Dana 11. siječnja 2024. stupio je na snagu Zakon EU o podacima – Uredba (EU) 2023/2854 – dvadeset dana nakon objave u Službenom listu Europske unije. Uredba se primjenjuje od 12. rujna 2025. Ovaj zakon nameće temeljne nove obveze proizvođačima povezanih proizvoda i pružateljima povezanih usluga, a utječe na širok raspon sektora: od proizvodnje i energetike do zdravstva i automobilske industrije. Svatko tko generira, obrađuje ili koristi podatke u poslovnom kontekstu trebao bi pravovremeno proučiti područje primjene ovog zakona.
Što uređuje Zakon o podacima?
Zakon o podacima dio je europske strategije za podatke, čiji je cilj jačanje konkurentske pozicije Europe u podatkovnom gospodarstvu. Uredba utvrđuje pravila o tome tko ima pristup podacima generiranim korištenjem proizvoda ili usluga i pod kojim uvjetima se ti podaci moraju dijeliti. Ovo se ne odnosi na opće pravo na sve podatke, već na okvir od šest specifičnih klastera: pristup korisnika podacima o proizvodima i uslugama, dijeljenje između poduzeća (B2B) pod poštenim uvjetima, javni pristup u slučajevima iznimne potrebe, prebacivanje između usluga obrade podataka, zaštita od međunarodnog vladinog pristupa neosobnim podacima i interoperabilnost.
Obveze za poduzeća: dizajn proizvoda
Povezani proizvodi moraju biti dizajnirani i proizvedeni na način da generirani podaci budu, prema zadanim postavkama, lako, sigurno, besplatno i u strojno čitljivom formatu izravno dostupni korisniku. Korisnici povezanih proizvoda – pomislite na pametne kućanske uređaje, industrijske strojeve ili vozila – time stječu pravo pristupa podacima koje generira njihova upotreba tog proizvoda. Proizvođači i pružatelji usluga više ne smiju čuvati te podatke isključivo za sebe.
Važno je napomenuti da ova obveza ima postupni ulazak u primjenu. Iako se Zakon o podacima u cjelini primjenjuje od 12. rujna 2025., obveza projektiranja i proizvodnje za povezane proizvode primjenjuje se samo na proizvode stavljene na tržište nakon 12. rujna 2026. Postojeći proizvodi stoga još nisu obuhvaćeni.
Pošteni uvjeti u dijeljenju podataka između poduzeća (B2B)
Uredba sadrži posebna pravila o ugovornim uvjetima u B2B ugovorima o podacima . Odredba koju jedno poduzeće jednostrano nametne drugome ne obvezuje drugu stranku ako je nepoštena. Smatra se da je odredba jednostrano nametnuta ako, unatoč pokušaju pregovora, druga stranka nije mogla utjecati na njezin sadržaj. Teret dokazivanja toga leži na strani koja je uključila odredbu.
Odredba je nepoštena ako njezina uporaba grubo odstupa od dobre trgovačke prakse i suprotna je dobroj vjeri i poštenom poslovanju. Uredba kao primjere navodi odredbe koje isključuju odgovornost za namjeru ili grubu nepažnju, sprječavaju drugu stranku da koristi vlastite podatke, dopuštaju jednostrani raskid uz nerazumno kratak rok ili dopuštaju značajne promjene cijena ili drugih bitnih elemenata jednostrano. Pravna posljedica je da nepoštena odredba ne obvezuje drugu stranku, dok preostale ugovorne odredbe ostaju na snazi u mjeri u kojoj je odredba odvojiva.
Međudjelovanje s GDPR-om
Zakon o podacima nalazi se uz Opću uredbu o zaštiti podataka, ali postoji važna međudjelovanje između njih. Uredba također pokriva osobne podatke, ali ih ne odvaja od zakona o zaštiti podataka. Ako korisnik nije subjekt podataka čiji se osobni podaci traže, ti se osobni podaci mogu dati samo ako postoji valjana pravna osnova prema članku 6. GDPR-a. Zakon o podacima stoga ne stvara samostalnu iznimku od GDPR-a: pristup podacima prema Zakonu o podacima ne oslobađa stranke njihovih obveza prema GDPR-u , niti pruža osnovu za daljnje zadržavanje ili ponovnu upotrebu dostavljenih podataka izvan svrhe za koju su dobiveni.
Prenosivost i prebacivanje u oblak
Zasebno poglavlje zahtijeva od pružatelja usluga obrade podataka da olakšaju prelazak na drugog pružatelja usluga. Ne smiju nametati nikakve predkomercijalne, komercijalne, tehničke, ugovorne ili organizacijske prepreke koje sprječavaju korisnike u prelasku. Od 12. siječnja 2027. pružatelji usluga obrade podataka više ne smiju naplaćivati korisnicima nikakve naknade za prelazak. Stvarni prijenos podataka i konfiguracija mora se dogoditi bez nepotrebnog odgađanja i ni u kojem slučaju nakon obveznog prijelaznog razdoblja od najviše trideset dana. Za organizacije koje uvelike ovise o jednom pružatelju usluga u oblaku, ovo nudi novu pregovaračku prednost prilikom obnavljanja ili ponovnog pregovaranja o ugovorima.
Javni pristup u slučajevima iznimne potrebe
Uredba daje tijelima javnog sektora mogućnost, pod strogim uvjetima, da zahtijevaju pristup privatnim podacima u slučajevima iznimne potrebe – poput javne izvanredne situacije. U tom slučaju, nositelji podataka koji nisu mikropoduzeća i mala poduzeća dužni su besplatno staviti na raspolaganje potrebne podatke. U drugim slučajevima iznimne potrebe, nositelj podataka ima pravo na pravednu naknadu. Ova ovlast podliježe uvjetima proporcionalnosti i supsidijarnosti utvrđenima u Uredbi.
Provedba u Nizozemskoj
U Nizozemskoj je provedba sada ugrađena u zakon putem Zakona o provedbi Zakona o podacima (Uitvoeringswet dataverordening). Nizozemska agencija za potrošače i tržišta (ACM) nadležno je tijelo za najveći dio Uredbe, uključujući poglavlja o podacima o proizvodu, dijeljenju između poduzeća (B2B) i prenosivosti u oblaku. Nizozemska agencija za zaštitu podataka (AP) nadležna je za elemente osjetljive na privatnost i za obradu osobnih podataka u okviru određenih članaka i Poglavlja V. Oba tijela mogu poduzeti mjere provedbe unutar vlastite domene izricanjem naloga koji podliježe novčanoj kazni ili upravnoj globi. Zakon o provedbi također predviđa sporazum o suradnji i razmjeni informacija između ACM-a i AP-a, tako da oba nadzornika mogu djelovati koordinirano po pitanjima koja se preklapaju.
Što to znači u praksi?
Tvrtke koje razvijaju, uvoze ili distribuiraju povezane proizvode trebale bi odmah preispitati dizajn svojih proizvoda i ugovornu strukturu u skladu sa Zakonom o podacima. Za proizvode stavljene na tržište nakon 12. rujna 2026. obveza dizajna i pristupačnosti primjenjuje se u potpunosti. Pružatelji usluga koji obrađuju podatke u ime korisnika trebali bi procijeniti koje se obveze dijeljenja podataka na njih primjenjuju i jesu li postojeći ugovori – uključujući jednostrano sastavljene klauzule o podacima – usklađeni s njima.
Oni koji čekaju da provedba ne počne riskirati zaostajanje. Pravovremeno usklađivanje proizvoda, usluga i ugovora s novim pravilima nije samo pitanje usklađenosti , već i pruža prilike: oni koji svojim kupcima nude transparentnost i pristup podacima ističu se na tržištu koje je sve kritičnije prema načinu na koji tvrtke rukuju podacima.
Imate li pitanja o implikacijama Zakona EU o podacima za vaše poslovanje ili vaše ugovore? Odvjetnici u Law & More rado će vam pomoći.
Često postavljana pitanja
Primjenjuje li se Zakon o podacima već na moje postojeće povezane proizvode?
Uredba se primjenjuje od 12. rujna 2025., ali obveza dizajniranja povezanih proizvoda tako da su podaci dostupni korisnicima odnosi se samo na proizvode stavljene na tržište nakon 12. rujna 2026. Postojeći proizvodi koji su već bili na tržištu prije tog datuma još nisu obuhvaćeni. Proizvođači i uvoznici bi ipak trebali uskladiti razvoj svojih proizvoda s novim zahtjevima sada, kako bi budući proizvodi bili usklađeni s propisima prilikom lansiranja na tržište.
Što trebam učiniti ako moj ugovor o podacima sadrži klauzule koje ograničavaju pristup podacima?
Prema Zakonu o podacima, ugovorne odredbe koje su jednostrano nametnute i koje sprječavaju drugu stranu da koristi ili iskorištava vlastite podatke mogu se smatrati nepoštenima i stoga neobvezujućima. Preporučljivo je pregledati postojeće ugovore o podacima u pogledu takvih klauzula. Teret dokazivanja da odredba nije jednostrano nametnuta leži na strani koja ju je uključila. Rano ponovno pregovaranje općenito je učinkovitije od čekanja da se druga strana pozove na Uredbu.
Smijem li dijeliti osobne podatke prema Zakonu o podacima bez pravne osnove za GDPR?
Ne. Zakon o podacima ne pruža samostalnu osnovu za otkrivanje osobnih podataka. Ako korisnik nije subjekt podataka čiji se osobni podaci traže, ti se podaci mogu dati samo ako postoji valjana pravna osnova prema članku 6. GDPR-a. Nadalje, pristup podacima prema Zakonu o podacima ne pruža osnovu za daljnje zadržavanje ili ponovnu upotrebu otkrivenih osobnih podataka izvan izvorne svrhe. Stoga se usklađenost s GDPR-om i usklađenost sa Zakonom o podacima mora istovremeno osigurati.
Mogu li i dalje naplaćivati naknade za promjenu kao pružatelj usluga u oblaku?
Od 12. siječnja 2027. pružateljima usluga obrade podataka zabranjeno je naplaćivanje naknada za promjenu dobavljača korisnicima. Osim toga, od 12. rujna 2025. ne smiju se nametati nikakve tehničke, ugovorne ili organizacijske prepreke koje ometaju promjenu dobavljača. Stvarni prijenos podataka prilikom promjene dobavljača također se mora obaviti bez nepotrebnog odgađanja i dovršiti najkasnije u prijelaznom razdoblju od trideset dana. Postojeći ugovori koji sadrže dulja razdoblja ili naknade za promjenu dobavljača zahtijevaju reviziju.
Koje je nadzorno tijelo nadležno za provedbu Zakona o podacima u Nizozemskoj?
Provedba je podijeljena između nizozemskog tijela za potrošače i tržišta (ACM) i nizozemskog tijela za zaštitu podataka (AP). ACM je nadležan za najveći dio Uredbe, uključujući odredbe o podacima o proizvodu, dijeljenju između poduzeća (B2B) i prenosivosti u oblaku. AP je nadležan za elemente osjetljive na privatnost i obradu osobnih podataka u okviru određenih članaka i Poglavlja V. Oba tijela mogu izreći nalog koji podliježe novčanoj kazni ili upravnoj globi. Protiv takvih odluka dostupni su uobičajeni upravnopravni pravni lijekovi, uključujući prigovor, žalbu i privremenu mjeru.
Primjenjuje li se Zakon o podacima i na mala poduzeća?
Uredba razlikuje veličinu poduzeća u nekoliko točaka. Na primjer, mikropoduzeća i mala poduzeća su, u slučajevima zahtjeva za podacima u slučaju javne nužde, izuzeta od obveze besplatnog stavljanja podataka na raspolaganje; u tim slučajevima imaju pravo na pravednu naknadu. Za ostale obveze - uključujući obvezu pristupačnosti za povezane proizvode i test pravednosti za B2B uvjete - ne postoji opće izuzeće za mala i srednja poduzeća. Manji pružatelji povezanih proizvoda ili usluga u oblaku stoga također moraju pravovremeno uskladiti svoje poslovanje s Uredbom.
