Od 12. rujna 2025. nadalje, središnji cilj EU Akta o podacima je jačanje prava korisnika na pristup i dijeljenje njihovih podataka iz povezanih proizvoda i srodnih usluga.
Ovaj članak usredotočuje se na specifične obveze Akta o podacima u kontekstu povezanih proizvoda i srodnih usluga. Te obveze utječu na dizajn proizvoda, ugovornu transparentnost, prava pristupa podacima i uvjete pod kojima se podaci moraju pružiti korisnicima, trećim stranama ili javnim tijelima.
Kao što smo istaknuli u našem prethodnom članku, Akt o podacima (Uredba (EU) 2023/2854) uspostavlja jasan pravni okvir koji korisnicima povezanih proizvoda i srodnih usluga daje proširena prava nad njihovim podacima.
U ovom članku detaljnije ćemo se pozabaviti pravima i obvezama osoba i subjekata uključenih u ekosustav povezanih proizvoda i srodnih usluga.
Imajte na umu da se dolje navedene obveze u načelu ne primjenjuju na podatke generirane korištenjem povezanih proizvoda proizvedenih ili dizajniranih ili povezanih usluga koje pruža (i) mikropoduzeće, (ii) malo poduzeće ili (iii) subjekt koji se kvalificira kao srednje poduzeće kraće od 1 godine.
1. Razumijevanje opsega
Što su „povezani proizvodi“ i „povezane usluge“?
„Povezani proizvodi“ definiraju se kao bilo koji predmet koji dobiva, generira ili prikuplja podatke o svojoj upotrebi ili okruženju i može komunicirati te podatke putem elektroničke komunikacijske usluge, fizičke veze ili pristupa na uređaju.
Primarna funkcija ovih proizvoda ne smije biti pohranjivanje, obrada ili prijenos podataka u ime bilo koje druge strane osim korisnika. Primjeri uključuju povezane automobile, pametne hladnjake ili pametne termostate i mnoge povezane medicinske uređaje.
„Povezana usluga“ je svaka digitalna usluga (osim elektroničke komunikacijske usluge), uključujući softver, koja je povezana s proizvodom u trenutku kupnje, najma ili zakupa na takav način da bi izostanak usluge spriječio povezani proizvod u obavljanju jedne ili više svojih funkcija. Također uključuje svaku uslugu koju proizvođač ili treća strana naknadno poveže s proizvodom radi dodavanja, ažuriranja ili prilagodbe funkcija proizvoda.
Konačno, tamo gdje se Akt o podacima primjenjuje na povezane proizvode ili srodne usluge, smatra se da su uključeni i virtualni asistenti, ukoliko komuniciraju s povezanim proizvodom ili srodnom uslugom.
Koji su podaci obuhvaćeni?
Prema Aktu o podacima, prava pristupa primjenjuju se i na osobne i na neosobne podatke. Međutim, obveza dijeljenja podataka ograničena je na sirove i prethodno obrađene podatke koji su lako dostupni, zajedno s potrebnim metapodacima. Visoko obogaćeni podaci, kao i određene vrste sadržaja, poput materijala često zaštićenih pravima intelektualnog vlasništva, izvan su područja primjene. Nadalje, Akt o podacima ne utječe na postojeću pravnu zaštitu poslovnih tajni.
Važno je napomenuti da je Europska komisija jasno dala do znanja da se „ samo podaci generirani/prikupljeni nakon stupanja na snagu Akta o podacima trebaju smatrati onima koji spadaju u područje primjene Poglavlja II. “ ( Poglavlje Ii. Dijeljenje podataka između poslovnih subjekata i potrošača i poslovnih subjekata) .
Tko se kvalificira kao "korisnik"?
Akt o podacima definira korisnika kao „fizičku ili pravnu osobu koja je vlasnik povezanog proizvoda ili na koju su ugovorno prenesena privremena prava korištenja tog povezanog proizvoda ili koja prima povezane usluge“.
Prema ovoj definiciji, više stranaka može imati takav „status“ na isti povezani proizvod. U tim okolnostima, nositelji podataka moraju imati mehanizme kojima osiguravaju da svaki ovlašteni korisnik može pristupiti relevantnim podacima.
Važno je napomenuti da se to odnosi samo na korisnike u Europskoj uniji i da im se dodjeljuju prava prema Aktu o podacima.
Tko se kvalificira kao „vlasnik podataka“?
Nositelj podataka odnosno vlasnik je svaka fizička ili pravna osoba koja ima pravo ili obvezu (prema pravu EU, nacionalnom pravu ili ugovoru/sporazumu) koristiti i staviti na raspolaganje podatke, uključujući podatke o proizvodima i povezanim uslugama dobivene ili generirane tijekom pružanja povezane usluge. Važno je da određivanje tko je nositelj podataka ne ovisi o tome tko je proizveo povezani proizvod ili povezanu uslugu, već o tome tko kontrolira pristup lako dostupnim podacima.
Štoviše, Akt o podacima primjenjuje se bez obzira na to gdje je nositelj podataka kao vlasnik osnovan. Međutim, ako je nositelj podataka subjekt izvan EU-a koji nudi povezane proizvode ili usluge unutar EU-a, mora imenovati pravnog zastupnika u EU-u.
Primjeri uključuju:
- Njemačka bolnica koja upravlja podacima o korištenju i održavanju svojih MRI uređaja.
- Tvrtka za leasing kamiona koja ima prava na informacije o vozilima prema svojim ugovorima o leasingu za službena vozila koja koriste njezini zaposlenici u Francuskoj.
- Belgijska poljoprivredna zadruga koja upravlja podacima o vlažnosti tla iz iznajmljenih pametnih sustava za navodnjavanje koji su instalirani na belgijskim poljima.
- Kanadska tvrtka za pametne termostate koja prodaje u EU, a koja mora imenovati predstavnika EU za upravljanje prikupljenim kućnim podacima.
2. Dizajn i predugovorne dužnosti
Dizajn za pristupačnost (članak 3(1) Akta o podacima)
Od 12. rujna 2026. nadalje, povezani proizvodi i povezane usluge moraju biti dizajnirani tako da su, prema zadanim postavkama, podaci o proizvodu i povezanim uslugama:
- Lako i sigurno dostupni korisniku.
- Isporučuje ih se u strukturiranom, uobičajeno korištenom, strojno čitljivom formatu.
- Izravno su dostupni korisniku gdje god je to tehnički izvedivo.
Ova obveza primjenjuje se na sve proizvođače povezanih proizvoda stavljenih na tržište u EU i pružatelje povezanih usluga, bez obzira na mjesto poslovnog nastana tih proizvođača i pružatelja usluga.
Predugovorne informacije (članci 3(2) – 3(3))
Prije nego što se korisnik obveže na kupnju, najam, leasing ili pretplatu na povezani proizvod ili srodnu uslugu u EU, prodavatelj, najmodavac, zakupodavac ili pružatelj usluga mora jasno i razumljivo objasniti sljedeće:
- Za povezane proizvode:
- Vrsta, format i količina generiranih podataka.
- Pružaju li se podaci u stvarnom vremenu.
- Metode skladištenja i razdoblja čuvanja.
- Kako se podacima može pristupiti, dohvatiti ih i izbrisati.
- Za povezane usluge:
- Vrsta podataka, volumeni i učestalost generiranja.
- Metode pohrane podataka i razdoblja čuvanja.
- Kako se podacima može pristupiti, dohvatiti ih i izbrisati.
- Hoće li i kako će potencijalni nositelj podataka ili treće strane koristiti podatke.
- Identitet i kontaktni podaci potencijalnog nositelja podataka ili drugih strana koje obrađuju podatke.
- Postupci dijeljenja i prekida podataka.
- Pravo na pritužbu i naknadu štete.
- Informacije o poslovnim tajnama.
- Informacije o trajanju i raskidu ugovora.
3. Prava i obveze nositelja podataka odnosno vlasnika
Predugovorne obveze iz članka 3. Akta o podacima primjenjuju se na proizvođače, prodavače, pružatelje usluga itd. povezanih proizvoda i usluga, obveze iz članka 4. i sljedećih primjenjuju se na vlasnika nakon što se povezani proizvod (ili povezana usluga) proda, iznajmi itd. i počne učinkovito proizvoditi podatke.
Pristup korisnika podacima (članak 4. Akta o podacima)
Ako izravan pristup nije moguć, nositelj podataka mora staviti podatke na raspolaganje.
Međutim, korisnici ne smiju:
- Koristiti podatke za razvoj konkurentskih proizvoda.
- Koristiti podatke za procjenu tržišnog položaja nositelja podataka.
- Ostvariti pristup prisilom ili iskorištavanjem tehničkih rupa.
Vlasnik podataka kao nositelj može odbiti pristup ako bi to moglo uzrokovati ozbiljne štetne učinke na zdravlje, sigurnost ili zaštitu. Štoviše, zaštita poslovne tajne je ključna, podaci se mogu otkriti samo ako se obje strane dogovore o mjerama zaštite povjerljivosti. Ako se ne postigne dogovor ili korisnik ugrozi tajnost, dijeljenje se može uskratiti.
Pravo na dijeljenje (članak 5. Akta o podacima)
Na zahtjev korisnika i uz određene modalitete, iznimke i ograničenja, nositelj podataka mora podijeliti podatke s imenovanom trećom stranom:
- Bez nepotrebnog odgađanja i besplatno.
- U stvarnom vremenu ako je primjenjivo.
- Koristiti strukturirani, uobičajeno korišteni, strojno čitljivi format podataka.
Osobni podaci mogu se dijeliti samo ako postoji zakonita osnova prema GDPR-u.
Obveze prema trećim stranama (članak 6. Akta o podacima)
Kada treća strana primi podatke prema Aktu o podacima na zahtjev korisnika, ta treća strana mora osigurati da:
- Koristi podatke samo u dogovorene svrhe.
- Koristi podatke u skladu s GDPR-om i pravima korisnika prema člancima 5.-6. Akta o podacima.
- Briše podatke kada više nisu potrebni za dogovorenu svrhu (uz ograničene iznimke).
- Pridržava se određenih pravila prije nego što same podatke učini dostupnima trećoj strani.
- Poštuje sve povjerljive postupke i zaštitu poslovne tajne.
- Ne stvara konkurentske proizvode niti potkopava komercijalni položaj nositelja podataka.
- Ne koristi podatke na način koji negativno utječe na sigurnost povezanog proizvoda ili povezane usluge.
- Ne prosljeđuje podatke neovlaštenim subjektima odnosno trećim stranama.
4. Posebna sankcija: ništavost ugovornih klauzula
Imajte na umu da svaka ugovorna odredba koja, na štetu korisnika, isključuje primjenu, odstupa od ili mijenja učinak korisnikovih prava prema gore navedenim odredbama, neće biti obvezujuća za korisnika. Smatrat će se ništavom zbog nepoštivanja obveznog prava EU.
O drugim posljedicama i novčanim kaznama te vremenskom periodu stupanja na snagu smo pisali ovdje.
