Data Act 2023/2854 PL

c)	udostępniania danych przez posiadaczy danych organom sektora publicznego, Komisji, Europejskiemu Bankowi Centralnemu i organom Unii – w przypadku wystąpienia wyjątkowej potrzeby wykorzystania tych danych do celów wykonania określonego zadania realizowanego w interesie publicznym;

d)	ułatwiania zmiany dostawcy usług przetwarzania danych;

e)	wprowadzania zabezpieczeń przed niezgodnym z prawem dostępem osób trzecich do danych nieosobowych; oraz

f)	opracowania norm interoperacyjności wobec danych, które mają być udostępniane, przekazywane i wykorzystywane.

2. Niniejsze rozporządzenie dotyczy danych osobowych i nieosobowych, w tym następujących rodzajów danych i następujących kontekstów:

a)	rozdział II ma zastosowanie do danych, z wyjątkiem treści, dotyczących działania, wykorzystywania i środowiska produktów skomunikowanych i usług powiązanych;

b)	rozdział III ma zastosowanie do wszelkich danych sektora prywatnego podlegających ustawowym obowiązkom w zakresie dzielenia się danymi;

c)	rozdział IV ma zastosowanie do wszelkich danych sektora prywatnego udostępnianych i wykorzystywanych na podstawie umów między przedsiębiorcami;

d)	rozdział V ma zastosowanie do wszelkich danych sektora prywatnego ze szczególnym uwzględnieniem danych nieosobowych;

e)	rozdział VI ma zastosowanie do wszelkich danych i usług przetwarzanych przez dostawców usług przetwarzania danych;

f)	rozdział VII ma zastosowanie do wszelkich danych nieosobowych dostawców usług przetwarzania danych przechowywanych na terenie Unii.

3. Niniejsze rozporządzenie ma zastosowanie do:

a)	producentów produktów skomunikowanych wprowadzanych do obrotu w Unii i dostawców usług powiązanych, niezależnie od miejsca siedziby tych producentów i dostawców;

b)	znajdujących się w Unii użytkowników produktów skomunikowanych lub usług powiązanych, o których mowa w lit. a);

c)	posiadaczy danych, którzy udostępniają dane odbiorcom danych w Unii, niezależnie od miejsca siedziby tych posiadaczy;

d)	odbiorców danych w Unii, którym dane są udostępniane;

organów sektora publicznego, Komisji, Europejskiego Banku Centralnego oraz organów Unii, które w przypadku wyjątkowej potrzeby wykorzystania tych danych występują do posiadaczy danych z wnioskiem o udostępnienie danych do celów wykonania określonego zadania realizowanego w interesie publicznym, oraz posiadaczy danych, którzy dostarczają tych danych w odpowiedzi na taki wniosek;

f)	dostawców usług przetwarzania danych świadczących takie usługi klientom w Unii, niezależnie od miejsca siedziby tych dostawców;

g)	uczestników przestrzeni danych oraz sprzedawców aplikacji korzystających z inteligentnych umów, a także osób, których działalność handlowa, gospodarcza lub zawodowa obejmuje wdrażanie inteligentnych umów w ramach wykonywania umowy.

4. W przypadku gdy w niniejszym rozporządzeniu mowa jest o produktach skomunikowanych lub usługach powiązanych, takie odniesienia rozumie się jako obejmujące również wirtualnych asystentów, o ile wchodzą oni w interakcje z produktem skomunikowanym lub usługą powiązaną.

5. Niniejsze rozporządzenie pozostaje bez uszczerbku dla prawa Unii i prawa krajowego dotyczących ochrony danych osobowych, prywatności i poufności komunikacji oraz integralności urządzeń końcowych, które mają zastosowanie do danych osobowych przetwarzanych w związku z prawami i obowiązkami ustanowionymi w niniejszym rozporządzeniu, w szczególności dla rozporządzenia (UE) 2016/679 i rozporządzenia (UE) 2018/1725 oraz dyrektywy 2002/58/WE, w tym dla uprawnień i kompetencji organów nadzorczych oraz praw osób, których dane dotyczą. W przypadku gdy użytkownicy są osobami, których dane dotyczą, prawa ustanowione w rozdziale II niniejszego rozporządzenia są uzupełnieniem ich prawa dostępu i prawa do przenoszenia danych na mocy art. 15 i 20 rozporządzenia (UE) 2016/679. W razie kolizji pomiędzy niniejszym rozporządzeniem a prawem Unii dotyczącym ochrony danych osobowych lub prywatności lub prawem krajowym przyjętym zgodnie z takim prawem Unii pierwszeństwo ma stosowne prawo Unii lub prawo krajowe dotyczące ochrony danych osobowych lub prywatności.

6. Niniejsze rozporządzenie nie ma zastosowania do ani nie wyklucza dobrowolnych uzgodnień dotyczących wymiany danych między podmiotami prywatnymi i publicznymi, w szczególności dobrowolnych uzgodnień dotyczących dzielenia się danymi.

Niniejsze rozporządzenie nie wpływa na unijne i krajowe akty prawne przewidujące dzielenie się danymi, dostęp do nich i ich wykorzystywanie do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania lub ścigania czynów zabronionych lub wykonywania kar, lub do celów celnych i podatkowych, w szczególności na rozporządzenia (UE) 2021/784, (UE) 2022/2065 i (UE) 2023/1543, dyrektywę (UE) 2023/1544, ani na współpracę międzynarodową w tej dziedzinie. Niniejsze rozporządzenie nie ma zastosowania do zbierania danych, dzielenia się nimi i ich wykorzystywania lub dostępu do danych na mocy rozporządzenia (UE) 2015/847 oraz dyrektywy (UE) 2015/849. Niniejsze rozporządzenie nie ma zastosowania do dziedzin niewchodzących w zakres prawa Unii i w żadnym wypadku nie wpływa na kompetencje państw członkowskich dotyczące bezpieczeństwa publicznego, obronności lub bezpieczeństwa narodowego, niezależnie od rodzaju podmiotu, któremu państwa członkowskie powierzyły wykonywanie zadań związanych z tymi kompetencjami, ani od ich uprawnień do ochrony innych zasadniczych funkcji państwa, w tym zapewniania integralności terytorialnej państwa oraz utrzymywania porządku publicznego. Niniejsze rozporządzenie nie wpływa na kompetencje państw członkowskich dotyczące administracji celnej i podatkowej lub zdrowia i bezpieczeństwa obywateli.

7. Niniejsze rozporządzenie uzupełnia podejście samoregulacyjne przewidziane w rozporządzeniu (UE) 2018/1807 poprzez wprowadzenie dodatkowych obowiązków o zasięgu ogólnym dotyczących zmiany dostawców w chmurze.

8. Niniejsze rozporządzenie pozostaje bez uszczerbku dla unijnych i krajowych aktów prawnych przewidujących ochronę praw własności intelektualnej, w szczególności dyrektywy 2001/29/WE, 2004/48/WE oraz (UE) 2019/790.

9. Niniejsze rozporządzenie pozostaje bez uszczerbku dla prawa unijnego i jest uzupełnieniem tego prawa służącego wspieraniu interesów konsumentów, zapewnianiu konsumentom wysokiego poziomu ochrony oraz ochronie ich zdrowia, bezpieczeństwa i interesów ekonomicznych, w szczególności dyrektywy 93/13/EWG, 2005/29/WE i 2011/83/UE.

10. Niniejsze rozporządzenie nie uniemożliwia zawierania umów o dobrowolnym, zgodnym z prawem dzieleniu się danymi, w tym umów zawieranych na zasadzie wzajemności, które są zgodne z wymogami określonymi w niniejszym rozporządzeniu.

Artykuł 28

Umowne obowiązki dotyczące przejrzystości w zakresie dostępu międzynarodowego i przekazywania międzynarodowego

1. Dostawcy usług przetwarzania danych udostępniają na swoich stronach internetowych i na bieżąco aktualizują następujące informacje:

a)	jurysdykcja, której podlega infrastruktura ICT używana do przetwarzania danych w ramach ich poszczególnych usług;

ogólny opis środków technicznych, organizacyjnych i umownych przyjętych przez dostawcę usług przetwarzania danych w celu zapobieżenia międzynarodowemu dostępowi do danych nieosobowych przechowywanych na terenie Unii lub ich przekazania administracji rządowej, w przypadku gdy taki dostęp lub takie przekazanie skutkowałyby naruszeniem prawa Unii lub prawa krajowego danego państwa członkowskiego.

2. Odniesienie do stron internetowych, o których mowa w ust. 1, znajduje się w umowach w odniesieniu do wszystkich usług przetwarzania danych oferowanych przez dostawców usług przetwarzania danych.

Artykuł 32

Międzynarodowy dostęp administracji rządowej i przekazywanie

1. Dostawcy usług przetwarzania danych stosują wszelkie odpowiednie środki techniczne, organizacyjne i prawne, w tym umowy, w celu zapobiegania międzynarodowemu dostępowi administracji rządowej państw trzecich do danych nieosobowych przechowywanych na terenie Unii oraz międzynarodowemu przekazywaniu takich danych nieosobowych, w przypadku gdy takie przekazywanie lub taki dostęp byłyby sprzeczne z prawem Unii lub prawem krajowym danego państwa członkowskiego, bez uszczerbku dla ust. 2 lub 3.

2. Orzeczenia lub wyroki sądu lub trybunału państwa trzeciego oraz decyzje organu administracyjnego państwa trzeciego nakazujące dostawcy usług przetwarzania danych przekazanie przechowywanych na terenie Unii danych nieosobowych objętych zakresem stosowania niniejszego rozporządzenia lub udzielenie dostępu do tych danych uznaje się lub wykonuje wyłącznie wtedy, gdy są oparte na umowie międzynarodowej, takiej jak traktat o pomocy prawnej, obowiązującej między państwem trzecim, które występuje z wnioskiem, a Unią lub na umowie tego rodzaju między państwem trzecim, które występuje z wnioskiem, a państwem członkowskim.

3. W przypadku braku umowy międzynarodowej, o której mowa w ust. 2, jeżeli dostawca usług przetwarzania danych jest adresatem orzeczenia lub wyroku sądu lub trybunału państwa trzeciego lub decyzji organu administracyjnego państwa trzeciego nakazujących przekazanie przechowywanych na terenie Unii danych nieosobowych objętych zakresem stosowania niniejszego rozporządzenia lub udzielenie dostępu do tych danych, a zastosowanie się do takiego orzeczenia lub takiej decyzji wiązałoby się z ryzykiem naruszenia przez adresata prawa Unii lub prawa krajowego stosownego państwa członkowskiego, przekazanie takich danych temu organowi państwa trzeciego lub udzielenie mu dostępu do takich danych odbywa się wyłącznie gdy:

system państwa trzeciego wymaga, aby uzasadnienie i proporcjonalność takiego orzeczenia, wyroku lub takiej decyzji zostały określone oraz aby takie orzeczenie, wyrok lub taka decyzja miały konkretny charakter, np. poprzez ustalenie wystarczającego związku z niektórymi osobami podejrzanymi lub naruszeniami;

b)	uzasadniony sprzeciw adresata podlega kontroli właściwego sądu lub trybunału państwa trzeciego; oraz

właściwy sąd lub trybunał państwa trzeciego wydający orzeczenie lub wyrok lub dokonujący kontroli decyzji organu administracyjnego są upoważnione na podstawie prawa tego państwa trzeciego do należytego uwzględnienia stosownych interesów prawnych dostawcy danych chronionych na mocy prawa Unii lub prawa krajowego danego państwa członkowskiego.

Adresat decyzji lub orzeczenia może zwrócić się o opinię do stosownego podmiotu lub organu krajowego właściwego ds. współpracy międzynarodowej w kwestiach prawnych w celu ustalenia, czy warunki określone w akapicie pierwszym zostały spełnione, w szczególności jeżeli uzna, że orzeczenie lub decyzja mogą dotyczyć tajemnic przedsiębiorstwa i innych szczególnie chronionych danych handlowych oraz treści chronionych prawami własności intelektualnej lub przekazanie może prowadzić do deanonimizacji. Właściwy podmiot lub organ krajowy może skonsultować się z Komisją. Jeżeli adresat uzna, że decyzja może naruszać bezpieczeństwo narodowe lub interesy obronne Unii lub jej państw członkowskich, zwraca się o opinię do właściwych podmiotów lub organów krajowych w celu ustalenia, czy żą dane dane dotyczą bezpieczeństwa narodowego lub interesów obronnych Unii lub jej państw członkowskich. Jeżeli adresat nie otrzyma odpowiedzi w terminie miesiąca lub jeżeli właściwy podmiot lub organ krajowy stwierdzi w opinii, że warunki określone w akapicie pierwszym nie zostały spełnione, adresat może na tej podstawie odrzucić wniosek o przekazanie danych nieosobowych lub dostęp do nich.

Europejska Rada ds. Innowacji w zakresie Danych, o której mowa w art. 42, doradza Komisji i wspiera ją w opracowywaniu wytycznych w sprawie oceny spełnienia warunków określonych w akapicie pierwszym niniejszego ustępu.

4. Jeżeli spełnione są warunki określone w ust. 2 lub 3, dostawca usług przetwarzania danych w odpowiedzi na wniosek dostarcza jak najmniejszą ilość danych dozwoloną w oparciu o racjonalną interpretację tego wniosku dokonaną przez dostawcę lub właściwy krajowy podmiot lub organ, o którym mowa w ust. 3 akapit drugi.

5. Zanim dostawca usług przetwarzania danych zastosuje się do tego wniosku, informuje on klienta o wniosku organu państwa trzeciego o dostęp do jego danych, z wyjątkiem przypadków, w których wniosek służy do celów ścigania przestępstw i tak długo, jak jest to niezbędne do zachowania skuteczności działań w tym zakresie.

ROZDZIAŁ VIII

INTEROPERACYJNOŚĆ

whereas

keyboard_tab Data Act 2023/2854 PL

Data Act 2023/2854 PL