Razlaga zakona o upravljanju podatkov

Gospodarski in družbeni potencial podatkov je ogromen: omogoči lahko nove proizvode in storitve, ki temeljijo na novih tehnologijah, poveča učinkovitost proizvodnje in zagotovi orodja za spopadanje z družbenimi izzivi. Na področju zdravja lahko na primer podatki prispevajo k zagotavljanju boljšega zdravstvenega varstva, izboljšanju prilagojenega zdravljenja in pomoči pri zdravljenju redkih ali kroničnih bolezni. Je tudi močno gonilo inovacij in novih delovnih mest ter ključni vir za zagonska podjetja in MSP.

Vendar pa se ta potencial ne uresničuje. Izmenjava podatkov v EU je še vedno omejena zaradi številnih ovir (vključno z majhnim zaupanjem v souporabo podatkov, vprašanji, povezanimi s ponovno uporabo podatkov javnega sektorja in zbiranjem podatkov za skupno dobro, ter tehničnimi ovirami).

Da bi resnično izkoristili ta ogromen potencial, je treba dati na voljo več podatkov, ki se delijo z zaupanjem in tehnično enostavnimi za ponovno uporabo.

Zakon o upravljanju podatkov je medsektorski instrument, katerega cilj je zagotoviti več podatkov z urejanjem ponovne uporabe javnih/zaščitenih podatkov, spodbujanjem souporabe podatkov z regulacijo novih podatkovnih posrednikov in spodbujanjem izmenjave podatkov za altruistične namene. Tako osebni kot neosebni podatki spadajo v področje uporabe DGA, in kadar koli gre za osebne podatke, se uporablja Splošna uredba o varstvu podatkov (GDPR). Poleg splošne uredbe o varstvu podatkov bodo vgrajeni zaščitni ukrepi povečali zaupanje v souporabo in ponovno uporabo podatkov, kar je predpogoj za dostopnost več podatkov na trgu.

Ponovna uporaba nekaterih kategorij podatkov, ki jih hranijo organi javnega sektorja

Kateri so ključni cilji?

Direktiva o odprtih podatkih ureja ponovno uporabo javno/dostopnih informacij, ki jih hrani javni sektor. Vendar ima javni sektor tudi velike količine zaščitenih podatkov (npr. osebnih podatkov in poslovno zaupnih podatkov), ki jih ni mogoče ponovno uporabiti kot odprte podatke, vendar jih je mogoče ponovno uporabiti v skladu s posebno zakonodajo EU ali nacionalno zakonodajo. Iz takih podatkov je mogoče pridobiti veliko znanja, ne da bi pri tem ogrozili njihovo zaščiteno naravo, DGA pa določa pravila in zaščitne ukrepe za lažjo ponovno uporabo, kadar koli je to mogoče v skladu z drugo zakonodajo.  

Kako deluje v praksi?

• Tehnične zahteve za javni sektor: Države članice bodo morale biti tehnično opremljene za zagotovitev, da se v primerih ponovne uporabe v celoti spoštujeta zasebnost in zaupnost podatkov. To lahko vključuje vrsto orodij, od tehničnih rešitev, kot so anonimizacija, psevdonimizacija ali dostop do podatkov v varnih okoljih za obdelavo (npr. podatkovnih sob), ki jih nadzoruje javni sektor, do pogodbenih sredstev, kot so sporazumi o zaupnosti, sklenjeni med organom javnega sektorja in ponovnim uporabnikom.
• Pomoč organa javnega sektorja: Če organ javnega sektorja ne more odobriti dostopa do nekaterih podatkov za ponovno uporabo, bi moral morebitnemu ponovnemu uporabniku pomagati pri pridobivanju soglasja posameznika za ponovno uporabo njegovih osebnih podatkov) ali dovoljenja imetnika podatkov, katerega pravice ali interese bi lahko vplivala ponovna uporaba. Poleg tega se lahko zaupne informacije (npr. poslovne skrivnosti) razkrijejoza ponovno uporabo le s takšnim soglasjem ali dovoljenjem.
• Da bi bili podatki v javni lasti še bolj na voljo za ponovno uporabo, DGA omejuje zanašanje na sporazume o izključni ponovni uporabi podatkov (pri čemer organ javnega sektorja podeli tako izključno pravico enemu podjetju) na posebne primere javnega interesa.
• Razumne pristojbine: organi javnega sektorja lahko zaračunavajo pristojbine za dovolitev ponovne uporabe, če te pristojbine ne presegajo potrebnih nastalih stroškov. Poleg tega bi morali organi javnega sektorja spodbujati ponovno uporabo za znanstvene raziskave in druge nekomercialne namene ter s strani MSP in zagonskih podjetij z zmanjšanjem ali celo izključitvijo zaračunavanja.
• Organ javnega sektorja bo imel na voljo do dva meseca, da sprejme odločitev o zahtevku za ponovno uporabo.
• Države članice lahko izberejo, kateri pristojni organi bodo podpirali organe javnega sektorja, ki bodo omogočili dostop do ponovne uporabe, na primer tako, da bodo slednjim zagotovili varno okolje za obdelavo in jim svetovali, kako najbolje strukturirati in shranjevati podatke, da bodo lahko dostopni.
• Da bi morebitnim ponovnim uporabnikom pomagali najti ustrezne informacije o tem, katere podatke hranijo javni organi, bodo morale države članice vzpostaviti enotno informacijsko točko. Komisija bo vzpostavila enotno evropsko točko dostopa (z registrom informacij, ki jih lahko iščejo nacionalne enotne informacijske točke), da bi dodatno olajšala ponovno uporabo podatkov na notranjem trgu in zunaj njega.

Primeri

• Finski organ za izdajo dovoljenj za socialne in zdravstvene podatke Findata obdeluje zahtevke in odobri dostop do podatkov za ponovno uporabo. Primeri virov podatkov družbe Findata so zavod za socialno zavarovanje, pokojninski register in register prebivalstva.
• Francosko podjetje DAMAE Medical izboljšuje svojo tehnologijo LC-OCT (Line-field Confocal Optitical Coherence Tomography), ki omogoča dostop do celične ločljivosti slikanja notranjih mikrostruktur kože do usnjice, takoj in neinvazivno z novimi podatki o usposabljanju, ki so na voljo prek francoskega središča zdravstvenih podatkov. Cilj projekta je izboljšati zmogljivost te tehnologije za boljše prepoznavanje potencialnih znakov kožnega raka in boljše razmejitev področja kirurškega posega.

Storitve posredovanja podatkov

Kateri so ključni cilji?

Mnoga podjetja se trenutno bojijo, da bi izmenjava njihovih podatkov pomenila izgubo konkurenčne prednosti in tveganje zlorabe. DGA določa sklop pravil za ponudnike storitev posredovanja podatkov (t. i. podatkovni posredniki, kot so podatkovne tržnice), da bi zagotovili, da bodo delovali kot zaupanja vredni organizatorji souporabe ali združevanja podatkov v skupnih evropskih podatkovnih prostorih. Da bi povečali zaupanje v souporabo podatkov, ta novi pristop predlaga model, ki temelji na nevtralnosti in preglednosti podatkovnih posrednikov, hkrati pa posameznikom in podjetjem omogoča nadzor nad njihovimi podatki.

Kako deluje v praksi?

Okvir ponuja alternativni model za ravnanje s podatki platform Big Tech, ki imajo visoko stopnjo tržne moči, saj nadzorujejo velike količine podatkov.

V praksi bodo podatkovni posredniki delovali kot nevtralne tretje osebe, ki povezujejo posameznike in podjetja na eni strani z uporabniki podatkov na drugi strani. Podatkov ne morejo monetizirati (npr. tako, da jih prodajo drugemu podjetju ali uporabijo za razvoj lastnega izdelka na podlagi teh podatkov) in bodo morali izpolnjevati stroge zahteve, da se zagotovi ta nevtralnost in prepreči navzkrižje interesov. V praksi to pomeni, da mora obstajati strukturna ločitev med storitvijo posredovanja podatkov in vsemi drugimi storitvami, ki se zagotavljajo (tj. te morajo biti pravno ločene). Poleg tega komercialni pogoji (vključno s cenami) za zagotavljanje posredniških storitev ne bi smeli biti odvisni od tega, ali potencialni imetnik podatkov ali uporabnik podatkov uporablja druge storitve. Vsi pridobljeni podatki in metapodatki se lahko uporabijo samo za izboljšanje storitve posredovanja podatkov.

Samostojne organizacije, ki zagotavljajo samo storitve posredovanja podatkov, in podjetja, ki poleg drugih storitev ponujajo storitve posredovanja podatkov, bi lahko delovala kot zaupanja vredni posredniki. V slednjem primeru je treba dejavnost posredovanja podatkov strogo pravno in ekonomsko ločiti od drugih podatkovnih storitev.

V skladu z DGA bodo morali podatkovni posredniki obvestiti pristojni organ o svoji nameri zagotavljanja takih storitev. Pristojni organ bo zagotovil, da postopek priglasitve ni diskriminatoren in ne izkrivlja konkurence, ter bo potrdil, da je ponudnik storitev posredovanja podatkov predložil priglasitev, ki vsebuje vse zahtevane informacije.

Po prejemu take potrditve lahko podatkovni posrednik zakonito začne delovati in v pisni in govorni komunikaciji uporablja oznako „ponudnik storitev posredovanja podatkov, priznan v Uniji“, ter skupni logotip. Ti organi bodo spremljali tudi skladnost z zahtevami glede posredovanja podatkov, Komisija pa bo vodila centralni register podatkovnih posrednikov.

Primeri

Deutsche Telekom s svojim podatkovnim središčem ponuja podatkovni trg, na katerem lahko podjetja varno upravljajo, zagotavljajo in monetizirajo kakovostne informacije, na primer podatke o proizvodnji, da bi optimizirala procese ali celotne vrednostne verige. Telekom prevzema vlogo nevtralnega skrbnika in zagotavlja suverenost podatkov z decentraliziranim upravljanjem podatkov. Trenutno je na platformi dejavnih več kot 1.000 uporabnikov iz več kot 100 različnih podjetij.

Dawex je francosko podjetje, ki se opisuje kot „globalni trg podatkov“.  Dawex ne kupuje ali prodaja podatkov, ampak združuje podjetja, ki se zanimajo za monetizacijo in ponovno uporabo podatkov, ter spodbuja preglednost med dobavitelji podatkov in uporabniki z zagotavljanjem, da komunicirajo in izvajajo transakcijo neposredno na svoji platformi. Dawex je razvil vrsto orodij, ki dobaviteljem podatkov in uporabnikom pomagajo razumeti, oceniti in komunicirati o podatkih. Orodja za vizualizacijo (npr. toplotni zemljevidi, zemljevidi dreves) uporabnikom podatkov zagotavljajo različne informacije o celotnem naboru podatkov, ki jih je mogoče varno deliti pred dokončanjem transakcije. Orodja za vzorčenje samodejno ustvarjajo reprezentativne vzorce podatkov na podlagi algoritmov, da bi se izognili kakršni koli pristranskosti. Uporabniki podatkov in dobavitelji podatkov komunicirajo z orodjem za sporočanje, vgrajenim v platformo. Poleg tega Dawex podpira pogajanja o pogodbenem sporazumu z vzorčnimi pogoji, ki jih je mogoče samodejno ustvariti.

API-AGRO je kmetijsko vozlišče za izmenjavo podatkov, ki uporablja tehnologijo Dawex. Ta tehnologija spodbuja kmetijski ekosistem, ki vključuje številne akterje in nevtralnega posrednika (platforma Api-Agro), kjer obstaja jasna ločitev med posredniško vlogo in drugimi dejavnostmi, povezanimi z uporabo podatkov. API-Agro ne monetizira podatkov, temveč deluje kot nevtralna tretja oseba, ki povezuje imetnike podatkov in uporabnike podatkov.

Podatkovni altruizem

Kateri so ključni cilji?

Podatkovni altruizem se nanaša na posameznike in podjetja, ki dajejo soglasje ali dovoljenje za dajanje na voljo podatkov, ki jih ustvarjajo – prostovoljno in brez nagrade – za uporabo v javnem interesu. Takšni podatki imajo ogromen potencial za pospeševanje raziskav ter razvoj boljših proizvodov in storitev, tudi na področju zdravja, okolja in mobilnosti.

Raziskave kažejo, da načeloma obstaja pripravljenost za sodelovanje v podatkovnem altruizmu, vendar v praksi to ovira pomanjkanje orodij za izmenjavo podatkov. Cilj zakona o upravljanju podatkov je ustvariti zaupanja vredna orodja, ki bodo omogočila enostavno izmenjavo podatkov v korist družbe. Ustvaril bo prave pogoje, ki bodo posameznikom in podjetjem zagotavljali, da jih bodo ob izmenjavi svojih podatkov upravljale zaupanja vredne organizacije, ki temeljijo na vrednotah in načelih EU. To bo omogočilo oblikovanje dovolj velikih zbirk podatkov, da se omogočita podatkovna analitika in strojno učenje, tudi čezmejno.

Kako deluje v praksi?

Subjekti, ki dajo na voljo ustrezne podatke na podlagi podatkovnega altruizma, se bodo lahko registrirali kot „organizacije za podatkovni altruizem, priznane v Uniji“. Ti subjekti morajo biti nepridobitni in izpolnjevati zahteve glede preglednosti ter zagotavljati posebne zaščitne ukrepe za zaščito pravic in interesov državljanov in podjetij, ki delijo svoje podatke. Poleg tega morajo biti v skladu s pravilnikom (najpozneje 18 mesecev po začetku veljavnosti), ki bo določal zahteve glede informacij, tehnične in varnostne zahteve, komunikacijske načrte in priporočila o standardih interoperabilnosti. Pravilnik bo pripravila Komisija v tesnem sodelovanju z organizacijami za podatkovni altruizem in drugimi ustreznimi zainteresiranimi stranmi.

Subjekti bodo lahko uporabljali skupni logotip, zasnovan v ta namen, in se lahko odločijo za vključitev v javni register organizacij za podatkovni altruizem. Komisija bo v informativne namene vzpostavila register priznanih organizacij za podatke/altruizem na ravni EU.  

Skupni evropski obrazec za soglasje za podatkovni altruizem bo omogočil zbiranje podatkov v državah članicah v enotni obliki, kar bo zagotovilo, da lahko tisti, ki izmenjujejo svoje podatke, brez težav dajo in umaknejo svojo privolitev. Prav tako bo zagotovila pravno varnost raziskovalcem in podjetjem, ki želijo uporabljati podatke, ki temeljijo na altruizmu. To bo modularna oblika, ki jo je mogoče prilagoditi potrebam posameznih sektorjev in namenov.

Primeri

Cilj podjetjaMyData Global je „opolnomočenje posameznikov z izboljšanjem njihove pravice do samoodločbe v zvezi z njihovimi osebnimi podatki.“ Medtem ko splošni cilj presega podatkovni altruizem, organizacija zagotavlja zaupanja vreden vmesnik za člane, da dajo soglasje za uporabo njihovih osebnih podatkov za določene namene.

Platforma Smart Citizen državljanom omogoča izmenjavo podatkov o ravneh hrupa in onesnaževanju v svojem domu, zbranih s senzorji. To zagotavlja bistvene informacije za evidentiranje hrupa in kakovosti zraka ter za raziskovalce in vlade, da razvijejo ciljno usmerjene rešitve za ta vprašanja.

Nemška Corona-Datenspende-App je bila ustanovljena za zbiranje podatkov (npr. srčni utrip, telesna temperatura, krvni tlak, vzorci spanja) iz fitnes zapestnic in pametnih ur. S spremljanjem teh podatkov bi lahko raziskovalci v zgodnji fazi opredelili morebitne žariščne točke COVID-19.

Evropski odbor za podatkovne inovacije

Kateri so ključni cilji?

Kot je določeno v DGA, bo Komisija ustanovila Evropski odbor za podatkovne inovacije (EDIB), da bi olajšala izmenjavo najboljših praks, zlasti o posredovanju podatkov, podatkovnem altruizmu in uporabi javnih podatkov, ki jih ni mogoče dati na voljo kot odprti podatki, ter o prednostni razvrstitvi medsektorskih standardov interoperabilnosti.

Kako deluje v praksi?

EDIB bodo sestavljali predstavniki naslednjih subjektov:

• Pristojni organi držav članic za posredovanje podatkov
• Pristojni organi držav članic za podatkovni altruizem
• Evropski odbor za varstvo podatkov
• Evropski nadzornik za varstvo podatkov
• agencija Evropske unije za kibernetsko varnost (ENISA)
• Evropska komisija
• odposlanec EU za MSP/predstavnik, ki ga imenuje mreža odposlancev za MSP
• drugi predstavniki ustreznih organov (Komisija bo v ta namen objavila razpis za strokovnjake)

Deloval bo v vsaj treh podskupinah:

1. podskupino, ki jo sestavljajo predstavniki pristojnih organov držav članic,
2. podskupina za tehnične razprave o standardizaciji, prenosljivosti in interoperabilnosti ter
3. podskupina za vključevanje zainteresiranih strani.

Primeri

EDIB bo pristojen za predlaganje smernic za skupne evropske podatkovne prostore, na primer o ustreznem varstvu pri prenosu podatkov zunaj Unije.

Mednarodni tokovi podatkov

Kateri so ključni cilji?

Evropska strategija za podatke iz februarja 2020 priznava pomen odprtega, a odločnega pristopa k mednarodnemu pretoku podatkov.

Mednarodni prenosi podatkov lahko sprostijo velik socialno-ekonomski potencial ogromne količine podatkov, ustvarjenih v EU, s čimer se poveča mednarodna konkurenčnost Unije na svetovnem prizorišču, hkrati pa prispeva h gospodarski rasti, ki je ključnega pomena zlasti v obdobju okrevanja po pandemiji COVID-19.

Čeprav ima DGA ključno vlogo pri krepitvi odprte strateške avtonomije Evropske unije, prispeva tudi k ustvarjanju zaupanja v mednarodne tokove podatkov.

Kako deluje v praksi?

Medtem ko je splošna uredba o varstvu podatkov uvedla vse potrebne zaščitne ukrepe v zvezi z osebnimi podatki, je po zaslugi DGA, da obstajajo podobni zaščitni ukrepi za zahteve tretjih držav za dostop v zvezi z neosebnimi podatki.

Ti zaščitni ukrepi se nanašajo na vse scenarije in določbe, ki jih je določil DGA, in sicer za podatke javnega sektorja, storitve posredovanja podatkov in ozvezdja podatkovnega altruizma. Ponovni uporabnik v tretji državi bo moral zagotoviti enako raven varstva zadevnih podatkov kot raven varstva, ki jo zagotavlja pravo EU, in sprejeti ustrezno jurisdikcijo EU.  

Če Komisija meni, da je to potrebno, lahko sprejme dodatne sklepe o ustreznosti za prenos javnih zaščitenih podatkov za ponovno uporabo, ko gre za zahtevo za dostop do neosebnih podatkov iz tretje države. Ti sklepi o ustreznosti bodo podobni sklepom o ustreznosti, povezanim s prenosom osebnih podatkov v skladu s splošno uredbo o varstvu podatkov.

Poleg tega DGA pooblašča Komisijo, da organom javnega sektorja in ponovnim uporabnikom da na voljo vzorčne pogodbene klavzule za scenarije, v katerih so podatki javnega sektorja vključeni v prenose podatkov s tretjimi državami.