Nařízení o datech - přístup k datům z připojených výrobků a souvisejících služeb

 

Nařízení o datech schválené v prosinci 2023 navazuje na zastřešující Evropskou strategii pro data z února 2020 a doplňuje mimo jiné nařízení o správě dat (DGA). Řeší vztahy v oblasti držení a sdílení dat mezi podniky (navzájem), spotřebiteli i státním sektorem. Ministerstvo průmyslu a obchodu připravilo přehled těch nejdůležitějších opatření, které mění pravidla práce s daty a umožní jejich širší využití.

Tento článek se zaměřuje na přístup k datům z připojených výrobků. Upozorňujeme, že jde o odborný text určený pro experty na datové právo, podnikové právníky a konzultanty, avšak nejedná se o vyčerpávající seznam veškerých povinností a pravidel, ani o závazný výklad nařízení, který může provést pouze soud.

---

Koho se nová opatření týkají?

• výrobců připojených výrobků uvedených na trh v EU a poskytovatelů souvisejících služeb bez ohledu na místo jejich usazení;
• prodejců, pronajímatelů nebo poskytovatelů leasingu připojených výrobků a souvisejících služeb;
• držitelů dat, bez ohledu na jejich místo usazení, kteří zpřístupňují data příjemcům dat v EU;
• uživatelů připojených výrobků nebo souvisejících služeb v EU;
• třetích stran – fyzických nebo právnických osob – jednajících jménem uživatele.

Připojenými výrobky se přitom myslí „předmět, který získává, vytváří nebo shromažďuje data o svém použití nebo prostředí, je schopen přenášet data z výrobku prostřednictvím služby elektronických komunikací, fyzického připojení nebo přístupu na zařízení a jehož hlavní funkcí není uchovávání, zpracování nebo předávání dat jménem osob jiných než je uživatel.“ V praxi se jedná o zařízení internetu věcí, tzv. Internet of Things či IoT. Jde např. o telefony, osobní počítače, ale také chytré domácí spotřebiče, chytré hodinky či doplňky, dopravní prostředky, výrobní linky či domovní systémy vč. virtuálních asistentů v rozsahu, kdy tyto ovládají připojené výrobky.

Související službou je poté „digitální služba jiná než služba elektronických komunikací, včetně softwaru, která je v době koupě, pronájmu nebo leasingu spojena s připojeným výrobkem takovým způsobem, že by její absence bránila připojenému výrobku plnit jednu nebo více jeho funkcí, nebo která je k připojenému výrobku následně připojena výrobcem nebo třetí stranou za účelem doplnění, aktualizace nebo úpravy funkcí připojeného výrobku.“ Může jít např. o aplikaci pro vzdálené ovládání připojených výrobků.

---

Jaké nové povinnosti mají držitelé dat ve spojitosti s připojenými výrobky a souvisejícími službami a jaká práva mají uživatelé?

Držitelem dat je fyzická nebo právnická osoba mající právo nebo povinnost používat a zpřístupňovat data, včetně dat generovaných připojeným výrobkem nebo související službou, která na základě dohody s uživatelem získala nebo vytvořila během poskytování související služby. V praxi může jít o výrobce či jinou entitu, která daty o používání výrobku či služby disponuje.

Uživatelem je fyzická nebo právnická osoba, která vlastní připojený výrobek nebo na kterou byla smluvně převedena dočasná práva na používání tohoto připojeného výrobku nebo související služby.

Nejpozději od září 2026 budou muset výrobci své připojené výrobky a související služby navrhovat tak, aby data z výrobků a data ze souvisejících služeb byla snadno, bezpečně a bezplatně přímo přístupná uživateli v běžně používaném a strojově čitelném formátu.

Již od září 2025 bude muset tam, kde tento přímý přístup k datům nebude možný, držitel dat zpřístupnit oproti žádosti uživatele tzv. snadno dostupná data, a to za stejných podmínek jako při přímém přístupu k datům a ve stejné kvalitě, jaká je dostupná držiteli dat. V případě, že žádost za uživatele jeho jménem podá třetí strana – právnická osoba, je držitel dat oprávněn žádat o přiměřenou kompenzaci (bližší informace o přiměřené kompenzaci naleznete v příštím článku).

Výjimku z výše uvedených povinností mají výrobci, kteří splňují definici malého podniku podle čl. 2 odst. 2 přílohy doporučení Evropské komise 2003/361/ES. Rok navíc pak získají podniky, které lze považovat za střední podniky v souladu s výše uvedeným doporučením, a které vyrobí či uvedou na trh nový připojený výrobek či související službu.

Před uzavřením smlouvy o koupi, pronájmu nebo leasingu připojeného výrobku poskytne prodejce, pronajímatel nebo poskytovatel leasingu, jimiž může být i výrobce, uživateli informace o datech, které připojený výrobek generuje, a způsobu, jakým k tomu dochází, včetně informací o možnostech pro přístup k těmto datům a o účelu jejich použití. Obdobné požadavky jsou kladeny také na poskytovatele souvisejících služeb.

Držitel dat může snadno dostupná data používat pouze na základě smlouvy s uživatelem, včetně jejich zpřístupnění třetím stranám pro komerční či nekomerční účely.

Obsahují-li data podléhající povinnosti zpřístupnění obchodní tajemství, musí držitel dat taková data identifikovat a dohodnout s uživatelem či třetí stranou přiměřená technická a organizační opatření nezbytná k zachování jejich důvěrnosti. K tomu lze využít např. vzorových smluvních ujednání, dohod o důvěrnosti, přístupových protokolů, technických norem či uplatňování kodexů chování. Nedojde-li k takové dohodě nebo domnívá-li se držitel dat, že navzdory přijatým opatřením v důsledku vyzrazení obchodního tajemství utrpí vážnou hospodářskou újmu, může držitel dat sdílení těchto dat odmítnout nebo případně pozastavit. Takové rozhodnutí je pak třeba oznámit příslušnému orgánu. Držitelé dat a uživatelé mohou rovněž smluvně omezit nebo zakázat přístup k datům, pokud by to mohlo narušit bezpečnostní požadavky daného připojeného výrobku a mít za následek závažný nepříznivý dopad na zdraví, bezpečnost nebo ochranu fyzických osob.

Evropským uživatelům nařízení o datech uděluje právo získat přístup k datům generovaným používáním připojených výrobků a souvisejících služeb a dále pak právo umožnit tento přístup třetím stranám pro komerční a nekomerční účely. Třetími stranami mohou být např. společnosti zabývající se údržbou výrobků nebo dodavatelé poprodejních služeb. V rámci sdílení dat se třetími stranami platí stejné požadavky na ochranu dat a obchodních tajemství jako v případě vztahu mezi držitelem dat a uživatelem. Podniky označené jako strážci přístupu podle nařízení Evropského parlamentu a Rady (EU) 2022/1925 o digitálních trzích přitom nejsou způsobilou třetí stranou. Více informací o sdílení dat se třetími stranami – právnickými osobami naleznete v příštím článku.

---

Jaké povinnosti mají uživatelé?

Uživatel nesmí využívat data poskytnutá držitelem dat k vývoji konkurenčního připojeného výrobku a za tímto účelem je nesmí ani předat třetí straně. Dále pak uživatel nesmí data používat k získávání poznatků o hospodářské situaci, aktivech a výrobních metodách výrobce či držitele dat – totéž omezení platí také pro držitele dat. V neposlední řadě uživatel nesmí použít nátlak nebo zneužít nedostatky v technické infrastruktuře držitele dat za účelem získání přístupu k datům.

---

Jaká data budou muset výrobci připojených výrobků a souvisejících služeb zpřístupnit?

V rámci nařízení o datech a jeho opatření týkajících se přístupu k datům z připojených výrobků a souvisejících služeb rozlišujeme mezi:

• daty z výrobků, tedy daty vytvořenými používáním připojeného výrobku, která výrobce navrhl tak, aby je uživatel, držitel dat nebo třetí strana, případně včetně výrobce, mohli z výrobku získat prostřednictvím služby elektronických komunikací, fyzickým připojením nebo přístupem na zařízení;
• daty ze související služby, tedy daty představujícími digitalizaci činností uživatelů nebo událostí souvisejících s připojeným výrobkem, která jsou zaznamenána úmyslně uživatelem nebo jsou vytvořena jako vedlejší produkt činnosti uživatele během poskytování související služby poskytovatelem;
• snadno dostupnými daty, tedy daty z výrobků a daty ze související služby, která držitel dat oprávněně získá nebo může oprávněně získat z připojeného výrobku nebo související služby bez nepřiměřeného úsilí přesahujícího rámec jednoduché operace.

Do výše uvedených definic spadají data, která připojený výrobek vytvořil v důsledku jeho použití, a to včetně dat vygenerovaných v době nečinnosti uživatele. Data podléhající zpřístupnění mohou mít surovou podobu nebo být předzpracovaná a jejich součástí by měla být také metadata potřebná pro interpretaci zpřístupněných dat. Předzpracovanými daty se rozumí např. data sloučená za účelem jejich srozumitelnosti a využití před dalším zpracováním a analýzou. Data odvozená či vyvozená a podléhající dodatečným investicím povinnosti zpřístupnění nepodléhají, stejně tak jako data, ke kterým držitel dat nemá přístup a ani jej nemůže snadno získat, kdy nařízení o datech neukládá výrobcům nové povinnosti ohledně sběru dat či jejich uchovávání v centrální výpočetní jednotce připojeného výrobku.