Akt w sprawie danych – wyjaśnienie

Dlaczego?

Głównym celem aktu w sprawie danych jest zapewnienie sprawiedliwości w gospodarce opartej na danych i umożliwienie użytkownikom czerpania korzyści z danych, które generują, korzystając z produktów skomunikowanych, których są właścicielami, które wynajmują lub dzierżawią.

Akt w sprawie danych umożliwia użytkownikom produktów skomunikowanych (np. samochodów podłączonych do internetu, urządzeń medycznych i fitness, maszyn przemysłowych lub rolniczych) i usług powiązanych (tj. wszystkiego, co sprawiłoby, że produkt skomunikowany zachowywałby się w określony sposób, np. aplikacji do regulacji jasności świateł lub regulacji temperatury lodówki) dostęp do danych, które współtworzą, korzystając z produktów skomunikowanych / usług powiązanych.

Dostępność takich danych będzie miała znaczący wpływ na gospodarkę. Na przykład dane generowane przez produkty skomunikowane i powiązane usługi mogą być wykorzystywane do wspierania usług posprzedażnych i usług pomocniczych, a także do tworzenia całkowicie nowych usług, z korzyścią zarówno dla przedsiębiorstw, jak i konsumentów. 

Rodzaje danych objętych zakresem

Rozdział II aktu w sprawie danych dotyczący wymiany danych między przedsiębiorstwami i między przedsiębiorstwami a konsumentami ma zastosowanie do wszystkich surowych i wstępnie przetworzonych danych generowanych w wyniku korzystania z produktu skomunikowanego lub powiązanej usługi, które są łatwo dostępne dla posiadacza danych (np. producenta produktu skomunikowanego / dostawcy powiązanej usługi), tj. danych, do których można łatwo uzyskać dostęp bez nieproporcjonalnego wysiłku, wykraczającego poza prostą operację. Dotyczy to zarówno danych osobowych, jak i nieosobowych, w tym odpowiednich metadanych.

Dane te obejmują dane zebrane z pojedynczego czujnika lub połączonej grupy czujników, takie jak temperatura, ciśnienie, natężenie przepływu, dźwięk, wartość pH, poziom cieczy, pozycja, przyspieszenie lub prędkość.

Wywnioskowane lub pochodne dane i treści (np. dane wysoko wzbogacone, materiały audiowizualne) nie wchodzą w zakres stosowania. Ponadto akt w sprawie danych pozostaje bez uszczerbku dla przepisów dotyczących ochrony praw własności intelektualnej.

W praktyce

Rozdział II aktu w sprawie danych umożliwia użytkownikom (tj. każdej osobie prawnej lub fizycznej, która jest właścicielem produktu skomunikowanego, wynajmuje go lub dzierżawi) dostęp do danych, które generują w wyniku korzystania przez nich z produktu skomunikowanego lub powiązanej usługi. Jeżeli użytkownik chce udostępnić te dane innemu podmiotowi lub osobie fizycznej („osobietrzeciej”),może to zrobić bezpośrednio lub zwrócić się do posiadacza danych o udostępnienie ich wybranej przez siebie osobie trzeciej (z wyłączeniem strażników dostępu na podstawie aktu o rynkach cyfrowych). Posiadaczem danych jest zazwyczaj przedsiębiorstwo, które wytwarza produkt skomunikowany lub świadczy powiązaną usługę. Posiadacz danych musi zawrzeć z użytkownikiem umowę (np. umowę sprzedaży, umowę najmu, powiązaną umowę o świadczenie usług itp.) określającą prawa dotyczące dostępu do danych generowanych przez produkt skomunikowany lub powiązaną usługę, ich wykorzystywania i udostępniania. Należy zauważyć, że posiadacz danych nie może wykorzystywać żadnych danych nieosobowych generowanych przez produkt bez zgody użytkownika.

Tytułem przykładu i mając na uwadze, że odnośna umowa określa dokładne role:

• Firma prowadzi buldożer: posiadaczem danych byłby zazwyczaj producent buldożerów, a użytkownikiem przedsiębiorstwo eksploatujące buldożery.  

• Jeśli ktoś kupuje lodówkę połączoną i pobiera aplikację, która pomaga mu regulować optymalną temperaturę dla zawartości lodówki, potencjalnie istniałyby dwa posiadacze danych, a mianowicie podmiot, który wprowadził lodówkę do obrotu i podmiot oferujący powiązaną usługę (aplikacja), i tylko jeden użytkownik (właściciel lodówki).

Akt w sprawie danych zawiera kilka mechanizmów ułatwiających użytkownikom korzystanie z tych przepisów: posiadacze danych muszą przekazać użytkownikowi informacje na temat rodzaju danych, które będą generować podczas korzystania z produktu skomunikowanego lub powiązanej usługi (w tym wolumenu, częstotliwości gromadzenia danych itp.); użytkownicy powinni mieć możliwość zwrócenia się o dostęp do danych w ramach prostego procesu; oraz posiadacze danych muszą udostępniać dane użytkownikom bezpłatnie.

Ograniczenia w korzystaniu z danych

Aby nie zniechęcać przedsiębiorstw do inwestowania w produkty generujące dane, uzyskanych danych nie można wykorzystać do opracowania konkurencyjnego produktu skomunikowanego. Akt w sprawie danych nie zakazuje konkurencji w zakresie usług powiązanych lub usług posprzedażnych. Ponadto akt w sprawie danych nie nakłada na posiadacza danych obowiązku udostępniania danych osobom trzecim mającym siedzibę poza UE.

Akt w sprawie danych jest w pełni zgodny z przepisami o ochronie danych, w szczególności z RODO. W przypadku gdy użytkownik nie jest podmiotem danych, którego dane są wymagane, dane osobowe mogą zostać udostępnione tylko wtedy, gdy istnieje ważna podstawa prawna (np. zgoda). Jest to ważne, ponieważ współgenerowane dane często zawierają zarówno dane osobowe, jak i nieosobowe, które mogą być trudne do oddzielenia.  

Zachęca do opracowywania produktów i usług skomunikowanych w oparciu o nowe przepływy danych, co ma szczególną wartość dla mniejszych przedsiębiorstw. Ponadto mikroprzedsiębiorstwa i małe przedsiębiorstwa, jako producenci lub dostawcy powiązanych usług, nie podlegają tym samym obowiązkom co większe przedsiębiorstwa.

Aby chronić tajemnice przedsiębiorstwa bez podważania celu aktu w sprawie danych, jakim jest udostępnienie większej ilości danych, posiadacz danych i użytkownik/osoba trzecia mogą uzgodnić pewne środki służące zachowaniu poufności tajemnic przedsiębiorstwa. W przypadku nieprzestrzegania tych środków posiadacz danych może wstrzymać lub zawiesić udostępnianie danych. Posiadacz danych może odmówić udostępnienia danych tylko wtedy, gdy może wykazać, że istnieje duże prawdopodobieństwo poniesienia poważnych szkód gospodarczych w wyniku ujawnienia tajemnic przedsiębiorstwa.

Posiadacz danych i użytkownik mogą zgodzić się na ograniczenie udostępniania danych, jeżeli istnieje ryzyko, że wymogi bezpieczeństwa produktu skomunikowanego mogłyby zostać naruszone, co miałoby poważne negatywne skutki dla zdrowia, bezpieczeństwa lub ochrony osób. Wymogi takie muszą być określone w prawie Unii lub prawie krajowym.

Jeżeli posiadacz danych zawiesza, wstrzymuje lub odmawia udostępniania danych ze względu na ochronę tajemnic przedsiębiorstwa lub wymogi bezpieczeństwa, musi powiadomić o tym właściwy organ krajowy. Użytkownicy mogą zaskarżyć taką decyzję przed właściwym sądem lub trybunałem państwa członkowskiego, w drodze skargi do właściwego organu lub za zgodą posiadacza danych przed organem rozstrzygania sporów.

Dlaczego?

Akt w sprawie danych wprowadza przepisy dotyczące sytuacji, w których przedsiębiorstwo („posiadacz danych”) ma na mocy prawa Unii lub prawa krajowego obowiązek prawny udostępniania danych innemu przedsiębiorstwu („odbiorca danych”), w tym w kontekście danych dotyczących internetu rzeczy. W szczególności warunki udostępniania danych muszą być sprawiedliwe, rozsądne i niedyskryminacyjne.

Jako zachętę do udostępniania danych posiadacze danych, którzy są zobowiązani do udostępniania danych, mogą żądać od odbiorcy danych „rozsądnej rekompensaty”.

Rodzaje danych objętych zakresem

Rozdział III aktu w sprawie danych ma zastosowanie do wszystkich danych (zarówno osobowych, jak i nieosobowych) będących w posiadaniu przedsiębiorstwa, w tym do sytuacji objętych rozdziałem II aktu w sprawie danych.

W praktyce

Posiadacze danych mogą żądać rozsądnej rekompensaty za udostępnienie danych odbiorcy danych. Może to obejmować koszty ponoszone w związku z udostępnianiem danych, a także koszty techniczne związane z rozpowszechnianiem i przechowywaniem. Mikroprzedsiębiorstwa, MŚP i organizacje badawcze nienastawione na zysk nie mogą jednak zostać obciążone kosztami wyższymi niż koszty poniesione w związku z udostępnieniem danych.

Aby chronić posiadaczy danych, akt w sprawie danych zawiera niewyczerpujący wykaz środków mających na celu zaradzenie sytuacjom, w których osoba trzecia lub użytkownik bezprawnie uzyskali dostęp do danych lub z nich korzystali. Na przykład posiadacz danych może wymagać, aby strona naruszająca zaprzestała produkcji danego produktu lub zniszczyła dane, które uzyskała niezgodnie z prawem, lub może dochodzić odszkodowania.

Wszelkie obowiązki w zakresie udostępniania danych, które poprzedzają akt w sprawie danych, pozostają nienaruszone. Obowiązki w przyszłym prawodawstwie (sektorowym) należy dostosować do przepisów rozdziału III aktu w sprawie danych.

Dlaczego?

Swoboda zawierania umów ma kluczowe znaczenie dla relacji między przedsiębiorstwami. Akt w sprawie danych ma jednak na celu ochronę wszystkich europejskich przedsiębiorstw pragnących pozyskać dane, w szczególności MŚP, przed nieuczciwymi warunkami umownymi za pomocą środków interweniowania w sytuacjach, w których na przykład jedno z przedsiębiorstw ma silniejszą pozycję negocjacyjną (np. ze względu na wielkość rynku) i nakłada niezbywalny warunek („take-it-or-leave-it”) związany z dostępem do danych i ich wykorzystywaniem.

Rodzaje danych objętych zakresem

Przepisy te obejmują wszystkie dane, zarówno osobowe, jak i nieosobowe, będące w posiadaniu podmiotu prywatnego, do których uzyskuje się dostęp i które są wykorzystywane na podstawie umowy między przedsiębiorstwami.

W praktyce

Jednostronnie nałożone warunki typu „bierz lub wypuść” mogą, w przypadku gdy odnoszą się do udostępniania danych, podlegać testowi nieuczciwego charakteru.

Akt w sprawie danych ustanawia niewyczerpujący wykaz warunków, które zawsze uznaje się za nieuczciwe (np. które wyłączałyby lub ograniczałyby odpowiedzialność strony, która jednostronnie nałożyła warunek za umyślne działania lub rażące niedbalstwo), oraz warunków, które uznaje się za nieuczciwe (np. które niewłaściwie ograniczałyby środki ochrony prawnej w przypadku niewykonania zobowiązań umownych lub odpowiedzialności w przypadku naruszenia tych zobowiązań, lub rozszerzałyby odpowiedzialność przedsiębiorstwa, na które warunek został jednostronnie nałożony). Jeżeli warunek zostanie uznany za nieuczciwy, traci on ważność – w miarę możliwości zostaje po prostu oddzielony od umowy. Jeżeli domniemywa się, że warunek jest nieuczciwy, podmiot, który go nałożył, może próbować wykazać, że warunek ten nie jest nieuczciwy.

Dlaczego?

Aby zapewnić konkurencyjny rynek w UE, klienci korzystający z usług przetwarzania danych (w tym usług w chmurze i usług brzegowych) powinni mieć możliwość płynnego przejścia od jednego dostawcy do drugiego. Klienci napotykają jednak obecnie szereg przeszkód, w tym wysokie opłaty związane na przykład z wyprowadzaniem danych, długimi procedurami i brakiem interoperacyjności między dostawcami, co może prowadzić do utraty danych i aplikacji.

Akt w sprawie danych sprawi, że przełączanie będzie bezpłatne, szybkie i płynne. Przyniesie to korzyści klientom, którzy mogą swobodnie wybierać usługi najlepiej odpowiadające ich potrzebom, a także dostawcom, którzy skorzystają z większej puli klientów.

Zakres stosowania

Rozdział VI aktu w sprawie danych ma zastosowanie do dostawców usług przetwarzania danych (tj. usług cyfrowych umożliwiających wszechobecny dostęp do sieci na żądanie, takich jak sieci, serwery lub inna wirtualna lub fizyczna infrastruktura i oprogramowanie). Dane, które mają kluczowe znaczenie dla zmiany dostawcy, obejmują dane wejściowe i wyjściowe, w tym metadane, wygenerowane w wyniku korzystania przez klienta z usługi, z wyłączeniem danych chronionych prawami własności intelektualnej lub stanowiących tajemnicę przedsiębiorstwa dostawcy usług.  

W praktyce

Aby przezwyciężyć brak równowagi sił między dostawcami a klientami na rynku usług w chmurze, w akcie w sprawie danych określono minimalne wymogi dotyczące treści umów w chmurze. W szczególności klienci z sektora prywatnego i publicznego skorzystają ze znacznie większej przejrzystości umów.

Akt w sprawie danych obejmuje środki mające na celu zapewnienie klientom możliwości szybkiego i sprawnego przejścia od jednego dostawcy usług przetwarzania danych („dostawca źródła”) do innego dostawcy („docelowy”) bez utraty jakichkolwiek danych ani funkcjonalności aplikacji. Na przykład dostawcy platformy i oprogramowania jako usługi muszą udostępniać otwarte interfejsy i co najmniej eksportować dane w powszechnie używanym formacie nadającym się do odczytu maszynowego. Dostawcy infrastruktury jako usługi muszą podjąć środki w celu ułatwienia, aby w przypadku gdy klient przechodzi na usługę tego samego rodzaju, uzyskał on zasadniczo porównywalne wyniki w odpowiedzi na te same dane wejściowe dotyczące cech wspólnych dla obu usług („równoważność funkcjonalna”). Jako przykład takiego środka dostawca źródła może być zmuszony do korzystania z narzędzi do przenoszenia obciążeń obliczeniowych z jednej technologii wirtualizacji do drugiej. 

Wszyscy dostawcy są zobowiązani do usunięcia przeszkód, które mogą napotkać ich klienci, gdy chcą zmienić dostawcę lub korzystać z kilku usług jednocześnie.

Akt w sprawie danych całkowicie zniesie również opłaty za zmianę dostawcy, w tym opłaty za wyprowadzenie danych (tj. opłaty za tranzyt danych), od dnia 12 stycznia 2027 r. Oznacza to, że dostawcy nie będą mogli pobierać od swoich klientów opłat za operacje, które są niezbędne do ułatwienia zmiany dostawcy lub wyjścia danych. Jako środek przejściowy w ciągu pierwszych 3 lat po wejściu w życie aktu w sprawie danych (od 11 stycznia 2024 r. do 12 stycznia 2027 r.) dostawcy mogą jednak nadal pobierać od swoich klientów opłaty za koszty poniesione w związku ze zmianą dostawcy i wyprowadzaniem danych.

Dlaczego?

Czasami decyzja lub wyrok wydane przez państwo spoza UE („państwo trzecie”) mają na celu umożliwienie rządowi dostępu do danych nieosobowych przetwarzanych i przechowywanych w UE oraz ich przekazywania. W niektórych przypadkach udzielenie dostępu do takich danych lub ich przekazanie może być jednak w rzeczywistości niezgodne z prawem, w szczególności gdy wniosek jest sprzeczny z przepisami i gwarancjami UE dotyczącymi ochrony praw podstawowych osób fizycznych, interesów bezpieczeństwa narodowego lub szczególnie chronionych danych handlowych.

Akt w sprawie danych jest zgodny z aktem w sprawie zarządzania danymi w odniesieniu do przepisów mających na celu zapobieganie bezprawnemu dostępowi władz państw trzecich do danych nieosobowych przechowywanych w UE oraz ich przekazywaniu. Takie przepisy nie mają wpływu na regularną wymianę danych między przedsiębiorstwami. Zwiększają one przejrzystość i pewność prawa w odniesieniu do procesu i warunków, na jakich organy rządowe spoza UE mogą uzyskać dostęp do danych nieosobowych lub przekazać je organom rządowym spoza UE.

Rodzaje danych objętych zakresem

Wszelkie dane nieosobowe przechowywane w UE przez dostawcę usługi przetwarzania danych.

W praktyce

Akt w sprawie danych nie zakazuje transgranicznego przepływu danych, ale zapewnia, aby ochrona zapewniana danym w UE wiązała się z wszelkimi danymi przekazywanymi poza UE.

W tym kontekście w akcie w sprawie danych ustanowiono przepisy i zabezpieczenia dotyczące wniosków o dostęp składanych przez zagraniczny organ sektora publicznego do danych nieosobowych przechowywanych w Unii. Przepisy te nie mają wpływu na uzasadnioną współpracę międzynarodową w zakresie egzekwowania prawa.

Jeżeli nie istnieje umowa międzynarodowa regulująca dostęp rządu państwa trzeciego do danych nieosobowych znajdujących się w UE, dane te można przekazywać lub uzyskiwać do nich dostęp wyłącznie na określonych warunkach. Warunki te odnoszą się do pewnych gwarancji chroniących prawa europejskie, które muszą być spełnione przez system prawny państwa trzeciego, w tym wymogu przedstawienia powodów i oceny proporcjonalności w decyzji. Dostawca usług przetwarzania danych, którego dotyczy taka decyzja, może skontaktować się z odpowiednim organem krajowym, aby pomóc w ocenie, czy spełnione są warunki określone w akcie w sprawie danych. Aby pomóc w ocenie, czy warunki te zostały spełnione, Komisja Europejska opracuje wytyczne wraz z Europejską Radą ds. Innowacji w zakresie Danych (grupą ekspertów ustanowioną na mocy aktu w sprawie zarządzania danymi w celu ułatwienia wymiany najlepszych praktyk i priorytetowego traktowania międzysektorowych norm interoperacyjności).

Dostawcy usług przetwarzania danych powinni podjąć wszelkie uzasadnione środki (np. szyfrowanie, audyty, przestrzeganie systemów certyfikacji) w celu uniemożliwienia dostępu do systemów, w których przechowują dane nieosobowe. Środki te powinny być publikowane na ich stronach internetowych. Ponadto w miarę możliwości powinni oni informować swoich klientów przed udzieleniem dostępu do swoich danych.

Dlaczego?

Normy i interoperacyjność mają kluczowe znaczenie dla zapewnienia, aby dane z różnych źródeł mogły być wykorzystywane w ramach wspólnych europejskich przestrzeni danych i między nimi w celu wspierania badań naukowych i opracowywania nowych produktów lub usług. W tym celu w akcie w sprawie danych ustanowiono pewne zasadnicze wymogi, które muszą spełniać uczestnicy przestrzeni danych i które Komisja Europejska może doprecyzować w drodze aktów delegowanych.

Ma on również na celu zapewnienie interoperacyjności między usługami przetwarzania danych; ma to zasadnicze znaczenie, jeśli klienci mają skorzystać z łatwiejszej zmiany dostawcy.

Kluczowe zainteresowane strony

Niniejszy rozdział jest skierowany do uczestników przestrzeni danych, którzy oferują dane lub usługi oparte na danych innym uczestnikom i którzy ułatwiają udostępnianie danych w przestrzeni danych lub angażują się w takie udostępnianie.

Dotyczy to również dostawców inteligentnych umów, a także dostawców usług przetwarzania danych.

W praktyce

Uczestnicy przestrzeni danych powinni spełniać szereg zasadniczych wymogów, aby umożliwić przepływ danych w przestrzeni danych i między nimi. Na przykład opis struktur danych, formatów danych i słowników, o ile są dostępne, powinien być publicznie dostępny. Ponadto należy zapewnić środki zapewniające interoperacyjność umów o udostępnianiu danych, takich jak inteligentne umowy.

Akt w sprawie danych przygotowuje również grunt pod zwiększenie interoperacyjności usług przetwarzania danych dzięki zharmonizowanym normom i otwartym specyfikacjom interoperacyjności.

Ponadto określono w nim wymogi dla sprzedawców inteligentnych umów dotyczące zautomatyzowanego wykonywania umów o udostępnianiu danych, na przykład w celu zapewnienia prawidłowego wykonywania przez nich postanowień umowy o udostępnianiu danych i odporności na manipulacje ze strony osób trzecich.

Komisja oceni bariery utrudniające interoperacyjność i priorytetowo potraktuje potrzeby w zakresie normalizacji, na podstawie których może zwrócić się do europejskich organizacji normalizacyjnych o opracowanie norm zharmonizowanych zgodnych z wyżej wymienionymi wymogami.

Jeżeli wniosek nie prowadzi do opracowania normy zharmonizowanej lub jeżeli norma jest niewystarczająca do zapewnienia zgodności z aktem w sprawie danych, Komisja może przyjąć wspólne specyfikacje jako rozwiązanie awaryjne. Powinny one być opracowywane w sposób otwarty i sprzyjający włączeniu społecznemu, z uwzględnieniem informacji zwrotnych od Europejskiej Rady ds. Innowacji w zakresie Danych.

Państwa członkowskie wyznaczą co najmniej jeden (nowy lub istniejący) właściwy organ w celu zapewnienia skutecznego wdrożenia aktu w sprawie danych. W przypadku gdy istnieje wiele właściwych organów, państwa członkowskie muszą wyznaczyć jeden z nich na „koordynatora danych”. Koordynator danych będzie działał jako punkt kompleksowej obsługi we wszystkich kwestiach związanych z wdrażaniem aktu w sprawie danych na szczeblu krajowym, ułatwiając stosowanie zarówno przez przedsiębiorstwa, jak i organy publiczne. Na przykład jeżeli przedsiębiorstwo dochodzi zadośćuczynienia za naruszenie praw przysługujących mu na mocy aktu w sprawie danych, koordynator danych powinien (na żądanie) udzielić wszelkich niezbędnych informacji, aby pomóc mu w złożeniu skargi do odpowiedniego właściwego organu. Koordynator danych ułatwi również współpracę w sytuacjach transgranicznych, na przykład gdy właściwy organ z danego państwa członkowskiego nie wie, do którego organu powinien się zwrócić w państwie członkowskim koordynatora danych.

Komisja będzie prowadzić publiczny rejestr właściwych organów i koordynatorów danych.

Europejska Rada ds. Innowacji w zakresie Danych ułatwi dyskusje między właściwymi organami, na przykład w celu koordynacji i przyjęcia zaleceń dotyczących ustalania sankcji za naruszenia aktu w sprawie danych. Kary są ustalane przez właściwe organy, a zgodnie z aktem w sprawie danych powinny istnieć skuteczne, proporcjonalne i odstraszające kary.

Państwa członkowskie mogą, jeśli sobie tego życzą, ustanowić certyfikowane organy rozstrzygania sporów, aby pomóc stronom, które nie mogą uzgodnić sprawiedliwych, rozsądnych i niedyskryminacyjnych warunków udostępniania danych. Strony mogą zwrócić się do dowolnego organu rozstrzygania sporów – w państwie członkowskim, w którym mają siedzibę, albo w innym.

Certyfikowane mechanizmy rozstrzygania sporów i wyspecjalizowane właściwe organy ułatwią przedsiębiorstwom, w szczególności małym przedsiębiorstwom, egzekwowanie ich praw wynikających z aktu w sprawie danych, ponieważ oferują one zainteresowanym stronom proste, szybkie i tanie rozwiązanie.