EN 18031-2, o que conta como Pessoal, Tráfico e Dados de Localização para Equipamentos de Rádio Conectados
8 de mai. de 2026
EN 18031-2 é a parte da família EN 18031 padrões focada em proteção de dados e privacidade para equipamentos de rádio. Ele suporta o Artigo 3(3)(e), RED, que requer que certos produtos no escopo incluam salvaguardas que protegem os dados pessoais e a privacidade do usuário.
Uma questão prática comum é a de saber que dados trazem realmente um produto ao seu âmbito, pois é aí que começa o trabalho de verdadeira amplitude. Este blog analisa o que os dados pessoais, de tráfego e de localização significam na prática e o que os fabricantes devem rever antes do lançamento.
Inicie sua avaliação gratuita EN 18031
O que é EN 18031-2?
EN 18031-2:2024 está intitulado Requisitos de segurança comuns para equipamento de rádio, Parte 2: Dados de processamento de equipamento de rádio nomeadamente equipamentos de rádio ligados à Internet, equipamento de rádio para crianças, equipamento de rádio de brinquedo e equipamento de rádio wearable.
Ele fornece uma rota técnica que os fabricantes podem usar para apoiar a conformidade com Artigo 3(3)(e) RED. A Parte 1 foca na proteção de redes e recursos de rede para equipamentos de rádio conectados à internet. A Parte 2 foca em equipamentos de rádio que processam dados pessoais, de tráfego ou de localização, incluindo equipamentos de rádio conectados à internet, equipamentos de rádio para cuidados infantis, equipamentos de rádio para brinquedos e equipamentos de rádio vestíveis. Isso é importante porque algumas dessas categorias estão no escopo, mesmo quando a conectividade direta à internet não é o principal problema.
O que conta como Crianças, brinquedo e equipamento de rádio weearable?
O EN 18031-2 não está limitado a produtos conectados à Internet. Nos termos do Regulamento Delegado (EU) 2022/30, Artigo 3(3)(e) do RED também se aplica, quando os dados relevantes são processados, a equipamentos de rádio concebidos ou destinados exclusivamente a assistência a crianças, equipamento de rádio coberto pela directiva relativa aos brinquedos e equipamentos de rádio projetados ou destinados a serem usados amarrada a, ou pendurada do corpo ou de roupas usadas por uma pessoa.
Estas são as categorias de escopo, não apenas os rótulos de marketing. Para equipamentos de acolhimento de crianças, a Comissão dá aos monitores filhos como exemplo. Para os brinquedos, a categoria abrange os equipamentos de rádio abrangidos pela Directiva 2009/48/CE, por outras palavras, brinquedos com uma função de rádio que também se inserem no quadro da segurança dos brinquedos da UE. Para equipamentos de rádio wearable, a regulamentação delegada dá exemplos concretos como relógios de pulso, anéis, pulsos, cabeçalhos, fones e óculos.
Isso é importante porque estas categorias podem ser abrangidas pelo Artigo 3(3)(e) mesmo que a conectividade direta de internet não seja o principal problema. A Comissão explica que equipamento de rádio para crianças, brinquedos, e equipamentos wearable podem criar riscos de privacidade e proteção de dados mesmo sem uma conexão à internet, porque podem emitir ou receber ondas de rádio, monitorar dados pessoais confidenciais ao longo do tempo e retransmitir esses dados através de canais de comunicação inseguros.
Um limite importante é que os implantes não são tratados como equipamento de rádio wearable sob esta definição, porque não estão usados, presos ou pendurados no corpo ou no vestuário. No entanto, os implantes podem ainda contar como equipamentos de rádio ligados à Internet se forem eles próprios capazes de comunicar através da Internet.
Quais categorias de dados ativam EN 18031-2?
Artigo 3(3)(e) refere-se a três categorias de dados: dados pessoais , tráfego dados e dados de localização . EN 18031-2 se torna relevante quando um produto no escopo processa qualquer um destes. É por isso que a compreensão das categorias é muito importante para o âmbito de aplicação.
Dados Pessoais
Dados pessoais significam todas as informações relacionadas a uma pessoa natural identificada ou identificável. Em equipamentos de rádio conectados, que podem cobrir mais do que as equipes esperadas.
Ele inclui exemplos óbvios, como nomes , endereços de e-mail, credenciais de conta e detalhes de pagamento. Ele também pode incluir:
dispositivo identificadores linkado a um usuário específico
padrões de uso ou dados comportamentais que podem ser vinculados a um indivíduo
de saúde ou dados biométricos coletados por wearables
imagens ou áudio capturado por câmeras ou microfones conectados
dados que podem identificar uma pessoa quando combinados com outras informações
A questão fundamental é saber se os dados podem ser associados a um indivíduo identificável. Esse link pode ser direto, ou pode vir da combinação de diferentes pontos de dados através do dispositivo, app, backend ou camada de conta.
Dados de tráfego
Os dados de tráfego são tratados com o objectivo de transmitir uma comunicação sobre uma rede de comunicações electrónicas, o que, em termos práticos, inclui:
informações sobre quando uma comunicação aconteceu
duração da conexão
informações de roteamento
Metadados da sessão
log mostra como o produto se comunicava com serviços externos
Esta categoria é muitas vezes perdida porque fica em segundo plano. Um produto pode não parecer pesado à primeira vista, mas uma vez que se conecta a um backend, cria registros de conexão, ou roteia a atividade através de um app, os dados de tráfego já podem estar em jogo.
Dados de localização
Dados de localização são dados que indicam a posição geográfica dos equipamentos terminais de um usuário. Para equipamentos de rádio conectados, isto pode incluir:
GPS coordinates
Wi-Fi ou posicionamento com base em células
local inferido a partir do endereço IP ou identificadores de rede
movimento ou dados de proximidade que revelam onde um usuário é ou foi
Isto é especialmente relevante para o wearables, fitness devices, produtos do GPS, veículos conectadose produtos com delimitação ou funções com localização. A localização também pode ser inferida indiretamente, mesmo onde o produto não se apresenta como um dispositivo de localização.
Por que as Questões da Categoria de Dados são importantes para o Scoping
Estas definições são importantes porque o âmbito EN 18031-2 depende de quais dados o processo do produto e não apenas do recurso de título do produto.
Um produto não pode ser projetado como um produto focado em dados e ainda processa dados relevantes como parte de sua operação normal conectada.
Os exemplos incluem:
um dispositivo home inteligente que faz logs de padrões vinculados a contas de usuário
um appliance conectado que envia telemetria com endereços IP e carimbos de tempo
um produto fitness que infere movimento através de sinais de rede
um brinquedo com um aplicativo do companheiro que coleta informações e dados de uso da conta
um wearable que combina métricas de saúde com informações ligadas à conta
Em cada caso, o dispositivo por si só não mostra a imagem completa. Assim que o ecossistema do produto é mapeado entre dispositivo, app, backend, sistema de conta e integrações de terceiros, o escopo real de processamento de dados se torna mais claro.
Isto também é importante para dispositivos de acolhimento de crianças, brinquedos e wearables. Um produto não deve ser tratado como fora do seu âmbito de aplicação simplesmente porque não está directamente ligado à Internet. Se caírem em uma dessas categorias e processarem os dados relevantes, EN 18031-2 ainda poderá ser aplicada.
Quais fabricantes devem documentar
Assim que o escopo de processamento de dados do produto estiver claro, o próximo passo é ligar isso ao arquivo técnico. Os fabricantes geralmente precisam de mostrar que existem salvaguardas e que essas salvaguardas podem ser suportadas com a documentação. Documentação típica pode incluir:
um inventário de dados mostrando os dados pessoais, de tráfego e de localização processados
documentação do fluxo de dados em todo dispositivo, app, Backend e serviços de terceiros
documentação de controle de acesso mostrando quem ou o que pode acessar os dados
controles para armazenamento seguro e transmissão
processos de retenção e exclusão
direitos de usuário ou processos de manipulação de dados quando relevante
documentação do processador de terceiros onde relevante
mapeamento de requisitos vinculados a EN 18031-2
material de arquivo técnico vinculado ao Artigo 3(3)(e)
Para uma análise mais profunda de como estruturar estas evidências, consulte EN 18031 requisitos e lista de evidências.
Onde as equipes normalmente ficam presas
Uma questão comum não é a falta de trabalho no domínio da privacidade, mas sim o trabalho no domínio da privacidade estar no lugar errado.
A documentação sobre privacidade está frequentemente associada a funções legais ou de proteção de dados, enquanto a conformidade e a engenharia possuem as entradas técnicas de arquivo. Essa divisão cria lacunas que aparecem mais tarde.
Problemas típicos incluem:
revisando fluxos de dados somente no nível do dispositivo
definindo dados pessoais de forma muito estreita
dados de tráfego perdidos
ignorando dados de localização inferidos sinais de rede
deixando o SDKs ou ferramentas de análise de terceiros fora do escopo
ter documentação de privacidade que não suporta as necessidades de arquivo técnico
Todos estes são sinais de que a revisão interna precisa de ser mais profunda antes do lançamento.
Como o Cyberexpert ajuda
O Cyberexpert ajuda as equipes a identificar quais dados os processos de produtos, mapear esses em todo o ecossistema conectado e construir as evidências estruturadas necessárias para o arquivo técnico.
Para um contexto mais amplo sobre como a Parte 2 se encaixa dentro da família EN 18031, consulte a visão geral EN 18031.
Compartilhe isso no
