El Reglamento no fija cuantías ni tipos infractores. Su artículo 44 hace tres cosas y ninguna más: encarga a los Estados establecer el régimen de sanciones aplicable a las infracciones que imponen obligaciones a los operadores económicos y a los prestadores de mercados en línea, exige que esas sanciones sean efectivas, proporcionadas y disuasorias, y les da de plazo hasta el 13 de diciembre de 2024 para comunicar a la Comisión el régimen establecido. La versión anterior de esta norma, la Directiva 2001/95/CE, hacía lo mismo, de modo que aquí no hubo novedad ni armonización de importes.

No hay CSIRT, no hay autoridad de ciberseguridad y no hay ninguna obligación de notificar vulnerabilidades ni intrusiones. Quien fabrique producto de consumo conectado y tenga que notificar incidentes de ciberseguridad lo hará por otra norma. Conviene mirar el Reglamento de Ciberresiliencia, cuyo régimen de notificación de vulnerabilidades aprovechadas activamente e incidentes graves es aplicable desde el 11 de septiembre de 2026.

El fabricante considera o tiene motivos para pensar, con la información que obra en su poder, que un producto que ha introducido en el mercado es peligroso.

Plazo

Inmediatamente, a la vez que se adoptan las medidas correctivas y se informa a los consumidores

Desde cuándo corre

Desde que el fabricante lo considera o tiene motivos para pensarlo

Art. 9.8

El importador considera o tiene motivos para pensar que un producto que ha introducido en el mercado es peligroso, o detecta antes de introducirlo que el producto es peligroso.

Plazo

Inmediatamente, tras informar al fabricante y asegurarse de que se adoptan las medidas correctivas

Desde cuándo corre

Desde que el importador lo considera o tiene motivos para pensarlo

Art. 11.2 y 11.8

El distribuidor considera o tiene motivos para pensar que un producto que ha comercializado es peligroso o carece de la identificación y la información exigidas.

Plazo

Inmediatamente, asegurándose de que las autoridades de los Estados afectados sean informadas

Desde cuándo corre

Desde que el distribuidor lo considera o tiene motivos para pensarlo

Art. 12.4

Accidente causado por un producto: incidente relacionado con su uso que provoca la muerte de una persona o efectos adversos graves, permanentes o temporales, para su salud y seguridad.

Plazo

Sin dilación indebida desde que se tiene conocimiento del accidente

Desde cuándo corre

Desde que el fabricante tiene conocimiento del accidente

Art. 20.1 y 20.2

El prestador de un mercado en línea tiene conocimiento efectivo de un producto peligroso ofrecido en su interfaz, o recibe información de un accidente con riesgo grave o daño real causado por un producto comercializado en su mercado.

Plazo

Inmediatamente para el producto peligroso; sin dilación indebida para el accidente

Desde cuándo corre

Desde el conocimiento efectivo del producto peligroso o desde que se le informa del accidente

Art. 22.12, letras d) y e)

Autoridades de vigilancia del mercado de los Estados miembros en los que se haya comercializado el producto, a través del portal Safety Business Gateway

Cuándo

Inmediatamente en el caso del producto peligroso; sin dilación indebida en el caso del accidente

En España

La designación corresponde a cada Estado. En España, el Real Decreto 1801/2003 atribuye las potestades en materia de seguridad general de los productos a los órganos competentes de las comunidades autónomas y de las Ciudades de Ceuta y Melilla y, en el ámbito de competencia del Estado, al departamento con competencias en consumo a través de su organismo estatal. Ese real decreto sigue vigente y su texto nombra al Instituto Nacional del Consumo, y en su disposición adicional sexta a la Agencia Española de Consumo, Seguridad Alimentaria y Nutrición, organismo cuyo estatuto está derogado. La cadena hasta el órgano estatal actual no se ha podido cerrar en fuente oficial, y aquí no se afirma cuál es.

Art. 9.8.c) · art. 11.8.d) · art. 12.4.c) · art. 20.1 · art. 27

Consumidores afectados que puedan ser identificados, mediante notificación directa

Cuándo

Sin dilación indebida, en caso de recuperación por motivos de seguridad o de advertencia de seguridad

Art. 35.1 · art. 36

Público en general, cuando no sea posible contactar directamente con todos los consumidores afectados

Cuándo

Mediante aviso claro y visible en la web de la empresa, redes sociales, puntos de venta y, en su caso, medios de comunicación

Art. 35.4

Otros operadores económicos, personas responsables y prestadores de mercados en línea de la cadena de suministro

Cuándo

En tiempo oportuno, ante cualquier problema de seguridad detectado

Art. 9.10 · art. 11.10

Producto de consumo, en sentido amplio

Todo objeto, interconectado o no con otros objetos, suministrado o puesto a disposición a título oneroso o gratuito, incluso en el contexto de la prestación de un servicio, destinado a los consumidores o que en condiciones razonablemente previsibles pueda ser utilizado por ellos aunque no esté destinado a ellos (art. 3.1)

Nuevo, usado, reparado o reacondicionado

El estado del producto no cambia nada: la norma alcanza a los cuatro. La única excepción es el producto que deba ser reparado o reacondicionado antes de utilizarse, si se comercializa indicándolo claramente como tal (art. 2.3)

Venta a distancia hacia la Unión

El producto ofrecido en línea o por otros medios de venta a distancia se considera comercializado si la oferta se dirige a consumidores en la Unión, y se entiende que se dirige a ellos si el operador orienta sus actividades, por cualquier medio, a uno o más Estados miembros (art. 4)

Fabricantes

Quien fabrica el producto o manda diseñarlo o fabricarlo y lo comercializa con su nombre o su marca. Concentra el grueso de los deberes: producto seguro, análisis de riesgos, documentación técnica durante diez años, identificación, instrucciones, medidas correctivas, canales de reclamación y notificación de accidentes (art. 3.8) y art. 9)

Importadores y distribuidores

El importador introduce producto de un tercer país y comprueba antes que es seguro y que el fabricante cumplió; el distribuidor comercializa y comprueba los datos exigidos. La diferencia de listón es deliberada: al distribuidor se le piden comprobaciones fácticas, no una evaluación de la información recibida (arts. 11 y 12)

Prestadores de servicios logísticos

Quien almacena, embala, dirige y despacha sin ser propietario del producto. No tienen artículo propio de obligaciones, pero la definición de operador económico los incluye y por esa vía les alcanzan el requisito general de seguridad, los procesos internos, la cooperación con las autoridades, la trazabilidad y los avisos de recuperación (arts. 3.12), 3.13), 5, 14, 15 y 35)

Representante y persona responsable

El representante autorizado actúa por mandato escrito del fabricante en tareas específicas. La persona responsable es otra cosa y más dura: sin un operador económico establecido en la Unión que asuma ese papel, el producto no puede introducirse en el mercado (arts. 10 y 16)

Quien pone su marca o modifica el producto

Quien introduce el producto con su nombre o su marca queda sujeto a las obligaciones del fabricante. Y quien modifica sustancialmente el producto también, respecto de la parte afectada o de la totalidad si la modificación afecta a su seguridad. La modificación puede ser física o digital (art. 13)

Prestadores de mercados en línea

Tienen capítulo propio. Punto de contacto único con las autoridades y otro con los consumidores, registro en el portal Safety Gate, procesos internos de seguridad de los productos, atención de las órdenes de retirada de contenidos en dos días hábiles, gestión de notificaciones en tres días laborables, y suspensión del servicio a los comerciantes que ofrezcan con frecuencia productos no conformes (art. 22)

Autoridades de vigilancia del mercado

Ejercen sobre estos productos las facultades del Reglamento (UE) 2019/1020 que esta norma declara aplicables, dictan órdenes a los mercados en línea, notifican por el Sistema de Alerta Rápida Safety Gate en cuatro días hábiles y realizan barridos coordinados, incluidas compras bajo identidad encubierta (arts. 22.4, 23, 26 y 31.3)

Exclusiones

Reglamento (UE) 2023/988 del Parlamento Europeo y del Consejo, de 10 de mayo de 2023, relativo a la seguridad general de los productos, por el que se modifican el Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo y la Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo, y se derogan la Directiva 2001/95/CE del Parlamento Europeo y del Consejo y la Directiva 87/357/CEE del Consejo

Identificador

CELEX 32023R0988

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Conviene decir la proporción sin adornarla: esta es una norma de seguridad física de productos de consumo, y la ciberseguridad entra por una rendija. De sus cincuenta y dos artículos, uno solo la nombra, y lo hace como uno de los ocho elementos que se tienen en cuenta al evaluar si un producto es seguro, condicionado además a que la naturaleza del producto lo requiera (art. 6.1.g)). No hay ningún requisito técnico de ciberseguridad, ninguna norma armonizada que lo concrete, ningún procedimiento de evaluación de la conformidad, ninguna notificación de vulnerabilidades y ninguna autoridad de respuesta a incidentes. Quien busque aquí controles no los va a encontrar. No es un nivel 1 por tres razones concretas. La primera es que la letra g) no es decorativa: engancha con el artículo 5, que prohíbe comercializar productos que no sean seguros, de modo que un fallo de ciberseguridad que haga peligroso el producto lo saca del mercado por la misma vía que un borde cortante. La segunda es que la maquinaria que rodea al requisito sí toca software de forma expresa: la trazabilidad del artículo 15 alcanza a cualquier programa informático integrado en el producto, la modificación sustancial del artículo 13 puede hacerse por medios digitales y convierte en fabricante a quien la hace, y la solución al consumidor del artículo 37 incluye entregar gratis las actualizaciones de los programas informáticos. La tercera es de posición en el mapa: al ser red de seguridad, esta norma cubre justo al producto de consumo conectado que ninguna legislación de armonización alcanza, y esa franja no queda vacía hasta que el Reglamento de Ciberresiliencia sea aplicable en su totalidad.

Valoración del curador · nivel 2 de 5

Comercializar solo productos seguros Ciber parcial

Es la obligación matriz y cabe en una línea: los operadores económicos solo comercializan o introducen en el mercado productos que sean seguros. Producto seguro es el que, en condiciones de utilización normales o razonablemente previsibles e incluida la duración real de utilización, no presenta riesgo alguno o solo riesgos mínimos, compatibles con el uso del producto y aceptables dentro de un nivel elevado de protección de la salud y la seguridad de los consumidores. Todo lo demás es producto peligroso, sin categorías intermedias. Alcanza a todos los operadores económicos, incluido el prestador de servicios logísticos, que no tiene artículo propio pero sí este.

Literal de la norma Los operadores económicos solo comercializarán o introducirán en el mercado productos que sean seguros.

Art. 5 · art. 3.2) y 3.3)

Contar la ciberseguridad al evaluar si el producto es seguro Ciber

Aquí está la razón de que esta norma esté en el observatorio. Al evaluar si un producto es seguro se tienen en cuenta, cuando lo requiera la naturaleza del producto, las características de ciberseguridad adecuadas y necesarias para proteger el producto de influencias externas, como terceros malintencionados, cuando esa influencia pueda afectar a la seguridad del producto, incluida la posible pérdida de interconexión. Conviene leer los tres condicionantes juntos, porque cada uno estrecha el alcance. Primero, solo entra cuando la naturaleza del producto lo requiere, lo que deja fuera a lo que no tiene electrónica ni conexión. Segundo, lo que importa es que la influencia externa pueda afectar a la seguridad del producto, no a los datos ni al servicio: el bien protegido sigue siendo la salud y la seguridad del consumidor. Y tercero, no se enuncia ningún requisito técnico, ninguna medida ni ningún nivel: la letra dice que se tenga en cuenta, y quien decide qué es adecuado y necesario es el fabricante al hacer su análisis de riesgos y la autoridad al revisarlo. La mención expresa de la pérdida de interconexión es el ejemplo que la propia norma da, y apunta al producto que deja de ser seguro precisamente porque se queda sin su conexión.

Literal de la norma cuando lo requiera la naturaleza del producto, las características de ciberseguridad adecuadas y necesarias para proteger el producto de influencias externas, como terceros malintencionados, cuando dicha influencia pueda afectar a la seguridad del producto, incluida la posible pérdida de interconexión

Art. 6.1.g)

Contar lo que el producto aprende y predice Ciber parcial

Al evaluar si un producto es seguro se tienen en cuenta, cuando lo requiera la naturaleza del producto, sus funcionalidades de evolución, aprendizaje y predicción. Es una línea sin desarrollo, sin definición y sin criterio, y no menciona la inteligencia artificial ni remite a ninguna norma que la regule. Lo que aporta es el principio: la seguridad de un producto que cambia por sí mismo no puede evaluarse una vez y darse por hecha.

Literal de la norma cuando lo requiera la naturaleza del producto, las funcionalidades de evolución, aprendizaje y predicción del producto.

Art. 6.1.h)

Contar el efecto de los productos que se conectan entre sí Ciber parcial

Dos de los ocho elementos de la evaluación se ocupan de que los productos no viven solos. Uno mira el efecto de este producto en otros cuando razonablemente pueda preverse su utilización conjunta, incluida la interconexión. El otro mira el efecto que otros productos puedan tener en este, y añade expresamente el efecto de los elementos no integrados destinados a determinar, modificar o completar la forma en que funciona el producto evaluado. La consecuencia práctica es que la evaluación no puede acabar en los límites físicos del aparato.

Art. 6.1.b) y 6.1.c)

Presunción de conformidad por normas europeas

Se presume que un producto cumple el requisito general de seguridad si es conforme con las normas europeas de seguridad de los productos cuyas referencias se han publicado en el Diario Oficial, respecto de los riesgos que esas normas cubran, o, en ausencia de normas europeas, si cumple los requisitos nacionales de salud y seguridad del Estado donde se comercialice. La presunción no blinda: si hay indicios de que el producto es peligroso a pesar de ella, la autoridad puede actuar igualmente. Y cuando no hay presunción, el artículo 8 da una lista larga de elementos que se tienen en cuenta, desde normas internacionales y regímenes voluntarios de certificación hasta el estado de la técnica y la seguridad que los consumidores pueden esperar razonablemente.

Art. 7 · art. 8

Diseñar y fabricar conforme al requisito de seguridad Ciber parcial

Cuando introduce sus productos en el mercado, el fabricante garantiza que han sido diseñados y fabricados conforme al requisito general de seguridad. Es condición de acceso al mercado y no una tarea de mantenimiento posterior.

Literal de la norma Cuando introduzcan en el mercado sus productos, los fabricantes garantizarán que hayan sido diseñados y fabricados de conformidad con el requisito general de seguridad establecido en el artículo 5.

Art. 9.1

Análisis de riesgos interno y documentación técnica, diez años Ciber parcial

Antes de introducir el producto en el mercado, el fabricante hace un análisis de riesgos interno y elabora documentación técnica que contiene, como mínimo, una descripción general del producto y de sus características esenciales pertinentes para evaluar su seguridad. Cuando los posibles riesgos lo hagan adecuado, esa documentación incluye además el análisis de los riesgos y las soluciones adoptadas para eliminarlos o reducirlos, con el resultado de los ensayos, y la lista de las normas europeas o los demás elementos aplicados para cumplir el requisito general de seguridad, especificando qué partes se aplicaron si la aplicación fue parcial. La documentación se mantiene actualizada y a disposición de las autoridades de vigilancia del mercado durante diez años desde la introducción del producto en el mercado.

Art. 9.2 y 9.3

Mantener la conformidad de la producción en serie Ciber parcial

El fabricante se asegura de que existan procedimientos para que los productos fabricados en serie sigan siendo conformes con el requisito general de seguridad. La norma no detalla cuáles: exige que existan.

Art. 9.4

Identificar el producto y a quien lo pone en el mercado

El producto lleva un número de modelo, partida o serie u otro elemento que permita identificarlo, visible y legible para el consumidor, o en su envase o en un documento que lo acompañe si el tamaño o la naturaleza del producto no lo permiten. Y lleva el nombre, el nombre comercial registrado o la marca del fabricante, su dirección postal y electrónica y, cuando sea distinta, la del punto de contacto único. El importador añade sus propios datos sin tapar los del fabricante, y la persona responsable en la Unión los suyos. Toda esta información puede darse además en formato digital mediante soluciones electrónicas claramente visibles en el producto.

Art. 9.5 y 9.6 · art. 11.3 · art. 16.3 · art. 21

Instrucciones e información de seguridad comprensibles

El producto va acompañado de instrucciones e información relativa a la seguridad claras, en un lenguaje fácilmente comprensible para los consumidores, en la lengua que determine el Estado donde se comercialice. Solo se libra de esto el producto que pueda utilizarse de forma segura y según lo previsto por el fabricante sin ellas. El importador responde de que el producto que importa las lleve.

Art. 9.7 · art. 11.4

Corregir, retirar o recuperar el producto peligroso Ciber parcial

Cuando el fabricante considera o tiene motivos para pensar, con la información que obra en su poder, que un producto que ha introducido en el mercado es peligroso, hace inmediatamente tres cosas y no una: adopta las medidas correctivas necesarias para que el producto sea conforme, incluidas su retirada o su recuperación según proceda; informa a los consumidores conforme a los artículos 35 o 36; e informa a través del portal Safety Business Gateway a las autoridades de vigilancia del mercado de los Estados donde se comercializó. La información tiene que ser detallada, en particular sobre el riesgo para la salud y la seguridad, sobre las medidas correctivas ya adoptadas y, si está disponible, sobre la cantidad de productos que siguen circulando desglosada por Estado.

Art. 9.8 y 9.9

Canal público de reclamaciones y registro interno Ciber parcial

El fabricante pone a disposición pública canales de comunicación, como un número de teléfono, una dirección electrónica o una sección específica de su página web, teniendo en cuenta las necesidades de accesibilidad de las personas con discapacidad, para que los consumidores presenten reclamaciones y le informen de cualquier accidente o problema de seguridad que hayan experimentado. Después investiga las reclamaciones recibidas y la información sobre accidentes que afecten a la seguridad de sus productos y que el reclamante señale como peligrosos, y lleva un registro interno de esas reclamaciones, de las recuperaciones y de las medidas correctivas adoptadas. En ese registro solo se almacenan los datos personales necesarios para investigar, y no más de cinco años desde su registro. El importador comprueba que esos canales existan y, si no existen, los proporciona él.

Art. 9.11, 9.12 y 9.13 · art. 11.9 y 11.10

Avisar a la cadena de suministro del problema detectado Ciber parcial

El fabricante se asegura de que los demás operadores económicos, las personas responsables y los prestadores de mercados en línea de la cadena de suministro sean informados en tiempo oportuno de cualquier problema de seguridad que haya detectado. El importador, por su parte, mantiene informados de la investigación de las reclamaciones y de sus resultados al fabricante, a los distribuidores y, cuando proceda, a los prestadores de servicios logísticos y de mercados en línea.

Art. 9.10 · art. 11.10

Contenido mínimo del mandato del representante

El fabricante puede designar por mandato escrito a un representante autorizado, que efectúa las tareas especificadas en el mandato y entrega copia de este a las autoridades cuando lo pidan. El mandato tiene un contenido mínimo que no puede rebajarse: entregar, a petición motivada de una autoridad de vigilancia del mercado, toda la información y la documentación necesarias que acrediten la seguridad del producto en una lengua oficial que esa autoridad comprenda; informar al fabricante cuando considere o tenga motivos para pensar que el producto es peligroso; notificar por el portal Safety Business Gateway las medidas adoptadas para eliminar riesgos cuando el fabricante no lo haya hecho ya o por instrucción suya; y cooperar con las autoridades nacionales.

Art. 10

Comprobaciones del importador antes de introducir Ciber parcial

Antes de introducir un producto en el mercado, el importador se asegura de que cumple el requisito general de seguridad y de que el fabricante cumplió sus obligaciones de análisis de riesgos y documentación técnica, de identificación del producto y de identificación propia. Si considera o tiene motivos para pensar que no es conforme, no lo introduce hasta que lo sea, y si el producto es peligroso informa inmediatamente al fabricante y se asegura de que las autoridades sean informadas por el portal Safety Business Gateway. Mientras el producto esté bajo su responsabilidad, se asegura de que las condiciones de almacenamiento o transporte no comprometan su conformidad. Y mantiene copia de la documentación técnica a disposición de las autoridades durante diez años desde la introducción en el mercado.

Art. 11.1, 11.2, 11.5 y 11.6

Comprobaciones fácticas del distribuidor Ciber parcial

Antes de comercializar, el distribuidor comprueba que el fabricante y, en su caso, el importador cumplieron los requisitos de identificación del producto, de identificación propia y de instrucciones e información de seguridad. Mientras el producto esté bajo su responsabilidad, se asegura de que las condiciones de almacenamiento o transporte no comprometan su conformidad. Si considera o tiene motivos para pensar que el producto no es conforme, no lo comercializa. Y si considera o tiene motivos para pensar que un producto que ya comercializó es peligroso, informa inmediatamente al fabricante o al importador, se asegura de que se adopten las medidas correctivas, incluidas retirada o recuperación, y de que las autoridades de los Estados afectados sean informadas inmediatamente por el portal Safety Business Gateway.

Art. 12

Convertirse en fabricante por marca o por modificación sustancial Ciber parcial

Quien introduce un producto en el mercado con su nombre o su marca se considera fabricante y queda sujeto a las obligaciones del artículo 9. Y quien, sin ser el fabricante, modifica sustancialmente el producto también, en lo que respecta a la parte afectada por la modificación o a la totalidad del producto si la modificación sustancial afecta a su seguridad. La modificación, hecha por medios físicos o digitales, es sustancial cuando afecta a la seguridad del producto y se cumplen tres criterios a la vez: que altere el producto de una manera no contemplada en la evaluación inicial del riesgo; que la naturaleza del peligro haya cambiado, se haya generado un peligro nuevo o haya aumentado el nivel de riesgo; y que la modificación no la hayan hecho los propios consumidores o alguien en su nombre para su propio uso.

Literal de la norma Se considerará que la modificación de un producto por medios físicos o digitales es sustancial cuando afecte a la seguridad del producto y se cumplan los criterios siguientes: […]

Art. 13

Procesos internos de seguridad de los productos Ciber parcial

Los operadores económicos se aseguran de que disponen de procesos internos relativos a la seguridad de los productos gracias a los cuales puedan cumplir los requisitos pertinentes del Reglamento. La norma no dice cuáles ni exige documentarlos de una forma concreta. Los prestadores de mercados en línea tienen la misma obligación, redactada además para que esos procesos permitan cumplir sin dilación indebida.

Literal de la norma Los operadores económicos se asegurarán de que disponen de procesos internos relativos a la seguridad de los productos gracias a los cuales puedan cumplir los requisitos pertinentes del presente Reglamento.

Art. 14 · art. 22.3

Cooperar con la autoridad y saber de quién viene cada componente Ciber parcial

Los operadores económicos cooperan con las autoridades de vigilancia del mercado en las medidas que puedan eliminar o reducir los riesgos de los productos que comercializan. A petición de la autoridad entregan toda la información necesaria, en particular una descripción completa del riesgo, las reclamaciones al respecto y los accidentes conocidos, y una descripción de las medidas correctivas adoptadas; eso durante diez años desde que se les suministró el producto o desde que lo suministraron. Y previa solicitud identifican y comunican la trazabilidad: todo operador económico que les haya suministrado el producto, o una parte, un componente o cualquier programa informático integrado en él, y todo operador al que ellos se lo hayan suministrado; eso durante seis años. Los dos relojes son distintos y conviene no confundirlos.

Literal de la norma todo operador económico que les haya suministrado el producto, o una parte, un componente o cualquier programa informático integrado en el producto […]

Art. 15

Nadie vende sin un responsable establecido en la Unión Ciber parcial

Un producto sujeto a este Reglamento no puede introducirse en el mercado si no hay un operador económico establecido en la Unión responsable de las tareas del artículo 4, apartado 3, del Reglamento (UE) 2019/1020 respecto de ese producto. Además de esas tareas, y cuando se considere adecuado con respecto a los posibles riesgos, ese operador comprueba periódicamente que el producto cumple con su documentación técnica y que lleva la identificación y la información exigidas, y aporta a las autoridades pruebas documentadas de las comprobaciones realizadas cuando se lo pidan. Sus datos de contacto figuran en el producto, en su envase, en el paquete o en un documento de acompañamiento.

Art. 16 · Reglamento (UE) 2019/1020, art. 4

Qué tiene que decir la oferta en línea

Cuando el operador económico comercializa productos en línea o por otros medios de venta a distancia, la oferta indica de forma clara y visible al menos cuatro cosas: el nombre, nombre comercial registrado o marca del fabricante y su dirección postal y electrónica de contacto; si el fabricante no está establecido en la Unión, el nombre y las direcciones de la persona responsable; la información que permita identificar el producto, incluidos una imagen, el modelo y cualquier otro identificador; y cualquier advertencia o información de seguridad que deba ir en el producto, en su envase o en un documento de acompañamiento, en un lenguaje fácilmente comprensible para los consumidores del Estado donde se comercialice.

Art. 19

Notificar los accidentes por el Safety Business Gateway Ciber parcial

El fabricante se asegura de que los accidentes causados por un producto introducido en el mercado o comercializado se notifiquen por el portal Safety Business Gateway a las autoridades competentes del Estado donde se produjo el accidente, sin dilación indebida desde que tiene conocimiento de él. La notificación incluye el modelo y el número de identificación del producto y las circunstancias del accidente, si se conocen. Lo notificable son los incidentes relacionados con el uso de un producto que provoquen la muerte de una persona o efectos adversos graves para su salud y seguridad, permanentes o temporales, incluidas lesiones, otros daños corporales, enfermedades y efectos crónicos para la salud. Importadores y distribuidores que tengan conocimiento de un accidente informan al fabricante sin dilación indebida, y es el fabricante quien notifica o quien les da instrucciones para que lo hagan ellos. Si el fabricante no está establecido en la Unión, se asegura de que la notificación se haga la persona responsable.

Art. 20

Puntos de contacto y registro en el portal Safety Gate

El prestador de un mercado en línea designa un punto único de contacto para la comunicación directa por medios electrónicos con las autoridades de vigilancia del mercado en materia de seguridad de los productos, y otro punto único de contacto para que los consumidores se comuniquen directa y rápidamente con él sobre problemas de seguridad. Se registra en el portal Safety Gate e indica allí la información de su punto de contacto único. A efectos de la obligación de trazabilidad de los comerciantes del Reglamento de Servicios Digitales, utiliza al menos el portal Safety Gate.

Art. 22.1, 22.2 y 22.7

Atender la orden de retirada en dos días hábiles

Los Estados otorgan a sus autoridades de vigilancia del mercado el poder de dictar órdenes que exijan al prestador de un mercado en línea retirar de su interfaz los contenidos relativos a la oferta de un producto peligroso, impedir el acceso a ellos o mostrar una advertencia expresa. El prestador adopta las medidas necesarias para recibir y gestionar esas órdenes, actúa sin dilación indebida y como muy tarde en dos días hábiles desde la recepción, e informa del curso dado a la autoridad que la dictó. La orden puede alcanzar a todos los contenidos idénticos referidos a esa oferta, siempre que la búsqueda se limite a la información indicada en la orden, no exija una evaluación independiente y pueda hacerse de forma proporcionada con herramientas automatizadas fiables. Además, gestiona en tres días laborables las notificaciones sobre seguridad de los productos que reciba conforme al Reglamento de Servicios Digitales, y tiene en cuenta la información periódica sobre productos peligrosos recibida por el portal Safety Gate para aplicar medidas voluntarias de detección y retirada.

Art. 22.4, 22.5, 22.6 y 22.8

Diseñar la interfaz para que el comerciante informe, y suspender al reincidente

El prestador diseña y organiza su interfaz de manera que los comerciantes puedan proporcionar, sobre cada producto ofrecido, la identificación del fabricante y su dirección de contacto, la de la persona responsable si el fabricante no está en la Unión, la información que permita identificar el producto con imagen y modelo, y las advertencias o información de seguridad exigidas; y garantiza que se muestre o se acceda con facilidad en la página del producto. Sus procesos internos incluyen mecanismos para que los comerciantes aporten esa información y su autocertificación de que solo ofrecerán productos conformes. Y suspende, durante un período razonable y tras advertencia previa, la prestación de sus servicios a los comerciantes que ofrezcan con frecuencia productos no conformes.

Art. 22.9, 22.10 y 22.11

Cooperar en recuperaciones, accidentes y rastreo de la cadena Ciber parcial

El prestador coopera con las autoridades, los comerciantes y los operadores económicos para eliminar o reducir los riesgos de los productos ofrecidos en su plataforma. En particular: notifica directamente a los consumidores afectados que compraron por su interfaz cuando hay una recuperación o una advertencia de seguridad de la que tenga conocimiento efectivo, y publica esa información en sus interfaces; informa al operador económico de la decisión de retirar los contenidos; coopera para que la recuperación sea efectiva, absteniéndose de ponerle obstáculos; informa inmediatamente por el portal Safety Business Gateway a las autoridades de los Estados afectados sobre los productos peligrosos ofrecidos en sus interfaces de los que tenga conocimiento efectivo; notifica sin dilación indebida por ese mismo portal los accidentes con riesgo grave o daño real que se le comuniquen, informando también al fabricante; intercambia información de forma periódica y estructurada con las autoridades de la Unión y nacionales, incluida la Oficina Europea de Lucha contra el Fraude; permite el acceso a sus interfaces de las herramientas en línea que usan las autoridades para detectar productos peligrosos; coopera en la determinación de la cadena de suministro de los productos peligrosos; y, cuando haya puesto obstáculos técnicos a la extracción de datos de sus interfaces, permite esa extracción a petición motivada de las autoridades y solo en lo pertinente para la seguridad de los productos.

Art. 22.12

Avisar al consumidor, y cómo tiene que ser ese aviso Ciber parcial

En caso de recuperación por motivos de seguridad, o cuando haya que poner en conocimiento de los consumidores información para que el producto se use de forma segura, los operadores económicos y los prestadores de mercados en línea garantizan que todos los consumidores afectados que puedan identificarse sean notificados directamente y sin dilación indebida, usando para ello los datos personales de clientes que ya tengan. Si tienen sistemas de registro de productos o programas de fidelización, ofrecen al consumidor la posibilidad de dar datos de contacto solo con fines de seguridad. Cuando no sea posible contactar con todos, publican el aviso en otros canales con la mayor difusión posible. Y el aviso de recuperación tiene contenido tasado: título con las palabras «Recuperación de productos por motivos de seguridad», descripción clara del producto con imagen y números de identificación, descripción clara del peligro evitando cualquier elemento que reduzca la percepción del riesgo, como «de forma voluntaria», «por precaución», «de forma discrecional», «en situaciones raras» o «en situaciones específicas», o indicar que no se ha notificado ningún accidente, instrucción de dejar de utilizar el producto inmediatamente, descripción de las soluciones disponibles, un número de teléfono gratuito o servicio interactivo en línea, y la petición de compartir la información.

Art. 35 · art. 36

Reparar, sustituir o reembolsar, gratis y a elección Ciber parcial

En una recuperación por motivos de seguridad, iniciada por el operador o impuesta por la autoridad, el operador responsable ofrece al consumidor una solución eficaz, gratuita y oportuna, y le da a elegir entre al menos dos de estas tres: reparación del producto, sustitución por otro seguro del mismo tipo y al menos igual valor y calidad, o reembolso adecuado del valor, por importe no inferior al precio pagado. Puede ofrecer una sola cuando las demás no sean posibles o acarreen costes desproporcionados. El consumidor siempre tiene derecho al reembolso si la reparación o la sustitución no se hacen en un plazo razonable. La reparación por el propio consumidor solo cuenta como solución eficaz si puede hacerla con facilidad y seguridad y estaba prevista en el aviso, y en tal caso se le entregan gratis las instrucciones y las piezas de recambio o las actualizaciones de los programas informáticos. La solución no puede acarrear inconvenientes significativos: el consumidor no asume costes de envío ni de devolución, y si el producto no es portátil el operador se encarga de recogerlo.

Literal de la norma En tales casos, el operador económico responsable de la recuperación dará a los consumidores las instrucciones necesarias y le proporcionará sin coste alguno las piezas de recambio o las actualizaciones de los programas informáticos.

Art. 37

Qué puede hacer la autoridad sobre un producto de consumo Ciber parcial

Esta norma no crea facultades nuevas: declara aplicables a estos productos buena parte de las del Reglamento (UE) 2019/1020, entre ellas las de investigación y las de adopción de medidas, y sustituye sus remisiones para que apunten aquí. Sobre esa base, cuando se detecta un producto peligroso la autoridad puede pedir al fabricante información sobre otros productos afectados por el mismo riesgo por compartir procedimiento, componentes o lote de producción. Notifica por el Sistema de Alerta Rápida Safety Gate las medidas correctivas adoptadas sobre productos con riesgo grave, sin dilación y en cualquier caso en cuatro días hábiles desde su adopción. El producto considerado peligroso por un Estado se presume peligroso para los demás, y las discrepancias sobre la evaluación del riesgo se resuelven por dictamen de la Comisión. Y las autoridades realizan barridos coordinados, en los que pueden comprar productos en línea o fuera de línea bajo identidad encubierta.

Art. 23 · art. 26 · art. 29 · art. 31 · art. 32

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 6.1 · art. 9.2 y 9.3 · art. 13.3 · categorización del curador, no de la norma

Seguridad del producto por diseño y por defecto Compartida

La seguridad dentro del producto que se comercializa, no solo alrededor de los sistemas que se operan: se decide en el diseño y se comprueba antes de la comercialización, cuando el coste de cambio es menor.

Art. 5 · art. 6.1.g) · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 11.1, 11.2 y 11.6 · art. 12.1 y 12.3 · art. 15.3, 15.4 y 15.5 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 9.8 y 9.9 · art. 11.8 · art. 12.4 · art. 20 · art. 22.12 · art. 27 · art. 35 · art. 36 · categorización del curador, no de la norma

Fabricante

Quien fabrica el producto, o manda diseñarlo o fabricarlo, y lo comercializa con su nombre o su marca. Es el destinatario principal: responde de que el producto sea seguro, hace el análisis de riesgos, redacta y mantiene la documentación técnica, notifica los productos peligrosos y los accidentes, y encabeza las recuperaciones. Se llega también a esta figura por asimilación, poniendo el propio nombre a un producto ajeno o modificándolo de forma sustancial.

Literal de la norma toda persona física o jurídica que fabrica un producto o que manda diseñar o fabricar un producto y lo comercializa con su nombre o su marca

Art. 3.8) · art. 9 · art. 13

Representante autorizado

Quien, establecido en la Unión, ha recibido del fabricante un mandato escrito para actuar en su nombre en tareas específicas. El mandato tiene un contenido mínimo tasado: entregar a la autoridad la documentación que acredite la seguridad del producto, avisar al fabricante cuando el producto le parezca peligroso, notificar por el portal Safety Business Gateway las medidas adoptadas y cooperar con las autoridades.

Literal de la norma toda persona física o jurídica establecida en la Unión que ha recibido un mandato escrito de un fabricante para actuar en su nombre en relación con tareas específicas relativas a las obligaciones del fabricante en virtud del presente Reglamento

Art. 3.9) · art. 10

Importador

Quien, establecido en la Unión, introduce en el mercado un producto procedente de un tercer país. Antes de introducirlo comprueba que es seguro y que el fabricante hizo su parte, y no lo introduce si tiene motivos para pensar que no lo es. Conserva copia de la documentación técnica diez años y asume deberes propios de aviso, investigación de reclamaciones y medidas correctivas.

Literal de la norma toda persona física o jurídica establecida en la Unión que introduce un producto de un tercer país en el mercado de la Unión

Art. 3.10) · art. 11

Distribuidor

Quien está en la cadena de suministro, no es el fabricante ni el importador, y comercializa el producto. Lo que se le exige son comprobaciones fácticas, no una evaluación de seguridad: que el producto lleve su identificación, las instrucciones y la información de seguridad. En cuanto pone su nombre al producto o lo modifica sustancialmente pasa a ser fabricante.

Literal de la norma toda persona física o jurídica de la cadena de suministro, distinta del fabricante o el importador, que comercializa un producto

Art. 3.11) · art. 12 · art. 13

Prestador de servicios logísticos

Quien ofrece al menos dos de estos servicios sin ser propietario del producto: almacenar, embalar, dirigir y despachar. Quedan fuera los servicios postales, de paquetería y de transporte de mercancías. No tiene artículo propio de obligaciones, y ese es el detalle que se pierde con facilidad: entra como operador económico, y por esa puerta le alcanzan el requisito general de seguridad, los procesos internos, la cooperación y la trazabilidad, y los deberes de información en las recuperaciones.

Literal de la norma toda persona física o jurídica que ofrezca, en el curso de su actividad comercial, al menos dos de los siguientes servicios: almacenar, embalar, dirigir y despachar, sin tener la propiedad de los productos en cuestión y excluidos los servicios postales […]

Art. 3.12) · art. 3.13) · arts. 5, 14, 15 y 35

Persona responsable en la Unión

El operador económico establecido en la Unión sin el cual un producto no puede introducirse en el mercado. Es la figura que impide que un fabricante de fuera venda aquí sin nadie a quien reclamar: asume las tareas del artículo 4, apartado 3, del Reglamento (UE) 2019/1020 y, cuando los riesgos del producto lo justifiquen, comprueba periódicamente que el producto se corresponde con su documentación técnica y lleva la identificación exigida. Sus datos van en el producto o en su envase.

Art. 16 · Reglamento (UE) 2019/1020, art. 4

Prestador de un mercado en línea

Quien presta un servicio de intermediación con una interfaz en línea que permite a los consumidores celebrar contratos a distancia con comerciantes para la venta de productos. No es operador económico por serlo, pero tiene capítulo propio de obligaciones y es el único sujeto de esta norma con plazos de reacción medidos en días: dos días hábiles para atender una orden de retirada de contenidos y tres para gestionar una notificación. Si además distribuye o vende producto propio, se le suman las obligaciones del operador económico que corresponda.

Literal de la norma un prestador de un servicio de intermediación que utiliza una interfaz en línea que permite a los consumidores celebrar contratos a distancia con comerciantes para la venta de productos

Art. 3.14) · art. 22

Autoridad de vigilancia del mercado

La autoridad que cada Estado designa conforme al artículo 10 del Reglamento (UE) 2019/1020 para organizar y efectuar la vigilancia del mercado en su territorio. Aquí ejerce las facultades del Reglamento (UE) 2019/1020 que esta norma declara aplicables, dicta órdenes de retirada de contenidos a los mercados en línea, notifica por el Sistema de Alerta Rápida Safety Gate en cuatro días hábiles y participa en los barridos coordinados.

Literal de la norma una autoridad designada por un Estado miembro, de conformidad con el artículo 10 del Reglamento (UE) 2019/1020, como responsable de organizar y efectuar la vigilancia del mercado en el territorio de ese Estado miembro

Art. 3.24) · art. 22.4 · art. 23 · art. 26 · art. 32