keyboard_tab Data Act 2023/2854 HR
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 1 Članak 11. Mjere tehničke zaštite o neovlaštenoj uporabi ili otkrivanju podataka
- 3 Članak 25. Ugovorne odredbe koje se odnose na promjenu
- 2 Članak 37. Nadležna tijela i koordinatori podataka
- 1 Članak 38. Pravo na podnošenje pritužbe
POGLAVLJE I.
OPĆE ODREDBE
POGLAVLJE II.
DIJELJENJE PODATAKA IZMEĐU PODUZEĆA I POTROŠAČA TE MEĐU PODUZEĆIMA
POGLAVLJE III.
OBVEZE IMATELJA PODATAKA KOJI SU U SKLADU S PRAVOM UNIJE OBVEZNI STAVITI PODATKE NA RASPOLAGANJE
POGLAVLJE IV.
NEPOŠTENE UGOVORNE ODREDBE POVEZANE S PRISTUPOM PODACIMA I NJIHOVOM UPORABOM MEĐU PODUZEĆIMA
POGLAVLJE V.
STAVLJANJE PODATAKA NA RASPOLAGANJE TIJELIMA JAVNOG SEKTORA, KOMISIJI, EUROPSKOJ SREDIŠNJOJ BANCI I TIJELIMA UNIJE NA TEMELJU IZNIMNE POTREBE
POGLAVLJE VI.
PROMJENA USLUGE OBRADE PODATAKA
POGLAVLJE VII.
NEZAKONITI MEĐUNARODNI PRISTUP TIJELA VLASTI NEOSOBNIM PODACIMA I NEZAKONITI MEĐUNARODNI PRIJENOS NEOSOBNIH PODATAKA TIJELIMA VLASTI
POGLAVLJE VIII.
INTEROPERABILNOST
POGLAVLJE IX.
PROVEDBA I IZVRŠAVANJE
POGLAVLJE X.
PRAVO SUI GENERIS NA TEMELJU DIREKTIVE 96/9/EZ
POGLAVLJE XI.
ZAVRŠNE ODREDBE
- podataka 70
- koji 27
- uredbe 25
- koje 24
- tijela 24
- skladu 20
- usluga 16
- obrade 14
- primjene 13
- usluge 11
- mogu 11
- kako 11
- među 10
- raspolaganje 10
- tijelima 9
- podatke 9
- pravo 8
- mjere 8
- članice 8
- pravom 8
- ostalim 8
- ovog 8
- unije 8
- tehničke 8
- nakon 8
- nadležnim 7
- klijent 7
- eu / 7
- promjene 7
- tijelo 7
- tijekom 7
- isteka 7
- kojoj 7
- temelju 7
- pružatelja 7
- svih 7
- područjem 7
- strane 6
- koja 6
- država 6
- članica 6
- stavka 6
- primjenjuje 6
- korisnika 6
- subjekt 6
- zahtjev 6
- informacije 6
- zaštite 6
- uredbom 6
- razdoblja 6
Članak 11.
Mjere tehničke zaštite o neovlaštenoj uporabi ili otkrivanju podataka
1. Imatelj podataka može primijeniti primjerene mjere tehničke zaštite, uključujući pametne ugovore i šifriranje, kako bi spriječio neovlašten pristup podacima, uključujući metapodatke, i kako bi osigurao usklađenost s člancima 4., 5., 6., 8. i 9., kao i s dogovorenim ugovornim odredbama za stavljanje podataka na raspolaganje. Takvim mjerama tehničke zaštite ne smije se diskriminirati primatelje podataka niti se smije ugrožavati pravo korisnika na pribavljanje kopije podataka, dohvaćanje podataka, uporabu podataka ili pristup podacima, na pružanje podataka trećim stranama u skladu s člankom 5. ili bilo koje pravo treće strane u skladu s pravom Unije ili nacionalnim zakonodavstvom donesenim u skladu s pravom Unije. Korisnici, treće strane i primatelji podataka ne smiju izmijeniti niti ukloniti takve mjere tehničke zaštite osim ako je imatelj podataka za to dao suglasnost.
2. U okolnostima iz stavka 3. treća strana ili primatelj podataka bez nepotrebne odgode postupa u skladu sa zahtjevima imatelja podataka i, ako je to primjenjivo i ako nije riječ o istoj osobi, nositelja poslovne tajne ili korisnika:
| (a) | za brisanje podataka koje je na raspolaganje stavio imatelj podataka i svih njihovih kopija; |
| (b) | za okončanje proizvodnje, nuđenja ili stavljanja na tržište ili uporabe robe, izvedenih podataka ili usluga, koji su proizvedeni na temelju znanja stečenog uporabom takvih podataka ili uvoza, izvoza ili pohrane robe kojom je počinjena povreda u te svrhe i uništavanje sve robe kojom je počinjena povreda ako postoji ozbiljan rizik da će nezakonita uporaba tih podataka prouzročiti znatnu štetu imatelju podataka, nositelju poslovne tajne ili korisniku ili ako takva mjera ne bi bila nerazmjerna s obzirom na interese imatelja podataka, nositelja poslovne tajne ili korisnika; |
| (c) | za obavješćivanje korisnika o neovlaštenoj uporabi ili otkrivanju podataka te o mjerama poduzetima kako bi se zaustavili neovlaštena uporaba ili otkrivanje podataka; |
| (d) | za nadoknadu strani koja je žrtva zlouporabe ili otkrivanja takvih podataka kojima je nezakonito pristupljeno ili koji su nezakonito upotrijebljeni. |
3. Stavak 2. primjenjuje se ako je treća strana ili primatelj podataka:
| (a) | za potrebe pribavljanja podataka pružio lažne informacije imatelju podataka, primijenio obmanjujuća sredstva ili sredstva prisile ili zloupotrijebio nedostatke u tehničkoj infrastrukturi imatelja podataka namijenjenoj zaštiti podataka; |
| (b) | u neovlaštene svrhe upotrijebio podatke koji su stavljeni na raspolaganje, uključujući razvoj konkurentnog povezanog proizvoda u smislu članka 6. stavka 2. točke (e); |
| (c) | nezakonito otkrio podatke drugoj strani; |
| (d) | nije održao tehničke i organizacijske mjere dogovorene u skladu s člankom 5. stavkom 9.; ili |
| (e) | izmijenio ili uklonio mjere tehničke zaštite koje primjenjuje imatelj podataka u skladu sa stavkom 1. ovog članka bez suglasnosti imatelja podataka. |
4. Stavak 2. primjenjuje se i ako korisnik izmijeni ili ukloni mjere tehničke zaštite koje primjenjuje imatelj podataka ili ne održi tehničke i organizacijske mjere koje je korisnik poduzeo u dogovoru s imateljem podataka ili, ako nije riječ o istoj osobi, nositeljem poslovnih tajni, kako bi očuvao poslovne tajne, kao i u pogledu bilo koje druge strane koja prima podatke od korisnika slijedom povrede ove Uredbe.
5. Ako je primatelj podataka povrijedio članak 6. stavak 2. točku (a) ili točku (b), korisnici imaju ista prava kao i imatelji podataka u skladu sa stavkom 2. ovog članka.
Članak 25.
Ugovorne odredbe koje se odnose na promjenu
1. Prava klijenta i obveze pružatelja usluga obrade podataka koje se odnose na promjenu pružatelja takvih usluga ili, ako je to primjenjivo, na prebacivanje na lokalnu infrastrukturu IKT-a jasno se navode u pisanom ugovoru. Pružatelj usluga obrade podataka stavlja taj ugovor na raspolaganje klijentu prije potpisivanja ugovora na način kojim se klijentu omogućuje da pohrani i reproducira ugovor.
2. Ne dovodeći u pitanje Direktivu (EU) 2019/770, ugovor iz stavka 1. ovog članka sadržava barem sljedeće:
| (a) | klauzule kojima se klijentu omogućuju da se na zahtjev prebaci na uslugu obrade podataka koju nudi drugi pružatelj usluga obrade podataka ili da sve podatke koji se mogu izvesti i digitalne resurse premjesti na lokalnu infrastrukturu IKT-a bez nepotrebne odgode i u svakom slučaju najkasnije u obveznom maksimalnom prijelaznom razdoblju od 30 kalendarskih dana, koje počinje nakon isteka maksimalnog otkaznog roka iz točke (d), a tijekom kojeg se ugovor o pružanju usluge i dalje primjenjuje i tijekom kojeg pružatelj usluga obrade podataka:
|
| (b) | obvezu pružatelja usluga obrade podataka da podupire izlaznu strategiju klijenta koja je relevantna za ugovorene usluge, među ostalim pružanjem svih relevantnih informacija; |
| (c) | klauzulu kojom se utvrđuje da se ugovor smatra raskinutim te da se klijenta obavješćuje o raskidu u jednom od sljedećih slučajeva:
|
| (d) | maksimalni otkazni rok za pokretanje procesa promjene, koji ne smije biti dulji od dva mjeseca; |
| (e) | iscrpno navođenje svih kategorija podataka i digitalnih resursa koji se mogu prenijeti tijekom procesa promjene, uključujući barem sve podatke koji se mogu izvesti; |
| (f) | iscrpno navođenje kategorija podataka koji su specifični za interno funkcioniranje pružateljeve usluge obrade podataka, a koje treba izuzeti od podataka koji se mogu izvesti u skladu s točkom (e) ovog stavka ako postoji rizik od povrede pružateljevih poslovnih tajnih, pod uvjetom da se takvim iznimkama ne ometa niti odgađa proces promjene predviđen u članku 23.; |
| (g) | minimalno razdoblje za dohvat podataka od najmanje 30 kalendarskih dana, koje počinje nakon isteka prijelaznog razdoblja o kojem su se dogovorili klijent i pružatelj usluga obrade podataka u skladu s točkom (a) ovog stavka i stavkom 4.; |
| (h) | klauzulu kojom se jamči potpuno brisanje svih podataka koji se mogu izvesti i digitalnih resursa koje izravno generira klijent, ili koji se izravno odnose na klijenta, nakon isteka razdoblja dohvata iz točke (g) ili nakon isteka alternativnoga dogovorenog razdoblja na datum koji je kasniji od datuma isteka razdoblja dohvata iz točke (g), pod uvjetom da je proces promjene uspješno dovršen; |
| (i) | naknade za promjenu koje mogu nametnuti pružatelji usluga obrade podataka u skladu s člankom 29. |
3. Ugovor iz stavka 1. uključuje klauzule kojima se predviđa da klijent može obavijestiti pružatelja usluga obrade podataka o svojoj odluci da izvrši jednu ili više sljedećih radnji nakon isteka maksimalnog otkaznog roka iz stavka 2. točke (d):
| (a) | prebaci se na drugog pružatelja usluga obrade podataka, u kojem slučaju klijent daje potrebne pojedinosti tom pružatelju; |
| (b) | prebaci se na lokalnu infrastrukturu IKT-a; |
| (c) | izbriše svoje podatke koji se mogu izvesti i digitalne resurse. |
4. Ako je obvezno maksimalno prijelazno razdoblje kako je predviđeno u stavku 2. točki (a) tehnički neizvedivo, pružatelj usluga obrade podataka o tome obavješćuje klijenta u roku od 14 radnih dana od podnošenja zahtjeva za promjenu i propisno obrazlaže tehničku neizvedivost te navodi alternativno prijelazno razdoblje koje ne smije biti dulje od sedam mjeseci. U skladu sa stavkom 1. kontinuitet pružanja usluge osigurava se tijekom cijelog alternativnog prijelaznog razdoblja.
5. Ne dovodeći u pitanje stavak 4., ugovor iz stavka 1. uključuje klauzule kojima se klijentu daje pravo da jednom produlji prijelazno razdoblje za razdoblje koje klijent smatra primjerenim za svoje potrebe.
Članak 37.
Nadležna tijela i koordinatori podataka
1. Svaka država članica imenuje jedno ili više nadležnih tijela koja će biti odgovorna za primjenu i izvršavanje ove Uredbe (nadležna tijela). Države članice mogu osnovati jedno ili više novih tijela ili se mogu osloniti na postojeća tijelima.
2. Ako država članica imenuje više nadležnih tijela, među njima imenuje koordinatora podataka kako bi olakšala suradnju među nadležnim tijelima i pomogla subjektima obuhvaćenima područjem primjene ove Uredbe u vezi sa svim pitanjima koja se odnose na primjenu i izvršavanje. Nadležna tijela surađuju međusobno pri izvršavanju svojih zadaća i ovlasti koje su im dodijeljene na temelju stavka 5.
3. Nadzorna tijela odgovorna za praćenje primjene Uredbe (EU) 2016/679 odgovorna su za praćenje primjene ove Uredbe u mjeri u kojoj se to odnosi na zaštitu osobnih podataka. Poglavlja VI. i VII. Uredbe (EU) 2016/679 primjenjuju se mutatis mutandis.
Europski nadzornik za zaštitu podataka odgovoran je za praćenje primjene ove Uredbe u mjeri u kojoj se ona odnosi na Komisiju, Europsku središnju banku ili tijela Unije. Ako je to relevantno, članak 62. Uredbe (EU) 2018/1725 primjenjuje se mutatis mutandis.
Zadaće i ovlasti nadzornih tijela iz ovog stavka izvršavaju se s obzirom na obradu osobnih podataka.
4. Ne dovodeći u pitanje stavak 1. ovog članka:
| (a) | u vezi s posebnim sektorskim pitanjima pristupa podacima i uporabe podataka povezanima s primjenom ove Uredbe poštuje se nadležnost sektorskih tijela; |
| (b) | nadležno tijelo odgovorno za primjenu i izvršavanje članaka od 23. do 31. te članaka 34. i 35. mora imati iskustvo u području podataka i elektroničkim komunikacijskim uslugama. |
5. Države članice osiguravaju da su zadaće i ovlasti nadležnih tijela jasno definirane i da uključuju:
| (a) | promicanje podatkovne pismenosti i informiranje korisnika i subjekata obuhvaćenih područjem primjene ove Uredbe o pravima i obvezama koji se na njoj temelje; |
| (b) | rješavanje pritužaba koje proizlaze iz navodnih povreda ove Uredbe, među ostalim u vezi s poslovnim tajnama, i istraživanje predmeta pritužaba, u mjeri u kojoj je to primjereno, te redovito obavješćivanje podnositelja pritužaba, ako je to relevantno u skladu s nacionalnim pravom, o napretku i ishodu istrage, i to u razumnom roku, posebno ako je potrebna daljnja istraga ili koordinacija s drugim nadležnim tijelom; |
| (c) | provedbu istraga o pitanjima koja se odnose na primjenu ove Uredbe, među ostalim na temelju informacija primljenih od drugog nadležnog tijela ili drugog tijela javne vlasti; |
| (d) | izricanje učinkovitih, proporcionalnih i odvraćajućih financijskih sankcija koje mogu uključivati periodične sankcije i sankcije s retroaktivnim učinkom, ili pokretanje sudskih postupaka radi izricanja novčanih kazni; |
| (e) | praćenje tehnološkog i relevantnog komercijalnog razvoja koji je važan za stavljanje podataka na raspolaganje i njihovu uporabu; |
| (f) | suradnju s nadležnim tijelima drugih država članica i, ako je relevantno, s Komisijom ili EDIB-om, radi osiguravanja dosljedne i učinkovite primjene ove Uredbe, među ostalim i razmjene svih relevantnih informacija elektroničkim putem, bez nepotrebne odgode, među ostalim i u pogledu stavka 10. ovog članka; |
| (g) | suradnju s relevantnim nadležnim tijelima odgovornima za provedbu drugih pravnih akata Unije ili nacionalnih pravnih akata, među ostalim i s tijelima nadležnima u području podataka i za elektroničke komunikacijske usluge, s nadzornim tijelom odgovornim za praćenje primjene Uredbe (EU) 2016/679 ili sa sektorskim tijelima, kako bi se osiguralo dosljedno izvršavanje ove Uredbe u odnosu na drugo pravo Unije i nacionalno pravo; |
| (h) | suradnju s relevantnim nadležnim tijelima kako bi se osiguralo dosljedno izvršavanje članaka od 23. do 31. te članaka 34. i 35. u odnosu na drugo pravo Unije i samoregulaciju koji se primjenjuju na pružatelje usluga obrade podataka; |
| (i) | osiguravanje da se naknade za promjenu ukinu u skladu s člankom 29.; |
| (j) | razmatranje zahtjeva za podatke podnesenih na temelju poglavlja V. |
Ako je imenovan, koordinator podataka olakšava suradnju iz prvog podstavka točaka (f), (g) i (h) i pomaže nadležnim tijelima na njihov zahtjev.
6. Koordinator podataka, ako je takvo nadležno tijelo imenovano:
| (a) | djeluje kao jedinstvena kontaktna točka za sva pitanja povezana s primjenom ove Uredbe; |
| (b) | osigurava da su na internetu javno dostupni zahtjevi za stavljanje podataka na raspolaganje koje su podnijela tijela javnog sektora u slučaju iznimne potrebe iz poglavlja V. i promiče dobrovoljne sporazume o dijeljenju podataka između tijelâ javnog sektora i imateljâ podataka; |
| (c) | jednom godišnje obavješćuje Komisiju o odbijanjima o kojima je obaviješteno na temelju članka 4. stavaka 2. i 8. te članka 5. stavka 11. |
7. Države članice obavješćuju Komisiju o nazivima nadležnih tijela te o njihovim zadaćama i ovlastima te, ako je to primjenjivo, o nazivu odnosno imenu koordinatora podataka. Komisija vodi javni registar tih tijela.
8. Pri obavljanju svojih zadaća i izvršavanju svojih ovlasti u skladu s ovom Uredbom nadležna tijela nepristrana su i nisu pod vanjskim utjecajem, bilo izravnim ili neizravnim, te ne traže niti primaju upute u pogledu pojedinačnih slučajeva od nijednog drugog tijela javne vlasti odnosno nijedne privatne strane.
9. Države članice osiguravaju da nadležna tijela raspolažu dostatnim ljudskim i tehničkim resursima i relevantnim stručnim znanjem za djelotvorno obavljanje svojih zadaća u skladu s ovom Uredbom.
10. Subjekti obuhvaćeni područjem primjene ove Uredbe podliježu nadležnosti države članice u kojoj imaju poslovni nastan. Ako subjekt ima poslovni nastan u više država članica, smatra se da je u nadležnosti države članice u kojoj ima glavni poslovni nastan, odnosno u kojoj ima mjesto poslovanja ili registrirano sjedište iz kojeg se obavljaju glavne financijske funkcije i operativna kontrola.
11. Svi subjekti koji su obuhvaćeni područjem primjene ove Uredbe i koji stavljaju povezane proizvode na raspolaganje ili nude usluge u Uniji, a nemaju poslovni nastan u Uniji, moraju imenovati pravnog zastupnika u jednoj od država članica.
12. Za potrebe osiguravanja usklađenosti s ovom Uredbom subjekt obuhvaćen područjem primjene ove Uredbe koji stavlja povezane proizvode na raspolaganje ili nudi usluge u Uniji ovlašćuje pravnog zastupnika kako bi se osim tom subjektu ili umjesto njemu nadzorna tijela obraćala tom pravnom zastupniku u vezi sa svim pitanjima povezanima s tim subjektom. Taj pravni zastupnik surađuje s nadležnim tijelima i na zahtjev im pruža sveobuhvatan prikaz mjera i radnji koje je poduzeo subjekt koji je obuhvaćen područjem primjene ove Uredbe i koji stavlja povezane proizvode na raspolaganje ili nudi usluge u Uniji kako bi osigurao usklađenost s ovom Uredbom.
13. Smatra se da je subjekt koji je obuhvaćen područjem primjene ove Uredbe i koji stavlja povezane proizvode na raspolaganje ili nudi usluge u Uniji u nadležnosti države članice u kojoj se nalazi njegov pravni zastupnik. Imenovanjem pravnog zastupnika od strane takvog subjekta ne dovode se u pitanje odgovornost takvog subjekta i bilo kakvi pravni postupci koji bi mogli biti pokrenuti protiv takvog subjekta. Dok subjekt ne imenuje pravnog zastupnika u skladu s ovim člankom u nadležnosti je svih država članica, ako je to primjenjivo, za potrebe osiguravanja primjene i izvršavanja ove Uredbe. Svako nadležno tijelo može izvršavati svoju nadležnost, među ostalim izricanjem učinkovitih, proporcionalnih i odvraćajućih sankcija, pod uvjetom da subjekt nije predmetom drugog postupka izvršavanja na temelju ove Uredbe, koji vodi drugo nadležno tijelo zbog istih činjenica.
14. Nadležna tijela ovlaštena su od korisnika, imatelja podataka ili primatelja podataka, ili njihovih pravnih zastupnika, koji su u nadležnosti njihove države članice zatražiti sve informacije potrebne za provjeru usklađenosti s ovom Uredbom. Svaki zahtjev za informacije mora biti razmjeran izvršenju povezane zadaće i obrazložen.
15. Ako nadležno tijelo u jednoj državi članici traži pomoć ili mjere izvršavanja od nadležnog tijela u drugoj državi članici, ono podnosi obrazložen zahtjev. Nadležno tijelo po primitku takvog zahtjeva bez nepotrebne odgode dostavlja odgovor u kojem navodi koje su radnje poduzete ili se planiraju poduzeti.
16. Nadležna tijela poštuju načela povjerljivosti i čuvanja profesionalne i poslovne tajne te štite osobne podatke u skladu s pravom Unije ili nacionalnim pravom. Sve informacije razmijenjene u kontekstu zahtjeva za pomoć i pružene u skladu s ovim člankom smiju se upotrebljavati samo u vezi s onim pitanjem za koje su zatražene.
Članak 38.
Pravo na podnošenje pritužbe
1. Ne dovodeći u pitanje bilo koje drugo pravno sredstvo u upravnom ili sudskom postupku, fizičke i pravne osobe imaju pravo podnijeti pritužbu, pojedinačno ili, prema potrebi, kolektivno, relevantnom nadležnom tijelu u državi članici njihova uobičajenog boravišta, mjesta rada ili poslovnog nastana ako smatraju da su njihova prava iz ove Uredbe povrijeđena. Koordinator podataka na zahtjev dostavlja fizičkim i pravnim osobama sve informacije potrebne za podnošenje pritužbi odgovarajućem nadležnom tijelu.
2. Nadležno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe u skladu s nacionalnim pravom o tijeku postupka i donesenoj odluci.
3. Nadležna tijela surađuju kako bi djelotvorno i pravodobno obradila i riješila pritužbe, među ostalim razmjenom svih relevantnih informacija elektroničkim putem, bez nepotrebne odgode. Ta suradnja ne utječe na mehanizme suradnje predviđene poglavljima VI. i VII. Uredbe (EU) 2016/679 i Uredbom (EU) 2017/2394.
whereas