Data Act 2023/2854 CS

c)	zpřístupňování dat subjektům veřejného sektoru, Komisi, Evropské centrální bance nebo subjektům Unie držiteli dat, pokud jsou uvedená data výjimečně zapotřebí pro splnění specifického úkolu prováděného ve veřejném zájmu;

d)	usnadnění změny poskytovatele mezi službami zpracování dat;

e)	zavedení záruk proti nezákonnému přístupu třetích stran k neosobním údajům a

f)	vypracování norem interoperability pro přístup k datům, přenos dat a jejich využívání.

2. Toto nařízení se vztahuje na osobní i neosobní údaje, včetně následujících druhů dat v následujících souvislostech:

a)	kapitola II se vztahuje na data, s výjimkou obsahu, týkající se výkonnosti, používání a prostředí připojených výrobků a souvisejících služeb;

b)	kapitola III se vztahuje na veškerá data soukromého sektoru, na něž se vztahují zákonné povinnosti sdílení dat;

c)	kapitola IV se vztahuje na veškerá data soukromého sektoru, která jsou přístupná a využívaná na základě smluv mezi podniky;

d)	kapitola V se vztahuje na veškerá data soukromého sektoru se zaměřením na neosobní údaje;

e)	kapitola VI se vztahuje na veškerá data a služby zpracovávané poskytovateli služeb zpracování dat;

f)	kapitola VII se vztahuje na veškeré neosobní údaje, které mají v Unii v držení poskytovatelé služeb zpracování dat.

3. Toto nařízení se vztahuje na:

a)	výrobce připojených výrobků uvedených na trh v Unii a poskytovatele souvisejících služeb, a to bez ohledu na místo usazení těchto výrobců a poskytovatelů;

b)	uživatele připojených výrobků nebo souvisejících služeb v Unii, jak jsou uvedeny v písmenu a),

c)	držitele dat, bez ohledu na jejich místo usazení, kteří zpřístupňují data příjemcům dat v Unii;

d)	příjemce dat v Unii, kterým jsou data zpřístupněna;

e)	subjekty veřejného sektoru, Komisi, Evropskou centrální banku a subjekty Unie, které žádají držitele dat o zpřístupnění dat, pokud jsou uvedená data výjimečně zapotřebí pro vykonání specifického úkolu ve veřejném zájmu, a držitele dat, kteří tato data poskytují v reakci na takovou žádost;

f)	poskytovatele služeb zpracování dat, bez ohledu na jejich místo usazení, kteří tyto služby poskytují zákazníkům v Unii;

g)	účastníky v datových prostorech a prodejce aplikací využívajících inteligentní smlouvy a osoby, jejichž obchodní, podnikatelská nebo profesní činnost zahrnuje zavádění inteligentních smluv pro jiné osoby v souvislosti s realizací dohody.

4. Odkazy na připojené výrobky nebo související služby v tomto nařízení zahrnují rovněž virtuální asistenty, pokud jsou používáni k interakci s připojeným výrobkem či související službou.

5. Tímto nařízením nejsou dotčeny unijní a vnitrostátní právní předpisy o ochraně osobních údajů, soukromí a důvěrného charakteru sdělení a integrity koncového zařízení, které se použijí na osobní údaje zpracovávané v souvislosti s právy a povinnostmi stanovenými v tomto nařízení, zejména nařízení (EU) 2016/679 a (EU) 2018/1725 a směrnice 2002/58/ES, ani pravomoci a kompetence dozorových úřadů a práva subjektů údajů. Pokud jsou uživatelé subjekty údajů, doplňují práva stanovená v kapitole II tohoto nařízení práva na přístup subjektů údajů a práva na přenositelnost údajů podle článků 15 a 20 nařízení (EU) 2016/679. V případě rozporu mezi tímto nařízením a unijními právními předpisy o ochraně osobních údajů nebo soukromí nebo vnitrostátními právními předpisy přijatými v souladu s těmito právními předpisy Unie mají přednost příslušné unijní nebo vnitrostátní právní předpisy o ochraně osobních údajů nebo soukromí.

6. Toto nařízení se nevztahuje na dobrovolná ujednání o výměně dat mezi soukromými a veřejnými subjekty, zejména na dobrovolná ujednání o sdílení dat, ani taková ujednání neomezuje.

Tímto nařízením nejsou dotčeny unijní ani vnitrostátní právní akty, které upravují sdílení dat, přístup k nim a jejich využívání pro účely prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, nebo pro účely celní a daňové, zejména nařízení (EU) 2021/784, (EU) 2022/2065 a (EU) 2023/1543 a směrnice (EU) 2023/1544 nebo mezinárodní spolupráce v této oblasti. Toto nařízení se nevztahuje na shromažďování, sdílení a využívání dat nebo přístup k datům podle nařízení (EU) 2015/847 a směrnice (EU) 2015/849. Toto nařízení se nevztahuje na oblasti, které nespadají do oblasti působnosti práva Unie, a v žádném případě se nedotýká pravomocí členských států v oblasti veřejné bezpečnosti, obrany nebo národní bezpečnosti, a to bez ohledu na typ subjektu pověřeného členskými státy plněním úkolů souvisejících s těmito pravomocemi, ani jejich pravomoci chránit jiné základní funkce státu, včetně zajištění územní celistvosti státu a udržování veřejného pořádku. Tímto nařízením nejsou dotčeny pravomoci členských států týkající se celní a daňové správy ani zdraví a bezpečnosti občanů.

7. Toto nařízení doplňuje samoregulační přístup podle nařízení (EU) 2018/1807 obecně použitelnými povinnostmi týkajícími se změny poskytovatele cloudových služeb.

8. Tímto nařízením nejsou dotčeny právní akty Unie ani vnitrostátní právní předpisy na ochranu práv duševního vlastnictví, zejména směrnic 2001/29/ES, 2004/48/ES a (EU) 2019/790.

9. Toto nařízení doplňuje právo Unie, jehož cílem je podpora zájmů spotřebitelů a zajištění vysoké úrovně ochrany spotřebitelů, ochrana jejich zdraví, bezpečnosti a hospodářských zájmů, včetně směrnic 93/13/EHS, 2005/29/ES a 2011/83/EU, které jím není dotčeno.

10. Toto nařízení nevylučuje uzavírání dobrovolných smluv o sdílení dat, včetně smluv uzavřených na recipročním základě, které nejsou protiprávní a které splňují požadavky stanovené v tomto nařízení.

Článek 2

Definice

Pro účely tohoto nařízení se rozumí:

1)	„daty“ veškeré digitální záznamy jednání, skutečností nebo informací a všechny soubory takových jednání, skutečností nebo informací, včetně záznamů v podobě zvukové, vizuální nebo audiovizuální nahrávky;

2)	„metadaty“ strukturovaný popis obsahu nebo používání dat usnadňující vyhledávání nebo používání těchto dat;

3)	„osobními údaji“ osobní údaje ve smyslu čl. 4 bodu 1 nařízení (EU) 2016/679;

4)	„neosobními údaji“ údaje jiné než osobní údaje;

„připojeným výrobkem“ předmět, který získává, vytváří nebo shromažďuje data o svém použití nebo prostředí, je schopen přenášet data z výrobku prostřednictvím služby elektronických komunikací, fyzického připojení nebo přístupu na zařízení a jehož hlavní funkcí není uchovávání, zpracování nebo předávání dat jménem osob jiných než je uživatel;

„související službou“ digitální služba jiná než služba elektronických komunikací, včetně softwaru, která je v době koupě, pronájmu nebo leasingu spojena s připojeným výrobkem takovým způsobem, že by její absence bránila připojenému výrobku plnit jednu nebo více jeho funkcí, nebo která je k připojenému výrobku následně připojena výrobcem nebo třetí stranou za účelem doplnění, aktualizace nebo úpravy funkcí připojeného výrobku;

„zpracováním“ jakákoli operace nebo soubor operací s daty nebo soubory dat, prováděné pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jejich zpřístupnění jinými prostředky, seřazení či zkombinování, omezení, výmaz nebo zničení;

„službou zpracování dat“ digitální služba poskytnutá zákazníkovi, která mu umožňuje na vyžádání odkudkoli síťový přístup ke sdílenému úložišti konfigurovatelných, rozšiřitelných a přizpůsobitelných výpočetních zdrojů centralizované, distribuované nebo vysoce distribuované povahy, přičemž tato služba může být poskytnuta a uvolněna rychle s minimálními nároky na řízení nebo interakci s poskytovatelem služby;

9)	„stejným druhem služby“ soubor služeb zpracování dat, které mají tentýž primární cíl, model služby zpracování dat a hlavní funkce;

10)	„službou zprostředkování dat“ služba zprostředkování dat ve smyslu čl. 2 bodu 11 nařízení (EU) 2022/868;

11)	„subjektem údajů“ subjekt údajů uvedený v čl. 4 bodu 1 nařízení (EU) 2016/679;

12)	„uživatelem“ fyzická nebo právnická osoba, která vlastní připojený výrobek nebo na kterou byla smluvně převedena dočasná práva na používání tohoto připojeného výrobku nebo která přijímá související služby;

13)

„držitelem dat“ fyzická nebo právnická osoba, která má v souladu s tímto nařízením, použitelným právem Unie nebo vnitrostátními právními předpisy přijatými v souladu s právem Unie právo nebo povinnost používat a zpřístupňovat data, včetně dat z výrobků nebo dat ze související služby, která získala nebo vytvořila během poskytování související služby, je-li to smluvně dohodnuto;

14)

„příjemcem dat“ fyzická nebo právnická osoba, která jedná za účelem, který souvisí s její obchodní činností, podnikáním, řemeslem nebo povoláním, jiná než uživatel připojeného výrobku nebo související služby, jíž držitel dat zpřístupňuje data, včetně třetí strany na žádost uživatele podanou držiteli dat nebo v souladu s právní povinností podle práva Unie nebo vnitrostátních právních předpisů přijatých v souladu s právem Unie;

15)	„daty z výrobků“ data vytvořená používáním připojeného výrobku, která výrobce navrhl tak, aby je uživatel, držitel dat nebo třetí strana, případně včetně výrobce, mohli z výrobku získat prostřednictvím služby elektronických komunikací, fyzickým připojením nebo přístupem na zařízení;

16)	„daty ze související služby“ data představující digitalizaci činností uživatelů nebo událostí souvisejících s připojeným výrobkem, která jsou zaznamenána úmyslně uživatelem nebo jsou vytvořena jako vedlejší produkt činnosti uživatele během poskytování související služby poskytovatelem;

17)	„snadno dostupnými daty“ data z výrobků a data ze související služby, která držitel dat oprávněně získá nebo může oprávněně získat z připojeného výrobku nebo související služby bez nepřiměřeného úsilí přesahujícího rámec jednoduché operace;

18)	„obchodním tajemstvím“ obchodní tajemství ve smyslu čl. 2 bodu 1 směrnice (EU) 2016/943;

19)	„vlastníkem obchodního tajemství“ vlastník obchodního tajemství ve smyslu čl. 2 bodu 2 směrnice (EU) 2016/943;

20)	„profilováním“ profilování ve smyslu čl. 4 bodu 4 nařízení (EU) 2016/679;

21)	„zpřístupněním na trhu“ dodání připojeného výrobku k distribuci, spotřebě nebo použití na trhu Unie v rámci obchodní činnosti, a to za úplatu či bezplatně;

22)	„uvedením na trh“ první zpřístupnění připojeného výrobku na trhu Unie;

23)	„spotřebitelem“ jakákoliv fyzická osoba, která jedná za účelem, jejž nelze považovat za její obchodní činnost, podnikání, řemeslo nebo povolání;

24)	„podnikem“ fyzická nebo právnická osoba, která v souvislosti se smlouvami a postupy, na něž se vztahuje toto nařízení, jedná za účelem, který souvisí s její obchodní činností, podnikáním, řemeslem nebo povoláním;

25)	„malým podnikem“ malý podnik ve smyslu čl. 2 odst. 2 přílohy doporučení 2003/361/ES.

26)	„mikropodnikem“ mikropodnik ve smyslu čl. 2 odst. 3 přílohy doporučení 2003/361/ES;

27)	„subjekty Unie“ instituce a jiné subjekty Unie zřízené akty přijatými na základě Smlouvy o Evropské unii, Smlouvy o fungování EU nebo Smlouvy o založení Evropského společenství pro atomovou energii, nebo podle těchto aktů;

28)	„subjektem veřejného sektoru“ celostátní, regionální nebo místní orgány členských států, veřejnoprávní subjekt členského státu nebo sdružení tvořené jedním nebo více takovými orgány nebo jedním nebo více takovými veřejnoprávními subjekty;

29)

„krizovou situací“ výjimečná časově omezená situace, jako je mimořádná situace v oblasti veřejného zdraví, mimořádná situace v důsledku přírodních katastrof a závažná katastrofa způsobená člověkem, včetně závažného incidentu v oblasti kybernetické bezpečnosti, která má negativní dopad na obyvatelstvo Unie, členského státu nebo jeho části, s rizikem závažných a trvalých důsledků pro životní podmínky nebo hospodářskou či finanční stabilitu nebo podstatné a bezprostřední zhoršení hospodářských aktiv v Unii nebo v relevantním členském státě, a která je určena nebo úředně vyhlášena v souladu s příslušnými postupy podle unijního nebo vnitrostátního práva;

30)	„zákazníkem“ fyzická nebo právnická osoba, která vstoupila do smluvního vztahu s poskytovatelem služeb zpracování dat s cílem využít jednu nebo více služeb zpracování dat;

31)	„virtuálními asistenty“ software, který dokáže zpracovávat požadavky, úkoly nebo otázky, a to i na základě zvukových, písemných vstupů, gest nebo pohybů, a který na základě těchto požadavků, úkolů nebo otázek poskytuje přístup k dalším službám nebo ovládání funkcí připojených výrobků;

32)	„digitálními aktivy“ prvky v digitální podobě, včetně aplikací, pro něž má zákazník právo na užívání, nezávisle na smluvním vztahu se službou zpracování dat, již hodlá změnit;

33)	„místní infrastrukturou informačních a komunikačních technologií“ infrastruktura informačních a komunikačních technologií a výpočetní zdroje vlastněné, pronajaté nebo pronajaté prostřednictvím leasingu zákazníkem, umístěné v datovém centru zákazníka a provozované zákazníkem nebo třetí stranou;

34)

„změnou poskytovatele“ proces zahrnující zdrojového poskytovatele služeb zpracování dat, zákazníka služby zpracování dat a tam, kde je to relevantní, cílového poskytovatele služeb zpracování dat, při němž zákazník služby zpracování dat změní užívání jedné služby zpracování dat na užívání jiné služby zpracování dat stejného druhu služby nebo jiné služby, které nabízí jiný poskytovatel služeb zpracování dat, nebo přejde na místní infrastrukturu informačních a komunikačních technologií mimo jiné prostřednictvím extrakce, transformace a nahrávání dat;

35)

„poplatky za přesun dat“ poplatky, které jsou zákazníkům účtovány za extrakci jejich dat prostřednictvím sítě z infrastruktury informačních a komunikačních technologií poskytovatele služeb zpracování dat do systémů jiného poskytovatele nebo do místní infrastruktury informačních a komunikačních technologií;

36)

„poplatky za změnu poskytovatele“ poplatky jiné než standardní poplatky za služby nebo sankce za předčasné ukončení smlouvy, které poskytovatel zpracování dat účtuje zákazníkovi za úkony, které toto nařízení ukládá za přechod do systému jiného poskytovatele služeb zpracování dat nebo na místní infrastrukturu informačních a komunikačních technologií, včetně poplatků za přesun dat;

37)

„funkční rovnocenností“ obnovení, na základě exportovatelných dat a digitálních aktiv zákazníka, minimální úrovně funkčnosti v prostředí nové služby zpracování dat, jež je stejným druhem služby, po dokončení procesu změny poskytovatele, kde cílová služba zpracování dat pro sdílené funkce poskytnuté zákazníkovi na základě smlouvy poskytuje v reakci na tentýž vstup ve své podstatě srovnatelný výsledek;

38)

„exportovatelnými daty“ pro účely článků 23 až 31 a článku 35 vstupní a výstupní data včetně metadat, která přímo nebo nepřímo vytváří nebo spoluvytváří zákazník při používání služby zpracování dat, s výjimkou aktiv nebo dat poskytovatele služby zpracování dat nebo třetí strany chráněných právem duševního vlastnictví nebo představujících obchodní tajemství;

39)	„inteligentní smlouvou“ počítačový program používaný pro automatizované plnění dohody nebo její části s využitím posloupnosti elektronických datových záznamů a zajišťující jejich integritu a přesnost jejich chronologického pořadí;

40)	„interoperabilitou“ schopnost dvou nebo více datových prostorů nebo komunikačních sítí, systémů, připojených výrobků, aplikací nebo komponent vyměňovat si a používat data za účelem plnění svých funkcí;

41)	„otevřenou specifikací pro interoperabilitu“ technická specifikace v oblasti informačních a komunikačních technologií, která je zaměřena na výkon a na dosažení interoperability mezi službami zpracování dat;

42)	„společnými specifikacemi“ dokument jiný než norma, který obsahuje technická řešení sloužící jako nástroj pro plnění některých požadavků a povinností stanovených v tomto nařízení;

43)	„harmonizovanou normou“ harmonizovaná norma ve smyslu čl. 2 bodu 1 písm. c) nařízení (EU) č. 1025/2012;

KAPITOLA II

SDÍLENÍ DAT MEZI PODNIKY A SPOTŘEBITELI A MEZI PODNIKY NAVZÁJEM

Článek 6

Povinnosti třetích stran přijímajících data na žádost uživatele

1. Třetí strana zpracovává data, která jí byla zpřístupněna podle článku 5, pouze pro účely a za podmínek dohodnutých s uživatelem v souladu s unijními a vnitrostátními právními předpisy o ochraně osobních údajů, včetně ochrany práv subjektu údajů, pokud jde o osobní údaje. Třetí strana vymaže data, jakmile již nejsou pro smluvně dohodnutý účel nezbytná, ledaže je s uživatelem ohledně neosobních údajů dohodnuto jinak.

2. Třetí strana nesmí:

nepřiměřeně ztěžovat volby uživatele nebo výkon práv podle článku 5 a tohoto článku uživatelem, včetně toho, že by uživateli nabízela volbu jiným než neutrálním způsobem, nebo na uživatele vyvíjela nátlak, klamala ho či s ním manipulovala, a to ani prostřednictvím uživatelského digitálního rozhraní nebo jeho části;

b)	bez ohledu na čl. 22 odst. 2 písm. a) a c) nařízení (EU) 2016/679 používat získaná data k profilování, není-li to nezbytné k poskytnutí služby požadované uživatelem;

c)	zpřístupňovat data, která obdrží, jiné třetí straně, ledaže jsou data zpřístupněna na základě smlouvy s uživatelem, a za předpokladu, že jiná třetí strana přijme veškerá nezbytná opatření dohodnutá mezi držitelem dat a třetí stranou k zachování důvěrnosti obchodního tajemství;

d)	zpřístupňovat data, která obdrží, podniku označenému jako strážce přístupu podle článku 3 nařízení (EU) 2022/1925;

využívat data, která obdrží, k vývoji výrobku, který konkuruje připojenému výrobku, z něhož zpřístupněná data pocházejí, nebo je za tímto účelem sdílet s jinou třetí stranou; třetí strany rovněž nesmějí používat žádné neosobní údaje z výrobků nebo ze souvisejících služeb, které jim byly zpřístupněny, k získání poznatků o hospodářské situaci, aktivech a výrobních metodách držitele dat nebo o jejich používání držitelem dat;

f)	používat data, která obdrží, způsobem, který má nepříznivý dopad na bezpečnost připojeného výrobku nebo související službu;

g)	nepřihlédnout ke zvláštním opatřením dohodnutým s držitelem dat nebo vlastníkem obchodního tajemství podle čl. 5 odst. 9 a narušit důvěrnost obchodního tajemství;

h)	bránit uživateli, jenž je spotřebitelem, a to i na základě smlouvy, v tom, aby data, která obdrží, zpřístupnil jiným stranám.

Článek 8

Podmínky, za nichž držitelé dat zpřístupňují data příjemcům dat

1. Pokud je ve vztazích mezi podniky držitel dat povinen zpřístupnit data příjemci dat podle článku 5 nebo podle jiných použitelných právních předpisů Unie nebo vnitrostátních právních předpisů přijatých v souladu s právními předpisy Unie, dohodne se s příjemcem dat na podmínkách zpřístupnění dat a učiní tak za spravedlivých, přiměřených a nediskriminačních podmínek a transparentním způsobem v souladu touto kapitolou a kapitolou IV.

2. Smluvní ujednání týkající se přístupu k datům a jejich využívání nebo odpovědnosti a prostředků nápravy v případě porušení nebo zániku povinností souvisejících s daty není závazné, pokud představuje nepřiměřené smluvní ujednání ve smyslu článku 13 nebo pokud takové ujednání v neprospěch uživatele vylučuje uplatňování práv uživatele podle kapitoly II, odchyluje se od nich nebo mění jejich účinky.

3. Držitel dat nesmí při stanovení podmínek zpřístupňování dat diskriminovat mezi srovnatelnými kategoriemi příjemců dat, včetně partnerských podniků nebo propojených podniků držitele dat. Pokud se příjemce dat domnívá, že podmínky, za nichž mu byla data zpřístupněna, jsou diskriminační, poskytne držitel dat příjemci dat na jeho odůvodněnou žádost bez zbytečného prodlení informace prokazující, že k diskriminaci nedošlo.

4. Držitel dat data příjemci dat nezpřístupní, a to ani exkluzivně, ledaže o to uživatel požádá podle kapitoly II.

5. Držitelé dat a příjemci dat nejsou povinni poskytovat žádné informace nad rámec toho, co je nezbytné k ověření dodržování smluvních ujednání dohodnutých pro zpřístupnění dat nebo jejich povinností podle tohoto nařízení nebo jiných použitelných právních předpisů Unie nebo vnitrostátních právních předpisů přijatých v souladu s právem Unie.

6. Nestanoví-li právo Unie, včetně čl. 4 odst. 6 a čl. 5 odst. 9 tohoto nařízení, nebo vnitrostátní právní předpisy přijaté v souladu s právem Unie jinak, povinnost zpřístupnit data příjemci dat neukládá povinnost zveřejnit obchodní tajemství.

Článek 9

Kompenzace za zpřístupnění dat

1. Jakákoli kompenzace za zpřístupnění dat ve vztazích mezi podniky dohodnutá mezi držitelem dat a příjemcem dat musí být nediskriminační a přiměřená a může zahrnovat marži.

2. Držitel dat a příjemce dat v rámci dohody o kompenzaci zohlední zejména:

a)	náklady vzniklé v souvislosti se zpřístupněním dat, zejména včetně nákladů nezbytných na formátování dat, jejich šíření elektronickými prostředky a jejich uchovávání;

b)	případné investice do shromažďování a vytváření dat, s přihlédnutím k tomu, zda k získání, vytvoření nebo shromáždění dotčených dat přispěly jiné strany.

3. Kompenzace uvedená v odstavci 1 může rovněž záviset na objemu, formátu a povaze dat.

4. Je-li příjemcem dat malý nebo střední podnik nebo nezisková výzkumná organizace, a pokud tento příjemce dat nemá partnerské podniky nebo propojené podniky, které nelze považovat za malé nebo střední podniky, nesmí dohodnutá kompenzace přesáhnout náklady uvedené v odst. 2 písm. a).

5. Komise přijme pokyny pro výpočet přiměřené kompenzace, přičemž zohlední doporučení Evropského sboru pro datové inovace uvedeného v článku 42.

6. Tento článek nebrání tomu, aby jiné právo Unie nebo vnitrostátní právní předpisy přijaté v souladu s právními předpisy Unie kompenzaci za zpřístupnění dat vyloučily nebo stanovily nižší kompenzaci.

7. Držitel dat poskytne příjemci dat dostatečně podrobné informace, které stanoví základ pro výpočet kompenzace, aby příjemce dat mohl posoudit, zda jsou splněny požadavky stanovené v odstavcích 1 až 4.

Článek 19

Povinnosti subjektů veřejného sektoru, Komise, Evropské centrální banky a subjektů Unie

1. Subjekt veřejného sektoru, Komise, Evropská centrální banka nebo subjekt Unie, které obdržely data na základě žádosti podané podle článku 14:

a)	nepoužijí data způsobem neslučitelným s účelem, pro který byla vyžádána;

b)	musí mít zavedena technická a organizační opatření, která zachovávají důvěrnost a integritu požadovaných dat a bezpečnost předávání dat, zejména osobních údajů, a zaručují práva a svobody subjektů údajů;

vymažou data, jakmile již nejsou nezbytná pro uvedený účel, a bez zbytečného odkladu informují držitele dat a fyzické osoby nebo organizace, které data obdržely podle čl. 21 odst. 1, o tom, že data byla vymazána, ledaže je archivace dat vyžadována v souladu s právními předpisy Unie nebo vnitrostátními právními předpisy o přístupu veřejnosti k dokumentům v souvislosti s povinnostmi týkajícími se transparentnosti.

2. Subjekt veřejného sektoru, Komise, Evropská centrální banka, subjekt Unie nebo třetí strana přijímající data podle této kapitoly nesmí:

a)	použít data ani poznatky o hospodářské situaci, aktivech a výrobních nebo provozních metodách držitele dat k vývoji nebo zlepšení připojeného výrobku nebo související služby, které konkurují připojenému výrobku nebo související službě držitele dat;

b)	sdílet data s jinou třetí stranou pro kterýkoli z účelů uvedených v písmenu a).

3. Zpřístupnění obchodních tajemství subjektu veřejného sektoru, Komisi, Evropské centrální bance nebo subjektu Unie se vyžaduje pouze v rozsahu nezbytně nutném pro dosažení účelu žádosti podle článku 15. V takovém případě držitel dat nebo, pokud jsou rozdílnými osobami, vlastník obchodního tajemství, identifikuje data, která jsou chráněna jako obchodní tajemství, a to i v příslušných metadatech. Daný subjekt veřejného sektoru, Komise, Evropská centrální banka nebo subjekt Unie přijmou před zpřístupněním obchodního tajemství veškerá nezbytná a vhodná technická a organizační opatření k zachování důvěrnosti obchodního tajemství, včetně případného použití vzorových smluvních ujednání, technických norem a uplatňování kodexů chování.

4. Subjekt veřejného sektoru, Komise, Evropská centrální banka nebo subjekt Unie odpovídají za bezpečnost dat, která obdrží.

Článek 28

Smluvní povinnosti týkající se transparentnosti mezinárodního přístupu a předávání

1. Poskytovatelé služeb zpracování dat zpřístupní na svých internetových stránkách tyto informace, které průběžně aktualizují:

a)	jurisdikce, které podléhá infrastruktura informačních a komunikačních technologií použitá pro zpracování dat jejich jednotlivých služeb;

obecný popis technických, organizačních a smluvních opatření, která poskytovatel služeb zpracování dat přijal, aby zabránil mezinárodnímu přístupu orgánů veřejné správy k neosobním údajům uchovávaným v Unii nebo v jejich předávání, pokud by takový přístup či předávání mohly být v rozporu s unijními nebo vnitrostátními právními předpisy příslušného členského státu.

2. Odkazy na internetové stránky uvedené v odstavci 1 se uvedou ve smlouvách týkajících se všech služeb zpracování dat, které poskytovatelé služeb zpracování dat nabízejí.

Článek 32

Mezinárodní přístup orgánů veřejné správy a předávání

1. Aniž jsou dotčeny odstavce 2 nebo 3, přijmou poskytovatelé služeb zpracování dat veškerá adekvátní technická, organizační a právní opatření, včetně smluv, aby zabránili přístupu orgánů veřejné správy k neosobním údajům uchovávaným v Unii a jejich předávání na mezinárodní úrovni a úrovni třetích zemí, pokud by takové předávání nebo přístup mohly být v rozporu s unijními nebo vnitrostátními právními předpisy příslušného členského státu.

2. Jakékoli rozhodnutí či rozsudek soudu třetí země a jakékoli rozhodnutí správního orgánu třetí země, jež po poskytovateli služeb zpracování dat požadují předání nebo zpřístupnění neosobních údajů spadajících do oblasti působnosti tohoto nařízení uchovávaných v Unii, jsou jakýmkoli způsobem uznatelné nebo vymahatelné, pouze pokud vycházejí z mezinárodní dohody, například smlouvy o vzájemné právní pomoci, která je v platnosti mezi žádající třetí zemí a Unií, nebo dohody mezi žádající třetí zemí a členským státem.

3. V případě neexistence mezinárodní dohody uvedené v odstavci 2, pokud je poskytovatel služeb zpracování dat adresátem rozhodnutí či rozsudku soudu třetí země nebo rozhodnutí správního orgánu třetí země, které jim ukládá předat neosobní údaje z Unie či umožnit přístup k neosobním údajům uchovávaným v Unii spadajícím do oblasti působnosti tohoto nařízení, a v případě vyhovění takovému rozhodnutí by hrozilo, že by adresát jednal v rozporu s unijními právními předpisy nebo s vnitrostátními právními předpisy příslušného členského státu, pak může dojít k předání takových údajů dotyčnému orgánu třetí země nebo k umožnění přístupu tohoto orgánu k nim pouze pokud:

a)	systém dotyčné třetí země požaduje stanovení důvodů a proporcionality takového rozhodnutí či rozsudku a požaduje, aby takové rozhodnutí či rozsudek byly specifické povahy, například prokázáním dostatečné vazby na určité podezřelé osoby nebo protiprávní jednání;

b)	odůvodněná námitka adresáta rozhodnutí podléhá přezkumu příslušného soudu třetí země; a

c)	příslušný soud třetí země, který dané rozhodnutí nebo rozsudek vydal nebo provádí přezkum rozhodnutí správního orgánu, má podle práva této třetí země pravomoc řádně zohlednit příslušné právní zájmy poskytovatele údajů chráněných unijním právem či vnitrostátním právem příslušného členského státu.

Adresát rozhodnutí či rozsudku si může vyžádat stanovisko příslušného vnitrostátního subjektu nebo orgánu příslušného pro mezinárodní spolupráci v právních záležitostech s cílem určit, zda jsou podmínky stanovené v prvním pododstavci splněny, zejména pokud se domnívá, že se rozhodnutí může týkat obchodního tajemství a jiných obchodně citlivých dat, jakož i obsahu chráněného právy duševního vlastnictví, nebo že dané předání může vést k opětovné identifikaci. Příslušný vnitrostátní subjekt nebo orgán může konzultovat Komisi. Pokud se adresát domnívá, že dané rozhodnutí může mít dopad na zájmy Unie nebo jejích členských států v oblasti národní bezpečnosti nebo obrany, vyžádá si stanovisko příslušného vnitrostátního subjektu nebo orgánu s cílem určit, zda se požadovaná data dotýkají zájmů Unie nebo jejích členských států v oblasti národní bezpečnosti nebo obrany. Neobdrží-li adresát odpověď do jednoho měsíce nebo dospěje-li příslušný subjekt nebo orgán ve svém stanovisku k závěru, že podmínky uvedené v prvním pododstavci nejsou splněny, může adresát žádost o předání neosobních údajů nebo přístup k nim z těchto důvodů odmítnout.

Evropský sbor pro datové inovace uvedený v článku 42 předkládá Komisi doporučení a je jí nápomocen při vypracovávání pokynů pro posuzování toho, zda jsou podmínky stanovené v prvním pododstavci tohoto odstavce splněny.

4. Jsou-li podmínky stanovené v odstavci 2 nebo 3 splněny, poskytovatel služeb zpracování dat poskytne v reakci na žádost minimální přípustné množství dat na základě přiměřeného výkladu dané žádosti poskytovatelem nebo příslušným subjektem nebo orgánem uvedeným v odstavci 3 druhém pododstavci.

5. Poskytovatel služeb zpracování dat před vyhověním uvedené žádosti informuje zákazníka o existenci žádosti orgánu třetí země o přístup k jeho datům, s výjimkou případů, kdy je účelem žádosti prosazování práva, a pokud je to nezbytné k zajištění účinnosti prosazování práva.

KAPITOLA VIII

INTEROPERABILITA

Článek 37

Příslušné orgány a datoví koordinátoři

1. Každý členský stát určí jeden či několik příslušných orgánů odpovědných za uplatňování a vymáhání tohoto nařízení (dále jen „příslušné orgány“). Členské státy mohou zřídit jeden nebo několik nových orgánů nebo využít stávající orgány.

2. Pokud členský stát určí více než jeden příslušný orgán, určí jeden z nich jakožto datového koordinátora, jehož úkolem je usnadňovat spolupráci mezi příslušnými orgány a pomáhat subjektům spadajícím do oblasti působnosti tohoto nařízení ve všech záležitostech souvisejících s jeho uplatňováním a vymáháním. Příslušné orgány při plnění úkolů a výkonu pravomocí, které jim byly svěřeny podle odstavce 5, vzájemně spolupracují.

3. Pokud jde o ochranu osobních údajů, odpovídají za monitorování uplatňování tohoto nařízení dozorové úřady odpovědné za monitorování uplatňování nařízení (EU) 2016/679. Kapitoly VI a VII nařízení (EU) 2016/679 se použijí obdobně.

Evropský inspektor ochrany údajů odpovídá za monitorování uplatňování tohoto nařízení v rozsahu, v němž se týká Komise, Evropské centrální banky nebo subjektů Unie. Obdobně se v příslušných případech použije článek 62 nařízení (EU) 2018/1725.

Úkoly a pravomoci dozorových úřadů uvedené v tomto odstavci se vykonávají ve vztahu ke zpracování osobních údajů.

4. Aniž je dotčen odstavec 1 tohoto článku,

a)	pokud jde o otázky přístupu k datům a jejich používání v rámci konkrétních odvětví týkající se uplatňování tohoto nařízení, musí být respektována pravomoc odvětvových orgánů;

b)	příslušný orgán odpovědný za uplatňování a vymáhání článků 23 až 31 a článků 34 a 35 musí mít zkušenosti v oblasti dat a služeb elektronických komunikací.

5. Členské státy zajistí, aby úkoly a pravomoci příslušných orgánů byly jasně vymezeny a zahrnovaly:

a)	zvyšování datové gramotnosti a informovanosti uživatelů a subjektů spadajících do oblasti působnosti tohoto nařízení o právech a povinnostech podle tohoto nařízení;

vyřizování stížností podaných na základě údajného porušení tohoto nařízení, včetně porušení v souvislosti s obchodním tajemstvím, a v náležité míře prošetření předmětu stížnosti a pravidelné informování stěžovatelů, je-li to na místě v souladu s vnitrostátními právními předpisy, o vývoji a výsledku šetření v přiměřené lhůtě, zejména v případech, kdy je nezbytné další šetření nebo koordinace s jiným příslušným orgánem;

c)	provádění šetření záležitostí, které se týkají uplatňování tohoto nařízení, mimo jiné na základě informací obdržených od jiného příslušného orgánu či jiného orgánu veřejné moci;

d)	ukládání účinných, přiměřených a odrazujících finančních sankcí, které mohou zahrnovat penále a sankce se zpětným účinkem, nebo zahájení soudního řízení o uložení pokut;

e)	monitorování technologického a relevantního komerčního vývoje, který je relevantní pro zpřístupňování a využívání dat;

spolupráci s příslušnými orgány jiných členských států a případně s Komisí nebo Evropským sborem pro datové inovace s cílem zajistit jednotné a efektivní uplatňování tohoto nařízení, včetně výměny všech relevantních informací elektronickými prostředky bez zbytečného odkladu, i pokud jde o odstavec 10 tohoto článku;

spolupráci s relevantními příslušnými orgány odpovědnými za provádění jiných unijních nebo vnitrostátních právních aktů, včetně orgánů příslušných v oblasti dat a služeb elektronických komunikací, s dozorovým úřadem odpovědným za monitorování uplatňování nařízení (EU) 2016/679 nebo s odvětvovými orgány s cílem zajistit, aby bylo toto nařízení vymáháno v souladu s ostatními právními předpisy Unie a vnitrostátními právními předpisy;

h)	spolupráci s relevantními příslušnými orgány s cílem zajistit, aby články 23 až 31 a články 34 a 35 byly vymáhány v souladu s ostatními právními předpisy Unie a samoregulací vztahujícími se na poskytovatele služeb zpracování dat;

i)	zajištění toho, aby poplatky za změnu poskytovatele služeb byly zrušeny v souladu s článkem 29;

j)	posuzování žádostí o data podaných podle kapitoly V.

Je-li určen datový koordinátor, usnadňuje spolupráci uvedenou v písmenech f), g) a h) prvního pododstavce a na žádost příslušných orgánů je těmto orgánům nápomocen.

6. Datový koordinátor, pokud jím byl určen některý příslušný orgán:

a)	působí jako jednotné kontaktní místo pro veškeré záležitosti související s uplatňováním tohoto nařízení;

b)	zajišťuje, aby žádosti o zpřístupnění dat podané subjekty veřejného sektoru v případě výjimečné potřeby podle kapitoly V byly veřejně dostupné online a podporuje uzavírání dobrovolných dohod o sdílení dat mezi subjekty veřejného sektoru a držiteli dat;

c)	každoročně informuje Komisi o zamítnutých žádostech oznámených podle čl. 4 odst. 2 a 8 a čl. 5 odst. 11.

7. Členské státy oznámí Komisi názvy příslušných orgánů a jejich úkoly a pravomoci a případně název datového koordinátora. Komise vede veřejný rejstřík těchto orgánů.

8. Při vykonávání svých úkolů a pravomocí v souladu s tímto nařízením jsou příslušné orgány nestranné a nepodléhají žádnému vnějšímu vlivu, ať již přímému, či nepřímému, a nevyžadují ani nepřijímají pokyny týkající se jednotlivých případů od jakéhokoli jiného orgánu veřejné správy či soukromého subjektu.

9. Členské státy zajistí, aby příslušné orgány měly k dispozici dostatečné lidské a technické zdroje a relevantní odborné znalosti nezbytné k účinnému plnění svých úkolů podle tohoto nařízení.

10. Subjekty spadající do oblasti působnosti tohoto nařízení podléhají pravomoci členského státu, v němž je subjekt usazen. Pokud je subjekt usazen ve více než jednom členském státě, má se za to, že spadá do pravomoci členského státu, v němž má hlavní provozovnu, tj. v němž má subjekt své správní ústředí nebo sídlo, z nichž jsou vykonávány hlavní finanční funkce a provozní kontrola.

11. Každý subjekt spadající do oblasti působnosti tohoto nařízení, který zpřístupňuje připojené výrobky nebo nabízí služby v Unii a který není usazen v Unii, určí svého právního zástupce v jednom z členských států.

12. Za účelem zajištění souladu s tímto nařízením pověří subjekt spadající do oblasti působnosti tohoto nařízení, který zpřístupňuje připojené výrobky nebo nabízí služby v Unii, právního zástupce, na něhož se budou příslušné orgány obracet ohledně veškerých otázek týkajících se uvedeného subjektu, a to navíc k tomuto subjektu nebo namísto něho. Uvedený právní zástupce spolupracuje s příslušnými orgány a na požádání poskytne, s cílem zajistit soulad s tímto nařízením, komplexní informace o opatřeních a ustanoveních, která přijal subjekt spadající do oblasti působnosti tohoto nařízení, který zpřístupňuje připojené výrobky nebo nabízí služby v Unii.

13. Má se za to, že subjekt spadající do oblasti působnosti tohoto nařízení, který zpřístupňuje nebo nabízí připojené výrobky nebo nabízí služby v Unii, spadá do pravomoci členského státu, v němž se nachází jeho právní zástupce. Tím, že subjekt určí svého právního zástupce, nejsou dotčeny jeho odpovědnost a jakékoli právní kroky, které by mohly být podniknuty proti tomuto subjektu. Dokud subjekt neurčí právního zástupce v souladu s tímto článkem, spadá tento subjekt pro účely zajištění uplatňování a vymáhání tohoto nařízení případně do pravomoci všech členských států. Kterýkoli příslušný orgán může vykonávat svou pravomoc, včetně uložení účinných, přiměřených a odrazujících sankcí, pokud daný subjekt není předmětem donucovacího řízení podle tohoto nařízení ohledně týchž skutečností ze strany jiného příslušného orgánu.

14. Příslušné orgány mají pravomoc požadovat od uživatelů, držitelů dat nebo příjemců dat nebo jejich právních zástupců, kteří spadají do pravomoci jejich členského státu, veškeré informace nezbytné k ověření souladu s tímto nařízením. Každá žádost o informace musí být přiměřená plnění příslušného úkolu a musí být odůvodněna.

15. Pokud příslušný orgán v jednom členském státě žádá o pomoc nebo donucovací opatření u příslušného orgánu v jiném členském státě, předloží odůvodněnou žádost. Po obdržení takové žádosti poskytne příslušný orgán bez zbytečného odkladu odpověď, v níž uvede opatření, která byla nebo mají být přijata.

16. Příslušné orgány dodržují zásady důvěrnosti a profesního a obchodního tajemství a chrání osobní údaje v souladu s unijním nebo vnitrostátním právem. Veškeré informace vyměňované v souvislosti s žádostí o pomoc, která byla poskytnuta podle tohoto článku, se použijí pouze v souvislosti se záležitostí, v níž bylo o pomoc požádáno.

Článek 38

Právo podat stížnost

1. Aniž jsou dotčeny jakékoli jiné správní nebo soudní opravné prostředky, mají fyzické a právnické osoby právo podat samostatně nebo případně společně stížnost u příslušného orgánu v členském státě svého obvyklého bydliště, místa výkonu práce nebo usazení, pokud se domnívají, že byla porušena jejich práva podle tohoto nařízení. Datový koordinátor na požádání poskytne fyzickým a právnickým osobám veškeré informace nezbytné pro podání jejich stížností u relevantního příslušného orgánu.

2. Příslušný orgán, u něhož byla stížnost podána, informuje stěžovatele v souladu s vnitrostátními právními předpisy o pokroku v řešení stížnosti a o přijatém rozhodnutí.

3. Příslušné orgány spolupracují za účelem efektivního a včasného vyřizování a řešení stížností, včetně výměny všech relevantních informací elektronickými prostředky, bez zbytečného odkladu. Touto spoluprací nejsou dotčeny mechanismy spolupráce stanovené v kapitolách VI a VII nařízení (EU) 2016/679 a v nařízení (EU) 2017/2394.

Článek 49

Hodnocení a přezkum

1. Do dne 12. září 2028 provede Komise hodnocení tohoto nařízení a předloží zprávu o hlavních zjištěních plynoucích z tohoto hodnocení Evropskému parlamentu a Radě, jakož i Evropskému hospodářskému a sociálnímu výboru. Hodnocení posoudí zejména:

situace, které je třeba považovat za situace výjimečné potřeby pro účely článku 15 tohoto nařízení a uplatňování kapitoly V tohoto nařízení v praxi, zejména zkušenosti s uplatňováním kapitoly V tohoto nařízení subjekty veřejného sektoru, Komisí, Evropskou centrální bankou a subjekty Unie; počet a výsledky řízení zahájených u příslušného orgánu podle čl. 18 odst. 5 v souvislosti s uplatňováním kapitoly V tohoto nařízení, jak je oznámí příslušné orgány, dopad jiných povinností stanovených v unijním nebo vnitrostátním právu pro účely vyhovění žádostem o přístup k informacím; dopad dobrovolných mechanismů sdílení dat, jako jsou mechanismy zavedené organizacemi pro datový altruismus uznané podle nařízení (EU) 2022/868, na plnění cílů kapitoly V tohoto nařízení a úlohu osobních údajů v souvislosti s článkem 15 tohoto nařízení, včetně vývoje technologií zvyšujících ochranu soukromí;

b)	dopad tohoto nařízení na využívání dat v ekonomice, včetně inovací v oblasti dat, postupů zpeněžení dat a služeb zprostředkování dat, jakož i na sdílení dat v rámci společných evropských datových prostorů;

c)	dostupnost a využívání různých kategorií a druhů dat;

d)	vyloučení určitých kategorií podniků jako příjemců podle článku 5;

e)	absenci jakéhokoli dopadu na práva duševního vlastnictví;

f)	dopad na obchodní tajemství, včetně ochrany před neoprávněným získáním, použitím a zpřístupněním, jakož i dopad mechanismu umožňujícího držiteli dat zamítnout žádost uživatele podle čl. 4 odst. 8 a čl. 5 odst. 11při zohlednění v rámci možností jakékoli revize směrnice (EU) 2016/943;

g)	zda je seznam nepřiměřených smluvních ujednání uvedený v článku 13 aktuální s ohledem na nové obchodní praktiky a rychlé tempo inovací na trhu;

h)	změny smluvních praktik poskytovatelů služeb zpracování dat a to, zda vedou k dostatečnému souladu s článkem 25;

i)	snížení poplatků účtovaných poskytovateli služeb zpracování dat za změnu poskytovatele v souladu s postupným rušením poplatků za změnu poskytovatele v souladu s článkem 29;

j)	vzájemnou interakci tohoto nařízení s jinými právními akty Unie relevantními pro ekonomiku založenou na datech;

k)	předcházení protiprávnímu přístupu orgánů státní správy k neosobním údajům;

l)	efektivitu režimu vymáhání požadovaného podle článku 37;

m)	dopady tohoto nařízení na malé a střední podniky s ohledem na jejich inovační schopnost a dostupnost služeb zpracování dat pro evropské uživatele, jakož i zátěž spojenou s plněním nových povinností.

2. Do dne 12. září 2028 provede Komise hodnocení tohoto nařízení a předloží Evropskému parlamentu, Radě a Evropskému hospodářskému a sociálnímu výboru zprávu o hlavních zjištěních plynoucích z tohoto hodnocení. V hodnocení se posoudí dopad článků 23 až 31 a článků 34 a 35, zejména pokud jde o tvorbu cen a rozmanitost služeb zpracování dat nabízených v rámci Unie, se zvláštním zaměřením na poskytovatele z řad malých a středních podniků.

3. Členské státy poskytnou Komisi informace nezbytné pro vypracování zpráv uvedených v odstavcích 1 a 2.

4. Komise může na základě zpráv uvedených v odstavcích 1 a 2 případně předložit Evropskému parlamentu a Radě legislativní návrh na změnu tohoto nařízení.

whereas

keyboard_tab Data Act 2023/2854 CS

Data Act 2023/2854 CS