Objaśnienie ustawy o zarządzaniu danymi

Potencjał gospodarczy i społeczny danych jest ogromny: może on umożliwić nowe produkty i usługi oparte na nowych technologiach, zwiększyć wydajność produkcji i zapewnić narzędzia do walki z wyzwaniami społecznymi. Na przykład w dziedzinie zdrowia dane mogą przyczynić się do zapewnienia lepszej opieki zdrowotnej, poprawy spersonalizowanych metod leczenia i pomocy w leczeniu chorób rzadkich lub przewlekłych. Jest również potężnym motorem innowacji i nowych miejsc pracy oraz kluczowym zasobem dla przedsiębiorstw typu start-up i MŚP.

Jednak ten potencjał nie jest realizowany. Wymiana danych w UE jest nadal ograniczona ze względu na szereg przeszkód (w tym niskie zaufanie do wymiany danych, kwestie związane z ponownym wykorzystywaniem danych sektora publicznego i gromadzeniem danych dla wspólnego dobra, a także przeszkody techniczne).

Aby naprawdę wykorzystać ten ogromny potencjał, należy udostępnić więcej danych, dzielić się nimi z ufnością i technicznie łatwym do ponownego wykorzystania.

Ustawa o zarządzaniu danymi (DGA) jest instrumentem międzysektorowym, którego celem jest udostępnianie większej liczby danych poprzez regulację ponownego wykorzystywania danych publicznie/utrzymywanych, chronionych, poprzez usprawnienie wymiany danych poprzez regulację nowych pośredników w zakresie danych oraz poprzez zachęcanie do udostępniania danych do celów altruistycznych. Zarówno dane osobowe, jak i nieosobowe są objęte zakresem DGA, a w przypadku danych osobowych zastosowanie ma ogólne rozporządzenie o ochronie danych (RODO). Oprócz RODO wbudowane zabezpieczenia zwiększą zaufanie do udostępniania i ponownego wykorzystywania danych, co jest warunkiem wstępnym udostępnienia większej liczby danych na rynku.

Ponowne wykorzystywanie niektórych kategorii danych będących w posiadaniu organów sektora publicznego

Jakie są kluczowe cele?

Dyrektywa w sprawie otwartych danych reguluje ponowne wykorzystywanie publicznie/dostępnych informacji będących w posiadaniu sektora publicznego. Sektor publiczny posiada jednak również ogromne ilości danych chronionych (np. danych osobowych i poufnych informacji handlowych), których nie można ponownie wykorzystać jako otwarte dane, ale które mogłyby zostać ponownie wykorzystane na mocy konkretnych przepisów unijnych lub krajowych. Bogactwo wiedzy można uzyskać z takich danych bez uszczerbku dla ich chronionego charakteru, a DGA przewiduje przepisy i zabezpieczenia ułatwiające takie ponowne wykorzystywanie, gdy tylko jest to możliwe na mocy innych przepisów.  

Jak to działa w praktyce?

• Wymagania techniczne dla sektora publicznego: Państwa członkowskie będą musiały być wyposażone pod względem technicznym, aby zapewnić pełne poszanowanie prywatności i poufności danych w sytuacjach ponownego wykorzystywania. Może to obejmować szereg narzędzi, od rozwiązań technicznych, takich jak anonimizacja, pseudonimizacja lub dostęp do danych w bezpiecznych środowiskach przetwarzania (np. w salach danych) nadzorowanych przez sektor publiczny, po środki umowne, takie jak umowy o zachowaniu poufności zawarte między organem sektora publicznego a ponownym użytkownikiem.
• Pomoc ze strony organu sektora publicznego: Jeżeli organ sektora publicznego nie może udzielić dostępu do niektórych danych w celu ich ponownego wykorzystywania, powinien pomóc potencjalnemu ponownemu użytkownikowi w uzyskaniu zgody osoby fizycznej na ponowne wykorzystywanie jej danych) lub zezwolenia posiadacza danych, na którego prawa lub interesy mogą mieć wpływ ponowne wykorzystywanie. Ponadto informacje poufne (np. tajemnice handlowe) mogą być ujawnianedo ponownego wykorzystania wyłącznie za taką zgodą lub zezwoleniem.
• Aby dane były jeszcze bardziej publicznie dostępne do ponownego wykorzystywania, DGA ogranicza poleganie na umowach dotyczących ponownego wykorzystywania danych (w których organ sektora publicznego przyznaje takie wyłączne prawo jednemu przedsiębiorstwu) do konkretnych przypadków interesu publicznego.
• Rozsądne opłaty: organy sektora publicznego mogą pobierać opłaty za zezwolenie na ponowne wykorzystywanie, o ile opłaty te nie przekraczają niezbędnych kosztów. Ponadto organy sektora publicznego powinny zachęcać do ponownego wykorzystywania do celów badań naukowych i innych celów niekomercyjnych, a także przez MŚP i przedsiębiorstwa typu start-up, ograniczając lub nawet wyłączając opłaty.
• Organ sektora publicznego będzie miał do dwóch miesięcy na podjęcie decyzji w sprawie wniosku o ponowne wykorzystanie.
• Państwa członkowskie mogą wybrać, które właściwe organy będą wspierać organy sektora publicznego udzielające dostępu do ponownego wykorzystywania, na przykład poprzez zapewnienie im bezpiecznego środowiska przetwarzania oraz doradzanie im, jak najlepiej ustrukturyzować i przechowywać dane w celu ich łatwego dostępu.
• Aby pomóc potencjalnym ponownym użytkownikom w znalezieniu istotnych informacji na temat tego, jakie dane znajdują się w posiadaniu organów publicznych, państwa członkowskie będą zobowiązane do utworzenia jednego punktu informacyjnego. Komisja utworzy europejski jednolity punkt dostępu (z możliwym do przeszukiwania rejestrem informacji zebranych przez krajowe pojedyncze punkty informacyjne) w celu dalszego ułatwienia ponownego wykorzystywania danych na rynku wewnętrznym i poza nim.

Przykłady

• Fiński organ ds. danych społecznych i zdrowotnych umożliwia Findata rozpatrywanie wniosków i udzielanie dostępu do danych w celu ich ponownego wykorzystania. Przykładami źródeł danych Findaty są zakład ubezpieczeń społecznych, rejestr emerytalno-rentowy i rejestr ludności.
• Francuska firma DAMAE Medical udoskonala technologię LC-OCT (Line-field Confocal Optical Coherence Tomography), która zapewnia dostęp do obrazowania rozdzielczości komórkowej wewnętrznej mikrostruktur skóry aż do skóry właściwej, natychmiast i nieinwazyjnie, dzięki nowym danym szkoleniowym udostępnionym za pośrednictwem francuskiego centrum danych dotyczących zdrowia. Celem projektu jest poprawa zdolności tej technologii do lepszej identyfikacji potencjalnych objawów raka skóry i lepszego określenia obszaru interwencji chirurgicznej.

Usługi pośrednictwa w zakresie danych

Jakie są kluczowe cele?

Wiele firm obawia się obecnie, że udostępnienie ich danych oznaczałoby utratę przewagi konkurencyjnej i stanowiło ryzyko nadużycia. DGA określa zbiór zasad dla dostawców usług pośrednictwa w zakresie danych (tzw. pośredników w zakresie danych, takich jak platformy danych) w celu zapewnienia, że będą oni pełnić funkcję wiarygodnych organizatorów wymiany danych lub łączenia danych w ramach wspólnych europejskich przestrzeni danych. Aby zwiększyć zaufanie do wymiany danych, w nowym podejściu proponuje się model oparty na neutralności i przejrzystości pośredników w zakresie danych, przy jednoczesnym zapewnieniu kontroli nad ich danymi przez osoby fizyczne i przedsiębiorstwa.

Jak to działa w praktyce?

Ramy te oferują alternatywny model dla praktyk przetwarzania danych platform Big Tech, które mają dużą siłę rynkową, ponieważ kontrolują duże ilości danych.

W praktyce pośrednicy w zakresie danych będą działać jako neutralne strony trzecie, które łączą osoby fizyczne i przedsiębiorstwa z jednej strony z użytkownikami danych z drugiej strony. Nie mogą zarabiać na danych (np. sprzedając je innemu przedsiębiorstwu lub wykorzystując je do opracowania własnego produktu na podstawie tych danych) i będą musieli przestrzegać rygorystycznych wymogów w celu zapewnienia tej neutralności i uniknięcia konfliktów interesów. W praktyce oznacza to, że konieczne jest strukturalne oddzielenie usługi pośrednictwa w zakresie danych od wszelkich innych świadczonych usług (tj. muszą one być prawnie oddzielone). Ponadto warunki handlowe (w tym ceny) dotyczące świadczenia usług pośrednictwa nie powinny być uzależnione od tego, czy potencjalny posiadacz danych czy użytkownik danych korzysta z innych usług. Wszelkie pozyskane dane i metadane mogą być wykorzystywane wyłącznie w celu usprawnienia usługi pośrednictwa w zakresie danych.

Zarówno niezależne organizacje świadczące wyłącznie usługi pośrednictwa w zakresie danych, jak i przedsiębiorstwa oferujące usługi pośrednictwa w zakresie danych oprócz innych usług mogłyby funkcjonować jako zaufani pośrednicy. W tym ostatnim przypadku działalność w zakresie pośrednictwa w zakresie danych musi być ściśle oddzielona, zarówno pod względem prawnym, jak i ekonomicznym, od innych usług w zakresie danych.

W ramach DGA pośrednicy w zakresie danych będą zobowiązani do powiadomienia właściwego organu o zamiarze świadczenia takich usług. Właściwy organ dopilnuje, aby procedura powiadamiania była niedyskryminacyjna i nie zakłócała konkurencji, oraz potwierdzi, że dostawca usług pośrednictwa w zakresie danych przedłożył zgłoszenie zawierające wszystkie wymagane informacje.

Po otrzymaniu takiego potwierdzenia pośrednik w zakresie danych może zgodnie z prawem rozpocząć eksploatację i używać etykiety „dostawca usług pośrednictwa w zakresie danych uznany w Unii” w komunikacji pisemnej i ustnej, a także wspólnego logo. Organy te będą również monitorować zgodność z wymogami dotyczącymi pośrednictwa w zakresie danych, a Komisja będzie prowadzić centralny rejestr pośredników w zakresie danych.

Przykłady

Dzięki Data Intelligence Hub Deutsche Telekom oferuje rynek danych, na którym firmy mogą bezpiecznie zarządzać, dostarczać i zarabiać na dobrej jakości informacji, na przykład danych produkcyjnych, w celu optymalizacji procesów lub całych łańcuchów wartości. Telekom pełni rolę neutralnego powiernika i gwarantuje suwerenność danych poprzez zdecentralizowane zarządzanie danymi. Obecnie na platformie działa ponad 1000 użytkowników z ponad 100 różnych firm.

Dawex to francuska firma, która określa się jako „globalny rynek danych”.  Dawex nie kupuje ani nie sprzedaje danych, ale łączy firmy zainteresowane monetyzacją i ponownym wykorzystywaniem danych oraz wspiera przejrzystość między dostawcami danych a użytkownikami poprzez zapewnienie, że komunikują się i przeprowadzają transakcję bezpośrednio na swojej platformie. Dawex opracował serię narzędzi, które pomagają zarówno dostawcom danych, jak i użytkownikom w zrozumieniu, ocenie i przekazywaniu danych. Narzędzia wizualizacji (np. mapy ciepła, mapy drzew) dostarczają użytkownikom danych różnych informacji na temat kompletnego zbioru danych, które można bezpiecznie udostępnić przed zakończeniem transakcji. Narzędzia do pobierania próbek automatycznie generują reprezentatywne próbki danych w oparciu o algorytmy, aby uniknąć stronniczości. Użytkownicy danych i dostawcy danych komunikują się za pomocą narzędzia do przesyłania wiadomości wbudowanego w platformę. Dodatkowo Dawex wspiera negocjowanie umowy poprzez wzorcowe warunki, które mogą być generowane automatycznie.

API-AGRO to centrum wymiany danych rolniczych, które wykorzystuje technologię Dawex. Technologia ta sprzyja tworzeniu ekosystemu rolnego obejmującego wiele podmiotów i neutralnego pośrednika (platformę Api-Agro), w którym istnieje wyraźny podział między rolą pośredniczącą a innymi działaniami związanymi z wykorzystaniem danych. API-Agro nie monetyzuje danych, ale działa jako neutralna strona trzecia, która łączy posiadaczy danych i użytkowników danych.

Altruizm danych

Jakie są kluczowe cele?

Altruizm danych polega na tym, że osoby fizyczne i firmy wyrażają zgodę lub zgodę na udostępnianie danych, które generują – dobrowolnie i bez nagrody – do wykorzystania w interesie publicznym. Dane te mają ogromny potencjał do prowadzenia badań i opracowywania lepszych produktów i usług, w tym w dziedzinie zdrowia, środowiska i mobilności.

Badania wskazują, że chociaż w zasadzie istnieje chęć angażowania się w altruizm danych, w praktyce utrudnia to brak narzędzi do udostępniania danych. W związku z tym celem ustawy o zarządzaniu danymi jest stworzenie zaufanych narzędzi, które umożliwią łatwe udostępnianie danych z korzyścią dla społeczeństwa. Stworzy to odpowiednie warunki, aby zapewnić osobom fizycznym i firmom, że udostępniając swoje dane, będą one obsługiwane przez zaufane organizacje w oparciu o wartości i zasady UE. Umożliwi to tworzenie puli danych o wystarczającej wielkości, aby umożliwić analizę danych i uczenie maszynowe, w tym ponad granicami.

Jak to działa w praktyce?

Podmioty, które udostępniają odpowiednie dane oparte na altruistycznym podejściu do danych, będą mogły rejestrować się jako „organizacje o altruistycznym podejściu do danych uznane w Unii”. Podmioty te muszą mieć charakter niekomercyjny i spełniać wymogi przejrzystości, a także zapewniać szczególne zabezpieczenia w celu ochrony praw i interesów obywateli i przedsiębiorstw udostępniających swoje dane. Ponadto muszą one przestrzegać zbioru przepisów (najpóźniej 18 miesięcy po jego wejściu w życie), w którym zostaną określone wymogi informacyjne, wymogi techniczne i wymogi bezpieczeństwa, plany działania w zakresie komunikacji oraz zalecenia dotyczące norm interoperacyjności. Zbiór przepisów zostanie opracowany przez Komisję w ścisłej współpracy z organizacjami o altruistycznym podejściu do danych i innymi zainteresowanymi stronami.

Podmioty będą mogły korzystać ze wspólnego logo zaprojektowanego do tego celu i mogą wybrać włączenie do publicznego rejestru organizacji o altruistycznym podejściu do danych. Komisja utworzy rejestr uznanych organizacji danych/altruistycznych organizacji na szczeblu UE w celach informacyjnych.  

Wspólny europejski formularz zgody na altruistyczne podejście do danych umożliwi gromadzenie danych we wszystkich państwach członkowskich w jednolitym formacie, dzięki czemu podmioty, które udostępniają swoje dane, będą mogły łatwo wyrazić i wycofać swoją zgodę. Zapewni to również pewność prawną badaczom i przedsiębiorstwom, które chcą korzystać z danych opartych na altruizmie. Będzie to forma modułowa, która może być dostosowana do potrzeb określonych sektorów i celów.

Przykłady

MyData Global ma na celu „umocnienie osób fizycznych poprzez poprawę ich prawa do samostanowienia w odniesieniu do ich danych osobowych”. Chociaż ogólny cel wykracza poza altruizm danych, organizacja zapewnia zaufany interfejs dla członków, aby wyrazić zgodę na wykorzystanie ich danych osobowych do określonych celów.

Platforma Smart Citizen umożliwia obywatelom dzielenie się danymi dotyczącymi poziomu hałasu i zanieczyszczenia w ich domu, zbieranymi za pomocą czujników. Zapewnia to niezbędne informacje do mapowania hałasu i jakości powietrza, a naukowcom i rządom do opracowania ukierunkowanych rozwiązań tych problemów.

Niemiecka aplikacja Corona-Datenspende-App została stworzona do zbierania danych (np. tętno, temperatura ciała, ciśnienie krwi, wzory snu) z bransoletek fitness i smartwatchy. Dzięki monitorowaniu tych danych naukowcy mogli na wczesnym etapie zidentyfikować możliwe hotspoty Covid-19.

Europejska Rada ds. Innowacji w zakresie Danych

Jakie są kluczowe cele?

Jak przewidziano w DGA, Komisja ustanowi Europejską Radę ds. Innowacji w zakresie Danych (EDIB), aby ułatwić wymianę najlepszych praktyk, w szczególności w zakresie pośrednictwa w zakresie danych, altruistycznego podejścia do danych i wykorzystywania danych publicznych, których nie można udostępniać jako otwarte dane, a także ustalania priorytetów w zakresie międzysektorowych standardów interoperacyjności.

Jak to działa w praktyce?

W skład EDIB wchodzą przedstawiciele następujących podmiotów:

• Właściwe organy państw członkowskich ds. pośrednictwa w zakresie danych
• Właściwe organy państw członkowskich ds. altruistycznego podejścia do danych
• Europejska Rada Ochrony Danych
• Europejski Inspektor Ochrony Danych
• Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA)
• Komisja Europejska
• wysłannik UE ds. MŚP/przedstawiciel wyznaczony przez sieć wysłanników ds. MŚP
• inni przedstawiciele odpowiednich organów (Komisja ogłosi w tym celu zaproszenie do zgłaszania ekspertów)

Będzie działać poprzez co najmniej trzy podgrupy:

1. podgrupę składającą się z przedstawicieli właściwych organów państw członkowskich,
2. podgrupy ds. dyskusji technicznych na temat normalizacji, przenoszenia i interoperacyjności, oraz
3. podgrupa ds. zaangażowania zainteresowanych stron.

Przykłady

EDIB będzie uprawniony do proponowania wytycznych dotyczących wspólnych europejskich przestrzeni danych, na przykład w sprawie odpowiedniej ochrony przekazywania danych poza terytorium Unii.

Międzynarodowe przepływy danych

Jakie są kluczowe cele?

W europejskiej strategii na rzecz danych z lutego 2020 r. uznano znaczenie otwartego, ale asertywnego podejścia do międzynarodowych przepływów danych.

Międzynarodowe przekazywanie danych może uwolnić znaczny potencjał społeczno-gospodarczy ogromnej ilości danych generowanych w UE, zwiększając tym samym międzynarodową konkurencyjność Unii na arenie światowej, przyczyniając się jednocześnie do wzrostu gospodarczego, który ma kluczowe znaczenie zwłaszcza w erze odbudowy po pandemii COVID-19.

Chociaż DGA odgrywa kluczową rolę we wzmacnianiu otwartej strategicznej autonomii Unii Europejskiej, przyczynia się również do budowania zaufania do międzynarodowych przepływów danych.

Jak to działa w praktyce?

Chociaż RODO wprowadziło wszystkie niezbędne zabezpieczenia w kontekście danych osobowych, to dzięki DGA istnieją podobne zabezpieczenia dla wniosków o dostęp z państw trzecich w kontekście danych nieosobowych.

Zabezpieczenia te dotyczą wszystkich scenariuszy i przepisów ustanowionych przez DGA, a mianowicie danych sektora publicznego, usług pośrednictwa w zakresie danych i konstelacji altruistycznego podejścia do danych. Ponowny użytkownik w państwie trzecim będzie musiał zapewnić taki sam poziom ochrony danych, jak poziom ochrony zapewniony w prawie UE, a także zaakceptować odpowiednią jurysdykcję UE.  

Jeżeli uzna to za konieczne, Komisja może przyjąć dodatkowe decyzje stwierdzające odpowiedni stopień ochrony w odniesieniu do przekazywania publicznie chronionych danych do ponownego wykorzystywania w przypadku wniosku o dostęp w odniesieniu do danych nieosobowych z państwa trzeciego. Decyzje stwierdzające odpowiedni stopień ochrony będą podobne do decyzji stwierdzających odpowiedni stopień ochrony związanych z przekazywaniem danych osobowych na mocy RODO.

Ponadto DGA uprawnia Komisję do udostępniania modelowych klauzul umownych organom sektora publicznego i ponownym użytkownikom w przypadku scenariuszy, w których dane sektora publicznego są zaangażowane w przekazywanie danych do państw trzecich.