Þann 11. janúar 2024 tóku gagnalög ESB – reglugerð (ESB) 2023/2854 – gildi, tuttugu dögum eftir að þau voru birt í Stjórnartíðindum Evrópusambandsins. Reglugerðin tekur gildi frá 12. september 2025. Þessi löggjöf leggur nýjar grundvallarskyldur á framleiðendur tengdra vara og þjónustuaðila sem veita tengda þjónustu, sem hafa áhrif á fjölbreyttan geira: allt frá framleiðslu og orku til heilbrigðisþjónustu og bílaiðnaðar. Allir sem framleiða, vinna úr eða nota gögn í viðskiptalegum samhengi ættu að kynna sér gildissvið þessara laga tímanlega.
Hvað gilda persónuverndarlögin?
Gagnalögin eru hluti af evrópskri gagnastefnu sem miðar að því að styrkja samkeppnisstöðu Evrópu í gagnahagkerfinu. Reglugerðin setur reglur um hverjir hafa aðgang að gögnum sem myndast við notkun vara eða þjónustu og við hvaða skilyrði þessi gögn verða að vera deilt. Þetta varðar ekki almennan rétt til allra gagna, heldur ramma sex sértækra klasa: aðgang notenda að vöru- og þjónustugögnum, miðlun fyrirtækja á sanngjörnum kjörum, aðgang almennings í sérstökum tilvikum, skipti á milli gagnavinnsluþjónustu, vernd gegn aðgangi alþjóðlegra stjórnvalda að ópersónuupplýsingum og samvirkni.
Skyldur fyrirtækja: vöruhönnun
Tengdar vörur verða að vera hannaðar og framleiddar á þann hátt að gögnin sem myndast séu sjálfkrafa auðveldlega, örugglega, ókeypis og á tölvulesanlegu sniði sem notendur geta nálgast beint. Notendur tengdra vara – hugsið um snjalltæki fyrir heimili, iðnaðarvélar eða ökutæki – öðlast þannig rétt til aðgangs að gögnum sem notkun þeirra á þeirri vöru býr til. Framleiðendur og þjónustuaðilar mega ekki lengur geyma þessi gögn eingöngu fyrir sjálfa sig.
Mikilvægt er að hafa í huga að þessi skylda tekur gildi í áföngum. Þó að gagnalögin í heild sinni taki gildi frá 12. september 2025, þá gildir hönnunar- og framleiðsluskyldan fyrir tengdar vörur aðeins um vörur sem settar eru á markað eftir 12. september 2026. Því falla núverandi vörur ekki enn undir þetta.
Sanngjörn kjör í gagnadeilingu milli fyrirtækja
Reglugerðin inniheldur sérstakar reglur um samningsskilmálar í B2B gagnasamningumSkilmálar sem eitt fyrirtæki setur einhliða á annað fyrirtæki binda ekki hinn aðilann ef þeir eru ósanngjarnir. Skilmálar teljast einhliða settir ef hinn aðilinn gat ekki haft áhrif á efni þeirra þrátt fyrir tilraun til samninga. Sönnunarbyrðin hvílir á þeim aðila sem setti skilmálana inn.
Skilmáli er óréttlátur ef notkun hans víkur gróflega frá góðum viðskiptaháttum og er í andstöðu við góða trú og sanngjarna viðskiptahætti. Reglugerðin nefnir sem dæmi skilmála sem útiloka ábyrgð vegna ásetnings eða grófs gáleysis, koma í veg fyrir að hinn aðilinn noti eigin gögn, leyfa einhliða uppsögn með óeðlilega stuttum fyrirvara eða leyfa að verulegar verðbreytingar eða aðrar efnislegar breytingar séu gerðar einhliða. Réttaráhrifin eru þau að óréttláti skilmálinn bindur ekki hinn aðilann, en aðrar samningsákvæði halda gildi sínu að því leyti sem skilmálinn er aðskiljanlegur.
Samspil við GDPR
Persónuverndarlögin standa samhliða almennu persónuverndarreglugerðinni, en mikilvægt samspil er á milli þeirra. Reglugerðin nær einnig til persónuupplýsinga, en aðskilur þær ekki frá persónuverndarlögum. Þegar notandinn er ekki sá skráði sem óskað er eftir persónuupplýsingum um, má aðeins veita þær persónuupplýsingar ef gildur lagalegur grundvöllur er fyrir hendi samkvæmt 6. gr. GDPR. Persónuverndarlögin skapa því ekki sjálfstæða undantekningu frá GDPR: aðgangur að gögnum samkvæmt persónuverndarlögunum leysir ekki aðila undan skyldum. skyldur þeirra varðandi GDPRné veitir það grundvöll fyrir frekari varðveislu eða endurnotkun gagnanna sem veitt eru umfram það sem þau voru aflað í.
Flytjanleiki í skýinu og skipti
Í sérstökum kafla er kveðið á um að þjónustuaðilar gagnavinnsluþjónustu skuli auðvelda þeim að skipta yfir í annan þjónustuaðila. Þeir mega ekki leggja neinar hindranir fyrir viðskiptaárangur, viðskiptalegar, tæknilegar, samningsbundnar eða skipulagslegar hindranir sem hindra viðskiptavini í að skipta yfir. Frá og með 12. janúar 2027 mega þjónustuaðilar gagnavinnsluþjónustu ekki lengur innheimta nein skiptigjöld af viðskiptavinum. Raunveruleg flutningur gagna og stillinga verður að eiga sér stað án ótilhlýðilegrar tafar og aldrei eftir skyldubundið aðlögunartímabil sem er að hámarki þrjátíu dagar. Fyrir stofnanir sem eru mjög háðar einum skýjaþjónustuaðila býður þetta upp á nýja samningsmöguleika við endurnýjun eða endursamninga um samninga.
Aðgangur almennings í sérstökum tilvikum
Reglugerðin veitir opinberum aðilum möguleika á, með ströngum skilyrðum, að krefjast aðgangs að persónuupplýsingum í sérstökum tilvikum – svo sem í neyðarástandi. Í slíkum tilvikum eru gagnahafar, aðrir en örfyrirtæki og lítil fyrirtæki, skyldugir til að gera nauðsynleg gögn aðgengileg án endurgjalds. Í öðrum tilvikum þar sem sérstök þörf er á á gagnahafinn rétt á sanngjörnu bótum. Þessi heimild er háð skilyrðum um meðalhóf og nálægð sem fram koma í reglugerðinni.
Löggæsla í Hollandi
Í Hollandi hefur framfylgd nú verið lögfest með framkvæmdarlögum um persónuverndarlög (Uitvoeringswet dataverordening). Persónuverndarstofnun Hollands (ACM) er lögbært yfirvald fyrir stærstan hluta reglugerðarinnar, þar á meðal kaflana um vörugögn, samnýtingu fyrirtækja og flytjanleika í skýinu. Persónuverndarstofnun Hollands (AP) fer með málefni sem varða friðhelgi einkalífsins og vinnslu persónuupplýsinga innan ákveðinna greina og V. kafla. Báðar yfirvaldirnar geta gripið til framfylgdaraðgerða innan síns sviðs með því að leggja á fyrirmæli sem varða sektum eða stjórnsýslusektum. Framkvæmdarlögin kveða einnig á um samstarf og upplýsingaskipti milli ACM og AP, þannig að báðir eftirlitsaðilar geti unnið á samræmdan hátt að málum sem skarast.
Hvað þýðir þetta í reynd?
Fyrirtæki sem þróa, flytja inn eða dreifa tengdum vörum ættu að endurskoða vöruhönnun sína og samningsgerð gagnvart persónuverndarlögunum núna. Fyrir vörur sem settar eru á markað eftir 12. september 2026 gildir hönnunar- og aðgengisskyldan að fullu. Þjónustuveitendur sem vinna úr gögnum fyrir hönd notenda ættu að meta hvaða skyldur um gagnamiðlun eiga við um þá og hvort núverandi samningar - þar á meðal einhliða gagnaákvæði - séu í samræmi við þá.
Þeir sem bíða þangað til framkvæmd hefst eiga á hættu að dragast aftur úr. Að aðlaga vörur, þjónustu og samninga að nýju reglunum tímanlega er ekki aðeins... spurning um samræmi, en býður einnig upp á tækifæri: þeir sem bjóða viðskiptavinum sínum gagnsæi og aðgang að gögnum skera sig úr á markaði sem er sífellt gagnrýnni á hvernig fyrirtæki meðhöndla gögn.
Hefur þú spurningar um áhrif persónuupplýsingalaga ESB á fyrirtæki þitt eða samninga þína? Lögfræðingarnir hjá Law & More eru fús til að aðstoða þig.
Algengar spurningar
Á gagnalögin nú þegar við um núverandi tengdar vörur mínar?
Reglugerðin gildir frá 12. september 2025, en skyldan til að hanna tengdar vörur þannig að notendur hafi aðgang að gögnum á aðeins við um vörur sem settar eru á markað eftir 12. september 2026. Vörur sem þegar voru á markaði fyrir þann dag falla ekki enn undir reglugerðina. Framleiðendur og innflytjendur ættu þó að samræma vöruþróun sína við nýju kröfurnar núna, þannig að framtíðarvörur séu í samræmi við kröfur við markaðssetningu.
Hvað ætti ég að gera ef gagnasamningur minn inniheldur ákvæði sem takmarka aðgang að gögnum?
Samkvæmt gagnalögum geta samningsskilmálar sem eru einhliða settir og koma í veg fyrir að hinn aðilinn noti eða hagnýti sér eigin gögn talist ósanngjarnir og því óbindandi. Ráðlagt er að láta endurskoða núverandi gagnasamninga með tilliti til slíkra ákvæða. Sönnunarbyrðin fyrir því að skilmáli hafi ekki verið settur einhliða hvílir á þeim aðila sem setti hann inn. Snemmbúin endursamningaviðræður eru almennt árangursríkari en að bíða þangað til hinn aðilinn virkjar reglugerðina.
Má ég deila persónuupplýsingum samkvæmt persónuverndarlögunum án lagalegs stoðar samkvæmt GDPR?
Nei. Persónuverndarlögin veita ekki sjálfstæðan grundvöll fyrir miðlun persónuupplýsinga. Ef notandinn er ekki sá skráði sem óskað er eftir persónuupplýsingum um, má aðeins veita þær upplýsingar ef gildur lagalegur grundvöllur er fyrir hendi samkvæmt 6. gr. GDPR. Ennfremur veitir aðgangur að gögnum samkvæmt persónuverndarlögum engan grundvöll fyrir frekari varðveislu eða endurnotkun á þeim persónuupplýsingum sem afhentar voru umfram upphaflegan tilgang. Því verður að tryggja samtímis samræmi við GDPR og persónuverndarlög.
Get ég samt sem áður innheimt skiptigjöld sem skýjaþjónustuaðili?
Frá og með 12. janúar 2027 er þjónustuaðilum gagnavinnslu óheimilt að innheimta gjöld af viðskiptavinum sínum vegna skipta. Þar að auki, frá og með 12. september 2025, má ekki leggja á tæknilegar, samningsbundnar eða skipulagslegar hindranir sem hindra skipta. Raunveruleg gagnaflutningur við skipti skal einnig eiga sér stað án ótilhlýðilegrar tafar og vera lokið innan þrjátíu daga aðlögunartímabils í síðasta lagi. Núverandi samningar sem innihalda lengri tímabil eða gjöld vegna skipta réttlæta endurskoðun.
Hvaða eftirlitsstofnun er bær til að framfylgja persónuverndarlögunum í Hollandi?
Framkvæmd reglugerðarinnar skiptist á milli Neytenda- og markaðseftirlitsstofnunarinnar í Hollandi (ACM) og Persónuverndarstofnunarinnar í Hollandi (AP). Persónuverndarstofnunin fer með meginhluta reglugerðarinnar, þar á meðal ákvæði um vörugögn, samnýtingu fyrirtækja og flytjanleika í skýinu. Persónuverndarstofnunin fer með málefni sem varða friðhelgi einkalífsins og vinnslu persónuupplýsinga innan ákveðinna greina og V. kafla. Báðar stofnanir geta lagt á fyrirmæli sem varða sektum eða stjórnsýslusektum. Venjuleg stjórnsýsluréttarleg úrræði eru í boði gegn slíkum ákvörðunum, þar á meðal andmæli, áfrýjun og bráðabirgðaúrræði.
Á persónuverndarlögin einnig við um lítil fyrirtæki?
Reglugerðin gerir greinarmun á nokkrum atriðum eftir stærð fyrirtækja. Til dæmis eru örfyrirtæki og lítil fyrirtæki undanþegin, í neyðartilvikum opinberra gagnabeiðna, skyldunni til að gera gögn aðgengileg án endurgjalds; í þeim tilvikum eiga þau rétt á sanngjörnu bótum. Fyrir aðrar skyldur – þar á meðal aðgengisskyldu fyrir tengdar vörur og sanngirnispróf fyrir viðskiptakjör milli fyrirtækja – er engin almenn undanþága fyrir lítil og meðalstór fyrirtæki. Minni þjónustuaðilar tengdra vara eða skýjaþjónustu verða því einnig að aðlaga starfsemi sína að reglugerðinni með góðum fyrirvara.
