На 11 јануари 2024 година, Законот за податоци на ЕУ – Регулатива (ЕУ) 2023/2854 – стапи во сила, дваесет дена по неговото објавување во Службениот весник на Европската Унија. Регулативата се применува од 12 септември 2025 година. Ова законодавство наметнува фундаментални нови обврски за производителите на поврзани производи и давателите на сродни услуги, што влијае на широк спектар на сектори: од производство и енергетика до здравствена заштита и автомобилска индустрија. Секој што генерира, обработува или користи податоци во деловен контекст би бил препорачлив навреме да го испита опсегот на ова законодавство.
Што регулира Законот за податоци?
Законот за податоци е дел од европската стратегија за податоци, која има за цел да ја зајакне конкурентската позиција на Европа во економијата на податоци. Регулативата утврдува правила за тоа кој има пристап до податоци генерирани со користење на производи или услуги и под кои услови тие податоци мора да се споделуваат. Ова не се однесува на општо право на сите податоци, туку на рамка од шест специфични кластери: пристап на корисниците до податоци за производи и услуги, споделување меѓу компаниите и компаниите под фер услови, јавен пристап во случаи на исклучителна потреба, префрлување помеѓу услуги за обработка на податоци, заштита од меѓународен владин пристап до податоци кои не се лични и интероперабилност.
Обврски за бизнисите: дизајн на производи
Поврзаните производи мора да бидат дизајнирани и произведени на таков начин што генерираните податоци, по дифолт, се лесно, безбедно, бесплатни и во машински читлив формат директно достапни за корисникот. Корисниците на поврзани производи - замислете ги паметните домашни уреди, индустриските машини или возилата - со тоа стекнуваат право на пристап до податоците што ги генерира нивното користење на тој производ. Производителите и давателите на услуги повеќе не смеат да ги чуваат тие податоци исклучиво за себе.
Важно е да се напомене дека оваа обврска има постепено стапување во сила. Иако Законот за податоци како целина се применува од 12 септември 2025 година, обврската за дизајн и производство за поврзани производи се однесува само на производи пласирани на пазарот по 12 септември 2026 година. Затоа, постојните производи сè уште не се опфатени.
Фер услови во споделувањето податоци од бизнис до бизнис
Регулативата содржи специфични правила за договорните услови во договорите за B2B податоци . Условите еднострано наметнати од едно претпријатие врз друго не ја обврзуваат другата страна ако се неправедни. Условите се сметаат за еднострано наметнати кога, и покрај обидот за преговарање, другата страна не била во можност да влијае на нејзината содржина. Товарот на докажување на ова е на страната што го вклучила условите.
Одредбата е неправедна ако нејзината употреба значително отстапува од добрата трговска практика и е спротивна на добрата намера и фер работењето. Регулативата дава како примери услови што ја исклучуваат одговорноста за намера или груба небрежност, ја спречуваат другата страна да ги користи сопствените податоци, дозволуваат еднострано раскинување со неразумно краток рок на известување или дозволуваат еднострано да се направат значителни промени во цената или други материјални промени. Правната последица е дека неправедната одредба не ја обврзува другата страна, додека преостанатите договорни одредби остануваат во сила доколку одредбата е одвоива.
Интеракција со GDPR
Законот за податоци е дел од Општата регулатива за заштита на податоци, но постои важна меѓусебна поврзаност меѓу нив. Регулативата, исто така, ги опфаќа личните податоци, но не ги одвојува од законот за заштита на податоци. Кога корисникот не е субјектот на податоци чии лични податоци се бараат, тие лични податоци можат да се обезбедат само кога постои валидна правна основа согласно член 6 од GDPR. Затоа, Законот за податоци не создава самостоен исклучок од GDPR: пристапот до податоци согласно Законот за податоци не ги ослободува страните од нивните обврски согласно GDPR , ниту пак обезбедува основа за понатамошно задржување или повторна употреба на дадените податоци надвор од целта за која се добиени.
Преносливост и префрлување во облак
Посебно поглавје бара од давателите на услуги за обработка на податоци да го олеснат префрлањето на друг давател на услуги. Тие не смеат да наметнуваат никакви преткомерцијални, комерцијални, технички, договорни или организациски пречки што ги спречуваат клиентите да се префрлат. Од 12 јануари 2027 година, давателите на услуги за обработка на податоци повеќе не смеат да им наплаќаат на клиентите никакви трошоци за префрлање. Вистинскиот пренос на податоци и конфигурации мора да се одвива без непотребно одложување и во никој случај по задолжителен преоден период од максимум триесет дена. За организациите кои се во голема мера зависни од еден давател на услуги во облак, ова нуди нова преговарачка предност при обновување или повторно преговарање за договори.
Јавен пристап во случаи на исклучителна потреба
Регулативата им дава можност на органите од јавниот сектор, под строги услови, да бараат пристап до приватни податоци во случаи на исклучителна потреба - како што е јавна вонредна состојба. Во тој случај, имателите на податоци, освен микропретпријатијата и малите претпријатија, се должни да ги стават потребните податоци на располагање бесплатно. Во други случаи на исклучителна потреба, имателот на податоци има право на правична компензација. Ова овластување е предмет на условите на пропорционалност и супсидијарност утврдени во Регулативата.
Спроведување во Холандија
Во Холандија, спроведувањето сега е вградено во законот преку Законот за спроведување на Законот за податоци (Uitvoeringswet dataverordening). Холандскиот орган за потрошувачи и пазари (ACM) е надлежен орган за најголемиот дел од Регулативата, вклучувајќи ги поглавјата за податоци за производи, споделување B2B и преносливост во облак. Холандскиот орган за заштита на податоци (AP) е надлежен за елементите чувствителни на приватноста и за обработка на лични податоци во рамките на одредени членови и Поглавје V. И двата органи можат да преземат мерки за спроведување во рамките на својот домен со изрекување наредба предмет на казна или административна парична казна. Законот за спроведување, исто така, предвидува договор за соработка и размена на информации помеѓу ACM и AP, така што двата супервизори можат да дејствуваат на координиран начин по прашања што се преклопуваат.
Што значи ова во пракса?
Препорачливо е бизнисите што развиваат, увезуваат или дистрибуираат поврзани производи сега да го преиспитаат дизајнот на својот производ и договорната структура во однос на Законот за податоци. За производите пласирани на пазарот по 12 септември 2026 година, обврската за дизајн и пристапност се применува во целост. Давателите на услуги што обработуваат податоци во име на корисниците треба да направат преглед на тоа кои обврски за споделување податоци важат за нив и дали постојните договори - вклучувајќи ги еднострано составените клаузули за податоци - се усогласени со нив.
Оние кои чекаат додека не започне спроведувањето ризикуваат да заостанат. Усогласувањето на производите, услугите и договорите со новите правила навремено не е само прашање на усогласеност , туку претставува и можности: оние кои им нудат на своите клиенти транспарентност и пристап до податоци се издвојуваат на пазар кој е сè покритичен кон начинот на кој компаниите ракуваат со податоците.
Дали имате прашања во врска со импликациите од Законот за податоци на ЕУ за вашиот бизнис или вашите договори? Адвокатите во Law & More со задоволство ќе ви помогнат.
Најчесто поставувани прашања
Дали Законот за податоци веќе важи за моите постоечки поврзани производи?
Регулативата се применува од 12 септември 2025 година, но обврската за дизајнирање на поврзани производи така што податоците ќе им бидат достапни на корисниците се однесува само на производи пласирани на пазарот по 12 септември 2026 година. Постоечките производи што веќе се на пазарот пред тој датум сè уште не се опфатени. Сепак, производителите и увозниците би било мудро да го усогласат развојот на своите производи со новите барања сега, така што идните производи ќе бидат во согласност со прописите по лансирањето на пазарот.
Што треба да направам ако мојот договор за податоци содржи клаузули што го ограничуваат пристапот до податоци?
Според Законот за податоци, договорните услови што се еднострано наметнати и што ја спречуваат другата страна да ги користи или експлоатира сопствените податоци може да се сметаат за неправедни и затоа необврзувачки. Препорачливо е постојните договори за податоци да се разгледаат за такви клаузули. Товарот на докажување дека некој услов не бил еднострано наметнат е на страната што го вклучила. Раното повторно преговарање е генерално поефикасно отколку чекањето додека другата страна не ја повика Регулативата.
Дали можам да споделувам лични податоци според Законот за податоци без законска основа за GDPR?
Не. Законот за податоци не обезбедува самостојна основа за откривање на лични податоци. Кога корисникот не е субјектот на податоци чии лични податоци се бараат, тие податоци можат да се обезбедат само кога постои валидна законска основа согласно член 6 од GDPR. Покрај тоа, пристапот до податоци согласно Законот за податоци не дава основа за понатамошно задржување или повторна употреба на откриените лични податоци надвор од првичната намена. Затоа, усогласеноста со GDPR и усогласеноста со Законот за податоци мора да се обезбедат истовремено.
Дали сè уште можам да наплаќам надоместоци за префрлање како давател на услуги во облак?
Од 12 јануари 2027 година, на давателите на услуги за обработка на податоци им е забрането да им наплаќаат на клиентите надоместоци за префрлање. Дополнително, од 12 септември 2025 година, не смеат да се наметнуваат никакви технички, договорни или организациски пречки што го попречуваат префрлањето. Самиот пренос на податоци по префрлањето исто така мора да се изврши без непотребно одложување и да биде завршен најдоцна во преоден период од триесет дена. Постојните договори што содржат подолги периоди или надоместоци за префрлање бараат преиспитување.
Кој надзорен орган е надлежен за спроведување на Законот за податоци во Холандија?
Спроведувањето е поделено помеѓу Холандскиот орган за потрошувачи и пазари (ACM) и Холандскиот орган за заштита на податоци (AP). ACM е надлежен за најголемиот дел од Регулативата, вклучувајќи ги одредбите за податоци за производи, споделување B2B и преносливост во облак. AP е надлежен за елементите чувствителни на приватноста и обработката на лични податоци во рамките на одредени членови и Поглавје V. И двата органи можат да изречат наредба предмет на казна или административна парична казна. Против таквите одлуки се достапни вообичаените административни правни лекови, вклучувајќи приговор, жалба и привремена мерка.
Дали Законот за податоци важи и за малите претпријатија?
Регулативата прави разлика според големината на претпријатието во неколку точки. На пример, микропретпријатијата и малите претпријатија се ослободени, во случаи на барања за податоци во вонредна состојба, од обврската да ги стават податоците на располагање бесплатно; во тие случаи тие имаат право на фер надомест. За другите обврски - вклучувајќи ја обврската за пристапност за поврзани производи и тестот за фер однос за B2B услови - не постои општо ослободување за мали и средни претпријатија. Затоа, помалите добавувачи на поврзани производи или услуги во облак мора навремено да ги усогласат своите операции со Регулативата.
