Regolamento (UE) 2021/2078

Regolamento di esecuzione (UE) 2021/2078 della Commissione – Eudamed

Il regolamento definisce le modalità di applicazione dell’articolo 33 del regolamento (UE) 2017/745 per l’istituzione e la gestione della banca dati europea dei dispositivi medici (Eudamed). La disciplina risponde all’esigenza, evidenziata nei considerando, di rendere la banca dati accessibile agli operatori istituzionali e privati, assicurando nel contempo trasparenza verso il pubblico, interoperabilità con le banche dati nazionali, continuità operativa e adeguati livelli di sicurezza informatica.

Ambito soggettivo e finalità operative

Eudamed è utilizzata dalla Commissione, dalle autorità competenti, dalle autorità responsabili degli organismi notificati, dagli organismi notificati, dai fabbricanti, dai mandatari, dagli importatori, dai produttori di sistemi o kit procedurali e dagli sponsor di indagini cliniche o studi delle prestazioni, per adempiere agli obblighi previsti dai regolamenti (UE) 2017/745 e (UE) 2017/746. Il regolamento prevede inoltre il ruolo degli utenti autorizzati che agiscono per conto degli attori registrati, distinguendo tra accesso al sito riservato, al sito pubblico e ai servizi di scambio dati da macchina a macchina.

Definizioni rilevanti

Ai fini dell’atto, assumono rilievo le nozioni di:

• "attore", cioè il soggetto istituzionale o privato registrato in Eudamed per adempiere agli obblighi normativi;
• "utente autorizzato", ossia la persona fisica cui è stato concesso l’accesso a Eudamed per agire per conto di un attore;
• LAA, che gestisce determinate informazioni dell’attore e può concedere accessi ad altre persone fisiche;
• LUA, che può a sua volta concedere l’accesso ad altre persone fisiche per agire per conto dell’attore;
• "malfunzionamento", inteso come guasto significativo di Eudamed, anche determinato da caso fortuito o forza maggiore, idoneo a compromettere sicurezza o disponibilità del sistema.

Accesso a Eudamed e registrazione degli utenti

L’articolo 2 stabilisce che Eudamed è accessibile tramite:

• sito web riservato per gli utenti autorizzati;
• sito web pubblico per gli utenti non identificati;
• servizi di scambio di dati da macchina a macchina, riservati anzitutto alle autorità competenti e agli organismi notificati registrati, ma estendibili ad altri attori previa richiesta del LAA e approvazione della Commissione.

L’articolo 3 disciplina la registrazione. Per ottenere l’accesso riservato, la persona fisica crea un account sul servizio di autenticazione della Commissione. La Commissione registra direttamente le autorità competenti e le autorità responsabili degli organismi notificati, concedendo l’accesso iniziale a una prima persona fisica; gli Stati membri devono fornire alla Commissione i dati necessari su autorità e primi utenti. Gli organismi notificati sono registrati sulla base delle informazioni presenti in NANDO. Gli altri attori presentano una richiesta di registrazione tramite il sito riservato, corredata dalla dichiarazione sulle responsabilità in materia di sicurezza delle informazioni di cui all’articolo 10, paragrafo 1; l’autorità nazionale competente approva la richiesta, salvo il caso degli sponsor di indagini cliniche o studi delle prestazioni. La nozione di autorità nazionale competente è individuata in funzione del luogo di stabilimento del potenziale attore, con regole specifiche per fabbricanti extra-UE e per produttori di sistemi o kit procedurali stabiliti fuori dall’Unione.

Una volta approvata la registrazione, il richiedente ottiene automaticamente l’accesso e diventa il primo utente autorizzato, purché siano soddisfatte le condizioni di cui al paragrafo 6, e tale primo utente è anche il primo LAA. Gli ulteriori accessi individuali sono concessi su richiesta e approvazione del LAA o del LUA. È inoltre previsto che un LAA possa chiedere alla Commissione una connessione da macchina a macchina per gli scambi tra la banca dati dell’attore ed Eudamed, se l’attore soddisfa le prescrizioni di sicurezza delle informazioni.

Nomenclatura europea dei dispositivi medici (EMDN)

Nell’inserire informazioni sui dispositivi medici, gli utenti autorizzati devono utilizzare i codici di libero accesso della nomenclatura europea dei dispositivi medici (EMDN). La Commissione deve renderla disponibile gratuitamente in Eudamed, così da garantire uniformità di classificazione e consultazione.

Supporto, documentazione e assistenza tecnica

La Commissione è tenuta a fornire supporto operativo agli utenti mediante un gruppo di supporto applicativo raggiungibile tramite una casella di posta elettronica dedicata. Deve inoltre mettere a disposizione la documentazione tecnica su Eudamed, le domande frequenti e la documentazione relativa ai servizi di scambio dati da macchina a macchina.

Proprietà della banca dati e protezione dei dati personali

La Commissione è proprietaria di Eudamed e dispone di pieni diritti di amministrazione. Il trattamento dei dati personali avviene esclusivamente per adempiere agli obblighi dei regolamenti (UE) 2017/745 e (UE) 2017/746. Le categorie di dati trattati comprendono nomi, contatti e dati di identificazione/qualifica professionale di attori e di altre persone fisiche o giuridiche registrate nel sistema.

Funzionamento ordinario e disponibilità del sistema

La trasmissione dei dati a Eudamed si considera effettuata nel momento in cui i dati sono correttamente registrati nel sistema; il riferimento temporale è l’ora dell’Europa centrale (CET) o l’orario estivo dell’Europa centrale (CEST), secondo il periodo dell’anno. Eudamed deve essere accessibile in ogni momento, salvo i periodi di inattività necessari per manutenzione o nuove versioni, che devono essere annunciati preventivamente dalla Commissione sul sito riservato o pubblico, a seconda dei casi.

Malfunzionamenti e continuità degli adempimenti

L’articolo 8 disciplina in modo dettagliato le ipotesi di malfunzionamento. La Commissione deve adottare tutte le misure necessarie per prevenirli e individuarli senza ritardo; se un attore o un utente autorizzato ne sospetta uno, deve informarne immediatamente la Commissione.

Quando il malfunzionamento è accertato, la Commissione pubblica senza ritardo un avviso di malfunzionamento sul sito riservato o pubblico; se ciò non è possibile, lo pubblica, per quanto possibile, sul sito web dedicato ai dispositivi medici. Se il guasto impedisce l’inserimento dei dati, i termini di trasmissione sono sospesi e l’avviso deve indicare l’ora di pubblicazione e la probabile durata della sospensione.

Per gli obblighi collegati ad articoli specifici dei regolamenti (UE) 2017/745 e 2017/746, il regolamento prevede una procedura a scaglioni:

• dopo 12 ore dalla pubblicazione dell’avviso, l’attore comunica informazioni generali sui dati pertinenti e segnala che la trasmissione è sospesa;
• dopo 24 ore, oppure anche prima se le autorità competenti lo richiedono dopo la prima comunicazione, l’attore trasmette i dati alle autorità secondo le modalità da esse prescritte;
• per altri obblighi, dopo 36 ore si applica una prima comunicazione analoga e, dopo cinque giorni, la trasmissione diretta alle autorità competenti su richiesta.

Quando il malfunzionamento cessa, la Commissione lo comunica alle autorità competenti e pubblica un nuovo avviso. Gli attori devono quindi inserire senza ritardo in Eudamed i dati la cui trasmissione era stata impedita.

Siti di prova e formazione

La Commissione deve predisporre ambienti separati per prove e formazione. I dati inseriti in tali ambienti sono fittizi e non sono messi a disposizione del pubblico. Prima del primo uso dei servizi machine-to-machine, l’attore deve aver completato almeno un tentativo di trasmissione tramite tali ambienti. Le modifiche ai servizi di scambio dati sono introdotte prima nei siti di prova e formazione e mantenute disponibili per un periodo definito dalla Commissione in collaborazione con il gruppo di coordinamento per i dispositivi medici.

Sicurezza informatica e gestione degli accessi anomali

L’articolo 10 impone la pubblicazione di quattro documenti essenziali: diritti e obblighi degli utenti, dichiarazione sulle responsabilità in materia di sicurezza delle informazioni, informativa privacy e prescrizioni di sicurezza per lo scambio dati. Gli attori devono rispettare le modalità e condizioni previste nei documenti sulla sicurezza.

La Commissione può sospendere ogni accesso a Eudamed se sospetta un incidente, un rischio o una minaccia per la sicurezza informatica ai sensi della decisione (UE, Euratom) 2017/46. Può inoltre sospendere in tutto o in parte le funzionalità dei sistemi elettronici di Eudamed; se la sospensione impedisce l’inserimento dei dati, si applicano mutatis mutandis le regole sull’emergenza previste per i malfunzionamenti.

Chiunque venga a conoscenza, o sospetti, un incidente, un rischio o una minaccia per la sicurezza informatica deve informarne immediatamente la Commissione e gli Stati membri interessati.

Attività fraudolente

L’articolo 11 introduce una disciplina specifica contro le attività fraudolente. Se un’autorità competente, un LAA o un LUA sospetta che una richiesta di accesso sia fraudolenta, deve respingerla e informare immediatamente la Commissione tramite il gruppo di supporto applicativo. Se la Commissione ha un ragionevole sospetto di attività fraudolenta da parte di un utente autorizzato che comprometta la sicurezza informatica di Eudamed, può sospenderne temporaneamente l’accesso e deve informare senza ritardo Stati membri e attori interessati.

Qualsiasi attore o utente autorizzato che sospetti una frode deve segnalare immediatamente l’evento tramite il gruppo di supporto applicativo. Se la frode è accertata, la Commissione interrompe immediatamente l’accesso degli utenti interessati e può impedire loro accessi futuri tramite gli account creati sul servizio di autenticazione della Commissione, informando le autorità nazionali competenti e gli attori interessati.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.