Zákon EU o ochraně osobních údajů dává uživatelům propojených produktů a souvisejících služeb právo na přístup k datům, která generují, a na sdílení těchto dat se třetími stranami. Platí od 12. září 2025, ale povinnost navrhovat produkty tak, aby byla data přímo přístupná, se vztahuje pouze na propojené produkty uvedené na trh po 12. září 2026.
Zákon o datech, nařízení (EU) 2023/2854, rovněž stanoví pravidla týkající se nepřiměřených podmínek ve smlouvách o datech mezi podniky, změny poskytovatelů cloudových služeb a přístupu veřejných orgánů k datům ve výjimečných situacích. Pokud vaše firma vyrábí, dováží nebo prodává propojené produkty, nabízí cloudové služby nebo používá data na základě smluv s jinými podniky, pravděpodobně se jí to dotkne. Níže vysvětlujeme hlavní povinnosti a to, jak je ACM a AP v Nizozemsku vymáhají.
Obsah
Co upravuje zákon o ochraně osobních údajů?
Zákon o ochraně osobních údajů stanoví, kdo má přístup k údajům generovaným používáním produktů a služeb a za jakých podmínek musí být tato data sdílena. Nevytváří obecné právo na všechna data, ale rámec pro šest specifických oblastí.
Nařízení vstoupilo v platnost 11. ledna 2024. Zahrnuje přístup uživatelů k údajům o produktech a službách, spravedlivé podmínky pro sdílení údajů mezi podniky, přístup veřejných orgánů v případech mimořádné potřeby, přechod mezi službami zpracování údajů, ochranná opatření proti neoprávněnému přístupu vlády k neosobním údajům ze zemí mimo EU a interoperabilitu. Úplné znění je k dispozici na EUR-Lex.
Co musí výrobci propojených produktů dělat?
Propojené produkty a související služby musí být navrženy tak, aby data, která generují, byla ve výchozím nastavení snadno, bezpečně, zdarma a ve strojově čitelném formátu přímo přístupná uživateli, pokud je to relevantní a technicky proveditelné (článek 3). Vzpomeňte si na chytrá domácí zařízení, průmyslové stroje, zdravotnické prostředky nebo vozidla.
Tato povinnost týkající se designu se vztahuje na propojené produkty a související služby uvedené na trh po 12. září 2026. Produkty, které již byly na trhu před tímto datem, nemusí být nově navrženy. Před uzavřením smlouvy musí být uživatel rovněž informován o typu a objemu dat, která produkt generuje, a o tom, jak k nim může přistupovat (článek 3(2) a (3)).
Pokud nejsou údaje přímo přístupné, musí je držitel údajů zpřístupnit uživateli na jeho žádost, bez zbytečného odkladu a bezplatně (článek 4). Uživatel může rovněž požádat držitele údajů o sdílení údajů s třetí stranou dle vlastního výběru (článek 5). Takovou třetí stranou nemohou být kontroloři (gatekeeper) určení podle zákona o digitálních trzích.
Můžete ochránit svá obchodní tajemství?
Ano, do určité míry. Držitel údajů může před zveřejněním údajů obsahujících obchodní tajemství požadovat opatření zachování důvěrnosti a ve výjimečných případech může sdílení odmítnout nebo pozastavit, pokud je vysoce pravděpodobné, že zveřejnění způsobí vážné ekonomické škody. Takové odmítnutí musí být písemně odůvodněno a oznámeno příslušnému orgánu, v Nizozemsku ACM.
Uživatel nesmí získané údaje použít k vývoji produktu, který konkuruje propojenému produktu, ze kterého data pocházejí (článek 4(10)). Držitel údajů může neosobní údaje o produktu používat pouze na základě smlouvy s uživatelem.
Které smluvní podmínky mezi podniky jsou nepřiměřené?
Smluvní podmínka o přístupu k údajům a jejich používání nebo o odpovědnosti a prostředcích nápravy v případě porušení nezavazuje druhou stranu, pokud byla jednostranně uložena a je nepřiměřená (článek 13). Podmínka je jednostranně uložena, pokud druhá strana nemohla ovlivnit její obsah i přes pokus o její vyjednání, a strana, která podmínku stanovila, musí prokázat opak.
Podmínka je nepřiměřená, pokud se hrubě odchyluje od dobrých obchodních zvyklostí v přístupu k údajům a jejich používání, a je v rozporu s dobrou vírou a poctivým jednáním. Článek 13 obsahuje dva seznamy. Mezi podmínky, které jsou vždy nepřiměřené, patří ty, které vylučují nebo omezují odpovědnost za úmyslné jednání nebo hrubou nedbalost, a ty, které dávají straně, která podmínku uložila, výlučné právo vykládat smlouvu. Mezi podmínky, které se považují za nepřiměřené, patří ty, které nevhodně omezují druhou stranu v používání údajů, které poskytla, nebo které umožňují ukončení smlouvy v nepřiměřeně krátké výpovědní lhůtě.
Nepřiměřená podmínka druhou stranu nezavazuje, ale zbytek smlouvy zůstává v platnosti, pokud ji lze od ní oddělit. Pravidla se vztahují na smlouvy uzavřené po 12. září 2025. Od 12. září 2027 se vztahují i na starší smlouvy, které jsou uzavřeny na dobu neurčitou nebo jejichž platnost končí nejméně deset let po 11. lednu 2024.
Pokud musí držitel údajů zpřístupnit údaje jinému podniku, může požadovat přiměřenou úhradu (článek 9). V případě mikropodniků, malých a středních podniků a některých výzkumných organizací nesmí tato úhrada překročit náklady na zpřístupnění údajů.
Jaký je vztah mezi zákonem o ochraně osobních údajů a GDPR?
Zákon o ochraně osobních údajů nenahrazuje obecné nařízení o ochraně osobních údajů (GDPR). V případě osobních údajů se GDPR nadále uplatňuje v plném rozsahu a v případě rozporu má přednost GDPR.
Pokud uživatel, který žádá o údaje, není subjektem údajů, mohou být osobní údaje zpřístupněny pouze tehdy, existuje-li platný právní základ podle článku 6 GDPR a případně článku 9 GDPR. Samotný zákon o ochraně osobních údajů takový základ nevytváří a pravidla GDPR týkající se omezení účelu, zabezpečení a doby uchovávání se nadále uplatňují. Přečtěte si více o rizicích sdílení údajů v rámci GDPR a o tom, jak dlouho můžete uchovávat zákaznické údaje.
Jaké změny se projeví u poskytovatelů cloudových služeb a jejich zákazníků?
Poskytovatelé služeb zpracování dat, jako jsou cloudové a edge služby, musí zákazníkům usnadnit přechod k jinému poskytovateli nebo k vlastní infrastruktuře. Nesmí klást obchodní, technické, smluvní ani organizační překážky, které by bránily změně (článek 23).
Smlouva musí zákazníkovi umožnit změnu s maximální výpovědní lhůtou dva měsíce, po níž musí být skutečný přenos dat a digitálních aktiv dokončen v přechodném období nejvýše třiceti dnů. Pokud to není technicky proveditelné, musí poskytovatel vysvětlit proč a může lhůtu prodloužit, a to maximálně o sedm měsíců.
Od 12. ledna 2027 si poskytovatelé již nesmí účtovat žádné poplatky za přechod. Do tohoto data mohou účtovat pouze snížené poplatky, které nepřesahují náklady přímo spojené s přechodem. Před obnovením stávajících cloudových smluv si ověřte, zda neplatíte delší dobu trvání nebo poplatky za přechod.
Kdy mohou veřejné orgány požadovat vaše údaje?
Subjekty veřejného sektoru mohou za přísných podmínek požadovat od podniků, aby zpřístupnily údaje v případech mimořádné potřeby, jako je například stav veřejné nouze. Žádost musí být konkrétní, přiměřená a odůvodněná.
V případě veřejné nouze musí držitelé údajů poskytnout údaje bezplatně, s výjimkou mikropodniků a malých podniků, které mají nárok na odškodnění. V jiných případech mimořádné potřeby, například pokud jsou údaje potřebné pro konkrétní úkol ve veřejném zájmu a nelze je získat jinak, může držitel údajů požadovat spravedlivou odškodnění.
Kdo v Nizozemsku vymáhá dodržování zákona o ochraně osobních údajů?
Dohled je upraven v prováděcím zákoně k zákonu o ochraně osobních údajů (Uitvoeringswet dataverordening), který je platný od 21. listopadu 2025. Úřad pro spotřebitele a trhy (ACM) dohlíží na většinu nařízení, včetně pravidel pro produktová data, sdílení dat mezi podniky a přechod na cloudové služby.
Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP) je odpovědný za případy týkající se osobních údajů a za žádosti o údaje od veřejných orgánů. Oba orgány mohou ve své oblasti uložit příkaz podléhající sankci (last onder dwangsom) nebo správní pokutě a spolupracují v překrývajících se otázkách.
Pokud orgán rozhodne proti vašemu podniku, můžete u něj do šesti týdnů podat námitku (bezwaar) a poté se odvolat k soudu. Podnik může svá práva podle nařízení uplatňovat také u občanskoprávních soudů, například pokud držitel údajů odmítne přístup k údajům.
Vztahuje se zákon o ochraně osobních údajů i na malé podniky?
Z velké části ano. Pro malé a střední podniky neexistuje žádná obecná výjimka: povinnost designu pro propojené produkty a test spravedlnosti pro smluvní podmínky platí bez ohledu na velikost podniku.
Povinnosti týkající se přístupu k údajům a jejich sdílení podle kapitoly II se nevztahují na údaje generované produkty vyrobenými mikropodniky a malými podniky nebo službami poskytovanými mikropodniky a malými podniky, pokud nemají většího partnera ani propojený podnik (článek 7). Střední podniky využívají omezenou přechodnou výjimku v délce jednoho roku. V případě veřejné nouze mají mikropodniky a malé podniky nárok na odškodnění.
Co byste si měli jako výrobce, držitel údajů nebo poskytovatel cloudových služeb ověřit?
Začněte s produkty a službami, které uvedete na trh po 12. září 2026, protože se na ně v plném rozsahu vztahuje povinnost návrhu.
- Poskytuje design produktu uživatelům přímý přístup k jejich datům, pokud je to technicky proveditelné (článek 3)?
- Uvádějí vaše informace před uzavřením smlouvy typ a objem dat a jak k nim mohou uživatelé přistupovat?
- Existuje postup pro vyřizování žádostí o přístup a sdílení bez zbytečného odkladu (články 4 a 5)?
- Identifikovali jste obchodní tajemství a opatření pro zajištění důvěrnosti, která budete potřebovat před sdílením?
- Respektují vaše cloudové smlouvy dvouměsíční výpovědní lhůtu, třicetidenní lhůtu pro převod a konec poplatků za převod k 12. lednu 2027?
Co byste si měli jako uživatel nebo firemní zákazník zkontrolovat?
Jako uživatel si můžete nárokovat údaje, které by si výrobce nebo poskytovatel služeb jinak ponechal pro sebe, a můžete napadnout nepřiměřené podmínky týkající se údajů podle článku 13.
- Které propojené produkty a služby ve vaší firmě generují data, o která byste si mohli vyžádat podle článku 4?
- Obsahují vaše dodavatelské smlouvy jednostranně stanovené podmínky týkající se používání údajů nebo odpovědnosti, které mohou být nespravedlivé?
- Můžete změnit poskytovatele cloudu do dvou měsíců od oznámení a jaké poplatky za změnu smlouva umožňuje?
- Máte právní základ GDPR pro každý tok osobních údajů, které přijímáte nebo předáváte?
- Zdokumentovali jste své žádosti, abyste mohli podat stížnost u ACM nebo se obrátit na soud, pokud vám bude přístup zamítnut?
Co pro vás můžeme udělat se zákonem o ochraně osobních údajů?
Naši IT právníci radí firmám v oblasti datových smluv, cloudových dohod a dodržování zákona o ochraně osobních údajů a GDPR.
- Zmapujeme, které z vašich produktů, služeb a smluv spadají do působnosti zákona o ochraně osobních údajů.
- Vaše standardní podmínky a dodavatelské smlouvy porovnáme se seznamy nepřiměřených podmínek podle článku 13.
- Vypracováváme nebo revidujeme dohody o sdílení údajů, včetně opatření o důvěrnosti obchodního tajemství.
- Kontrolujeme vaše cloudové smlouvy z hlediska výpovědních lhůt, lhůt pro převod a poplatků za změnu.
- Vaše procesy v oblasti ochrany osobních údajů sladíme s vašimi povinnostmi podle GDPR.
- Zastupujeme vás v řízeních před ACM, AP nebo občanskoprávními soudy.
Shrnutí
- Zákon o ochraně osobních údajů platí od 12. září 2025; povinnost návrhu pro propojené produkty se vztahuje na produkty uvedené na trh po 12. září 2026.
- Uživatelé mají přístup k datům, která generují jejich připojené produkty, a mohou je sdílet se třetími stranami, s výhradou ochrany obchodního tajemství.
- Jednostranně uložené nepřiměřené podmínky týkající se přístupu k datům, jejich používání a odpovědnosti nejsou pro druhou společnost závazné.
- Poskytovatelé cloudových služeb musí usnadnit přechod a od 12. ledna 2027 již nesmí účtovat poplatky za přechod.
- V Nizozemsku dohlížejí na dodržování předpisů ACM a AP a mohou ukládat pokuty.
Často kladené otázky
Vztahuje se zákon o ochraně osobních údajů již na mé stávající propojené produkty?
Nařízení platí od 12. září 2025, ale povinnost navrhovat propojené produkty tak, aby uživatelé měli přímý přístup k datům, se vztahuje pouze na produkty uvedené na trh po 12. září 2026. U produktů, které jsou již na trhu, mohou uživatelé i nadále požádat o přístup k datům držitele údajů podle článku 4.
Co mám dělat, když moje smlouva o ochraně dat obsahuje ustanovení, která omezují přístup k datům?
Nechte si smlouvu přezkoumat. Jednostranně uložená podmínka, která nevhodně omezuje druhou stranu v používání údajů, které poskytla, se podle článku 13 považuje za nepřiměřenou a tuto stranu pak nezavazuje. Strana, která podmínku zavedla, musí prokázat, že byla sjednána.
Mohu sdílet osobní údaje podle zákona o ochraně osobních údajů bez právního základu GDPR?
Ne. Zákon o ochraně osobních údajů neposkytuje právní základ pro zveřejňování osobních údajů. Pokud uživatel není subjektem údajů, lze osobní údaje zpřístupnit pouze tehdy, existuje-li k tomu platný důvod podle článku 6 GDPR. Údaje získané podle zákona o ochraně osobních údajů rovněž nesmí být uchovávány ani znovu používány nad rámec toho, co GDPR umožňuje.
Mohu si jako poskytovatel cloudových služeb stále účtovat poplatky za změnu?
Pouze do 12. ledna 2027 a pouze snížené poplatky, které nepřesahují náklady přímo spojené s přechodem. Od tohoto data jsou poplatky za přechod zakázány. Samotný převod musí být dokončen v přechodném období nejvýše třiceti dnů, pokud to není technicky proveditelné.
Který dozorový orgán v Nizozemsku vymáhá dodržování zákona o ochraně osobních údajů?
Úřad pro spotřebitele a trhy (ACM) dohlíží na většinu nařízení, včetně údajů o produktech, sdílení dat mezi podniky a přechodu na cloudové služby. Za případy týkající se osobních údajů je odpovědný nizozemský úřad pro ochranu osobních údajů (AP). Oba mohou uložit příkaz podléhající sankci nebo pokutě, proti níž je možné podat námitku a odvolat se.
