Data Act 2023/2854 PL

Prawa i obowiązki użytkowników i posiadaczy danych w odniesieniu do dostępu do danych z produktu i z usługi powiązanej, ich wykorzystywania i udostępniania

1. W przypadku gdy użytkownik nie może uzyskać bezpośredniego dostępu do danych z produktu skomunikowanego lub z usługi powiązanej, posiadacze danych bez zbędnej zwłoki, w sposób łatwy i bezpieczny, nieodpłatnie udostępniają użytkownikowi dane łatwo dostępne, wraz z odpowiednimi metadanymi niezbędnymi do interpretacji i wykorzystania tych danych, cechujące się taką samą jakością, jaka jest dostępna dla posiadacza danych, w całościowym, ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego formacie oraz w stosownym przypadku i jeżeli jest to technicznie wykonalne – w sposób ciągły i w czasie rzeczywistym. Odbywa się to na podstawie zwykłego wniosku złożonego drogą elektroniczną, jeżeli jest to technicznie możliwe.

2. Użytkownicy i posiadacze danych mogą umownie ograniczyć lub zakazać dostępu do danych, ich wykorzystywania lub dalszego dzielenia się nimi, jeżeli takie przetwarzanie mogłoby zagrozić wymaganiom bezpieczeństwa produktu skomunikowanego określonym w prawie Unii lub prawie krajowym i mieć poważny negatywny wpływ na zdrowie, bezpieczeństwo lub ochronę osób fizycznych. Organy sektorowe mogą zapewnić użytkownikom i posiadaczom danych fachową wiedzę techniczną w tym kontekście. W przypadku gdy posiadacz_danych odmawia dzielenia się danymi na podstawie niniejszego artykułu, powiadamia on właściwy organ wyznaczony zgodnie z art. 37.

3. Bez uszczerbku dla przysługującego użytkownikowi w dowolnym momencie prawa do dochodzenia roszczeń przed sądem lub trybunałem państwa członkowskiego, użytkownik może w związku ze sporem z posiadaczem danych w sprawie ograniczeń umownych lub zakazów, o których mowa w ust. 2:

a)	wnieść skargę do właściwego organu zgodnie z art. 37 ust. 5 lit. b); lub

b)	uzgodnić z posiadaczem danych wniesienie sprawy do organu rozstrzygania sporów zgodnie z art. 10 ust. 1.

4. Posiadacze danych nie utrudniają bezzasadnie użytkownikom dokonywania wyborów ani wykonywania praw na podstawie niniejszego artykułu, w tym poprzez oferowanie użytkownikom wyboru w sposób nieneutralny lub poprzez podważanie lub ograniczanie autonomii, zdolności decyzyjnych lub wyborów użytkownika za pomocą struktury, projektu, funkcji lub sposobu działania interfejsu cyfrowego użytkownika bądź jego części.

5. W celu kontroli, czy osoba fizyczna lub prawna kwalifikuje się jako użytkownik na potrzeby ust. 1, posiadacz_danych nie wymaga od użytkownika dostarczenia żadnych informacji poza tymi, które są niezbędne. Posiadacze danych nie zachowują żadnych informacji, w szczególności danych z rejestru zdarzeń, na temat dostępu użytkownika do żądanych danych poza informacjami, które są niezbędne do należytego wykonania wniosku użytkownika o dostęp oraz do zapewnienia bezpieczeństwa i utrzymania infrastruktury danych.

6. Chroni się tajemnice przedsiębiorstwa i ujawnia się je wyłącznie wtedy, gdy posiadacz_danych i użytkownik przed ujawnieniem zastosują wszelkie środki niezbędne do ochrony ich poufności, w szczególności w odniesieniu do osób trzecich. Posiadacz danych lub, jeżeli nie jest to ta sama osoba, posiadacz_tajemnicy_przedsiębiorstwa identyfikują dane chronione, w tym stosowne meta dane, jako tajemnice przedsiębiorstwa i uzgadniają z użytkownikiem proporcjonalne środki techniczne i organizacyjne niezbędne do ochrony poufności danych podlegających dzieleniu się, w szczególności w odniesieniu do osób trzecich, takie jak modelowe postanowienia umowne, umowy o poufności, protokoły ścisłego dostępu, normy techniczne oraz stosowanie kodeksów postępowania.

7. W przypadku gdy nie uzgodniono niezbędnych środków technicznych, o których mowa w ust. 6, lub gdy użytkownik nie wdraża środków uzgodnionych zgodnie z ust. 6 lub zagraża poufności tajemnic przedsiębiorstwa, posiadacz_danych może wstrzymać lub w stosownym przypadku zawiesić dzielenie się danymi zidentyfikowanymi jako tajemnice przedsiębiorstwa. Posiadacz danych należycie uzasadnia decyzję i bez zbędnej zwłoki przekazuje ją na piśmie użytkownikowi. W takich przypadkach posiadacz_danych powiadamia właściwy organ wyznaczony zgodnie z art. 37, że wstrzymał lub zawiesił dzielenie się danymi, i wskazuje, których środków nie wdrożono lub nie zastosowano, lub w stosownym przypadku poufność których tajemnic przedsiębiorstwa zagrożono.

8. W wyjątkowych okolicznościach, w przypadku gdy posiadacz_danych będący posiadaczem tajemnicy przedsiębiorstwa może wykazać, że mimo środków technicznych i organizacyjnych zastosowanych przez użytkownika zgodnie z ust. 6 niniejszego artykułu ujawnienie tajemnic handlowych z dużym prawdopodobieństwem poskutkuje poważną szkodą ekonomiczną, posiadacz_danych może w tym konkretnym przypadku odrzucić wniosek o dostęp do tych konkretnych danych. Wykazane informacje zostają należycie uzasadnione na podstawie obiektywnych elementów, w szczególności egzekwowalności tajemnic przedsiębiorstwa w krajach trzecich, charakteru i poziomu poufności żądanych danych oraz niepowtarzalności i nowatorskości produktu skomunikowanego, i przedstawione na piśmie bez zbędnej zwłoki. W przypadku gdy posiadacz_danych odmawia dzielenia się danymi na podstawie niniejszego ustępu, powiadamia on właściwy organ wyznaczony zgodnie z art. 37.

9. Bez uszczerbku dla przysługującego użytkownikowi w dowolnym momencie prawa do dochodzenia roszczeń przed sądem lub trybunałem państwa członkowskiego, użytkownik chcący zaskarżyć decyzję posiadacza danych o odmowie, wstrzymaniu lub zawieszeniu dzielenia się danymi zgodnie z ust. 7 i 8 może:

a)	wnieść skargę zgodnie z art. 37 ust. 5 lit. b) do właściwego organu, który bez zbędnej zwłoki podejmuje decyzję, czy i na jakich warunkach dzielenie się danymi powinno się rozpocząć lub zostać wznowione; lub

b)	uzgodnić z posiadaczem danych wniesienie sprawy do organu rozstrzygania sporów zgodnie z art. 10 ust. 1.

10. Użytkownik nie wykorzystuje danych pozyskanych na podstawie wniosku, o którym mowa w ust. 1, do opracowania produktu skomunikowanego konkurującego z produktem skomunikowanym, z którego pochodzą dane, ani nie dzieli się w tym celu danymi z osobą trzecią i nie wykorzystuje takich danych do pozyskania informacji o sytuacji ekonomicznej, aktywach i metodach produkcji producenta lub w stosownym przypadku posiadacza danych.

11. Użytkownik nie stosuje środków przymusu ani nie nadużywa luk w infrastrukturze technicznej posiadacza danych, która ma chronić dane, w celu uzyskania dostępu do danych.

12. W przypadku gdy użytkownik nie jest osobą, której dotyczą dane osobowe objęte wnioskiem, wszelkie dane osobowe wygenerowane w wyniku korzystania z produktu skomunikowanego lub usługi powiązanej są udostępniane użytkownikowi przez posiadacza danych wyłącznie wtedy, gdy istnieje ważna podstawa prawna przetwarzania zgodnie z art. 6 rozporządzenia (UE) 2016/679 oraz w stosownym przypadku spełnione są warunki określone w art. 9 tego rozporządzenia i w art. 5 ust. 3 dyrektywy (UE) 2002/58.

13. Posiadacz danych wykorzystuje dane łatwo dostępne będące danymi nieosobowymi wyłącznie na podstawie umowy z użytkownikiem. Posiadacz danych nie wykorzystuje takich danych do pozyskania informacji o sytuacji ekonomicznej, aktywach i metodach produkcji użytkownika lub korzystaniu przez użytkownika, które to informacje mogłyby w inny sposób osłabić pozycję handlową użytkownika na rynkach jego działalności.

14. Posiadacze danych nie udostępniają danych nieosobowych z produktu osobom trzecim w celach handlowych lub niehandlowych innych niż realizacja umowy z użytkownikiem. W stosownych przypadkach posiadacze danych umownie zobowiązują osoby trzecie, aby nie dzieliły się dalej otrzymanymi od nich danymi.

Artykuł 5

Prawo użytkownika do dzielenia się danymi z osobami trzecimi

1. Na wniosek użytkownika lub strony działającej w jego imieniu posiadacz_danych bez zbędnej zwłoki w sposób łatwy i bezpieczny oraz nieodpłatnie dla użytkownika udostępnia osobie trzeciej dane łatwo dostępne wraz z odpowiednimi metadanymi niezbędnymi do interpretacji i wykorzystania tych danych cechujące się taką samą jakością, jaka jest dostępna dla posiadacza danych, w całościowym, ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego formacie oraz w stosownym przypadku i jeżeli jest to technicznie możliwe – w sposób ciągły i w czasie rzeczywistym. Danych są udostępniane przez posiadacza danych osobie trzeciej zgodnie z art. 8 i 9.

2. Ust. 1 nie ma zastosowania do danych łatwo dostępnych w kontekście testowania nowych produktów skomunikowanych, substancji lub procesów, które nie zostały jeszcze wprowadzone do obrotu, chyba że ich wykorzystanie przez osobę trzecią jest dozwolone na podstawie umowy.

3. Przedsiębiorstwo wskazane jako strażnik dostępu na mocy art. 3 rozporządzenia (UE) 2022/1925 nie kwalifikuje się jako osoba trzecia na mocy niniejszego artykułu, a zatem:

a)	w żaden sposób nie nakłania ani komercyjnie nie zachęca użytkownika, w tym przez zapewnienie rekompensaty pieniężnej lub jakiejkolwiek innej, do udostępnienia danych, które użytkownik pozyskał na podstawie wniosku złożonego zgodnie z art. 4 ust. 1, na potrzeby jednej ze swoich usług;

b)	nie nakłania ani komercyjnie nie zachęca użytkownika do zwrócenia się do posiadacza danych z wnioskiem o udostępnienie danych na potrzeby jednej ze swoich usług zgodnie z ust. 1 niniejszego artykułu;

c)	nie otrzymuje danych od użytkownika, które użytkownik pozyskał na podstawie wniosku złożonego zgodnie z art. 4 ust. 1.

4. W celu kontroli, czy osoba fizyczna lub prawna kwalifikuje się jako użytkownik lub osoba trzecia w świetle ust. 1, użytkownik ani osoba trzecia nie muszą dostarczać żadnych informacji poza tymi, które są niezbędne. Posiadacze danych nie zachowują żadnych informacji na temat dostępu osoby trzeciej do żądanych danych poza informacjami, które są niezbędne do należytego wykonania wniosku osoby trzeciej o dostęp oraz do zapewnienia bezpieczeństwa i utrzymania infrastruktury danych.

5. Osoba trzecia nie stosuje środków przymusu ani nie nadużywa luk w infrastrukturze technicznej posiadacza danych, która ma chronić dane, w celu uzyskania dostępu do danych.

6. Posiadacz danych nie wykorzystuje danych łatwo dostępnych do pozyskania informacji o sytuacji ekonomicznej, aktywach i metodach produkcji osoby trzeciej lub korzystaniu przez osobę trzecią w inny sposób, które to informacje mogłyby osłabić pozycję handlową osoby trzeciej na rynkach jej działalności, chyba że osoba trzecia pozwoliła na takie wykorzystanie i ma techniczną możliwość łatwego wycofania tego pozwolenia w dowolnym momencie.

7. W przypadku gdy użytkownik nie jest osobą, której dotyczą dane osobowe objęte wnioskiem, wszelkie dane osobowe wygenerowane w wyniku korzystania z produktu skomunikowanego lub usługi powiązanej są udostępniane osobie trzeciej przez posiadacza danych, wyłącznie wtedy, gdy istnieje ważna podstawa prawna przetwarzania zgodnie z art. 6 rozporządzenia (UE) 2016/679, oraz gdy w stosownym przypadku spełnione są warunki określone w art. 9 tego rozporządzenia i w art. 5 ust. 3 dyrektywy (UE) 2022/58.

8. Wszelkie przypadki niedokonania przez posiadacza danych i osobę trzecią uzgodnień dotyczących przesyłania danych nie utrudniają, nie uniemożliwiają ani nie zakłócają wykonywania praw przysługujących osobie, której dane dotyczą, na podstawie rozporządzenia (UE) 2016/679, a w szczególności prawa do przenoszenia danych na podstawie w art. 20 tego rozporządzenia.

9. Chroni się tajemnice przedsiębiorstwa i ujawnia się je osobom trzecim wyłącznie w zakresie, w jakim jest to ściśle niezbędne do realizacji celu uzgodnionego przez użytkownika i osobę trzecią. Posiadacz danych lub, jeżeli nie jest to ta sama osoba, posiadacz_tajemnicy_przedsiębiorstwa identyfikują dane chronione jako tajemnice przedsiębiorstwa, w tym stosowne meta dane, i uzgadniają z użytkownikiem wszelkie proporcjonalne środki techniczne i organizacyjne niezbędne do ochrony poufności danych będących przedmiotem dzielenia się, takie jak modelowe postanowienia umowne, umowy o poufności, protokoły ścisłego dostępu, normy techniczne oraz stosowanie kodeksów postępowania.

10. W przypadku gdy nie uzgodniono niezbędnych środków, o których mowa w ust. 9, lub gdy osoba trzecia nie wdraża środków uzgodnionych zgodnie z ust. 9 lub zagraża poufności tajemnic przedsiębiorstwa, posiadacz_danych może wstrzymać lub w stosownym przypadku zawiesić dzielenie się danymi zidentyfikowanymi jako tajemnice przedsiębiorstwa. Posiadacz danych należycie uzasadnia decyzję i bez zbędnej zwłoki przekazuje ją na piśmie osobie trzeciej. W takich przypadkach posiadacz_danych powiadamia właściwy organ wyznaczony zgodnie z art. 37, że wstrzymał lub zawiesił dzielenie się danymi, i wskazuje, których środków nie uzgodniono lub nie wdrożono lub w stosownym przypadku poufność których tajemnic przedsiębiorstwa zagrożono.

11. W wyjątkowych okolicznościach, kiedy posiadacz_danych będący posiadaczem tajemnicy przedsiębiorstwa może wykazać, że mimo środków technicznych i organizacyjnych zastosowanych przez osobę trzecią zgodnie z art. 9 niniejszego artykułu, ujawnienie tajemnic handlowych z dużym prawdopodobieństwem poskutkuje poważną szkodą ekonomiczną, posiadacz_danych może w tym konkretnym przypadku odrzucić wniosek o dostęp do tych konkretnych danych. Wykazane informacje zostają należycie uzasadnione na podstawie obiektywnych elementów, w szczególności egzekwowalności tajemnic przedsiębiorstwa w krajach trzecich, charakteru i poziomu poufności żądanych danych oraz niepowtarzalności i nowatorskości produktu, i przedstawione na piśmie bez zbędnej zwłoki. W przypadku gdy posiadacz_danych odmawia dzielenia się danymi na podstawie niniejszego ustępu, powiadamia on właściwy organ wyznaczony zgodnie z art. 37.

12. Bez uszczerbku dla prawa do dochodzenia roszczeń w dowolnym momencie przed sądem lub trybunałem państwa członkowskiego, osoba trzecia chcąca zaskarżyć decyzję posiadacza danych o odmowie, wstrzymaniu lub zawieszeniu dzielenia się danymi zgodnie z ust. 10 i 11 może:

a)	wnieść skargę do właściwego organu zgodnie z art. 37 ust. 5 lit. b), który bez zbędnej zwłoki podejmuje decyzję, czy i na jakich warunkach dzielenie się danymi powinno się rozpocząć lub zostać wznowione; lub

b)	uzgodnić z posiadaczem danych wniesienie sprawy do organu rozstrzygania sporów zgodnie z art. 10 ust. 1.

13. Prawo, o którym mowa w ust. 1, nie wpływa niekorzystnie na prawa osób, których dane dotyczą, zgodnie z mającym zastosowanie prawem Unii lub prawem krajowym dotyczącym ochrony danych osobowych lub prywatności.

Artykuł 10

Rozstrzyganie sporów

1. Użytkownicy, posiadacze danych i odbiorcy danych mają dostęp do organów rozstrzygania sporów, certyfikowanych zgodnie z ust. 5 niniejszego artykułu, na potrzeby rozstrzygania sporów na podstawie art. 4 ust. 3 i ust. 9 oraz art. 5 ust. 12, a także sporów w sprawie sprawiedliwych, rozsądnych i niedyskryminujących zasad i przejrzystego sposobu udostępnienia danych zgodnie z niniejszym rozdziałem i rozdziałem IV.

2. Organy rozstrzygania sporów informują zainteresowane strony o wysokości opłat lub o mechanizmach stosowanych do ustalania wysokości opłat, zanim strony te wystąpią o wydanie decyzji.

3. W przypadku sporów wniesionych do organu rozstrzygania sporów na podstawie art. 4 ust. 3 i ust. 9 oraz art. 5 ust. 12, jeżeli organ rozstrzygania sporów rozstrzygnie spór na korzyść użytkownika lub odbiorcy danych, posiadacz_danych ponosi wszelkie opłaty nałożone przez organ rozstrzygania sporów i zwraca użytkownikowi lub odbiorcy danych wszelkie inne rozsądne koszty poniesione w związku z rozstrzygnięciem sporu. Jeżeli organ rozstrzygania sporów rozstrzygnie spór na korzyść posiadacza danych, użytkownik lub odbiorca_danych nie są zobowiązani do zwrócenia opłat ani innych kosztów, które posiadacz_danych poniósł lub ma ponieść w związku z rozstrzygnięciem sporu, chyba że organ rozstrzygania sporów uzna, że użytkownik lub odbiorca_danych w oczywisty sposób działali w złej wierze.

4. Klienci i dostawcy usług przetwarzania danych mają dostęp do organów rozstrzygania sporów, certyfikowanych zgodnie z ust. 5 niniejszego artykułu, na potrzeby rozstrzygania sporów dotyczących naruszeń praw klientów i niewywiązania się z obowiązków przez dostawców usług przetwarzania danych, zgodnie z art. 23 do 31.

5. Państwo członkowskie, w którym ma siedzibę organ rozstrzygania sporów, na wniosek tego organu dokonuje jego certyfikacji, jeżeli organ ten wykazał, że spełnia wszystkie następujące warunki:

a)	jest bezstronny i niezależny oraz będzie wydawać decyzje zgodnie z jasnym, niedyskryminującym i sprawiedliwym regulaminem wewnętrznym;

b)	dysponuje niezbędną wiedzą ekspercką, w szczególności na temat sprawiedliwych, stosownych i niedyskryminujących zasad, w tym rekompensaty, oraz przejrzystego sposobu udostępniania danych, która to wiedza pozwala organowi na skuteczne ustalanie tych zasad;

c)	jest łatwo dostępny za pośrednictwem technologii łączności elektronicznej;

d)	ma możliwość przyjmowania decyzji w sposób szybki, skuteczny i oszczędny w co najmniej jednym języku urzędowym Unii.

6. Państwa członkowskie zgłaszają Komisji organy rozstrzygania sporów certyfikowane zgodnie z ust. 5. Komisja publikuje wykaz tych organów na specjalnej stronie internetowej i na bieżąco go aktualizuje.

7. Organy rozstrzygania sporów odmawiają rozpatrzenia wniosku o rozstrzygnięcie sporu, który został już wniesiony do innego organu rozstrzygania sporów, bądź do sądu lub trybunału państwa członkowskiego.

8. Organy rozstrzygania sporów dają stronom możliwość wyrażenia, w rozsądnym terminie, swojego stanowiska w sprawach wniesionych przez te strony do tych organów. W tym kontekście każda strona sporu otrzyma stanowiska drugiej strony sporu oraz wszelkie opinie ekspertów. Stronom zapewnia się możliwość ustosunkowania się do tych stanowisk i opinii.

9. Organy rozstrzygania sporów przyjmują decyzję w skierowanych do nich sprawach w ciągu 90 dni od otrzymania wniosku zgodnie z ust. 1 i 4. Decyzje te sporządza się na piśmie lub na trwałym nośniku i opatruje uzasadnieniem.

10. Organy rozstrzygania sporów sporządzają i podają do wiadomości publicznej roczne sprawozdania z działalności. Roczne sprawozdania zawierają w szczególności następujące informacje ogólne:

a)	zbiorcze podsumowanie wyników sporów;

b)	średni czas rozstrzygania sporów;

c)	najczęstsze powody sporów.

11. Aby ułatwić wymianę informacji i najlepszych praktyk, organ rozstrzygania sporów może zdecydować o dodaniu do sprawozdania, o którym mowa w ust. 10, zaleceń dotyczących metod zapobiegania problemom lub ich rozwiązywania.

12. Decyzja organu rozstrzygającego spory jest wiążąca dla stron wyłącznie wtedy, gdy strony wyraźnie zgodziły się na jej wiążący charakter przed rozpoczęciem postępowania w sprawie rozstrzygnięcia sporu.

13. Niniejszy artykuł nie wpływa na prawa stron do dochodzenia skutecznego środka prawnego przed sądem lub trybunałem państwa członkowskiego.

Artykuł 17

Wnioski o udostępnienie danych

1. Występując z wnioskiem o dane na podstawie art. 14, organ_sektora_publicznego, Komisja, Europejski Bank Centralny lub organ Unii:

a)	określają, jakie dane, w tym odpowiednie meta dane niezbędne do interpretacji i wykorzystania tych danych, są potrzebne;

b)	wykazują, że spełnione zostały warunki wyjątkowej potrzeby, o której mowa w art. 15 i na podstawie której występuje się z wnioskiem o dane;

c)	wyjaśniają cel wniosku, planowane wykorzystanie żądanych danych, w tym, w stosownym przypadku, przez osobę trzecią zgodnie z ust. 4 niniejszego artykułu, czas tego wykorzystywania oraz w stosownym przypadku sposób, w jaki przetwarzanie danych osobowych ma odpowiedzieć na wyjątkową potrzebę;

d)	w miarę możliwości określają, kiedy można się spodziewać, że dane zostaną usunięte przez wszystkie strony, które mają do nich dostęp;

e)	uzasadniają wybór posiadacza danych, do którego skierowany jest wniosek;

f)	wymieniają inne organy sektora publicznego, lub Komisję, Europejski Bank Centralny lub organy_Unii oraz osoby trzecie, z którymi żą dane dane mają być dzielone;

jeżeli żądanymi danymi są dane osobowe, określają niezbędne i proporcjonalne środki techniczne i organizacyjne służące wdrożeniu zasad ochrony danych i niezbędnych zabezpieczeń, takich jak poziom agregacji lub pseudonimizacji, oraz czy posiadacz_danych może dokonać pseudonimizacji przed udostępnieniem danych;

h)	podają podstawę prawną konkretnego zadania realizowanego w interesie publicznym organu publicznego, Komisji, Europejskiego Banku Centralnego lub organu Unii, w związku z którym występuje się z wnioskiem o dane;

i)	określają termin, w którym dane mają zostać udostępnione oraz termin, o którym mowa w art. 18 ust. 2, w którym posiadacz_danych może odmówić lub wnosić o zmianę wniosku;

j)	dokładają wszelkich starań, aby zastosowanie się do wniosku o dane nie skutkowało odpowiedzialnością posiadacza danych za naruszenie prawa Unii lub prawa krajowego.

2. Wniosek o dane złożony na podstawie ust. 1 niniejszego artykułu:

a)	jest składany na piśmie i sformułowany jasnym, zwięzłym i prostym językiem zrozumiałym dla posiadacza danych;

b)	zawiera szczegóły dotyczące rodzaju żądanych danych i odnosi się do danych, nad którymi posiadacz_danych ma kontrolę w momencie składania wniosku;

c)	jest proporcjonalny do wyjątkowej potrzeby i należycie uzasadniony w odniesieniu do szczegółowości i ilości żądanych danych oraz częstotliwości dostępu do żądanych danych;

d)	respektuje prawnie uzasadnione cele posiadacza danych, w tym obowiązek zapewnienia ochrony tajemnic przedsiębiorstwa, zgodnie z art. 19 ust. 3, oraz uwzględniając koszty i działania wymagane do udostępnienia danych;

dotyczy danych nieosobowych i zawiera żądanie udostępnienia spseudonimizowanych danych osobowych wyłącznie wtedy, gdy wykazano, że data nieosobowe nie są wystarczające w celu odpowiedzi na wyjątkową potrzebę wykorzystania danych, zgodnie z art. 15 ust. 1 lit. a), i określa środki techniczne i organizacyjne, które zostaną zastosowane, aby chronić te dane osobowe;

f)	informuje posiadacza danych o karach nakładanych na podstawie art. 40 przez właściwy organ wyznaczony zgodnie z w art. 37 w przypadku niezastosowania się do wniosku;

w przypadku gdy wniosek jest złożony przez organ_sektora_publicznego, zostaje przekazany koordynatorowi danych, o którym mowa w art. 37, w państwie członkowskim, w którym siedzibę ma organ_sektora_publicznego, a organ ten bez zbędnej zwłoki podaje wniosek do wiadomości publicznej w internecie, chyba że koordynator danych uzna takie podanie do wiadomości za zagrożenie dla bezpieczeństwa publicznego;

h)	w przypadku gdy wniosek jest złożony przez Komisję, Europejski Bank Centralny lub organ Unii bez zbędnej zwłoki podają one swoje wnioski do wiadomości publicznej w internecie;

i)	w przypadku gdy dotyczy danych osobowych, bez zbędnej zwłoki zostaje o nim powiadomiony organ nadzorczy odpowiedzialny za monitorowanie stosowania rozporządzenia (UE) 2016/679 w państwie członkowskim, w którym siedzibę ma organ_sektora_publicznego.

Europejski Bank Centralny i organy_Unii informują Komisję o swoich wnioskach.

3. Organ sektora publicznego, Komisja, Europejski Bank Centralny lub organ Unii nie udostępniają danych pozyskanych na podstawie niniejszego rozdziału do ponownego wykorzystania zdefiniowanego w art. 2 pkt 2 rozporządzenia (UE) 2022/868 lub art. 2 pkt 11 dyrektywy (UE) 2019/1024. Rozporządzenie (UE) 2022/868 i dyrektywa (UE) 2019/1024 nie mają zastosowania do danych będących w posiadaniu organów sektora publicznego i pozyskanych na podstawie niniejszego rozdziału.

4. Ust. 3 niniejszego artykułu nie uniemożliwia organowi sektora publicznego ani Komisji, Europejskiemu Bankowi Centralnemu lub organowi Unii wymiany danych pozyskanych na podstawie niniejszego rozdziału z innym organem sektora publicznego, Komisją, Europejskim Bankiem Centralnym lub organem Unii w celu wypełnienia zadań, o których mowa w art. 15, określonych we wniosku zgodnie z ust. 1 lit. f) niniejszego artykułu, ani udostępnienia danych osobie trzeciej, w przypadku gdy zleciły tej osobie trzeciej – w drodze publicznie dostępnej umowy – kontrole techniczne lub inne funkcje. Do takich osób trzecich zastosowanie mają obowiązki nałożone na organy sektora publicznego na podstawie art. 19, w szczególności zabezpieczenia służące ochronie tajemnic przedsiębiorstwa. W przypadku gdy organ_sektora_publicznego, Komisja, Europejski Bank Centralny lub organ Unii przesyłają lub udostępniają dane na podstawie niniejszego ustępu, bez zbędnej zwłoki powiadamiają o tym posiadacza danych, od którego otrzymały dane.

5. W przypadku gdy posiadacz_danych uzna, że naruszone zostały prawa przysługujące mu na podstawie niniejszego rozdziału poprzez przesłanie lub udostępnienie danych, może złożyć skargę do właściwego organu, wyznaczonego zgodnie z art. 37, w państwie członkowskim, w którym posiadacz_danych ma siedzibę.

6. Na podstawie niniejszego artykułu Komisja opracowuje wzór wniosku.

Artykuł 25

Postanowienia umowne dotyczące zmiany dostawcy

1. Prawa klienta i obowiązki dostawcy usługi przetwarzania danych w odniesieniu do zmiany dostawcy takich usług lub w stosownym przypadku do przeniesienia do lokalnej infrastruktury ICT zostaną jasno określone w umowie zawartej na piśmie. Dostawca usług przetwarzania danych udostępnia taką umowę klientowi przed podpisaniem w sposób umożliwiający klientowi jej przechowywanie i reprodukowanie.

2. Bez uszczerbku dla dyrektywy (UE) 2019/770 w umowie, o której mowa w ust. 1 niniejszego artykułu znajdują się co najmniej następujące elementy:

postanowienia umowne umożliwiające klientowi na wniosek zmianę dostawcy usług przetwarzania danych na innego dostawcę usług przetwarzania danych lub przeniesienie wszystkich danych eksportowalnych i aktywów cyfrowych do lokalnej infrastruktury ICT bez zbędnej zwłoki i w żadnym razie nie później niż po upływie obowiązkowego maksymalnego okresu przejściowego wynoszącego 30 dni kalendarzowych i rozpoczynającego się po maksymalnym okresie wypowiedzenia, o którym mowa w lit. d), kiedy to umowa o świadczenie usług nadal ma zastosowanie, a dostawca usług przetwarzania danych:

(i)	zapewnia klientowi i osobom trzecim upoważnionym przez klienta uzasadnioną pomoc w procesie zmiany dostawcy;

(ii)	postępuje z należytą starannością w celu utrzymania ciągłości działalności i kontynuuje świadczenie funkcji lub usług przewidzianych w umowie;

(iii)

przedstawia jasne informacje o znanych zagrożeniach dla ciągłości świadczenia funkcji lub usług po stronie wyjściowego dostawcy usług przetwarzania danych;

(iv)

zapewnia, aby w trakcie całego procesu zmiany dostawcy utrzymany został wysoki poziom bezpieczeństwa, w szczególności bezpieczeństwa danych podczas ich przekazywania i dalszego bezpieczeństwa danych podczas okresu zatrzymywania, o którym mowa w lit. c), zgodnie z mającymi zastosowanie przepisami prawa Unii lub prawa krajowego;

b)	zobowiązanie dostawcy usług przetwarzania danych do wsparcia strategii odejścia klienta w odniesieniu do usług objętych umową, w tym poprzez przekazanie wszelkich istotnych informacji;

postanowienie umowne określające, że umowa zostaje uznana za rozwiązaną, a klient zostaje poinformowany o jej rozwiązaniu w jednym z następujących przypadków:

(i)	w stosownym przypadku po pomyślnym zakończeniu procesu zmiany dostawcy;

(ii)	na zakończenie maksymalnego okresu wypowiedzenia, o którym mowa w lit. d), w przypadku gdy klient nie chce zmienić dostawcy, ale chce usunąć wszystkie swoje dane eksportowalne i aktywa_cyfrowe po zakończeniu usługi;

d)	maksymalny okres wypowiedzenia rozpoczynający proces zmiany dostawcy i nieprzekraczający dwóch miesięcy;

e)	szczegółowa specyfikacja wszystkich kategorii danych i aktywów cyfrowych, które można przenieść w trakcie procesu zmiany dostawcy, w tym co najmniej wszystkich danych eksportowalnych;

szczegółowa specyfikacja kategorii danych specyficznych dla wewnętrznego funkcjonowania dostawcy usługi przetwarzania danych, które są wyłączone spośród danych eksportowalnych przewidzianych w lit. e) niniejszego ustępu, w przypadku gdy istnieje ryzyko naruszenia tajemnic przedsiębiorstwa dostawcy, o ile wyłączenia te nie utrudniają ani nie opóźniają procesu zmiany dostawcy, o którym mowa w art. 23;

g)	minimalny okres, w którym można pobrać dane, wynoszący co najmniej 30 dni kalendarzowych, rozpoczynający się po zakończeniu okresu przejściowego uzgodnionego między klientem a dostawcą usług przetwarzania danych, zgodnie z lit. a) niniejszego ustępu i ust. 4;

postanowienie umowne gwarantujące całkowite usunięcie wszystkich danych eksportowalnych i aktywów cyfrowych wygenerowanych bezpośrednio przez klienta lub bezpośrednio dotyczących klienta po upływie okresu pobierania, o którym mowa w lit. g), lub po upływie alternatywnego uzgodnionego okresu w terminie późniejszym niż termin upływu okresu pobierania, o którym mowa w lit. g), pod warunkiem że pomyślnie ukończony został proces zmiany dostawcy;

i)	opłaty_z tytułu_zmiany_dostawcy, które dostawcy usług przetwarzania danych mogą nałożyć zgodnie z art. 29.

3. Umowa, o której mowa w ust. 1, zawiera postanowienia umowne określające, że klient może powiadomić dostawcę usług przetwarzania danych o swojej decyzji, aby po upływie maksymalnego okresu wypowiedzenia, o którym mowa w ust. 2 lit. d), wykonać co najmniej jedno z następujących działań:

a)	zmienić dostawcę usług przetwarzania danych na innego dostawcę, w którym to przypadku klient przedstawia niezbędne dane tego innego dostawcy;

b)	przejść na lokalną infrastrukturę ICT;

c)	usunąć jego dane eksportowalne i aktywa_cyfrowe.

4. W przypadku gdy obowiązkowy maksymalny okres przejściowy określony w ust. 2 lit. a) jest technicznie niemożliwy, dostawca usług przetwarzania danych powiadamia o tym klienta w terminie 14 dni roboczych od złożenia wniosku o zmianę dostawcy, należycie uzasadnia techniczną niewykonalność i wskazuje zastępczy okres przejściowy, który nie może przekroczyć siedmiu miesięcy. Zgodnie z ust. 1 ciągłość usługi zostaje zapewniona przez cały zastępczy okres przejściowy.

5. Bez uszczerbku dla ust. 4 umowa, o której mowa w ust. 1 zawiera postanowienia umowne zapewniające klientowi prawo do jednokrotnego przedłużenia okresu przejściowego o okres, który klient uznaje za właściwszy z uwagi na własne cele.

Artykuł 29

Stopniowe wycofywanie opłat z tytułu zmiany dostawcy

1. Od dnia 12 stycznia 2027 r. dostawcy usług przetwarzania danych nie nakładają na klienta opłat z tytułu zmiany dostawcy za procedurę zmiany dostawcy.

2. Od dnia 11 stycznia 2024 r. do dnia 12 stycznia 2027 r. dostawcy usług przetwarzania danych mogą nakładać na klienta obniżone opłaty_z tytułu_zmiany_dostawcy za procedurę zmiany dostawcy.

3. Obniżone opłaty_z tytułu_zmiany_dostawcy, o których mowa w ust. 2, nie przekraczają kosztów poniesionych przez dostawcę usług przetwarzania danych i bezpośrednio związanych z danym procesem zmiany dostawcy.

4. Przed zawarciem umowy z klientem dostawca usług przetwarzania danych przedstawia przyszłemu klientowi jasne informacje o standardowych opłatach za usługę i karach za wcześniejsze rozwiązanie umowy, które mogą zostać nałożone, oraz o obniżonych opłatach z tytułu zmiany dostawcy, które mogą zostać nałożone w okresie, o którym mowa w ust. 2.

5. W stosownym przypadku dostawcy usług przetwarzania danych przedstawiają klientowi informacje o usługach przetwarzania danych, które wiążą się z wysoce złożoną lub kosztowną zmianą dostawcy lub z niemożnością zmiany dostawcy bez znacznej ingerencji w dane, aktywa_cyfrowe lub architekturę usługi.

6. W stosownym przypadku dostawcy usług przetwarzania danych publicznie przedstawiają informacje, o których mowa w ust. 4 i 5, klientom za pomocą specjalnej sekcji na swojej stronie internetowej lub w inny łatwo dostępny sposób.

7. Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 45 służących uzupełnieniu niniejszego rozporządzenia poprzez wprowadzenie mechanizmu monitorowania, który pozwoli jej monitorować opłaty_z tytułu_zmiany_dostawcy nakła dane na rynku przez dostawców usług przetwarzania danych i tym samym zapewnić, aby wycofanie i obniżenie opłat z tytułu zmiany dostawcy zgodnie z ust. 1 i 2 niniejszego artykułu odbyło się w terminach określonych w tych ustępach.

Artykuł 30

Techniczne aspekty zmiany dostawcy

1. Dostawcy usług przetwarzania danych, które to usługi dotyczą skalowalnych i elastycznych zasobów obliczeniowych ograniczonych do elementów infrastruktury, takich jak serwery, sieci i zasoby wirtualne niezbędne do obsługi infrastruktury, ale nie zapewniają dostępu do usług operacyjnych, oprogramowania i aplikacji, które są przechowywane, w inny sposób przetwarzane lub wdrażane na tych elementach infrastruktury, zgodnie z art. 27 stosują wszelkie uzasadnione środki pozostające w ich mocy, aby ułatwić klientowi – po zmianie dostawcy na dostawcę usługi obejmującej usługę tego samego typu – osiągnięcie równoważności funkcjonalnej w ramach korzystania z docelowej usługi przetwarzania danych. Wyjściowy dostawca usług przetwarzania danych ułatwia proces zmiany dostawcy, zapewniając zasoby, odpowiednie informacje, dokumentację, wsparcie techniczne oraz w stosownym przypadku niezbędne narzędzia.

2. Dostawcy usług przetwarzania danych inni niż dostawcy, o których mowa w ust. 1, aby ułatwić zmianę dostawcy, nieodpłatnie udostępniają otwarte interfejsy w równym zakresie wszystkim swoim klientom i zainteresowanym docelowym dostawcom usług przetwarzania danych. Interfejsy te zawierają wystarczająco dużo informacji o danej usłudze, aby można było opracować oprogramowanie do komunikacji z tymi usługami do celów przenoszenia i interoperacyjności danych.

3. W przypadku usług przetwarzania danych innych niż usługi, o których mowa w ust. 1 niniejszego artykułu, dostawcy usług przetwarzania danych zapewniają zgodność ze wspólnymi specyfikacjami opartymi na otwartych specyfikacjach w zakresie interoperacyjności lub zharmonizowanych normach w zakresie interoperacyjności co najmniej 12 miesięcy po tym, jak odniesienia do tych wspólnych specyfikacji lub do norm zharmonizowanych w zakresie interoperacyjności usług przetwarzania danych zostaną opublikowane w centralnym repozytorium norm Unii dotyczących interoperacyjności usług przetwarzania danych, po publikacji w Dzienniku Urzędowym Unii Europejskiej aktów wykonawczych będących ich podstawą zgodnie z art. 35 ust. 7.

4. Dostawcy usług przetwarzania danych inni niż dostawcy, o których mowa w ust. 1 niniejszego artykułu, uaktualniają rejestr internetowy, o którym mowa w art. 26 lit. b), zgodnie ze swoimi obowiązkami przewidzianymi w ust. 3 niniejszego artykułu.

5. W przypadku zmiany dostawcy na dostawcę usługi tego samego typu, dla której wspólne_specyfikacje lub normy zharmonizowane w zakresie interoperacyjności, o których mowa w ust. 3 niniejszego artykułu, nie zostały opublikowane się w centralnym repozytorium Unii dotyczącym interoperacyjności usług przetwarzania danych zgodnie z art. 35 ust. 8, dostawca usług przetwarzania danych na wniosek klienta eksportuje wszystkie dane eksportowalne w uporządkowanym, powszechnie używanym, nadającym się do odczytu maszynowego formacie.

6. Od dostawców usług przetwarzania danych nie wymaga się opracowania nowych technologii lub usług, ujawnienia lub przekazania zasobów cyfrowych chronionych prawami własności intelektualnej lub stanowiących tajemnicę przedsiębiorstwa klientowi lub innemu dostawcy usług przetwarzania danych ani stwarzania zagrożenia dla bezpieczeństwa i integralności usług klienta lub dostawcy.

Artykuł 32

Międzynarodowy dostęp administracji rządowej i przekazywanie

1. Dostawcy usług przetwarzania danych stosują wszelkie odpowiednie środki techniczne, organizacyjne i prawne, w tym umowy, w celu zapobiegania międzynarodowemu dostępowi administracji rządowej państw trzecich do danych nieosobowych przechowywanych na terenie Unii oraz międzynarodowemu przekazywaniu takich danych nieosobowych, w przypadku gdy takie przekazywanie lub taki dostęp byłyby sprzeczne z prawem Unii lub prawem krajowym danego państwa członkowskiego, bez uszczerbku dla ust. 2 lub 3.

2. Orzeczenia lub wyroki sądu lub trybunału państwa trzeciego oraz decyzje organu administracyjnego państwa trzeciego nakazujące dostawcy usług przetwarzania danych przekazanie przechowywanych na terenie Unii danych nieosobowych objętych zakresem stosowania niniejszego rozporządzenia lub udzielenie dostępu do tych danych uznaje się lub wykonuje wyłącznie wtedy, gdy są oparte na umowie międzynarodowej, takiej jak traktat o pomocy prawnej, obowiązującej między państwem trzecim, które występuje z wnioskiem, a Unią lub na umowie tego rodzaju między państwem trzecim, które występuje z wnioskiem, a państwem członkowskim.

3. W przypadku braku umowy międzynarodowej, o której mowa w ust. 2, jeżeli dostawca usług przetwarzania danych jest adresatem orzeczenia lub wyroku sądu lub trybunału państwa trzeciego lub decyzji organu administracyjnego państwa trzeciego nakazujących przekazanie przechowywanych na terenie Unii danych nieosobowych objętych zakresem stosowania niniejszego rozporządzenia lub udzielenie dostępu do tych danych, a zastosowanie się do takiego orzeczenia lub takiej decyzji wiązałoby się z ryzykiem naruszenia przez adresata prawa Unii lub prawa krajowego stosownego państwa członkowskiego, przekazanie takich danych temu organowi państwa trzeciego lub udzielenie mu dostępu do takich danych odbywa się wyłącznie gdy:

system państwa trzeciego wymaga, aby uzasadnienie i proporcjonalność takiego orzeczenia, wyroku lub takiej decyzji zostały określone oraz aby takie orzeczenie, wyrok lub taka decyzja miały konkretny charakter, np. poprzez ustalenie wystarczającego związku z niektórymi osobami podejrzanymi lub naruszeniami;

b)	uzasadniony sprzeciw adresata podlega kontroli właściwego sądu lub trybunału państwa trzeciego; oraz

właściwy sąd lub trybunał państwa trzeciego wydający orzeczenie lub wyrok lub dokonujący kontroli decyzji organu administracyjnego są upoważnione na podstawie prawa tego państwa trzeciego do należytego uwzględnienia stosownych interesów prawnych dostawcy danych chronionych na mocy prawa Unii lub prawa krajowego danego państwa członkowskiego.

Adresat decyzji lub orzeczenia może zwrócić się o opinię do stosownego podmiotu lub organu krajowego właściwego ds. współpracy międzynarodowej w kwestiach prawnych w celu ustalenia, czy warunki określone w akapicie pierwszym zostały spełnione, w szczególności jeżeli uzna, że orzeczenie lub decyzja mogą dotyczyć tajemnic przedsiębiorstwa i innych szczególnie chronionych danych handlowych oraz treści chronionych prawami własności intelektualnej lub przekazanie może prowadzić do deanonimizacji. Właściwy podmiot lub organ krajowy może skonsultować się z Komisją. Jeżeli adresat uzna, że decyzja może naruszać bezpieczeństwo narodowe lub interesy obronne Unii lub jej państw członkowskich, zwraca się o opinię do właściwych podmiotów lub organów krajowych w celu ustalenia, czy żą dane dane dotyczą bezpieczeństwa narodowego lub interesów obronnych Unii lub jej państw członkowskich. Jeżeli adresat nie otrzyma odpowiedzi w terminie miesiąca lub jeżeli właściwy podmiot lub organ krajowy stwierdzi w opinii, że warunki określone w akapicie pierwszym nie zostały spełnione, adresat może na tej podstawie odrzucić wniosek o przekazanie danych nieosobowych lub dostęp do nich.

Europejska Rada ds. Innowacji w zakresie Danych, o której mowa w art. 42, doradza Komisji i wspiera ją w opracowywaniu wytycznych w sprawie oceny spełnienia warunków określonych w akapicie pierwszym niniejszego ustępu.

4. Jeżeli spełnione są warunki określone w ust. 2 lub 3, dostawca usług przetwarzania danych w odpowiedzi na wniosek dostarcza jak najmniejszą ilość danych dozwoloną w oparciu o racjonalną interpretację tego wniosku dokonaną przez dostawcę lub właściwy krajowy podmiot lub organ, o którym mowa w ust. 3 akapit drugi.

5. Zanim dostawca usług przetwarzania danych zastosuje się do tego wniosku, informuje on klienta o wniosku organu państwa trzeciego o dostęp do jego danych, z wyjątkiem przypadków, w których wniosek służy do celów ścigania przestępstw i tak długo, jak jest to niezbędne do zachowania skuteczności działań w tym zakresie.

ROZDZIAŁ VIII

INTEROPERACYJNOŚĆ

Artykuł 33

Zasadnicze wymagania w zakresie interoperacyjności danych, mechanizmów i usług dzielenia się danymi oraz wspólnych europejskich przestrzeni danych

1. Uczestnicy przestrzeni danych oferujący innym uczestnikom dane lub usługi oparte na danych spełniają następujące zasadnicze wymagania w celu ułatwienia interoperacyjności danych, mechanizmów i usług dzielenia się danymi oraz wspólnych europejskich przestrzeni danych, które są interoperacyjnymi ramami wspólnych norm i praktyk, szczególnymi dla danego celu lub sektora bądź międzysektorowymi, służącymi dzieleniu się danymi lub ich wspólnemu przetwarzaniu na potrzeby m.in. opracowywania nowych produktów i usług, badań naukowych lub inicjatyw społeczeństwa obywatelskiego:

a)	dostatecznie opisane są zawartość zestawu danych, ograniczenia wykorzystania, licencje, metody zbierania danych, jakość danych i niepewność, w stosownym przypadku w formacie nadającym się do odczytu maszynowego, aby umożliwić odbiorcy znalezienie danych, dostęp do nich i ich wykorzystanie;

b)	w ogólnodostępny i spójny sposób opisane są struktury danych, formaty danych, słowniki, systemy klasyfikacji, taksonomie i wykazy kodów, jeżeli są dostępne;

dostatecznie opisane są techniczne środki dostępu do danych, takie jak interfejsy programowania aplikacji, oraz warunki korzystania z tych środków i jakość usługi, aby umożliwić automatyczny dostęp do danych i ich przesyłanie między stronami, w tym w sposób ciągły, w sposób masowy lub w czasie rzeczywistym w formacie nadającym się do odczytu maszynowego, jeżeli jest to techniczne możliwe i nie utrudnia prawidłowego funkcjonowania produktu skomunikowanego;

d)	w stosownym przypadku zapewnione są środki umożliwiające interoperacyjność narzędzi automatycznego wykonywania umów w sprawie dzielenia się danymi, takich jak inteligentne umowy.

Wymagania te mogą mieć charakter ogólny lub dotyczyć konkretnych sektorów, przy czym należy w pełni uwzględnić ich wzajemne powiązania z wymaganiami wynikającymi z prawa Unii lub z prawa krajowego.

2. Komisja jest uprawniona do przyjmowania aktów delegowanych, zgodnie z art. 45 niniejszego rozporządzenia, w celu uzupełnienia niniejszego rozporządzenia poprzez doprecyzowanie zasadniczych wymagań określonych w ust. 1 niniejszego artykułu, w odniesieniu do tych wymagań, które ze względu na swój charakter nie mogą przynieść zamierzonego efektu, chyba że zostaną doprecyzowane w wiążących aktach prawnych Unii, i w celu właściwego odzwierciedlenia zmian technologicznych i rynkowych.

Przyjmując te akty delegowane, Komisja uwzględnia opinię Europejskiej Rady ds. Innowacji w zakresie Danych zgodnie z art. 42 lit. c) ppkt (iii).

3. Domniemywa się, że uczestnicy przestrzeni danych oferujący dane lub usługi oparte na danych innym uczestnikom przestrzeni danych i spełniający normy zharmonizowane lub części tych norm, do których odniesienia są opublikowane w Dzienniku Urzędowym Unii Europejskiej, spełniają zasadnicze wymagania, o których mowa w ust. 1, w zakresie, w jakim wspomniane wymagania objęte są takimi normami zharmonizowanymi lub ich częściami.

4. Komisja, zgodnie z art. 10 rozporządzenia (UE) nr 1025/2012, zwraca się do co najmniej jednej europejskiej organizacji normalizacyjnej z wnioskiem o przygotowanie norm zharmonizowanych spełniających zasadnicze wymagania określone w ust. 1 niniejszego artykułu.

5. Komisja może przyjąć – w drodze aktów wykonawczych – wspólne_specyfikacje, obejmujące dowolny lub wszystkie zasadnicze wymagania określone w ust. 1, jeżeli spełnione zostały następujące warunki:

Komisja zwróciła się, zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012, do co najmniej jednej europejskiej organizacji normalizacyjnej z wnioskiem o przygotowanie normy zharmonizowanej spełniającej zasadnicze wymagania określone w ust. 1 niniejszego artykułu, a w dodatku:

(i)	wniosek nie został zaakceptowany;

(ii)	normy zharmonizowane dotyczące tego wniosku nie zostały dostarczone w terminie określonym zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012; lub

(iii)

normy zharmonizowane nie są zgodne z wnioskiem; oraz

b)	w Dzienniku Urzędowym Unii Europejskiej nie jest opublikowane odniesienie do norm zharmonizowanych obejmujących stosowne zasadnicze wymagania określone w ust. 1 niniejszego artykułu zgodnie z rozporządzeniem (UE) nr 1025/2012 i nie przewiduje się publikacji takiego odniesienia w rozsądnym terminie.

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 46 ust. 2.

6. Przed sporządzeniem projektu aktu wykonawczego, o którym mowa w ust. 5 niniejszego artykułu Komisja informuje komitet, o którym mowa w art. 22 rozporządzenia (UE) nr 1025/2012, że jej zdaniem spełnione zostały warunki przewidziane w ust. 5 niniejszego artykułu.

7. Sporządzając projekt aktu wykonawczego, o którym mowa w ust. 5, Komisja uwzględnia opinie Europejskiej Rady ds. Innowacji w zakresie Danych i innych stosownych podmiotów lub grup ekspertów i należycie konsultuje się ze wszystkimi stosownymi zainteresowanymi stronami.

8. Domniemywa się, że uczestnicy przestrzeni danych oferujący dane lub usługi oparte na danych innym uczestnikom przestrzeni danych i spełniający wspólne_specyfikacje ustanowione aktami wykonawczymi, o których mowa w ust. 5, lub ich części spełniają zasadnicze wymagania określone w ust. 1 objęte tymi wspólnymi specyfikacjami lub ich częściami.

9. W przypadku gdy norma_zharmonizowana zostaje przyjęta przez europejską organizację normalizacyjną i przedstawiona Komisji w celu opublikowania odniesienia do niej w Dzienniku Urzędowym Unii Europejskiej, Komisja ocenia tę normę zharmonizowaną zgodnie z rozporządzeniem (UE) nr 1025/2012. W przypadku opublikowania odniesienia do normy zharmonizowanej w Dzienniku Urzędowym Unii Europejskiej Komisja uchyla akty wykonawcze, o których mowa w ust. 5 niniejszego artykułu, lub ich części, które obejmują te same zasadnicze wymagania, jak te objęte normą zharmonizowaną.

10. W przypadku gdy państwo członkowskie uzna, że wspólna specyfikacja nie w pełni spełnia zasadnicze wymagania określone w ust. 1, informuje o tym Komisję, przedstawiając szczegółowe wyjaśnienie. Komisja ocenia to szczegółowe wyjaśnienie i w stosownym przypadku może zmienić akt wykonawczy ustanawiający daną wspólną specyfikację.

11. Komisja może przyjąć wytyczne, uwzględniając propozycję Europejskiej Rady ds. Innowacji w zakresie Danych zgodnie z art. 30 lit. h) rozporządzenia (UE) 2022/868, ustanawiającym specyfikacje w zakresie interoperacyjnych ram wspólnych norm i praktyk na potrzeby funkcjonowania wspólnych europejskich przestrzeni danych.

Artykuł 35

Interoperacyjność usług przetwarzania danych

1. Otwarte specyfikacje w zakresie interoperacyjności i normy zharmonizowane w zakresie interoperacyjności usług przetwarzania danych:

a)	zapewniają, jeżeli jest to technicznie możliwe, interoperacyjność różnych usług przetwarzania danych, które obejmują usługi tego samego typu;

b)	zwiększają możliwość przenoszenia aktywów cyfrowych między różnymi usługami przetwarzania danych, które obejmują usługi tego samego typu;

c)	ułatwiają, jeżeli jest to technicznie możliwe, równoważność funkcjonalną różnych usług przetwarzania danych określonych w art. 30 ust. 1, które obejmują usługi tego samego typu;

d)	nie wpływają negatywnie na bezpieczeństwo i integralność usług przetwarzania danych i danych;

e)	są opracowywane w sposób umożliwiający postęp techniczny oraz wprowadzanie nowych funkcji i innowacji w usługach przetwarzania danych.

2. Otwarte specyfikacje w zakresie interoperacyjności i normy zharmonizowane w zakresie interoperacyjności usług przetwarzania danych odpowiednio dotyczą:

a)	aspektów interoperacyjności w chmurze w odniesieniu do interoperacyjności przesyłu danych, interoperacyjności syntaktycznej, interoperacyjności semantycznej danych, interoperacyjności behawioralnej i interoperacyjności zasad;

b)	aspektów możliwości przenoszenia danych w chmurze w odniesieniu do syntaktycznej możliwości przenoszenia danych, semantycznej możliwości przenoszenia danych i możliwości przenoszenia zasad dotyczących danych;

c)	aspektów aplikacji w chmurze w odniesieniu do syntaktycznej możliwości przenoszenia aplikacji, możliwości przenoszenia poleceń aplikacji, możliwości przenoszenia metadanych aplikacji, możliwości przenoszenia zachowania aplikacji i możliwości przenoszenia zasad aplikacji.

3. Otwarte specyfikacje w zakresie interoperacyjności są zgodne z załącznikiem II do rozporządzenia (UE) nr 1025/2012.

4. Po uwzględnieniu stosownych międzynarodowych i europejskich norm i inicjatyw samoregulacyjnych Komisja może, zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012, zwrócić się do co najmniej jednej europejskiej organizacji normalizacyjnej z wnioskiem o przygotowanie norm zharmonizowanych spełniających zasadnicze wymagania określone w ust. 1 i 2 niniejszego artykułu.

5. Komisja może przyjąć – w drodze aktów wykonawczych – wspólne_specyfikacje na podstawie otwartych specyfikacji w zakresie interoperacyjności, obejmujące wszystkie zasadnicze wymagania określone w ust. 1 i 2.

6. Sporządzając projekt aktu wykonawczego, o którym mowa w u ust. 5 niniejszego artykułu, Komisja uwzględnia opinię właściwych organów krajowych, o których mowa w art. 37 ust. 5 lit. h), oraz innych właściwych podmiotów lub grup ekspertów i należycie konsultuje się ze wszystkimi właściwymi zainteresowanymi stronami.

7. W przypadku gdy państwo członkowskie uzna, że wspólna specyfikacja nie w pełni spełnia zasadnicze wymagania określone w ust. 1 i 2, informuje o tym Komisję, przedstawiając szczegółowe wyjaśnienie. Komisja ocenia to szczegółowe wyjaśnienie i w stosownym przypadku może zmienić akt wykonawczy ustanawiający daną wspólną specyfikację.

8. Do celów art. 30 ust. 3 Komisja publikuje – w drodze aktów wykonawczych – odniesienia do norm zharmonizowanych i wspólnych specyfikacji w zakresie interoperacyjności usług przetwarzania danych w centralnym unijnym repozytorium norm dotyczących interoperacyjności usług przetwarzania danych.

9. Akty wykonawcze, o których mowa w niniejszym artykule, przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 46 ust. 2.

Artykuł 36

Zasadnicze wymagania dotyczące inteligentnych umów na potrzeby wykonywania umów w sprawie dzielenia się danymi

1. Dostawca aplikacji wykorzystującej inteligentne umowy lub w przypadku jego braku osoba, której działalność handlowa, gospodarcza lub zawodowa obejmuje wdrażanie inteligentnych umów dla innych osób w kontekście wykonywania umowy o udostępnianie danych lub jej części zapewnia, aby inteligentne umowy spełniały następujące zasadnicze wymagania:

a)	odporność i kontrola dostępu, zapewniające, aby inteligentna_umowa została opracowana w sposób umożliwiający mechanizmy kontroli dostępu i bardzo wysoki poziom odporności na błędy funkcjonalne i manipulacje ze strony osób trzecich;

bezpieczne zakończenie i przerwanie, zapewniające, aby istniał mechanizm umożliwiający zakończenie dalszej realizacji transakcji oraz, aby inteligentna_umowa obejmowała funkcje wewnętrzne, które mogą zresetować umowę lub polecić umowie zakończenie lub przerwanie działania, w szczególności w celu uniknięcia przyszłego przypadkowego wykonania;

archiwizacja i ciągłość danych, zapewniające, aby w warunkach, w których inteligentna_umowa musi zostać zakończona lub dezaktywowana, istniała możliwość archiwizacji danych transakcyjnych oraz logiki i kodu inteligentnej umowy w celu zachowania rejestru operacji wykonanych na danych w przeszłości (możliwość kontroli);

d)	kontrola dostępu, zapewniająca, aby inteligentna_umowa była chroniona za pomocą rygorystycznych mechanizmów kontroli dostępu w warstwach zarządzania i inteligentnych umów; oraz

e)	spójność, zapewniająca spójność z postanowieniami umowy o dzieleniu się danymi, którą inteligentna_umowa wykonuje.

2. Dostawca inteligentnej umowy lub w przypadku jego braku osoba, której działalność handlowa, gospodarcza lub zawodowa obejmuje wdrażanie inteligentnych umów dla innych osób w kontekście wykonywania umowy lub jej części w sprawie udostępniania danych, przeprowadza ocenę zgodności w celu spełnienia zasadniczych wymagań określonych w ust. 1 i wydaje deklarację zgodności UE, jeżeli wymagania te są spełnione.

3. Sporządzając deklarację zgodności UE, dostawca aplikacji wykorzystującej inteligentne umowy lub w przypadku jego braku osoba, której działalność handlowa, gospodarcza lub zawodowa obejmuje wdrażanie inteligentnych umów dla innych osób w kontekście wykonania umowy, lub jej części, w sprawie udostępniania danych, są odpowiedzialni za przestrzeganie wymagań określonych w ust. 1.

4. Domniemywa się, że inteligentna_umowa, która spełnia normy zharmonizowane lub stosowne części tych norm, do których odniesienia są opublikowane w Dzienniku Urzędowym Unii Europejskiej, jest zgodna z zasadniczymi wymaganiami określonymi w ust. 1 w zakresie, w jakim wymagania te są objęte takimi normami zharmonizowanymi lub ich częścią.

5. Komisja, zgodnie z art. 10 rozporządzenia (UE) nr 1025/2012, zwraca się do co najmniej jednej europejskiej organizacji normalizacyjnej z wnioskiem o przygotowanie norm zharmonizowanych spełniających zasadnicze wymagania określone w ust. 1 niniejszego artykułu.

6. Komisja może przyjąć – w drodze aktów wykonawczych – wspólne_specyfikacje, obejmujące dowolne lub wszystkie zasadnicze wymagania określone w ust. 1, jeżeli spełnione zostały następujące warunki:

(i)	wniosek nie został zaakceptowany;

(ii)	normy zharmonizowane dotyczące tego wniosku nie zostały dostarczone w terminie określonym zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012; lub

(iii)

normy zharmonizowane nie są zgodne z wnioskiem; oraz

b)	w Dzienniku Urzędowym Unii Europejskiej nie jest opublikowane odniesienie do norm zharmonizowanych obejmujących stosowne zasadnicze wymagania określone w ust. 1 niniejszego artykułu zgodnie z rozporządzeniem (UE) nr 1025/2012 i nie przewiduje się publikacji takiego odniesienia w rozsądnym terminie.

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 46 ust. 2.

7. Przed sporządzeniem projektu aktu wykonawczego, o którym mowa w ust. 6 niniejszego artykułu Komisja informuje komitet, o którym mowa w art. 22 rozporządzenia (UE) nr 1025/2012, że jej zdaniem spełnione zostały warunki przewidziane w ust. 6 niniejszego artykułu.

8. Sporządzając projekt aktu wykonawczego, o którym mowa w ust. 6, Komisja uwzględnia opinie Europejskiej Rady ds. Innowacji w zakresie Danych i innych stosownych podmiotów lub grup ekspertów i należycie konsultuje się ze wszystkimi stosownymi zainteresowanymi stronami.

9. Domniemywa się, że dostawca inteligentnej umowy lub w przypadku jego braku osoba, której działalność handlowa, gospodarcza lub zawodowa obejmuje wdrażanie inteligentnych umów dla innych osób w kontekście wykonywania umowy o udostępnianiu danych lub jej części, spełniający wspólne_specyfikacje ustanowione aktami wykonawczymi, o których mowa w ust. 6, lub ich częściami, spełniają zasadnicze wymagania określone w ust. 1 w takim zakresie, że wymagania te objęte są takimi wspólnymi specyfikacjami lub ich częściami.

10. W przypadku gdy norma_zharmonizowana zostaje przyjęta przez europejską organizację normalizacyjną i przedstawiona Komisji w celu opublikowania odniesienia do niej w Dzienniku Urzędowym Unii Europejskiej, Komisja ocenia normę zharmonizowaną zgodnie z rozporządzeniem (UE) nr 1025/2012. W przypadku publikacji odniesienia do normy zharmonizowanej w Dzienniku Urzędowym Unii Europejskiej Komisja uchyla akty wykonawcze, o których mowa w ust. 6 niniejszego artykułu, lub ich części, które obejmują te same zasadnicze wymagania, takie jak te objęte przez tę normę zharmonizowaną.

11. W przypadku gdy państwo członkowskie uzna, że wspólna specyfikacja niecałkowicie spełnia zasadnicze wymagania określone w ust. 1, informuje o tym Komisję, przedstawiając szczegółowe wyjaśnienie. Komisja ocenia to szczegółowe wyjaśnienie i w stosownym przypadku może zmienić akt wykonawczy ustanawiający daną wspólną specyfikację.

ROZDZIAŁ IX

WDRAŻANIE I EGZEKWOWANIE

Artykuł 45

Wykonywanie przekazanych uprawnień

1. Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2. Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 29 ust. 7 i art. 33 ust. 2, powierza się Komisji na czas nieokreślony od dnia 11 stycznia 2024 r.

3. Przekazanie uprawnień, o którym mowa w art. 29 ust. 7 i art. 33 ust. 2, może zostać w dowolnym momencie odwołane przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4. Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5. Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6. Akt delegowany przyjęty na podstawie art. 29 ust. 7 lub art. 33 ust. 2 wchodzi w życie wyłącznie wtedy, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie trzech miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o trzy miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

whereas

keyboard_tab Data Act 2023/2854 PL

Data Act 2023/2854 PL