Dana 11. januara 2024. godine, Zakon EU o podacima – Uredba (EU) 2023/2854 – stupio je na snagu, dvadeset dana nakon objavljivanja u Službenom listu Evropske unije. Uredba se primjenjuje od 12. septembra 2025. godine. Ovaj zakon nameće fundamentalne nove obaveze proizvođačima povezanih proizvoda i pružaocima srodnih usluga, koje utiču na širok spektar sektora: od proizvodnje i energetike do zdravstva i automobilske industrije. Svakome ko generiše, obrađuje ili koristi podatke u poslovnom kontekstu bilo bi dobro da blagovremeno ispita opseg ovog zakona.
Šta reguliše Zakon o podacima?
Zakon o podacima dio je evropske strategije o podacima, koja ima za cilj jačanje konkurentske pozicije Evrope u ekonomiji podataka. Uredba utvrđuje pravila o tome ko ima pristup podacima generiranim korištenjem proizvoda ili usluga i pod kojim uslovima se ti podaci moraju dijeliti. Ovo se ne odnosi na opšte pravo na sve podatke, već na okvir od šest specifičnih klastera: pristup korisnika podacima o proizvodima i uslugama, dijeljenje između preduzeća (B2B) pod poštenim uslovima, javni pristup u slučajevima izuzetne potrebe, prebacivanje između usluga obrade podataka, zaštita od međunarodnog vladinog pristupa neličnim podacima i interoperabilnost.
Obaveze za preduzeća: dizajn proizvoda
Povezani proizvodi moraju biti dizajnirani i proizvedeni na način da generirani podaci budu, po zadanim postavkama, lako, sigurno, besplatni i u mašinski čitljivom formatu direktno dostupni korisniku. Korisnici povezanih proizvoda – pomislite na pametne kućne uređaje, industrijske mašine ili vozila – time stiču pravo pristupa podacima koje generira njihova upotreba tog proizvoda. Proizvođači i pružaoci usluga više ne smiju čuvati te podatke isključivo za sebe.
Važno je napomenuti da ova obaveza ima postepeno uvođenje u primjenu. Iako se Zakon o podacima u cjelini primjenjuje od 12. septembra 2025. godine, obaveza dizajna i proizvodnje za povezane proizvode primjenjuje se samo na proizvode stavljene na tržište nakon 12. septembra 2026. godine. Postojeći proizvodi stoga još nisu obuhvaćeni.
Pošteni uslovi u B2B dijeljenju podataka
Uredba sadrži posebna pravila o ugovornim odredbama u B2B ugovorima o podacima . Odredba koju jedno preduzeće jednostrano nametne drugom ne obavezuje drugu stranu ako je nepoštena. Smatra se da je odredba jednostrano nametnuta kada, uprkos pokušaju pregovora, druga strana nije mogla uticati na njen sadržaj. Teret dokazivanja ovoga leži na strani koja je uključila odredbu.
Odredba je nepoštena ako njena upotreba grubo odstupa od dobre poslovne prakse i suprotna je dobroj vjeri i poštenom poslovanju. Uredba kao primjere navodi odredbe koje isključuju odgovornost za namjeru ili grubu nepažnju, sprječavaju drugu stranu da koristi vlastite podatke, omogućavaju jednostrani raskid uz nerazumno kratko obavještenje ili omogućavaju značajne promjene cijena ili drugih bitnih promjena jednostrano. Pravna posljedica je da nepoštena odredba ne obavezuje drugu stranu, dok preostale ugovorne odredbe ostaju na snazi u mjeri u kojoj je odredba odvojiva.
Interakcija s GDPR-om
Zakon o podacima nalazi se uz Opću uredbu o zaštiti podataka, ali postoji važna interakcija između njih. Uredba također pokriva lične podatke, ali ih ne odvaja od zakona o zaštiti podataka. U slučajevima kada korisnik nije subjekt podataka čiji se lični podaci traže, ti lični podaci mogu se dostaviti samo ako postoji valjana pravna osnova prema članu 6. GDPR-a. Zakon o podacima stoga ne stvara samostalni izuzetak od GDPR-a: pristup podacima prema Zakonu o podacima ne oslobađa strane njihovih obaveza prema GDPR-u , niti pruža osnovu za daljnje zadržavanje ili ponovnu upotrebu dostavljenih podataka izvan svrhe za koju su dobijeni.
Prenosivost i prebacivanje u oblak
Posebno poglavlje zahtijeva od pružatelja usluga obrade podataka da olakšaju prelazak na drugog pružatelja usluga. Ne smiju nametati nikakve predkomercijalne, komercijalne, tehničke, ugovorne ili organizacijske prepreke koje sprječavaju korisnike u prelasku. Od 12. januara 2027. godine, pružatelji usluga obrade podataka više ne smiju naplaćivati korisnicima nikakve naknade za prelazak. Stvarni prijenos podataka i konfiguracija mora se obaviti bez nepotrebnog odlaganja i ni u kojem slučaju nakon obaveznog prelaznog perioda od maksimalno trideset dana. Za organizacije koje u velikoj mjeri ovise o jednom pružatelju usluga u oblaku, ovo nudi novu pregovaračku prednost prilikom obnavljanja ili ponovnog pregovaranja o ugovorima.
Javni pristup u slučajevima izuzetne potrebe
Uredba daje tijelima javnog sektora mogućnost, pod strogim uvjetima, da zahtijevaju pristup privatnim podacima u slučajevima izuzetne potrebe – kao što je javna vanredna situacija. U tom slučaju, nosioci podataka koji nisu mikropreduzeća i mala preduzeća dužni su besplatno staviti na raspolaganje potrebne podatke. U drugim slučajevima izuzetne potrebe, nosilac podataka ima pravo na pravičnu naknadu. Ova ovlast podliježe uvjetima proporcionalnosti i supsidijarnosti utvrđenim u Uredbi.
Provođenje zakona u Holandiji
U Holandiji je provođenje zakona sada ugrađeno u zakon putem Zakona o implementaciji Zakona o podacima (Uitvoeringswet dataverordening). Holandska agencija za potrošače i tržišta (ACM) je nadležno tijelo za najveći dio Uredbe, uključujući poglavlja o podacima o proizvodu, dijeljenju između preduzeća (B2B) i prenosivosti u oblaku. Holandska agencija za zaštitu podataka (AP) je nadležna za elemente osjetljive na privatnost i za obradu ličnih podataka u okviru određenih članova i Poglavlja V. Oba tijela mogu poduzeti mjere provođenja zakona unutar vlastite domene izricanjem naloga koji podliježe novčanoj kazni ili administrativnoj globi. Zakon o implementaciji također predviđa sporazum o saradnji i razmjeni informacija između ACM-a i AP-a, tako da oba nadzornika mogu djelovati koordinirano po pitanjima koja se preklapaju.
Šta ovo znači u praksi?
Preduzeća koja razvijaju, uvoze ili distribuiraju povezane proizvode trebala bi odmah preispitati dizajn svojih proizvoda i ugovornu strukturu u skladu sa Zakonom o podacima. Za proizvode stavljene na tržište nakon 12. septembra 2026. godine, obaveza dizajna i pristupačnosti primjenjuje se u potpunosti. Pružaoci usluga koji obrađuju podatke u ime korisnika trebali bi procijeniti koje se obaveze dijeljenja podataka na njih primjenjuju i da li su postojeći sporazumi – uključujući jednostrano sastavljene klauzule o podacima – usklađeni s njima.
Oni koji čekaju da provedba ne počne riskiraju da zaostanu. Usklađivanje proizvoda, usluga i ugovora s novim pravilima na vrijeme nije samo pitanje usklađenosti , već i predstavlja prilike: oni koji svojim klijentima nude transparentnost i pristup podacima ističu se na tržištu koje je sve kritičnije prema načinu na koji kompanije rukuju podacima.
Imate li pitanja o implikacijama Zakona EU o podacima na vaše poslovanje ili vaše ugovore? Advokati u Law & More rado će vam pomoći.
Često Postavljena Pitanja
Da li se Zakon o podacima već primjenjuje na moje postojeće povezane proizvode?
Uredba se primjenjuje od 12. septembra 2025. godine, ali obaveza dizajniranja povezanih proizvoda tako da su podaci dostupni korisnicima primjenjuje se samo na proizvode stavljene na tržište nakon 12. septembra 2026. godine. Postojeći proizvodi koji su već bili na tržištu prije tog datuma još nisu obuhvaćeni. Proizvođači i uvoznici bi ipak trebali uskladiti razvoj svojih proizvoda s novim zahtjevima sada, kako bi budući proizvodi bili usklađeni s propisima prilikom lansiranja na tržište.
Šta trebam učiniti ako moj ugovor o podacima sadrži klauzule koje ograničavaju pristup podacima?
Prema Zakonu o podacima, ugovorne odredbe koje su jednostrano nametnute i koje sprečavaju drugu stranu da koristi ili iskorištava vlastite podatke mogu se smatrati nepoštenim i stoga neobavezujućim. Preporučljivo je da se postojeći ugovori o podacima pregledaju u pogledu takvih klauzula. Teret dokazivanja da odredba nije jednostrano nametnuta leži na strani koja ju je uključila. Rano ponovno pregovaranje je uglavnom efikasnije od čekanja da se druga strana pozove na Uredbu.
Mogu li dijeliti lične podatke prema Zakonu o podacima bez pravnog osnova za GDPR?
Ne. Zakon o podacima ne pruža samostalnu osnovu za otkrivanje ličnih podataka. U slučajevima kada korisnik nije subjekt podataka čiji se lični podaci traže, ti podaci se mogu dostaviti samo ako postoji valjana pravna osnova prema članu 6. GDPR-a. Štaviše, pristup podacima prema Zakonu o podacima ne pruža osnovu za dalje zadržavanje ili ponovnu upotrebu otkrivenih ličnih podataka izvan prvobitne svrhe. Usklađenost sa GDPR-om i usklađenost sa Zakonom o podacima stoga se moraju osigurati istovremeno.
Mogu li i dalje naplaćivati naknade za promjenu kao pružatelj usluga u oblaku?
Od 12. januara 2027. godine, pružaocima usluga obrade podataka zabranjeno je naplaćivanje naknada za promjenu dobavljača korisnicima. Osim toga, od 12. septembra 2025. godine ne smiju se nametati nikakve tehničke, ugovorne ili organizacijske prepreke koje ometaju promjenu dobavljača. Stvarni prijenos podataka prilikom promjene dobavljača također se mora obaviti bez nepotrebnog odlaganja i završiti najkasnije u prelaznom periodu od trideset dana. Postojeći ugovori koji sadrže duže periode ili naknade za promjenu dobavljača zahtijevaju reviziju.
Koji nadzorni organ je nadležan za sprovođenje Zakona o podacima u Holandiji?
Provođenje zakona je podijeljeno između Nizozemske agencije za potrošače i tržišta (ACM) i Nizozemske agencije za zaštitu podataka (AP). ACM je nadležan za najveći dio Uredbe, uključujući odredbe o podacima o proizvodu, dijeljenju između preduzeća (B2B) i prenosivosti u oblaku. AP je nadležan za elemente osjetljive na privatnost i obradu ličnih podataka u okviru određenih članova i Poglavlja V. Oba tijela mogu izreći nalog koji podliježe novčanoj kazni ili administrativnoj novčanoj kazni. Protiv takvih odluka dostupni su uobičajeni upravnopravni lijekovi, uključujući prigovor, žalbu i privremenu mjeru.
Da li se Zakon o podacima primjenjuje i na mala preduzeća?
Uredba pravi razliku prema veličini preduzeća u nekoliko tačaka. Na primjer, mikropreduzeća i mala preduzeća su, u slučajevima zahtjeva za podacima u slučaju javne hitnosti, izuzeta od obaveze da podatke stave na raspolaganje besplatno; u tim slučajevima imaju pravo na pravičnu naknadu. Za ostale obaveze - uključujući obavezu pristupačnosti za povezane proizvode i test pravičnosti za B2B uslove - ne postoji opšte izuzeće za mala i srednja preduzeća. Manji pružaoci povezanih proizvoda ili usluga u oblaku stoga također moraju blagovremeno uskladiti svoje poslovanje s Uredbom.
