Komplexný prehľad zákona o údajoch vrátane jeho cieľov a spôsobu jeho fungovania v praxi.
Prečo zákon o údajoch?
Zákon o údajoch je zákon, ktorého cieľom je posilniť dátové hospodárstvo EÚ a podporiť konkurencieschopný trh s údajmi tým, že sa údaje (najmä priemyselné údaje) stanú dostupnejšími a použiteľnejšími, podporí sa inovácia založená na údajoch a zvýši sa dostupnosť údajov. Na dosiahnutie tohto cieľa akt o údajoch zabezpečuje spravodlivosť pri rozdeľovaní hodnoty údajov medzi subjekty v dátovom hospodárstve. Objasňuje, kto môže použiť aké údaje a za akých podmienok.
V posledných rokoch došlo k rýchlemu nárastu dostupnosti produktov pripojených na internet (ďalej len „pripojené produkty“) na európskom trhu. Tieto výrobky, ktoré spolu tvoria sieť známu ako internet vecí (IoT), výrazne zvyšujú objem údajov dostupných na opätovné použitie v EÚ. To predstavuje obrovský potenciál pre inovácie a konkurencieschopnosť v EÚ.
Zákon o údajoch poskytuje používateľom pripojených produktov (podnikom alebo jednotlivcom, ktorí vlastnia, prenajímajú alebo prenajímajú takýto produkt) väčšiu kontrolu nad údajmi, ktoré generujú, pričom sa zachovávajú stimuly pre tých, ktorí investujú do dátových technológií. Okrem toho sa v ňom stanovujú všeobecné podmienky pre situácie, keď má podnik zákonnú povinnosť zdieľať údaje s iným podnikom.
Akt o údajoch obsahuje aj opatrenia na zvýšenie spravodlivosti a hospodárskej súťaže na európskom trhu s cloudom, ako aj na ochranu spoločností pred nekalými zmluvnými podmienkami týkajúcimi sa zdieľania údajov, ktoré ukladajú silnejší aktéri. Stanovuje sa v ňom aj mechanizmus, prostredníctvom ktorého môžu subjekty verejného sektora požadovať údaje od podniku v prípade výnimočnej potreby, napríklad v núdzových situáciách, a stanovuje jasné pravidlá, ako by sa takéto žiadosti mali podávať. Okrem toho zavádza záruky, aby sa zabránilo tomu, že vládne orgány z tretích krajín budú mať prístup k iným ako osobným údajom, ak by to bolo v rozpore s právom EÚ alebo vnútroštátnym právom. Napokon sa v akte o údajoch vymedzujú základné požiadavky týkajúce sa interoperability s cieľom zabezpečiť plynulý tok údajov medzi sektormi a členskými štátmi, ktoré uľahčujú spoločné európske dátové priestory, ako aj medzi poskytovateľmi služieb spracúvania údajov.
Akt o údajoch bol uverejnený v Úradnom vestníku EÚ 22. decembra 2023 a začne sa uplatňovať 12. septembra 2025.
Akt o údajoch dopĺňa Akt o správe údajov, ktorý je prvým výsledkom v rámci európskej dátovej stratégie. Akt o správe údajov sa začal uplatňovať v septembri 2023. Zatiaľ čo akt o správe údajov zvyšuje dôveru v mechanizmy dobrovoľného zdieľania údajov, akt o údajoch poskytuje právnu zrozumiteľnosť, pokiaľ ide o prístup k údajom a ich využívanie.
Tieto dve nariadenia spolu s ďalšími politickými opatreniami a možnosťami financovania prispejú k vytvoreniu jednotného trhu EÚ s údajmi, čím sa Európa stane lídrom v dátovom hospodárstve tým, že využije potenciál čoraz väčšieho množstva údajov, najmä priemyselných údajov, v prospech európskeho hospodárstva a spoločnosti.
Riešené otázky
V súlade so všeobecnými ustanoveniami (kapitola I), ktoré stanovujú rozsah pôsobnosti nariadenia a vymedzujú kľúčové pojmy, je zákon o údajoch rozdelený do šiestich hlavných kapitol:
Kapitola II o spoločnom využívaní údajov medzi podnikmi a spotrebiteľmi v kontexte internetu vecí: používatelia objektov IoT môžu pristupovať k údajom, ktoré spoločne generujú prostredníctvom svojho pripojeného produktu, používať ich a prenášať ich.
Kapitola III o spoločnom využívaní údajov medzi podnikmi: tým sa objasňujú podmienky zdieľania údajov vždy, keď je podnik zo zákona povinný, a to aj prostredníctvom zákona o údajoch, zdieľať údaje s iným podnikom.
Kapitola IV o nekalých zmluvných podmienkach: tieto ustanovenia chránia všetky podniky, najmä MSP, pred nekalými zmluvnými podmienkami, ktoré im boli uložené.
Kapitola V o spoločnom využívaní údajov medzi podnikmi a verejnou správou: subjekty verejného sektora budú môcť prijímať viac rozhodnutí založených na dôkazoch v určitých situáciách výnimočnej potreby prostredníctvom opatrení na prístup k určitým údajom v súkromnom sektore.
Kapitola VI o prechode medzi službami spracúvania údajov: poskytovatelia služieb cloud computingu a edge computingu musia spĺňať minimálne požiadavky na uľahčenie interoperability a umožnenie zmeny poskytovateľa.
Kapitola VII o neoprávnenom prístupe vlády tretích krajín k údajom: iné ako osobné údaje uchovávané v EÚ sú chránené pred nezákonnými žiadosťami o prístup zahraničnej vlády.
Kapitola VIII o interoperabilite: účastníci v dátových priestoroch musia spĺňať kritériá umožňujúce tok údajov v rámci dátových priestorov a medzi nimi. V registri EÚ sa stanovia príslušné normy a špecifikácie pre interoperabilitu cloudu.
Kapitola IX o výkone rozhodnutia: Členské štáty musia určiť jeden alebo viac príslušných orgánov na monitorovanie a presadzovanie aktu o údajoch. Ak je určený viac ako jeden orgán, musí byť vymenovaný „koordinátor údajov“, ktorý bude pôsobiť ako jednotné kontaktné miesto na vnútroštátnej úrovni.
Kapitola II: Zdieľanie údajov medzi podnikmi a spotrebiteľmi v kontexte trhu internetu vecí
Prečo?
Kľúčovým cieľom zákona o údajoch je vytvoriť spravodlivosť v dátovom hospodárstve a umožniť používateľom ťažiť z údajov, ktoré generujú pomocou pripojených produktov, ktoré vlastnia, prenajímajú alebo prenajímajú.
Zákon o údajoch umožňuje používateľom pripojených produktov (napr. pripojených automobilov, zdravotníckych pomôcok a pomôcok na kondíciu, priemyselných alebo poľnohospodárskych strojov) a súvisiacich služieb (t. j. čokoľvek, čo by spôsobilo, že pripojený produkt by sa správal konkrétnym spôsobom, ako je napríklad aplikácia na úpravu jasu svetiel alebo na reguláciu teploty chladničky) prístup k údajom, ktoré spoločne vytvárajú pomocou pripojených produktov/súvisiacich služieb.
Dostupnosť takýchto údajov bude mať významný vplyv na hospodárstvo. Napríklad údaje generované prepojenými produktmi a súvisiacimi službami sa môžu použiť na podporu popredajných a doplnkových služieb, ako aj na vytvorenie úplne nových služieb v prospech podnikov aj spotrebiteľov.
Príklady prepojených produktov: spotrebné výrobky (napr. prepojené autá, zariadenia na monitorovanie zdravia, inteligentné domáce zariadenia), iné výrobky (napr. lietadlá, roboty, priemyselné stroje).
Príklad súvisiacej služby: používateľ si kúpi práčku a nainštaluje aplikáciu, ktorá mu umožňuje merať vplyv pracieho cyklu na životné prostredie na základe údajov z rôznych senzorov vo vnútri stroja a podľa toho upraví cyklus. Táto aplikácia by sa považovala za súvisiacu službu.
Príklady popredajných a doplnkových služieb: opravy a údržba, poistenie založené na údajoch.
Typy údajov v rozsahu
Kapitola II zákona o údajoch týkajúcich sa zdieľania údajov medzi podnikmi a medzi podnikmi a spotrebiteľmi sa vzťahuje na všetky nespracované a vopred spracované údaje získané používaním prepojeného produktu alebo súvisiacej služby, ktoré sú ľahko dostupné držiteľovi údajov (napr. výrobca prepojeného produktu/poskytovateľ súvisiacej služby), inými slovami údaje, ku ktorým možno ľahko pristupovať bez neprimeraného úsilia a presahujú rámec jednoduchej prevádzky. Vzťahuje sa to na osobné aj iné ako osobné údaje vrátane príslušných metaúdajov.
Takéto údaje zahŕňajú údaje zozbierané z jedného snímača alebo z pripojenej skupiny snímačov, ako je teplota, tlak, prietok, zvuk, hodnota pH, hladina kvapaliny, poloha, zrýchlenie alebo rýchlosť.
Odvodené alebo odvodené údaje a obsah (napr. vysoko obohatené údaje, audiovizuálny materiál) nepatria do rozsahu pôsobnosti. Zákon o údajoch sa okrem toho nedotýka zákonov o ochrane práv duševného vlastníctva.
Napríklad, ak používateľ sleduje film na svojom pripojenom televízore, samotný film nie je v rozsahu, ale údaje o jasu obrazovky sú v rozsahu.
V praxi
Kapitola II zákona o údajoch umožňuje používateľom (t. j. akejkoľvek právnickej alebo fyzickej osobe, ktorá vlastní, prenajíma alebo prenajíma prepojený produkt) prístup k údajom, ktoré generujú prostredníctvom používania pripojeného produktu alebo súvisiacej služby. Ak si používateľ želá zdieľať tieto údaje s iným subjektom alebo jednotlivcom (ďalej len „tretia strana“), môže tak urobiť buď priamo, alebo môže požiadať držiteľa údajov, aby ich zdieľal s treťou stranou podľa vlastného výberu (okrem strážcov prístupu podľa aktu o digitálnych trhoch). Držiteľom údajov je zvyčajne spoločnosť, ktorá vyrába pripojený produkt alebo ktorá poskytuje súvisiacu službu. Držiteľ údajov musí mať s používateľom zmluvu (napr. kúpna zmluva, nájomná zmluva, súvisiaca zmluva o poskytovaní služieb atď.), v ktorej sa vymedzujú práva týkajúce sa prístupu, používania a zdieľania údajov, ktoré generuje prepojený produkt alebo súvisiaca služba. Je dôležité poznamenať, že držiteľ údajov nemôže bez súhlasu používateľa použiť žiadne iné ako osobné údaje generované produktom.
Ako príklad a so zreteľom na to, že príslušná zmluva určuje presné úlohy:
-
Spoločnosť prevádzkuje buldozér: držiteľom údajov by bol zvyčajne výrobca buldozéra a používateľom by bola spoločnosť, ktorá prevádzkuje buldozér.
-
Ak si niekto kúpi pripojenú chladničku a stiahne si aplikáciu, ktorá mu pomáha regulovať optimálnu teplotu obsahu chladničky, potenciálne by existovali dvaja držitelia údajov, a to subjekt, ktorý umiestnil chladničku na trh a subjekt ponúkajúci súvisiacu službu (aplikácia) a len jeden používateľ (vlastník chladničky).
Zákon o údajoch zavádza niekoľko mechanizmov, ktoré používateľom uľahčia využívanie týchto ustanovení: držitelia údajov musia používateľovi poskytnúť informácie o type údajov, ktoré vygenerujú pri používaní pripojeného produktu alebo súvisiacej služby (vrátane objemu, frekvencie zberu atď.); používatelia by mali mať možnosť požiadať o prístup k údajom jednoduchým postupom a držitelia údajov musia sprístupniť údaje používateľom bezplatne.
Obmedzenia používania údajov
Aby sa podniky neodradili od investovania do produktov generujúcich údaje, získané údaje sa nemôžu použiť na vývoj konkurenčného prepojeného produktu. Zákon o údajoch nezakazuje hospodársku súťaž v súvisiacich alebo popredajných službách. Okrem toho podľa zákona o údajoch držiteľ údajov nemá povinnosť zdieľať údaje s tretími stranami so sídlom mimo EÚ.
Zákon o údajoch je plne v súlade s pravidlami ochrany údajov, najmä s GDPR. Ak používateľ nie je dotknutou osobou, ktorej údaje sa požadujú, osobné údaje možno sprístupniť len vtedy, ak existuje platný právny základ (napr. súhlas). Ide o dôležitú úvahu, keďže spolugenerované údaje často obsahujú osobné aj iné ako osobné údaje, ktoré sa môžu ťažko oddeliť.
Stimuluje vývoj prepojených produktov a služieb založených na nových tokoch údajov, ktoré majú osobitnú hodnotu pre menšie spoločnosti. Okrem toho mikropodniky a malé spoločnosti ako výrobcovia alebo poskytovatelia súvisiacich služieb nepodliehajú rovnakým povinnostiam ako na väčšie spoločnosti.
Na ochranu obchodného tajomstva bez toho, aby bol ohrozený cieľ zákona o údajoch sprístupniť viac údajov, sa držiteľ údajov a používateľ/tretia strana môžu dohodnúť na určitých opatreniach na zachovanie dôvernosti obchodného tajomstva. Ak sa tieto opatrenia nedodržia, držiteľ údajov môže odmietnuť alebo pozastaviť výmenu údajov. Držiteľ údajov môže odmietnuť zdieľanie údajov len vtedy, ak môže preukázať, že je veľmi pravdepodobné, že v dôsledku sprístupnenia obchodného tajomstva utrpí vážnu hospodársku ujmu.
Držiteľ údajov a používateľ sa môžu dohodnúť na obmedzení zdieľania údajov, ak existuje riziko, že bezpečnostné požiadavky súvisiaceho výrobku by mohli byť ohrozené, čo by malo za následok vážne nepriaznivé účinky na zdravie, bezpečnosť alebo ochranu ľudí. Takéto požiadavky musia byť stanovené v právnych predpisoch EÚ alebo vnútroštátnych právnych predpisoch.
Ak držiteľ údajov pozastaví, zadrží alebo odmietne zdieľať údaje z dôvodu ochrany obchodného tajomstva alebo bezpečnostných požiadaviek, musí to oznámiť príslušnému vnútroštátnemu orgánu. Používatelia môžu napadnúť takéto rozhodnutie buď pred príslušným súdom alebo tribunálom členského štátu, prostredníctvom sťažnosti u príslušného orgánu alebo po dohode s držiteľom údajov pred orgánom na urovnávanie sporov.
Kapitola III: Pravidlá povinného zdieľania údajov medzi podnikmi
Prečo?
V zákone o údajoch sa zavádzajú pravidlá pre situácie, keď má podnik (ďalej len „držiteľ údajov“) zákonnú povinnosť podľa právnych predpisov EÚ alebo vnútroštátnych právnych predpisov sprístupniť údaje inému podniku (ďalej len „príjemca údajov“), a to aj v kontexte údajov internetu vecí. Najmä podmienky zdieľania údajov musia byť spravodlivé, primerané a nediskriminačné.
Držitelia údajov, ktorí sú povinní zdieľať údaje, môžu ako stimul na spoločné využívanie údajov požiadať príjemcu údajov o „primeranú kompenzáciu“.
Typy údajov v rozsahu
Kapitola III zákona o údajoch sa vzťahuje na všetky údaje (osobné aj iné ako osobné) v držbe podniku vrátane situácií, na ktoré sa vzťahuje kapitola II zákona o údajoch.
V praxi
Držitelia údajov môžu požadovať primeranú kompenzáciu za sprístupnenie údajov príjemcovi údajov. To by mohlo zahŕňať náklady vynaložené na sprístupnenie údajov, ako aj technické náklady súvisiace so šírením a uchovávaním údajov. Mikropodnikom, MSP a neziskovým výskumným organizáciám sa však nemôžu účtovať vyššie ako náklady vynaložené na sprístupnenie údajov.
V záujme ochrany držiteľov údajov zákon o údajoch obsahuje neúplný zoznam opatrení na nápravu situácií, keď tretia strana alebo používateľ neoprávnene získali prístup k údajom alebo ich použili. Držiteľ údajov by napríklad mohol požadovať, aby porušujúca strana zastavila výrobu predmetného výrobku alebo zničila údaje, ktoré nezákonne získala, alebo aby mohla požadovať náhradu škody.
Akékoľvek povinnosti týkajúce sa zdieľania údajov, ktoré predchádzali zákonu o údajoch, zostávajú nedotknuté. Povinnosti v budúcich (sektorových) právnych predpisoch by sa mali zosúladiť s ustanoveniami kapitoly III zákona o údajoch.
Kapitola IV: Neprijateľné zmluvné podmienky
Prečo?
Zmluvná sloboda je ústredným prvkom vzťahov medzi podnikmi. Cieľom aktu o údajoch je však chrániť všetky európske podniky, ktoré sa snažia získať údaje, najmä MSP, pred nekalými zmluvnými podmienkami prostredníctvom svojich opatrení na intervenciu v situáciách, keď je napríklad jeden z podnikov v silnejšej vyjednávacej pozícii (napr. z dôvodu svojej veľkosti trhu) a ukladá neobchodovateľnú podmienku týkajúcu sa prístupu k údajom a ich využívania na druhej strane.
Typy údajov v rozsahu
Tieto pravidlá sa vzťahujú na všetky osobné aj neosobné údaje, ktoré má súkromný subjekt, ku ktorému sa pristupuje a ktorý sa používa na základe zmluvy medzi podnikmi.
V praxi
Jednostranne uložené podmienky typu take-it-or-leave-it môžu, ak sa týkajú sprístupnenia údajov, podliehať testu nespravodlivosti.
V zákone o údajoch sa stanovuje neúplný zoznam podmienok, ktoré sa vždy považujú za nekalé (napr. ktoré by vylúčili alebo obmedzili zodpovednosť strany, ktorá jednostranne uložila podmienku za úmyselné konanie alebo hrubú nedbanlivosť), a podmienok, o ktorých sa predpokladá, že sú nespravodlivé (napr. ktoré by neprimerane obmedzili prostriedky nápravy v prípade neplnenia zmluvných záväzkov alebo zodpovednosti v prípade porušenia týchto povinností alebo rozšírili zodpovednosť podniku, ktorému bola podmienka jednostranne uložená). Ak sa podmienka považuje za nekalú, už nie je platná – ak je to možné, jednoducho sa oddelí od kontaktu. Ak sa predpokladá, že je nekalá, subjekt, ktorý uložil podmienku, sa môže pokúsiť preukázať, že podmienka nie je nekalá.
Kapitola V: Zdieľanie údajov medzi podnikmi a verejnou správou
Prečo?
Údaje, ktoré majú v držbe súkromné subjekty, môžu byť nevyhnutné na to, aby subjekt verejného sektora vykonával úlohu verejného záujmu. Kapitola V zákona o údajoch umožňuje subjektom verejného sektora prístup k takýmto údajom za určitých podmienok, ak existuje mimoriadna potreba. Ide o situáciu, ktorá je nepredvídateľná a časovo obmedzená, keď sú údaje v držbe súkromného subjektu potrebné na plnenie úlohy verejného záujmu, najmä na zlepšenie rozhodovania založeného na dôkazoch. Mimoriadne potrebné situácie zahŕňajú verejné núdzové situácie (ako sú veľké prírodné katastrofy alebo katastrofy spôsobené ľudskou činnosťou, pandémie a kybernetické incidenty), ako aj situácie, ktoré nie sú núdzové (napríklad na optimalizáciu dopravných tokov by sa mohli použiť súhrnné a anonymizované údaje zo systémov GPS vodičov).
Aktom o údajoch sa zabezpečí, aby orgány verejnej moci mali prístup k takýmto údajom včas a spoľahlivo bez toho, aby sa podnikom ukladala neprimeraná administratívna záťaž.
Typy údajov v rozsahu pôsobnosti
Podľa kapitoly V sú všetky údaje v rozsahu pôsobnosti so zameraním na iné ako osobné údaje.
V kapitole V zákona o údajoch o zdieľaní údajov medzi podnikmi a verejnou správou sa rozlišuje medzi dvoma scenármi:
-
S cieľom reagovať na verejnú núdzovú situáciu by subjekt verejného sektora mal požadovať iné ako osobné údaje. Ak to však nepostačuje na riešenie situácie, môžu sa požadovať osobné údaje. Ak je to možné, držiteľ údajov by mal tieto údaje anonymizovať.
-
V nenúdzových situáciách môžu subjekty verejného sektora požadovať len iné ako osobné údaje.
Kľúčové zainteresované strany
Subjekty oprávnené požadovať údaje zahŕňajú orgány verejného sektora členských štátov, ako aj určité inštitúcie, orgány a agentúry EÚ. Tieto subjekty môžu za určitých podmienok zdieľať údaje aj s organizáciami vykonávajúcimi výskum a financujúcimi organizáciami.
V kontexte žiadostí medzi podnikmi a verejnou správou sú držitelia údajov zvyčajne súkromnými subjektmi, ale môžu zahŕňať aj verejné podniky.
V praxi
Subjekt verejného sektora môže za určitých podmienok uložiť držiteľovi údajov povinnosť sprístupniť určité údaje bez zbytočného odkladu s cieľom reagovať na verejný stav núdze. V zákone o údajoch sa vymedzuje stav núdze; jeho existencia sa však určuje podľa vnútroštátnych postupov alebo právnych predpisov EÚ.
V prípade výnimočných potrieb, ktoré nesúvisia s verejným núdzovým stavom, môže subjekt verejného sektora požiadať o iné ako osobné údaje, aby splnil osobitnú úlohu, ktorá je vo verejnom záujme a ktorá bola stanovená zákonom, ak subjekt verejného sektora môže preukázať, že nemal prístup k údajom inými prostriedkami.
V oboch prípadoch (núdzové aj nenúdzové) musia žiadosti dodržiavať niekoľko prísnych zásad a podmienok. Žiadosti musia byť napríklad konkrétne, transparentné a primerané, obchodné tajomstvo musí byť chránené a údaje sa musia vymazať, keď už nie sú potrebné.
V nasledujúcej tabuľke sú zhrnuté informácie o tom, čo môžu podniky v tejto súvislosti požadovať o poskytnutie údajov subjektu verejného sektora.
Kompenzácia za sprístupnenie údajov podľa kapitoly V zákona o údajoch
| Podniky iné ako mikropodniky a malé podniky môžu požiadať o: | Mikropodniky a malé podniky môžu požiadať o: | |
| Verejná núdzová situácia | Podniky môžu požiadať, aby ich príspevok k údajom uznal a verejne uznal prijímajúci subjekt verejného sektora. | Primeraná odmena nepresahujúca vzniknuté technické a organizačné náklady + verejné potvrdenie na požiadanie |
| Nenúdzová situácia | Primeraná odmena nepresahujúca vzniknuté technické a organizačné náklady (okrem tvorby oficiálnych štatistík) | N/A (oslobodenie od povinnosti poskytovať údaje) |
S cieľom minimalizovať zaťaženie podnikov nemôže viac ako jeden subjekt verejného sektora požadovať rovnaké údaje viac ako raz (zásada „jedenkrát a dosť“). Z tohto dôvodu musí koordinátor údajov zverejniť všetky žiadosti (pokiaľ neexistujú bezpečnostné obavy).
Kapitola VI: Prepínanie medzi službami spracovania údajov
Prečo?
S cieľom zabezpečiť konkurencieschopný trh v EÚ by zákazníci služieb spracovania údajov (vrátane cloudových a okrajových služieb) mali mať možnosť bezproblémovo prejsť od jedného poskytovateľa k druhému. Zákazníci však v súčasnosti čelia mnohým prekážkam, vrátane vysokých poplatkov spojených napríklad s únikom údajov, zdĺhavými postupmi a nedostatočnou interoperabilitou medzi poskytovateľmi, čo môže viesť k strate údajov a aplikácií.
Zákon o údajoch urobí prepínanie zadarmo, rýchle a plynulé. To bude prínosom pre zákazníkov, ktorí si môžu slobodne vybrať služby, ktoré najlepšie vyhovujú ich potrebám, ako aj poskytovateľov, ktorí budú mať prospech z väčšieho množstva zákazníkov.
Rozsah
Kapitola VI zákona o údajoch sa vzťahuje na poskytovateľov služieb spracúvania údajov (t. j. digitálnych služieb umožňujúcich všadeprítomný prístup do siete a na požiadanie, ako sú siete, servery alebo iná virtuálna alebo fyzická infraštruktúra a softvér). Údaje, ktoré sú kľúčové pre zmenu poskytovateľa, zahŕňajú vstupné a výstupné údaje vrátane metaúdajov generované používaním služby zákazníkom, s výnimkou údajov chránených právami duševného vlastníctva alebo tvoriacich obchodné tajomstvo poskytovateľa služieb.
V praxi
Na prekonanie nerovnováhy moci medzi poskytovateľmi a zákazníkmi na trhu s cloudom sa v zákone o údajoch stanovujú minimálne požiadavky na obsah cloudových zmlúv. Najmä zákazníci zo súkromného a verejného sektora budú mať prospech z oveľa väčšej zmluvnej transparentnosti.
Zákon o údajoch obsahuje opatrenia na zabezpečenie toho, aby zákazníci mohli rýchlo a hladko prejsť od jedného poskytovateľa služieb spracúvania údajov (ďalej len „poskytovateľ zdrojov“) k inému poskytovateľovi („cieľové miesto“) a bez straty akýchkoľvek údajov alebo funkčnosti aplikácií. Napríklad poskytovatelia platformy a softvéru ako služby musia sprístupniť otvorené rozhrania a aspoň exportovať údaje v bežne používanom a strojovo čitateľnom formáte. Poskytovatelia infraštruktúry ako služby musia prijať opatrenia na uľahčenie toho, aby v prípade, že zákazník prejde na službu rovnakého typu, zákazník získal podstatne porovnateľné výsledky v reakcii na rovnaké vstupy pre funkcie, ktoré obe služby zdieľajú („funkčná rovnocennosť“). Ako príklad takéhoto opatrenia môže poskytovateľ zdrojov použiť nástroje na presun výpočtovej záťaže z jednej virtualizačnej technológie na druhú.
Všetci poskytovatelia sú povinní odstrániť prekážky, ktorým môžu čeliť ich zákazníci, keď chcú prejsť na iného poskytovateľa alebo využívať viacero služieb súčasne.
Zákon o údajoch tiež úplne odstráni poplatky za zmenu poskytovateľa vrátane poplatkov za únik dát (t. j. poplatky za prenos údajov) od 12. januára 2027. To znamená, že poskytovatelia nebudú môcť účtovať svojim zákazníkom poplatky za operácie, ktoré sú potrebné na uľahčenie zmeny poskytovateľa alebo na výstup údajov. Ako prechodné opatrenie počas prvých troch rokov po nadobudnutí účinnosti zákona o údajoch (od 11. januára 2024 do 12. januára 2027) však môžu poskytovatelia naďalej účtovať svojim zákazníkom náklady, ktoré vznikli v súvislosti so zmenou poskytovateľa a výstupom údajov.
Kapitola VII: Nezákonný prístup vlády tretích krajín
Prečo?
Niekedy je cieľom rozhodnutia alebo rozsudku vydaného krajinou mimo EÚ (ďalej len „tretia krajina“) umožniť vláde prístup k iným ako osobným údajom spracúvaným a uchovávaným v rámci EÚ a ich prenos. V určitých prípadoch však poskytnutie prístupu k takýmto údajom alebo ich prenos môže byť v skutočnosti nezákonné, najmä ak je žiadosť v rozpore s právnymi predpismi EÚ a zárukami týkajúcimi sa ochrany základných práv jednotlivcov, záujmov národnej bezpečnosti alebo citlivých obchodných údajov.
Akt o údajoch sa riadi aktom o správe údajov, pokiaľ ide o ustanovenia zamerané na predchádzanie nezákonnému prístupu vlády tretích krajín k iným ako osobným údajom uchovávaným v EÚ a ich prenosu. Takéto ustanovenia nemajú žiadny vplyv na pravidelnú výmenu údajov medzi podnikmi. Zvyšujú transparentnosť a právnu istotu, pokiaľ ide o proces a podmienky, za ktorých môžu vládne orgány mimo EÚ získať prístup k iným ako osobným údajom alebo ich preniesť.
Typy údajov v rozsahu
Akékoľvek iné ako osobné údaje, ktoré má v EÚ poskytovateľ služby spracúvania údajov.
V praxi
Zákon o údajoch nezakazuje cezhraničné toky údajov, ale zabezpečuje, aby ochrana údajov v EÚ cestovala s akýmikoľvek údajmi prenášanými mimo EÚ.
V tejto súvislosti sa v akte o údajoch stanovujú pravidlá a záruky, pokiaľ ide o žiadosti zahraničného subjektu verejného sektora o prístup k iným ako osobným údajom uchovávaným v Únii. Tieto ustanovenia nemajú vplyv na legitímnu medzinárodnú spoluprácu v oblasti presadzovania práva.
Ak neexistuje medzinárodná dohoda upravujúca prístup vlády tretej krajiny k iným ako osobným údajom, ktoré sa nachádzajú v EÚ, údaje sa môžu prenášať alebo k nim pristupovať len za osobitných podmienok. Tieto podmienky sa týkajú určitých záruk zaručujúcich európske práva, ktoré musí právny systém tretej krajiny spĺňať, vrátane požiadavky uviesť dôvody a posúdiť proporcionalitu v rozhodnutí. Poskytovateľ služieb spracúvania údajov, na ktorý sa vzťahuje takéto rozhodnutie, sa môže obrátiť na príslušný vnútroštátny orgán s cieľom pomôcť posúdiť, či sú splnené podmienky stanovené v zákone o údajoch. S cieľom pomôcť posúdiť, či boli tieto podmienky splnené, Európska komisia vypracuje usmernenia spolu s Európskym dátovým inovačným výborom (skupina expertov zriadená na základe aktu o správe údajov s cieľom uľahčiť výmenu najlepších postupov a uprednostniť medziodvetvové normy interoperability).
Poskytovatelia služieb spracúvania údajov by mali prijať všetky primerané opatrenia (napr. šifrovanie, audity, dodržiavanie certifikačných systémov) s cieľom zabrániť prístupu do systémov, v ktorých uchovávajú iné ako osobné údaje. Tieto opatrenia by sa mali uverejniť na ich webových stránkach. Okrem toho by mali vždy, keď je to možné, informovať svojich zákazníkov pred poskytnutím prístupu k svojim údajom.
Kapitola VIII: Interoperabilita
Prečo?
Normy a interoperabilita sú kľúčom k zabezpečeniu toho, aby sa údaje z rôznych zdrojov mohli využívať v rámci spoločných európskych dátových priestorov a medzi nimi na podporu výskumu a vývoja nových produktov alebo služieb. Na tento účel sa v akte o údajoch stanovujú niektoré základné požiadavky, ktoré musia účastníci v dátových priestoroch spĺňať a ktoré môže Európska komisia bližšie špecifikovať prostredníctvom delegovaných aktov.
Jeho cieľom je tiež zabezpečiť interoperabilitu medzi službami spracúvania údajov; je to nevyhnutné, ak majú zákazníci ťažiť z jednoduchšej zmeny.
Kľúčové zainteresované strany
Táto kapitola sa zameriava na účastníkov dátových priestorov, ktorí ponúkajú údaje alebo služby založené na údajoch iným účastníkom a ktorí uľahčujú alebo sa podieľajú na zdieľaní údajov v rámci dátových priestorov.
Zaoberá sa aj dodávateľmi inteligentných zmlúv, ako aj poskytovateľmi služieb spracovania údajov.
V praxi
Účastníci dátového priestoru by mali spĺňať niekoľko základných požiadaviek, aby sa umožnil tok údajov v rámci dátových priestorov a medzi nimi. Napríklad opis dátových štruktúr, formátov údajov a slovníkov, ak sú k dispozícii, by mal byť verejne prístupný. Okrem toho by sa mali zabezpečiť prostriedky na zabezpečenie interoperability dohôd o zdieľaní údajov, ako sú inteligentné zmluvy.
Zákon o údajoch takisto pripravuje pôdu na zvýšenie interoperability služieb spracúvania údajov prostredníctvom harmonizovaných noriem a otvorených špecifikácií interoperability.
Okrem toho sa v ňom stanovujú požiadavky na predajcov inteligentných zmlúv na automatizované vykonávanie dohôd o zdieľaní údajov, napríklad s cieľom zabezpečiť, aby správne vykonávali ustanovenia dohody o zdieľaní údajov a odolávali manipulácii tretích strán.
Komisia posúdi prekážky interoperability a uprednostní potreby normalizácie, na základe ktorých môže požiadať európsku normalizačnú organizáciu (organizácie) o vypracovanie harmonizovaných noriem, ktoré sú v súlade s uvedenými požiadavkami.
Ak žiadosť nevedie k harmonizovanej norme alebo ak norma nepostačuje na zabezpečenie súladu so zákonom o údajoch, Komisia môže prijať spoločné špecifikácie ako záložné riešenie. Mali by sa rozvíjať otvoreným a inkluzívnym spôsobom so zreteľom na spätnú väzbu od Európskeho dátového inovačného výboru.
Kapitola IX: Presadzovanie a zastrešujúce ustanovenia
Členské štáty určia jeden alebo viacero (nových alebo existujúcich) príslušných orgánov na zabezpečenie účinného vykonávania aktu o údajoch. Ak existuje viacero príslušných orgánov, členské štáty musia určiť jeden z nich za „koordinátora údajov“. Koordinátor údajov bude pôsobiť ako jednotné kontaktné miesto pre všetky otázky týkajúce sa vykonávania aktu o údajoch na vnútroštátnej úrovni, čo uľahčuje uplatňovanie tak pre podniky, ako aj pre verejné orgány. Napríklad, ak podnik žiada nápravu za porušenie svojich práv podľa zákona o údajoch, koordinátor údajov by mal (na požiadanie) poskytnúť všetky potrebné informácie, aby mu pomohol podať sťažnosť príslušnému orgánu. Koordinátor údajov takisto uľahčí spoluprácu v cezhraničných situáciách, napríklad keď príslušný orgán z daného členského štátu nevie, ku ktorému orgánu by sa mal obrátiť v členskom štáte koordinátora údajov.
Komisia bude viesť verejný register príslušných orgánov a koordinátorov údajov.
Európsky dátový inovačný výbor uľahčí diskusie medzi príslušnými orgánmi, napríklad s cieľom koordinovať a prijímať odporúčania týkajúce sa stanovenia sankcií za porušenie aktu o údajoch. Sankcie stanovujú príslušné orgány a podľa zákona o údajoch by mali existovať účinné, primerané a odrádzajúce sankcie.
Členské štáty môžu, ak si to želajú, zriadiť certifikované orgány na urovnávanie sporov s cieľom pomôcť stranám, ktoré sa nedokážu dohodnúť na spravodlivých, primeraných a nediskriminačných podmienkach sprístupňovania údajov. Strany sa môžu obrátiť na akýkoľvek orgán na urovnávanie sporov – buď v členskom štáte, v ktorom majú sídlo, alebo v inom členskom štáte.
Certifikované mechanizmy urovnávania sporov a špecializované príslušné orgány uľahčia podnikom, najmä malým podnikom, presadzovanie ich práv podľa zákona o údajoch, keďže zainteresovaným stranám ponúkajú jednoduché, rýchle a nízkonákladové riešenie.
Čo bude ďalej?
Európska dátová stratégia stanovuje cestu k tomu, aby sa EÚ stala lídrom v dátovom hospodárstve. To sa dosiahne vytvorením jednotného európskeho trhu s údajmi, na ktorom môžu údaje bezpečne a dôveryhodne prúdiť medzi odvetviami a členskými štátmi v prospech hospodárstva a spoločnosti. Zabezpečením spravodlivého rozdelenia hodnoty údajov medzi zainteresované strany je akt o údajoch kľúčovým prvkom na dosiahnutie tejto vízie.
Zákon o údajoch sa začne uplatňovať 12. septembra 2025.
S cieľom pomôcť podnikom orientovať sa v týchto nových pravidlách Komisia odporučí súbor vzorových zmluvných podmienok s cieľom pomôcť podnikom uzatvárať zmluvy o zdieľaní údajov, ktoré sú spravodlivé, primerané a nediskriminačné (kapitoly II a III zákona o údajoch). Tieto podmienky poskytnú aj usmernenie o primeranej odškodnení a ochrane obchodného tajomstva. Komisia takisto odporučí súbor nezáväzných štandardných zmluvných doložiek pre zmluvy o cloud computingu medzi používateľmi cloudových služieb a poskytovateľmi cloud computingu. Na pomoc Komisii pri navrhovaní takýchto podmienok a doložiek bola zriadená expertná skupina a plánuje ich odporučiť do jesene 2025.
Komisia do troch rokov od začatia jeho uplatňovania vykoná hodnotenie vplyvu zákona o údajoch. Na základe toho môže Komisia v prípade potreby navrhnúť zmenu a doplnenie zákona.
Právne oznámenie
Tento dokument by sa nemal považovať za reprezentatívny pre oficiálne stanovisko Európskej komisie.