Законът за данните е обяснен

Глава II: Обмен на данни между предприятия и потребители в контекста на пазара на интернет на нещата

Защо?

Основна цел на Закона за данните е да се създаде справедливост в икономиката, основана на данни, и да се даде възможност на потребителите да извличат стойност от данните, които генерират, като използват свързаните продукти, които притежават, наемат или отдават под наем.

Законът за данните дава възможност на потребителите на свързани продукти (напр. свързани автомобили, медицински и фитнес устройства, промишлени или селскостопански машини) и свързаните с тях услуги (т.е. всичко, което би накарало свързания продукт да се държи по специфичен начин, като например приложение за регулиране на яркостта на светлините или за регулиране на температурата на хладилника) да получат достъп до данните, които те съвместно създават чрез използване на свързани продукти/свързани услуги.

Наличието на такива данни ще окаже значително въздействие върху икономиката. Например данните, генерирани от свързани продукти и свързани услуги, могат да се използват за стимулиране на следпродажбените и спомагателните услуги, както и за създаване на изцяло нови услуги, които са от полза както за предприятията, така и за потребителите. 

Видове данни в обхвата

Глава II от Закона за данните относно обмена на данни между стопански субекти и потребители се прилага за всички необработени и предварително обработени данни, генерирани от използването на свързан продукт или свързана услуга, която е леснодостъпна за държателя на данни (напр. производител на свързан продукт/доставчик на свързана услуга), с други думи данни, които могат да бъдат лесно достъпни без несъразмерно големи усилия, излизащи извън рамките на проста операция. Това се отнася както за личните, така и за неличните данни, включително съответните метаданни.

Тези данни включват данни, събрани от един датчик или от свързана група датчици, като температура, налягане, дебит, аудио, pH стойност, ниво на течността, положение, ускорение или скорост.

Изведените или извлечените данни и съдържание (напр. силно обогатени данни, аудио-визуални материали) са извън обхвата. Освен това Законът за данните не засяга законите за защита на правата върху интелектуалната собственост.

На практика

Глава II от Закона за данните позволява на потребителите (т.е. всяко юридическо или физическо лице, което притежава, наема или отдава под наем свързан продукт) да имат достъп до данните, които генерират чрез използването на свързания продукт или свързаната с него услуга. Ако потребителят желае да сподели тези данни с друг субект или физическо лице („трета страна“), той може да направи това пряко или да поиска от държателя на данни да ги сподели с трета страна по свой избор (с изключение на пазачите на информационния вход съгласно законодателния акт за цифровите пазари). Държачът за данни обикновено е дружеството, което произвежда свързания продукт или предоставя свързана услуга. Държателят на данни трябва да има договор с потребителя (напр. договор за продажба, договор за наем, свързан договор за услуги и т.н.), в който се определят правата по отношение на достъпа, използването и споделянето на данните, генерирани от свързания продукт или свързаната с него услуга. Важно е да се отбележи, че държателят на данни не може да използва никакви нелични данни, генерирани от продукта, без съгласието на потребителя.

Като пример и като се има предвид, че съответният договор определя точните роли:

• Дружество управлява булдозер: държачът на данните обикновено е производителят на булдозер, а потребителят ще бъде компанията, която управлява булдозера.  

• Ако някой закупи свързан хладилник и изтегли приложение, което му помага да регулира оптималната температура за съдържанието на хладилника, потенциално ще има два държателя за данни, а именно субектът, който пуска хладилника на пазара, и субектът, предлагащ свързаната с него услуга (приложението), и само един потребител (собственика на хладилника).

Законът за данните включва няколко механизма, за да улесни ползвателите да се възползват от тези разпоредби: държателите на данни трябва да предоставят на потребителя информация за вида на данните, които ще генерират при използване на свързания продукт или свързаната с него услуга (включително обема, честотата на събиране и т.н.); потребителите следва да могат да поискат достъп до данните чрез прост процес, и държателите на данни трябва да предоставят данните безплатно на потребителите.

Ограничения при използването на данните

За да не се възпират предприятията да инвестират в продукти за генериране на данни, получените данни не могат да се използват за разработване на конкурентен свързан продукт. Законът за данните не забранява конкуренцията при свързани или следпродажбени услуги. Освен това съгласно Закона за данните не съществува задължение за държателя на данни да споделя данни с трети страни, установени извън ЕС.

Законът за данните е в пълно съответствие с правилата за защита на данните, по-специално ОРЗД. Когато потребителят не е субектът на данни, чиито данни се изискват, личните данни могат да бъдат предоставени само ако има валидно правно основание (напр. съгласие). Това е важно съображение, тъй като съвместно генерираните данни често съдържат както лични, така и нелични данни, които може да се окажат трудни за разделяне.  

Тя стимулира разработването на свързани продукти и услуги въз основа на нови потоци от данни, което е от особено значение за по-малките дружества. Освен това микропредприятията и малките предприятия, в качеството си на производители или доставчици на свързани услуги, не подлежат на същите задължения като по-големите дружества.

За да се защитят търговските тайни, без да се подкопава целта на Закона за данните за предоставяне на повече данни, държателят на данните и ползвателят/третата страна могат да се споразумеят за определени мерки за запазване на поверителността на търговските тайни. Когато тези мерки не се спазват, държателят на данни може да откаже или да спре обмена на данни. Държателят на данни може да откаже да споделя данни само когато може да докаже, че има голяма вероятност да понесе сериозни икономически щети от разкриването на търговски тайни.

Държателят на данни и ползвателят могат да се споразумеят да ограничат обмена на данни, ако съществува риск изискванията за сигурност на свързания продукт да бъдат нарушени, което да доведе до сериозни неблагоприятни последици за здравето, безопасността или сигурността на хората. Тези изисквания трябва да бъдат установени в правото на ЕС или в националното право.

Ако държателят на данни спре, задържи или откаже да сподели данни въз основа на защитата на търговските тайни или изискванията за сигурност, той трябва да уведоми националния компетентен орган. Ползвателите могат да оспорят такова решение пред компетентния съд или правораздавателен орган на държава членка чрез жалба до компетентния орган или по споразумение с държателя на данни пред орган за уреждане на спорове.

Глава III: Правила относно задължителния обмен на данни между предприятия

Защо?

Със Закона за данните се въвеждат правила за ситуации, при които дадено предприятие („държател на данни„) има правно задължение съгласно правото на ЕС или националното право да предоставя данни на друго предприятие („получател на данни“), включително в контекста на данните от интернет на нещата. По-специално редът и условията за обмен на данни трябва да бъдат справедливи, разумни и недискриминационни.

Като стимул за споделяне на данни държателите на данни, които са задължени да споделят данни, могат да поискат „разумна компенсация“ от получателя на данните.

Видове данни в обхвата

Глава III от Закона за данните се прилага за всички данни (както лични, така и нелични), притежавани от предприятие, включително ситуациите, обхванати от глава II от Закона за данните.

На практика

Държателите на данни могат да поискат разумна компенсация за предоставянето на данните на получателя на данните. Това може да включва разходи, направени за предоставяне на данните, както и технически разходи, свързани с разпространението и съхранението. Микропредприятията, МСП и научноизследователските организации с нестопанска цел обаче не могат да бъдат таксувани повече от разходите, направени за предоставянето на данните.

За да се защитят държателите на данни, Законът за данните включва неизчерпателен списък с мерки за справяне със ситуации, при които трета страна или ползвател е осъществила незаконен достъп до или е използвала данни. Например държателят на данни може да изиска от страната, извършила нарушението, да спре производството на въпросния продукт или да унищожи данните, които е придобил незаконно, или да поиска обезщетение.

Задълженията за обмен на данни, които предхождат Закона за данните, остават незасегнати. Задълженията в бъдещото (секторно) законодателство следва да бъдат приведени в съответствие с разпоредбите на глава III от Закона за данните.

Глава IV: Неравноправни договорни клаузи

Защо?

Свободата на договаряне е от основно значение за отношенията между предприятията. Въпреки това Законодателният акт за данните има за цел да защити всички европейски предприятия, които се стремят да придобият данни, и по-специално МСП, от несправедливи договорни условия чрез своите мерки за намеса в ситуации, в които например едно от предприятията е в по-силна позиция при договаряне (например поради размера на пазара) и налага неподлежаща на договаряне клауза („вземане или напускане“), свързана с достъпа и използването на данни, от друга страна.

Видове данни в обхвата

Тези правила обхващат всички лични и нелични данни, притежавани от частноправен субект, до който има достъп и се използва въз основа на договор между предприятия.

На практика

Едностранно наложени клаузи „вземане или напускане“ могат, когато се отнасят до предоставяне на данни, да бъдат подложени на проверка за неравноправност.

Законът за данните установява неизчерпателен списък на клаузите, които винаги се считат за неравноправни (напр. които биха изключили или ограничили отговорността на страната, която едностранно е наложила клаузата за умишлени действия или груба небрежност), и на клаузите, за които се предполага, че са неравноправни (напр. които биха ограничили по неподходящ начин средствата за правна защита в случай на неизпълнение на договорни задължения или отговорност в случай на нарушение на тези задължения, или разширяване на отговорността на предприятието, на което е била едностранно наложена клаузата). Ако дадена клауза се счита за неравноправна, тя вече не е валидна — когато е възможно, тя просто се отделя от контакта. Ако се предполага, че тя е неравноправна, субектът, който я е наложил, може да се опита да докаже, че клаузата не е неравноправна.

Глава V: Обмен на данни между предприятия и правителства

Защо?

Данните, притежавани от частни субекти, могат да бъдат от съществено значение, за да може даден орган от публичния сектор да изпълнява задача от обществен интерес. Глава V от Закона за данните позволява на органите от обществения сектор да имат достъп до такива данни при определени условия, когато е налице извънредна необходимост. Последното се отнася до ситуация, която е непредвидима и ограничена във времето, при която данните, съхранявани от частноправен субект, са необходими за изпълнението на задачата от обществен интерес, по-специално за подобряване на вземането на решения въз основа на доказателства. Извънредните ситуации включват както извънредни ситуации (като големи природни или причинени от човека бедствия, пандемии и инциденти, свързани с киберсигурността), така и извънредни ситуации (например обобщени и анонимизирани данни от GPS системите на водачите биха могли да се използват за оптимизиране на потоците на движение).

Законът за данните ще гарантира, че публичните органи имат достъп до тези данни по навременен и надежден начин, без да се налага ненужна административна тежест за предприятията.

Видове данни в обхвата

Съгласно глава V всички данни са в обхвата, с акцент върху неличните данни.

В глава V от Закона за данните относно обмена на данни между предприятия и правителства се прави разграничение между два сценария:

• За да се реагира на извънредна обществена ситуация, орган от обществения сектор следва да изисква нелични данни. Ако обаче това не е достатъчно, за да се отговори на ситуацията, могат да бъдат поискани лични данни. Когато е възможно, тези данни следва да бъдат анонимизирани от държателя на данните.    

• В ситуации, които не са спешни, органите от обществения сектор могат да изискват само нелични данни.

Основни заинтересовани страни

Субектите, които имат право да изискват данни, включват органите от обществения сектор на държавите членки, както и някои институции, органи и агенции на ЕС. Тези субекти могат също така да споделят данните с организации, извършващи научноизследователска дейност, и организации за финансиране при определени условия.

В контекста на исканията между стопански субекти и правителства държателите на данни обикновено са частни субекти, но могат да включват и публични предприятия.

На практика

При определени условия орган от обществения сектор може да задължи държателя на данни да предостави на разположение определени данни без ненужно забавяне, за да реагира на извънредна обществена ситуация. Законът за данните определя публична извънредна ситуация; но неговото съществуване се определя в съответствие с националните или европейските процедури или закони.

За извънредни нужди, които не са свързани с извънредна обществена ситуация, орган от обществения сектор може да поиска нелични данни за изпълнение на конкретна задача, която е в обществен интерес и която е предвидена от закона, ако органът от обществения сектор може да докаже, че не е имал достъп до данните чрез други средства.

И в двата случая (спешни и неспешни) исканията трябва да спазват редица строги принципи и условия. Например исканията трябва да бъдат конкретни, прозрачни и пропорционални, търговските тайни трябва да бъдат защитени, а данните трябва да бъдат заличени, след като вече не са необходими.

Таблицата по-долу обобщава какво предприятията могат да поискат за предоставяне на данни на орган от обществения сектор в този контекст.

Компенсация за предоставяне на данни съгласно глава V от Закона за данните

За да се сведе до минимум тежестта върху предприятията, едни и същи данни не могат да бъдат изисквани повече от веднъж („принцип на еднократност“) от повече от един орган от обществения сектор. Поради тази причина всички искания трябва да бъдат публично достъпни от координатора на данните (освен ако няма опасения за сигурността).

Глава VI: Превключване между услуги за обработка на данни

Защо?

За да се гарантира конкурентен пазар в ЕС, клиентите на услуги за обработка на данни (включително услуги в облак и периферни услуги) следва да могат да преминават безпроблемно от един доставчик към друг. Клиентите обаче понастоящем са изправени пред редица пречки пред това, включително високите такси, свързани например с изтичането на данни, продължителните процедури и липсата на оперативна съвместимост между доставчиците, което може да доведе до загуба на данни и приложения.

Законът за данните ще направи превключването безплатно, бързо и плавно. Това ще бъде от полза за клиентите, които могат свободно да избират услугите, които най-добре отговарят на техните нужди, както и за доставчиците, които ще се възползват от по-голям брой клиенти.

Обхват

Глава VI от Закона за данните се прилага за доставчиците на услуги по обработване на данни (т.е. цифрови услуги, позволяващи повсеместен достъп до мрежата по заявка, като мрежи, сървъри или друга виртуална или физическа инфраструктура и софтуер). Данните, които са от ключово значение за смяната на доставчика, включват входящи и изходящи данни, включително метаданни, генерирани от използването на услугата от страна на клиента, с изключение на данни, защитени с права върху интелектуална собственост или представляващи търговска тайна на доставчика на услуги.  

На практика

За да се преодолее дисбалансът на властта между доставчиците и клиентите на пазара на облачни услуги, Законът за данните определя минимални изисквания за съдържанието на облачните договори. По-специално клиентите от частния и публичния сектор ще се възползват от много по-голяма прозрачност на договорите.

Законът за данните включва мерки, за да се гарантира, че клиентите могат бързо и безпроблемно да преминат от един доставчик на услуги за обработка на данни („доставчик на услуги на източника„) към друг доставчик („дестинация“) и без да губят никакви данни или функционалността на приложенията. Например доставчиците на Платформа и Софтуер като услуга трябва да предоставят отворени интерфейси и като минимум да експортират данни в широко използван и машинночетим формат. Доставчиците на инфраструктура като услуга трябва да предприемат мерки, за да улеснят, че когато клиентът премине към услуга от същия вид, клиентът получава съществено сравними резултати в отговор на един и същ вход за характеристики, които споделят и двете услуги („функционална еквивалентност“). Като пример за такава мярка може да се наложи доставчикът на източник да използва инструменти за прехвърляне на изчислителните натоварвания от една технология за виртуализация към друга. 

От всички доставчици се изисква да премахнат пречките, пред които техните клиенти могат да се сблъскат, когато искат да преминат към друг доставчик или да използват няколко услуги едновременно.

Законът за данните също така ще премахне изцяло таксите за смяна на доставчика, включително таксите за изтичане на данни (т.е. такси за транзит на данни), считано от 12 януари 2027 г. Това означава, че доставчиците няма да могат да таксуват клиентите си за операциите, които са необходими за улесняване на смяната на доставчика или за изтичане на данни. Въпреки това, като преходна мярка през първите 3 години след влизането в сила на Закона за данните (от 11 януари 2024 г. до 12 януари 2027 г.), доставчиците все още могат да таксуват клиентите си за разходите, направени във връзка с прехвърлянето и изтичането на данни.

Глава VII: Незаконен достъп на правителството на трети държави

Защо?

Понякога решение или съдебно решение, издадено от държава извън ЕС („трета държава“), има за цел да позволи на правителството достъп до и предаване на нелични данни, обработвани и съхранявани в рамките на ЕС. В някои случаи обаче предоставянето на достъп или предаване на такива данни може действително да е незаконно, по-специално когато искането е в противоречие със законодателството на ЕС и гарантира защитата на основните права на физическите лица, интересите на националната сигурност или чувствителните търговски данни.

Законът за данните следва Закона за управление на данните по отношение на разпоредбите, насочени към предотвратяване на незаконния достъп на правителството на трети държави и предаването на нелични данни, съхранявани в ЕС. Тези разпоредби не оказват въздействие върху редовния обмен на данни между предприятия. Те повишават прозрачността и правната сигурност по отношение на процеса и условията, при които неличните данни могат да бъдат достъпни или прехвърлени на държавни органи извън ЕС.

Видове данни в обхвата

Всички нелични данни, съхранявани в ЕС от доставчик на услуга за обработка на данни.

На практика

Законът за данните не забранява трансграничните потоци от данни, а гарантира, че защитата, предоставена на данните в ЕС, пътува с всички данни, предавани извън ЕС.

В този контекст Законодателният акт за данните установява правила и гаранции за исканията за достъп от страна на чуждестранен орган от публичния сектор до нелични данни, съхранявани в Съюза. Тези разпоредби не засягат легитимното международно сътрудничество във връзка с правоприлагането.

Ако няма международно споразумение, уреждащо достъпа на правителство на трета държава до нелични данни, намиращи се в рамките на ЕС, данните могат да бъдат предавани или достъпни само при определени условия. Тези условия се отнасят до някои гаранции за защита на европейските права, които трябва да бъдат изпълнени от правната система на третата държава, включително изискване за посочване на причините и за оценка на пропорционалността в решението. Доставчикът на услуги по обработване на данни, към който се отнася такова решение, може да се свърже със съответния национален орган, за да помогне да се прецени дали са изпълнени условията, определени в Закона за данните. За да помогне да се прецени дали тези условия са изпълнени, Европейската комисия ще разработи насоки заедно с Европейския комитет за иновации в областта на данните (експертна група, създадена съгласно Акта за управление на данните, за да се улесни обменът на най-добри практики и да се даде приоритет на стандартите за междусекторна оперативна съвместимост).

Доставчиците на услуги за обработка на данни следва да предприемат всички разумни мерки (напр. криптиране, одити, придържане към схеми за сертифициране), за да предотвратят достъпа до системите, в които съхраняват нелични данни. Тези мерки следва да бъдат публикувани на техните уебсайтове. Освен това, когато е възможно, те следва да информират своите клиенти, преди да дадат достъп до своите данни.

Глава VIII: Оперативна съвместимост

Защо?

Стандартите и оперативната съвместимост са от ключово значение, за да се гарантира, че данните от различни източници могат да се използват в рамките на общите европейски пространства на данни и между тях, за да се насърчат научните изследвания и да се разработят нови продукти или услуги. За тази цел Законодателният акт за данните установява някои съществени изисквания, на които трябва да отговарят участниците в пространствата за данни и които могат да бъдат допълнително уточнени от Европейската комисия чрез делегирани актове.

Тя също така има за цел да осигури оперативна съвместимост между услугите за обработка на данни; това е от съществено значение, за да могат клиентите да се възползват от по-лесната смяна.

Основни заинтересовани страни

Настоящата глава е насочена към участници в пространства за данни, които предлагат данни или услуги, основани на данни, на други участници и които улесняват или участват в обмена на данни в рамките на пространствата за данни.

В него също така се разглеждат доставчиците на интелигентни договори, както и доставчиците на услуги за обработка на данни.

На практика

Участниците в пространството за данни следва да отговарят на няколко съществени изисквания, за да се даде възможност на данните да се движат във и между пространствата на данни. Например описание на структурите на данните, форматите на данните и речниците, когато има такива, следва да бъде публично достъпно. Освен това следва да се осигурят средства за гарантиране на оперативната съвместимост на споразуменията за обмен на данни, като например интелигентните договори.

Законът за данните също така подготвя почвата за повишаване на оперативната съвместимост на услугите за обработка на данни чрез хармонизирани стандарти и отворени спецификации за оперативна съвместимост.

Освен това в него се определят изисквания за доставчиците на интелигентни договори за автоматизирано изпълнение на споразумения за обмен на данни, например за да се гарантира, че те правилно изпълняват разпоредбите на споразумението за обмен на данни и издържат на манипулиране от страна на трети страни.

Комисията ще направи оценка на пречките пред оперативната съвместимост и ще даде приоритет на нуждите от стандартизация, въз основа на които може да поиска от европейските организации по стандартизация да изготвят хармонизирани стандарти, които отговарят на горепосочените изисквания.

Ако искането не води до хармонизиран стандарт или ако стандартът е недостатъчен, за да се гарантира съответствие със Закона за данните, Комисията може да приеме общи спецификации като резервно решение. Те следва да бъдат разработени по открит и приобщаващ начин, като се има предвид обратната информация от Европейския комитет за иновации в областта на данните.

Глава IX: Прилагане и общи разпоредби

Държавите членки ще определят един или повече (нови или съществуващи) компетентни органи, които да гарантират ефективното прилагане на Закона за данните. Когато има няколко компетентни органа, държавите членки трябва да определят един от тях за „координатор на данните“. Координаторът на данните ще действа като „обслужване на едно гише“ по всички въпроси, свързани с прилагането на Закона за данните на национално равнище, като улеснява прилагането както за предприятията, така и за публичните органи. Например, ако дадено предприятие търси обезщетение за нарушение на правата си по Закона за данните, координаторът на данните следва (при поискване) да предостави цялата необходима информация, за да му помогне да подаде жалбата си до съответния компетентен орган. Координаторът на данните също така ще улесни сътрудничеството в трансгранични ситуации, като например когато компетентен орган от дадена държава членка не знае към кой орган да се обърне в държавата членка на координатора на данните.

Комисията ще поддържа публичен регистър на компетентните органи и координаторите на данни.

Европейският комитет за иновации в областта на данните ще улесни обсъжданията между компетентните органи, например за координиране и приемане на препоръки относно определянето на санкции за нарушения на Закона за данните. Санкциите се определят от компетентните органи и съгласно Закона за данните следва да има ефективни, пропорционални и възпиращи санкции.

Държавите членки могат, ако желаят, да създадат сертифицирани органи за уреждане на спорове, които да подпомагат страните, които не могат да се споразумеят за справедливи, разумни и недискриминационни условия за предоставяне на данни. Страните са свободни да се обръщат към всеки орган за уреждане на спорове — или в държавата членка, в която са установени, или в друга държава членка.

Сертифицираните механизми за уреждане на спорове и специализираните компетентни органи ще улеснят дружествата, особено малките предприятия, да упражняват правата си по Закона за данните, тъй като предлагат на засегнатите страни просто, бързо и евтино решение.