2024. gada 11. janvārī, divdesmit dienas pēc publicēšanas Eiropas Savienības Oficiālajā Vēstnesī, stājās spēkā ES Datu likums – Regula (ES) 2023/2854. Regula ir piemērojama no 2025. gada 12. septembra. Šis tiesību akts uzliek jaunus, fundamentālus pienākumus savienotu produktu ražotājiem un saistītu pakalpojumu sniedzējiem, ietekmējot plašu nozaru loku: sākot no ražošanas un enerģētikas līdz veselības aprūpei un autobūves nozarei. Ikvienam, kurš uzņēmējdarbības kontekstā ģenerē, apstrādā vai izmanto datus, ieteicams laikus izpētīt šī tiesību akta darbības jomu.
Ko regulē Datu likums?
Datu likums ir daļa no Eiropas datu stratēģijas, kuras mērķis ir stiprināt Eiropas konkurētspēju datu ekonomikā. Regula nosaka noteikumus par to, kam ir piekļuve datiem, kas iegūti, izmantojot produktus vai pakalpojumus, un ar kādiem nosacījumiem šie dati ir jākopīgo. Tas neattiecas uz vispārējām tiesībām uz visiem datiem, bet gan uz sešu konkrētu klasteru sistēmu: lietotāju piekļuve produktu un pakalpojumu datiem, uzņēmumu savstarpēja koplietošana ar taisnīgiem noteikumiem, publiska piekļuve ārkārtas nepieciešamības gadījumos, pārslēgšanās starp datu apstrādes pakalpojumiem, aizsardzība pret starptautisku valdību piekļuvi nepersonizētiem datiem un sadarbspēja.
Uzņēmumu pienākumi: produktu dizains
Savienotiem produktiem jābūt izstrādātiem un ražotiem tā, lai ģenerētie dati pēc noklusējuma būtu viegli, droši, bez maksas un mašīnlasāmā formātā tieši pieejami lietotājam. Savienotu produktu lietotāji – piemēram, viedās mājas ierīces, rūpnieciskās iekārtas vai transportlīdzekļi – tādējādi iegūst tiesības piekļūt datiem, ko ģenerē attiecīgā produkta lietošana. Ražotāji un pakalpojumu sniedzēji vairs nedrīkst glabāt šos datus tikai sev.
Svarīgi ir tas, ka šim pienākumam ir pakāpeniska stāšanās spēkā. Lai gan Datu likums kopumā stājas spēkā no 2025. gada 12. septembra, projektēšanas un ražošanas pienākums attiecībā uz savienotajiem produktiem attiecas tikai uz produktiem, kas laisti tirgū pēc 2026. gada 12. septembra. Tāpēc esošie produkti vēl nav iekļauti.
Godīgi noteikumi B2B datu koplietošanā
Regulā ir ietverti īpaši noteikumi par līguma noteikumi B2B datu līgumosNoteikums, ko viens uzņēmums vienpusēji uzspiedis otram uzņēmumam, nav saistošs otrai pusei, ja tas ir negodīgs. Noteikums tiek uzskatīts par vienpusēji uzspiestu, ja, neskatoties uz mēģinājumu vienoties, otra puse nav spējusi ietekmēt tā saturu. Pierādīšanas pienākums ir pusei, kas iekļāva šo noteikumu.
Līguma noteikums ir negodīgs, ja tā lietošana rupji atšķiras no labas komercprakses un ir pretrunā ar labu ticību un godprātību darījumu veikšanā. Regulā kā piemēri minēti noteikumi, kas izslēdz atbildību par nodomu vai rupju neuzmanību, neļauj otrai pusei izmantot savus datus, pieļauj vienpusēju līguma izbeigšanu ar nepamatoti īsu brīdinājumu vai pieļauj vienpusēji veikt būtiskas cenu vai citas būtiskas izmaiņas. Juridiskās sekas ir tādas, ka negodīgais noteikums nesaista otru pusi, savukārt pārējie līguma noteikumi paliek spēkā, ciktāl noteikums ir atdalāms.
Mijiedarbība ar GDPR
Datu likums pastāv līdzās Vispārīgajai datu aizsardzības regulai, taču starp tām pastāv svarīga mijiedarbība. Regula attiecas arī uz personas datiem, taču neatdala tos no datu aizsardzības tiesību aktiem. Ja lietotājs nav datu subjekts, kura personas dati tiek pieprasīti, šos personas datus var sniegt tikai tad, ja pastāv derīgs juridiskais pamats saskaņā ar VDAR 6. pantu. Tāpēc Datu likums nerada atsevišķu VDAR izņēmumu: piekļuve datiem saskaņā ar Datu likumu neatbrīvo puses no... viņu GDPR saistības, kā arī tas nesniedz pamatu sniegto datu turpmākai saglabāšanai vai atkārtotai izmantošanai ārpus mērķa, kādam tie tika iegūti.
Mākoņa pārnesamība un pārslēgšanās
Atsevišķā nodaļā datu apstrādes pakalpojumu sniedzējiem ir noteikts pienākums atvieglot pāreju pie cita pakalpojumu sniedzēja. Tie nedrīkst noteikt nekādus pirmskomercializācijas, komerciālus, tehniskus, līgumiskus vai organizatoriskus šķēršļus, kas kavē klientus pāriet pie cita pakalpojumu sniedzēja. Sākot ar 2027. gada 12. janvāri, datu apstrādes pakalpojumu sniedzēji vairs nedrīkst iekasēt no klientiem nekādas pārslēgšanās maksas. Faktiskajai datu un konfigurāciju pārsūtīšanai jānotiek bez nepamatotas kavēšanās un nekādā gadījumā pēc obligāta pārejas perioda, kas nepārsniedz trīsdesmit dienas. Organizācijām, kas ir ļoti atkarīgas no viena mākoņpakalpojumu sniedzēja, tas paver jaunas sarunu pozīcijas, atjaunojot vai atkārtoti vienojoties par līgumiem.
Publiska piekļuve ārkārtas nepieciešamības gadījumos
Regula dod publiskā sektora iestādēm iespēju, ievērojot stingrus nosacījumus, pieprasīt piekļuvi privātiem datiem ārkārtas nepieciešamības gadījumos, piemēram, sabiedriskās ārkārtas situācijā. Šādā gadījumā datu turētājiem, kas nav mikrouzņēmumi un mazie uzņēmumi, ir pienākums nodrošināt nepieciešamo datu pieejamību bez maksas. Citos ārkārtas nepieciešamības gadījumos datu turētājam ir tiesības uz taisnīgu kompensāciju. Šīs pilnvaras ir pakļautas regulā noteiktajiem proporcionalitātes un subsidiaritātes nosacījumiem.
Izpilde Nīderlandē
Nīderlandē izpilde tagad ir nostiprināta likumā ar Datu likuma īstenošanas likumu (Uitvoeringswet dataverordening). Nīderlandes Patērētāju un tirgus iestāde (ACM) ir kompetentā iestāde attiecībā uz lielāko daļu no Regulas, tostarp nodaļām par produktu datiem, B2B koplietošanu un mākoņdatošanas pārnesamību. Nīderlandes Datu aizsardzības iestāde (AP) ir kompetenta attiecībā uz privātuma elementiem un personas datu apstrādi saskaņā ar noteiktiem pantiem un V nodaļu. Abas iestādes var veikt izpildes pasākumus savā jomā, piemērojot rīkojumu, par kuru var tikt piemērots sods vai administratīvs naudas sods. Īstenošanas likums paredz arī sadarbības un informācijas apmaiņas kārtību starp ACM un AP, lai abas uzraudzības iestādes varētu rīkoties koordinēti jautājumos, kas pārklājas.
Ko tas nozīmē praksē?
Uzņēmumiem, kas izstrādā, importē vai izplata savienotus produktus, būtu prātīgi jau tagad pārskatīt savu produktu dizainu un līgumu struktūru atbilstoši Datu likumam. Produktiem, kas laisti tirgū pēc 2026. gada 12. septembra, dizaina un pieejamības pienākums ir spēkā pilnībā. Pakalpojumu sniedzējiem, kas apstrādā datus lietotāju vārdā, būtu jāizvērtē, kuri datu koplietošanas pienākumi uz tiem attiecas un vai esošie līgumi, tostarp vienpusēji izstrādātas datu klauzulas, ir saskaņoti ar tiem.
Tie, kas gaida, līdz sāksies izpildes pasākumi, riskē atpalikt. Produktu, pakalpojumu un līgumu savlaicīga saskaņošana ar jaunajiem noteikumiem ir ne tikai atbilstības jautājums, bet arī sniedz iespējas: tie, kas piedāvā saviem klientiem pārredzamību un piekļuvi datiem, izceļas tirgū, kas arvien kritiskāk vērtē to, kā uzņēmumi rīkojas ar datiem.
Vai jums ir jautājumi par ES Datu akta ietekmi uz jūsu uzņēmumu vai līgumiem? Juristi uzņēmumā Law & More labprāt jums palīdzēs.
Biežāk uzdotie jautājumi
Vai Datu likums jau attiecas uz maniem esošajiem savienotajiem produktiem?
Regula ir piemērojama no 2025. gada 12. septembra, bet pienākums izstrādāt savienotus produktus tā, lai dati būtu pieejami lietotājiem, attiecas tikai uz produktiem, kas laisti tirgū pēc 2026. gada 12. septembra. Esošie produkti, kas jau bija tirgū pirms šī datuma, vēl nav iekļauti. Tomēr ražotājiem un importētājiem būtu prātīgi jau tagad saskaņot savu produktu izstrādi ar jaunajām prasībām, lai nākotnes produkti atbilstu prasībām, kad tie tiks laisti tirgū.
Ko darīt, ja manā datu līgumā ir klauzulas, kas ierobežo piekļuvi datiem?
Saskaņā ar Datu likumu līguma noteikumi, kas ir vienpusēji noteikti un kas neļauj otrai pusei izmantot vai izmantot savus datus, var tikt uzskatīti par negodīgiem un tāpēc nesaistošiem. Ieteicams pārskatīt esošos datu līgumus, lai noteiktu šādus punktus. Pierādīšanas pienākums, ka noteikums netika noteikts vienpusēji, gulstas uz pusi, kas to iekļāva. Agrīna atkārtota apspriešana parasti ir efektīvāka nekā gaidīšana, kamēr otra puse atsaucas uz Regulu.
Vai es varu kopīgot personas datus saskaņā ar Datu likumu bez GDPR juridiskā pamata?
Nē. Datu likums neparedz atsevišķu pamatu personas datu izpaušanai. Ja lietotājs nav datu subjekts, kura personas dati tiek pieprasīti, šos datus var sniegt tikai tad, ja pastāv derīgs juridiskais pamats saskaņā ar VDAR 6. pantu. Turklāt piekļuve datiem saskaņā ar Datu likumu nenodrošina pamatu izpausto personas datu turpmākai saglabāšanai vai atkārtotai izmantošanai ārpus sākotnējā mērķa. Tāpēc vienlaikus ir jānodrošina atbilstība VDAR un Datu likuma prasībām.
Vai es joprojām varu iekasēt pārslēgšanās maksu kā mākoņpakalpojumu sniedzējs?
Sākot ar 2027. gada 12. janvāri, datu apstrādes pakalpojumu sniedzējiem ir aizliegts iekasēt no klientiem maksu par pāreju. Turklāt, sākot ar 2025. gada 12. septembri, nedrīkst tikt noteikti nekādi tehniski, līgumiski vai organizatoriski šķēršļi, kas kavē pāreju. Faktiskajai datu pārsūtīšanai, pārejot, jānotiek bez nepamatotas kavēšanās un jāpabeidz ne vēlāk kā trīsdesmit dienu pārejas periodā. Spēkā esošie līgumi, kas paredz ilgākus termiņus vai pāreju, ir jāpārskata.
Kura uzraudzības iestāde ir kompetenta īstenot Datu likumu Nīderlandē?
Izpildes nodrošināšana ir sadalīta starp Nīderlandes Patērētāju un tirgu iestādi (ACM) un Nīderlandes Datu aizsardzības iestādi (AP). ACM ir kompetenta attiecībā uz lielāko daļu no Regulas, tostarp noteikumiem par produktu datiem, B2B koplietošanu un mākoņpakalpojumu pārnesamību. AP ir kompetenta attiecībā uz privātuma elementiem un personas datu apstrādi atsevišķos pantos un V nodaļā. Abas iestādes var izdot rīkojumu, par kuru var tikt piemērots sods vai administratīvs naudas sods. Pret šādiem lēmumiem ir pieejami parastie administratīvo tiesību aizsardzības līdzekļi, tostarp iebildumi, apelācija un pagaidu noregulējums.
Vai Datu likums attiecas arī uz mazajiem uzņēmumiem?
Regula dažos punktos nošķir uzņēmumu lielumu. Piemēram, mikrouzņēmumi un mazie uzņēmumi ārkārtas situāciju datu pieprasījumu gadījumos ir atbrīvoti no pienākuma darīt datus pieejamus bez maksas; šādos gadījumos tiem ir tiesības uz taisnīgu kompensāciju. Attiecībā uz citiem pienākumiem, tostarp piekļuves pienākumu savienotiem produktiem un taisnīguma pārbaudi attiecībā uz B2B noteikumiem, maziem un vidējiem uzņēmumiem nav vispārēja atbrīvojuma. Tāpēc arī mazākiem savienotu produktu vai mākoņpakalpojumu sniedzējiem ir savlaicīgi jāsaskaņo sava darbība ar regulu.
