Dňa 11. januára 2024 nadobudol účinnosť zákon EÚ o údajoch – nariadenie (EÚ) 2023/2854 – dvadsať dní po jeho uverejnení v Úradnom vestníku Európskej únie. Nariadenie sa uplatňuje od 12. septembra 2025. Táto legislatíva ukladá výrobcom pripojených produktov a poskytovateľom súvisiacich služieb zásadné nové povinnosti, ktoré ovplyvňujú širokú škálu odvetví: od výroby a energetiky až po zdravotníctvo a automobilový priemysel. Každý, kto vytvára, spracováva alebo používa údaje v obchodnom kontexte, by mal včas preskúmať rozsah pôsobnosti tejto legislatívy.
Čo upravuje zákon o údajoch?
Zákon o údajoch je súčasťou európskej dátovej stratégie, ktorej cieľom je posilniť konkurenčné postavenie Európy v dátovej ekonomike. Nariadenie stanovuje pravidlá o tom, kto má prístup k údajom vygenerovaným používaním produktov alebo služieb a za akých podmienok sa tieto údaje musia zdieľať. Nejde o všeobecné právo na všetky údaje, ale skôr o rámec šiestich špecifických klastrov: prístup používateľov k údajom o produktoch a službách, zdieľanie medzi podnikmi za spravodlivých podmienok, verejný prístup v prípadoch mimoriadnej núdze, prechod medzi službami spracovania údajov, ochrana pred medzinárodným vládnym prístupom k neosobným údajom a interoperabilita.
Povinnosti pre podniky: dizajn produktu
Pripojené produkty musia byť navrhnuté a vyrobené takým spôsobom, aby generované údaje boli štandardne ľahko, bezpečne, bezplatne a v strojovo čitateľnom formáte priamo prístupné používateľovi. Používatelia pripojených produktov – predstavte si inteligentné domáce zariadenia, priemyselné stroje alebo vozidlá – tým získavajú právo na prístup k údajom, ktoré generuje ich používanie daného produktu. Výrobcovia a poskytovatelia služieb si už nesmú tieto údaje uchovávať výlučne pre seba.
Dôležité je, že táto povinnosť má postupné zavádzanie do platnosti. Hoci zákon o údajoch ako celok platí od 12. septembra 2025, povinnosť návrhu a výroby pre pripojené produkty sa vzťahuje iba na produkty uvedené na trh po 12. septembri 2026. Existujúce produkty preto ešte nie sú zahrnuté.
Spravodlivé podmienky pri zdieľaní údajov medzi podnikmi (B2B)
Nariadenie obsahuje špecifické pravidlá týkajúce sa zmluvných podmienok v dátových zmluvách medzi podnikmi (B2B) . Podmienka jednostranne uložená jedným podnikom druhému nezaväzuje druhú stranu, ak je neprimeraná. Podmienka sa považuje za jednostranne uloženú, ak napriek pokusu o rokovanie druhá strana nemohla ovplyvniť jej obsah. Dôkazné bremeno spočíva na strane, ktorá podmienku zahrnula.
Podmienka je nekalá, ak jej použitie hrubo odchyľuje od dobrých obchodných praxí a je v rozpore s dobrou vierou a poctivým obchodným stykom. Nariadenie uvádza ako príklady podmienky, ktoré vylučujú zodpovednosť za úmysel alebo hrubú nedbanlivosť, bránia druhej strane v použití vlastných údajov, umožňujú jednostranné ukončenie zmluvy v neprimerane krátkej lehote alebo umožňujú jednostranné vykonanie významných zmien ceny alebo iných podstatných zmien. Právnym dôsledkom je, že nekalá podmienka nezaväzuje druhú stranu, zatiaľ čo ostatné zmluvné ustanovenia zostávajú v platnosti, pokiaľ je podmienka oddeliteľná.
Súhra s GDPR
Zákon o údajoch existuje vedľa všeobecného nariadenia o ochrane údajov, ale medzi nimi existuje dôležitá súhra. Nariadenie sa tiež vzťahuje na osobné údaje, ale neoddeľuje ich od zákona o ochrane údajov. Ak používateľ nie je dotknutou osobou, ktorej osobné údaje sa požadujú, tieto osobné údaje sa môžu poskytnúť len vtedy, ak existuje platný právny základ podľa článku 6 GDPR. Zákon o údajoch preto nevytvára samostatnú výnimku z GDPR: prístup k údajom podľa zákona o údajoch nezbavuje strany ich povinností vyplývajúcich z GDPR ani neposkytuje základ pre ďalšie uchovávanie alebo opätovné použitie poskytnutých údajov nad rámec účelu, na ktorý boli získané.
Prenosnosť a prepínanie cloudu
Samostatná kapitola vyžaduje, aby poskytovatelia služieb spracovania údajov uľahčili prechod k inému poskytovateľovi. Nesmú klásť žiadne predobchodné, obchodné, technické, zmluvné ani organizačné prekážky, ktoré by zákazníkom bránili v zmene. Od 12. januára 2027 už poskytovatelia služieb spracovania údajov nesmú zákazníkom účtovať žiadne poplatky za prechod. Samotný prenos údajov a konfigurácií sa musí uskutočniť bez zbytočného odkladu a v žiadnom prípade po povinnom prechodnom období v trvaní maximálne tridsať dní. Pre organizácie, ktoré sú silne závislé od jedného poskytovateľa cloudových služieb, to ponúka novú vyjednávaciu páku pri obnovovaní alebo opätovnom prerokúvaní zmlúv.
Verejný prístup v prípadoch mimoriadnej núdze
Nariadenie dáva subjektom verejného sektora možnosť za prísnych podmienok požadovať prístup k súkromným údajom v prípadoch mimoriadnej núdze – napríklad v prípade verejnej núdze. V takom prípade sú držitelia údajov iní ako mikropodniky a malé podniky povinní sprístupniť potrebné údaje bezplatne. V iných prípadoch mimoriadnej núdze má držiteľ údajov nárok na spravodlivú kompenzáciu. Táto právomoc podlieha podmienkam proporcionality a subsidiarity stanoveným v nariadení.
Presadzovanie práva v Holandsku
V Holandsku je presadzovanie práva zakotvené v zákone prostredníctvom implementačného zákona o údajoch (Uitvoeringswet dataverordening). Holandský úrad pre spotrebiteľov a trhy (ACM) je príslušným orgánom pre najväčšiu časť nariadenia vrátane kapitol o údajoch o produktoch, zdieľaní medzi podnikmi a prenositeľnosti cloudových služieb. Holandský úrad pre ochranu údajov (AP) je príslušný pre prvky citlivé z hľadiska súkromia a pre spracovanie osobných údajov v rámci určitých článkov a kapitoly V. Oba orgány môžu prijať opatrenia na presadzovanie práva v rámci svojej vlastnej oblasti uložením príkazu, ktorý podlieha sankcii alebo administratívnej pokute. Implementačný zákon tiež stanovuje dohodu o spolupráci a výmene informácií medzi ACM a AP, aby oba orgány dohľadu mohli konať koordinovane v prekrývajúcich sa otázkach.
Čo to znamená v praxi?
Podniky, ktoré vyvíjajú, dovážajú alebo distribuujú pripojené produkty, by mali teraz prehodnotiť dizajn svojich produktov a zmluvnú štruktúru v súlade so zákonom o údajoch. Pre produkty uvedené na trh po 12. septembri 2026 sa povinnosť týkajúca sa dizajnu a prístupnosti uplatňuje v plnom rozsahu. Poskytovatelia služieb, ktorí spracúvajú údaje v mene používateľov, by mali zhodnotiť, ktoré povinnosti týkajúce sa zdieľania údajov sa na nich vzťahujú a či sú s nimi v súlade existujúce dohody – vrátane jednostranne vypracovaných doložiek o údajoch.
Tí, ktorí čakajú, kým sa začne presadzovanie, riskujú, že zaostanú. Včasné zosúladenie produktov, služieb a zmlúv s novými pravidlami nie je len otázkou dodržiavania predpisov , ale prináša aj príležitosti: tí, ktorí svojim zákazníkom ponúkajú transparentnosť a prístup k údajom, vynikajú na trhu, ktorý je čoraz kritickejší voči spôsobu, akým spoločnosti nakladajú s údajmi.
Máte otázky týkajúce sa dôsledkov zákona EÚ o ochrane údajov pre vaše podnikanie alebo vaše zmluvy? Právnici v Law & More radi vám pomôžu.
Často kladené otázky
Vzťahuje sa už zákon o údajoch na moje existujúce pripojené produkty?
Nariadenie sa uplatňuje od 12. septembra 2025, ale povinnosť navrhovať pripojené produkty tak, aby boli údaje prístupné používateľom, sa vzťahuje iba na produkty uvedené na trh po 12. septembri 2026. Existujúce produkty, ktoré už boli na trhu pred týmto dátumom, ešte nie sú zahrnuté. Výrobcovia a dovozcovia by napriek tomu urobili rozumné, keby zosúladili vývoj svojich produktov s novými požiadavkami už teraz, aby budúce produkty boli v súlade s predpismi už pri uvedení na trh.
Čo mám robiť, ak moja zmluva o údajoch obsahuje klauzuly, ktoré obmedzujú prístup k údajom?
Podľa zákona o údajoch sa zmluvné podmienky, ktoré sú jednostranne uložené a ktoré bránia druhej strane v používaní alebo využívaní jej vlastných údajov, môžu považovať za nekalé, a preto nezáväzné. Odporúča sa nechať si preskúmať existujúce zmluvy o údajoch, či obsahujú takéto doložky. Dôkazné bremeno, že podmienka nebola jednostranne uložená, leží na strane, ktorá ju zahrnula. Včasné opätovné prerokovanie je vo všeobecnosti účinnejšie ako čakanie, kým druhá strana uplatní nariadenie.
Môžem zdieľať osobné údaje podľa zákona o údajoch bez právneho základu GDPR?
Nie. Zákon o údajoch neposkytuje samostatný základ pre zverejňovanie osobných údajov. Ak používateľ nie je dotknutou osobou, ktorej osobné údaje sa požadujú, tieto údaje možno poskytnúť iba vtedy, ak existuje platný právny základ podľa článku 6 GDPR. Okrem toho prístup k údajom podľa zákona o údajoch neposkytuje žiadny základ pre ďalšie uchovávanie alebo opätovné použitie zverejnených osobných údajov nad rámec pôvodného účelu. Súlad s GDPR a súlad so zákonom o údajoch sa preto musia zabezpečiť súčasne.
Môžem si ako poskytovateľ cloudových služieb stále účtovať poplatky za zmenu?
Od 12. januára 2027 majú poskytovatelia služieb spracovania údajov zakázané účtovať zákazníkom poplatky za zmenu poskytovateľa. Okrem toho od 12. septembra 2025 nesmú byť kladené žiadne technické, zmluvné ani organizačné prekážky, ktoré by bránili zmene poskytovateľa. Samotný prenos údajov pri zmene poskytovateľa sa musí uskutočniť bez zbytočného odkladu a musí byť dokončený najneskôr v prechodnom období tridsiatich dní. Existujúce zmluvy obsahujúce dlhšie obdobia alebo poplatky za zmenu poskytovateľa si vyžadujú preskúmanie.
Ktorý dozorný orgán je v Holandsku príslušný presadzovať zákon o údajoch?
Presadzovanie práva je rozdelené medzi holandský Úrad pre spotrebiteľov a trhy (ACM) a holandský Úrad pre ochranu údajov (AP). ACM je príslušný pre najväčšiu časť nariadenia vrátane ustanovení o údajoch o produktoch, zdieľaní medzi podnikmi a prenosnosti cloudových služieb. AP je príslušný pre prvky citlivé z hľadiska súkromia a spracovanie osobných údajov v rámci určitých článkov a kapitoly V. Oba orgány môžu uložiť príkaz, ktorý podlieha sankcii alebo správnej pokute. Proti takýmto rozhodnutiam sú k dispozícii bežné správne opravné prostriedky vrátane námietky, odvolania a predbežného opatrenia.
Vzťahuje sa zákon o údajoch aj na malé podniky?
Nariadenie rozlišuje podľa veľkosti podniku v niekoľkých bodoch. Napríklad mikropodniky a malé podniky sú v prípadoch žiadostí o údaje v prípade verejnej núdze oslobodené od povinnosti sprístupniť údaje bezplatne; v týchto prípadoch majú nárok na spravodlivú kompenzáciu. Pre ostatné povinnosti – vrátane povinnosti dostupnosti pre pripojené produkty a testu spravodlivosti pre podmienky B2B – neexistuje žiadna všeobecná výnimka pre malé a stredné podniky. Menší poskytovatelia pripojených produktov alebo cloudových služieb musia preto tiež včas zosúladiť svoju činnosť s nariadením.
