Zpřístupňování dat veřejným subjektům na základě výjimečné potřeby (Nařízení o datech)

 

Nařízení o datech schválené v prosinci 2023 navazuje na zastřešující Evropskou strategii Evropské komise pro data z února 2020 a doplňuje mimo jiné akt o správě dat (DGA). Řeší vztahy v oblasti držení a sdílení dat mezi soukromými subjekty (navzájem), spotřebiteli i státním sektorem.

Tento článek Ministerstva průmyslu a obchodu představuje nové povinnosti zpřístupnit data subjektům veřejného sektoru, Evropské komisi, Evropské centrální bance a subjektům Unie na základě výjimečné potřeby. Upozorňujeme, že jde o odborný text určený zejména pro experty na datové právo, podnikové právníky a konzultanty, avšak nejedná se o vyčerpávající seznam veškerých povinností a pravidel, ani o závazný výklad nařízení, který může provést pouze soud.

---

Koho se nová opatření týkají?

• držitelů dat v EU, kteří jsou právnickými osobami (jinými než subjekty veřejného sektoru);
• subjektů veřejného sektoru, Evropské komise, Evropské centrální banky a subjektů Unie, kteří žádají držitele dat o zpřístupnění dat, pokud jsou uvedená data výjimečně zapotřebí pro vykonání specifického úkolu ve veřejném zájmu.

---

Výjimečná potřeba ke zpřístupnění dat

Pokud subjekt veřejného sektoru, Evropská komise, Evropská centrální banka nebo subjekt Unie (dále také jen „veřejný subjekt“) prokáže výjimečnou potřebu použít určitá data za účelem plnění svých zákonných povinností ve veřejném zájmu, může o tato data požádat držitele dat. Je-li žádost řádně odůvodněná a mají-li držitelé dat předmětná data k dispozici, musejí je zpřístupnit.

Výjimečná potřeba použít data nastává pouze v následujících dvou situacích omezených z hlediska času a rozsahu:

1. jsou-li předmětná data nezbytná pro reakci na krizovou situaci a veřejný subjekt je není schopen včas a efektivně získat jiným způsobem; nebo
2. je-li nedostupnost předmětných dat neosobní povahy překážkou pro plnění konkrétního úkolu ve veřejném zájmu, který je výslovně stanoven zákonem, a zároveň veřejný subjekt vyčerpal všechny ostatní prostředky, které má k dispozici, k získání těchto neosobních dat (může jít např. o případy zmírňování krizové situace nebo zotavení z ní nebo situace související s vypracováním oficiálních statistik).

V prvním případě může veřejný subjekt o data požádat jakoukoli právnickou osobu, a to, kromě výjimky pro mikro a malé podniky, jak jsou definovány podle čl. 2 přílohy doporučení Evropské komise 2003/361/ES, bezúplatně s možností veřejného uznání. Krizovou situací je myšlena výjimečná časově omezená situace s negativním dopadem na obyvatele, rizikem závažných a trvalých důsledků pro životní podmínky nebo hospodářskou či finanční stabilitu nebo podstatné a bezprostřední zhoršení hospodářských aktiv, která je určena nebo úředně vyhlášena podle práva členských států či EU. Může se jednat o ohrožení veřejného zdraví, mimořádné situace v důsledku přírodních katastrof či katastrof způsobených člověkem, jako jsou významné kybernetické bezpečnostní incidenty.

Ve druhém případě jsou ze žádostí veřejného subjektu vyňaty mikro a malé podniky a žádost je spojena s nárokem na spravedlivou kompenzaci. Výjimku v nároku na kompenzaci tvoří případ, kdy je konkrétním úkolem prováděném ve veřejném zájmu vypracování oficiálních statistik a vnitrostátní právní předpisy nákup dat neumožňují.

Spravedlivou kompenzací jsou myšleny technické a organizační náklady vynaložené na vyhovění žádosti, případně včetně nákladů na anonymizaci, pseudonymizaci, agregaci a technickou úpravu dat, navýšené o přiměřenou marži. S jejím stanovením mohou pomoci pokyny, které vypracuje Evropská komise do září 2025.

Pravomocí k vyžádání dat na základě výjimečné potřeby nemohou využívat veřejné subjekty v souvislosti s prevencí, vyšetřováním, odhalováním či stíháním trestných činů nebo správních deliktů nebo výkonem trestních sankcí, ani pro účely celní či daňové správy.

---

Jak bude vypadat aplikace v praxi?

Jsou-li splněny výše uvedené požadavky zakládající vznik výjimečné potřeby, může veřejný subjekt písemně požádat držitele dat o zpřístupnění dat. V rámci žádosti veřejný subjekt specifikuje výběr držitele dat, jaká data potřebuje zpřístupnit, proč a jak je zamýšlí použít, včetně informací o přijatých bezpečnostních opatřeních na ochranu osobních údajů, o případném úmyslu data sdílet s třetími stranami a předpokládaném termínu vymazání zpřístupněných dat, dále prokáže splnění podmínek pro zpřístupnění dat a stanoví pro to lhůtu.

---

Povinnosti držitelů dat

Po obdržení žádosti o zpřístupnění dat na základě krizové situace může držitel dat do 5 pracovních dní, a v ostatních případech do 30 pracovních dní, žádost odmítnout či požádat o její změnu, a to v případě, kdy nemá nad požadovanými daty kontrolu, data již dříve zpřístupnil jinému subjektu a data dosud nebyla vymazána nebo pokud držitel dat usoudí, že žádost nesplňuje podmínky stanovené nařízením o datech.

Nenastane-li žádná z výše uvedených situací, má držitel dat povinnost žádosti vyhovět bez zbytečného odkladu, přičemž zohlední nezbytná technická, organizační a právní opatření, včetně požadavků na anonymizaci či pseudonymizaci osobních dat.

Případné spory týkající se žádostí a kompenzací bude kromě soudů členských států možno předložit také příslušnému orgánu zodpovědnému za uplatňování a vymáhání nařízení o datech členského státu, v němž je držitel dat usazen.

---

Povinnosti subjektů veřejného sektoru, Evropské komise, Evropské centrální banky a subjektů Unie

Veřejné subjekty zodpovídají za bezpečnost zpřístupněných dat a přijmou nezbytná technická a organizační opatření k zachování jejich důvěrnosti a integrity, zejména pokud jde o osobní údaje či obchodní tajemství. Veřejné subjekty zpřístupněná data nepoužijí způsobem neslučitelným s účelem, pro který byla vyžádána a data vymažou, jakmile již nejsou nezbytná pro uvedený účel, o čemž bez zbytečného odkladu informují držitele dat, ledaže je archivace dat vyžadována v souladu s právními předpisy EU nebo členských států. Zpřístupněná data ani jiné související informace o hospodářské situaci, aktivech a výrobních nebo provozních metodách držitele dat nemohou být použita k vývoji nebo zlepšení připojeného výrobku nebo související služby, které konkurují připojenému výrobku nebo související službě držitele dat.