EU Notified Body Involvement Requirements : Guide Pratique Pour Ingénieurs

Un organisme notifié n'intervient pas par défaut dans le marquage CE. Les EU notified body involvement requirements dépendent du texte sectoriel, de la classe de risque et du module d'évaluation choisi. Pour un ingénieur, la difficulté n'est pas de cocher une case, mais de relier classification, annexe et preuves. CE guide pratique synthétise les cas où l'intervention d'un organisme notifié est obligatoire, la base juridique et les points de contrôle.

Quand l'intervention d'un organisme notifié est-elle obligatoire ?

Le principe est simple : l'auto-déclaration suffit seulement si le règlement ou la directive l'autorise. Dès qu'un texte impose une évaluation par tierce partie, les EU notified body involvement requirements s'appliquent. Pour les dispositifs médicaux, le Règlement (UE) 2017/745 (MDR) fixe le cadre à l'article 52. Les classes IIa, IIb et III passent par un organisme notifié, généralement via l'annexe IX (SMQ et dossier technique) ou l'annexe X (examen de type) complétée par l'annexe XI (assurance de la qualité de la production). Les dispositifs de classe I ne nécessitent pas d'organisme notifié, sauf s'ils sont stériles, ont une fonction de mesure ou sont des instruments chirurgicaux réutilisables : l'organisme notifié intervient alors pour les aspects concernés.

Exemple MDR : lire l'article 52 avec les annexes IX, X et XI

L'article 52 MDR renvoie aux annexes pour chaque classe. Un fabricant de classe IIb qui choisit l'annexe IX doit auditer son SMQ et faire évaluer un échantillon du dossier technique. S'il choisit l'annexe X, l'organisme notifié examine le type, puis le fabricant démontre la conformité de la production via l'annexe XI. Le choix du module change la charge de preuve, pas l'obligation d'intervention. Voir le guide de sélection des modules d'évaluation de la conformité.

IVDR, PPE, machines : des seuils différents

Pour les dispositifs médicaux de diagnostic in vitro, le Règlement (UE) 2017/746 (IVDR) impose l'organisme notifié à partir de la classe A stérile, puis pour les classes B, C et D. L'article 48 IVDR et les annexes IX, X et XI structurent l'évaluation. En PPE, le Règlement (UE) 2016/425 exige un organisme notifié pour les catégories II et III, avec examen UE de type et contrôle de la production. Pour les machines, le Règlement (UE) 2023/1230 prévoit des procédures d'évaluation de la conformité pour les machines de l'annexe I, notamment celles à risque élevé. La logique reste la même : le texte sectoriel détermine les exigences d'implication, pas le marquage CE en général.

Base juridique : désignation, notification et surveillance

Le Règlement (CE) n° 765/2008 encadre l'accréditation et la surveillance du marché. Ses articles 20 à 27 posent les exigences applicables aux organismes notifiés : compétence, impartialité, confidentialité, assurance responsabilité civile, sous-traitance et suivi. Dans le MDR, les articles 35 à 50 détaillent la désignation, la notification et la surveillance des organismes notifiés. L'article 42 MDR impose la notification via NANDO. Un organisme notifié ne peut pas évaluer un dispositif hors de son périmètre notifié. L'article 44 MDR prévoit la surveillance par l'autorité notifiante, y compris des audits inopinés.

Pour les ingénieurs, retenir : un certificat CE délivré par un organisme non notifié pour le code NANDO concerné est invalide. La vérification se fait dans NANDO, pas sur la plaquette commerciale.

Processus pratique : de la classification à la surveillance

1. Classifier le produit selon le règlement applicable. 2. Choisir le module d'évaluation : annexe IX, X ou XI pour le MDR/IVDR. 3. Sélectionner un organisme notifié dont le périmètre couvre la classe et le code. 4. Constituer le dossier technique et le SMQ. 5. Passer l'audit initial et l'évaluation technique. 6. Obtenir le certificat CE. 7. Maintenir la conformité : surveillance annuelle, audits inopinés, gestion des changements.

Le dossier technique doit démontrer la conformité aux exigences générales de sécurité et de performance. Pour un dispositif stérile, les essais de transport et d'emballage peuvent suivre ASTM D4169. Pour un composant mécanique non critique, une spécification ASTM A36 peut apparaître dans la chaîne de traçabilité. Le SMQ est souvent certifié ISO 9001, mais ISO 9001 ne remplace pas l'évaluation réglementaire. De même, ISO 14001 et ISO 45001 peuvent soutenir l'audit du site, sans dispenser des exigences MDR/IVDR. Voir le dossier technique CE : guide pratique.

Données, sous-traitance et GDPR

Les évaluations cliniques et les données de vigilance contiennent des données personnelles. Le GDPR s'applique dès qu'un fabricant ou un organisme notifié traite des données de patients, d'utilisateurs ou d'investigateurs. Les clauses de traitement doivent couvrir finalité, durée, sécurité, sous-traitants ultérieurs et transferts hors UE. Un accord de traitement des données est recommandé entre le fabricant et l'organisme notifié lorsque CE dernier accède à des données identifiantes. Pour les modèles de clauses, voir clauses DPA GDPR : bonnes pratiques et clauses DPA GDPR : guide pratique.

La sous-traitance d'activités d'évaluation est encadrée : l'organisme notifié reste responsable et doit informer l'autorité notifiante. L'article 48 MDR et l'article 38 IVDR posent des exigences de compétence et d'impartialité. Un sous-traitant ne peut pas contourner les EU notified body involvement requirements.

Erreurs fréquentes et points de contrôle

• Croire que tout marquage CE exige un organisme notifié. Faux : cela dépend du texte et de la classe.
• Choisir un organisme notifié sans vérifier le code NANDO. Le certificat peut être inutilisable.
• Confondre ISO 9001 et évaluation réglementaire. ISO 9001 est un outil, pas un passe-droit.
• Oublier les audits inopinés. L'article 44 MDR et les dispositions IVDR équivalentes les prévoient.
• Négliger la gestion des changements. Une modification substantielle peut exiger une nouvelle évaluation.
• Sous-estimer le GDPR dans les dossiers cliniques. Le traitement de données doit être documenté.

Checklist finale : classification documentée, module justifié, organisme notifié dans le périmètre, contrat et DPA à jour, dossier technique versionné, plan de surveillance, procédure de vigilance. Ces points transforment ces exigences en processus maîtrisé, pas en formalité tardive.