Nowe obowiązki dla przedsiębiorców
Adresatem nowych obowiązków będą przede wszystkim producenci produktów i dostawcy powiązanych usług (tj. usług cyfrowych, w tym oprogramowania, które są zawarte w produkcie lub wzajemnie z nim połączone w taki sposób, że ich brak uniemożliwiłby produktowi wykonywanie jego funkcji) wprowadzanych do obrotu w UE (dalej „producenci IOT”). Szczególne kwestie, które producenci IOT będą musieli wziąć pod uwagę, to:
- zapewnienie domyślnej łatwości oraz bezpieczeństwa dostępu użytkownika do danych generowanych w wyniku korzystania z produktu;
- zapewnienie użytkownikowi bezpośredniej dostępności do danych wygenerowanych w wyniku korzystania przez niego z produktu lub powiązanej usługi, a w przypadku braku takiej możliwości – nieodpłatnego udostępnienia użytkownikowi danych na jego wniosek;
- przekazanie użytkownikowi informacji w jasnym i zrozumiałym formacie obejmujących co najmniej informacje określone w DA;
- ograniczenie możliwości przechowywania informacji na temat dostępu użytkownika poza tymi, które są niezbędne do należytego wykonania wniosku oraz do bezpieczeństwa i utrzymania infrastruktury danych.
Podmiot otrzymujący dane zobowiązany będzie do ich przetwarzania wyłącznie do celów i na warunkach uzgodnionych z użytkownikiem oraz do ich usunięcia, gdy nie będą już niezbędne do uzgodnionego celu. Regulacje DA przewidują szczególne zasady dotyczące ujawniania informacji stanowiących tajemnicę przedsiębiorstwa wskazując, że taką ujawnia się wyłącznie pod warunkiem zastosowania wszelkich szczególnych środków niezbędnych do zachowania jej w poufności.
Nieuczciwe postanowienia w umowach pomiędzy przedsiębiorcami
Realizując postulaty KE w zakresie przejrzystości oraz uczciwości, DA wprowadzi szczegółowe rozwiązania regulujące zasady dostępu do danych i korzystania z nich, odpowiedzialności i środków ochrony danych, jak również wygaśnięcia zobowiązań dotyczących danych. Mikroprzedsiębiorcy, mali lub średni przedsiębiorcy będący stronami umów dotyczących danych zyskają ochronę w sytuacji, gdy postanowienia narzucane są na nich jednostronnie i mają nieuczciwy charakter. W sytuacji, gdy stroną umowy będzie takie mikro, małe lub średnie przedsiębiorstwo, nieuczciwe postanowienie nie będzie dla niego wiążące (konstrukcja podobna do regulacji w zakresie klauzul abuzywnych, które nie obowiązują konsumentów).
Ciężar dowodu jednostronności nałożenia postanowień spoczywać będzie na umawiającej się stronie, która zaproponowała dane postanowienie – należy spodziewać się, że w przeważającej części będzie to producent IOT, który proponuje umowę w oparciu o własny wzorzec (podobnie jak przedsiębiorcy w Internecie, którzy mierzą się z zarzutami abuzywności). DA zawierać będzie katalog postanowień, które uznaje się za nieuczciwe, uwzględniając ich cel lub skutek.
Dane wskazują, że
42%przedsiębiorców w UE korzystało z usług chmurowych w 2021 roku.
Udostępnianie danych w przypadku wyjątkowej potrzeby
W DA zostanie uregulowana kwestia możliwości skorzystania z danych przez organy sektora publicznego oraz instytucje, agencje lub organy Unii w wyjątkowej potrzebie, która w rozumieniu DA zaistnieje w okolicznościach:
- gdy żądane dane są niezbędne do zareagowania na niebezpieczeństwo publiczne;
- gdy wniosek o udostepnienie danych jest ograniczony w czasie i zakresie oraz niezbędny do zapobieżenia niebezpieczeństwu publicznemu lub do pomocy w przywracaniu stanu wyjściowego po wystąpieniu takiego niebezpieczeństwa;
- gdy brak dostępnych danych uniemożliwia podmiotowi realizację konkretnego zadania leżącego w interesie publicznym i wyraźnie wskazanego w prawie, przy czym jedynie w sytuacjach, gdy podmiot nie był w stanie uzyskać takich danych za pomocą alternatywnych środków lub gdy uzyskanie danych zgodnie z procedurą przewidzianą w DA znacznie zmniejszyłoby obciążenie administracyjne posiadaczy danych lub innych przedsiębiorstw.
Posiadacz danych będzie zobowiązany bez zbędnej zwłoki udostępnić dane organowi, który wystąpił z wnioskiem. W przypadkach wyjątkowej potrzeby co do zasady dane udostępniane będą nieodpłatnie.
DA wprowadzi także restrykcje dla korzystania przez organy sektora publicznego z tak pozyskanych danych, wskazując na możliwość korzystania z danych jedynie zgodnie z celem, jaki został wskazany we wniosku o udostępnienie danych oraz konieczność ich niezwłocznego zniszczenia po ustaniu celu, w jakim zostały pozyskane.
Zmiana dostawcy usług przetwarzania
Zmierzając do umożliwienia klientom płynnego przejścia pomiędzy usługami tego samego rodzaju, dostawcy usług przetwarzania (tj. dostawcy usług chmurowych) będą zobowiązani do usunięcia przeszkód handlowych, technicznych, umownych oraz organizacyjnych, które szczególnie utrudniają klientom zmianę dostawcy. W konsekwencji, DA wprowadzi wymóg jasnego określenia praw klienta i obowiązków dostawcy w odniesieniu do jego zmiany w pisemnej umowie, z uwzględnieniem w takiej umowie co najmniej:
- klauzul umożliwiających klientowi przejście na usługę przetwarzania danych oferowaną przez innego dostawcę lub przeniesienie wszystkich danych bezpośrednio lub pośrednio do systemu lokalnego (w szczególności klauzul umożliwiających ustanowienie obowiązkowego maksymalnego okresu przejściowego wynoszącego 30 dni kalendarzowych, podczas którego dostawca usług przetwarzania danych wspomaga proces zmiany dostawcy oraz zapewnia pełną ciągłość świadczenia usług);
- szczegółowej specyfikacji wszystkich kategorii danych i aplikacji, które można eksportować w trakcie procesu zmiany dostawcy;
- minimalnego okresu, w którym można odzyskać dane (co najmniej 30 dni kalendarzowych, rozpoczynające się po zakończeniu okresu przejściowego).
DA wprowadzi także proces stopniowego wycofywania opłat z tytułu zmiany dostawcy. Docelowo klient nie powinien ponosić żadnych opłat w takim procesie.
Interoperacyjność danych
DA zmierza do zapewnienia interoperacyjności, a więc zdolności wymiany i wykorzystywania danych w celu wykonywania swoich funkcji przez co najmniej dwie przestrzenie danych, sieci komunikacyjne, systemy, produkty, aplikacje lub komponenty. Aby to uczynić, operatorzy przestrzeni danych zobowiązani będą spełnić stawiane przez DA wymagania, polegające m.in. na dostatecznym opisywaniu zawartości zbioru danych czy technicznych środków dostępu do danych (takich jak interfejsy programowania aplikacji), jak również na obowiązku zapewnienia interoperacyjności inteligentnych umów w ramach usług i działań przez nich realizowanych.
O inteligentnych umowach DA stanowi znacznie szerzej, wskazując na zasadnicze wymagania dla takich umów w zakresie udostępniania danych. Dostawca aplikacji wykorzystującej inteligentne umowy (a w przypadku jego braku – podmiot prowadzący działalność, w ramach której świadczone są usługi wdrażania inteligentnych umów w kontekście umowy o udostępnienie danych) będzie musiał spełniać wymagania w zakresie odporności, bezpiecznego zakończenia i przerwania usługi, archiwizacji i ciągłości danych oraz kontroli dostępu.
Wdrożenie i egzekwowanie aktu w sprawie danych
Każde z państw członkowskich będzie miało za zadanie wybrać lub ustanowić właściwy organ odpowiedzialny za wdrożenie oraz stosowanie DA. Wśród zadań organu znajdą się między innymi obowiązki związane z propagowaniem wiedzy na temat praw i obowiązków wynikających z DA, ale też prowadzenie postępowań w sprawach dotyczących stosowania DA oraz nakładanie kar pieniężnych w przypadku stwierdzenia naruszeń. Osoby fizyczne oraz osoby prawne zyskają prawo do wniesienia skargi do odpowiedniego właściwego organu w państwie członkowskim, jeśli stwierdzą, że ich prawa wynikające z DA zostały naruszone.
Podsumowanie
Choć proces legislacyjny dotyczący aktu w sprawie danych nadal trwa, pojawia się sporo głosów krytycznych zarówno ze strony biznesu, jak i sektora publicznego. W maju 2022 roku EROD[3] oraz EIOD[4] wydały wspólną opinię do opublikowanego projektu, w którym wyraziły swoje obawy w zakresie niedostatecznego sprecyzowania relacji DA oraz RODO[5], zwracając szczególną uwagę na zawarte w DA odniesienia zarówno do danych nieosobowych, jak i do danych osobowych. Twórcy aktu muszą zmierzyć się jeszcze z wieloma wyzwaniami, nie tylko z obszaru prywatności, dlatego nie jest pewne, kiedy zostanie on przyjęty.
Akt w sprawie danych ma być aktem neutralnym sektorowo, więc jego postanowienia dotkną szeroki krąg podmiotów – warto śledzić jego losy, aby odpowiednio wcześniej przygotować swoją działalność do nowych zasad.
