Artykuł 1

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

Artykuł 2

Sposoby dostępu

1. Baza danych Eudamed jest dostępna dla upoważnionych użytkowników za pośrednictwem strony internetowej o ograniczonym dostępie ("strona internetowa o ograniczonym dostępie") oraz dla nieznanych użytkowników za pośrednictwem ogólnodostępnej strony internetowej ("ogólnodostępna strona internetowa").

2. Baza danych Eudamed jest dostępna dla właściwych organów, o których mowa w art. 101 rozporządzenia (UE) 2017/745 i art. 96 rozporządzenia (UE) 2017/746 ("właściwe organy"), oraz dla jednostek notyfikowanych zarejestrowanych w bazie danych Eudamed zgodnie z art. 3 niniejszego rozporządzenia za pośrednictwem usług wymiany danych typu maszyna-maszyna. Komisja zapewnia każdemu państwu członkowskiemu i każdej jednostce notyfikowanej punkty dostępu do wymiany danych umożliwiające im korzystanie z takich usług wymiany danych na ich wniosek.

Baza danych Eudamed jest dostępna dla podmiotów innych niż właściwe organy i jednostki notyfikowane za pośrednictwem usług wymiany danych typu maszyna-maszyna, pod warunkiem że lokalny administrator danego podmiotu wystąpi z wnioskiem o taki dostęp, o którym mowa w art. 3 ust. 8 akapit pierwszy. Komisja zatwierdza taki wniosek pod warunkiem określonym w art. 3 ust. 8 akapit drugi.

Artykuł 3

Rejestracja w bazie danych Eudamed i dostęp do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie

1. Aby uzyskać dostęp do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie, osoba fizyczna tworzy konto na stronie internetowej serwisu uwierzytelniania Komisji.

2. Komisja rejestruje właściwe organy i organy odpowiedzialne za jednostki notyfikowane oraz udziela dostępu do strony internetowej o ograniczonym dostępie pierwszej osobie fizycznej, która działa w ich imieniu. W tym celu państwa członkowskie przekazują Komisji informacje na temat swoich właściwych organów, organów odpowiedzialnych za jednostki notyfikowane oraz osób fizycznych, które mają stać się pierwszymi upoważnionymi użytkownikami z ramienia tych organów.

3. Komisja rejestruje jednostki notyfikowane w bazie danych Eudamed na podstawie informacji zawartych w bazie danych jednostek notyfikowanych utworzonej i zarządzanej przez Komisję (system informacyjny NANDO).

Aby uzyskać dostęp do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie, pierwsza osoba fizyczna działająca w imieniu podmiotu będącego jednostką notyfikowaną składa wniosek o dostęp za pośrednictwem strony internetowej o ograniczonym dostępie. Organ odpowiedzialny za jednostkę notyfikowaną zatwierdza wniosek.

4. Aby podmioty inne niż wymienione w ust. 2 i 3 mogły być zarejestrowane w bazie danych Eudamed, osoba fizyczna działająca w imieniu potencjalnego podmiotu składa wniosek o rejestrację podmiotu za pośrednictwem strony internetowej o ograniczonym dostępie. Wniosek o rejestrację podmiotu musi zawierać podpisaną deklarację w sprawie obowiązków w zakresie bezpieczeństwa informacji, o której mowa w art. 10 ust. 1. Właściwy organ krajowy zatwierdza wniosek o rejestrację podmiotu, chyba że wniosek ten dotyczy sponsora badania klinicznego lub badania działania.

Po zatwierdzeniu wniosku o rejestrację podmiotu lub - w przypadku sponsora - po złożeniu wniosku o rejestrację podmiotu, osoba fizyczna, która złożyła wniosek, o którym mowa w akapicie pierwszym, uzyskuje automatycznie dostęp do strony internetowej o ograniczonym dostępie i staje się pierwszym upoważnionym użytkownikiem, o ile spełnione są warunki określone w ust. 6.

Do celów niniejszego ustępu właściwym organem krajowym jest organ miejsca siedziby potencjalnego podmiotu. W odniesieniu do producentów mających siedzibę poza Unią właściwym organem krajowym jest organ odpowiedzialny za upoważnionego przedstawiciela wymienionego we wniosku o rejestrację podmiotu. W odniesieniu do producentów systemów lub zestawów zabiegowych mających siedzibę poza Unią właściwym organem krajowym jest organ państwa członkowskiego, w którym ma zostać wprowadzony do obrotu pierwszy system lub pierwszy zestaw zabiegowy danego producenta.

5. Aby osoba fizyczna mogła uzyskać dostęp do strony internetowej o ograniczonym dostępie w celu działania w imieniu podmiotu, składa ona wniosek o dostęp za pośrednictwem strony internetowej o ograniczonym dostępie. Lokalny administrator podmiotu lub lokalny administrator użytkownika tego podmiotu zatwierdza wniosek o przyznanie dostępu.

6. Aby stać się upoważnionymi użytkownikami, osoby fizyczne akceptują prawa i obowiązki użytkowników określone w dokumencie, o którym mowa w art. 10 ust. 1 lit. a), oraz zapoznają się z oświadczeniem o ochronie prywatności, o którym mowa w lit. c) tego artykułu.

7. Pierwszy upoważniony użytkownik danego podmiotu staje się automatycznie pierwszym lokalnym administratorem tego podmiotu.

8. Lokalny administrator podmiotu może za pośrednictwem strony internetowej o ograniczonym dostępie zwrócić się do Komisji z wnioskiem o połączenie maszyna-maszyna w celu wymiany danych między bazą danych podmiotu a bazą danych Eudamed.

Komisja może zatwierdzić wniosek, o którym mowa w akapicie pierwszym, pod warunkiem że lokalny administrator podmiotu potwierdził, że dany podmiot spełnia wymogi dotyczące bezpieczeństwa informacji w odniesieniu do wymiany danych, o których mowa w art. 10 ust. 1.

Artykuł 4

Nomenklatura

Przekazując informacje o wyrobach medycznych do bazy danych Eudamed, upoważnieni użytkownicy stosują swobodnie dostępne kody europejskiej nomenklatury wyrobów medycznych.

Komisja bezpłatnie udostępnia europejską nomenklaturę wyrobów medycznych w bazie danych Eudamed.

Artykuł 5

Wsparcie techniczne i administracyjne

1. Aby zapewnić użytkownikom bazy danych Eudamed szybką pomoc, Komisja powołuje zespół wsparcia aplikacji, z którym można się kontaktować za pośrednictwem specjalnej funkcyjnej skrzynki pocztowej.

2. Komisja udostępnia użytkownikom bazy danych Eudamed odpowiednią dokumentację techniczną dotyczącą bazy danych Eudamed, najczęściej zadawane pytania dotyczące bazy danych Eudamed oraz dokumentację wspierającą usługi wymiany danych typu maszyna-maszyna.

Artykuł 6

Własność i przetwarzanie danych osobowych

1. Komisja jest właścicielem bazy danych Eudamed i posiada pełne uprawnienia administratora.

2. Dane osobowe są przetwarzane w bazie danych Eudamed w celu wypełnienia obowiązków określonych w rozporządzeniach (UE) 2017/745 i (UE) 2017/746.

3. Przetwarzane są następujące kategorie danych osobowych:

Artykuł 7

Zasady funkcjonowania

1. Przekazanie danych do bazy danych Eudamed uznaje się za dokonane w dniu i w momencie pomyślnej rejestracji danych w bazie danych Eudamed. Datę i godzinę przekazania określa się odpowiednio na podstawie czasu środkowoeuropejskiego lub środkowoeuropejskiego czasu letniego.

2. Baza danych Eudamed jest dostępna przez cały czas, z wyjątkiem koniecznych i wcześniej zapowiedzianych okresów przestojów w związku z obsługą techniczną, w tym nowymi wersjami bazy. Komisja z wyprzedzeniem zamieszcza stosowne powiadomienie odpowiednio na stronie internetowej o ograniczonym dostępie lub na ogólnodostępnej stronie internetowej.

Artykuł 8

Awaria

1. Komisja podejmuje wszystkie niezbędne środki w celu zapobiegania wszelkiej awarii oraz jej wykrycia bez zbędnej zwłoki w momencie jej wystąpienia.

2. Jeżeli podmiot lub upoważniony użytkownik podejrzewa wystąpienie awarii, niezwłocznie informuje o tym Komisję.

3. W przypadku stwierdzenia awarii Komisja wprowadza następujące środki:

W przypadku gdy Komisja zawiesiła okresy przekazywania danych do bazy danych Eudamed, jak przewidziano w akapicie pierwszym lit. b), w komunikacie o awarii określa się czas wyświetlenia tego komunikatu i prawdopodobny czas trwania zawieszenia.

4. Oprócz zawieszenia okresów, o którym mowa w ust. 3 akapit pierwszy lit. b) niniejszego artykułu, jeżeli awaria utrudnia wypełnienie któregokolwiek z obowiązków, o których mowa w art. 80, art. 87 ust. 1, art. 89 ust. 5, 7, 8 i 9, art. 95 ust. 2, 4 i 6 lub art. 98 ust. 2 rozporządzenia (UE) 2017/745 lub w art. 76, art. 82 ust. 1, art. 84 ust. 5, 7, 8 i 9, art. 90 ust. 2, 4 i 6 lub art. 93 ust. 2 rozporządzenia (UE) 2017/746, zastosowanie ma jedna z następujących procedur:

5. Oprócz zawieszenia okresów, o którym mowa w ust. 3 akapit pierwszy lit. b) niniejszego artykułu, w przypadku awarii, która utrudnia wypełnienie jednego z obowiązków określonych w rozporządzeniu (UE) 2017/745 lub rozporządzeniu (UE) 2017/746 innych niż obowiązki, o których mowa w ust. 4 niniejszego artykułu, zastosowanie ma następująca procedura:

6. Jeżeli Komisja stwierdzi, że awaria ustała, przekazuje tę informację właściwym organom. Ponadto Komisja wyświetla stosowny komunikat w tej sprawie odpowiednio na stronie internetowej o ograniczonym dostępie lub na ogólnodostępnej stronie internetowej. Zarówno w informacji, jak i w komunikacie wskazuje się czas trwania awarii i zawieszenia okresów, o którym mowa w ust. 3 lit. b).

7. Po wyświetleniu przez Komisję komunikatu, o którym mowa w ust. 6, podmioty niezwłocznie wprowadzają dane, których przekazanie było utrudnione podczas awarii bazy danych Eudamed.

Artykuł 9

Strony internetowe do celów testowania i szkolenia

1. Komisja udostępnia podmiotom strony internetowe do celów testowania i szkolenia w zakresie korzystania z bazy danych Eudamed ("strony internetowe do celów testowania i szkolenia").

Dane wprowadzane na stronach internetowych do celów testowania i szkolenia uznaje się za fikcyjne i nie podaje się ich do wiadomości publicznej.

2. Przed skorzystaniem po raz pierwszy z usług wymiany danych typu maszyna-maszyna podmiot podejmuje co najmniej jedną udaną próbę przesłania danych za pośrednictwem urządzenia typu maszyna-maszyna, korzystając ze strony internetowej do celów testowania i szkolenia.

3. Wszelkie zmiany, które Komisja zamierza wprowadzić w usługach wymiany danych typu maszyna-maszyna w ramach bazy danych Eudamed, są najpierw wprowadzane przez Komisję na stronach internetowych do celów testowania i szkolenia oraz są dostępne na tych stronach przez okres, który zostaje wcześniej określony przez Komisję we współpracy z Grupą Koordynacyjną ds. Wyrobów Medycznych ustanowioną na mocy art. 103 rozporządzenia (UE) 2017/745.

Komisja informuje z wyprzedzeniem zainteresowane podmioty za pośrednictwem bazy danych Eudamed o planowanych zmianach i podaje, jak długo będą dostępne na stronach internetowych do celów testowania i szkolenia.

Artykuł 10

Bezpieczeństwo informatyczne

1. Komisja udostępnia następujące dokumenty na stronie internetowej o ograniczonym dostępie:

2. Podmioty przestrzegają warunków określonych w dokumentach, o których mowa w ust. 1 lit. b) oraz, w stosownych przypadkach, w lit. d) tego ustępu.

3. Jeżeli Komisja podejrzewa wystąpienie lub trwanie incydentu związanego z bezpieczeństwem IT, ryzyka związanego z bezpieczeństwem IT lub zagrożenia związanego z bezpieczeństwem IT, zdefiniowanych w art. 2 pkt 15, 22 i 25 decyzji (UE, Euratom) 2017/46, które uznaje za potencjalnie szkodliwe dla bazy danych Eudamed, jej danych lub ich poufności ("incydent związany z bezpieczeństwem IT, zagrożenie związane z bezpieczeństwem IT lub ryzyko związane z bezpieczeństwem IT"), Komisja może zawiesić cały dostęp do bazy danych Eudamed.

4. Komisja może zawiesić całość lub część funkcji elektronicznych systemów bazy danych Eudamed, jeżeli zidentyfikuje incydent związany z bezpieczeństwem IT, zagrożenie związane z bezpieczeństwem IT lub ryzyko związane z bezpieczeństwem IT.

Jeżeli zawieszenie, o którym mowa w akapicie pierwszym, utrudnia wprowadzanie danych do bazy danych Eudamed, stosuje się odpowiednio art. 8 ust. 3, 4 i 5.

5. Każdy podmiot lub upoważniony użytkownik, który dowiaduje się o istnieniu incydentu związanego z bezpieczeństwem IT, zagrożenia związanego z bezpieczeństwem IT lub ryzyka związanego z bezpieczeństwem IT lub podejrzewa ich wystąpienie, niezwłocznie informuje o tym Komisję i zainteresowane państwa członkowskie.

Artykuł 11

Nieuczciwa działalność użytkowników w bazie danych Eudamed

1. W przypadku gdy właściwy organ, lokalny administrator podmiotu lub lokalny administrator użytkownika podejrzewa nieuczciwy wniosek o dostęp do bazy danych Eudamed, organy te odrzucają wniosek i niezwłocznie informują Komisję o takiej odmowie za pośrednictwem zespołu wsparcia aplikacji, o którym mowa w art. 5 ust. 1, określając, że dotyczy to domniemanego oszukańczego wniosku o dostęp.

2. W przypadku gdy Komisja ma uzasadnione podejrzenie, że upoważniony użytkownik prowadzi nieuczciwą działalność mającą wpływ na bezpieczeństwo informatyczne bazy danych Eudamed, tymczasowo zawiesza dostęp tego upoważnionego użytkownika do bazy danych Eudamed. W takim przypadku Komisja niezwłocznie informuje wszystkie państwa członkowskie i zainteresowane podmioty o zawieszeniu, podając jego uzasadnienie.

3. Każdy podmiot lub upoważniony użytkownik, który podejrzewa o nieuczciwą działalność upoważnionego użytkownika, niezwłocznie informuje Komisję i państwa członkowskie o podejrzewanej nieuczciwej działalności za pośrednictwem zespołu wsparcia aplikacji, o którym mowa w art. 5 ust. 1.

4. W przypadku gdy Komisja stwierdzi nieuczciwą działalność w bazie danych Eudamed, niezwłocznie odbiera ona odpowiednim upoważnionym użytkownikom dostęp do bazy danych Eudamed i podejmuje niezbędne środki, w tym, w stosownych przypadkach, zapobiega przyszłemu dostępowi do bazy danych Eudamed z powiązanych kont utworzonych na stronie internetowej serwisu uwierzytelniania Komisji. Komisja niezwłocznie informuje odpowiednie właściwe organy krajowe i zainteresowane podmioty o wszelkich środkach podjętych na podstawie niniejszego ustępu.

Artykuł 12

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 26 listopada 2021 r.