11 січня 2024 року, через двадцять днів після його публікації в Офіційному журналі Європейського Союзу, набрав чинності Закон ЄС про дані – Регламент (ЄС) 2023/2854. Регламент застосовується з 12 вересня 2025 року. Це законодавство накладає принципово нові зобов’язання на виробників підключених продуктів та постачальників пов’язаних послуг, що стосуються широкого кола секторів: від виробництва та енергетики до охорони здоров’я та автомобільної промисловості. Будь-кому, хто генерує, обробляє або використовує дані в бізнес-контексті, рекомендується своєчасно вивчити сферу застосування цього законодавства.
Що регулює Закон про дані?
Закон про дані є частиною Європейської стратегії щодо даних, метою якої є зміцнення конкурентних позицій Європи в економіці даних. Регламент встановлює правила щодо того, хто має доступ до даних, що генеруються в результаті використання продуктів або послуг, і за яких умов ці дані повинні бути передані. Це стосується не загального права на всі дані, а радше рамки з шести конкретних кластерів: доступ користувачів до даних про продукти та послуги, обмін B2B на справедливих умовах, публічний доступ у випадках виняткової потреби, перемикання між службами обробки даних, захист від доступу міжнародних урядів до неперсональних даних та сумісність.
Зобов'язання для бізнесу: дизайн продукту
Підключені продукти повинні бути розроблені та виготовлені таким чином, щоб згенеровані дані за замовчуванням були легко, безпечно, безкоштовно та у машинозчитуваному форматі, безпосередньо доступними для користувача. Користувачі підключених продуктів – подумайте про пристрої розумного дому, промислове обладнання чи транспортні засоби – таким чином отримують право доступу до даних, які генеруються в результаті використання цього продукту. Виробники та постачальники послуг більше не можуть зберігати ці дані виключно для себе.
Важливо, що це зобов'язання має поетапне набрання чинності. Хоча Закон про дані в цілому застосовується з 12 вересня 2025 року, зобов'язання щодо проектування та виробництва підключених продуктів застосовується лише до продуктів, виведених на ринок після 12 вересня 2026 року. Тому існуючі продукти ще не охоплюються цим Законом.
Чесні умови обміну даними B2B
Регламент містить конкретні правила щодо договірні умови в контрактах на передачу даних B2BУмова, односторонньо нав'язана одним зобов'язанням іншому, не є обов'язковою для іншої сторони, якщо вона є несправедливою. Умова вважається односторонньо нав'язаною, якщо, незважаючи на спробу переговорів, інша сторона не змогла вплинути на її зміст. Тягар доведення цього лежить на стороні, яка включила цю умову.
Умова є несправедливою, якщо її використання суттєво відхиляється від належної комерційної практики та суперечить принципам добросовісності та чесної ділової практики. У Регламенті наведено приклади умов, які виключають відповідальність за умисел або грубу недбалість, забороняють іншій стороні використовувати власні дані, дозволяють одностороннє розірвання договору з необґрунтовано коротким попередженням або дозволяють вносити значні зміни в ціну чи інші суттєві зміни в односторонньому порядку. Правовим наслідком є те, що несправедлива умова не є обов'язковою для іншої сторони, тоді як решта договірних положень залишаються чинними тією мірою, якою умова є відокремлюваною.
Взаємодія з GDPR
Закон про дані діє поряд із Загальним регламентом про захист даних, але між ними існує важлива взаємодія. Регламент також охоплює персональні дані, але не відокремлює їх від закону про захист даних. Якщо користувач не є суб'єктом даних, чиї персональні дані запитуються, ці персональні дані можуть бути надані лише за наявності дійсної правової підстави згідно зі статтею 6 GDPR. Таким чином, Закон про дані не створює окремого винятку з GDPR: доступ до даних згідно із Законом про дані не звільняє сторони від їхні зобов'язання щодо GDPR, а також не надає підстав для подальшого зберігання або повторного використання наданих даних поза межами мети, для якої вони були отримані.
Портативність та комутація в хмарі
Окремий розділ вимагає від постачальників послуг обробки даних спростити перехід до іншого постачальника. Вони не можуть встановлювати жодних докомерційних, комерційних, технічних, договірних чи організаційних перешкод, які б заважали клієнтам переходити. З 12 січня 2027 року постачальники послуг обробки даних більше не можуть стягувати з клієнтів жодних зборів за перехід. Фактична передача даних та конфігурацій повинна відбуватися без невиправданої затримки та в жодному разі не після обов'язкового перехідного періоду тривалістю максимум тридцять днів. Для організацій, які сильно залежать від одного постачальника хмарних послуг, це надає нові переваги в переговорах під час поновлення або перегляду контрактів.
Публічний доступ у випадках надзвичайної потреби
Регламент надає органам державного сектору можливість, за певних умов, вимагати доступ до приватних даних у випадках надзвичайної потреби, наприклад, надзвичайного стану у державному секторі. У такому випадку власники даних, окрім мікропідприємств та малих підприємств, зобов'язані надавати необхідні дані безкоштовно. В інших випадках надзвичайної потреби власник даних має право на справедливу компенсацію. Це повноваження підлягає умовам пропорційності та субсидіарності, викладеним у Регламенті.
Застосування в Нідерландах
У Нідерландах правозастосування тепер закріплено в законодавстві через Закон про імплементацію Закону про дані (Uitvoeringswet dataverordening). Нідерландське управління з питань споживачів та ринків (ACM) є компетентним органом для більшої частини Регламенту, включаючи розділи про дані про продукти, обмін B2B та хмарну портативність. Нідерландське управління захисту даних (AP) відповідає за елементи, що стосуються конфіденційності, та за обробку персональних даних у рамках певних статей та Розділу V. Обидва органи можуть вживати заходів щодо забезпечення виконання у своїй сфері, видаючи наказ, що підлягає стягненню штрафу або адміністративного штрафу. Закон про імплементацію також передбачає домовленість про співпрацю та обмін інформацією між ACM та AP, щоб обидва наглядові органи могли діяти скоординовано з питань, що дублюються.
Що це означає на практиці?
Підприємствам, які розробляють, імпортують або розповсюджують підключені продукти, було б доцільно переглянути дизайн своїх продуктів та договірну структуру на відповідність Закону про дані вже зараз. Для продуктів, виведених на ринок після 12 вересня 2026 року, зобов'язання щодо дизайну та доступності застосовується повністю. Постачальники послуг, які обробляють дані від імені користувачів, повинні проаналізувати, які зобов'язання щодо обміну даними застосовуються до них, і чи відповідають їм чинні угоди, включаючи односторонньо розроблені положення про дані.
Ті, хто чекає, поки запроваджено заходи правозастосування, ризикують відстати. Своєчасне узгодження продуктів, послуг та контрактів з новими правилами – це не лише питання дотримання, але також відкриває можливості: ті, хто пропонує своїм клієнтам прозорість та доступ до даних, виділяються на ринку, який дедалі критичніше ставиться до того, як компанії обробляють дані.
У вас є питання щодо наслідків Закону ЄС про дані для вашого бізнесу або ваших контрактів? Юристи компанії Law & More раді вам допомогти.
Поширені запитання
Чи застосовується вже Закон про захист даних до моїх існуючих підключених продуктів?
Регламент застосовується з 12 вересня 2025 року, але зобов'язання розробляти підключені продукти таким чином, щоб дані були доступні користувачам, поширюється лише на продукти, виведені на ринок після 12 вересня 2026 року. Існуючі продукти, які вже були на ринку до цієї дати, ще не охоплені. Тим не менш, виробникам та імпортерам було б доцільно узгодити розробку своєї продукції з новими вимогами вже зараз, щоб майбутні продукти відповідали вимогам після виходу на ринок.
Що робити, якщо мій договір на передачу даних містить пункти, що обмежують доступ до даних?
Згідно із Законом про дані, договірні умови, що нав'язані в односторонньому порядку та забороняють іншій стороні використовувати або експлуатувати власні дані, можуть вважатися несправедливими, а отже, необов'язковими. Доцільно переглянути чинні договори щодо даних на наявність таких положень. Тягар доведення того, що умова не була нав'язана в односторонньому порядку, лежить на стороні, яка її включила. Ранній перегляд умов, як правило, є ефективнішим, ніж очікування, поки інша сторона скористається Регламентом.
Чи можу я ділитися персональними даними відповідно до Закону про дані без правової підстави GDPR?
Ні. Закон про захист персональних даних не передбачає окремої підстави для розкриття персональних даних. Якщо користувач не є суб’єктом даних, чиї персональні дані запитуються, ці дані можуть бути надані лише за наявності дійсної правової підстави згідно зі статтею 6 GDPR. Крім того, доступ до даних згідно із Законом про захист персональних даних не надає підстав для подальшого зберігання або повторного використання розкритих персональних даних поза межами початкової мети. Тому дотримання GDPR та Закону про захист персональних даних має бути забезпечено одночасно.
Чи можу я все ще стягувати плату за перехід як постачальник хмарних послуг?
З 12 січня 2027 року постачальникам послуг з обробки даних заборонено стягувати з клієнтів плату за перехід. Крім того, з 12 вересня 2025 року не можуть бути встановлені жодні технічні, договірні чи організаційні перешкоди, що перешкоджають переходу. Фактична передача даних під час переходу також повинна відбуватися без невиправданої затримки та бути завершена протягом перехідного періоду не пізніше тридцяти днів. Чинні договори, що містять довші терміни або плату за перехід, потребують перегляду.
Який наглядовий орган уповноважений забезпечувати виконання Закону про дані в Нідерландах?
Застосування розподілено між Нідерландським управлінням у справах споживачів та ринків (ACM) та Нідерландським управлінням захисту даних (AP). ACM відповідає за більшу частину Регламенту, включаючи положення про дані про продукцію, обмін B2B та хмарну портативність. AP відповідає за елементи, що стосуються конфіденційності, та обробку персональних даних у рамках певних статей та Розділу V. Обидва органи можуть видавати розпорядження, що підлягає стягненню штрафу або адміністративного штрафу. Проти таких рішень доступні звичайні засоби адміністративного права, включаючи заперечення, апеляцію та тимчасові заходи.
Чи застосовується Закон про дані також до малих підприємств?
Регламент розрізняє підприємства за розміром за кількома пунктами. Наприклад, мікропідприємства та малі підприємства звільняються від обов'язку надавати дані безкоштовно у випадках надзвичайних ситуацій у державному секторі; у цих випадках вони мають право на справедливу компенсацію. Щодо інших зобов'язань, включаючи зобов'язання щодо доступності підключених продуктів та тест на справедливість для умов B2B, загального винятку для малих та середніх підприємств немає. Тому менші постачальники підключених продуктів або хмарних послуг також повинні своєчасно узгодити свою діяльність з Регламентом.
