Datalagen förklaras

Varför då?

Ett viktigt mål med dataakten är att skapa rättvisa i dataekonomin och ge användarna möjlighet att dra nytta av de data de genererar med hjälp av de uppkopplade produkter som de äger, hyr eller leasar.

Dataakten gör det möjligt för användare av uppkopplade produkter (t.ex. uppkopplade bilar, medicinsk utrustning och träningsutrustning, industri- eller jordbruksmaskiner) och tillhörande tjänster (dvs. allt som skulle få en uppkopplad produkt att bete sig på ett visst sätt, t.ex. en app för att justera ljusets ljusstyrka eller för att reglera temperaturen i ett kylskåp) att få tillgång till de data som de gemensamt skapar genom att använda de uppkopplade produkterna/relaterade tjänsterna.

Tillgången till sådana uppgifter kommer att ha en betydande inverkan på ekonomin. Data som genereras av uppkopplade produkter och tillhörande tjänster kan till exempel användas för att främja eftermarknads- och stödtjänster samt för att skapa helt nya tjänster, vilket gynnar både företag och konsumenter. 

Typer av uppgifter som omfattas

Kapitel II i datalagen om datadelning mellan företag och mellan företag och konsumenter är tillämpligt på alla rådata och förbehandlade data som genereras vid användning av en uppkopplad produkt eller en tillhörande tjänst som är lättillgänglig för datainnehavaren (t.ex. tillverkare av en uppkopplad produkt/leverantör av en tillhörande tjänst), med andra ord data som lätt kan nås utan oproportionell ansträngning och som går utöver en enkel operation. Detta gäller både personuppgifter och icke-personuppgifter, inklusive relevanta metadata.

Sådana data omfattar data som samlas in från en enda sensor eller en ansluten grupp av sensorer, såsom temperatur, tryck, flödeshastighet, ljud, pH-värde, vätskenivå, position, acceleration eller hastighet.

Härledda eller härledda data och innehåll (t.ex. mycket berikade data, audiovisuellt material) omfattas inte. Datalagen påverkar inte heller lagarna om skydd av immateriella rättigheter.

I praktiken

Kapitel II i dataakten gör det möjligt för användare (dvs. alla juridiska eller fysiska personer som äger, hyr eller leasar en uppkopplad produkt) att få tillgång till de data som de genererar genom sin användning av den uppkopplade produkten eller tillhörande tjänsten. Om användaren vill dela dessa data med en annan enhet eller individ (tredjepart)kan han eller hon antingen göra det direkt eller be datainnehavaren att dela dem med en tredje part efter eget val (utom grindvakter enligt rättsakten om digitala marknader). Datainnehavaren är vanligtvis det företag som tillverkar den uppkopplade produkten eller som tillhandahåller en tillhörande tjänst. En datainnehavare måste ha ett avtal med användaren (t.ex. köpeavtal, hyresavtal, tillhörande tjänsteavtal osv.) som fastställer rättigheterna avseende åtkomst till, användning och delning av de data som genereras av den uppkopplade produkten eller tillhörande tjänsten. Det är viktigt att notera att datainnehavaren inte kan använda icke-personuppgifter som genereras av produkten utan användarens samtycke.

Som exempel, och med tanke på att det relevanta avtalet fastställer de exakta rollerna:

• Ett företag driver en bulldozer: Datainnehavaren skulle normalt vara bulldozertillverkaren, och användaren skulle vara det företag som driver bulldozern.  

• Om någon köper ett anslutet kylskåp och laddar ner en app som hjälper dem att reglera den optimala temperaturen för innehållet i kylskåpet, skulle det potentiellt finnas två datainnehavare, nämligen den enhet som släppte ut kylskåpet på marknaden och den enhet som erbjuder den tillhörande tjänsten (appen), och endast en användare (kylskåpets ägare).

Dataakten innehåller flera mekanismer för att göra det lättare för användarna att utnyttja dessa bestämmelser: Datainnehavare måste ge användaren information om den typ av data som de kommer att generera när de använder den uppkopplade produkten eller tillhörande tjänsten (inklusive volym, insamlingsfrekvens osv.). Användarna bör kunna begära tillgång till uppgifterna genom en enkel process. Datainnehavare måste göra data tillgängliga för användare kostnadsfritt.

Begränsningar av användningen av uppgifterna

För att inte avskräcka företag från att investera i datagenererande produkter kan de data som erhålls inte användas för att utveckla en konkurrerande uppkopplad produkt. Datalagen förbjuder inte konkurrens inom relaterade tjänster eller eftermarknadstjänster. Dessutom finns det ingen skyldighet enligt datalagen för en datainnehavare att dela data med tredje parter som är baserade utanför EU.

Dataakten är helt förenlig med dataskyddsreglerna, särskilt den allmänna dataskyddsförordningen. Om användaren inte är den registrerade vars uppgifter begärs kan personuppgifter endast göras tillgängliga om det finns en giltig rättslig grund (t.ex. samtycke). Detta är ett viktigt övervägande eftersom samgenererade data ofta innehåller både personuppgifter och icke-personuppgifter, vilket kan vara svårt att separera.  

Det ger incitament till utveckling av uppkopplade produkter och tjänster som bygger på nya dataflöden, vilket är av särskilt värde för mindre företag. Dessutom omfattas mikroföretag och små företag, i egenskap av tillverkare eller leverantörer av tillhörande tjänster, inte av samma skyldigheter som större företag.

För att skydda företagshemligheter utan att undergräva dataaktens mål att göra fler data tillgängliga får datainnehavaren och användaren/tredje parten komma överens om vissa åtgärder för att bevara företagshemligheternas konfidentialitet. Om dessa åtgärder inte respekteras får datainnehavaren hålla inne eller tillfälligt avbryta datadelningen. Datainnehavaren får endast vägra att dela data om denne kan visa att det är mycket sannolikt att denne kommer att lida allvarlig ekonomisk skada till följd av röjandet av företagshemligheter.

Datainnehavaren och användaren får komma överens om att begränsa datadelningen om det finns en risk för att den uppkopplade produktens säkerhetskrav kan undergrävas, vilket leder till allvarliga negativa effekter på människors hälsa, säkerhet eller trygghet. Sådana krav måste fastställas i unionsrätten eller nationell rätt.

Om datainnehavaren tillfälligt upphäver, undanhåller eller vägrar att dela data på grund av krav på skydd av företagshemligheter eller säkerhet måste denne underrätta den nationella behöriga myndigheten. Användarna kan överklaga ett sådant beslut, antingen inför den behöriga domstolen i en medlemsstat, genom ett klagomål till den behöriga myndigheten eller efter överenskommelse med datainnehavaren inför ett tvistlösningsorgan.

Varför då?

Genom dataakten införs regler för situationer där ett företag (datainnehavare) har en rättslig skyldighet enligt EU-lagstiftning eller nationell lagstiftning att göra data tillgängliga för ett annat företag (datamottagare), även i samband med data i sakernas internet. Framför allt måste villkoren för datadelning vara rättvisa, rimliga och icke-diskriminerande.

Som ett incitament till datadelning får datainnehavare som är skyldiga att dela data begära ”rimlig ersättning” från datamottagaren.

Typer av uppgifter som omfattas

Kapitel III i dataakten är tillämpligt på alla data (både personliga och icke-personliga) som innehas av ett företag, inbegripet situationer som omfattas av kapitel II i dataakten.

I praktiken

Datainnehavare får begära rimlig ersättning för att göra data tillgängliga för en datamottagare. Detta kan omfatta kostnader för att göra uppgifterna tillgängliga samt tekniska kostnader i samband med spridning och lagring. Mikroföretag, små och medelstora företag och icke-vinstdrivande forskningsorganisationer får dock inte debiteras mer än de kostnader som uppstår för att göra uppgifterna tillgängliga.

För att skydda datainnehavare innehåller dataakten en icke-uttömmande förteckning över åtgärder för att avhjälpa situationer där en tredje part eller användare olagligen har fått åtkomst till eller använt data. En datainnehavare kan till exempel kräva att en intrångsgörande part upphör med att producera produkten i fråga eller förstör de data som den olagligen har erhållit, eller begära ersättning.

Eventuella datadelningsskyldigheter som föregår datalagen påverkas inte. Skyldigheterna i framtida (sektoriell) lagstiftning bör anpassas till bestämmelserna i kapitel III i dataakten.

Varför då?

Avtalsfrihet är centralt för relationer mellan företag. Dataakten syftar dock till att skydda alla europeiska företag som vill förvärva data, särskilt små och medelstora företag, mot oskäliga avtalsvillkor genom sina åtgärder för att ingripa i situationer där till exempel ett av företagen har en starkare förhandlingsposition (t.ex. på grund av sin marknadsstorlek) och inför ett icke-förhandlingsbart villkor (”take-it-or-leave-it”) för åtkomst till och användning av data.

Typer av uppgifter som omfattas

Dessa regler omfattar alla uppgifter, både personliga och icke-personliga, som innehas av en privat enhet som nås och används på grundval av ett avtal mellan företag.

I praktiken

Ensidigt ålagda take-it-or-leave-it-villkor kan, om de avser tillgängliggörande av data, bli föremål för ett oskälighetstest.

I datalagen fastställs en icke uttömmande förteckning över villkor som alltid anses vara oskäliga (t.ex. som skulle utesluta eller begränsa ansvaret för den part som ensidigt ålagt villkoret för avsiktliga handlingar eller grov vårdslöshet) och villkor som antas vara oskäliga (t.ex. som på ett olämpligt sätt skulle begränsa avhjälpande åtgärder vid underlåtenhet att fullgöra avtalsförpliktelser eller ansvar vid överträdelse av dessa skyldigheter, eller utvidga ansvaret för det företag som ensidigt ålagts villkoret). Om ett villkor anses vara oskäligt är det inte längre giltigt – om möjligt avskiljs det helt enkelt från avtalet. Om villkoret antas vara oskäligt kan den enhet som ålade villkoret försöka visa att villkoret inte är oskäligt.

Varför då?

För att säkerställa en konkurrensutsatt marknad i EU bör kunder till databehandlingstjänster (inklusive molntjänster och edgetjänster) smidigt kunna byta från en leverantör till en annan. För närvarande stöter kunderna dock på ett antal hinder, bland annat höga avgifter i samband med t.ex. datautvinning, långdragna förfaranden och bristande interoperabilitet mellan leverantörer, vilket kan leda till förlust av data och applikationer.

Dataakten kommer att göra bytet fritt, snabbt och smidigt. Detta kommer att gynna kunder, som fritt kan välja de tjänster som bäst uppfyller deras behov, samt leverantörer, som kommer att dra nytta av en större pool av kunder.

Tillämpningsområde

Kapitel VI i datalagen är tillämpligt på leverantörer av databehandlingstjänster (dvs. digitala tjänster som möjliggör allmänt tillgänglig nätåtkomst på begäran, såsom nätverk, servrar eller annan virtuell eller fysisk infrastruktur och programvara). Data som är avgörande för byte omfattar indata och utdata, inklusive metadata, som genereras genom kundens användning av tjänsten, med undantag för data som skyddas av immateriella rättigheter eller som utgör en företagshemlighet för tjänsteleverantören.  

I praktiken

För att komma till rätta med maktobalansen mellan leverantörer och kunder på molnmarknaden fastställs i dataakten minimikrav för innehållet i molnavtal. I synnerhet kommer kunder från den privata och offentliga sektorn att gynnas av mycket större avtalstransparens.

Datalagen innehåller åtgärder för att säkerställa att kunderna snabbt och smidigt kan byta från en leverantör av databehandlingstjänster (källleverantör) till en annan (destinationsleverantör) utan att förlora några data eller applikationernas funktionalitet. Leverantörer av Plattform och Programvara som tjänst måste till exempel göra öppna gränssnitt tillgängliga och åtminstone exportera data i ett allmänt använt och maskinläsbart format. Leverantörer av infrastruktur som en tjänst måste vidta åtgärder för att underlätta att kunden, när en kund byter till en tjänst av samma typ, får materiellt jämförbara resultat som svar på samma input för funktioner som båda tjänsterna delar (funktionell likvärdighet). Som ett exempel på en sådan åtgärd kan källleverantören behöva använda verktyg för att flytta datorarbetsbelastningar från en virtualiseringsteknik till en annan. 

Alla leverantörer är skyldiga att undanröja hinder som deras kunder kan möta när de vill byta till en annan leverantör eller använda flera tjänster samtidigt.

Datalagen kommer också att helt avskaffa bytesavgifter, inbegripet avgifter för datautträde (dvs. avgifter för datatransitering), från och med den 12 januari 2027. Detta innebär att leverantörerna inte kommer att kunna debitera sina kunder för den verksamhet som är nödvändig för att underlätta byte eller för datautgång. Som en övergångsåtgärd under de första tre åren efter dataaktens ikraftträdande (från och med den 11 januari 2024 till och med den 12 januari 2027) får leverantörer dock fortfarande debitera sina kunder för de kostnader som uppstår i samband med byte och datautträde.

Varför då?

Ibland syftar ett beslut eller en dom som utfärdats av ett land utanför EU (tredjeland) till att ge myndigheter tillgång till och överföring av icke-personuppgifter som behandlas och lagras inom EU. I vissa fall kan det dock faktiskt vara olagligt att bevilja tillgång till eller överföring av sådana uppgifter, särskilt om begäran strider mot EU:s lagstiftning och garantier om skydd av enskildas grundläggande rättigheter, nationella säkerhetsintressen eller kommersiellt känsliga uppgifter.

Dataakten följer dataförvaltningsakten när det gäller de bestämmelser som syftar till att förhindra olaglig åtkomst från tredjeländers myndigheter och överföring av icke-personuppgifter som innehas i EU. Sådana bestämmelser påverkar inte regelbunden datadelning mellan företag. De ökar insynen och rättssäkerheten när det gäller den process och de villkor enligt vilka icke-personuppgifter kan nås av eller överföras till statliga organ utanför EU.

Typer av uppgifter som omfattas

Alla icke-personuppgifter som innehas i EU av en leverantör av en databehandlingstjänst.

I praktiken

Dataakten förbjuder inte gränsöverskridande dataflöden, men säkerställer att skyddet för uppgifter i EU följer med alla uppgifter som överförs utanför EU.

I detta sammanhang fastställs i dataakten regler och skyddsåtgärder för begäranden från en utländsk offentlig myndighet om tillgång till icke-personuppgifter som innehas i unionen. Legitimt internationellt samarbete i fråga om brottsbekämpning påverkas inte av dessa bestämmelser.

Om det inte finns något internationellt avtal som reglerar tredjelandsregeringars tillgång till icke-personuppgifter inom EU kan uppgifterna endast överföras eller göras tillgängliga på särskilda villkor. Dessa villkor avser vissa garantier som skyddar europeiska rättigheter som måste uppfyllas av tredjelandets rättssystem, inbegripet ett krav på att ange skälen och bedöma proportionaliteten i beslutet. Den leverantör av databehandlingstjänster som omfattas av ett sådant beslut får kontakta det berörda nationella organet för att hjälpa till att bedöma om villkoren i dataakten är uppfyllda. För att hjälpa till att bedöma om dessa villkor har uppfyllts kommer kommissionen att utarbeta riktlinjer tillsammans med Europeiska datainnovationsstyrelsen (en expertgrupp som inrättats enligt dataförvaltningsakten för att underlätta utbytet av bästa praxis och prioritera sektorsövergripande standarder för interoperabilitet).

Leverantörer av databehandlingstjänster bör vidta alla rimliga åtgärder (t.ex. kryptering, revisioner, anslutning till certifieringssystem) för att förhindra åtkomst till de system där de lagrar icke-personuppgifter. Dessa åtgärder bör offentliggöras på deras webbplatser. När så är möjligt bör de dessutom informera sina kunder innan de ger tillgång till sina uppgifter.

Varför då?

Standarder och interoperabilitet är avgörande för att säkerställa att data från olika källor kan användas inom och mellan gemensamma europeiska dataområden för att främja forskning och utveckla nya produkter eller tjänster. I detta syfte fastställs i dataakten vissa väsentliga krav som deltagare i dataområden måste uppfylla och som kan specificeras ytterligare av Europeiska kommissionen genom delegerade akter.

Det syftar också till att säkerställa interoperabilitet mellan databehandlingstjänster. Detta är avgörande för att kunderna ska kunna dra nytta av enklare byten.

Viktiga intressenter

Detta kapitel riktar sig till deltagare i dataområden som erbjuder data eller databaserade tjänster till andra deltagare och som underlättar eller deltar i datadelning inom dataområdena.

Det riktar sig också till leverantörer av smarta kontrakt samt leverantörer av databehandlingstjänster.

I praktiken

Deltagare i dataområden bör uppfylla flera väsentliga krav för att data ska kunna flöda inom och mellan dataområden. Till exempel bör en beskrivning av datastrukturer, dataformat och vokabulär, om sådana finns tillgängliga, vara tillgänglig för allmänheten. Dessutom bör metoder för att säkerställa interoperabilitet mellan datadelningsavtal, såsom smarta kontrakt, säkerställas.

Dataakten banar också väg för att öka interoperabiliteten mellan databehandlingstjänster genom harmoniserade standarder och öppna interoperabilitetsspecifikationer.

Dessutom fastställs krav på leverantörer av smarta kontrakt för automatiserat genomförande av datadelningsavtal, till exempel för att säkerställa att de korrekt genomför bestämmelserna i datadelningsavtalet och motstår manipulering av tredje part.

Kommissionen kommer att bedöma hinder för interoperabilitet och prioritera standardiseringsbehov, på grundval av vilka den kan begära att europeiska standardiseringsorganisationer utarbetar harmoniserade standarder som uppfyller ovannämnda krav.

Om begäran inte leder till en harmoniserad standard eller om standarden är otillräcklig för att säkerställa överensstämmelse med dataakten kan kommissionen anta gemensamma specifikationer som en reservlösning. Dessa bör utvecklas på ett öppet och inkluderande sätt, med beaktande av återkoppling från Europeiska datainnovationsstyrelsen.

Medlemsstaterna kommer att utse en eller flera (nya eller befintliga) behöriga myndigheter för att säkerställa ett effektivt genomförande av dataakten. Om det finns flera behöriga myndigheter måste medlemsstaterna utse en av dem till ”datasamordnare”. Datasamordnaren kommer att fungera som en enda kontaktpunkt för alla frågor som rör genomförandet av dataakten på nationell nivå, vilket underlättar tillämpningen för både företag och offentliga myndigheter. Om ett företag till exempel söker gottgörelse för överträdelse av sina rättigheter enligt dataakten bör datasamordnaren (på begäran) tillhandahålla all nödvändig information för att hjälpa dem att lämna in sitt klagomål till lämplig behörig myndighet. Datasamordnaren kommer också att underlätta samarbete i gränsöverskridande situationer, till exempel när en behörig myndighet från en viss medlemsstat inte vet vilken myndighet den bör vända sig till i datasamordnarens medlemsstat.

Kommissionen kommer att föra ett offentligt register över behöriga myndigheter och datasamordnare.

Europeiska datainnovationsstyrelsen kommer att underlätta diskussioner mellan behöriga myndigheter, till exempel för att samordna och anta rekommendationer om fastställande av sanktioner för överträdelser av dataakten. Sanktioner fastställs av behöriga myndigheter, och enligt dataakten bör det finnas effektiva, proportionella och avskräckande sanktioner.

Medlemsstaterna får, om de så önskar, inrätta certifierade tvistlösningsorgan för att bistå parter som inte kan komma överens om rättvisa, rimliga och icke-diskriminerande villkor för att göra data tillgängliga. Det står parterna fritt att vända sig till vilket tvistlösningsorgan som helst – antingen i den medlemsstat där de är etablerade eller i en annan.

Certifierade tvistlösningsmekanismer och specialiserade behöriga myndigheter kommer att göra det lättare för företag, särskilt små företag, att hävda sina rättigheter enligt dataakten eftersom de erbjuder en enkel, snabb och billig lösning för de berörda parterna.