Закон ЄС про дані: хто повинен ділитися даними та на яких умовах?

Закон ЄС про дані надає користувачам підключених продуктів та пов’язаних з ними послуг право доступу до даних, які вони генерують, та право на передачу цих даних третім сторонам. Він діє з 12 вересня 2025 року, але зобов’язання розробляти продукти таким чином, щоб дані були безпосередньо доступними, поширюється лише на підключені продукти, випущені на ринок після 12 вересня 2026 року.

Закон про дані, Регламент (ЄС) 2023/2854, також встановлює правила щодо несправедливих умов у договорах на передачу даних між підприємствами, щодо переходу між постачальниками хмарних послуг та щодо доступу до даних державними органами у виняткових ситуаціях. Якщо ваше підприємство виробляє, імпортує або продає підключені продукти, пропонує хмарні послуги або використовує дані за договорами з іншими підприємствами, це, ймовірно, вплине на нього. Нижче ми пояснюємо основні зобов'язання та те, як ACM та AP забезпечують їх виконання в Нідерландах.

Що регулює Закон про дані?

Закон про дані визначає, хто може отримати доступ до даних, що генеруються в результаті використання продуктів і послуг, і на яких умовах ці дані повинні бути передані. Він не створює загального права на всі дані, а рамки для шести конкретних сфер.

Регламент набрав чинності 11 січня 2024 року. Він охоплює доступ користувачів до даних про продукти та послуги, справедливі умови обміну даними між підприємствами, доступ державних органів у випадках надзвичайної потреби, перемикання між службами обробки даних, гарантії від незаконного доступу уряду до неперсональних даних з-за меж ЄС та сумісність. Повний текст доступний на EUR-Lex.

Що повинні робити виробники підключених продуктів?

Підключені продукти та пов’язані з ними послуги повинні бути розроблені таким чином, щоб дані, які вони генерують, за замовчуванням були легко, безпечно, безкоштовно та у машинозчитуваному форматі, безпосередньо доступними для користувача, де це доречно та технічно можливо (Стаття 3). Подумайте про пристрої розумного дому, промислові машини, медичні прилади або транспортні засоби.

Це зобов'язання щодо дизайну застосовується до підключених продуктів та пов'язаних з ними послуг, виведених на ринок після 12 вересня 2026 року. Продукти, які вже були на ринку до цієї дати, не потребують переробки. Перед укладенням договору користувач також має бути поінформований про тип та обсяг даних, які генерує продукт, та про те, як користувач може отримати до них доступ (стаття 3(2) та (3)).

Якщо дані не є безпосередньо доступними, власник даних повинен надати їх користувачеві на запит, без невиправданої затримки та безкоштовно (стаття 4). Користувач також може попросити власника даних поділитися даними з третьою стороною на його вибір (стаття 5). Контролери, призначені відповідно до Закону про цифрові ринки, не можуть бути такою третьою стороною.

Чи можете ви захистити свою комерційну таємницю?

Так, певною мірою. Власник даних може вимагати заходів конфіденційності перед розкриттям даних, що містять комерційну таємницю, а у виняткових випадках може відмовити у розголошенні або призупинити його, якщо розголошення з високою ймовірністю завдасть серйозної економічної шкоди. Така відмова має бути обґрунтована у письмовій формі та повідомлена компетентному органу, у Нідерландах – ACM.

Користувач не може використовувати отримані дані для розробки продукту, що конкурує з підключеним продуктом, з якого походять дані (стаття 4(10)). Власник даних, зі свого боку, може використовувати неперсоналізовані дані про продукт лише на підставі договору з користувачем.

Які умови договорів між підприємствами є несправедливими?

Договірна умова щодо доступу до даних та їх використання або щодо відповідальності та засобів правового захисту у разі порушення не зобов'язує інший бізнес, якщо вона була нав'язана в односторонньому порядку та є несправедливою (стаття 13). Умова вважається нав'язаною в односторонньому порядку, якщо інша сторона не могла вплинути на її зміст, незважаючи на спробу її узгодити, і сторона, яка запровадила умову, повинна довести протилежне.

Умова є несправедливою, якщо вона суттєво відхиляється від належної комерційної практики щодо доступу до даних та їх використання, що суперечить принципам добросовісності та чесної ділової практики. Стаття 13 містить два переліки. Умови, які завжди є несправедливими, включають ті, що виключають або обмежують відповідальність за навмисні дії або грубу недбалість, та ті, що надають стороні, яка нав'язала умову, виключне право тлумачити договір. Умови, які вважаються несправедливими, включають ті, що неналежним чином обмежують використання іншою стороною наданих нею даних або дозволяють розірвання договору у необґрунтовано короткий термін.

Несправедлива умова не є обов'язковою для іншої сторони, але решта договору залишається чинною, якщо умову можна відокремити від неї. Ці правила застосовуються до договорів, укладених після 12 вересня 2025 року. З 12 вересня 2027 року вони також застосовуються до старіших договорів, які діють на невизначений термін або закінчуються щонайменше через десять років після 11 січня 2024 року.

Якщо власник даних повинен надати дані іншому підприємству, він може вимагати розумної компенсації (стаття 9). Для мікро-, малих та середніх підприємств, а також деяких дослідницьких організацій така компенсація не може перевищувати витрати на надання даних.

Як Закон про захист даних пов'язаний з GDPR?

Закон про захист даних не замінює Загальний регламент про захист даних (GDPR). Там, де йдеться про персональні дані, GDPR продовжує застосовуватися в повному обсязі, а у разі конфлікту перевагу має GDPR.

Якщо користувач, який запитує дані, не є суб’єктом даних, персональні дані можуть бути надані лише за наявності дійсної правової підстави відповідно до статті 6 GDPR та, де це доречно, статті 9 GDPR. Закон про дані сам по собі не створює такої підстави, а правила GDPR щодо обмеження цілей, безпеки та термінів зберігання продовжують застосовуватися. Дізнайтеся більше про ризики GDPR, пов’язані з обміном даними , та про те, як довго ви можете зберігати дані клієнтів.

Які зміни для постачальників хмарних послуг та їхніх клієнтів?

Постачальники послуг обробки даних, таких як хмарні та периферійні послуги, повинні спростити для клієнтів перехід до іншого постачальника або до власної інфраструктури. Вони не можуть створювати комерційні, технічні, договірні чи організаційні перешкоди, що перешкоджають переходу (стаття 23).

Договір повинен дозволяти клієнту перехід з максимальним терміном попередження у два місяці, після чого фактична передача даних та цифрових активів має бути завершена протягом перехідного періоду тривалістю не більше тридцяти днів. Якщо це технічно неможливо, постачальник повинен пояснити причину та може продовжити термін максимум до семи місяців.

З 12 січня 2027 року постачальники послуг більше не можуть стягувати жодної плати за перехід. До цієї дати вони можуть стягувати лише знижені тарифи, які не перевищують витрат, безпосередньо пов’язаних із переходом. Перевірте свої поточні хмарні контракти на довший термін або плату за перехід, перш ніж їх поновлювати.

Коли державні органи можуть вимагати ваші дані?

Державні органи можуть за певних умов вимагати від підприємств надання даних у випадках надзвичайної потреби, наприклад, у разі надзвичайної ситуації у державному секторі. Запит має бути конкретним, пропорційним та обґрунтованим.

У разі надзвичайної ситуації у державному секторі власники даних повинні надавати дані безкоштовно, за винятком мікро- та малих підприємств, які мають право на компенсацію. В інших випадках виняткової потреби, наприклад, коли дані потрібні для виконання конкретного завдання в суспільних інтересах і не можуть бути отримані іншим чином, власник даних може вимагати справедливої ​​компенсації.

Хто забезпечує виконання Закону про дані в Нідерландах?

Нагляд регулюється Законом про впровадження Закону про дані (Uitvoeringswet dataverordening), який набрав чинності 21 листопада 2025 року. Управління з питань споживачів та ринків (ACM) здійснює нагляд за більшою частиною Регламенту, включаючи правила щодо даних про продукцію, обміну даними між підприємствами та перемикання на хмарні сервіси.

Нідерландське Управління із захисту даних (Autoriteit Persoonsgegevens, AP) відповідає за запити щодо персональних даних та запити даних від державних органів. Обидва органи можуть видавати розпорядження, що підлягає стягненню штрафу (last onder dvangsom) або адміністративного штрафу у своїй місцевості, і вони співпрацюють з питань, що перетинаються.

Якщо орган влади прийме рішення проти вашого бізнесу, ви можете подати заперечення (bezwaar) до цього органу влади протягом шести тижнів, а потім подати апеляцію до суду. Бізнес також може забезпечити свої права згідно з Регламентом у цивільних судах, наприклад, якщо власник даних відмовляє у доступі до даних.

Чи поширюється Закон про дані також на малий бізнес?

Здебільшого так. Загального винятку для малих та середніх підприємств немає: зобов'язання щодо дизайну для підключених продуктів та тест на справедливість для умов договору застосовуються незалежно від розміру бізнесу.

Зобов’язання щодо доступу до даних та їх обміну, передбачені Розділом II, не поширюються на дані, отримані в результаті виробництва продуктів або надання послуг мікро- та малими підприємствами, за умови, що вони не мають більшого партнера або пов’язаного підприємства (Стаття 7). Середні підприємства користуються обмеженим перехідним звільненням тривалістю один рік. У разі надзвичайної ситуації мікро- та малі підприємства мають право на компенсацію.

Що вам слід перевірити як виробнику, власнику даних або постачальнику хмарних послуг?

Почніть з продуктів та послуг, які ви розміщуєте на ринку після 12 вересня 2026 року, оскільки зобов'язання щодо дизайну застосовується до них повністю.

• Чи надає дизайн продукту користувачам прямий доступ до їхніх даних, де це технічно можливо (стаття 3)?
• Чи вказано у вашій переддоговірній інформації тип та обсяг даних, а також як користувачі можуть отримати до них доступ?
• Чи існує процедура обробки запитів на доступ та обмін даними без невиправданої затримки (статті 4 та 5)?
• Ви визначили комерційну таємницю та заходи конфіденційності, які вам знадобляться перед її поширенням?
• Чи дотримуються ваші хмарні контракти двомісячного періоду повідомлення, тридцятиденного періоду переведення та закінчення терміну дії плати за перехід 12 січня 2027 року?

Що слід перевірити як користувач або бізнес-клієнт?

Як користувач, ви можете вимагати дані, які виробник або постачальник послуг в іншому випадку зберіг би при собі, а також ви можете оскаржити несправедливі умови щодо даних відповідно до статті 13.

• Які підключені продукти та послуги у вашому бізнесі генерують дані, які ви можете запитувати відповідно до статті 4?
• Чи містять ваші контракти з постачальниками односторонньо нав'язані умови щодо використання даних або відповідальності, які можуть бути несправедливими?
• Чи можна змінити постачальника хмарних послуг протягом двох місяців, і які комісії за перехід передбачені договором?
• Чи маєте ви правову основу GDPR для кожного потоку персональних даних, які ви отримуєте або передаєте?
• Ви задокументували свої запити, щоб мати змогу подати скаргу до ACM або звернутися до суду, якщо у доступі буде відмовлено?

Що ми можемо зробити для вас із Законом про дані?

Наші ІТ-юристи консультують компанії з питань контрактів на передачу даних, хмарних угод та дотримання Закону про дані та GDPR.

• Ми визначаємо, які з ваших продуктів, послуг та контрактів підпадають під дію Закону про дані.
• Ми перевіряємо ваші стандартні умови та договори з постачальниками на відповідність перелікам несправедливих умов статті 13.
• Ми розробляємо або переглядаємо угоди про обмін даними, включаючи заходи конфіденційності комерційної таємниці.
• Ми перевіряємо ваші хмарні контракти на наявність періодів попередження, періодів перенесення та плати за перехід.
• Ми узгоджуємо ваші процеси згідно із Законом про дані з вашими зобов'язаннями щодо GDPR.
• Ми представляємо ваші інтереси в провадженнях в ACM, AP або цивільних судах.

Резюме

• Закон про дані застосовується з 12 вересня 2025 року; зобов'язання щодо проектування підключених продуктів застосовується до продуктів, виведених на ринок після 12 вересня 2026 року.
• Користувачі можуть отримувати доступ до даних, які генерують їхні підключені продукти, та передавати їх третім сторонам, за умови захисту комерційної таємниці.
• Односторонньо нав'язані несправедливі умови щодо доступу до даних, їх використання та відповідальності не є обов'язковими для іншого бізнесу.
• Постачальники хмарних послуг повинні сприяти переходу та більше не можуть стягувати плату за перехід з 12 січня 2027 року.
• У Нідерландах ACM та AP контролюють дотримання вимог і можуть накладати штрафи.

Часті питання