Nařízení o datech: sdílení dat mezi podniky

Nařízení o datech schválené v prosinci 2023 navazuje na zastřešující Evropskou strategii Evropské komise pro data z února 2020 a doplňuje mimo jiné akt o správě dat (DGA). Řeší vztahy v oblasti držení a sdílení dat mezi soukromými subjekty (navzájem), spotřebiteli i státním sektorem. Ministerstvo průmyslu a obchodu připravilo přehled opatření vyplývajících z těch částí nařízení o datech, které mění pravidla práce s daty a umožní jejich širší využití.

Tento článek se zaměřuje na sdílení dat mezi podniky. Upozorňujeme, že jde o odborný text určený zejména pro experty na datové právo, podnikové právníky a konzultanty, avšak nejedná se o vyčerpávající seznam veškerých povinností a pravidel, ani o závazný výklad nařízení, který může provést pouze soud.

---

Koho se nová opatření týkají?

• držitelů dat, bez ohledu na jejich místo usazení, kteří zpřístupňují data příjemcům dat v EU;
• příjemců dat v EU, kterým jsou data zpřístupněna;
• uživatelů připojených výrobků nebo souvisejících služeb v EU.

---

Jaké nové povinnosti mají podniky při sdílení dat mezi sebou?

Sdílení dat mezi podniky (tzv. B2B) je stále častější. Nařízení o datech se snaží zajistit, aby bylo toto sdílení spravedlivé, a zabránit zneužívání nerovnováhy ve vyjednávací síle držitelů dat, kteří data sdílet zcela odmítají nebo nastavují nepřiměřené požadavky.

Držitelé dat jsou fyzické nebo právnické osoby mající právo nebo povinnost používat a zpřístupňovat data, včetně dat z výrobků nebo dat ze související služby, která na základě dohody s uživatelem získaly nebo vytvořily během poskytování této související služby. V praxi může jít o výrobce či jinou entitu, která daty o používání výrobku či služby disponuje.

Má-li podnik v roli držitele dat povinnost zpřístupnit data jinému podniku vystupujícímu v roli příjemce dat, musí to učinit za spravedlivých a nediskriminačních podmínek. Samotné nařízení o datech uděluje povinnost data zpřístupnit výrobcům připojených výrobků a poskytovatelům souvisejících služeb, a to na žádost uživatele těchto výrobků (více informací o přístupu k datům z připojených výrobků najdete v tomto článku). Do budoucna lze pak očekávat i sektorovou legislativu, která bude tyto požadavky rozšiřovat i na jiné oblasti (viz např. návrh nařízení Evropského parlamentu a Rady o rámci pro přístup k finančním údajům).

Při stanovování smluvních ujednání příjemce dat nesmí diskriminovat mezi srovnatelnými kategoriemi příjemců dat, a to včetně jeho partnerských nebo propojených podniků, což musí být případně schopen i prokázat. Nezákonnou diskriminaci nepředstavují situace, kdy držitel dat používá pro zpřístupnění dat různá smluvní ujednání, jestliže to může odůvodnit objektivními důvody.

Smluvní ujednání týkající se přístupu k datům a jejich využívání nebo odpovědnosti a prostředků nápravy v případě porušení nebo zániku povinností souvisejících s daty není závazné, pokud:

• představuje nepřiměřené smluvní ujednání;
• v souladu s nařízením o datech vylučuje uplatňování práv uživatele, odchyluje se od nich nebo mění jejich účinky (více informací o právech uživatele si můžete přečíst zde).

Nařízení o datech stanovuje seznam ustanovení definující smluvní ujednání, která jsou vždy nepřiměřená, a která jsou za nepřiměřená považována. Nepřiměřená ujednání, která jsou jednostranně uložená jedním podnikem jinému, nejsou závazná.

Smluvní ujednání je nepřiměřené, pokud je takové povahy, že se jeho použití v rozporu se zásadami dobré víry a poctivého jednání podstatně odchyluje od poctivých obchodních zvyklostí v oblasti přístupu k datům a jejich využívání. Nepřiměřené smluvní ujednání z titulu strany, která jej jednostranně uložila zejména:

• vylučuje nebo omezuje její odpovědnost za úmyslné jednání nebo hrubou nedbalost;
• vylučuje prostředky nápravy v případě porušení či neplnění smluvních závazků nebo její odpovědnosti;
• poskytuje jí výlučné právo určit, zda jsou poskytnutá data v souladu se smlouvou, nebo vykládat některé ze smluvních ujednání.

V případě smluvního ujednání považovaného za nepřiměřené má podnik, který jej prosazuje, možnost prokázat, že uvedené smluvní ujednání není v daném konkrétním případě nepřiměřené. Smluvní ujednání se považuje za nepřiměřené z titulu strany, která jej jednostranně uložila pokud:

• jí umožňuje podstatně změnit cenu stanovenou ve smlouvě nebo jakoukoli jinou podstatnou podmínku týkající se povahy, formátu, kvality nebo množství dat, která mají být sdílena, aniž byly ve smlouvě pro případ takové změny uvedeny platný důvod a právo druhé strany smlouvu ukončit;
• jí s výjimkou případů, kdy k tomu existují závažné důvody, umožňuje ukončit smlouvu s nepřiměřeně krátkou výpovědní lhůtou;
• jí umožňuje přístup k datům druhé smluvní strany a jejich využívání způsobem poškozujícím oprávněné zájmy této druhé strany;

a dále z titulu strany, na kterou bylo jednostranně uloženo pokud:

• neúměrně omezuje její prostředky nápravy v případě neplnění smluvních závazků nebo odpovědnost v případě porušení povinností nebo její odpovědnost naopak rozšiřuje;
• jí brání používat data, která tato strana poskytla nebo vytvořila nebo omezuje jejich použití;
• jí brání ukončit dohodu v přiměřené lhůtě;
• jí brání získat kopii dat, která poskytla nebo vytvořila.

Podnik v pozici třetí strany přijímající data se souhlasem uživatele má povinnost zpřístupněná data zpracovávat pouze pro účely a za podmínek dohodnutých s uživatelem a nedohodne-li se s uživatelem jinak, musí tato data vymazat, jakmile již nejsou pro tento účel nezbytná.

Třetí strana dále v souvislosti s daty mj. nesmí:

• vyvíjet nátlak na uživatele, klamat ho či s ním manipulovat;
• používat je způsobem, který má nepříznivý dopad na bezpečnost připojeného výrobku nebo související službu;
• využívat je k vývoji výrobku, který konkuruje připojenému výrobku, z něhož zpřístupněná data pocházejí;
• zpřístupňovat je bez smluvního souhlasu uživatele jiné třetí straně;
• zpřístupňovat je podniku označenému jako strážce přístupu podle nařízení Evropského parlamentu a Rady (EU) 2022/1925 o digitálních trzích.

---

Technická ochranná opatření před neoprávněným použitím nebo zpřístupněním dat

Držitel dat může uplatnit vhodná technická ochranná opatření, aby zabránil neoprávněnému přístupu k datům. Může se jednat například o šifrování nebo užití inteligentních smluv. Přijatá technická ochranná opatření nesmí diskriminovat mezi příjemci dat nebo omezovat právo uživatele na získání kopie dat, vyhledání dat, použití dat nebo přístup k nim nebo na poskytnutí dat třetím stranám. Uživatelé a třetí strany nesmí bez souhlasu držitele dat tato technická ochranná opatření měnit ani odstraňovat.

---

Přiměřená kompenzace

V případě sdílení dat mezi podniky, může držitel dat požadovat za toto sdílení dat přiměřenou kompenzaci. Přiměřená kompenzace zahrnuje zejména náklady vzniklé v souvislosti se zpřístupněním dat a jejich zpracováním. V případě, že o data žádá velký podnik (překračující svou velikostí definici stanovenou v čl. 2 odst. 1 přílohy doporučení Evropské komise 2003/361/ES), který není neziskovou výzkumnou organizací, může přiměřená kompenzace pro držitele dat zahrnovat také marži zohledňující náklady na shromažďování dat. Do září 2025 vypracuje Evropská komise pokyny pro výpočet této přiměřené kompenzace.

---

Subjekty pro řešení sporů

Aniž je dotčeno právo stran domáhat se účinné právní ochrany před soudem, přichází nařízení o datech s dobrovolným mechanismem mimosoudního řešení sporů za pomocí tzv. subjektů pro řešení sporů. Půjde o soukromoprávní subjekty certifikované členskými státy, které mohou být nápomocny k dosažení dohody stranám, které se neshodnou mj. na kompenzaci za sdílení dat nebo podmínkách přístupu k datům.

Uživatelé, držitelé dat, příjemci dat a poskytovatelé služeb zpracování dat se budou moci dohodnout mezi sebou a předložit svůj požadavek o rozhodnutí subjektu pro řešení sporů. Informace o poplatcích nebo mechanismech používaných ke stanovení poplatků budou stranám známy předem. Po podání požadavku vydá předmětný subjekt pro řešení sporů rozhodnutí do 90 dnů, přičemž strany sporu se budou moci předem domluvit, zda bude takové rozhodnutí závazné.

Subjekty pro mimosoudní řešení sporů bude certifikovat členský stát, ve kterém je subjekt usazen. Zájemce o certifikaci bude muset prokázat, že:

• je nestranný a nezávislý a řídí se jasným, nediskriminačním a spravedlivým jednacím řádem;
• má potřebné odborné znalosti, zejména pokud jde o stanovení spravedlivých, přiměřených a nediskriminačních podmínek, včetně kompenzace za zpřístupňování dat a transparentní způsob tohoto zpřístupňování;
• je snadno přístupný prostřednictvím elektronických komunikačních technologií;
• je schopen přijímat rozhodnutí rychle, účinně a nákladově efektivně.

Evropská komise vypracuje do září 2025 nezávazná vzorová smluvní ujednání týkající se přístupu k datům a jejich používání, včetně podmínek týkajících se přiměřené kompenzace a ochrany obchodního tajemství, aby tak pomohla stranám při vypracovávání a sjednávání smluv se spravedlivými, přiměřenými a nediskriminačními smluvními právy a povinnostmi.