CELEX: 
Language: fr
Date: 2021-10-29 00:00:00
Title: RÈGLEMENT DÉLÉGUÉ (UE) …/... DE LA COMMISSION complétant la directive 2014/53/UE du Parlement européen et du Conseil en ce qui concerne l’application des exigences essentielles visées à l’article 3, paragraphe 3, points d), e) et f), de cette directive

EXPOSÉ DES MOTIFS
            
            
               1.CONTEXTE DE L’ACTE DÉLÉGUÉ
            
            
               Un grand nombre d’équipements radioélectriques sont utilisés quotidiennement, non seulement par des consommateurs adultes ou des utilisateurs professionnels, mais également par des personnes vulnérables telles que les enfants. 
            
            
               D’une part, le Parlement européen et le Conseil ont souligné à maintes reprises la nécessité de renforcer la cybersécurité au sein de l’Union européenne
                  1
               , reconnaissant l’importance grandissante des équipements radioélectriques connectés, y compris les machines, les capteurs et les réseaux qui constituent l’internet des objets (IdO) et les questions de sécurité connexes. Le cadre de l’UE se compose de plusieurs textes législatifs
                  2
                qui couvrent les aspects liés à la cybersécurité ou à certains de ses éléments. Lorsqu’il s’agit de traiter certaines questions de cybersécurité, différents acteurs/différentes parties prenantes peuvent avoir des obligations spécifiques à remplir afin de contribuer à garantir la sécurité de l’ensemble de l’écosystème. Par exemple, les exploitants de réseaux et les fournisseurs de services devraient garantir la sécurité de leurs systèmes et de leurs plateformes, les fabricants d’équipements devraient garantir la prise en considération des principes de sécurité lors de leur conception, les utilisateurs devraient être conscients des risques que représente la réalisation de certaines opérations et de la nécessité d’effectuer les mises à jour nécessaires des équipements qu’ils utilisent, et les États membres peuvent établir des priorités. La cybersécurité de l’ensemble de l’écosystème n’est assurée que si tous ses éléments sont protégés contre les cybermenaces. 
            
            
               D’autre part, en décembre 2016, le Conseil norvégien de protection des consommateurs avait évalué les caractéristiques techniques de certains jouets connectés
                  3
               . Dans ses conclusions, il soulignait une éventuelle absence de protection des droits des enfants à la vie privée, à la protection des données à caractère personnel et à la sécurité. Grâce aux haut-parleurs, microphones et autres capteurs intégrés, les jouets interconnectés sont par définition «intelligents» et peuvent par exemple interpréter des paroles, leur permettant ainsi d’interagir avec l’enfant. Par ailleurs, ils peuvent non seulement enregistrer des photos, des vidéos, des données de géolocalisation, des données liées à l’expérience de jeu, mais aussi la fréquence cardiaque, les habitudes de sommeil ou d’autres données biométriques. Le rapport révèle aussi que certains de ces jouets peuvent également faire la publicité de produits lorsqu’ils interagissent avec l’enfant, ce qui n’est pas forcément conforme à la transparence attendue de ce type de produits. C’est en raison de ces conclusions que les organisations européennes de défense des consommateurs
                  4
                ont lancé un appel à l’action.
            
            
               Les jouets ne représentent qu’une partie d’un secteur plus vaste, qui présente des risques similaires. La directive 2009/48/CE définit les exigences de sécurité auxquelles les jouets couverts par le champ d’application de ladite directive doivent satisfaire avant de pouvoir être commercialisés dans l’Union. La directive ne comprend toutefois pas d’exigences, par exemple, qui garantissent la protection des données à caractère personnel et de la vie privée ou une protection contre la fraude. 
            
            
               Les appareils intelligents, les caméras intelligentes et un certain nombre d’autres équipements radioélectriques connectés tels que les téléphones portables, les ordinateurs portables, les dongles, les systèmes d’alarme et les systèmes domotiques sont aussi des exemples d’équipements exposés à des risques de piratage et d’atteinte à la vie privée lorsqu’ils sont reliés à l’internet. En outre, les équipements radioélectriques portables (par exemple bagues, bracelets, clips de poche, casques d’écoute, montres connectées pour le sport) peuvent surveiller et enregistrer un certain nombre de données sensibles de l’utilisateur au fil du temps (par exemple la position, la température, la pression artérielle et le rythme cardiaque) et les retransmettre, non seulement sur l’internet, mais également par l’intermédiaire de technologies de communication à courte portée non sécurisées. La directive 2014/53/UE relative aux équipements radioélectriques
                  5
                établit un cadre réglementaire pour la mise sur le marché unique d’équipements radioélectriques. Ce cadre porte sur les conditions obligatoires pour l’accès au marché des équipements radioélectriques. La directive relative aux équipements radioélectriques couvre les équipements électriques et électroniques qui peuvent utiliser le spectre radioélectrique à des fins de communication et/ou de radiorepérage. Les États membres, par l’intermédiaire de leurs autorités nationales de surveillance du marché, prennent des mesures correctives en ce qui concerne les équipements radioélectriques non conformes. 
            
            
               L’article 3 de la directive relative aux équipements radioélectriques définit les exigences essentielles auxquelles les équipements radioélectriques mis sur le marché de l’Union doivent satisfaire; l’article 3, paragraphe 1, point a), établit des exigences essentielles en matière de santé et de sécurité, l’article 3, paragraphe 1, point b), établit des exigences essentielles en matière de compatibilité électromagnétique et l’article 3, paragraphe 2, établit des exigences essentielles relatives à l’utilisation efficace et optimisée du spectre radioélectrique. En outre, l’article 3, paragraphe 3, fixe des exigences essentielles supplémentaires qui s’appliquent aux catégories ou classes d’équipements radioélectriques spécifiées dans un ou des actes délégués y afférents adoptés par la Commission. 
            
            
               La directive relative aux équipements radioélectriques habilite la Commission à adopter des actes délégués afin de rendre applicable toute exigence essentielle visée à l’article 3, paragraphe 3, de ladite directive, en précisant chacune de ces exigences relatives à des catégories ou classes d’équipements radioélectriques. Les points suivants de l’article 3, paragraphe 3, sont pertinents pour cette initiative: 
            
            
               ·l’article 3, paragraphe 3, point d), pour assurer la protection du réseau;
            
            
               ·l’article 3, paragraphe 3, point e), pour garantir des sauvegardes afin d’assurer la protection des données à caractère personnel et de la vie privée;
            
            
               ·l’article 3, paragraphe 3, point f), pour assurer la protection contre la fraude. 
            
            
               Toutefois, l’objectif n’est pas d’élaborer des règles supplémentaires ou entraînant un chevauchement avec la législation existante, mais de veiller à ce que les principes existants, le cas échéant, soient traduits en exigences spécifiques pour la fabrication de biens destinés à être mis sur le marché de l’Union avec un certain degré de mise en application ou de vérifiabilité. Il importe de veiller à la complémentarité avec le cadre de l’UE existant. À cet égard, les équipements, produits ou composants radioélectriques auxquels s’appliquent les règlements (UE) 2019/2144
                  6
                 et (UE) 2018/1139
                  7
                ou la directive (UE) 2019/520
                  8
                ne devraient pas relever des catégories ou classes d’équipements radioélectriques qui doivent être conformes aux exigences essentielles énoncées à l’article 3, paragraphe 3, points e) et f), de la directive 2014/53/UE. 
            
            
               En ce qui concerne la protection des données, la législation de l’Union sur les données à caractère personnel et la protection de la vie privée, telle que le règlement (UE) 2016/679 du Parlement européen et du Conseil
                  9
                et la directive 2002/58/CE du Parlement européen et du Conseil
                  10
               , réglemente le traitement des données à caractère personnel et la protection de la vie privée, mais pas la mise sur le marché de l’Union d’équipements radioélectriques. 
            
            
               Le principal objectif de cette initiative est de contribuer au renforcement de l’«écosystème de confiance» qui résulte des synergies entre tous les textes législatifs connexes de l’UE relatifs à la protection des réseaux, de la vie privée et à la protection contre la fraude, que l’analyse d’impact jointe détaille davantage. Cette initiative devrait dès lors autoriser sur le marché de l’Union uniquement les équipements radioélectriques qui sont suffisamment sécurisés. Compte tenu de ces objectifs généraux, l’initiative vise à renforcer le respect de certains droits fondamentaux (la vie privée, par exemple) et à soutenir les objectifs stratégiques énoncés dans d’autres textes législatifs de l’UE qui ne permettent pas l’application des règles sur le marché. Une action rapide est également nécessaire, étant donné l’ampleur des risques et sachant qu’une applicabilité rapide a une incidence positive sur les objectifs stratégiques actuels de l’UE. La possibilité d’utiliser les pouvoirs existants qui ont déjà été conférés à la Commission permettra d’agir dans le respect du cadre existant et sans avoir besoin d’une législation supplémentaire spécifique. Afin de résoudre les problèmes concernant les produits dépourvus de fonctionnalités de sécurité, un des objectifs spécifiques est de fournir aux autorités de surveillance du marché un instrument d’application leur permettant de prendre des mesures correctives. Un autre objectif est de parvenir à établir un marché unique pour les produits concernés, qui ne soit pas entravé par des réglementations nationales ou locales divergentes augmentant les charges administratives, en particulier pour les plus petites entreprises. L’un des objectifs finaux est de créer des conditions de concurrence équitables au moyen de règles claires et proportionnées qui sont appliquées de manière efficace et uniforme au sein de l’UE.
            
            
               La nécessité de disposer de règles du marché intérieur comprenant des mesures de protection contre les produits et services non sûrs est soulignée dans la communication conjointe de la Commission et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité datée du 16 décembre 2020 sur la stratégie de cybersécurité de l’UE pour la décennie numérique
                  11
               .
            
            
               2.CONSULTATION AVANT L’ADOPTION DE L’ACTE
            
            
               La stratégie de consultation pour cette initiative a pris en considération tous les aspects possibles y afférents, également en matière d’incidences pour la société (par exemple les consommateurs et les opérateurs économiques), les autorités nationales, les conditions d’accès au marché commun et la mise en œuvre d'actes législatifs de l’UE supplémentaires ou les synergies avec ceux-ci. Le retour d’information des parties prenantes a été utilisé en plus des éléments factuels recueillis grâce à d’autres sources de recherche (la recherche documentaire, par exemple). 
            
            
               Les parties prenantes concernées étaient: des autorités publiques responsables du traitement des données, de la lutte contre la fraude et/ou des équipements radioélectriques, des associations d’opérateurs économiques, des opérateurs économiques individuels, des organisations de défense des consommateurs, des citoyens, des établissements universitaires/instituts de recherche et des organisations non gouvernementales concernées, des organismes notifiés et des organismes européens de normalisation.
            
         
         
            
               Les activités de consultation spécifiques suivantes ont été effectuées:
            
            
               ·toutes les parties prenantes intéressées ont pu communiquer leurs observations sur l’analyse d’impact initiale pendant une période de quatre semaines
                  12
               ;
            
            
               ·une consultation publique de douze semaines a été lancée sur le portail «Mieux légiférer» de la Commission
                  13
               ;
            
            
               ·une consultation ciblée s’adressant particulièrement aux États membres, aux opérateurs économiques (associations ou individuels), aux organisations de défense des consommateurs, aux organismes d’évaluation de la conformité, aux consommateurs ou à d’autres experts.
            
            
               Les parties prenantes ont également été invitées à participer à l’enquête ciblée, y compris celles qui ont pris part à la réunion du groupe d’experts sur les équipements radioélectriques. Parmi elles, 56 ont choisi de répondre en remplissant le questionnaire. Ces répondants provenaient de 20 pays, dont 14 États membres de l’UE. La Belgique a fourni le plus grand nombre de réponses (14), dont presque toutes provenaient d’organismes représentant les fabricants ou les consommateurs. L’Allemagne était le deuxième pays le mieux représenté avec 11 répondants, dont la plupart étaient des fabricants. Parmi les pays tiers, les États-Unis étaient les mieux représentés avec 5 répondants, parmi lesquels figuraient des fabricants et des organismes sectoriels. Il existait un certain équilibre en ce qui concerne la taille des organisations ayant répondu. Les grandes organisations étaient toutes des fabricants ou des administrations publiques nationales, à l’exception de deux organismes d’évaluation de la conformité et d’une université. Un grand nombre de micro-organisations étaient des associations sectorielles ou des organisations de défense des consommateurs. Les petites et moyennes organisations représentaient tous les types d’organisations.
            
            
               Au total, 42 répondants ont participé à la consultation publique ouverte, qui comportait des questions ouvertes et fermées. Les répondants étaient établis dans les pays suivants:
            
            
               ·Les 42 répondants provenaient de 14 États membres de l’UE.
            
            
               ·Le plus grand nombre de réponses (8) venait d’Allemagne, dont sept fournies par des citoyens.
            
            
               ·Six réponses provenaient de Belgique, toutes fournies par des organismes représentatifs au niveau de l’UE (cinq associations d’entreprises et une organisation de défense des consommateurs).
            
            
               ·Six réponses provenaient d’Espagne, dont quatre fournies par des autorités publiques et deux par des entreprises.
            
            
               ·Aucun des répondants n’était établi en dehors de l’UE.
            
            
               Les répondants appartenaient aux catégories suivantes:
            
            
               ·Parmi les 42 répondants, un peu plus de la moitié (22) étaient des citoyens.
            
            
               ·Les citoyens provenaient de 10 États membres de l’UE. 
            
            
               ·Parmi les six autorités publiques, quatre venaient d’Espagne, une d’Estonie et une d’Irlande.
            
            
               ·Parmi les sept associations d’entreprises, cinq étaient des organismes à l'échelon de l’UE établis en Belgique.
            
            
               ·Les six entreprises provenaient de cinq pays différents. Elles comprenaient trois microentreprises, deux petites entreprises et une grande entreprise.
            
            
               ·L’organisation de défense des consommateurs était un organisme à l'échelon de l’UE établi en Belgique.
            
            
               La consultation du groupe d’experts sur les équipements radioélectriques (E03587) a porté sur des documents préliminaires abordant des points essentiels de l’acte délégué (champ d’application, articles applicables, exceptions, date d’applicabilité) et a eu lieu le 18 septembre 2020 et le 17 novembre 2020. Le même groupe d’experts a été consulté sur le projet d’acte le 24 février 2021. Le groupe d’experts sur les équipements radioélectriques était composé d’autorités des États membres de l’UE et de pays associés, d’organisations de défense des consommateurs, d’associations d’opérateurs économiques concernés par la directive relative aux équipements radioélectriques et d’organismes européens de normalisation. Les commentaires reçus sont accessibles au public sur CIRCABC
                  14
               , où les discussions connexes sont également résumées dans les comptes rendus des réunions.
            
            
               Quelques options stratégiques ont été écartées soit à un stade précoce, soit au cours de l’élaboration de cette initiative, pour différentes raisons, comme indiqué ci-dessous:
            
         
         
            
               ·à un stade précoce, l’introduction d’une législation horizontale sur la cybersécurité était une éventuelle option stratégique examinée plus avant. Plusieurs fabricants individuels et leurs associations sectorielles l’avaient proposée comme la meilleure option qui, selon eux, aurait évité une fragmentation des résultats, de l’efficience et de l’efficacité. Il a toutefois été souligné, notamment lors des discussions au sein du groupe d’experts sur les équipements radioélectriques, que, d’une manière réaliste, compte tenu des délais législatifs requis pour une procédure de codécision, une telle option ne pouvait pas être mise en œuvre aussi rapidement qu’un ou plusieurs actes délégués adoptés en vertu de la directive relative aux équipements radioélectriques; 
            
            
               ·au moment de la publication de l’analyse d’impact initiale, le règlement sur la cybersécurité n’avait pas encore été adopté, de sorte qu’aucune option ne pouvait reposer sur ce texte législatif. En outre, la mise en place de schémas de certification de cybersécurité en vertu du règlement ne crée aucune obligation juridique en ce qui concerne la mise sur le marché de produits. En tant que telle, la certification de cybersécurité demeure une activité volontaire et a été examinée au titre des approches industrielles volontaires dans le contexte des options stratégiques.
            
            
               Enfin, à un stade ultérieur, c’est-à-dire après la publication de l’analyse d’impact initiale, certains États membres ont proposé d’adopter l’article 3, paragraphe 3, point d), en liaison avec l’article 3, paragraphe 3, points e) et f), en mettant en avant les synergies que créerait l’adoption simultanée des trois points. Les États membres et les organisations de défense des consommateurs ayant considéré l’adoption de l’article 3, paragraphe 3, point d), comme un complément à l’option 4, une option distincte pour l’article 3, paragraphe 3, point d), n’a donc pas été envisagée. 
            
            
               En outre, afin de faire face aux risques en matière de cybersécurité dans tous les produits connectés et services associés et tout au long de leur cycle de vie, la Commission a annoncé, dans sa communication conjointe de décembre 2020 sur la stratégie de cybersécurité de l’UE pour la décennie numérique
                  15
               , qu’elle envisagera une approche globale, comprenant d’éventuelles nouvelles règles horizontales visant à améliorer la cybersécurité de tous les produits connectés et services associés mis sur le marché intérieur. 
            
            
               3. CONSULTATION PUBLIQUE SUR LE PROJET D’ACTE
            
            
               À la suite de l’examen du projet d’acte par le groupe d’experts sur les équipements radioélectriques, une consultation publique formelle d’une durée de quatre semaines
                  16
                a été lancée. Cette consultation était ouverte à tous les citoyens et à toutes les parties prenantes, sans restriction.
            
            
               Le nombre définitif de contributions reçues était de 26. Les répondants étaient établis dans les pays suivants:
            
            
               ·Le plus grand nombre de réponses (18) provenait de Belgique.
            
            
               ·Une seule contribution a été envoyée d’un pays extérieur à l’Union européenne (Suisse).
            
            
               ·Les autres réponses provenaient des Pays-Bas (4), de Pologne (1), d’Allemagne (1) et de France (1).
            
            
               Les répondants appartenaient aux catégories suivantes:
            
            
               ·La majorité des contributions (17) provenaient de l’industrie.
            
            
               ·Les consommateurs et les associations non gouvernementales ont fourni trois réponses.
            
            
               ·Quatre citoyens ont envoyé des commentaires.
            
            
               ·Deux contributions ont été reçues des organisations européennes de normalisation.
            
            
               L’évaluation de ces contributions a permis de conclure qu’il n’était pas nécessaire de modifier le projet d’acte, et ce pour les raisons exposées ci-après.
            
            
               ·Certaines contributions portaient spécifiquement sur les mesures techniques visant à atténuer les menaces en matière de cybersécurité. Cependant, le présent acte n’établit pas de mesures techniques, il définit uniquement des exigences essentielles. Les avis exprimés dans les contributions reçues sur les questions techniques seront pris en considération lors de l’élaboration des normes harmonisées y afférentes.
            
            
               ·Certaines parties prenantes se sont dites préoccupées par la prétendue duplication des obligations avec celles qui découlent d’autres actes législatifs de l’Union. Le présent projet d’acte règlemente la mise sur le marché des équipements relevant de son champ d’application, que le cadre juridique existant de l’Union ne couvre pas. En outre, l’acte ne vise pas à réglementer les processus ou services ni les problèmes consécutifs à la mise sur le marché qui n’entrent pas dans le champ d’application de la directive relative aux équipements radioélectriques.
            
            
               ·Une association sectorielle a indiqué que, selon elle, cet acte crée des obstacles pour les PME. Comme indiqué dans l’analyse d’impact, les normes harmonisées à venir apporteront les solutions techniques. Les PME contribueront à leur élaboration.
            
            
               ·Un certain nombre d’observations ont été reçues sur l’interprétation des catégories d’équipements auxquelles les exigences essentielles seront applicables. La définition du «dispositif connecté à l’internet» a été longuement débattue au sein du groupe d’experts compétent. Restreindre le champ d’application selon le critère de l’utilisation prévue et non des capacités techniques implique que plusieurs équipements ne seraient pas couverts par l’acte. D’un point de vue technique, la communication par l’internet serait possible, et les pirates informatiques pourraient exploiter ces vulnérabilités. Par ailleurs, la notion de «réseau» est claire et inclut l’internet.
            
         
         
            
               ·Certaines associations sectorielles se sont montrées préoccupées par le principe de neutralité technologique, étant donné que les équipements câblés ne sont pas couverts par l’acte. L’analyse d’impact confirme que les dispositifs sans fil présentent un risque plus élevé en termes de cybersécurité et que, par conséquent, des mesures spécifiques devraient être mises en œuvre pour ces équipements radioélectriques.
            
            
               ·Une association sectorielle a fait remarquer que l’acte ne couvre pas tous les équipements utilisés par des enfants. À cet égard, il y a lieu de préciser que la protection de la vie privée des enfants est garantie au travers des obligations imposées aux fabricants de dispositifs, jouets et équipements pour la garde d’enfants connectés à l’internet (pour ces deux derniers types, même s’ils ne sont pas capables de communiquer par l’internet). Les équipements radioélectriques utilisés par les enfants sont largement inclus dans les catégories susmentionnées.
            
            
               ·Enfin, la majorité des parties prenantes se sont montrées inquiètes au sujet de la période transitoire, considérée soit comme trop courte, soit comme trop longue. Il est estimé que la période transitoire de 30 mois représente un juste équilibre entre la nécessité d’améliorer de toute urgence le niveau de cybersécurité des équipements radioélectriques sur le marché européen et la nécessité de laisser aux fabricants un délai raisonnable pour adapter leurs produits.
            
            
               4.ÉLÉMENTS JURIDIQUES DE L’ACTE DÉLÉGUÉ
            
            
               Le présent règlement délégué a pour objectif de faire en sorte que les exigences essentielles définies à l’article 3, paragraphe 3, points d), e) et f)
                  17
               , de la directive relative aux équipements radioélectriques, qui portent sur des éléments de cybersécurité, soient applicables aux catégories d’équipements radioélectriques qui présentent des risques pour la cybersécurité.
            
            
               Plus précisément, il prévoit que l’article 3, paragraphe 3, points d), e) et f), de ladite directive s’applique aux équipements radioélectriques connectés à l’internet, définis à l’article 1er, sous réserve de certaines exclusions précisées dans l’acte délégué.
            
            
               En outre, il prévoit que l’article 3, paragraphe 3, point e), de la directive s’applique aux équipements radioélectriques portables, aux jouets considérés comme des équipements radioélectriques et aux équipements radioélectriques destinés à la garde d’enfants, qu’ils soient ou non connectés à l’internet, sous réserve de certaines exclusions précisées dans l’acte délégué.
            
            
               Le règlement délégué est conforme aux principes énoncés dans différents textes législatifs pertinents de l’UE, en particulier dans la législation de l’UE en matière de cybersécurité.
            
            
               La date d’applicabilité du règlement délégué se situe 30 mois après son entrée en vigueur et le règlement délégué n’aura donc pas d’effet sur les équipements radioélectriques mis sur le marché de l’Union avant cette date.
            
            
               Le règlement délégué n’a aucune incidence sur le budget de l’Union.
            
            
               RÈGLEMENT DÉLÉGUÉ (UE) …/... DE LA COMMISSION
            
            
               du 29.10.2021
            
            
               complétant la directive 2014/53/UE du Parlement européen et du Conseil en ce qui concerne l’application des exigences essentielles visées à l’article 3, paragraphe 3, points d), e) et f), de cette directive
            
            
               (Texte présentant de l’intérêt pour l’EEE)
            
            
               LA COMMISSION EUROPÉENNE,
            
            
               vu le traité sur le fonctionnement de l’Union européenne,
            
            
               vu la directive 2014/53/UE du Parlement européen et du Conseil du 16 avril 2014 relative à l’harmonisation des législations des États membres concernant la mise à disposition sur le marché d’équipements radioélectriques et abrogeant la directive 1999/5/CE
                  18
               , et notamment son article 3, paragraphe 3, second alinéa, lu conjointement avec son article 3, paragraphe 3, premier alinéa, points d), e) et f),
            
            
               considérant ce qui suit:
            
            
               (1)La protection du réseau ou de son fonctionnement contre les dommages, la protection des données à caractère personnel et de la vie privée de l’utilisateur et de l’abonné et la protection contre la fraude sont des éléments qui contribuent à la protection contre les risques en matière de cybersécurité.
            
            
               (2)Comme le précise le considérant 13 de la directive 2014/53/UE, des fonctionnalités spéciales des équipements radioélectriques permettraient de renforcer la protection des données à caractère personnel et de la vie privée des utilisateurs d’équipements radioélectriques et des abonnés à ces derniers, de même que la protection contre la fraude. Selon ce même considérant, dans les cas appropriés, les équipements radioélectriques devraient donc être conçus de manière à être compatibles avec ces fonctionnalités.
            
         
         
            
               (3)La 5G jouera un rôle déterminant dans le développement de l’économie et de la société numériques de l’UE dans les prochaines années et est susceptible d’influer sur presque tous les aspects de la vie des citoyens de l’Union. Le document intitulé «Cybersecurity of 5G networks — EU Toolbox of risk mitigating measures» (Cybersécurité des réseaux 5G — Boîte à outils de l’UE contenant des mesures d’atténuation des risques)
                  19
                définit un ensemble commun possible de mesures permettant d’atténuer les principaux risques en matière de cybersécurité des réseaux 5G et fournit des orientations pour la sélection de mesures à privilégier dans les plans d’atténuation à l’échelon national et de l’UE. Outre ces mesures, il est très important d’adopter une approche harmonisée en ce qui concerne les exigences essentielles relatives aux éléments de protection de la cybersécurité applicables aux équipements radioélectriques 5G lorsqu’ils sont mis sur le marché de l’Union.
            
            
               (4)Le niveau de sécurité applicable en vertu des exigences essentielles de l’Union énoncées à l’article 3, paragraphe 3, points d), e) et f), pour assurer la protection du réseau, garantir des sauvegardes afin d’assurer la protection des données à caractère personnel et de la vie privée et assurer la protection contre la fraude ne doit pas compromettre le niveau élevé de sécurité requis au niveau national pour les réseaux intelligents décentralisés dans le domaine de l’énergie, pour lesquels des compteurs intelligents soumis à ces exigences doivent être utilisés, et pour les équipements du réseau 5G utilisés par les fournisseurs de réseaux de communications électroniques publics et de services de communications électroniques accessibles au public au sens de la directive (UE) 2018/1972.
            
            
               (5)De nombreuses préoccupations ont également été exprimées quant à l’augmentation des risques en matière de cybersécurité résultant de l’utilisation accrue par les professionnels et les consommateurs, y compris les enfants, d’équipements radioélectriques qui: i) sont capables de communiquer par eux-mêmes sur l’internet, qu’ils communiquent directement ou par l’intermédiaire d’autres équipements («équipements radioélectriques connectés à l’internet»), c’est-à-dire que ces équipements connectés à l’internet exécutent les protocoles nécessaires pour échanger des données avec l’internet, directement ou au moyen d’un équipement intermédiaire; ii) peuvent être des jouets dotés d’une fonction radio, qui relèvent également de la directive 2009/48/CE du Parlement européen et du Conseil
                  20
               , ou bien être destinés exclusivement à la garde d’enfants, ou être conçus à cette fin, comme les moniteurs de surveillance des enfants; ou iii) sont conçus ou destinés, exclusivement ou non, à être portés sur une partie du corps (y compris la tête, le cou, le torse, les bras, les mains, les jambes et les pieds) ou sur tout vêtement porté par des êtres humains (y compris les vêtements couvrant la tête, les mains et les pieds), ou bien attachés ou suspendus à ceux-ci, tels que les équipements radioélectriques sous forme de montres-bracelets, de bagues, de bracelets, de casques, d’écouteurs ou de lunettes («équipements radioélectriques portables»). 
            
            
               (6)Dans ce contexte, tout équipement radioélectrique destiné à la garde d’enfants, tout équipement radioélectrique couvert par la directive 2009/48/CE ou tout équipement radioélectrique portable, capable de communiquer par lui-même sur l’internet, qu’il communique directement ou par l’intermédiaire d’un autre équipement, doit être considéré comme un équipement radioélectrique connecté à l’internet. Les implants, par exemple, ne devraient pas être considérés comme des équipements radioélectriques portables car ils ne sont pas portés sur une partie du corps ou sur un vêtement, ni attachés ou suspendus à ceux-ci. Ils devraient toutefois être considérés comme des équipements radioélectriques connectés à l’internet s’ils sont capables de communiquer par eux-mêmes sur l’internet, qu’ils communiquent directement ou par l’intermédiaire d’un autre équipement.
            
            
               (7)Compte tenu des préoccupations soulevées par le fait que les équipements radioélectriques n’assurent pas une protection contre les éléments de risques en matière de cybersécurité, il est nécessaire de rendre applicables, pour les équipements radioélectriques de certaines catégories ou classes, les exigences essentielles de la directive 2014/53/UE associées à la protection contre les atteintes au réseau, à la protection des données à caractère personnel et de la vie privée des utilisateurs et des abonnés et à la protection contre la fraude. 
            
            
               (8)La directive 2014/53/UE s’applique aux produits qui répondent à la définition de l’«équipement radioélectrique» donnée à l’article 2 de ladite directive, sous réserve de certaines exclusions précisées à l’article 1er, paragraphes 2 et 3, de ladite directive. Alors que la définition de l’équipement radioélectrique énoncée à l’article 2 de la directive 2014/53/UE fait référence aux équipements capables de communiquer au moyen d’ondes radioélectriques, il n’est fait, dans les exigences de ladite directive, aucune distinction entre les fonctions radio et non radio des équipements radioélectriques; par conséquent, tous les aspects et toutes les parties de l’équipement devraient être conformes aux exigences essentielles prévues par le présent règlement délégué. 
            
            
               (9)En ce qui concerne les atteintes au réseau ou à son fonctionnement ou la mauvaise utilisation des ressources du réseau, une détérioration inacceptable du service peut être provoquée par des équipements radioélectriques connectés à l’internet qui ne garantissent pas qu’il n’est pas porté atteinte aux réseaux ou que ceux-ci ne sont pas utilisés à mauvais escient. Par exemple, un attaquant peut «inonder» le réseau internet par malveillance pour empêcher le trafic légitime sur le réseau, perturber les connexions entre deux produits radioélectriques, empêchant ainsi l’accès à un service, empêcher une personne particulière d’accéder à un service, perturber le service d’un système ou d’une personne spécifique ou interrompre l’information. La dégradation des services en ligne peut ainsi donner lieu à des cyberattaques malveillantes, qui entraîneront une augmentation des coûts, des désagréments ou des risques pour les opérateurs, les fournisseurs de services ou les utilisateurs. L’article 3, paragraphe 3, point d), de la directive 2014/53/UE, qui dispose que les équipements radioélectriques ne portent pas atteinte au réseau ou à son fonctionnement ni ne font une mauvaise utilisation des ressources du réseau, provoquant ainsi une détérioration inacceptable du service, devrait donc s’appliquer aux équipements radioélectriques connectés à l’internet.
            
            
               (10)Des préoccupations ont également été exprimées en ce qui concerne la protection des données à caractère personnel et de la vie privée des utilisateurs d’équipements radioélectriques connectés à l’internet et des abonnés à ces derniers en raison de la capacité de ces équipements à enregistrer, à stocker et à partager des informations, à interagir avec l’utilisateur, y compris les enfants, lorsque des haut-parleurs, microphones et autres capteurs sont intégrés dans ceux-ci. Ces préoccupations concernent notamment la capacité de ces équipements radioélectriques à enregistrer des photos, des vidéos, des données de localisation, des données liées à l’expérience de jeu, ainsi que la fréquence cardiaque, les habitudes de sommeil ou d’autres données personnelles. Il est par exemple possible d’accéder aux paramètres avancés de l’équipement radioélectrique avec un mot de passe par défaut si la connexion ou les données ne sont pas cryptées ou si un mécanisme d’authentification forte n’est pas en place.
            
            
               (11)Il est donc important que les équipements radioélectriques connectés à l’internet qui sont mis sur le marché de l’Union comportent des sauvegardes afin d’assurer la protection des données à caractère personnel et de la vie privée lorsqu’ils sont capables de traiter des données à caractère personnel telles que définies à l’article 4, point 1, du règlement (UE) 2016/679
                  21
                ou des données telles que définies à l’article 2, points b) et c), de la directive 2002/58/CE
                  22
               . L’article 3, paragraphe 3, point e), de la directive 2014/53/UE devrait donc s’appliquer aux équipements radioélectriques connectés à l’internet.
            
            
               (12)En outre, en ce qui concerne la protection des données à caractère personnel et de la vie privée, les équipements radioélectriques destinés à la garde d’enfants, les équipements radioélectriques couverts par la directive 2009/48/CE et les équipements radioélectriques portables présentent des risques pour la sécurité même en l’absence d’une connexion internet. Des données à caractère personnel peuvent être interceptées lorsque ces équipements radioélectriques émettent ou reçoivent des ondes radioélectriques et ne comportent pas de sauvegardes visant à assurer la protection des données à caractère personnel et de la vie privée. Les équipements radioélectriques destinés à la garde d’enfants, les équipements radioélectriques couverts par la directive 2009/48/CE et les équipements radioélectriques portables peuvent surveiller et enregistrer un certain nombre de données (à caractère personnel) sensibles de l’utilisateur au fil du temps et les retransmettre par l’intermédiaire de technologies de communication qui pourraient ne pas être sécurisées. Les équipements radioélectriques destinés à la garde d’enfants, les équipements radioélectriques couverts par la directive 2009/48/CE et les équipements radioélectriques portables devraient également assurer la protection des données à caractère personnel et de la vie privée lorsqu’ils sont capables de procéder au traitement, au sens de l’article 4, point 2, du règlement (UE) 2016/679, des données à caractère personnel, telles que définies dans l’article 4, point 1, dudit règlement, ou des données relatives au trafic et des données de localisation, telles que définies dans l’article 2, points b) et c), de la directive 2002/58/CE. L’article 3, paragraphe 3, point e), de la directive 2014/53/UE devrait donc s’appliquer à ces équipements radioélectriques.
            
            
               (13)En ce qui concerne la fraude, des informations comprenant des données à caractère personnel peuvent être volées à partir d’équipements radioélectriques connectés à l’internet qui n’assurent pas la protection contre la fraude. Certaines fraudes spécifiques concernent les équipements radioélectriques connectés à l’internet lorsque ceux-ci sont utilisés pour effectuer des paiements en ligne. Les coûts peuvent être élevés et concernent non seulement les personnes qui ont subi la fraude, mais aussi la société dans son ensemble (par exemple le coût des enquêtes de police, les coûts des services d’aide aux victimes, les coûts des procès menés pour établir les responsabilités). Il est donc nécessaire d’assurer la fiabilité des transactions et de réduire au minimum le risque de perte financière pour les utilisateurs d’équipements radioélectriques connectés à l’internet qui effectuent le paiement en utilisant ces équipements et pour le destinataire du paiement effectué au moyen de ces équipements.
            
            
               (14)Les équipements radioélectriques connectés à l’internet qui sont mis sur le marché de l’Union devraient être compatibles avec des fonctionnalités permettant d’assurer la protection contre la fraude lorsqu’ils permettent au détenteur ou à l’utilisateur de transférer de l’argent, de la valeur monétaire ou une monnaie virtuelle telle que définie à l’article 2, point d), de la directive (UE) 2019/713 du Parlement européen et du Conseil
                  23
               . L’article 3, paragraphe 3, point f), de la directive 2014/53/UE devrait donc s’appliquer à ces équipements radioélectriques.
            
            
               (15)Le règlement (UE) 2017/745 du Parlement européen et du Conseil
                  24
                établit des règles relatives aux dispositifs médicaux et le règlement (UE) 2017/746 du Parlement européen et du Conseil
                  25
                établit des règles relatives aux dispositifs médicaux de diagnostic in vitro. Les règlements (UE) 2017/745 et (UE) 2017/746 portent tous deux sur certains éléments des risques en matière de cybersécurité associés aux risques prévus à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE. Les équipements radioélectriques auxquels s’appliquent l’un ou l’autre de ces règlements ne devraient donc pas relever des catégories ou classes d’équipements radioélectriques qui doivent être conformes aux exigences essentielles énoncées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE. 
            
            
               (16)Le règlement (UE) 2019/2144 du Parlement européen et du Conseil
                  26
                définit les prescriptions applicables à la réception par type des véhicules à moteur ainsi que des systèmes et composants destinés à ces véhicules. En outre, l’objectif principal du règlement (UE) 2018/1139 du Parlement européen et du Conseil
                  27
                est d’établir et de maintenir un niveau uniforme élevé de sécurité de l’aviation civile dans l’Union. De plus, la directive (UE) 2019/520 du Parlement européen et du Conseil
                  28
                définit les conditions pour assurer l’interopérabilité des systèmes de télépéage routier et faciliter l’échange transfrontière d’informations relatives au défaut de paiement des redevances routières dans l’Union. Les règlements (UE) 2019/2144 et (UE) 2018/1139 ainsi que la directive (UE) 2019/520 portent sur des éléments des risques en matière de cybersécurité associés aux risques prévus à l’article 3, paragraphe 3, points e) et f), de la directive 2014/53/UE. Les équipements radioélectriques auxquels s’appliquent les règlements (UE) 2019/2144 et (UE) 2018/1139 ou la directive (UE) 2019/520 ne devraient donc pas relever des catégories ou classes d’équipements radioélectriques qui doivent être conformes aux exigences essentielles énoncées à l’article 3, paragraphe 3, points e) et f), de la directive 2014/53/UE.
            
            
               (17)L’article 3 de la directive 2014/53/UE prévoit des exigences essentielles auxquelles les opérateurs économiques doivent satisfaire. Afin de faciliter l’évaluation de la conformité avec ces exigences, ladite directive prévoit une présomption de conformité pour les équipements radioélectriques qui répondent aux normes harmonisées volontaires adoptées conformément au règlement (UE) nº 1025/2012 du Parlement européen et du Conseil
                  29
                aux fins de la formulation des spécifications techniques détaillées de ces exigences. Les spécifications prendront en considération et examineront le niveau de risques correspondant à l’utilisation prévue de chaque catégorie ou classe d’équipements radioélectriques concernés par le présent règlement.
            
            
               (18)Il convient d’accorder un délai suffisant aux opérateurs économiques afin qu’ils s’adaptent aux exigences du présent règlement. Il y a donc lieu de reporter l’application du présent règlement. Le présent règlement n’empêche pas les opérateurs économiques de s’y conformer dès la date de son entrée en vigueur.
            
            
               (19)La Commission a procédé aux consultations appropriées lors des travaux préparatoires des mesures énoncées dans le présent règlement et a consulté le groupe d’experts sur les équipements radioélectriques, 
            
            
               A ADOPTÉ LE PRÉSENT RÈGLEMENT:
            
            
               Article premier
            
            
               1. L’exigence essentielle énoncée à l’article 3, paragraphe 3, point d), de la directive 2014/53/UE s’applique à tout équipement radioélectrique capable de communiquer par lui-même sur l’internet, qu’il communique directement ou par l’intermédiaire d’un autre équipement («équipement radioélectrique connecté à l’internet»).
            
         
         
            
               2. L’exigence essentielle énoncée à l’article 3, paragraphe 3, point e), de la directive 2014/53/UE s’applique à chacun des équipements radioélectriques suivants si l'équipement radioélectrique en question est capable de procéder au traitement, au sens de l’article 4, point 2, du règlement (UE) 2016/679, des données à caractère personnel, telles que définies à l’article 4, point 1, dudit règlement, ou des données relatives au trafic et des données de localisation, telles que définies à l’article 2, points b) et c), de la directive 2002/58/CE:
            
            
               a)équipements radioélectriques connectés à l’internet, autres que les équipements visés aux points b), c) ou d); 
            
            
               b)équipements radioélectriques conçus pour la garde d’enfants ou destinés exclusivement à celle-ci;
            
            
               c)équipements radioélectriques couverts par la directive 2009/48/CE;
            
            
               d)équipements radioélectriques conçus pour ou destinés, exclusivement ou non, à être portés sur:
            
            
               i)toute partie du corps, y compris la tête, le cou, le torse, les bras, les mains, les jambes et les pieds;
            
            
               ii)tout vêtement porté par des êtres humains, y compris les vêtements couvrant la tête, les mains et les pieds, ou à être attachés ou suspendus auxdits vêtements et parties du corps.
            
            
               3. L’exigence essentielle énoncée à l’article 3, paragraphe 3, point f), de la directive 2014/53/UE s’applique à tout équipement radioélectrique connecté à l’internet si cet équipement permet au détenteur ou à l’utilisateur de transférer de l’argent, de la valeur monétaire ou une monnaie virtuelle telle que définie à l’article 2, point d), de la directive (UE) 2019/713.
            
            
               Article 2
            
            
               1. Par dérogation à l’article 1er, les exigences essentielles énoncées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE ne s’appliquent pas aux équipements radioélectriques auxquels s’applique également l’un des actes législatifs suivants de l’Union:
            
            
               a)le règlement (UE) 2017/745;
            
            
               b)le règlement (UE) 2017/746.
            
            
               2. Par dérogation à l’article 1er, paragraphes 2 et 3, les exigences essentielles énoncées à l’article 3, paragraphe 3, points e) et f), de la directive 2014/53/UE ne s’appliquent pas aux équipements radioélectriques auxquels s’applique également l’un des actes législatifs suivants de l’Union:
            
            
               a)le règlement (UE) 2018/1139; 
            
            
               b)le règlement (UE) 2019/2144; 
            
            
               c)la directive (UE) 2019/520.
            
            
               Article 3
            
            
               Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
            
            
               Il est applicable à partir du... [Office des publications, veuillez insérer la date: 30 mois après la date d’entrée en vigueur du présent règlement].
            
            
               Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
            
         
         
            
               Fait à Bruxelles, le 29.10.2021
            
            
               
                     Par la Commission
               
               
                     La présidente
                     Ursula VON DER LEYEN
               
            
         
         
            
                  
                     (1)
                  
                        Conclusions du Conseil sur l’importance de la 5G pour l’économie européenne et sur la nécessité d’atténuer les risques pour la sécurité liés à la 5G, 
                  https://data.consilium.europa.eu/doc/document/ST-14517-2019-INIT/fr/pdf
                   Conclusions du Conseil sur l’importance de la 5G pour l’économie européenne et sur la nécessité d’atténuer les risques pour la sécurité liés à la 5G 
                  https://www.europarl.europa.eu/legislative-train/api/stages/report/current/theme/connected-digital-single-market/file/cyber-security-package
                   
                  https://www.forbrukerradet.no/siste-nytt/connected-toys-violate-consumer-laws/
                     
                  http://www.beuc.eu/publications/beuc-x-2018-017_cybersecurity_for_connected_products.pdf
               
               
                  
                     (2)
                  
                        Notamment: i) le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, RGPD), ii) la directive 2002/58/CE relative à la vie privée et aux communications électroniques (directive vie privée et communications électroniques), iii) le règlement (UE) 2019/881 («règlement sur la cybersécurité»), iv) la directive (UE) 2019/713 concernant la lutte contre la fraude et la contrefaçon des moyens de paiement autres que les espèces («directive moyens de paiement autres que les espèces»), v) la directive 2013/40/UE relative aux attaques contre les systèmes d’information («directive cyberattaques»), vi) la directive (UE) 2016/1148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (directive SRI) et vii) le règlement (UE) nº 910/2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (règlement eIDAS).
               
               
                  
                     (3)
                  
                        
                  https://www.forbrukerradet.no/siste-nytt/connected-toys-violate-consumer-laws/
               
               
                  
                     (4)
                  
                        
                  http://www.beuc.eu/publications/beuc-x-2018-017_cybersecurity_for_connected_products.pdf
               
               
                  
                     (5)
                  
                        Directive 2014/53/UE du Parlement européen et du Conseil du 16 avril 2014 relative à l’harmonisation des législations des États membres concernant la mise à disposition sur le marché d’équipements radioélectriques et abrogeant la directive 1999/5/CE (JO L 153 du 22.5.2014, p. 62).
               
               
                  
                     (6)
                  
                        Règlement (UE) 2019/2144 du Parlement européen et du Conseil du 27 novembre 2019 relatif aux prescriptions applicables à la réception par type des véhicules à moteur et de leurs remorques, ainsi que des systèmes, composants et entités techniques distinctes destinés à ces véhicules, en ce qui concerne leur sécurité générale et la protection des occupants des véhicules et des usagers vulnérables de la route, modifiant le règlement (UE) 2018/858 du Parlement européen et du Conseil et abrogeant les règlements (CE) nº 78/2009, (CE) nº 79/2009 et (CE) nº 661/2009 du Parlement européen et du Conseil et les règlements (CE) nº 631/2009, (UE) nº 406/2010, (UE) nº 672/2010, (UE) nº 1003/2010, (UE) nº 1005/2010, (UE) nº 1008/2010, (UE) nº 1009/2010, (UE) nº 19/2011, (UE) nº 109/2011, (UE) nº 458/2011, (UE) nº 65/2012, (UE) nº 130/2012, (UE) nº 347/2012, (UE) nº 351/2012, (UE) nº 1230/2012 et (UE) 2015/166 de la Commission (JO L 325 du 16.12.2019, p. 1). 
               
               
                  
                     (7)
                  
                        Règlement (UE) 2018/1139 du Parlement européen et du Conseil du 4 juillet 2018 concernant des règles communes dans le domaine de l’aviation civile et instituant une Agence de l’Union européenne pour la sécurité aérienne, et modifiant les règlements (CE) nº 2111/2005, (CE) nº 1008/2008, (UE) nº 996/2010, (UE) nº 376/2014 et les directives 2014/30/UE et 2014/53/UE du Parlement européen et du Conseil, et abrogeant les règlements (CE) nº 552/2004 et (CE) nº 216/2008 du Parlement européen et du Conseil ainsi que le règlement (CEE) nº 3922/91 du Conseil (JO L 212 du 22.8.2018, p. 1). 
               
               
                  
                     (8)
                  
                        Directive (UE) 2019/520 du Parlement européen et du Conseil du 19 mars 2019 concernant l’interopérabilité des systèmes de télépéage routier et facilitant l’échange transfrontière d’informations relatives au défaut de paiement des redevances routières dans l’Union (JO L 91 du 29.3.2019, p. 45).
               
               
                  
                     (9)
                  
                        Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
               
               
                  
                     (10)
                  
                        Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37). 
               
               
                  
                     (11)
                  
                        JOIN(2020) 18 final. 
               
               
                  
                     (12)
                  
                        
                  https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/2018-Smartwatches-and-connected-toys
                   
               
               
                  
                     (13)
                  
                        
                  https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/2018-Smartwatches-and-connected-toys/public-consultation
                   
               
               
                  
                     (14)
                  
                        
                  https://circabc.europa.eu/ui/group/43315f45-aaa7-44dc-9405-a86f639003fe/library/f6e8f574-6864-4350-94bb-1719fe29a6c0?p=1&n=10&sort=modified_DESC
                   
               
               
                  
                     (15)
                  
                        JOIN(2020) 18 final.
               
               
                  
                     (16)
                  
                        https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/2018-Equipements-radio-connectes-a-internet-et-equipements-radio-portables_fr
               
               
                  
                     (17)
                  
                        d) Protection du réseau, e) protection des données à caractère personnel et de la vie privée, et f) protection contre la fraude.
               
               
                  
                     (18)
                  
                        JO L 153 du 22.5.2014, p. 62.
               
               
                  
                     (19)
                  
                        Cybersecurity of 5G networks — EU Toolbox of risk mitigating measures, 29 janvier 2020. https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group
               
               
                  
                     (20)
                  
                        Directive 2009/48/CE du Parlement européen et du Conseil du 18 juin 2009 relative à la sécurité des jouets (JO L 170 du 30.6.2009, p. 1).
               
               
                  
                     (21)
                  
                  
                        Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1). 
                  
               
               
                  
                     (22)
                  
                        Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37). 
               
               
                  
                     (23)
                  
                        Directive (UE) 2019/713 du Parlement européen et du Conseil du 17 avril 2019 concernant la lutte contre la fraude et la contrefaçon des moyens de paiement autres que les espèces et remplaçant la décision-cadre 2001/413/JAI du Conseil (JO L 123 du 10.5.2019, p. 18).
               
               
                  
                     (24)
                  
                        Règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, modifiant la directive 2001/83/CE, le règlement (CE) nº 178/2002 et le règlement (CE) nº 1223/2009 et abrogeant les directives du Conseil 90/385/CEE et 93/42/CEE (JO L 117 du 5.5.2017, p. 1). 
               
               
                  
                     (25)
                  
                        Règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux de diagnostic in vitro et abrogeant la directive 98/79/CE et la décision 2010/227/UE de la Commission (JO L 117 du 5.5.2017, p. 176).
               
               
                  
                     (26)
                  
                        Règlement (UE) 2019/2144 du Parlement européen et du Conseil du 27 novembre 2019 relatif aux prescriptions applicables à la réception par type des véhicules à moteur et de leurs remorques, ainsi que des systèmes, composants et entités techniques distinctes destinés à ces véhicules, en ce qui concerne leur sécurité générale et la protection des occupants des véhicules et des usagers vulnérables de la route, modifiant le règlement (UE) 2018/858 du Parlement européen et du Conseil et abrogeant les règlements (CE) nº 78/2009, (CE) nº 79/2009 et (CE) nº 661/2009 du Parlement européen et du Conseil et les règlements (CE) nº 631/2009, (UE) nº 406/2010, (UE) nº 672/2010, (UE) nº 1003/2010, (UE) nº 1005/2010, (UE) nº 1008/2010, (UE) nº 1009/2010, (UE) nº 19/2011, (UE) nº 109/2011, (UE) nº 458/2011, (UE) nº 65/2012, (UE) nº 130/2012, (UE) nº 347/2012, (UE) nº 351/2012, (UE) nº 1230/2012 et (UE) 2015/166 de la Commission (JO L 325 du 16.12.2019, p. 1).
               
               
                  
                     (27)
                  
                        Règlement (UE) 2018/1139 du Parlement européen et du Conseil du 4 juillet 2018 concernant des règles communes dans le domaine de l’aviation civile et instituant une Agence de l’Union européenne pour la sécurité aérienne, et modifiant les règlements (CE) nº 2111/2005, (CE) nº 1008/2008, (UE) nº 996/2010, (UE) nº 376/2014 et les directives 2014/30/UE et 2014/53/UE du Parlement européen et du Conseil, et abrogeant les règlements (CE) nº 552/2004 et (CE) nº 216/2008 du Parlement européen et du Conseil ainsi que le règlement (CEE) nº 3922/91 du Conseil (JO L 212 du 22.8.2018, p. 1). 
               
               
                  
                     (28)
                  
                        Directive (UE) 2019/520 du Parlement européen et du Conseil du 19 mars 2019 concernant l’interopérabilité des systèmes de télépéage routier et facilitant l’échange transfrontière d’informations relatives au défaut de paiement des redevances routières dans l’Union (JO L 91 du 29.3.2019, p. 45).
               
               
                  
                     (29)
                  
                        Règlement (UE) nº 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision nº 1673/2006/CE du Parlement européen et du Conseil (JO L 316 du 14.11.2012, p. 12).