia identifică o defecțiune, aceasta ia următoarele măsuri: (a) publică, fără întârziere, un aviz în acest sens („aviz de defecțiune”) pe site-ul web restricționat sau pe site-ul web public, după caz, cu excepția situației în care natura defecțiunii împiedică Comisia să facă acest lucru, caz în care, în măsura posibilului, Comisia publică avizul pe site-ul său web dedicat dispozitivelor medicale; (b) suspendă perioadele de transmitere a datelor în Eudamed prevăzute în Regulamentele (UE) 2017/745 și (UE) 2017/746, în cazul în care defecțiunea împiedică introducerea datelor relevante. În cazul în care Comisia suspendă perioadele de transmitere a datelor către Eudamed, astfel cum se prevede la primul paragraf litera (b), avizul de defecțiune trebuie să specifice ora publicării avizului respectiv și durata probabilă a suspendării. (4) Pe lângă suspendarea perioadelor menționată la alineatul (3) primul paragraf litera (b) din prezentul articol, în cazul în care o defecțiune împiedică respectarea oricăreia dintre obligațiile menționate la articolul 80, la articolul 87 alineatul (1), la articolul 89 alineatele (5), (7), (8) și (9), la articolul 95 alineatele (2), (4) și (6) sau la articolul 98 alineatul (2) din Regulamentul (UE) 2017/745 ori la articolul 76, la articolul 82 alineatul (1), la articolul 84 alineatele (5), (7), (8) și (9), la articolul 90 alineatele (2), (4) și (6) sau la articolul 93 alineatul (2) din Regulamentul (UE) 2017/746, se aplică una dintre următoarele proceduri: (a) în cazul în care defecțiunea durează mai mult de 12 ore de la publicarea avizului de defecțiune, actorul furnizează fără întârziere Comisiei, autorităților naționale competente în cauză și organismului notificat care a eliberat certificatul de conformitate menționat la articolul 56 din Regulamentul (UE) 2017/745 sau la articolul 51 din Regulamentul (UE) 2017/746, după caz, informații generale cu privire la datele relevante și precizarea că transmiterea datelor este în așteptare din cauza defecțiunii; (b) în cazul în care defecțiunea durează mai mult de 24 de ore de la publicarea avizului de defecțiune sau în cazul în care defecțiunea durează mai puțin de 24 de ore și acest lucru este solicitat de către autoritățile naționale competente în cauză după primirea informațiilor menționate la litera (a) de la prezentul alineat, actorul furnizează fără întârziere autorităților respective datele relevante, în modul prevăzut de acestea. (5) Pe lângă suspendarea perioadelor menționată la alineatul (3) primul paragraf litera (b) din prezentul articol, în cazul unei defecțiuni care împiedică respectarea uneia dintre obligațiile prevăzute în Regulamentul (UE) 2017/745 sau în Regulamentul (UE) 2017/746, altele decât obligațiile menționate la alineatul (4) din prezentul articol, se aplică următoarea procedură: (a) în cazul în care defecțiunea durează mai mult de 36 de ore de la publicarea avizului de defecțiune, actorul furnizează fără întârziere Comisiei, autorităților naționale competente în cauză și organismului notificat care a eliberat certificatul de conformitate menționat la articolul 56 din Regulamentul (UE) 2017/745 sau la articolul 51 din Regulamentul (UE) 2017/746, după caz, informații generale cu privire la datele respective și precizarea că transmiterea datelor este în așteptare din cauza defecțiunii; (b) în cazul în care defecțiunea durează mai mult de cinci zile de la publicarea avizului de defecțiune, actorul informează autoritățile naționale competente în cauză cu privire la acest lucru și, la cererea acestora, le furnizează datele relevante, în modul prevăzut de acestea. (6) În momentul în care Comisia constată că defecțiunea a încetat, aceasta comunică informațiile respective autorităților competente. În plus, Comisia publică un aviz în acest sens pe site-ul web restricționat și/sau pe site-ul web public, după caz. Atât comunicarea, cât și avizul trebuie să indice durata defecțiunii și a suspendării perioadelor menționată la alineatul (3) litera (b). (7) În momentul în care Comisia a publicat avizul menționat la alineatul (6), actorii introduc fără întârziere în Eudamed datele pe care nu le-au putut transmite în timpul defecțiunii.

Articolul 9

Site-uri web pentru testare și formare

(1) Comisia pune la dispoziția actorilor site-uri web în scopul testării și al formării cu privire la utilizarea Eudamed („site-uri web pentru testare și formare”). Datele introduse pe site-urile web pentru testare și formare sunt considerate fictive și nu sunt puse la dispoziția publicului. (2) Înainte de a utiliza pentru prima dată serviciile de schimb de date de tip mașină-mașină, un actor face cel puțin o încercare reușită de transmitere a datelor de la mașină la mașină utilizând un site web pentru testare și formare. (3) Orice modificări pe care Comisia intenționează să le aducă serviciilor de schimb de date de tip mașină-mașină din Eudamed sunt introduse mai întâi pe site-urile web pentru testare și formare și sunt disponibile pe respectivele site-uri web pe o perioadă care urmează să fie definită în prealabil de Comisie, în colaborare cu Grupul de coordonare privind dispozitivele medicale instituit în temeiul articolului 103 din Regulamentul (UE) 2017/745. Comisia informează în prealabil actorii în cauză prin intermediul Eudamed cu privire la modificările avute în vedere și la perioada de disponibilitate a acestora pe site-urile web pentru testare și formare.

Articolul 10

Securitatea informatică

(1) Comisia pune la dispoziție următoarele documente pe site-ul web restricționat: (a) un document privind drepturile și obligațiile utilizatorilor; (b) declarația privind responsabilitățile în materie de securitate a informațiilor; (c) declarația de confidențialitate; (d) cerințele de securitate a informațiilor pentru schimbul de date. (2) Actorii respectă termenii și condițiile prevăzute în documentele menționate la alineatul (1) litera (b) și, după caz, la litera (d) de la alineatul respectiv. (3) În cazul în care Comisia suspectează că a avut sau are loc un incident de securitate informatică, un risc la adresa securității informatice sau o amenințare la adresa securității informatice, astfel cum sunt definite la articolul 2 punctele 15, 22 și 25 din Decizia (UE, Euratom) 2017/46, pe care le consideră potențial dăunătoare pentru Eudamed, datele sale sau confidențialitatea acestora („incident de securitate informatică, risc la adresa securității informatice sau amenințare la adresa securității informatice”), Comisia poate suspenda orice acces la Eudamed. (4) Comisia poate suspenda toate funcționalitățile sistemelor electronice ale Eudamed sau o parte a acestora, în cazul în care identifică un incident de securitate informatică, un risc la adresa securității informatice sau o amenințare la adresa securității informatice. În cazul în care suspendarea menționată la primul paragraf împiedică introducerea de date în Eudamed, articolul 8 alineatele (3), (4) și (5) se aplică mutatis mutandis. (5) Orice actor sau utilizator autorizat care ia cunoștință de un incident de securitate informatică, un risc la adresa securității informatice sau o amenințare la adresa securității informatice sau suspectează existența sa informează imediat Comisia și statele membre în cauză cu privire la acest lucru.

Articolul 11

Activitatea frauduloasă a utilizatorilor în cadrul Eudamed

(1) În cazul în care o autoritate competentă, un LAA sau un LUA suspectează o cerere frauduloasă de acces la Eudamed, aceasta (acesta) refuză cererea și informează imediat Comisia cu privire la acest refuz prin intermediul echipei de asistență pentru aplicații menționată la articolul 5 alineatul (1), specificând că refuzul se referă la o suspiciune de cerere frauduloasă de acces. (2) În cazul în care Comisia are motive întemeiate să suspecteze că un utilizator autorizat desfășoară o activitate frauduloasă care afectează securitatea informatică a Eudamed, aceasta suspendă temporar accesul respectivului utilizator autorizat la Eudamed. În acest caz, Comisia informează fără întârziere toate statele membre și actorii vizați cu privire la suspendare și la justificarea acesteia. (3) Orice actor sau utilizator autorizat care suspectează o activitate frauduloasă a unui utilizator autorizat informează fără întârziere Comisia și statele membre cu privire la activitatea frauduloasă suspectată prin intermediul echipei de asistență pentru aplicații menționată la articolul 5 alineatul (1). (4) În cazul în care Comisia constată o activitate frauduloasă în Eudamed, aceasta sistează imediat accesul utilizatorilor autorizați relevanți la Eudamed și ia măsurile necesare, inclusiv, după caz, împiedicarea oricărui acces viitor la Eudamed din conturile aferente create pe site-ul web al serviciului de autentificare al Comisiei. Comisia informează fără întârziere autoritățile naționale competente relevante și actorii vizați cu privire la orice măsuri luate în temeiul prezentului alineat.

Articolul 12

Intrarea în vigoare

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.