Zakon EU o varstvu podatkov – Uredba (EU) 2023/2854 – je začel veljati 11. januarja 2024, dvajset dni po objavi v Uradnem listu Evropske unije. Uredba se uporablja od 12. septembra 2025. Ta zakonodaja nalaga temeljne nove obveznosti proizvajalcem povezanih izdelkov in ponudnikom sorodnih storitev, ki vplivajo na širok spekter sektorjev: od proizvodnje in energetike do zdravstva in avtomobilske industrije. Vsakomur, ki ustvarja, obdeluje ali uporablja podatke v poslovnem kontekstu, bi bilo priporočljivo, da pravočasno preuči področje uporabe te zakonodaje.
Kaj ureja Zakon o varstvu podatkov?
Zakon o varstvu podatkov je del evropske strategije za podatke, katere cilj je okrepiti konkurenčni položaj Evrope v podatkovnem gospodarstvu. Uredba določa pravila o tem, kdo ima dostop do podatkov, ustvarjenih z uporabo izdelkov ali storitev, in pod kakšnimi pogoji je treba te podatke deliti. To ne zadeva splošne pravice do vseh podatkov, temveč okvir šestih specifičnih sklopov: dostop uporabnikov do podatkov o izdelkih in storitvah, deljenje podatkov med podjetji pod poštenimi pogoji, javni dostop v primerih izjemne potrebe, preklapljanje med storitvami obdelave podatkov, zaščita pred mednarodnim vladnim dostopom do neosebnih podatkov in interoperabilnost.
Obveznosti za podjetja: oblikovanje izdelkov
Povezani izdelki morajo biti zasnovani in izdelani tako, da so ustvarjeni podatki privzeto enostavno, varno, brezplačno in v strojno berljivi obliki, ki je neposredno dostopna uporabniku. Uporabniki povezanih izdelkov – pomislite na pametne domače naprave, industrijske stroje ali vozila – s tem pridobijo pravico do dostopa do podatkov, ki jih ustvari njihova uporaba tega izdelka. Proizvajalci in ponudniki storitev teh podatkov ne smejo več hraniti izključno zase.
Pomembno je, da se ta obveznost začne uporabljati postopoma. Čeprav se Zakon o varstvu podatkov kot celota uporablja od 12. septembra 2025, obveznost načrtovanja in izdelave za povezane izdelke velja le za izdelke, dane na trg po 12. septembru 2026. Obstoječi izdelki zato še niso zajeti.
Pošteni pogoji pri izmenjavi podatkov med podjetji
Uredba vsebuje posebna pravila o pogodbene določbe v pogodbah o podatkih med podjetjiPogoj, ki ga eno podjetje enostransko naloži drugemu, ne zavezuje druge stranke, če je nepošten. Pogoj se šteje za enostransko naložen, kadar druga stranka kljub poskusu pogajanj ni mogla vplivati na njegovo vsebino. Dokazno breme za to je na stranki, ki je določila pogoj.
Pogoj je nepošten, če njegova uporaba močno odstopa od dobre poslovne prakse in je v nasprotju z dobro vero in poštenim ravnanjem. Uredba navaja primere pogojev, ki izključujejo odgovornost za naklep ali hudo malomarnost, preprečujejo drugi stranki uporabo lastnih podatkov, omogočajo enostransko odpoved pogodbe v nerazumno kratkem roku ali dovoljujejo enostransko izvedbo znatnih sprememb cen ali drugih bistvenih sprememb. Pravna posledica je, da nepošten pogoj ne zavezuje druge stranke, medtem ko preostale pogodbene določbe ostanejo v veljavi, kolikor je pogoj ločljiv.
Prepletanje z GDPR
Zakon o varstvu podatkov je vzporeden s Splošno uredbo o varstvu podatkov, vendar med njima obstaja pomembna medsebojna povezava. Uredba zajema tudi osebne podatke, vendar jih ne ločuje od zakona o varstvu podatkov. Kadar uporabnik ni posameznik, na katerega se nanašajo osebni podatki, čigar osebni podatki se zahtevajo, se ti osebni podatki lahko posredujejo le, če obstaja veljavna pravna podlaga v skladu s 6. členom GDPR. Zakon o varstvu podatkov zato ne ustvarja samostojne izjeme od GDPR: dostop do podatkov v skladu z Zakonom o varstvu podatkov ne odvezuje strank odgovornosti za dostop do podatkov. njihove obveznosti glede GDPR, niti ne zagotavlja podlage za nadaljnjo hrambo ali ponovno uporabo posredovanih podatkov, ki presega namen, za katerega so bili pridobljeni.
Prenosljivost in preklapljanje v oblaku
Ločeno poglavje od ponudnikov storitev obdelave podatkov zahteva, da olajšajo prehod k drugemu ponudniku. Ne smejo postavljati nobenih predkomercialnih, komercialnih, tehničnih, pogodbenih ali organizacijskih ovir, ki bi strankam ovirale prehod. Od 12. januarja 2027 ponudniki storitev obdelave podatkov strankam ne smejo več zaračunavati stroškov prehoda. Dejanski prenos podatkov in konfiguracij se mora izvesti brez nepotrebnega odlašanja in v nobenem primeru po obveznem prehodnem obdobju največ trideset dni. Za organizacije, ki so močno odvisne od enega samega ponudnika storitev v oblaku, to ponuja nove pogajalske prednosti pri podaljševanju ali ponovnem pogajanju o pogodbah.
Javni dostop v primerih izjemne potrebe
Uredba daje organom javnega sektorja možnost, da pod strogimi pogoji zahtevajo dostop do zasebnih podatkov v primerih izjemne potrebe – kot so izredne razmere v javnem sektorju. V tem primeru so imetniki podatkov, ki niso mikropodjetja in mala podjetja, dolžni brezplačno dati na voljo potrebne podatke. V drugih primerih izjemne potrebe je imetnik podatkov upravičen do pravičnega nadomestila. Ta pristojnost je podvržena pogojem sorazmernosti in subsidiarnosti, določenim v uredbi.
Izvrševanje na Nizozemskem
Na Nizozemskem je izvrševanje zdaj vključeno v zakonodajo z Zakonom o izvajanju Zakona o podatkih (Uitvoeringswet dataverordening). Nizozemski organ za potrošnike in trge (ACM) je pristojni organ za največji del uredbe, vključno s poglavji o podatkih o izdelkih, deljenju med podjetji in prenosljivosti v oblaku. Nizozemski organ za varstvo podatkov (AP) je pristojen za elemente, občutljive na zasebnost, in za obdelavo osebnih podatkov v okviru nekaterih členov in poglavja V. Oba organa lahko sprejmeta izvršilne ukrepe na svojem področju z izdajo odredbe, za katero je predvidena kazen ali upravna globa. Zakon o izvajanju določa tudi dogovor o sodelovanju in izmenjavi informacij med ACM in AP, tako da lahko oba nadzornika usklajeno ukrepata pri prekrivajočih se vprašanjih.
Kaj to pomeni v praksi?
Podjetja, ki razvijajo, uvažajo ali distribuirajo povezane izdelke, bi morala zdaj pregledati zasnovo svojih izdelkov in pogodbeno strukturo v skladu z Zakonom o podatkih. Za izdelke, ki bodo dani na trg po 12. septembru 2026, obveznost glede zasnove in dostopnosti velja v celoti. Ponudniki storitev, ki obdelujejo podatke v imenu uporabnikov, bi morali preučiti, katere obveznosti glede deljenja podatkov veljajo zanje in ali so obstoječi sporazumi – vključno z enostransko pripravljenimi klavzulami o podatkih – usklajeni z njimi.
Tisti, ki čakajo, da se začne uveljavljanje, tvegajo, da bodo zaostali. Pravočasna uskladitev izdelkov, storitev in pogodb z novimi pravili ni le stvar skladnosti, ampak tudi ponuja priložnosti: tisti, ki svojim strankam ponujajo preglednost in dostop do podatkov, izstopajo na trgu, ki je vse bolj kritičen do tega, kako podjetja ravnajo s podatki.
Imate vprašanja o posledicah Zakona EU o varstvu podatkov za vaše podjetje ali vaše pogodbe? Odvetniki pri Law & More z veseljem vam pomagamo.
Pogosto zastavljena vprašanja
Ali se Zakon o varstvu podatkov že uporablja za moje obstoječe povezane izdelke?
Uredba velja od 12. septembra 2025, vendar obveznost zasnove povezanih izdelkov tako, da so podatki dostopni uporabnikom, velja le za izdelke, dane na trg po 12. septembru 2026. Obstoječi izdelki, ki so že na trgu pred tem datumom, še niso zajeti. Kljub temu bi bilo pametno, da proizvajalci in uvozniki svoj razvoj izdelkov uskladijo z novimi zahtevami že zdaj, da bodo prihodnji izdelki skladni s predpisi ob lansiranju na trg.
Kaj naj storim, če moja pogodba o uporabi podatkov vsebuje klavzule, ki omejujejo dostop do podatkov?
V skladu z Zakonom o varstvu podatkov se lahko pogodbeni pogoji, ki so enostransko določeni in drugi stranki preprečujejo uporabo ali izkoriščanje lastnih podatkov, štejejo za nepoštene in zato nezavezujoče. Priporočljivo je, da se obstoječe pogodbe o varstvu podatkov pregledajo glede takšnih klavzul. Dokazno breme, da pogoj ni bil enostransko določen, nosi stranka, ki ga je vključila. Zgodnje ponovno pogajanje je na splošno učinkovitejše od čakanja, da druga stranka uveljavi Uredbo.
Ali lahko delim osebne podatke v skladu z zakonom o varstvu podatkov brez pravne podlage GDPR?
Ne. Zakon o varstvu podatkov ne zagotavlja samostojne podlage za razkritje osebnih podatkov. Kadar uporabnik ni posameznik, na katerega se nanašajo osebni podatki, se ti podatki lahko posredujejo le, če obstaja veljavna pravna podlaga v skladu s 6. členom GDPR. Poleg tega dostop do podatkov v skladu z Zakonom o varstvu podatkov ne zagotavlja podlage za nadaljnje hrambe ali ponovno uporabo razkritih osebnih podatkov, ki presegajo prvotni namen. Zato je treba hkrati zagotoviti skladnost z GDPR in Zakonom o varstvu podatkov.
Ali lahko kot ponudnik storitev v oblaku še vedno zaračunavam stroške prehoda?
Od 12. januarja 2027 je ponudnikom storitev obdelave podatkov prepovedano zaračunavati strankam stroške zamenjave. Poleg tega od 12. septembra 2025 ni dovoljeno postavljati nobenih tehničnih, pogodbenih ali organizacijskih ovir, ki bi ovirale zamenjavo. Dejanski prenos podatkov ob zamenjavi se mora prav tako opraviti brez nepotrebnega odlašanja in zaključiti najkasneje v prehodnem obdobju tridesetih dni. Obstoječe pogodbe, ki vsebujejo daljša obdobja ali stroške zamenjave, je treba pregledati.
Kateri nadzorni organ je pristojen za izvrševanje Zakona o varstvu podatkov na Nizozemskem?
Izvrševanje je razdeljeno med nizozemski organ za potrošnike in trge (ACM) in nizozemski organ za varstvo podatkov (AP). ACM je pristojen za največji del uredbe, vključno z določbami o podatkih o izdelkih, delitvi med podjetji in prenosljivosti v oblaku. AP je pristojen za elemente, ki vplivajo na zasebnost, in obdelavo osebnih podatkov v okviru nekaterih členov in poglavja V. Oba organa lahko izdata odredbo, za katero je predvidena denarna kazen ali upravna globa. Zoper takšne odločitve so na voljo običajna upravnopravna sredstva, vključno z ugovorom, pritožbo in začasno odredbo.
Ali se Zakon o varstvu podatkov uporablja tudi za mala podjetja?
Uredba razlikuje glede na velikost podjetij v nekaj točkah. Na primer, mikropodjetja in mala podjetja so v primerih zahtev za podatke v primeru javne krize oproščena obveznosti brezplačnega dajanja podatkov na voljo; v teh primerih so upravičena do pravičnega nadomestila. Za druge obveznosti – vključno z obveznostjo dostopnosti za povezane izdelke in testom pravičnosti za pogoje B2B – ni splošne izjeme za mala in srednje velika podjetja. Zato morajo tudi manjši ponudniki povezanih izdelkov ali storitev v oblaku svoje poslovanje pravočasno uskladiti z Uredbo.
