Počela je primena EU harmonizovanih pravila za funkcionisanje unutrašnjeg tržišta podataka (Data Act) - (Akt o podacima)
12. septembra 2025. godine je počela primena Uredbe (EU) 2023/2854 o usklađenim pravilima za pravedan pristup podacima i njihovo korišćenje (Data Act), odnosno Akt o podacima. Ova Uredba, koja je stupila na snagu još 11. januara 2024. godine, ima za cilj da maksimizira vrednost podataka u ekonomiji obezbeđujući da širi krug zainteresovanih strana dobije kontrolu nad svojim podacima, kao i da je više podataka dostupno za inovativnu upotrebu, uz očuvanje podsticaja za ulaganje u generisanje podataka.
Da bi se odgovorilo potrebama digitalne ekonomije i da bi se uklonile barijere za dobro funkcionisanje unutrašnjeg tržišta podataka, Data Act utvrđuje usklađena pravila koja preciziraju ko ima pravo da koristi podatke o povezanim proizvodima ili povezanim uslugama, pod kojim uslovima i po kom osnovu. Konkretno, Data Act utvrđuje usklađena pravila, kojima se reguliše, između ostalog:
(a) stavljanje na raspolaganje podataka povezanih proizvoda i povezanih usluga korisniku povezanog proizvoda ili povezane usluge;
(b) stavljanje na raspolaganje podataka od strane nosilaca podataka primaocima podataka;
(c) stavljanje na raspolaganje podataka od strane nosilaca podataka organima javnog sektora, Komisiji, Evropskoj centralnoj banci i organima Unije na njihov zahtev kada postoji izuzetna potreba za tim radi obavljanja određenog zadatka u javnom interesu;
(d) olakšavanje prelaska od jedne na drugu uslugu obrade podataka;
(e) uvođenje zaštitnih mehanizama protiv nezakonitog pristupa trećih strana neličnim podacima.
Definisanje pojmova: ’podaci’, ’povezani proizvod’ i ’povezane usluge’ u smislu ove Uredbe
Prema definiciji iz člana 2(1) Uredbe, ’podaci’ označavaju svako digitalno predstavljanje radnji, činjenica ili informacija i svaku kompilaciju takvih radnji, činjenica ili informacija, uključujući predstavljanje u obliku zvučnog, vizuelnog ili audio-vizuelnog zapisa. Kao što je objašnjeno u Uvodnoj izjavi (15), podaci predstavljaju digitalizaciju radnji i događaja korisnika i shodno tome treba da budu dostupni korisniku.
’Povezani proizvod’ označava predmet koji dobija, generiše ili prikuplja podatke u vezi sa njegovom upotrebom ili okruženjem i koji je u stanju da prenese podatke o proizvodu putem elektronske komunikacione usluge, fizičke veze ili on-device pristupa, a čija primarna funkcija nije skladištenje, obrada ili prenos podataka u ime bilo koje strane osim korisnika (član 2(5)). Kao što je objašnjeno u Uvodnoj izjavi, povezani proizvodi koji mogu da obavljaju sve navedene funkcije, pomoću svojih komponenti ili operativnih sistema, često se nazivaju Internet of Things. Oni su zastupljeni u svim aspektima privrede i društva, uključujući privatnu, civilnu ili komercijalnu infrastrukturu, vozila, opremu za zdravstvenu zaštitu i životni stil, brodove, avione, kućnu opremu i robu široke potrošnje, medicinske i zdravstvene uređaje ili poljoprivredne i industrijske mašine. Koje podatke povezani proizvod može da generiše, prikupi i učini dostupnim korisniku, određivaće se ne samo izborom dizajna od strane proizvođača, već i zakonodavstvom Unije ili nacionalnim zakonodavstvom koje se bavi potrebama i ciljevima specifičnim za sektor ili relevantnim odlukama nadležnih organa (Uvodna izjava 14).
’Povezana usluga’ označava digitalnu uslugu, osim elektronske komunikacione usluge, uključujući softver, koja je povezana sa proizvodom u trenutku kupovine, iznajmljivanja ili lizinga na takav način da bi njeno odsustvo sprečilo povezani proizvod da obavlja jednu ili više svojih funkcija, ili koju je naknadno proizvođač ili treća strana povezala sa proizvodom radi dodavanja, ažuriranja ili prilagođavanja funkcija povezanog proizvoda (član 2(6)). Takve povezane usluge (aplikacije, softver) podrazumevaju razmenu podataka između povezanog proizvoda i provajdera usluge i trebalo bi da budu eksplicitno povezane sa funkcijama povezanog proizvoda, kao što su usluge koje prenose komande povezanom proizvodu ili imaju neki drugi uticaj na njegove aktivnosti ili ponašanje.
Podaci proizvoda se odnose na podatke generisane korišćenjem povezanog proizvoda, koji je proizvođač dizajnirao tako da se podaci mogu preuzetimati putem elektronske komunikacione usluge, fizičke veze ili on-device pristupa od strane korisnika, nosioca podataka ili treće strane. Podaci povezane usluge podrazumevaju podatke koji predstavljaju digitalizaciju radnji korisnika ili događaja vezanih za povezani proizvod, koje je korisnik namerno zabeležio ili su generisani kao nusproizvod radnje korisnika tokom pružanja povezane usluge od strane provajdera. Na osnovu različitih pristupa, podatke generisane korišćenjem povezanog proizvoda ili povezane usluge trebalo bi shvatiti tako da obuhvataju:
- podatke koje je korisnik namerno zabeležio i podatke koji indirektno proizilaze iz radnje korisnika (kao što su podaci o okruženju ili interakcijama povezanog proizvoda) koje su automatski generisani senzorima i zabeleženi ugrađenim aplikacijama,
- podatke generisane korisničkim interfejsom ili putem povezane usluge,
- podatke koji nisu značajno izmenjeni, što znači podatke u sirovom obliku, poznate i kao izvorni ili primarni podaci koji se odnose na tačke podataka koje se automatski generišu bez ikakvog daljeg oblika obrade, kao i podatke koji su prethodno obrađeni kako bi bili razumljivi i upotrebljivi pre naknadne obrade (Uvodna izjava 15),
- nelične i lične podatke.
Nasuprot tome, ova Uredba ne obuhvata:
- informacije zaključene ili izvedene iz takvih podataka, posebno informacije dobijene putem fuzije senzora, koje zaključuju ili izvode podatke iz više senzora, prikupljene u povezanom proizvodu, koristeći vlasničke, složene algoritme i koje bi mogle biti predmet prava intelektualne svojine (Uvodna izjava 15),
- podatke iz nepovezanog softvera i sadržaja (tekstualnog, audio ili audiovizuelnog) koji povezani proizvodi generišu kada ih korisnik snima, prenosi, prikazuje ili reprodukuje, često pokrivene pravima intelektualne svojine, između ostalog za korišćenje putem onlajn usluge (Uvodna izjava 16),
- podatke koji su dobijeni, generisani ili kojima je pristupljeno iz povezanog proizvoda, ili koji su mu preneti, u svrhu skladištenja ili drugih operacija obrade u ime drugih strana, koje nisu korisnici, kao što može biti slučaj u vezi sa serverima ili klaud infrastrukturom kojom upravljaju njihovi vlasnici u potpunosti u ime trećih strana, između ostalog za korišćenje putem onlajn usluge.
Na koga se primenjuje Data act?
Ova Uredba se primenjuje na:
(a) proizvođače povezanih proizvoda koji se plasiraju na tržište u Uniji i provajdere povezanih usluga, bez obzira na mesto sedišta tih proizvođača i provajdera;
(b) korisnike povezanih proizvoda ili povezanih usluga u Uniji;
(c) nosioce podataka, bez obzira na mesto njihovog sedišta, koji podatke stavljaju na raspolaganje primaocima podataka u Uniji;
(d) primaoce podataka u Uniji kojima su podaci stavljeni na rspolaganje;
(e) organe javnog sektora, Komisiju, Evropsku centralnu banku i organe Unije koji zahtevaju od nosilaca podataka da stave podatke na raspolaganje kada postoji izuzetna potreba za tim podacima za obavljanje određenog zadatka koji se obavlja u javnom interesu i na nosioce podataka koji čine dostupnim te podatke kao odgovor na takav zahtev;
(f) provajdere usluga obrade podataka, bez obzira na mesto njihovog sedišta, koji pružaju takve usluge klijentima u Uniji (Cloud i edge provideri);
(g) učesnike u data prostorima i prodavce aplikacija koje koriste pametne ugovore i lica čija trgovina, posao ili profesija uključuje primenu pametnih ugovora za druge u kontekstu izvršavanja ugovora.
BUSINESS TO CONSUMER I BUSINESS TO BUSINESS DELJENJE PODATAKA
Obaveza da se podaci proizvoda i podaci povezanih usluga učine dostupnim korisniku
Ova uredba obezbedjuje da korisnici povezanog proizvoda ili povezane usluge u Uniji mogu da pristupe podacima generisanim korošćenjem tog povezanog proizvoda ili povezane usluge, kao da koriste te podatke. Prema definiciji iz člana 2(12) „korisnik“ označava fizičko ili pravno lice koje je vlasnik povezanog proizvoda ili kome su ugovorom preneta privremena prava korišćenja tog povezanog proizvoda, ili koje prima povezane usluge
Stoga je Data Act-om propisana obaveza proizvođača i pružalaca usluga da podatke povezanih proizvoda i povezanih usluga učine dostupnim njihovim korisnicima. To znači da povezani proizvodi moraju biti dizajnirani i proizvedeni, a povezane usluge moraju biti dizajnirane i pružene na način da su podaci proizvoda i podaci povezanih usluga (uključujući relevantne metapodatke neophodne za tumačenje i korišćenje tih podataka), po pravilu, lako, bezbedno, besplatno, u sveobuhvatnom, strukturiranom, uobičajeno korišćenom i mašinski čitljivom formatu i, gde je relevantno i tehnički izvodljivo, direktno dostupni korisniku (član 3).
Sa tehničkog aspekta, povezani proizvodi mogu biti dizajnirani tako da određeni podaci budu direktno dostupni iz skladišta podataka na uređaju ili sa udaljenog servera na koji se podaci prenose. Pristup skladištu podataka na uređaju može biti omogućen putem kablovskih ili bežičnih lokalnih mreža povezanih sa javno dostupnom elektronskom komunikacionom uslugom ili mobilnom mrežom. Server može biti lokalni serverski kapacitet samog proizvođača ili kapacitet treće strane ili provajdera cloud usluga (Uvodna izjava 22).
Obaveza proizvođača i provajdera usluga primenjivaće se na povezane proizvode i usluge povezane sa njima koji su plasirani na tržište nakon 12. septembra 2026. godine.
Štaviše, Data Act propisuje predugovorne obaveze za prodavca i zakupodavca (koji može biti proizvođač) povezanih proizvoda. Pre zaključivanja ugovora o kupovini ili zakupu povezanog proizvoda, oni su dužni da korisnicima pruže informacije o podacima koje njihov povezani proizvod može da generiše, a pored toga, informacije o njegovoj sposobnosti da generišu podatke kontinuirano i u realnom vremenu, skladištenja podataka na uređaju ili na udaljenom serveru, kao i o tome kako korisnik može da pristupi, preuzme ili, gde je to relevantno, obriše podatke, uključujući tehnička sredstva za to (član 3(2)).
Provajderi povezanih usluga podležu opsežnijim predugovornim obavezama u vezi sa pružanjem informacija, s obzirom na to da su oni takođe i potencijalni nosioci podataka. Te informacije se odnose, između ostalog, na prirodu, procenjenu količinu i učestalost prikupljanja podataka proizvoda koje potencijalni nosilac podataka očekuje i, kada je to relevantno, aranžmane za korisnika za pristup ili preuzimanje takvih podataka, uključujući aranžmane potencijalnog nosioca podataka o skladištenju podataka i trajanju čuvanja (član 3(3)).
Prava i obaveze korisnika i nosilaca podataka u vezi sa pristupom, korišćenjem i
stavljanjem na raspolaganje podataka proizvoda i podataka povezanih usluga
Ovo poglavlje Data Act-a se primenjuje na sve sirove i prethodno obrađene podatke generisane korišćenjem povezanog proizvoda ili povezane usluge koji su redovno dostupni nosiocu podataka.
Nosiocem podataka se smatra fizičko ili pravno lice koje ima pravo ili obavezu, u skladu sa ovom Uredbom, važećim pravom Unije ili nacionalnim zakonodavstvom, da koristi i stavlja na raspolaganje, uključujući kada je to ugovoreno, podatke proizvoda ili podatke povezanih usluga koje je preuzeo ili generisao tokom pružanja povezane usluge (član 2(13)). Nosilac podataka je obično kompanija koja proizvodi povezani proizvod ili pruža povezanu uslugu. Nosilac podataka mora da zaključi ugovor sa korisnikom, kojim se definišu prava u vezi sa pristupom, korišćenjem i deljenjem podataka koje generiše povezani proizvod ili povezana usluga. Takvi ugovorni uslovi mogu biti deo ugovora o pružanju povezane usluge, kao i ugovora o kupovini ili zakupu povezanog proizvoda. Ovu Uredbu ne treba tumačiti kao davanje bilo kakvog novog prava nosiocima podataka da koriste podatke proizvoda ili podatke povezanih usluga. On može da koristi samo redovno dostupne nelične podatke na osnovu ugovora sa korisnikom.
„Redovno dostupni podaci“ označavaju podatke proizvoda i podatke povezanih usluga koje nosilac podataka zakonito dobija ili može zakonito dobiti od povezanog proizvoda ili povezane usluge, bez nesrazmernog napora koji prevazilazi jednostavnu operaciju (član 2(17)). Redovno dostupni podaci ne uključuju podatke generisane upotrebom povezanog proizvoda tamo gde dizajn povezanog proizvoda ne predviđa da se takvi podaci čuvaju ili prenose van komponente u kojoj su generisani ili povezanog proizvoda u celini. Ovu Uredbu stoga ne treba tumačiti kao obavezu čuvanja podataka na centralnoj računarskoj jedinici povezanog proizvoda (Uvodna izjava 20).
Kao što je već rečeno, korisnik bi po pravilu trebalo da bude u mogućnosti da direktno pristupi podacima. Međutim, kada korisnik povezanog proizvoda ili povezane usluge ne može direktno da pristupi podacima povezanog proizvoda ili povezane usluge, nosioci podataka imaju obavezu da podatke koji su im redovno dostupni (kao i relevantne metapodatke neophodne za tumačenje i korišćenje tih podataka) učine dostupnim korisniku bez nepotrebnog odlaganja, istog kvaliteta u kakvom su na raspolaganju nosiocu podataka, lako, bezbedno, besplatno, u sveobuhvatnom, strukturiranom, uobičajeno korišćenom i mašinski čitljivom formatu i, gde je relevantno i tehnički izvodljivo, neprekidno i u realnom vremenu. Ovo će se uraditi na osnovu jednostavnog zahteva putem elektronskih sredstava gde je to tehnički izvodljivo (član 4).
Korisnik ne sme da koristi podatke, dobijene na osnovu zahteva upućenog nosiocu podataka, za razvoj povezanog proizvoda koji konkuriše povezanom proizvodu od kog podaci potiču, niti da deli podatke sa trećom stranom u tom cilju i ne sme da koristi takve podatke za sticanje uvida o ekonomskoj situaciji, imovini i metodama proizvodnje proizvođača ili, gde je to primenljivo, nosioca podataka.
Pravo korisnika da deli podatke sa trećim licima
Korisnik treba da bude slobodan da koristi podatke u bilo koju zakonitu svrhu. Da bi se podstakla pojava efikasnih tržišta neličnih podataka, Uredba predviđa pravo korisnika povezanih proizvoda da dele podatke sa drugima, uključujući u komercijalne svrhe, uz minimalne pravne i tehničke napore. Takvo deljenje podataka može da izvrši korisnik direktno, nosilac podataka na zahtev korisnika ili korisnik putem usluga posredovanja podacima[1].
Na zahtev korisnika, ili strane koja postupa u ime korisnika, nosilac podataka je obavezan da redovno dostupne podatke (kao i relevantne metapodatke neophodne za tumačenje i korišćenje tih podataka) stavi na raspolaganje trećoj strani bez nepotrebnog odlaganja, istog kvaliteta u kome su dostupni nosiocu podataka, lako, bezbedno, besplatno za korisnika, u sveobuhvatnom, strukturiranom, uobičajeno korišćenom i mašinski čitljivom formatu i, gde je relevantno i tehnički izvodljivo, neprekidno i u realnom vremenu (član 5).
Nosioci podataka nisu ovlašćeni da stavljaju na raspolaganje nelične podatke proizvoda trećim licima u komercijalne ili nekomercijalne svrhe, osim ako to ne zahteva korisnik u svrhu ispunjenja ugovora ili u slučaju zahteva u skladu sa pravom Unije ili nacionalnim pravom (član 8(4)).
Kada su podaci isključeni iz obaveze nosioca podataka da ih učini dostupnim korisnicima ili trećim licima, obim takvih podataka treba da bude naveden u ugovoru između korisnika i nosioca podataka o pružanju povezane usluge kako bi korisnici mogli lako da utvrde koji su im podaci dostupni za deljenje sa primaocima podataka ili trećim licima.
Ukoliko je, u business-to-business odnosima, nosilac podataka obavezan da podatke stavi na raspolaganje primaocu podataka (kao i prema važećem pravu Unije ili nacionalnom zakonodavstvu), mora se sa primaocem podataka dogovoriti o aranžmanu za stavljanje podataka na raspolaganje i to učiniti pod pravičnim, razumnim i nediskriminatornim uslovima i na transparentan način. Gde je to relevantno, nosioci podataka treba ugovorno da obavežu treća lica da dalje ne dele podatke primljene od njih.
Obaveze trećih lica koja primaju podatke na zahtev korisnika
Pojmovi ’treća strana’ ili ’primalac podataka’označavaju fizičko ili pravno lice koje postupa za svrhe povezane sa trgovinom, poslovanjem, zanatom ili profesijom tog lica (osim korisnika povezanog proizvoda ili srodne usluge) kome nosilac podataka stavlja podatke na raspolaganje, uključujući treću stranu na zahtev korisnika upućenog nosiocu podataka ili u skladu sa zakonskom obavezom prema pravu Unije ili nacionalnom zakonodavstvu. To su poslovni subjekti kojima je potreban pristup podacima povezanih proizvoda u EU za sopstvene usluge, kao što su servisi za popravke, osiguravajuća društva, logistički dobavljači ili kompanije koje razvijaju i koriste AI.
Treća strana je obavezna da obrađuje podatke, koji su joj stavljeni na raspolaganje na zahtev korisnika, samo u svrhe i pod uslovima dogovorenim sa korisnikom i u skladu sa pravom Unije i nacionalnim pravom o zaštiti ličnih podataka, uključujući prava lica na koje se podaci odnose. Treća strana je dužna da izbriše podatke kada više nisu potrebni za ugovorenu svrhu, osim ako sa korisnikom nije drugačije dogovoreno u pogledu neličnih podataka (član 6). U dogovoru sa korisnikom i u skladu sa odredbama ove Uredbe, treće strane bi trebalo da budu u mogućnosti da prenesu prava pristupa podacima koja im je korisnik dodelio drugim trećim stranama, uključujući i uz naknadu (Uvodna izjava 33).
Zaštita ličnih podataka i poslovne tajne
Data Act se primenjuje na lične i nelične podatke. Svaka obrada ličnih podataka u skladu sa ovom Uredbom mora biti u skladu i sa pravom Unije o zaštiti podataka. Kada Data Act nameće obavezu nosiocima podataka da lične podatke stave na raspolaganje korisnicima ili trećim licima po izboru korisnika i na zahtev tog korisnika (članovi 4 i 5), nosilac podataka može da omogući takav pristup samo na osnovu nekog od pravnih osnova navedenih u članu 6 Uredbe (EU) 2016/679 (GDPR)[2]. Ukoliko korisnik nije lice na koje se lični podaci odnose, nosilac podataka može staviti na raspolaganje lične podatke generisan korišćenjem povezanog proizvoda ili povezane usluge samo kada postoji valjani pravni osnov za obradu u skladu sa članom 6 GDPR i, gde je to relevantno, kada su ispunjeni uslovi iz člana 9 ove Uredbe i člana 5(3) Direktive 2002/58/EZ. U tom slučaju, moglo bi biti u interesu korisnika da olakša ispunjavanje zahteva iz člana 6 GDPR. Takodje, nosilac podataka bi mogao da ispuni zahtev, između ostalog, anonimizovanjem ličnih podataka ili, kada dostupni podaci sadrže lične podatke koji se odnose na više lica, prenošenjem samo ličnih podataka koji se odnose na korisnika.
Iako ova Uredba zahteva od nosilaca podataka da otkriju određene podatke korisnicima ili trećim licima po izboru korisnika (članovi 4 i 5), čak i kada takvi podaci ispunjavaju uslove za zaštitu poslovne tajne, trebalo bi je tumačiti na način kojim se čuva zaštita koja se pruža poslovnim tajnama prema Direktivi (EU) 2016/943. U tom cilju, nosioci podataka treba da identifikuju poslovne tajne pre otkrivanja i da se dogovore sa korisnicima ili trećim licima po izboru korisnika o srazmernim tehničkim i organizacionim merama neophodnim za očuvanje poverljivosti, kao što su model ugovornih uslova, sporazumi o poverljivosti, strogi protokoli pristupa, tehnički standardi i primena kodeksa ponašanja (članovi 4(6) i 5(9)). Kada ne postoji sporazum o neophodnim merama ili kada korisnik ili treća lica po izboru korisnika ne sprovedu dogovorene mere ili ugroze poverljivost poslovnih tajni, nosilac podataka može da uskrati ili obustavi deljenje podataka identifikovanih kao poslovne tajne.
OBAVEZA NOSILACA PODATAKA DA STAVE PODATKE NA RASPOLAGANJE U SKLADU SA PRAVOM UNIJE
Uredba takođe predviđa horizontalna pravila o aranžmanima za pristup podacima kad god je nosilac podataka obavezan prema pravu Unije ili nacionalnom zakonodavstvu da stavi podatke na raspolaganje primaocu podataka. Koje podatke povezani proizvod može da stavi na raspolaganje biće određeno ne samo izborom dizajna od strane proizvođača, već i, gde je to relevantno, pravom Unije ili nacionalnim zakonodavstvom koje se bavi potrebama i ciljevima specifičnim za sektor ili relevantnim odlukama nadležnih organa. Kada je, u business-to-business odnosima, nosilac podataka obavezan da stavi podatke na raspolaganje primaocu podataka prema važećem pravu Unije ili nacionalnom zakonodavstvu, on mora sa primaocem podataka da dogovori aranžman za stavljanje podataka na raspolaganje, a takav pristup treba da se zasniva na pravednim, razumnim, nediskriminatornim i transparentnim uslovima (član 8). Dobrovoljno deljenje podataka ostaje van uticaja ovih pravila.
Da bi se osiguralo da uslovi za obavezan pristup podacima budu pravični za obe strane ugovora, opšte pravilo o pravu pristupa podacima upućuje na pravila o izbegavanju nepravičnih ugovornih odredbi (član 8(2)). Svaki sporazum zaključen u business-to-business odnosima o stavljanju podataka na raspolaganje treba da bude nediskriminatoran između uporedivih kategorija primalaca podataka. Da bi pomogla stranama da se pridržavaju odredbi Data Act-a i uspostave pravične, bezbedne i transparentne sporazume za deljenje podataka i cloud usluge, Ekspertska grupa Evropske komisije objavila je set model ugovornih odredbi (MCTs) i standardnih ugovornih klauzula (SCCs).[3]
Da bi se podstakla kontinuirana ulaganja u generisanje i stavljanje na raspolaganje vrednih podataka, uključujući ulaganja u relevantne tehničke mere, a istovremeno izbegla prekomerna opterećenja pristupa i korišćenja podataka koja čine deljenje podataka komercijalno neisplativim, ova Uredba sadrži princip da u business-to-business odnosima nosioci podataka mogu zahtevati razumnu nadoknadu kada su obavezni prema pravu Unije ili nacionalnom zakonodavstvu da stave podatke na raspolaganje primaocu podataka. Takvu nadoknadu ne treba tumačiti kao plaćanje za same podatke. Prilikom dogovaranja o bilo kakvoj nadoknadi, nosilac podataka i primalac podataka će posebno uzeti u obzir: troškove nastale stavljanjem podataka na raspolaganje (posebno troškove neophodne za formatiranje podataka, distribuciju putem elektronskih sredstava i skladištenje), kao i ulaganja u prikupljanje i proizvodnju podataka. Evropska komisija je ovlašćena da usvoji smernice o izračunavanju razumne nadoknade u ekonomiji podataka (član 9).
Ukoliko korisnici, nosioci podataka i primaoci podataka ne postignu saglasnost o uslovima ugovora o deljenju podataka, imaju pristup telu za rešavanje sporova (član 10), čija će odluka biti obavezujuća za strane samo ako su one izričito pristale na njenu obavezujuću prirodu pre početka postupka. Bez obzira na ovu mogućnost, pravo na deljenje podataka sa trećim licima je ostvarivo pred nacionalnim sudovima ili tribunalima.
Nosilac podataka može primeniti odgovarajuće tehničke mere zaštite, uključujući pametne ugovore i šifrovanje, kako bi sprečio neovlašćeni pristup podacima, uključujući metapodatke, i kako bi osigurao usklađenost sa ovom Uredbom, kao i sa dogovorenim ugovornim uslovima za stavljanje podataka na raspolaganje (član 11).
NEPRAVIČNE UGOVORNE ODREDBE U VEZI PRISTUPA I KORIŠĆENJA PODATAKA IZMEĐU PREDUZEĆA
Data Act zabranjuje ugovorne odredbe koja se odnose na pristup i korišćenje podataka ili odgovornost i pravna sredstva za kršenje ili prestanak obaveza u vezi sa podacima, koje je jednostrano nametnulo jedno preduzeće drugom preduzeću, ako su nepravične. Ugovorna odredba se smatra nepravednom ako je takve prirode da njena primena značajno odstupa od dobre trgovinske prakse u pristupu podacima i njihovom korišćenju, suprotno dobroj veri i poštenom postupanju. Radi obezbeđivanja pravne sigurnosti, ova Uredba utvrđuje listu klauzula koje se uvek smatraju nepravičnim i listu klauzula za koje se pretpostavlja da su nepravične. U ovom drugom slučaju, preduzeće koje nameće ugovornu odredbu trebalo može da opovrgne pretpostavku nepravednosti tako što će dokazati da ugovorna odredba navedena u ovoj Uredbi nije nepravična u konkretnom slučaju o kome je reč (član 13). Konačno, neobvezujući model ugovornih odredbi (MCt) i standardne ugovorne klauzule (SCC) takođe mogu biti korisne komercijalnim stranama prilikom pregovaranja o zaključenju ugovora.
ČINJENJE PODATAKA DOSTUPNIM ORGANIMA JAVNOG SEKTORA, EVROPSKOJ KOMISIJI,
EVROPSKOJ CENTRALNOJ BANCI I ORGANIMA UNIJE NA OSNOVU IZUZETNE POTREBE
Kada organ javnog sektora, Komisija, Evropska centralna banka ili organ Unije pokaže izuzetnu potrebu da koristi određene podatke (javne vanredne situacije, kao što su vanredne situacije u javnom zdravstvu, vanredne situacije nastale usled prirodnih katastrofa, kao i velike katastrofe izazvane ljudskim delovanjem, kao što su veliki incidenti u vezi sa sajber bezbednošću), uključujući relevantne metapodatke neophodne za tumačenje i korišćenje tih podataka, radi obavljanja svojih zakonskih dužnosti u javnom interesu, nosioci podataka koji su pravna lica, osim organa javnog sektora, koji poseduju te podatke, dužni su da ih stave na raspolaganje na obrazložen zahtev (članovi 14 do 22).
PPRELAZAK (SWITCHING) SA JEDNE NA DRUGU USLUGU OBRADE PODATAKA
Mogućnost korisnika usluga obrade podataka, uključujući cloud i edge usluge, da pređu sa jedne na drugu uslugu obrade podataka uz održavanje minimalne funkcionalnosti usluge i bez zastoja, ili da koriste usluge više provajdera istovremeno bez prekomernih prepreka i troškova prenosa podataka, ključni je uslov za konkurentnije tržište sa nižim barijerama za ulazak novih provajdera usluga obrade podataka i za obezbeđivanje dalje otpornosti za korisnike tih usluga. Korisnici koji koriste prednosti besplatnih ponuda takođe bi trebalo da imaju koristi od odredbi o prelasku koje su utvrđene ovom uredbom, tako da te ponude ne dovode do lick-in situacije za korisnika (Uvodna izjava 78).
Prema članu 2(7),’processing’, odnosno ’obrada’ označava svaku operaciju ili skup operacija koje se vrše na podacima ili na skupovima podataka, bilo automatizovanim sredstvima ili ne, kao što su prikupljanje, snimanje, organizovanje, strukturiranje, skladištenje, prilagođavanje ili izmena, pretraživanje, konsultacije, korišćenje, otkrivanje prenosom, distribucijom ili drugim načinima njihovog stavljanja na raspolaganje, usklađivanje ili kombinovanje, ograničavanje, brisanje ili uništavanje. Generički koncept ’usluge obrade podataka’ obuhvata značajan broj usluga sa veoma širokim spektrom različitih namena, funkcionalnosti i tehničkih podešavanja. Prema članu 2(8), ’usluga obrade podataka’ označava digitalnu uslugu koja se pruža korisniku i koja omogućava sveprisutan i mrežni pristup na zahtev zajedničkom skupu konfigurabilnih, skalabilnih i elastičnih computing resursa centralizovane, distribuirane ili visoko distribuirane prirode koji se mogu brzo obezbediti i pustiti u rad uz minimalan napor upravljanja ili interakciju provajdera usluga. Kako se uobičajeno shvata od strane provajdera i korisnika, i u skladu sa široko korišćenim standardima, usluge obrade podataka spadaju u jedan ili više od sledeća tri modela pružanja usluga obrade podataka, naime Infrastruktura kao usluga (IaaS), Platforma kao usluga (PaaS) i Softver kao usluga (SaaS). Ovi modeli pružanja usluga predstavljaju specifičnu, unapred pripremljenu kombinaciju ICT resursa koje nudi provajder usluga obrade podataka. Ova tri osnovna modela pružanja usluga obrade podataka dodatno su dopunjena novim varijacijama, od kojih svaka sadrži posebnu kombinaciju ICT resursa, kao što su Skladište kao usluga i Baza podataka kao usluga.
Provajderi usluga obrade podataka su obavezni da preduzmu mere kako bi korisnicima omogućili prelazak na uslugu obrade podataka koja pokriva istu vrstu usluge, a koju pruža drugi provajder usluga obrade podataka, ili na lokalnu (on-premises) ICT infrastrukturu, ili, kada je to relevantno, da koriste usluge više provajdera usluga obrade podataka istovremeno. Konkretno, provajderi usluga obrade podataka ne smeju da nameću i moraju da uklanjaju pretkomercijalne, komercijalne, tehničke, ugovorne i organizacione prepreke koje sprečavaju korisnike da raskinu i zaključe nove ugovore sa drugim povajderom, kao i da prenesu podatke i digitalnu imovinu kod drugog provajdera usluga obrade podataka ili na on-premises ICT infrastrukturu (član 23).
Data Act takođe propisuje konkretne obaveze source provajdera usluga obrade podataka u vezi sa ugovornim uslovima prelaska, pružanja informacija klijentu, saradnje u dobroj veri i ugovorne transparentnosti (članovi 25 do 28). Takođe, detaljno su regulisane obaveze provajdera usluga obrade podataka u vezi sa tehničkim aspektima prelaska (član 30).
Od 12. januara 2027. godine, pružaoci usluga obrade podataka neće naplaćivati klijentu troškove prelaska za proces prelaska.
NEZAKONIT MEĐUNARODNI PRISTUP ILI PRISTUP VLADA TREĆIH ZEMALJA I PRENOS NELIČNIH PODATAKA
Provajderi usluga obrade podataka su dužni da preduzimaju sve adekvatne tehničke, organizacione i pravne mere, uključujući ugovore, kako bi sprečili internacionalni ili pristup vlada trećih zemalja i prenos neličnih podataka koji se čuvaju u Uniji, ako bi takav pristup ili prenos bio u suprotnosti sa sa pravom Unije ili sa nacionalnim pravom relevantne države članice (član 32).
INTEROPERABILNOST
Učesnici u prostorima podataka koji nude podatke ili usluge podataka drugim učesnicima moraju da se pridržavaju propisanih osnovnih zahteva kako bi se olakšala interoperabilnost podataka, mehanizama i usluga za deljenje podataka, kao i zajedničkih evropskih prostora podataka koji su namenski- ili sektor-specifični ili medju-sektorski interoperabilni okviri za zajedničke standarde i prakse deljenja ili zajedničke obrade podataka, između ostalog, za razvoj novih proizvoda i usluga, naučna istraživanja ili inicijative civilnog društva (čl. 33-36).
PRIMENA I SPROVODJENJE
Svaka država članica mora da odredi najmanje jedan nadležni organ za sprovođenje Data Act-a (član 37). Očekuje se da će ovi organi usko sarađivati sa postojećim sektorskim organima i organima za zaštitu podataka, jer Data Act dodatno osnažuje, ali ne zamenjuje GDPR.
Bez obzira na bilo koje drugo upravno ili sudsko sredstvo pravnog leka, fizička i pravna lica imaju pravo da podnesu žalbu, pojedinačno ili, gde je to relevantno, kolektivno, nadležnom organu u državi članici u kojoj imaju uobičajeno prebivalište, mesto rada ili mesto nastanka, ako smatraju da su im povređena prava iz ove uredbe.
Bez obzira na bilo koje upravno ili drugo vansudsko pravno sredstvo, svako fizičko i pravno lice obuhvaćeno primenom ove uredbe ima pravo na delotvorno sudsko pravno sredstvo u vezi sa pravno obavezujućim odlukama koje donesu nadležni organi.
Države članice će utvrditi pravila o kaznama koje se primenjuju na kršenje ove uredbe i preduzeće sve neophodne mere kako bi se osiguralo da se one sprovode. Predviđene kazne moraju biti delotvorne, srazmerne i odvraćajuće (član 40).