Rozporządzenie wykonawcze 2021/2078 ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/745 w odniesieniu do europejskiej bazy danych o wyrobach medycznych (Eudamed)

Dzienniki UE

Dz.U.UE.L.2021.426.9

Akt obowiązujący

Wersja od: 29 listopada 2021 r.

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2021/2078

z dnia 26 listopada 2021 r.

ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/745 w odniesieniu do europejskiej bazy danych o wyrobach medycznych (Eudamed)

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/745 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych, zmiany dyrektywy 2001/83/WE, rozporządzenia (WE) nr 178/2002 i rozporządzenia (WE) nr 1223/2009 oraz uchylenia dyrektyw Rady 90/385/EWG i 93/42/EWG ¹ , w szczególności jego art. 33 ust. 8,

a także mając na uwadze, co następuje:

(1) Rozporządzenie (UE) 2017/745 zobowiązuje Komisję do określenia szczegółowych zasad niezbędnych do utworzenia europejskiej bazy danych o wyrobach medycznych ("baza danych Eudamed") i utrzymywania jej.

(2) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/746 ²  zobowiązuje Komisję do utworzenia bazy danych Eudamed, utrzymywania jej i zarządzania nią zgodnie z warunkami i szczegółowymi zasadami ustanowionymi rozporządzeniem (UE) 2017/745.

(3) Jak przewidziano w rozporządzeniach (UE) 2017/745 i (UE) 2017/746, Komisja, właściwe organy, organy odpowiedzialne za jednostki notyfikowane, jednostki notyfikowane, producenci, upoważnieni przedstawiciele, importerzy, osoby fizyczne lub prawne, o których mowa w art. 22 ust. 1 rozporządzenia (UE) 2017/745 (producenci systemów lub zestawów zabiegowych), oraz sponsorzy badań klinicznych i badań działania powinni mieć dostęp do bazy danych Eudamed i korzystać z niej do celów wypełniania swoich obowiązków i wykonywania swoich zadań na mocy tych rozporządzeń. Należy zatem zapewnić dostępność bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie. Ponadto baza danych Eudamed powinna dostarczać szerszemu ogółowi społeczeństwa odpowiednie informacje na temat wyrobów wprowadzanych do obrotu, odnośnych certyfikatów wydanych przez jednostki notyfikowane, odpowiednich podmiotów gospodarczych i badań klinicznych. W związku z tym konieczne jest również, aby baza danych Eudamed była dostępna za pośrednictwem ogólnodostępnej strony internetowej. Ponadto, aby umożliwić wymianę danych między bazą danych Eudamed a krajowymi bazami danych, konieczne jest udostępnienie bazy danych Eudamed za pośrednictwem usług wymiany danych typu maszyna- maszyna.

(4) W odniesieniu do osób fizycznych i prawnych, które muszą mieć dostęp do bazy danych Eudamed za pośrednictwem strony internetowej, należy określić warunki i procedurę przyznawania takiego dostępu.

(5) Komisja ustanowiła europejską nomenklaturę wyrobów medycznych (EMDN) przewidzianą w rozporządzeniach (UE) 2017/745 i (UE) 2017/746. Europejska nomenklatura wyrobów medycznych powinna być zatem udostępniana bezpłatnie w bazie danych Eudamed i wykorzystywana do przekazywania informacji na temat wyrobów medycznych do bazy danych Eudamed.

(6) W celu zagwarantowania, że użytkownicy bazy danych Eudamed otrzymują potrzebne wsparcie przy korzystaniu z bazy, Komisja powinna zapewnić im terminową pomoc techniczną i administracyjną w odniesieniu do bazy Eudamed.

(7) W przypadku braku technicznej dostępności lub awarii bazy danych Eudamed upoważnieni użytkownicy powinni nadal być w stanie wypełniać swoje obowiązki. Konieczne jest zatem określenie alternatywnych mechanizmów wymiany danych w takich przypadkach oraz ustanowienie zasad dotyczących zdarzeń awaryjnych w odniesieniu do takich mechanizmów.

(8) Przepisy dotyczące bezpieczeństwa informatycznego określone w decyzji Komisji (UE, Euratom) 2017/46 ³  mają zastosowanie do bazy danych Eudamed. Aby baza danych Eudamed mogła funkcjonować w sposób bezpieczny i była chroniona przed zagrożeniami dla dostępności, integralności i poufności jej funkcji i danych, należy ustanowić dodatkowe zasady bezpieczeństwa.

(9) Aby ograniczyć zagrożenia i przeciwdziałać ewentualnemu nieuczciwemu wykorzystywaniu bazy danych Eudamed przez jej użytkowników, należy ustanowić szczegółowe przepisy dotyczące nieuczciwej działalności użytkowników w bazie danych Eudamed.

(10) Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 ⁴  skonsultowano się z Europejskim Inspektorem Ochrony Danych; swoją opinię wydał on w dniu 9 lipca 2021 r.

(11) Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią Komitetu ds. Wyrobów Medycznych,

PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:

Artykuł  1

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

1) "podmiot" oznacza Komisję, właściwy organ, organ odpowiedzialny za jednostki notyfikowane, jednostkę notyfikowaną, producenta, upoważnionego przedstawiciela, importera, producenta systemu lub zestawu zabiegowego lub sponsora, którzy zostali zarejestrowani w bazie danych Eudamed zgodnie z art. 3 niniejszego rozporządzenia w celu wypełnienia swoich obowiązków określonych w rozporządzeniach (UE) 2017/745 i (UE) 2017/746;

2) "upoważniony użytkownik" oznacza osobę fizyczną, której udzielono dostępu do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie w celu działania w imieniu podmiotu;

3) "lokalny administrator podmiotu" oznacza upoważnionego użytkownika, który ma prawo do zarządzania niektórymi szczegółowymi informacjami dotyczącymi danego podmiotu oraz do udzielania dostępu do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie innym osobom fizycznym w celu działania w imieniu tego podmiotu;

4) "lokalny administrator użytkownika" oznacza upoważnionego użytkownika, który ma prawo do udzielania dostępu do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie innym osobom fizycznym w celu działania w imieniu podmiotu;

5) "awaria" oznacza poważną dysfunkcję bazy danych Eudamed, w tym wszelkie dysfunkcje spowodowane nieprzewidzianymi okolicznościami lub działaniem siły wyższej, które mogłyby niekorzystnie wpłynąć na bezpieczeństwo informatyczne lub utrudnić dostępność którejkolwiek z funkcji elektronicznych systemów bazy danych Eudamed, o których mowa w art. 33 ust. 2 rozporządzenia (UE) 2017/745.

Artykuł  2

Sposoby dostępu

1. Baza danych Eudamed jest dostępna dla upoważnionych użytkowników za pośrednictwem strony internetowej o ograniczonym dostępie ("strona internetowa o ograniczonym dostępie") oraz dla nieznanych użytkowników za pośrednictwem ogólnodostępnej strony internetowej ("ogólnodostępna strona internetowa").

2. Baza danych Eudamed jest dostępna dla właściwych organów, o których mowa w art. 101 rozporządzenia (UE) 2017/745 i art. 96 rozporządzenia (UE) 2017/746 ("właściwe organy"), oraz dla jednostek notyfikowanych zarejestrowanych w bazie danych Eudamed zgodnie z art. 3 niniejszego rozporządzenia za pośrednictwem usług wymiany danych typu maszyna-maszyna. Komisja zapewnia każdemu państwu członkowskiemu i każdej jednostce notyfikowanej punkty dostępu do wymiany danych umożliwiające im korzystanie z takich usług wymiany danych na ich wniosek.

Baza danych Eudamed jest dostępna dla podmiotów innych niż właściwe organy i jednostki notyfikowane za pośrednictwem usług wymiany danych typu maszyna-maszyna, pod warunkiem że lokalny administrator danego podmiotu wystąpi z wnioskiem o taki dostęp, o którym mowa w art. 3 ust. 8 akapit pierwszy. Komisja zatwierdza taki wniosek pod warunkiem określonym w art. 3 ust. 8 akapit drugi.

Artykuł  3

Rejestracja w bazie danych Eudamed i dostęp do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie

1. Aby uzyskać dostęp do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie, osoba fizyczna tworzy konto na stronie internetowej serwisu uwierzytelniania Komisji.

2. Komisja rejestruje właściwe organy i organy odpowiedzialne za jednostki notyfikowane oraz udziela dostępu do strony internetowej o ograniczonym dostępie pierwszej osobie fizycznej, która działa w ich imieniu. W tym celu państwa członkowskie przekazują Komisji informacje na temat swoich właściwych organów, organów odpowiedzialnych za jednostki notyfikowane oraz osób fizycznych, które mają stać się pierwszymi upoważnionymi użytkownikami z ramienia tych organów.

3. Komisja rejestruje jednostki notyfikowane w bazie danych Eudamed na podstawie informacji zawartych w bazie danych jednostek notyfikowanych utworzonej i zarządzanej przez Komisję (system informacyjny NANDO).

Aby uzyskać dostęp do bazy danych Eudamed za pośrednictwem strony internetowej o ograniczonym dostępie, pierwsza osoba fizyczna działająca w imieniu podmiotu będącego jednostką notyfikowaną składa wniosek o dostęp za pośrednictwem strony internetowej o ograniczonym dostępie. Organ odpowiedzialny za jednostkę notyfikowaną zatwierdza wniosek.

4. Aby podmioty inne niż wymienione w ust. 2 i 3 mogły być zarejestrowane w bazie danych Eudamed, osoba fizyczna działająca w imieniu potencjalnego podmiotu składa wniosek o rejestrację podmiotu za pośrednictwem strony internetowej o ograniczonym dostępie. Wniosek o rejestrację podmiotu musi zawierać podpisaną deklarację w sprawie obowiązków w zakresie bezpieczeństwa informacji, o której mowa w art. 10 ust. 1. Właściwy organ krajowy zatwierdza wniosek o rejestrację podmiotu, chyba że wniosek ten dotyczy sponsora badania klinicznego lub badania działania.

Po zatwierdzeniu wniosku o rejestrację podmiotu lub - w przypadku sponsora - po złożeniu wniosku o rejestrację podmiotu, osoba fizyczna, która złożyła wniosek, o którym mowa w akapicie pierwszym, uzyskuje automatycznie dostęp do strony internetowej o ograniczonym dostępie i staje się pierwszym upoważnionym użytkownikiem, o ile spełnione są warunki określone w ust. 6.

Do celów niniejszego ustępu właściwym organem krajowym jest organ miejsca siedziby potencjalnego podmiotu. W odniesieniu do producentów mających siedzibę poza Unią właściwym organem krajowym jest organ odpowiedzialny za upoważnionego przedstawiciela wymienionego we wniosku o rejestrację podmiotu. W odniesieniu do producentów systemów lub zestawów zabiegowych mających siedzibę poza Unią właściwym organem krajowym jest organ państwa członkowskiego, w którym ma zostać wprowadzony do obrotu pierwszy system lub pierwszy zestaw zabiegowy danego producenta.

5. Aby osoba fizyczna mogła uzyskać dostęp do strony internetowej o ograniczonym dostępie w celu działania w imieniu podmiotu, składa ona wniosek o dostęp za pośrednictwem strony internetowej o ograniczonym dostępie. Lokalny administrator podmiotu lub lokalny administrator użytkownika tego podmiotu zatwierdza wniosek o przyznanie dostępu.

6. Aby stać się upoważnionymi użytkownikami, osoby fizyczne akceptują prawa i obowiązki użytkowników określone w dokumencie, o którym mowa w art. 10 ust. 1 lit. a), oraz zapoznają się z oświadczeniem o ochronie prywatności, o którym mowa w lit. c) tego artykułu.

7. Pierwszy upoważniony użytkownik danego podmiotu staje się automatycznie pierwszym lokalnym administratorem tego podmiotu.

8. Lokalny administrator podmiotu może za pośrednictwem strony internetowej o ograniczonym dostępie zwrócić się do Komisji z wnioskiem o połączenie maszyna-maszyna w celu wymiany danych między bazą danych podmiotu a bazą danych Eudamed.

Komisja może zatwierdzić wniosek, o którym mowa w akapicie pierwszym, pod warunkiem że lokalny administrator podmiotu potwierdził, że dany podmiot spełnia wymogi dotyczące bezpieczeństwa informacji w odniesieniu do wymiany danych, o których mowa w art. 10 ust. 1.

Artykuł  4

Nomenklatura

Przekazując informacje o wyrobach medycznych do bazy danych Eudamed, upoważnieni użytkownicy stosują swobodnie dostępne kody europejskiej nomenklatury wyrobów medycznych.

Komisja bezpłatnie udostępnia europejską nomenklaturę wyrobów medycznych w bazie danych Eudamed.

Artykuł  5

Wsparcie techniczne i administracyjne

1. Aby zapewnić użytkownikom bazy danych Eudamed szybką pomoc, Komisja powołuje zespół wsparcia aplikacji, z którym można się kontaktować za pośrednictwem specjalnej funkcyjnej skrzynki pocztowej.

2. Komisja udostępnia użytkownikom bazy danych Eudamed odpowiednią dokumentację techniczną dotyczącą bazy danych Eudamed, najczęściej zadawane pytania dotyczące bazy danych Eudamed oraz dokumentację wspierającą usługi wymiany danych typu maszyna-maszyna.

Artykuł  6

Własność i przetwarzanie danych osobowych

1. Komisja jest właścicielem bazy danych Eudamed i posiada pełne uprawnienia administratora.

2. Dane osobowe są przetwarzane w bazie danych Eudamed w celu wypełnienia obowiązków określonych w rozporządzeniach (UE) 2017/745 i (UE) 2017/746.

3. Przetwarzane są następujące kategorie danych osobowych:

a) nazwy podmiotów i upoważnionych użytkowników;

b) dane kontaktowe podmiotów i upoważnionych użytkowników;

c) dane identyfikacyjne i kontaktowe oraz dane dotyczące kwalifikacji zawodowych innych osób fizycznych lub prawnych, które to dane zgłasza się w bazie danych Eudamed w celu wypełnienia obowiązków określonych w rozporządzeniach (UE) 2017/745 i (UE) 2017/746.

Artykuł  7

Zasady funkcjonowania

1. Przekazanie danych do bazy danych Eudamed uznaje się za dokonane w dniu i w momencie pomyślnej rejestracji danych w bazie danych Eudamed. Datę i godzinę przekazania określa się odpowiednio na podstawie czasu środkowoeuropejskiego lub środkowoeuropejskiego czasu letniego.

2. Baza danych Eudamed jest dostępna przez cały czas, z wyjątkiem koniecznych i wcześniej zapowiedzianych okresów przestojów w związku z obsługą techniczną, w tym nowymi wersjami bazy. Komisja z wyprzedzeniem zamieszcza stosowne powiadomienie odpowiednio na stronie internetowej o ograniczonym dostępie lub na ogólnodostępnej stronie internetowej.

Artykuł  8

Awaria

1. Komisja podejmuje wszystkie niezbędne środki w celu zapobiegania wszelkiej awarii oraz jej wykrycia bez zbędnej zwłoki w momencie jej wystąpienia.

2. Jeżeli podmiot lub upoważniony użytkownik podejrzewa wystąpienie awarii, niezwłocznie informuje o tym Komisję.

3. W przypadku stwierdzenia awarii Komisja wprowadza następujące środki:

a) niezwłocznie wyświetla odpowiednio na stronie internetowej o ograniczonym dostępie lub na ogólnodostępnej stronie internetowej komunikat w tej sprawie ("komunikat o awarii"), chyba że charakter awarii uniemożliwia Komisji takie działanie, w którym to przypadku w miarę możliwości Komisja wyświetla komunikat na specjalnej stronie internetowej Komisji poświęconej wyrobom medycznym;

b) zawiesza okresy przekazywania danych do bazy danych Eudamed określone w rozporządzeniach (UE) 2017/745 i (UE) 2017/746, jeżeli awaria utrudnia wprowadzanie odpowiednich danych.

W przypadku gdy Komisja zawiesiła okresy przekazywania danych do bazy danych Eudamed, jak przewidziano w akapicie pierwszym lit. b), w komunikacie o awarii określa się czas wyświetlenia tego komunikatu i prawdopodobny czas trwania zawieszenia.

4. Oprócz zawieszenia okresów, o którym mowa w ust. 3 akapit pierwszy lit. b) niniejszego artykułu, jeżeli awaria utrudnia wypełnienie któregokolwiek z obowiązków, o których mowa w art. 80, art. 87 ust. 1, art. 89 ust. 5, 7, 8 i 9, art. 95 ust. 2, 4 i 6 lub art. 98 ust. 2 rozporządzenia (UE) 2017/745 lub w art. 76, art. 82 ust. 1, art. 84 ust. 5, 7, 8 i 9, art. 90 ust. 2, 4 i 6 lub art. 93 ust. 2 rozporządzenia (UE) 2017/746, zastosowanie ma jedna z następujących procedur:

a) jeżeli awaria trwa dłużej niż 12 godzin po wyświetleniu komunikatu o awarii, podmiot niezwłocznie przekazuje Komisji, zainteresowanym właściwym organom krajowym oraz jednostce notyfikowanej, która wydała certyfikat zgodności, o którym mowa odpowiednio w art. 56 rozporządzenia (UE) 2017/745 lub art. 51 rozporządzenia (UE) 2017/746, ogólne informacje na temat istotnych danych oraz wskazuje, że proces przekazywania danych jest w toku z powodu awarii;

b) jeżeli awaria trwa dłużej niż 24 godziny po wyświetleniu komunikatu o awarii lub jeżeli awaria trwa krócej niż 24 godziny, a zainteresowane właściwe organy krajowe żądają przekazania im istotnych danych po otrzymaniu informacji, o których mowa w lit. a) niniejszego ustępu, podmiot niezwłocznie przekazuje tym organom odpowiednie dane w sposób przez nie określony.

5. Oprócz zawieszenia okresów, o którym mowa w ust. 3 akapit pierwszy lit. b) niniejszego artykułu, w przypadku awarii, która utrudnia wypełnienie jednego z obowiązków określonych w rozporządzeniu (UE) 2017/745 lub rozporządzeniu (UE) 2017/746 innych niż obowiązki, o których mowa w ust. 4 niniejszego artykułu, zastosowanie ma następująca procedura:

a) jeżeli awaria trwa dłużej niż 36 godzin po wyświetleniu komunikatu o awarii, podmiot niezwłocznie przekazuje Komisji, zainteresowanym właściwym organom krajowym oraz jednostce notyfikowanej, która wydała certyfikat zgodności, o którym mowa odpowiednio w art. 56 rozporządzenia (UE) 2017/745 lub art. 51 rozporządzenia (UE) 2017/746, ogólne informacje na temat tych danych oraz wskazuje, że proces przekazywania danych jest w toku z powodu awarii;

b) jeżeli awaria trwa dłużej niż pięć dni po wyświetleniu komunikatu o awarii, podmiot informuje o tym zainteresowane właściwe organy krajowe i na żądanie przekazuje im istotne dane w sposób przez nie określony.

6. Jeżeli Komisja stwierdzi, że awaria ustała, przekazuje tę informację właściwym organom. Ponadto Komisja wyświetla stosowny komunikat w tej sprawie odpowiednio na stronie internetowej o ograniczonym dostępie lub na ogólnodostępnej stronie internetowej. Zarówno w informacji, jak i w komunikacie wskazuje się czas trwania awarii i zawieszenia okresów, o którym mowa w ust. 3 lit. b).

7. Po wyświetleniu przez Komisję komunikatu, o którym mowa w ust. 6, podmioty niezwłocznie wprowadzają dane, których przekazanie było utrudnione podczas awarii bazy danych Eudamed.

Artykuł  9

Strony internetowe do celów testowania i szkolenia

1. Komisja udostępnia podmiotom strony internetowe do celów testowania i szkolenia w zakresie korzystania z bazy danych Eudamed ("strony internetowe do celów testowania i szkolenia").

Dane wprowadzane na stronach internetowych do celów testowania i szkolenia uznaje się za fikcyjne i nie podaje się ich do wiadomości publicznej.

2. Przed skorzystaniem po raz pierwszy z usług wymiany danych typu maszyna-maszyna podmiot podejmuje co najmniej jedną udaną próbę przesłania danych za pośrednictwem urządzenia typu maszyna-maszyna, korzystając ze strony internetowej do celów testowania i szkolenia.

3. Wszelkie zmiany, które Komisja zamierza wprowadzić w usługach wymiany danych typu maszyna-maszyna w ramach bazy danych Eudamed, są najpierw wprowadzane przez Komisję na stronach internetowych do celów testowania i szkolenia oraz są dostępne na tych stronach przez okres, który zostaje wcześniej określony przez Komisję we współpracy z Grupą Koordynacyjną ds. Wyrobów Medycznych ustanowioną na mocy art. 103 rozporządzenia (UE) 2017/745.

Komisja informuje z wyprzedzeniem zainteresowane podmioty za pośrednictwem bazy danych Eudamed o planowanych zmianach i podaje, jak długo będą dostępne na stronach internetowych do celów testowania i szkolenia.

Artykuł  10

Bezpieczeństwo informatyczne

1. Komisja udostępnia następujące dokumenty na stronie internetowej o ograniczonym dostępie:

a) dokument dotyczący praw i obowiązków użytkownika;

b) deklarację w sprawie obowiązków w zakresie bezpieczeństwa informacji;

c) oświadczenie o ochronie prywatności;

d) wymogi dotyczące bezpieczeństwa informacji w odniesieniu do wymiany danych.

2. Podmioty przestrzegają warunków określonych w dokumentach, o których mowa w ust. 1 lit. b) oraz, w stosownych przypadkach, w lit. d) tego ustępu.

3. Jeżeli Komisja podejrzewa wystąpienie lub trwanie incydentu związanego z bezpieczeństwem IT, ryzyka związanego z bezpieczeństwem IT lub zagrożenia związanego z bezpieczeństwem IT, zdefiniowanych w art. 2 pkt 15, 22 i 25 decyzji (UE, Euratom) 2017/46, które uznaje za potencjalnie szkodliwe dla bazy danych Eudamed, jej danych lub ich poufności ("incydent związany z bezpieczeństwem IT, zagrożenie związane z bezpieczeństwem IT lub ryzyko związane z bezpieczeństwem IT"), Komisja może zawiesić cały dostęp do bazy danych Eudamed.

4. Komisja może zawiesić całość lub część funkcji elektronicznych systemów bazy danych Eudamed, jeżeli zidentyfikuje incydent związany z bezpieczeństwem IT, zagrożenie związane z bezpieczeństwem IT lub ryzyko związane z bezpieczeństwem IT.

Jeżeli zawieszenie, o którym mowa w akapicie pierwszym, utrudnia wprowadzanie danych do bazy danych Eudamed, stosuje się odpowiednio art. 8 ust. 3, 4 i 5.

5. Każdy podmiot lub upoważniony użytkownik, który dowiaduje się o istnieniu incydentu związanego z bezpieczeństwem IT, zagrożenia związanego z bezpieczeństwem IT lub ryzyka związanego z bezpieczeństwem IT lub podejrzewa ich wystąpienie, niezwłocznie informuje o tym Komisję i zainteresowane państwa członkowskie.

Artykuł  11

Nieuczciwa działalność użytkowników w bazie danych Eudamed

1. W przypadku gdy właściwy organ, lokalny administrator podmiotu lub lokalny administrator użytkownika podejrzewa nieuczciwy wniosek o dostęp do bazy danych Eudamed, organy te odrzucają wniosek i niezwłocznie informują Komisję o takiej odmowie za pośrednictwem zespołu wsparcia aplikacji, o którym mowa w art. 5 ust. 1, określając, że dotyczy to domniemanego oszukańczego wniosku o dostęp.

2. W przypadku gdy Komisja ma uzasadnione podejrzenie, że upoważniony użytkownik prowadzi nieuczciwą działalność mającą wpływ na bezpieczeństwo informatyczne bazy danych Eudamed, tymczasowo zawiesza dostęp tego upoważnionego użytkownika do bazy danych Eudamed. W takim przypadku Komisja niezwłocznie informuje wszystkie państwa członkowskie i zainteresowane podmioty o zawieszeniu, podając jego uzasadnienie.

3. Każdy podmiot lub upoważniony użytkownik, który podejrzewa o nieuczciwą działalność upoważnionego użytkownika, niezwłocznie informuje Komisję i państwa członkowskie o podejrzewanej nieuczciwej działalności za pośrednictwem zespołu wsparcia aplikacji, o którym mowa w art. 5 ust. 1.

4. W przypadku gdy Komisja stwierdzi nieuczciwą działalność w bazie danych Eudamed, niezwłocznie odbiera ona odpowiednim upoważnionym użytkownikom dostęp do bazy danych Eudamed i podejmuje niezbędne środki, w tym, w stosownych przypadkach, zapobiega przyszłemu dostępowi do bazy danych Eudamed z powiązanych kont utworzonych na stronie internetowej serwisu uwierzytelniania Komisji. Komisja niezwłocznie informuje odpowiednie właściwe organy krajowe i zainteresowane podmioty o wszelkich środkach podjętych na podstawie niniejszego ustępu.

Artykuł  12

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 26 listopada 2021 r.

	W imieniu Komisji
	Ursula VON DER LEYEN
	Przewodnicząca

¹ Dz.U. L 117 z 5.5.2017, s. 1.

² Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/746 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych do diagnostyki in vitro oraz uchylenia dyrektywy 98/79/WE i decyzji Komisji 2010/227/UE (Dz.U. L 117 z 5.5.2017, s. 176).

³ Decyzja Komisji (UE, Euratom) 2017/46 z dnia 10 stycznia 2017 r. w sprawie bezpieczeństwa systemów teleinformatycznych w Komisji Europejskiej (Dz.U. L 6 z 11.1.2017, s. 40).

⁴ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).