Legea privind datele explicată

De ce?

Un obiectiv-cheie al Legii privind datele este de a crea echitate în economia datelor și de a permite utilizatorilor să valorifice datele pe care le generează utilizând produsele conectate pe care le dețin, le închiriază sau le închiriază.

Regulamentul privind datele le permite utilizatorilor de produse conectate (de exemplu, autoturisme conectate, dispozitive medicale și de fitness, utilaje industriale sau agricole) și de servicii conexe (și anume, orice lucru care ar face ca un produs conectat să se comporte într-un anumit mod, cum ar fi o aplicație pentru ajustarea luminozității luminilor sau pentru reglarea temperaturii unui frigider) să acceseze datele pe care le creează în comun prin utilizarea produselor conectate/serviciilor conexe.

Disponibilitatea acestor date va avea un impact semnificativ asupra economiei. De exemplu, datele generate de produsele conectate și de serviciile conexe pot fi utilizate pentru a stimula serviciile postvânzare și serviciile auxiliare, precum și pentru a crea servicii complet noi, în beneficiul atât al întreprinderilor, cât și al consumatorilor. 

Tipuri de date care intră în domeniul de aplicare

Capitolul II din Legea privind datele referitor la schimbul de date între întreprinderi și între întreprinderi și consumatori se aplică tuturor datelor brute și preprocesate generate prin utilizarea unui produs conectat sau a unui serviciu conex care sunt ușor accesibile deținătorului de date (de exemplu, producătorul unui produs conectat/furnizorul unui serviciu conex), cu alte cuvinte date care pot fi accesate cu ușurință fără eforturi disproporționate, depășind o simplă operațiune. Acest lucru se aplică atât datelor cu caracter personal, cât și celor fără caracter personal, inclusiv metadatelor relevante.

Aceste date includ datele colectate de la un singur senzor sau de la un grup conectat de senzori, cum ar fi temperatura, presiunea, debitul, valoarea audio, valoarea pH-ului, nivelul lichidului, poziția, accelerația sau viteza.

Datele și conținutul deduse sau derivate (de exemplu, date foarte îmbogățite, materiale audiovizuale) nu intră în domeniul de aplicare. În plus, Legea privind datele nu aduce atingere legislației privind protecția drepturilor de proprietate intelectuală.

În practică

Capitolul II din Legea privind datele le permite utilizatorilor (și anume, orice persoană fizică sau juridică care deține, închiriază sau închiriază un produs conectat) să acceseze datele pe care le generează prin utilizarea produsului conectat sau a serviciului conex. În cazul în care utilizatorul dorește să partajeze aceste date cu o altă entitate sau persoană fizică („terț”),acesta poate fie să facă acest lucru în mod direct, fie să solicite deținătorului de date să le partajeze cu o parte terță la alegerea sa (cu excepția gatekeeperilor în temeiul Actului legislativ privind piețele digitale). Deținătorul de date este, de regulă, societatea care fabrică produsul conectat sau care furnizează un serviciu conex. Un deținător de date trebuie să aibă un contract cu utilizatorul (de exemplu, un contract de vânzare, un contract de închiriere, un contract de servicii conexe etc.) care să definească drepturile privind accesul, utilizarea și partajarea datelor generate de produsul conectat sau de serviciul conex. Este important de remarcat faptul că deținătorul de date nu poate utiliza niciun fel de date fără caracter personal generate de produs fără acordul utilizatorului.

Cu titlu de exemplu și ținând seama de faptul că contractul relevant stabilește rolurile exacte:

• O companie operează un buldozer: deținătorul de date ar fi, de regulă, producătorul buldozerului, iar utilizatorul ar fi societatea care operează buldozerul.  

• Dacă cineva cumpără un frigider conectat și descarcă o aplicație care îl ajută să regleze temperatura optimă pentru conținutul frigiderului, ar putea exista doi deținători de date, și anume entitatea care a introdus frigiderul pe piață și entitatea care oferă serviciul conex (aplicația) și un singur utilizator (proprietarul frigiderului).

Legea privind datele include mai multe mecanisme pentru a facilita utilizarea acestor dispoziții de către utilizatori: deținătorii de date trebuie să furnizeze utilizatorului informații cu privire la tipul de date pe care le vor genera atunci când utilizează produsul conectat sau serviciul conex (inclusiv volumul, frecvența colectării etc.); utilizatorii ar trebui să poată solicita accesul la date printr-un proces simplu și deținătorii de date trebuie să pună datele la dispoziția utilizatorilor în mod gratuit.

Limitări privind utilizarea datelor

Pentru a nu descuraja întreprinderile să investească în produse generatoare de date, datele obținute nu pot fi utilizate pentru a dezvolta un produs conectat concurent. Legea privind datele nu interzice concurența în ceea ce privește serviciile conexe sau serviciile postvânzare. În plus, nu există nicio obligație în temeiul Legii privind datele ca un deținător de date să partajeze date cu părți terțe cu sediul în afara UE.

Legea privind datele respectă pe deplin normele de protecție a datelor, în special RGPD. În cazul în care utilizatorul nu este persoana vizată ale cărei date sunt solicitate, datele cu caracter personal pot fi puse la dispoziție numai dacă există un temei juridic valabil (de exemplu, consimțământul). Acesta este un aspect important, deoarece datele cogenerate conțin adesea atât date cu caracter personal, cât și date fără caracter personal, care pot fi dificil de separat.  

Aceasta stimulează dezvoltarea de produse și servicii conectate pe baza unor noi fluxuri de date, care au o valoare deosebită pentru întreprinderile mai mici. În plus, microîntreprinderile și întreprinderile mici, în calitate de producători sau furnizori de servicii conexe, nu sunt supuse acelorași obligații ca întreprinderile mai mari.

Pentru a proteja secretele comerciale fără a submina obiectivul Legii privind datele de a pune la dispoziție mai multe date, deținătorul de date și utilizatorul/terțul pot conveni asupra anumitor măsuri de păstrare a confidențialității secretelor comerciale. În cazul în care aceste măsuri nu sunt respectate, deținătorul de date poate refuza sau suspenda schimbul de date. Deținătorul de date poate refuza să partajeze date numai în cazul în care poate demonstra că este foarte probabil să sufere prejudicii economice grave ca urmare a divulgării secretelor comerciale.

Deținătorul de date și utilizatorul pot conveni să limiteze schimbul de date în cazul în care există riscul ca cerințele de securitate ale produsului conectat să fie subminate, ceea ce ar avea efecte negative grave asupra sănătății, siguranței sau securității persoanelor. Astfel de cerințe trebuie să fie prevăzute în legislația UE sau în legislația națională.

În cazul în care deținătorul de date suspendă, reține sau refuză să partajeze date din motive legate de protecția secretelor comerciale sau de cerințele de securitate, acesta trebuie să notifice autoritatea națională competentă. Utilizatorii pot contesta o astfel de decizie, fie în fața instanței competente a unui stat membru, printr-o plângere adresată autorității competente, fie cu acordul deținătorului de date în fața unui organism de soluționare a litigiilor.

De ce?

Legea privind datele introduce norme pentru situațiile în care o întreprindere („deținătorul de date”) are o obligație legală în temeiul legislației UE sau naționale de a pune date la dispoziția unei alte întreprinderi („destinatar de date”), inclusiv în contextul datelor IoT. În special, termenii și condițiile privind schimbul de date trebuie să fie echitabile, rezonabile și nediscriminatorii.

Ca stimulent pentru schimbul de date, deținătorii de date care sunt obligați să facă schimb de date pot solicita „compensații rezonabile” de la destinatarul datelor.

Tipuri de date care intră în domeniul de aplicare

Capitolul III din Legea privind datele se aplică tuturor datelor (atât cu caracter personal, cât și fără caracter personal) deținute de o întreprindere, inclusiv situațiilor reglementate de capitolul II din Legea privind datele.

În practică

Deținătorii de date pot solicita o compensație rezonabilă pentru punerea datelor la dispoziția unui destinatar al datelor. Acestea ar putea include costurile suportate pentru punerea la dispoziție a datelor, precum și costurile tehnice legate de diseminare și stocare. Cu toate acestea, microîntreprinderile, IMM-urile și organizațiile de cercetare non-profit nu pot fi taxate mai mult decât costurile suportate pentru punerea la dispoziție a datelor.

Pentru a proteja deținătorii de date, Legea privind datele include o listă neexhaustivă de măsuri de remediere a situațiilor în care o parte terță sau un utilizator a accesat sau a utilizat în mod ilegal date. De exemplu, un deținător de date ar putea solicita ca o parte care a săvârșit încălcarea să înceteze fabricarea produsului în cauză sau să distrugă datele pe care le-a obținut în mod ilegal sau ar putea solicita despăgubiri.

Nicio obligație privind schimbul de date care precedă Legea privind datele nu este afectată. Obligațiile din viitoarea legislație (sectorială) ar trebui aliniate la dispozițiile capitolului III din Legea privind datele.

De ce?

Libertatea contractuală este esențială pentru relațiile dintre întreprinderi. Cu toate acestea, Legea privind datele urmărește să protejeze toate întreprinderile europene care doresc să obțină date, în special IMM-urile, împotriva clauzelor contractuale abuzive prin măsurile sale de intervenție în situațiile în care, de exemplu, una dintre întreprinderi se află într-o poziție de negociere mai puternică (de exemplu, din cauza dimensiunii sale de piață) și impune o clauză nenegociabilă („take-it-or-leave-it”) legată de accesul la date și de utilizarea acestora, pe de altă parte.

Tipuri de date care intră în domeniul de aplicare

Aceste norme acoperă toate datele, atât cu caracter personal, cât și fără caracter personal, deținute de o entitate privată care este accesată și utilizată pe baza unui contract între întreprinderi.

În practică

Clauzele de tipul „take-it-or-leave-it” impuse unilateral pot face obiectul unui test privind caracterul abuziv în cazul în care se referă la punerea la dispoziție a datelor.

Legea privind datele stabilește o listă neexhaustivă de clauze care sunt întotdeauna considerate abuzive (de exemplu, care ar exclude sau ar limita răspunderea părții care a impus unilateral clauza pentru acte intenționate sau neglijență gravă) și de clauze care sunt prezumate a fi abuzive (de exemplu, care ar limita în mod necorespunzător căile de atac în cazul neexecutării obligațiilor contractuale sau al răspunderii în cazul încălcării obligațiilor respective sau ar extinde răspunderea întreprinderii căreia i-a fost impusă unilateral clauza). În cazul în care o clauză este considerată abuzivă, aceasta nu mai este valabilă – dacă este posibil, este pur și simplu separată de contract. În cazul în care se presupune că este abuzivă, entitatea care a impus clauza poate încerca să demonstreze că clauza nu este abuzivă.

De ce?

Pentru a asigura o piață competitivă în UE, clienții serviciilor de prelucrare a datelor (inclusiv ai serviciilor de cloud și ai serviciilor edge) ar trebui să poată trece fără probleme de la un furnizor la altul. Cu toate acestea, clienții se confruntă în prezent cu o serie de obstacole în acest sens, inclusiv cu taxe ridicate asociate, de exemplu, cu ieșirea datelor, cu proceduri îndelungate și cu o lipsă de interoperabilitate între furnizori, ceea ce poate duce la o pierdere de date și aplicații.

Legea privind datele va face trecerea liberă, rapidă și fluidă. Acest lucru va fi în beneficiul clienților, care pot alege în mod liber serviciile care răspund cel mai bine nevoilor lor, precum și al furnizorilor, care vor beneficia de un grup mai mare de clienți.

Domeniul de aplicare

Capitolul VI din Legea privind datele se aplică furnizorilor de servicii de prelucrare a datelor (și anume, servicii digitale care permit accesul omniprezent și la cerere la rețea, cum ar fi rețelele, serverele sau alte infrastructuri și programe informatice virtuale sau fizice). Datele esențiale pentru schimbarea furnizorului cuprind datele de intrare și de ieșire, inclusiv metadatele, generate de utilizarea serviciului de către client, cu excepția datelor protejate prin drepturi de proprietate intelectuală sau care constituie un secret comercial al furnizorului de servicii.  

În practică

Pentru a depăși dezechilibrul de putere dintre furnizori și clienți pe piața serviciilor de cloud, Legea privind datele stabilește cerințe minime pentru conținutul contractelor de cloud. În special, clienții din sectorul privat și public vor beneficia de o transparență contractuală mult mai mare.

Legea privind datele include măsuri pentru a se asigura că clienții pot trece rapid și fără probleme de la un furnizor de servicii de prelucrare a datelor (denumit în continuare „furnizorul-sursă”) la un alt furnizor (denumit în continuare „furnizorul de destinație”) și fără a pierde date sau funcționalitatea aplicațiilor. De exemplu, furnizorii de Platformă și Software ca Serviciu trebuie să pună la dispoziție interfețe deschise și, cel puțin, să exporte date într-un format utilizat în mod obișnuit și care poate fi citit automat. Furnizorii de infrastructură ca serviciu trebuie să ia măsuri pentru a facilita faptul că, în cazul în care un client trece la un serviciu de același tip, clientul obține rezultate comparabile din punct de vedere material ca răspuns la aceeași intrare pentru caracteristicile pe care le partajează ambele servicii („echivalență funcțională”). Ca exemplu de astfel de măsură, furnizorul sursă ar putea fi nevoit să utilizeze instrumente pentru a transfera volumul de muncă de calcul de la o tehnologie de virtualizare la alta. 

Toți furnizorii sunt obligați să elimine obstacolele cu care se pot confrunta clienții lor atunci când doresc să treacă la un alt furnizor sau să utilizeze mai multe servicii în același timp.

Legea privind datele va elimina, de asemenea, în întregime taxele de trecere la alt furnizor, inclusiv taxele pentru ieșirea datelor (și anume taxele pentru tranzitul de date), începând cu 12 ianuarie 2027. Aceasta înseamnă că furnizorii nu vor putea să își taxeze clienții pentru operațiunile necesare pentru a facilita schimbarea furnizorului sau pentru ieșirea datelor. Cu toate acestea, ca măsură tranzitorie în primii 3 ani de la intrarea în vigoare a Legii privind datele (de la 11 ianuarie 2024 până la 12 ianuarie 2027), furnizorii își pot percepe în continuare clienții pentru costurile suportate în legătură cu schimbarea furnizorului și cu ieșirea datelor.

De ce?

Uneori, o decizie sau o hotărâre emisă de o țară din afara UE („țară terță”) urmărește să permită accesul autorităților publice la datele fără caracter personal prelucrate și stocate în UE și transferul acestora. Cu toate acestea, în anumite cazuri, acordarea accesului la astfel de date sau transferul acestora poate fi efectiv ilegală, în special în cazul în care cererea intră în conflict cu legislația UE și cu garanțiile privind protecția drepturilor fundamentale ale persoanelor fizice, a intereselor naționale în materie de securitate sau a datelor sensibile din punct de vedere comercial.

Legea privind datele respectă Legea privind guvernanța datelor în ceea ce privește dispozițiile menite să prevină accesul ilegal al guvernelor țărilor terțe și transferul ilegal de date fără caracter personal deținute în UE. Astfel de dispoziții nu au niciun impact asupra schimbului regulat de date între întreprinderi. Acestea sporesc transparența și securitatea juridică în ceea ce privește procesul și condițiile în care datele fără caracter personal pot fi accesate sau transferate către organisme guvernamentale din afara UE.

Tipuri de date care intră în domeniul de aplicare

Orice date fără caracter personal deținute în UE de către un furnizor al unui serviciu de prelucrare a datelor.

În practică

Legea privind datele nu interzice fluxurile transfrontaliere de date, ci asigură faptul că protecția acordată datelor în UE călătorește cu orice date transferate în afara UE.

În acest context, Legea privind datele stabilește norme și garanții pentru cererile de acces ale unui organism din sectorul public străin la datele fără caracter personal deținute în Uniune. Aceste dispoziții nu aduc atingere cooperării internaționale legitime în materie de aplicare a legii.

În cazul în care nu există un acord internațional care să reglementeze accesul guvernului unei țări terțe la date fără caracter personal situate în UE, datele pot fi transferate sau accesate numai în anumite condiții. Aceste condiții se referă la anumite garanții care protejează drepturile europene și care trebuie îndeplinite de sistemul juridic al țării terțe, inclusiv cerința de a prezenta motivele și de a evalua proporționalitatea în decizie. Furnizorul de servicii de prelucrare a datelor căruia i se adresează o astfel de decizie poate contacta organismul național relevant pentru a evalua dacă sunt îndeplinite condițiile prevăzute în Legea privind datele. Pentru a contribui la evaluarea îndeplinirii acestor condiții, Comisia Europeană va elabora orientări împreună cu Comitetul european pentru inovare în domeniul datelor (un grup de experți instituit în temeiul Legii privind guvernanța datelor pentru a facilita schimbul de bune practici și pentru a acorda prioritate standardelor de interoperabilitate transsectoriale).

Furnizorii de servicii de prelucrare a datelor ar trebui să ia toate măsurile rezonabile (de exemplu, criptare, audituri, aderarea la sisteme de certificare) pentru a împiedica accesul la sistemele în care stochează date fără caracter personal. Aceste măsuri ar trebui publicate pe site-urile lor internet. În plus, ori de câte ori este posibil, aceștia ar trebui să își informeze clienții înainte de a acorda acces la datele lor.

De ce?

Standardele și interoperabilitatea sunt esențiale pentru a se asigura că datele din diferite surse pot fi utilizate în cadrul spațiilor europene comune ale datelor și între acestea pentru a stimula cercetarea și a dezvolta noi produse sau servicii. În acest scop, Legea privind datele stabilește unele cerințe esențiale pe care participanții la spațiile de date trebuie să le respecte și care pot fi specificate mai în detaliu de Comisia Europeană prin intermediul unor acte delegate.

Aceasta urmărește, de asemenea, să asigure interoperabilitatea între serviciile de prelucrare a datelor; acest lucru este esențial pentru ca clienții să beneficieze de o schimbare mai ușoară a furnizorului.

Principalele părți interesate

Prezentul capitol vizează participanții la spațiile de date care oferă date sau servicii bazate pe date altor participanți și care facilitează sau se implică în schimbul de date în spațiile de date.

De asemenea, se adresează furnizorilor de contracte inteligente, precum și furnizorilor de servicii de prelucrare a datelor.

În practică

Participanții la spațiul de date ar trebui să respecte mai multe cerințe esențiale pentru a permite fluxul de date în interiorul spațiilor de date și între acestea. De exemplu, o descriere a structurilor de date, a formatelor de date și a vocabularelor, dacă este disponibilă, ar trebui să fie accesibilă publicului. În plus, ar trebui asigurate mijloace de asigurare a interoperabilității acordurilor privind schimbul de date, cum ar fi contractele inteligente.

Legea privind datele pregătește, de asemenea, terenul pentru creșterea interoperabilității serviciilor de prelucrare a datelor prin standarde armonizate și specificații deschise de interoperabilitate.

În plus, aceasta stabilește cerințe pentru vânzătorii de contracte inteligente pentru executarea automată a acordurilor privind schimbul de date, de exemplu pentru a se asigura că aceștia îndeplinesc în mod corect dispozițiile acordului privind schimbul de date și rezistă manipulării de către terți.

Comisia va evalua barierele din calea interoperabilității și va acorda prioritate nevoilor de standardizare, pe baza cărora poate solicita organizației (organizațiilor) europene de standardizare să elaboreze standarde armonizate care să respecte cerințele menționate mai sus.

În cazul în care cererea nu conduce la un standard armonizat sau în cazul în care standardul este insuficient pentru a asigura conformitatea cu Legea privind datele, Comisia poate adopta specificații comune ca soluție alternativă. Acestea ar trebui dezvoltate într-un mod deschis și favorabil incluziunii, luând în considerare feedbackul din partea Comitetului european pentru inovare în domeniul datelor.

Statele membre vor desemna una sau mai multe autorități competente (noi sau existente) pentru a asigura punerea în aplicare eficientă a Legii privind datele. Ori de câte ori există mai multe autorități competente, statele membre trebuie să desemneze una dintre acestea drept „coordonator de date”. Coordonatorul de date va acționa ca „ghișeu unic” pentru toate aspectele legate de punerea în aplicare a Legii privind datele la nivel național, facilitând aplicarea atât pentru întreprinderi, cât și pentru autoritățile publice. De exemplu, în cazul în care o întreprindere solicită despăgubiri pentru încălcarea drepturilor sale în temeiul Legii privind datele, coordonatorul de date ar trebui (la cerere) să furnizeze toate informațiile necesare pentru a o ajuta să depună plângerea la autoritatea competentă corespunzătoare. Coordonatorul de date va facilita, de asemenea, colaborarea în situații transfrontaliere, cum ar fi atunci când o autoritate competentă dintr-un anumit stat membru nu știe la ce autoritate ar trebui să se adreseze în statul membru al coordonatorului de date.

Comisia va ține un registru public al autorităților competente și al coordonatorilor de date.

Comitetul european pentru inovare în domeniul datelor va facilita discuțiile dintre autoritățile competente, de exemplu pentru a coordona și a adopta recomandări privind stabilirea sancțiunilor pentru încălcarea Legii privind datele. Sancțiunile sunt stabilite de autoritățile competente și, în conformitate cu Legea privind datele, ar trebui să existe sancțiuni eficace, proporționale și disuasive.

Statele membre pot, dacă doresc, să înființeze organisme certificate de soluționare a litigiilor pentru a asista părțile care nu pot conveni asupra unor condiții echitabile, rezonabile și nediscriminatorii pentru punerea la dispoziție a datelor. Părțile sunt libere să se adreseze oricărui organism de soluționare a litigiilor – fie în statul membru în care sunt stabilite, fie în altul.

Mecanismele certificate de soluționare a litigiilor și autoritățile competente specializate vor facilita punerea în aplicare de către întreprinderi, în special de către întreprinderile mici, a drepturilor care le revin în temeiul Legii privind datele, deoarece acestea oferă părților implicate o soluție simplă, rapidă și cu costuri reduse.