Nařízení o datech: efektivnější přístup k datům v rámci EU, jejich sdílení a následné využití

Nařízení 2023/2854 Evropského parlamentu a Rady o harmonizovaných pravidlech pro spravedlivý přístup k datům a jejich využívání (dále jen „Nařízení o datech“), představuje jeden z hlavních pilířů evropské digitální strategie. Nařízení o datech, které vstoupí v účinnost dne 12. září 2025, je součástí širšího rámce Evropské strategie pro data, která klade důraz na posílení digitální ekonomiky a podporu inovací v rámci Evropské unie.

Hlavní cíle

Primárním cílem Nařízení o datech je vytvoření právního rámce pro efektivnější přístup k datům, jejich sdílení a následné využití (zejm. v průmyslovém sektoru). Tento cíl by měl podpořit inovace a konkurenceschopnost na evropském trhu a přispět k hospodářskému růstu. Nařízení zavádí právní rámec, který by měl usnadnit uživatelům přístup k datům vytvářeným při používání připojených zařízení v rámci tzv. Internetu věcí (např. telefonů, PC, chytrých spotřebičů, chytrých hodinek, domovních systémů atp.).

Nařízení rovněž nastavuje pravidla pro sdílení dat mezi podniky navzájem (tzv. B2B), mezi podniky a spotřebiteli (tzv. B2C) i mezi podniky a veřejnou správou (tzv. B2G). V neposlední řadě Nařízení o datech zavádí pravidla na ochranu dat v rámci Evropské unie, při zohlednění specifických potřeb malých a středních podniků. Na data mající charakter osobních údajů se nicméně Nařízení o datech neuplatní v rozsahu, ve kterém je ochrana těchto dat regulována nařízením GDPR. Osobní údaje tak budou i nadále podléhat pravidlům ochrany osobních údajů podle GDPR.

Subjekty zapojené do sdílení dat

Nařízení o datech definuje tři základní kategorie subjektů zapojených do procesu sdílení a využívání dat. Prvním z nich je tzv. uživatel dat, kterým je fyzická nebo právnická osoba, jenž vlastní, pronajímá nebo půjčuje připojený výrobek či související služby (v praxi jím bude zpravidla koncový spotřebitel). Druhým je tzv. držitel dat, kterým se označuje subjekt, jenž má údaje ve své dispozici a je schopen poskytnout k nim přístup (v praxi jím bude zpravidla výrobce). Třetím je tzv. příjemce dat, kterým je fyzická nebo právnická osoba, jenž obdrží data od držitele na základě žádosti uživatele. Tyto tři základní kategorie by měly sloužit k jasnému vymezení rolí, povinností a odpovědností jednotlivých subjektů v rámci datové ekonomiky.

Internet věcí jako klíčový princip (B2C)

Nařízení o datech zvyšuje právní jistotu pro spotřebitele i podniky v oblasti přístupu k datům generovaným připojenými výrobky, která tato zařízení vytvářejí v průběhu svého užívání. Výrobci připojených zařízení budou mít povinnost je navrhovat tak, aby data z výrobků i ze souvisejících služeb byla snadno, bezpečně a bezplatně přístupná uživatelům v běžně používaném a strojově čitelném formátu.

Právo držitelů dat (např. výrobců) na přístup a využívání dat by mělo zůstat zachováno – pouze však za podmínek sjednaných s uživatelem. Se souhlasem uživatele budou držitelé dat povinni zpřístupnit data třetím osobám, jako např. poskytovatelům poprodejních služeb. Pokud budou zpřístupněná data obsahovat citlivé údaje či obchodní tajemství, budou muset být přijata nezbytná opatření k zajištění důvěrnosti těchto dat. Z uvedených povinností by měly být osvobozeny pouze mikropodniky a malé podniky.

Sdílení dat mezi podniky (B2B)

Nařízení o datech má také za úkol zajistit spravedlivé podmínky pro sdílení dat mezi podniky, a to zejména tam, kde může docházet ke zneužívání nerovné vyjednávací pozice držitelů dat. Ti budou mít povinnost zpřístupnit data jinému podniku za spravedlivých a nediskriminačních podmínek - pokud o to uživatel požádá. Praktickým příkladem může být situace, kdy pojišťovny získávají data o provozu vozidel od uživatelů pro lepší nastavení pojistných podmínek.

Nepřiměřená ujednání ve smlouvách mezi podniky – jako například ta, která jednostranně vylučují odpovědnost, brání přístupu k vlastním datům, umožňují jednostranné změny smluvních podmínek nebo znemožňují ukončení smlouvy – budou podle nařízení neplatná. To by mělo zajistit vyšší ochranu menších podniků před zneužitím silnějšího postavení velkými firmami. Evropská komise v této souvislosti plánuje vypracovat vzorová smluvní ujednání týkající se přístupu k datům tak, aby podnikům usnadnila plnění nových povinností.

Podniky v pozici třetích stran, kterým budou data zpřístupněna se souhlasem uživatele, budou moci data používat pouze k účelům, na kterých se s uživatelem dohodnou. Nadto jakmile data přestanou být k danému účelu nezbytná, budou muset být vymazána. Zároveň budou mít tyto třetí strany zakázáno uživatele manipulovat, zneužívat data k vývoji konkurenčních produktů, ohrožovat bezpečnost zařízení nebo data bez souhlasu uživatele dále sdílet.

A co veřejný sektor (B2G)?

Důležitou součástí Nařízení o datech je také mechanismus, který umožňuje institucím veřejného sektoru požadovat přístup k datům v případech výjimečné potřeby. V praxi se bude jednat o krizové situace jako např. přírodní katastrofy nebo pandemie. Žádost o poskytnutí dat bude muset být časově a rozsahově omezená a bude muset jasně specifikovat účel poskytnutí dat. Veřejné subjekty budou mít v takovém případě povinnost chránit důvěrnost dat, používat je pouze k určenému účelu a po jeho pominutí data vymazat, aby se předešlo případnému zneužití dat.

Závěrem

Za porušování povinností stanovených Nařízením o datech budou moci kontrolní orgány ukládat povinným subjektům pokuty a sankce, které by měly být účinné, přiměřené a odrazující. Konkrétní výše těchto sankcí však budou stanoveny na úrovni jednotlivých členských států. Nařízení o datech v každém případě poskytuje jednotlivcům i podnikům větší kontrolu nad daty, která vytvářejí a nastavuje konkrétní pravidla, za jakých budou podniky mít povinnost data sdílet s třetími stranami.

JUDr. Jiří Matzner, Ph.D., LLM., zakladatel advokátní kanceláře Matzner & Vítek