Regulamentul (UE) 2023/2854 al Parlamentului European și al Consiliului din 13 decembrie 2023 privind norme armonizate pentru un acces echitabil la date și o utilizare corectă a acestora și de modificare a Regulamentului (UE) 2017/2394 și a Directivei (UE) 2020/1828 (Regulamentul privind datele)
Regulamentul (UE) 2023/2854 al Parlamentului European și al Consiliului din 13 decembrie 2023, cunoscut drept „Regulamentul privind datele” sau „Data Act”, stabilește norme armonizate pentru accesul echitabil la date și utilizarea corectă a acestora în Uniunea Europeană, modificând totodată Regulamentul (UE) 2017/2394 și Directiva (UE) 2020/1828. Scopul general este de a crea un cadru juridic comun pentru economia datelor, astfel încât datele generate de produse conectate, servicii conexe, servicii de cloud și alte servicii de prelucrare a datelor să poată fi accesate, transferate și utilizate în condiții clare, transparente și echitabile.
Regulamentul pornește de la constatarea că tehnologiile bazate pe date au devenit esențiale în toate sectoarele economiei, iar proliferarea produselor conectate la internet a dus la creșterea volumului și valorii potențiale a datelor. Datele de înaltă calitate, interoperabile și reutilizabile pot stimula competitivitatea, inovarea și creșterea economică durabilă. În același timp, documentul identifică numeroase bariere în calea partajării datelor: lipsa stimulentelor pentru deținătorii de date, incertitudinea privind drepturile și obligațiile, costurile contractuale și tehnice, silozurile de date, lipsa standardelor de interoperabilitate și dezechilibrele contractuale privind accesul și utilizarea datelor.
Obiectul regulamentului este amplu. El reglementează punerea la dispoziție a datelor generate de produse conectate și servicii conexe către utilizatori, transmiterea datelor către destinatari aleși de utilizatori, accesul organismelor publice la date în situații excepționale, trecerea de la un serviciu de prelucrare a datelor la altul, protecția împotriva accesului ilegal al terților la date fără caracter personal și dezvoltarea standardelor de interoperabilitate. Regulamentul se aplică atât datelor cu caracter personal, cât și celor fără caracter personal, dar precizează că, în caz de conflict, prevalează legislația UE privind protecția datelor personale și viața privată, inclusiv GDPR și Directiva privind confidențialitatea comunicațiilor electronice.
Domeniul de aplicare include fabricanții de produse conectate introduse pe piața Uniunii, furnizorii de servicii conexe, utilizatorii din UE, deținătorii și destinatarii datelor, organismele publice care solicită date pe baza unei nevoi excepționale, furnizorii de servicii de prelucrare a datelor și participanții la spațiile de date sau la utilizarea contractelor inteligente. Prin urmare, regulamentul nu se limitează la relația dintre consumator și producător, ci acoperă relații între întreprinderi, între întreprinderi și consumatori, între sectorul privat și autorități publice, precum și raporturi tehnice și contractuale privind cloud-ul, interoperabilitatea și portabilitatea datelor.
Documentul definește concepte esențiale. „Datele” sunt orice reprezentare digitală a unor acte, fapte sau informații, iar „metadatele” sunt descrieri structurate care facilitează descoperirea sau utilizarea datelor. Un „produs conectat” este un bun care obține, generează sau colectează date despre utilizarea sau mediul său și poate comunica aceste date, fără ca funcția sa principală să fie stocarea sau prelucrarea datelor pentru terți. „Serviciul conex” este un serviciu digital legat de produs, inclusiv software, fără de care produsul nu și-ar putea îndeplini unele funcții sau care îi suplimentează ori adaptează funcțiile. Utilizatorul este persoana fizică sau juridică ce deține produsul conectat sau are drept de utilizare asupra acestuia ori primește servicii conexe.
Un element central al regulamentului este dreptul utilizatorului de a accesa datele generate de produsul conectat sau de serviciul conex. Produsele conectate trebuie proiectate și fabricate, iar serviciile conexe trebuie furnizate astfel încât datele și metadatele relevante să fie accesibile utilizatorului în mod implicit, ușor, securizat, gratuit și într-un format structurat, utilizat curent și prelucrabil automat. Înainte de încheierea unui contract de cumpărare, închiriere sau leasing, utilizatorul trebuie informat clar despre tipul, formatul și volumul estimat al datelor generate, dacă acestea sunt generate continuu și în timp real, unde sunt stocate și cum pot fi accesate, extrase sau șterse.
Dacă utilizatorul nu poate accesa direct datele din produs sau serviciu, deținătorul de date trebuie să le pună la dispoziție fără întârzieri nejustificate, gratuit, în condiții de securitate și, când este posibil tehnic, în mod continuu și în timp real. Totuși, regulamentul protejează secretele comerciale și permite anumite restricții, de exemplu atunci când partajarea ar afecta grav securitatea produsului sau siguranța persoanelor. Deținătorii de date nu trebuie să îngreuneze exercitarea drepturilor utilizatorilor prin interfețe manipulatoare sau opțiuni nenetru prezentate. În același timp, utilizatorii nu pot folosi datele obținute pentru a dezvolta un produs conectat care concurează direct cu produsul din care provin datele și nu pot abuza de infrastructura tehnică a deținătorului de date.
Regulamentul consacră și dreptul utilizatorului de a cere ca datele să fie partajate cu un terț ales de el. Deținătorul de date trebuie să transmită terțului datele ușor accesibile și metadatele relevante, în aceeași calitate pe care o deține, gratuit pentru utilizator și într-un format utilizabil automat. Există însă limite importante: întreprinderile desemnate drept „controlori de acces” în sensul Regulamentului privind piețele digitale nu pot fi destinatari eligibili ai datelor în acest cadru; terții nu pot utiliza datele pentru profilare decât dacă este necesar pentru serviciul solicitat de utilizator; nu pot transmite datele mai departe către controlori de acces; nu pot dezvolta produse concurente folosind datele primite și trebuie să șteargă datele când nu mai sunt necesare pentru scopul convenit.
În relațiile dintre întreprinderi, regulamentul introduce condiții pentru punerea la dispoziție a datelor: acestea trebuie să fie echitabile, rezonabile, nediscriminatorii și transparente. Compensația cerută pentru punerea datelor la dispoziție trebuie să fie rezonabilă și poate include o marjă, dar pentru IMM-uri și organizații de cercetare fără scop lucrativ ea nu poate depăși costurile directe legate de pregătirea și transmiterea datelor. Deținătorul de date trebuie să ofere informații suficient de detaliate despre modul de calcul al compensației, astfel încât destinatarul să poată verifica dacă cerințele regulamentului sunt respectate.
Regulamentul combate clauzele contractuale abuzive privind accesul și utilizarea datelor în contractele între întreprinderi. O clauză impusă unilateral nu este obligatorie dacă este abuzivă, adică dacă se îndepărtează flagrant de bunele practici comerciale, contrar bunei-credințe și corectitudinii. Sunt considerate abuzive, de exemplu, clauzele care exclud răspunderea pentru intenție sau neglijență gravă, elimină măsurile reparatorii pentru neexecutare ori acordă unei singure părți dreptul exclusiv de a interpreta contractul. De asemenea, sunt prezumate abuzive clauzele care împiedică o parte să folosească datele pe care le-a furnizat sau generat, o împiedică să obțină o copie a datelor ori permit modificări unilaterale substanțiale fără motive întemeiate.
Un capitol important se referă la accesul organismelor publice, al Comisiei, al Băncii Centrale Europene și al organelor Uniunii la date deținute de entități private în cazul unei „nevoi excepționale”. O astfel de nevoie trebuie să fie limitată în timp și ca domeniu de aplicare și există, în principal, când datele sunt necesare pentru a răspunde unei situații de urgență sau, pentru date fără caracter personal, când lipsa lor împiedică îndeplinirea unei sarcini de interes public prevăzute explicit de lege, precum producerea de statistici oficiale ori atenuarea sau redresarea în urma unei situații de urgență. Cererile trebuie motivate, proporționale, formulate clar, să specifice datele solicitate, scopul utilizării, durata utilizării și măsurile de protecție, în special atunci când sunt implicate date personale sau secrete comerciale.
Datele obținute de organismele publice trebuie folosite numai pentru scopul declarat, protejate prin măsuri tehnice și organizatorice și șterse când nu mai sunt necesare. Divulgarea secretelor comerciale este permisă doar dacă este strict necesară, iar instituția publică răspunde pentru securitatea datelor primite. În situații de urgență, deținătorii de date, cu excepția microîntreprinderilor și întreprinderilor mici, trebuie să pună datele la dispoziție gratuit; în alte cazuri de nevoie excepțională poate exista o compensație corectă care acoperă costurile tehnice și organizatorice și o marjă rezonabilă.
Un alt obiectiv major este facilitarea trecerii de la un furnizor de servicii de prelucrare a datelor la altul, în special în zona serviciilor cloud. Furnizorii trebuie să elimine obstacolele comerciale, tehnice, contractuale și organizatorice care împiedică utilizatorii să rezilieze contractul, să încheie un contract cu alt furnizor, să își porteze datele exportabile și activele digitale sau să obțină echivalență funcțională în noul mediu. Contractele trebuie să prevadă clar drepturile clientului, perioada de preaviz, perioada de tranziție, tipurile de date portabile, perioada minimă de extragere a datelor și ștergerea completă a datelor după finalizarea procesului.
Regulamentul prevede eliminarea treptată a taxelor de trecere la alt furnizor. Între 11 ianuarie 2024 și 12 ianuarie 2027 pot fi percepute doar taxe reduse, limitate la costurile direct legate de procesul de transfer; începând cu 12 ianuarie 2027, furnizorii de servicii de prelucrare a datelor nu mai pot impune clienților taxe de trecere la alt furnizor. De asemenea, furnizorii trebuie să ofere informații clare despre procedurile de portare, formatele disponibile, restricțiile tehnice și standardele relevante.
În privința transferurilor internaționale, regulamentul impune furnizorilor de servicii de prelucrare a datelor obligația de a lua măsuri tehnice, organizatorice, juridice și contractuale pentru a împiedica accesul administrațiilor publice ale țărilor terțe la date fără caracter personal deținute în Uniune, atunci când un astfel de acces ar intra în conflict cu dreptul UE sau cu dreptul intern al statelor membre. Deciziile autorităților sau instanțelor din țări terțe sunt recunoscute ori executate numai dacă se bazează pe un acord internațional aplicabil; în lipsa acestuia, accesul este permis doar în condiții stricte de proporționalitate, motivare, control jurisdicțional și protejare a intereselor juridice relevante.
Regulamentul insistă asupra interoperabilității datelor, a mecanismelor de partajare și a spațiilor europene comune ale datelor. Participanții la aceste spații trebuie să descrie suficient conținutul seturilor de date, restricțiile de utilizare, licențele, metodologia de colectare, calitatea și incertitudinea datelor, structurile și formatele de date, vocabularele, taxonomiile și mijloacele tehnice de acces, inclusiv API-urile. Scopul este ca datele să poată fi găsite, accesate, transmise și utilizate automat, inclusiv în timp real sau prin descărcări în masă, acolo unde este fezabil tehnic.
Sunt stabilite și cerințe pentru contractele inteligente folosite la executarea acordurilor de partajare de date. Acestea trebuie să asigure robustețe, control al accesului, posibilitatea de întrerupere sau reziliere în siguranță, arhivare și continuitate a datelor, auditabilitate și consecvență cu acordul de partajare pe care îl execută. Vânzătorul unei aplicații care utilizează contracte inteligente sau persoana care implementează astfel de contracte trebuie să efectueze o evaluare a conformității și să emită o declarație de conformitate UE, asumându-și răspunderea pentru îndeplinirea cerințelor.
Aplicarea regulamentului revine statelor membre, care trebuie să desemneze una sau mai multe autorități competente. Dacă există mai multe autorități, statul membru poate desemna un coordonator de date care acționează ca punct unic de contact. Autoritățile competente trebuie să promoveze competențele digitale, să trateze plângerile, să investigheze încălcările, să impună sancțiuni, să coopereze cu alte autorități și să monitorizeze evoluțiile tehnologice și comerciale relevante. Persoanele fizice și juridice au dreptul să depună plângeri și să exercite căi de atac judiciare eficiente împotriva deciziilor autorităților competente.
Sancțiunile pentru nerespectarea regulamentului sunt stabilite de statele membre, dar trebuie să fie efective, proporționale și disuasive. La stabilirea sancțiunilor se iau în calcul natura, gravitatea, amploarea și durata încălcării, măsurile de remediere, eventualele încălcări anterioare, beneficiile financiare obținute sau pierderile evitate și cifra de afaceri anuală realizată în Uniune. Pentru încălcări care implică date cu caracter personal, autoritățile de supraveghere responsabile de GDPR pot impune amenzi administrative în limitele prevăzute de Regulamentul (UE) 2016/679.
În ansamblu, Regulamentul privind datele urmărește să transforme datele generate în economia digitală într-o resursă accesibilă și reutilizabilă, fără a sacrifica protecția datelor personale, secretele comerciale, securitatea produselor sau drepturile de proprietate intelectuală. El întărește poziția utilizatorilor de produse conectate, sprijină concurența și inovarea, limitează blocarea clienților în ecosisteme cloud, creează mecanisme pentru accesul public excepțional la date și stabilește reguli de interoperabilitate pentru viitoarele spații europene comune ale datelor. Regulamentul se aplică începând cu 12 septembrie 2025, cu unele termene speciale: obligația de proiectare pentru accesul direct la date se aplică produselor conectate și serviciilor conexe introduse pe piață după 12 septembrie 2026, iar unele reguli privind contractele anterioare se aplică de la 12 septembrie 2027.
Descoperă mai multe la MultiMedia
Abonează-te ca să primești ultimele articole prin email.
Lasă un răspuns