Закон ЄС про дані – про що компаніям необхідно домовлятися щодо даних і хмарних сервісів?
Поділитися
Коротка відповідь: Акт ЄС про дані (EU Data Act) встановлює правила доступу до даних, отриманих від підключених продуктів та пов’язаних із ними послуг, а також їх використання та переходу між послугами обробки даних. Для компаній це означає, що умови продуктів, договори про обмін даними, а також хмарні/SaaS-договори можуть потребувати адаптації.
Що таке Акт ЄС про дані (EU Data Act)?
Акт про дані — це Регламент (ЄС) 2023/2854. Основна частина правил почала застосовуватися з 12 вересня 2025 року. Його мета, серед іншого, полягає в тому, щоб зробити дані від підключених продуктів більш доступними та зменшити технічні й договірні перешкоди для переходу між послугами обробки даних.
Яких компаній це може стосуватися?
- виробників та постачальників підключених продуктів
- постачальників пов’язаних цифрових послуг
- власників даних, які контролюють відповідні дані продуктів або послуг
- компаній, що отримують дані від користувачів або власників даних
- постачальників IaaS, PaaS, SaaS та інших послуг з обробки даних
Доступ до даних та обмін даними
Центральна ідея полягає в тому, що користувач повинен мати можливість отримувати доступ до певних даних, які генеруються під час використання підключеного продукту або пов’язаної послуги, а в деяких випадках — вимагати надання доступу до даних третій стороні. Тому в договорах необхідно чітко описувати, які саме дані підпадають під дію правил, як здійснюється доступ і які технічні та безпекові умови застосовуються.
Комерційна таємниця та безпека
Акт про дані не означає, що вся інформація повинна розкриватися без жодного захисту. Комерційну таємницю, ризики безпеки та права доступу необхідно розглядати структуровано. Договір повинен розрізняти доступ до даних та право на використання, передачу або експлуатацію цієї інформації.
Cloud switching – зміна постачальника
Для послуг обробки даних регламент містить спеціальні правила, спрямовані на зменшення комерційних, технічних, договірних та організаційних перешкод під час переходу до іншого постачальника або на локальну інфраструктуру. Хороший договір має регулювати експорт, формати, перехідний період, співпрацю, видалення та можливий подальший доступ після міграції.
Що компаніям варто переглянути у своїх договорах?
- визначення даних та ролей
- механізми доступу та API
- дозволені цілі використання
- конфіденційність та комерційну таємницю
- вимоги до безпеки та автентифікації
- відповідальність у разі неналежного або несанкціонованого використання
- умови обміну даними з третіми сторонами
- зміну постачальника, експорт, міграцію та видалення
- субпідрядників та інтероперабельність
Акт про дані та GDPR — це різні нормативні акти
Акт про дані може стосуватися як персональних, так і інших даних, але якщо матеріали містять персональні дані, правила GDPR все одно повинні дотримуватися. Акт про дані сам по собі не створює загальної правової підстави для обробки персональних даних. Тому ролі та права необхідно аналізувати паралельно.
FAQ
Чи є Акт про дані тим самим, що й GDPR?
Ні. GDPR переважно стосується захисту персональних даних, тоді як Акт про дані регулює ширші питання доступу до даних та їх використання, а також зміни постачальників послуг з обробки даних.
Чи стосується це суто SaaS-компаній?
Так, може стосуватися, особливо через правила щодо послуг обробки даних та переходу між постачальниками. Точне застосування залежить від структури послуги та ролі компанії.
Чи потрібно переглядати старі договори?
Так, компаніям варто проаналізувати договори, які діють протягом періоду застосування нових правил, і оцінити, які положення необхідно змінити або доповнити.
Джерело права: Регламент (ЄС) 2023/2854 про гармонізовані правила справедливого доступу до даних та їх використання.
Стаття містить загальну інформацію і не замінює професійну юридичну консультацію.
