Kattava katsaus datalakiin, sen tavoitteisiin ja käytännön toimintaan.
Miksi datalaki?
Datasäädös on laki, jonka tarkoituksena on tehostaa EU:n datataloutta ja edistää kilpailukykyisiä datamarkkinoita tekemällä datasta (erityisesti teollisesta datasta) helpommin saatavilla ja käyttökelpoisempaa, edistämällä datavetoista innovointia ja lisäämällä datan saatavuutta. Tämän saavuttamiseksi datalailla varmistetaan oikeudenmukaisuus datan arvon jakamisessa datatalouden toimijoiden kesken. Siinä selvennetään, kuka voi käyttää mitä tietoja ja millä edellytyksillä.
Viime vuosina internetiin liitettyjen tuotteiden (”liitettyjen tuotteiden”) saatavuus Euroopan markkinoilla on kasvanut nopeasti. Nämä tuotteet, jotka yhdessä muodostavat Internet-of-Internet (IoT) -verkon, lisäävät merkittävästi uudelleenkäyttöä varten saatavilla olevan datan määrää EU:ssa. Tämä tarjoaa valtavat mahdollisuudet innovointiin ja kilpailukykyyn EU:ssa.
Datalaki antaa verkkoon liitettyjen tuotteiden käyttäjille (yritykset tai yksityishenkilöt, jotka omistavat, vuokraavat tai vuokraavat) suuremman hallinnan tuottamastaan datasta ja ylläpitää samalla kannustimia datateknologiaan investoiville. Lisäksi siinä vahvistetaan yleiset ehdot tilanteissa, joissa yrityksellä on lakisääteinen velvollisuus jakaa tietoja toisen yrityksen kanssa.
Datasäädös sisältää myös toimenpiteitä, joilla lisätään oikeudenmukaisuutta ja kilpailua Euroopan pilvipalvelumarkkinoilla sekä suojellaan yrityksiä vahvempien toimijoiden määräämiltä kohtuuttomilta datan jakamiseen liittyviltä sopimusehdoilta. Siinä otetaan myös käyttöön mekanismi, jonka avulla julkisen sektorin elimet voivat pyytää tietoja yritykseltä, jolla on poikkeuksellinen tarve, esimerkiksi julkisissa hätätilanteissa, ja annetaan selkeät säännöt siitä, miten tällaiset pyynnöt olisi esitettävä. Lisäksi siinä otetaan käyttöön suojatoimia, joilla vältetään se, että kolmansien maiden viranomaisilla on pääsy muihin kuin henkilötietoihin, jos tämä olisi EU:n tai kansallisen lainsäädännön vastaista. Datasäädöksessä määritellään yhteentoimivuutta koskevat olennaiset vaatimukset sen varmistamiseksi, että data voi liikkua saumattomasti alojen ja jäsenvaltioiden välillä yhteisten eurooppalaisten data-avaruuksien avulla sekä datankäsittelypalvelujen tarjoajien välillä.
Datalaki julkaistiin EU:n virallisessa lehdessä 22. joulukuuta 2023, ja sitä aletaan soveltaa 12. syyskuuta 2025.
Datasäädös täydentää datahallintosäädöstä, joka on ensimmäinen eurooppalaisen datastrategian mukainen tuotos. Datahallintolakia alettiin soveltaa syyskuussa 2023. Vaikka datahallintosäädös lisää luottamusta vapaaehtoisiin datan jakamismekanismeihin, datasäädös tarjoaa oikeudellista selkeyttä datan saatavuuden ja käytön osalta.
Yhdessä muiden politiikkatoimien ja rahoitusmahdollisuuksien kanssa näillä kahdella asetuksella edistetään EU:n datan sisämarkkinoiden luomista ja tehdään Euroopasta datatalouden edelläkävijä hyödyntämällä jatkuvasti kasvavien datamäärien, erityisesti teollisuusdatan, potentiaalia Euroopan talouden ja yhteiskunnan hyödyksi.
Käsiteltävät kysymykset
Yleisten säännösten (I luku) mukaisesti, joissa säädetään asetuksen soveltamisalasta ja määritellään keskeiset termit, datasäädös on jaettu kuuteen päälukuun:
II luku, joka koskee yritysten välistä ja yritysten ja kuluttajien välistä datan jakamista esineiden internetin yhteydessä: IoT-objektien käyttäjät voivat käyttää, käyttää ja siirtää dataa, jota he tuottavat yhdessä verkkoon liitetyn tuotteen käytön kautta.
IIIluku yritysten välisestä datasta: tämä selventää tietojen yhteiskäytön ehtoja aina, kun yritys on lain, myös datalain nojalla, velvollinen jakamaan tietoja toisen yrityksen kanssa.
IV luku kohtuuttomista sopimusehdoista: näillä säännöksillä suojataan kaikkia yrityksiä, erityisesti pk-yrityksiä, niille asetetuilta kohtuuttomilta sopimusehdoilta.
V luku yritysten ja viranomaisten välisestä datan yhteiskäytöstä: julkisen sektorin elimet voivat tietyissä poikkeuksellisissa tilanteissa tehdä näyttöön perustuvia päätöksiä toteuttamalla toimenpiteitä tietyn yksityisen sektorin hallussa olevan datan saamiseksi.
Tietojenkäsittelypalvelujenvaihtamista koskeva VI luku: Pilvi- ja reunalaskentapalvelujen tarjoajien on täytettävä vähimmäisvaatimukset yhteentoimivuuden helpottamiseksi ja vaihtamisen mahdollistamiseksi.
VII luku, joka koskee laittomien kolmansien maiden viranomaisten pääsyä tietoihin: EU:ssa tallennetut muut kuin henkilötiedot on suojattu laittomilta ulkomaisilta viranomaisilta.
Yhteentoimivuutta koskeva VIII luku: data-avaruuksien osallistujien on täytettävä kriteerit, jotta data voi liikkua data-avaruuksissa ja niiden välillä. EU:n tietorekisterissä vahvistetaan pilvipalvelujen yhteentoimivuutta koskevat asiaankuuluvat standardit ja eritelmät.
IX luku: Täytäntöönpano: Jäsenvaltioiden on nimettävä yksi tai useampi toimivaltainen viranomainen valvomaan ja valvomaan datasäädöksen täytäntöönpanoa. Jos nimetään useampi kuin yksi viranomainen, on nimettävä ”tietokoordinaattori”, joka toimii kansallisen tason keskitettynä yhteyspisteenä.
II luku: Yritysten ja kuluttajien välinen datan jakaminen esineiden internetin markkinoilla
Miksi?
Datalain keskeisenä tavoitteena on luoda datataloudelle oikeudenmukaisuutta ja antaa käyttäjille mahdollisuus hyödyntää tuottamansa datan arvoa omistamillaan, vuokraamillaan tai vuokraamillaan verkkoon liitetyillä tuotteilla.
Datalain avulla verkkoon liitettyjen tuotteiden (esim. verkkoon liitetyt autot, lääkinnälliset ja kuntolaitteet, teollisuus- tai maatalouskoneet) ja niihin liittyvien palvelujen käyttäjät (ts. mikä tahansa sellainen, joka tekisi verkkoon liitetyn tuotteen tietyllä tavalla, kuten sovelluksella valojen kirkkauden säätämiseksi tai jääkaapin lämpötilan säätelemiseksi) saavat käyttöönsä yhdessä luomiaan tietoja käyttämällä toisiinsa liitettyjä tuotteita tai niihin liittyviä palveluja.
Tällaisten tietojen saatavuus vaikuttaa merkittävästi talouteen. Esimerkiksi verkkoon liitettyjen tuotteiden ja niihin liittyvien palvelujen tuottamaa dataa voidaan käyttää edistämään jälkimarkkinoita ja oheispalveluja sekä luomaan täysin uusia palveluja, jotka hyödyttävät sekä yrityksiä että kuluttajia.
Esimerkkejä verkkoon liitetyistä tuotteista: kulutustuotteet (esim. verkkoon liitetyt autot, terveydenvalvontalaitteet, älykodin laitteet), muut tuotteet (esim. lentokoneet, robotit, teollisuuskoneet).
Esimerkki tähän liittyvästä palvelusta: käyttäjä ostaa pesukoneen ja asentaa sovelluksen, jonka avulla hän voi mitata pesuohjelman ympäristövaikutuksia koneen sisällä olevien eri antureiden tietojen perusteella ja säätää ohjelmaa sen mukaisesti. Tätä hakemusta pidettäisiin siihen liittyvänä palveluna.
Esimerkkejä jälkimarkkinoista ja oheispalveluista: korjaus- ja huoltopalvelut, tietopohjaiset vakuutukset.
Soveltamisalaan kuuluvat tietotyypit
Datalain II lukua yritysten ja kuluttajien välisen datan yhteiskäytöstä sovelletaan kaikkeen käsittelemättömään ja esikäsiteltyyn dataan, joka syntyy verkkoon liitetyn tuotteen tai siihen liittyvän palvelun käytöstä ja joka on helposti datan haltijan saatavilla (esim. verkkoon liitetyn tuotteen valmistaja tai siihen liittyvän palvelun tarjoaja), toisin sanoen dataan, joka on helposti saatavilla ilman kohtuutonta vaivaa ja joka ylittää pelkän toiminnan. Tämä koskee sekä henkilötietoja että muita kuin henkilötietoja, mukaan lukien asiaankuuluvat metatiedot.
Tällaisia tietoja ovat yhdestä anturista tai yhdistetystä anturiryhmästä kerätyt tiedot, kuten lämpötila, paine, virtausnopeus, ääni, pH-arvo, nestetaso, sijainti, kiihtyvyys tai nopeus.
Päätetyt tai johdetut tiedot ja sisällöt (esim. erittäin rikastettu data, audiovisuaalinen materiaali) eivät kuulu soveltamisalaan. Lisäksi datalailla ei rajoiteta teollis- ja tekijänoikeuksien suojaa koskevien lakien soveltamista.
Esimerkiksi, jos käyttäjä katsoo elokuvaa yhdistetyssä televisiossa, elokuva itsessään ei kuulu soveltamisalaan, mutta näytön kirkkautta koskevat tiedot kuuluvat soveltamisalaan.
Käytännössä
Datalain II luvun mukaan käyttäjät (eli oikeushenkilöt tai luonnolliset henkilöt, jotka omistavat, vuokraavat tai vuokraavat verkkoon liitetyn tuotteen) voivat päästä käsiksi tietoihin, joita he tuottavat käyttäessään verkkoon liitettyä tuotetta tai siihen liittyvää palvelua. Jos käyttäjä haluaa jakaa nämä tiedot toisen yhteisön tai henkilön (jäljempänä ’kolmas osapuoli’) kanssa, hän voi joko tehdä sen suoraan tai pyytää datan haltijaa jakamaan ne valitsemansa kolmannen osapuolen kanssa (lukuun ottamatta digitaalisia markkinoita koskevan lainmukaisia portinvartijoita). Datan haltija on tyypillisesti yritys, joka valmistaa verkkoon liitetyn tuotteen tai joka tarjoaa siihen liittyvää palvelua. Datan haltijalla on oltava käyttäjän kanssa sopimus (esim. myyntisopimus, vuokrasopimus, siihen liittyvä palvelusopimus jne.), jossa määritellään verkkoon liitetyn tuotteen tai siihen liittyvän palvelun tuottaman datan käyttöoikeuksia, käyttöä ja jakamista koskevat oikeudet. On tärkeää huomata, että datan haltija ei voi käyttää tuotteen tuottamia muita kuin henkilötietoja ilman käyttäjän suostumusta.
Esimerkkinä ja ottaen huomioon, että asianomainen sopimus määrittää täsmälliset roolit:
-
Yritys käyttää puskutraktoria: datan haltija olisi tyypillisesti puskutraktorin valmistaja, ja käyttäjä olisi yritys, joka hallinnoi puskutraktoria.
-
Jos joku ostaa liitetyn jääkaapin ja lataa sovelluksen, joka auttaa häntä säätelemään jääkaapin sisällön optimaalista lämpötilaa, olisi mahdollisesti kaksi datan haltijaa, nimittäin kokonaisuus, joka saattaa jääkaapin markkinoille, ja siihen liittyvää palvelua tarjoava yksikkö (sovellus) ja vain yksi käyttäjä (jääkaapin omistaja).
Datalaissa on useita mekanismeja, joiden avulla käyttäjien on helpompi hyödyntää näitä säännöksiä: datan haltijoiden on annettava käyttäjälle tiedot siitä, minkä tyyppistä dataa he tuottavat käyttäessään liitettyä tuotetta tai siihen liittyvää palvelua (mukaan lukien määrä, keruutiheys jne.); käyttäjien olisi voitava pyytää pääsyä tietoihin yksinkertaisen prosessin kautta, ja datan haltijoiden on asetettava tiedot käyttäjien saataville ilmaiseksi.
Tietojen käyttöä koskevat rajoitukset
Jotta yrityksiä ei estettäisi investoimasta dataa tuottaviin tuotteisiin, saatuja tietoja ei voida käyttää kilpailevan verkkoon liitetyn tuotteen kehittämiseen. Datalaissa ei kielletä kilpailua liitännäis- tai jälkimarkkinapalveluissa. Datalain mukaan datan haltijalla ei myöskään ole velvollisuutta jakaa tietoja EU:n ulkopuolelle sijoittautuneiden kolmansien osapuolten kanssa.
Tietosuojalaki on täysin tietosuojasääntöjen, erityisesti yleisen tietosuoja-asetuksen mukainen. Jos käyttäjä ei ole se rekisteröity, jonka tietoja pyydetään, henkilötietoja voidaan asettaa saataville vain, jos on olemassa pätevä oikeusperusta (esim. suostumus). Tämä on tärkeä näkökohta, koska yhdessä tuotetut tiedot sisältävät usein sekä henkilötietoja että muita tietoja, joita voi olla vaikea erottaa toisistaan.
Se kannustaa kehittämään toisiinsa liittyviä tuotteita ja palveluja, jotka perustuvat uusiin datavirtoihin, jotka ovat erityisen arvokkaita pienemmille yrityksille. Mikro- ja pienyrityksiin ei myöskään sovelleta samoja velvoitteita kuin suurempiin yrityksiin valmistajina tai niihin liittyvien palvelujen tarjoajina.
Liikesalaisuuksien suojaamiseksi heikentämättä datalain tavoitetta lisätä dataa datan haltija ja käyttäjä/kolmas osapuoli voivat sopia tietyistä toimenpiteistä liikesalaisuuksien luottamuksellisuuden säilyttämiseksi. Jos näitä toimenpiteitä ei noudateta, datan haltija voi keskeyttää datan jakamisen tai keskeyttää sen. Datan haltija voi kieltäytyä tietojen jakamisesta vain, jos se voi osoittaa, että liikesalaisuuksien paljastamisesta aiheutuu erittäin todennäköisesti vakavaa taloudellista vahinkoa.
Datan haltija ja käyttäjä voivat sopia datan yhteiskäytön rajoittamisesta, jos on olemassa riski, että verkkoon liitetyn tuotteen turvallisuusvaatimukset voivat vaarantua, mistä aiheutuu vakavia haittavaikutuksia ihmisten terveydelle, turvallisuudelle tai turvallisuudelle. Tällaisista vaatimuksista on säädettävä EU:n lainsäädännössä tai kansallisessa lainsäädännössä.
Jos datan haltija keskeyttää, pidättää tai kieltäytyy luovuttamasta tietoja liikesalaisuuksien suojaa tai turvallisuutta koskevien vaatimusten perusteella, sen on ilmoitettava asiasta kansalliselle toimivaltaiselle viranomaiselle. Käyttäjät voivat hakea muutosta tällaiseen päätökseen joko jäsenvaltion toimivaltaisessa tuomioistuimessa toimivaltaiselle viranomaiselle tehdyllä valituksella tai datan haltijan suostumuksella riitojenratkaisuelimessä.
III luku: Yritysten välistä pakollista tietojen jakamista koskevat säännöt
Miksi?
Datasäädöksessä otetaan käyttöön sääntöjä, jotka koskevat tilanteita, joissa yrityksellä (datan haltijalla) on EU:n tai kansallisen lainsäädännön nojalla lakisääteinen velvoite asettaa data toisen yrityksen, jäljempänä ’datan vastaanottaja’, saataville, myös esineiden internetin datan yhteydessä. Erityisesti datan yhteiskäyttöä koskevien ehtojen on oltava oikeudenmukaisia, kohtuullisia ja syrjimättömiä.
Datan jakamisen kannustimena datan haltijat, joilla on velvollisuus jakaa dataa, voivat pyytää datan vastaanottajalta ”kohtuullista korvausta”.
Soveltamisalaan kuuluvat tietotyypit
Datalain III lukua sovelletaan kaikkiin yrityksen hallussa oleviin tietoihin (sekä henkilökohtaisiin että muihin kuin henkilötietoihin), mukaan lukien datalain II luvun soveltamisalaan kuuluvat tilanteet.
Käytännössä
Datan haltijat voivat pyytää kohtuullista korvausta tietojen asettamisesta datan vastaanottajan saataville. Tähän voisivat sisältyä tietojen saataville asettamisesta aiheutuvat kustannukset sekä levittämiseen ja säilyttämiseen liittyvät tekniset kustannukset. Mikroyrityksiltä, pk-yrityksiltä ja voittoa tavoittelemattomilta tutkimusorganisaatioilta ei kuitenkaan voida periä enempää kustannuksia kuin tietojen asettamisesta saataville.
Datalaki sisältää tietojen haltijoiden suojelemiseksi ei-tyhjentävän luettelon toimenpiteistä sellaisten tilanteiden korjaamiseksi, joissa kolmas osapuoli tai käyttäjä on laittomasti saanut tai käyttänyt tietoja. Datan haltija voisi esimerkiksi vaatia, että loukkaava osapuoli lopettaa kyseisen tuotteen tuotannon tai tuhoaa laittomasti saamansa tiedot, tai se voi hakea korvausta.
Datalakia edeltävät tiedonjakovelvoitteet pysyvät ennallaan. Tulevan (ala)lainsäädännön velvoitteet tulisi sovittaa yhteen datalain III luvun säännösten kanssa.
IV luku: Kohtuuttomat sopimusehdot
Miksi?
Sopimusvapaus on keskeistä yritysten välisissä suhteissa. Datasäädöksellä pyritään kuitenkin suojelemaan kaikkia dataa hankkivia eurooppalaisia yrityksiä, erityisesti pk-yrityksiä, kohtuuttomilta sopimusehdoilta puuttumalla esimerkiksi tilanteisiin, joissa toinen yrityksistä on vahvemmassa neuvotteluasemassa (esim. markkinakokonsa vuoksi) ja jossa määrätään datan saantiin ja käyttöön liittyvästä sopimusehdosta, josta ei voida neuvotella.
Soveltamisalaan kuuluvat tietotyypit
Nämä säännöt kattavat kaikki yksityisen tahon hallussa olevat sekä henkilökohtaiset että ei-henkilökohtaiset tiedot, joihin on pääsy ja joita käytetään yritysten välisen sopimuksen perusteella.
Käytännössä
Yksipuolisesti käyttöön otettuihin ”ota tai jätä” -ehtoihin voidaan soveltaa kohtuuttomuustestiä, jos ne liittyvät tietojen asettamiseen saataville.
Datalaissa vahvistetaan ei-tyhjentävä luettelo ehdoista, joita pidetään aina kohtuuttomina (esim. jotka sulkisivat pois ehdon yksipuolisesti asettaneen osapuolen vastuun tahallisesta teosta tai törkeästä huolimattomuudesta tai rajoittaisivat sitä) ja ehdot, joiden oletetaan olevan kohtuuttomia (esim. oikeussuojakeinot rajoitettaisiin epäasianmukaisesti, jos sopimusvelvoitteita tai vastuuta laiminlyödään, tai laajennettaisiin sen yrityksen vastuuta, jolle ehto on asetettu yksipuolisesti). Jos ehtoa pidetään kohtuuttomana, se ei ole enää pätevä – mahdollisuuksien mukaan se yksinkertaisesti erotetaan kontaktista. Jos ehdon oletetaan olevan kohtuuton, se taho, joka on asettanut ehdon, voi yrittää osoittaa, ettei ehto ole kohtuuton.
V luku: Yritysten ja viranomaisten välinen tietojen jakaminen
Miksi?
Yksityisten tahojen hallussa oleva data voi olla olennaisen tärkeää, jotta julkisen sektorin elin voi suorittaa yleistä etua koskevan tehtävän. Datalain V luvussa annetaan julkisen sektorin elimille mahdollisuus saada käyttöönsä tällaista dataa tietyin ehdoin ja edellytyksin, jos siihen on poikkeuksellinen tarve. Jälkimmäisellä tarkoitetaan tilannetta, joka on ennalta arvaamaton ja ajallisesti rajoitettu, kun yksityisen tahon hallussa olevat tiedot ovat tarpeen yleisen edun mukaisen tehtävän suorittamiseksi, erityisesti näyttöön perustuvan päätöksenteon parantamiseksi. Poikkeuksellisia tilanteita ovat sekä julkiset hätätilanteet (kuten suuret luonnonkatastrofit tai ihmisen aiheuttamat katastrofit, pandemiat ja kyberturvallisuuspoikkeamat) että muut kuin hätätilanteet (esimerkiksi kuljettajien GPS- järjestelmistä saatuja yhdistettyjä ja anonymisoituja tietoja voitaisiin käyttää liikennevirtojen optimointiin).
Datalailla varmistetaan, että viranomaisilla on pääsy tällaisiin tietoihin oikea-aikaisesti ja luotettavasti aiheuttamatta yrityksille kohtuutonta hallinnollista taakkaa.
Soveltamisalaan kuuluvat tietotyypit
V luvun mukaan kaikki tiedot ovat soveltamisalaltaan keskittyen muihin kuin henkilötietoihin.
Datalain V luvussa yritysten ja viranomaisten välisen datan yhteiskäytöstä erotetaan toisistaan kaksi skenaariota:
-
Julkiseen hätätilaan vastaamiseksi julkisen sektorin elimen olisi pyydettävä muita kuin henkilötietoja. Jos tämä ei kuitenkaan riitä reagoimaan tilanteeseen, henkilötietoja voidaan pyytää. Datan haltijan olisi mahdollisuuksien mukaan anonymisoitava nämä tiedot.
-
Muissa kuin kiireellisissä tilanteissa julkisen sektorin elimet voivat pyytää vain muita kuin henkilötietoja.
Keskeiset sidosryhmät
Tahoihin, joilla on oikeus pyytää tietoja, kuuluvat jäsenvaltioiden julkisen sektorin elimet sekä tietyt EU:n toimielimet, elimet ja virastot. Nämä yhteisöt voivat myös tietyin edellytyksin jakaa tietoja tutkimus- ja rahoitusorganisaatioiden kanssa.
Yritysten ja viranomaisten välisissä pyynnöissä datan haltijat ovat tyypillisesti yksityisiä tahoja, mutta niihin voi kuulua myös julkisia yrityksiä.
Käytännössä
Julkisen sektorin elin voi tietyin edellytyksin velvoittaa datan haltijan asettamaan tietyn datan saataville ilman aiheetonta viivytystä vastatakseen julkiseen hätätilaan. Datalaissa määritellään yleinen hätätila; sen olemassaolo määräytyy kuitenkin kansallisten tai EU:n menettelyjen tai lakien mukaisesti.
Sellaisten poikkeuksellisten tarpeiden osalta, jotka eivät liity julkiseen hätätilaan, julkisen sektorin elin voi pyytää muita kuin henkilötietoja suorittamaan tietyn yleisen edun mukaisen ja laissa säädetyn tehtävän, jos julkisen sektorin elin voi osoittaa, ettei se ole voinut saada dataa muilla tavoin.
Molemmissa tapauksissa (hätätilanteessa ja muussa kuin hätätilanteessa) pyynnössä on noudatettava tiettyjä tiukkoja periaatteita ja ehtoja. Pyyntöjen on esimerkiksi oltava täsmällisiä, avoimia ja oikeasuhteisia, liikesalaisuudet on suojattava ja tiedot on poistettava heti, kun niitä ei enää tarvita.
Seuraavassa taulukossa esitetään yhteenveto siitä, mitä yritykset voivat pyytää tietojen toimittamiseksi julkisen sektorin elimelle tässä yhteydessä.
Korvaus tietojen asettamisesta saataville datalain V luvun nojalla
| Muut yritykset kuin mikro- ja pienyritykset voivat pyytää: | Mikro- ja pienyritykset voivat pyytää: | |
| Yleinen hätätilanne | Yritykset voivat pyytää, että vastaanottava julkisen sektorin elin tunnustaa tietonsa ja tunnustaa ne julkisesti. | Kohtuullinen korvaus, joka ei ylitä aiheutuneita teknisiä ja organisatorisia kustannuksia + julkinen vahvistus pyynnöstä |
| Muu kuin hätätilanne | Kohtuullinen korvaus, joka ei ylitä aiheutuneita teknisiä ja organisatorisia kustannuksia (lukuun ottamatta virallisten tilastojen tuottamista) | Ei-A (poikkeus tietojen toimittamista koskevasta velvollisuudesta) |
Yrityksille aiheutuvan taakan minimoimiseksi useampi kuin yksi julkisen sektorin elin voi pyytää samaa dataa useammin kuin kerran (”yhden kerran periaate”). Tästä syystä tietokoordinaattorin on asetettava kaikki pyynnöt julkisesti saataville (ellei kyse ole turvallisuudesta).
VI luku: Tietojenkäsittelypalvelujen vaihtaminen
Miksi?
Jotta voidaan varmistaa kilpailukykyiset markkinat EU:ssa, datankäsittelypalvelujen (mukaan lukien pilvipalvelut ja reunapalvelut) asiakkaiden olisi voitava siirtyä saumattomasti palveluntarjoajasta toiseen. Asiakkaat kohtaavat kuitenkin tällä hetkellä useita esteitä, kuten korkeita maksuja, jotka liittyvät esimerkiksi datan poistumiseen, pitkällisiin menettelyihin ja palveluntarjoajien välisen yhteentoimivuuden puutteeseen, mikä voi johtaa tietojen ja sovellusten katoamiseen.
Data Act tekee vaihtamisesta vapaa, nopea ja nestemäinen. Tämä hyödyttää asiakkaita, jotka voivat vapaasti valita tarpeitaan parhaiten vastaavat palvelut, sekä palveluntarjoajia, jotka hyötyvät suuremmasta asiakasjoukosta.
Laajuus
Datalain VI lukua sovelletaan tietojenkäsittelypalvelujen tarjoajiin (eli digitaaliset palvelut, jotka mahdollistavat kaikkialla saatavilla olevan ja tilattavan verkkoon pääsyn, kuten verkot, palvelimet tai muut virtuaaliset tai fyysiset infrastruktuurit ja ohjelmistot). Vaihtamisen kannalta keskeisiä tietoja ovat asiakkaan palvelun käytöstä tuottamat syöttö- ja tuotostiedot, mukaan lukien metatiedot, lukuun ottamatta teollis- ja tekijänoikeuksilla suojattua dataa tai palveluntarjoajan liikesalaisuutta.
Käytännössä
Pilvipalvelujen tarjoajien ja asiakkaiden välisen tehon epätasapainon poistamiseksi datalaissa asetetaan vähimmäisvaatimukset pilvipalvelusopimusten sisällölle. Erityisesti yksityisen ja julkisen sektorin asiakkaat hyötyvät paljon suuremmasta sopimusten avoimuudesta.
Datalakiin sisältyy toimenpiteitä, joilla varmistetaan, että asiakkaat voivat siirtyä yhdeltä tietojenkäsittelypalvelujen tarjoajalta (lähdepalveluntarjoaja) nopeasti ja sujuvasti toiseen palveluntarjoajaan, jäljempänä ’kohde’, nopeasti ja sujuvasti ja menettämättä mitään tietoja tai sovellusten toimintoja. Esimerkiksi Alusta- ja Software as a Service -palvelujen tarjoajien on asetettava avoimet rajapinnat saataville ja vähintään vietävä tietoja yleisesti käytetyssä ja koneellisesti luettavassa muodossa. Infrastruktuuri palveluna -infrastruktuurin tarjoajien on toteutettava toimenpiteitä, joilla helpotetaan sitä, että kun asiakas siirtyy samantyyppiseen palveluun, asiakas saa olennaisilta osin vertailukelpoiset tulokset vastauksena samoihin ominaisuuksiin, jotka molemmat palvelut jakavat (”toiminnallinen vastaavuus”). Esimerkkinä tällaisesta toimenpiteestä lähdetoimittaja voi joutua käyttämään työkaluja tietojenkäsittelyn työmäärän siirtämiseen virtualisointiteknologiasta toiseen.
Kaikkien palveluntarjoajien on poistettava esteet, joita niiden asiakkaat saattavat kohdata, kun he haluavat siirtyä toiseen palveluntarjoajaan tai käyttää useita palveluja samanaikaisesti.
Datalailla poistetaan myös kokonaan kytkentämaksut, mukaan lukien datan egressistä perittävät maksut (eli tiedonsiirtomaksut), 12.1.2027 alkaen. Tämä tarkoittaa, että palveluntarjoajat eivät voi veloittaa asiakkailtaan toimintoja, jotka ovat tarpeen vaihdon helpottamiseksi tai datan poistumiseksi. Palveluntarjoajat voivat kuitenkin kolmen ensimmäisen vuoden aikana datalain voimaantulosta (11. tammikuuta 2024–12. tammikuuta 2027) periä asiakkailtaan maksun vaihtamisesta ja tietojen poistamisesta aiheutuvista kustannuksista.
VII luku: Kolmansien maiden viranomaisten laiton pääsy
Miksi?
Joskus EU:n ulkopuolisen maan, jäljempänä ’kolmas maa’, antamalla päätöksellä tai tuomiolla pyritään sallimaan viranomaisten pääsy EU:ssa käsiteltyihin ja tallennettuihin muihin kuin henkilötietoihin ja niiden siirto. Tietyissä tapauksissa pääsyn myöntäminen tällaisiin tietoihin tai niiden siirtäminen voi kuitenkin olla lainvastaista erityisesti silloin, kun pyyntö on ristiriidassa EU:n lainsäädännön kanssa ja takaa yksilöiden perusoikeuksien, kansallisten turvallisuusetujen tai kaupallisesti arkaluonteisten tietojen suojaamisen.
Datasäädös noudattaa datahallintolakia siltä osin kuin on kyse säännöksistä, joilla pyritään estämään kolmansien maiden viranomaisten laiton pääsy EU:ssa oleviin muihin kuin henkilötietoihin. Tällaisilla säännöksillä ei ole vaikutusta yritysten väliseen säännölliseen tietojen jakamiseen. Ne lisäävät avoimuutta ja oikeusvarmuutta, kun on kyse prosessista ja edellytyksistä, joiden mukaisesti EU:n ulkopuoliset viranomaiset voivat tutustua muihin kuin henkilötietoihin tai siirtää niille.
Soveltamisalaan kuuluvat tietotyypit
Kaikki muut kuin henkilötiedot, joita tietojenkäsittelypalvelun tarjoaja säilyttää EU:ssa.
Käytännössä
Datalailla ei kielletä rajat ylittäviä tiedonsiirtoja, vaan varmistetaan, että datan suoja EU:ssa kulkee EU:n ulkopuolelle siirretyillä tiedoilla.
Tässä yhteydessä datasäädöksessä vahvistetaan säännöt ja suojatoimet, jotka koskevat ulkomaisen julkisen sektorin elimen pyyntöjä saada tutustua unionissa säilytettyihin muihin kuin henkilötietoihin. Nämä säännökset eivät vaikuta lainvalvonnan alalla tehtävään lailliseen kansainväliseen yhteistyöhön.
Jos ei ole olemassa kansainvälistä sopimusta, jolla säädettäisiin kolmannen maan hallituksen pääsyä EU:ssa sijaitseviin muihin kuin henkilötietoihin, tietoja voidaan siirtää tai käyttää vain tietyin edellytyksin. Nämä edellytykset koskevat tiettyjä takeita, joilla turvataan eurooppalaiset oikeudet ja jotka kolmannen maan oikeusjärjestelmän on täytettävä, mukaan lukien vaatimus esittää päätöksen perustelut ja arvioida oikeasuhteisuutta. Tällaisen päätöksen kohteena oleva tietojenkäsittelypalvelujen tarjoaja voi ottaa yhteyttä asianomaiseen kansalliseen elimeen auttaakseen arvioimaan, täyttyvätkö datalaissa säädetyt edellytykset. Näiden edellytysten täyttymisen arvioimiseksi Euroopan komissio laatii yhdessä Euroopan datainnovaatiolautakunnan (datahallintosäädöksen nojalla perustetun asiantuntijaryhmän) kanssa suuntaviivat, joilla helpotetaan parhaiden käytäntöjen jakamista ja asetetaan etusijalle monialaiset yhteentoimivuusstandardit.
Tietojenkäsittelypalvelujen tarjoajien olisi toteutettava kaikki kohtuulliset toimenpiteet (esim. salaus, tarkastukset, sertifiointijärjestelmien noudattaminen) estääkseen pääsyn järjestelmiin, joissa ne tallentavat muita kuin henkilötietoja. Nämä toimenpiteet olisi julkaistava niiden verkkosivuilla. Lisäksi niiden olisi mahdollisuuksien mukaan tiedotettava asiakkailleen ennen kuin he antavat pääsyn tietoihinsa.
VIII luku: Yhteentoimivuus
Miksi?
Standardit ja yhteentoimivuus ovat avainasemassa varmistettaessa, että eri lähteistä peräisin olevaa dataa voidaan käyttää yhteisten eurooppalaisten data-avaruuksien sisällä ja niiden välillä tutkimuksen edistämiseen ja uusien tuotteiden tai palvelujen kehittämiseen. Tätä varten datasäädöksessä vahvistetaan joitakin olennaisia vaatimuksia, joita data-avaruuksien osallistujien on noudatettava ja joita Euroopan komissio voi tarkentaa delegoiduilla säädöksillä.
Sen tavoitteena on myös varmistaa tietojenkäsittelypalvelujen yhteentoimivuus. tämä on välttämätöntä, jotta asiakkaat voivat hyötyä helpommasta vaihtamisesta.
Keskeiset sidosryhmät
Tämä luku koskee data-avaruuksien osallistujia, jotka tarjoavat dataa tai datapohjaisia palveluja muille osallistujille ja jotka helpottavat datan jakamista data-avaruuksissa tai osallistuvat siihen.
Se koskee myös älykkäiden sopimusten toimittajia sekä tietojenkäsittelypalvelujen tarjoajia.
Käytännössä
Data-avaruuteen osallistujien olisi noudatettava useita olennaisia vaatimuksia, jotta data voi liikkua data-avaruuksissa ja niiden välillä. Esimerkiksi kuvauksen tietorakenteista, tietomuodoista ja sanastoista, jos ne ovat saatavilla, olisi oltava julkisesti saatavilla. Lisäksi olisi varmistettava tietojen yhteiskäyttöä koskevien sopimusten, kuten älykkäiden sopimusten, yhteentoimivuus.
Datalailla valmistellaan myös datankäsittelypalvelujen yhteentoimivuuden lisäämistä yhdenmukaistettujen standardien ja avointen yhteentoimivuuseritelmien avulla.
Lisäksi siinä asetetaan älykkäiden sopimusten toimittajia koskevat vaatimukset tietojen yhteiskäyttöä koskevien sopimusten automatisoitua täytäntöönpanoa varten, esimerkiksi sen varmistamiseksi, että ne noudattavat oikein tietojen yhteiskäyttöä koskevan sopimuksen määräyksiä ja kestävät kolmansien osapuolten suorittamaa manipulointia.
Komissio arvioi yhteentoimivuuden esteitä ja asettaa standardointitarpeet etusijalle, minkä perusteella se voi pyytää eurooppalaisia standardointiorganisaatioita laatimaan yhdenmukaistetut standardit, jotka täyttävät edellä mainitut vaatimukset.
Jos pyyntö ei johda yhdenmukaistettuun standardiin tai jos standardi ei riitä varmistamaan datalain noudattamista, komissio voi hyväksyä yhteiset eritelmät vararatkaisuna. Niitä olisi kehitettävä avoimesti ja osallistavasti ottaen huomioon Euroopan datainnovaatiolautakunnalta saatu palaute.
IX luku: Täytäntöönpano ja yleiset säännökset
Jäsenvaltioiden on nimettävä yksi tai useampi (uusi tai olemassa oleva) toimivaltainen viranomainen varmistamaan datasäädöksen tehokas täytäntöönpano. Jos toimivaltaisia viranomaisia on useita, jäsenvaltioiden on nimettävä yksi niistä ”tietokoordinaattoriksi”. Tietokoordinaattori toimii keskitettynä asiointipisteenä kaikissa datalain täytäntöönpanoon liittyvissä kysymyksissä kansallisella tasolla ja helpottaa sen soveltamista sekä yrityksille että viranomaisille. Jos yritys esimerkiksi hakee hyvitystä datalain mukaisten oikeuksiensa loukkaamisesta, tietokoordinaattorin olisi (pyydettäessä) annettava kaikki tarvittavat tiedot, joiden avulla se voi tehdä valituksensa toimivaltaiselle viranomaiselle. Tietokoordinaattori helpottaa myös yhteistyötä rajat ylittävissä tilanteissa, kuten silloin, kun tietyn jäsenvaltion toimivaltainen viranomainen ei tiedä, mitä viranomaista sen olisi lähestyttävä tietokoordinaattorin jäsenvaltiossa.
Komissio ylläpitää julkista rekisteriä toimivaltaisista viranomaisista ja tietokoordinaattoreista.
Euroopan datainnovaatiolautakunta helpottaa toimivaltaisten viranomaisten välisiä keskusteluja esimerkiksi koordinoidakseen ja antaakseen suosituksia datasäädöksen rikkomisesta määrättävistä seuraamuksista. Toimivaltaiset viranomaiset määräävät seuraamukset, ja datalain mukaan seuraamusten olisi oltava tehokkaita, oikeasuhteisia ja varoittavia.
Jäsenvaltiot voivat halutessaan perustaa sertifioituja riitojenratkaisuelimiä auttamaan osapuolia, jotka eivät voi sopia oikeudenmukaisista, kohtuullisista ja syrjimättömistä ehdoista tietojen saataville asettamiseksi. Osapuolet voivat vapaasti kääntyä minkä tahansa riitojenratkaisuelimen puoleen joko siinä jäsenvaltiossa, johon ne ovat sijoittautuneet, tai toisessa riitojenratkaisuelimessä.
Sertifioidut riitojenratkaisumekanismit ja erikoistuneet toimivaltaiset viranomaiset helpottavat yritysten, erityisesti pienten yritysten, mahdollisuuksia käyttää datalain mukaisia oikeuksiaan, koska ne tarjoavat osapuolille yksinkertaisen, nopean ja edullisen ratkaisun.
Mitä seuraavaksi?
Euroopan datastrategiassa esitetään, miten EU:sta voi tulla johtoasema datataloudessa. Tähän päästään luomalla eurooppalaiset datan sisämarkkinat, joilla dataa voidaan siirtää eri alojen ja jäsenvaltioiden välillä turvallisesti ja luotettavasti talouden ja yhteiskunnan hyödyksi. Datasäädös on keskeinen tekijä tämän vision saavuttamisessa, koska sillä varmistetaan tasapuolisuus data-arvon jakamisessa sidosryhmien kesken.
Datalaki tulee voimaan 12.9.2025.
Auttaakseen yrityksiä selviytymään näistä uusista säännöistä komissio suosittelee mallisopimuslausekkeita, joilla autetaan yrityksiä tekemään oikeudenmukaisia, kohtuullisia ja syrjimättömiä datanjakosopimuksia (datasäädöksen II ja III luku). Nämä ehdot antavat myös ohjeistusta kohtuullisista korvauksista ja liikesalaisuuksien suojaamisesta. Komissio suosittelee myös ei-sitovia vakiosopimuslausekkeita pilvipalvelujen käyttäjien ja tarjoajien välisiä pilvipalvelusopimuksia varten. On perustettu asiantuntijaryhmä, joka auttaa komissiota laatimaan tällaisia ehtoja ja lausekkeita, ja se aikoo suositella niitä syksyyn 2025 mennessä.
Komissio arvioi datasäädöksen vaikutuksia kolmen vuoden kuluessa sen voimaantulosta. Tämän perusteella komissio voi tarvittaessa ehdottaa lain muuttamista.
Oikeudellinen huomautus
Tämän asiakirjan ei pitäisi katsoa edustavan Euroopan komission virallista kantaa.