REGULAMENTO DELEGADO (UE) 2022/30 DA COMISSÃO

de 29 de outubro de 2021

que complementa a Diretiva 2014/53/UE do Parlamento Europeu e do Conselho no que diz respeito à aplicação dos requisitos essenciais referidos no artigo 3.o, n.o 3, alíneas d), e) e f), dessa diretiva

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2014/53/UE do Parlamento Europeu e do Conselho, de 16 de abril de 2014, relativa à harmonização da legislação dos Estados-Membros respeitante à disponibilização de equipamentos de rádio no mercado e que revoga a Diretiva 1999/5/CE (1), nomeadamente o artigo 3.o, n.o 3, segundo parágrafo, em conjugação com o artigo 3.o, n.o 3, primeiro parágrafo, alíneas d), e) e f),

Considerando o seguinte:

(1) A proteção da rede ou do seu funcionamento contra danos, a proteção dos dados pessoais e da privacidade do utilizador e do assinante e a proteção de fraudes são elementos que apoiam a proteção contra riscos de cibersegurança.

(2) Conforme indicado no considerando 13 da Diretiva 2014/53/UE, a proteção dos dados pessoais e da privacidade dos utilizadores e dos assinantes de equipamentos de rádio e a proteção contra a fraude podem ser reforçadas através de características específicas dos equipamentos de rádio. De acordo com o referido considerando, em certos casos, os equipamentos de rádio deverão assim ser concebidos de forma a incluírem essas funcionalidades.

(3) A tecnologia 5G desempenhará um papel fundamental no desenvolvimento da economia digital e da sociedade da União nos próximos anos e afetará potencialmente quase todos os aspetos das vidas dos cidadãos da União. O documento com o título «Cybersecurity of 5G networks EU Toolbox of risk mitigating measures» («Conjunto de instrumentos da UE para a cibersegurança das redes 5G») (2) identifica um possível conjunto de medidas comuns que podem atenuar os principais riscos de cibersegurança das redes 5G e fornece orientações para a seleção das medidas às quais deve ser dada prioridade nos planos de atenuação a nível nacional e da União. Além destas medidas, é muito importante seguir uma abordagem harmonizada aos requisitos essenciais relacionados com elementos de proteção da cibersegurança aplicáveis aos equipamentos de rádio 5G quando são colocados no mercado da União.

(4) O nível de segurança aplicável ao abrigo dos requisitos essenciais da União estabelecidos no artigo 3.o, n.o 3, alíneas d), e) e f), para assegurar a proteção das redes, salvaguardas para a proteção dos dados pessoais e da privacidade e proteção de fraudes não pode comprometer o elevado nível de segurança exigido a nível nacional para redes inteligentes descentralizadas no domínio da energia nos casos em que devam ser utilizados contadores inteligentes sujeitos aos referidos requisitos, e para equipamento de rede 5G utilizado por fornecedores de redes públicas de comunicações eletrónicas e de serviços de comunicações eletrónicas acessíveis ao público na aceção da Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho (3).

(5) Foram igualmente manifestadas diversas preocupações relativamente ao aumento dos riscos de cibersegurança como resultado do aumento da utilização por profissionais e consumidores, incluindo crianças, de equipamentos de rádio: i) capazes, por si só, de comunicar na Internet, independentemente de comunicarem diretamente ou através de qualquer outro equipamento («equipamento de rádio ligado à Internet»), ou seja, esse equipamento ligado à Internet opera protocolos necessários ao intercâmbio de dados com a Internet diretamente ou através de equipamento intermédio, ii) que podem ser um brinquedo com função de rádio que também se enquadra no âmbito de aplicação da Diretiva 2009/48/CE do Parlamento Europeu e do Conselho (4) ou ser concebidos ou destinados exclusivamente a cuidados infantis, tais como monitores de crianças, ou iii) concebidos ou destinados, exclusivamente ou não, a ser usados, presos ou pendurados em qualquer parte do corpo humano (incluindo a cabeça, pescoço, tronco, braços, mãos, pernas e pés) ou qualquer vestuário (incluindo acessórios para a cabeça, para as mãos e calçado) usado por seres humanos, tais como equipamentos de rádio sob a forma de relógio de pulso, anel, pulseira, auscultador, auricular ou óculos («equipamento de rádio usável»).

(6) A este respeito, qualquer equipamento de rádio para cuidados infantis, equipamento de rádio abrangido pela Diretiva 2009/48/CE ou equipamento de rádio usável, capaz de comunicar por si só na Internet, independentemente de comunicar diretamente ou através de qualquer outro equipamento, deve ser considerado equipamento de rádio ligado à Internet. Os implantes, por exemplo, não devem ser considerados equipamento de rádio usável, uma vez que não são usados, presos ou pendurados em qualquer parte do corpo humano ou qualquer vestuário. Contudo, os implantes devem ser considerados equipamento de rádio ligado à Internet caso sejam capazes por si só de comunicar na Internet, independentemente de comunicarem diretamente ou através de qualquer outro equipamento.

(7) Dadas as preocupações manifestadas devido ao facto de o equipamento de rádio não assegurar a proteção contra elementos dos riscos de cibersegurança, é necessário tornar aplicáveis, para os equipamentos de rádio abrangidos por determinadas categorias ou classes, os requisitos essenciais da Diretiva 2014/53/UE associados à proteção da rede contra danos, à proteção dos dados pessoais e da privacidade dos utilizadores e dos assinantes e à proteção de fraudes.

(8) A Diretiva 2014/53/UE aplica-se a produtos que satisfazem a definição de «equipamento de rádio» no artigo 2.o dessa diretiva, sob reserva de exclusões específicas indicadas no artigo 1.o, n.os 2 e 3, dessa diretiva. Embora a definição de equipamento de rádio no artigo 2.o da Diretiva 2014/53/UE se refira a equipamento capaz de comunicar com ondas hertzianas, nenhum requisito da Diretiva 2014/53/UE estabelece uma distinção entre as funções de rádio e não rádio do equipamento de rádio e, por conseguinte, todos os aspetos e partes do equipamento devem cumprir os requisitos essenciais previstos neste regulamento delegado.

(9) Relativamente aos danos à rede ou ao seu funcionamento ou à utilização inadequada dos recursos da rede, equipamentos de rádio ligados à Internet que não assegurem que as redes não sejam danificadas nem utilizadas inadequadamente podem provocar uma degradação inaceitável dos serviços. Por exemplo, um atacante pode inundar maliciosamente a rede de Internet para evitar o tráfego na rede legítimo, prejudicar as ligações entre dois produtos de rádio e assim bloqueando assim o acesso a um serviço, bloquear o acesso de uma pessoa específica a um serviço, perturbar um serviço para uma pessoa ou um sistema específico ou interferir com informação. Como tal, a degradação de serviços em linha pode resultar em ciberataques maliciosos, que conduzirão ao aumento de custos, transtornos ou riscos para operadores, prestadores de serviços ou utilizadores. Por conseguinte, o artigo 3.o, n.o 3, alínea d), da Diretiva 2014/53/UE, que exige que os equipamentos de rádio não danifiquem a rede nem o seu funcionamento, nem utilizem inadequadamente os recursos da rede, provocando uma degradação inaceitável do serviço, deve aplicar-se aos equipamentos de rádio ligados à Internet.

(10) Foram igualmente manifestadas preocupações relativamente à proteção dos dados pessoais e da privacidade do utilizador e do assinante dos equipamentos de rádio ligados à Internet devido à capacidade dos referidos equipamentos de rádio de registar, armazenar e partilhar informações, interagir com o utilizador, incluindo crianças, quando estejam integrados altifalantes, microfones e outros sensores nesses equipamentos de rádio. Estas preocupações dizem respeito, em particular, à capacidade desses equipamentos de rádio de registar fotografias, vídeos, dados de localização, dados ligados à experiência de brincar, bem como a frequência cardíaca, os hábitos de sono ou outros dados pessoais. Por exemplo, é possível aceder às configurações avançadas dos equipamentos de rádio através de uma palavra-passe predefinida, se a ligação ou os dados não estiverem encriptados ou se não for usado um mecanismo de autenticação forte.

(11) Por conseguinte, é importante que os equipamentos de rádio ligados à Internet, colocados no mercado da União, incluam salvaguardas que assegurem a proteção dos dados pessoais e da privacidade quando são capazes de tratar dados pessoais, conforme definidos no artigo 4.o, ponto 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5), ou dados definidos no artigo 2.o, alíneas b) e c), da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (6). Por conseguinte, o artigo 3.o, n.o 3, alínea e), da Diretiva 2014/53/UE deve aplicar-se aos equipamentos de rádio ligados à Internet.

(12) Adicionalmente, no que respeita à proteção dos dados pessoais e da privacidade, os equipamentos de rádio para cuidados infantis, os equipamentos de rádio abrangidos pela Diretiva 2009/48/CE e os equipamentos de rádio usáveis apresentam riscos de segurança mesmo na ausência de uma ligação à Internet. Os dados pessoais podem ser intercetados quando esse equipamento de rádio transmite ou recebe ondas hertzianas e não inclui salvaguardas que assegurem a proteção dos dados pessoais e da privacidade. Os equipamentos de rádio para cuidados infantis, os equipamentos de rádio abrangidos pela Diretiva 2009/48/CE e os equipamentos de rádio usáveis podem monitorizar e registar diversos dados (pessoais) sensíveis do utilizador ao longo do tempo e retransmiti-los através de tecnologias das comunicações que podem não ser seguras. Os equipamentos de rádio para cuidados infantis, os equipamentos de rádio abrangidos pela Diretiva 2009/48/CE e os equipamentos de rádio usáveis devem igualmente assegurar a proteção dos dados pessoais e da privacidade, caso sejam capazes de tratar, na aceção do artigo 4.o, ponto 2, do Regulamento (UE) 2016/679, dados pessoais, conforme definidos no artigo 4.o, ponto 1, do Regulamento (UE) 2016/679, ou dados de tráfego e dados de localização, conforme definidos no artigo 2.o, alíneas b) e c), da Diretiva 2002/58/CE. Por conseguinte, o artigo 3.o, n.o 3, alínea e), da Diretiva 2014/53/UE deve aplicar-se aos referidos equipamentos de rádio.

(13) No que respeita à fraude, podem ser roubadas informações, incluindo dados pessoais, dos equipamentos de rádio ligados à Internet, que não asseguram a proteção de fraudes. Há tipos específicos de fraudes que afetam equipamentos de rádio ligados à Internet quando utilizados para realizar pagamentos na Internet. Os custos podem ser elevados e não afetam apenas a pessoa que sofreu a fraude, mas também a sociedade em geral (por exemplo, o custo da investigação policial, os custos de serviços de apoio à vítima, os custos de julgamentos para apurar responsabilidades). Por conseguinte, é necessário garantir transações fiáveis e minimizar o risco de incorrer em perdas financeiras para os utilizadores de equipamento de rádio ligado à Internet que realizem o pagamento através desse equipamento de rádio e para o destinatário do pagamento realizado através desse equipamento de rádio.

(14) Os equipamentos de rádio ligados à Internet colocados no mercado da União devem apoiar características que assegurem a proteção de fraudes quando permitem ao titular ou utilizador transferir dinheiro, valor monetário ou moeda virtual, conforme definida no artigo 2.o, alínea d), da Diretiva (UE) 2019/713 do Parlamento Europeu e do Conselho (7). Por conseguinte, o artigo 3.o, n.o 3, alínea f), da Diretiva 2014/53/UE deve aplicar-se aos referidos equipamentos de rádio.

(15) O Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho (8) estabelece regras relativas aos dispositivos médicos e Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho (9) estabelece regras relativas aos dispositivos médicos para diagnóstico in vitro. Ambos os Regulamentos (UE) 2017/745 e (UE) 2017/746 abordam determinados elementos dos riscos de cibersegurança associados aos riscos abrangidos pelo artigo 3.o, n.o 3, alíneas d), e) e f), da Diretiva 2014/53/UE. Por conseguinte, os equipamentos de rádio aos quais se aplica um desses regulamentos não deverão enquadrar-se nas categorias ou classes de equipamentos de rádio que devem cumprir os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alíneas d), e) e f), da Diretiva 2014/53/UE.

(16) O Regulamento (UE) 2019/2144 do Parlamento Europeu e do Conselho (10) estabelece requisitos para a homologação de veículos e de respetivos sistemas e componentes. Além disso, o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho (11) tem como objetivo principal estabelecer e manter um nível elevado e uniforme de segurança operacional da aviação civil na União. A Diretiva (UE) 2019/520 do Parlamento Europeu e do Conselho (12) estabelece ainda as condições para a interoperabilidade dos sistemas eletrónicos de portagem rodoviária e para facilitar o intercâmbio transfronteiriço de informações sobre o não pagamento de taxas rodoviárias na União. Os Regulamentos (UE) 2019/2144 e (UE) 2018/1139 e a Diretiva (UE) 2019/520 abordam elementos dos riscos de cibersegurança associados aos riscos estabelecidos no artigo 3.o, n.o 3, alíneas e) e f), da Diretiva 2014/53/UE. Por conseguinte, os equipamentos de rádio aos quais se aplicam os Regulamentos (UE) 2019/2144 e (UE) 2018/1139 ou a Diretiva (UE) 2019/520 não deverão enquadrar-se nas categorias ou classes de equipamentos de rádio que devem cumprir os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alíneas e) e f), da Diretiva 2014/53/UE.

(17) O artigo 3.o da Diretiva 2014/53/UE prevê requisitos essenciais que os operadores económicos devem cumprir. A fim de facilitar a avaliação da conformidade com esses requisitos, prevê uma presunção de conformidade para os equipamentos de rádio que cumpram normas harmonizadas voluntárias adotadas nos termos do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (13), com vista à formulação de especificações técnicas pormenorizadas para esses requisitos. As especificações terão em consideração e abordarão o nível dos riscos que corresponda à utilização prevista de cada categoria ou classe de equipamento de rádio abrangido por este regulamento.

(18) Os operadores económicos devem dispor de tempo suficiente para se adaptarem aos requisitos do presente regulamento. Por conseguinte, a aplicação do presente regulamento deverá ser diferida. O presente regulamento não impede os operadores económicos de o cumprirem a partir da data da sua entrada em vigor.

(19) A Comissão realizou consultas adequadas durante o trabalho preparatório das medidas estabelecidas no presente regulamento e consultou o grupo de peritos sobre equipamentos de rádio,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o 1. Os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alínea d), da Diretiva 2014/53/UE aplicam-se a qualquer equipamento de rádio capaz de comunicar por si só na Internet, independentemente de comunicar diretamente ou através de qualquer outro equipamento («equipamento de rádio ligado à Internet»). 2. Os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alínea e), da Diretiva 2014/53/UE aplicam-se a qualquer um dos equipamentos de rádio seguintes, caso esses equipamentos de rádio sejam capazes de, na aceção do artigo 4.o, ponto 2, do Regulamento (UE) 2016/679, tratar dados pessoais, conforme definidos no artigo 4.o, ponto 1, do Regulamento (UE) 2016/679, ou dados de tráfego e dados de localização, conforme definidos no artigo 2.o, alíneas b) e c), da Diretiva 2002/58/CE: a) Equipamentos de rádio ligados à Internet, com exceção dos equipamentos referidos nas alíneas b), c) ou d); b) Equipamentos de rádio concebidos ou destinados exclusivamente a cuidados infantis; c) Equipamentos de rádio abrangidos pela Diretiva 2009/48/CE; d) Equipamentos de rádio concebidos ou destinados, exclusivamente ou não, a ser usados, presos ou pendurados em qualquer um dos seguintes: i) qualquer parte do corpo humano, incluindo a cabeça, pescoço, tronco, braços, mãos, pernas e pés, ii) qualquer vestuário, incluindo acessórios para a cabeça, para as mãos e calçado, usado por seres humanos. 3. Os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alínea f), da Diretiva 2014/53/UE aplicam-se a qualquer equipamento de rádio ligado à Internet, caso esse equipamento permita ao titular ou utilizador transferir dinheiro, valor monetário ou moeda virtual, conforme definida no artigo 2.o, alínea d), da Diretiva (UE) 2019/713.

Artigo 2.o 1. Em derrogação do artigo 1.o, os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alíneas d), e) e f), da Diretiva 2014/53/UE não se aplicam a equipamentos de rádio aos quais se aplica igualmente uma das leis da União seguintes: a) Regulamento (UE) 2017/745; b) Regulamento (UE) 2017/746. 2. Em derrogação do artigo 1.o, n.os 2 e 3, os requisitos essenciais estabelecidos no artigo 3.o, n.o 3, alíneas e) e f), da Diretiva 2014/53/UE não se aplicam a equipamentos de rádio aos quais se aplica igualmente qualquer uma das leis da União seguintes: a) Regulamento (UE) 2018/1139; b) Regulamento (UE) 2019/2144; c) Diretiva (UE) 2019/520.

Artigo 3.o O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. É aplicável a partir de 1 de agosto de 2024.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros. Feito em Bruxelas, em 29 de outubro de 2021. Pela Comissão A Presidente Ursula VON DER LEYEN

(1) JO L 153 de 22.5.2014, p. 62.

(2) «Cybersecurity of 5G networks — EU Toolbox of risk mitigating measures» (não traduzido para português), 29 de janeiro de 2020. https://ec.europa.eu/digital-singlemarket/en/nis-cooperation-group

(3) Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (JO L 321 de 17.12.2018, p. 36).

(4) Diretiva 2009/48/CE do Parlamento Europeu e do Conselho, de 18 de junho de 2009, relativa à segurança dos brinquedos (JO L 170 de 30.6.2009, p. 1).

(5) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(6) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).

(7) Diretiva (UE) 2019/713 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário e que substitui a Decisão-Quadro 2001/413/JAI do Conselho (JO L 123 de 10.5.2019, p. 18).

(8) Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos, que altera a Diretiva 2001/83/CE, o Regulamento (CE) n.o 178/2002 e o Regulamento (CE) n.o 1223/2009 e que revoga as Diretivas 90/385/CEE e 93/42/CEE do Conselho (JO L 117 de 5.5.2017, p. 1).

(9) Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos para diagnóstico in vitro e que revoga a Diretiva 98/79/CE e a Decisão 2010/227/UE da Comissão (JO L 117 de 5.5.2017, p. 176).

(10) Regulamento (UE) 2019/2144 do Parlamento Europeu e do Conselho, de 27 de novembro de 2019, relativo aos requisitos de homologação de veículos a motor e seus reboques e dos sistemas, componentes e unidades técnicas destinados a esses veículos, no que se refere à sua segurança geral e à proteção dos ocupantes dos veículos e dos utentes da estrada vulneráveis, que altera o Regulamento (UE) 2018/858 do Parlamento Europeu e do Conselho e revoga os Regulamentos (CE) n.o 78/2009, (CE) n.o 79/2009 e (CE) n.o 661/2009 do Parlamento Europeu e do Conselho e os Regulamentos (CE) n.o 631/2009, (UE) n.o 406/2010, (UE) n.o 672/2010, (UE) n.o 1003/2010, (UE) n.o 1005/2010, (UE) n.o 1008/2010, (UE) n.o 1009/2010, (UE) n.o 19/2011, (UE) n.o 109/2011, (UE) n.o 458/2011, (UE) n.o 65/2012, (UE) n.o 130/2012, (UE) n.o 347/2012, (UE) n.o 351/2012, (UE) n.o 1230/2012, e (UE) 2015/166 da Comissão (JO L 325 de 16.12.2019, p. 1).

(11) Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, de 4 de julho de 2018, relativo a regras comuns no domínio da aviação civil que cria a Agência da União Europeia para a Segurança da Aviação, altera os Regulamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 e (UE) n.o 376/2014 e as Diretivas 2014/30/UE e 2014/53/UE do Parlamento Europeu e do Conselho, e revoga os Regulamentos (CE) n.o 552/2004 e (CE) n.o 216/2008 do Parlamento Europeu e do Conselho e o Regulamento (CEE) n.o 3922/91 do Conselho (JO L 212 de 22.8.2018, p. 1).

(12) Diretiva (UE) 2019/520 do Parlamento Europeu e do Conselho, de 19 de março de 2019, relativa à interoperabilidade dos sistemas eletrónicos de portagem rodoviária e que facilita o intercâmbio transfronteiriço de informações sobre o não pagamento de taxas rodoviárias na União (JO L 91 de 29.3.2019, p. 45).

(13) Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, relativo à normalização europeia, que altera as Diretivas 89/686/CEE e 93/15/CEE do Conselho e as Diretivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE do Parlamento Europeu e do Conselho e revoga a Decisão 87/95/CEE do Conselho e a Decisão n.o 1673/2006/CE do Parlamento Europeu e do Conselho (JO L 316 de 14.11.2012, p. 12).