Vlastnictví dat v rámci SaaS smlouvy: kdo je vlastníkem vašich dat podle nizozemského práva?

Podle nizozemského práva nikdo nevlastní data jako taková, takže klauzule o datech ve vaší smlouvě SaaS určuje, kdo může používat, kopírovat, exportovat a mazat informace, které vložíte do cloudové platformy. Hlavními výjimkami jsou autorská práva, práva k databázi, obchodní tajemství a GDPR, které chrání část vašich dat zákonem; vše ostatní je chráněno pouze v rozsahu stanoveném ve vaší smlouvě.

Článek 3:2 nizozemského občanského zákoníku (Burgerlijk Wetboek, BW) definuje věc (zaak) jako hmotný objekt, který může člověk ovládat, a datová sada hmotná není. Nejasné znění smlouvy proto nenechává otázku otevřenou: v praxi ji řeší ve prospěch poskytovatele.

Proč je vlastnictví dat otázkou smlouvy, nikoli majetku?

Nizozemské právo vlastnictví zná pouze věci a vlastnická práva (goederen, článek 3:1 BW) a data nejsou ani jedno z toho. Data nemůžete dodat, zastavit ani získat zpět tak, jako můžete server, takže pokud vaše smlouva neříká nic užitečného o vašich datech, nemáte žádnou záložní pozici.

Čtyři právní předpisy chrání určité údaje:

• Autorské právo podle nizozemského zákona o autorských právech (Auteurswet) chrání původní text, obrázky, kresby a software, který nahrajete nebo vytvoříte, a nepřechází k poskytovateli, protože je uloženo na jeho serverech.
• Právo na databázi podle zákona o databázích (Databankenwet) chrání strukturovanou sbírku, pokud jste vynaložili značné prostředky na získání, ověření nebo prezentaci jejího obsahu; investice do samotného vytvoření dat se nepočítá.
• Zákon o obchodním tajemství (Wet bescherming bedrijfsgeheimen) chrání důvěrné obchodní informace s komerční hodnotou, ale pouze pokud jste podnikli přiměřené kroky k jejich utajení.
• GDPR chrání osobní údaje, ale dává práva dotčeným osobám, nikoli vaší společnosti.

Transakční protokoly, telemetrie, konfigurační nastavení, vzorce používání, údaje ze senzorů a analýzy na nich založené obvykle nespadají do všech čtyř oblastí. Jsou chráněny pouze vaším souhlasem.

Co se pokazí, když je datová klauzule vágní?

Klauzule o vágních datech vytvářejí pět opakujících se problémů. Každý z nich vyplývá spíše ze standardních podmínek poskytovatelů než ze smůly.

Cloudová smlouva si proto zaslouží stejnou kontrolu jako nájemní nebo distribuční smlouva. Náš přehled toho, co je třeba v cloudové smlouvě v Nizozemsku kontrolovat , stanoví širší obchodní rámec.

Co by měla uvádět datová klauzule?

Funkční klauzule definuje zákaznická data, stanoví, že veškerá práva k nim zůstávají zákazníkovi, a omezuje licenci poskytovatele na účel poskytování služby. Omezení účelu má důležitou váhu.

Porovnejte dvě formulace. „Licence k používání, reprodukci, úpravě a distribuci zákaznických dat“, udělená na dobu neurčitou a neodvolatelnou, umožňuje poskytovateli vytvářet produkty na základě vašich informací a pokračovat v této činnosti i po vašem odchodu. „Licence k přístupu k zákaznickým datům a jejich zpracování výhradně za účelem poskytování služeb na základě této smlouvy“, která končí skončením smlouvy, to neznamená.

Definujte zákaznická data tak, aby zahrnovala i to, co vaši zaměstnanci v rámci platformy vytvářejí, jako jsou tikety, komentáře, konfigurace pracovních postupů a anotace, nikoli pouze to, co nahráváte. Výslovně se zaměřte na odvozená a agregovaná data, protože klauzule, která se vztahuje pouze na „zákaznická data“, ponechává vše, co z nich poskytovatel vypočítá, nechráněné.

Do jaké míry vás nizozemské smluvní právo chrání před nepřiměřenými podmínkami?

Méně, než většina firem očekává. Většina SaaS smluv používá všeobecné obchodní podmínky poskytovatele, které se řídí články 6:231 až 6:247 BW, ale větší společnosti se nemohou dovolávat hlavních ochranných opatření.

Podle článku 6:234 BW vám poskytovatel musí poskytnout přiměřenou příležitost přečíst si podmínky před uzavřením smlouvy nebo při jejím uzavření; u elektronických smluv ve formě, kterou si můžete uložit. Podle článku 6:233(a) BW je podmínka odporovatelná, pokud je nepřiměřeně tíživá. Podle článku 6:235 BW se však strana nemůže těchto důvodů dovolávat, pokud se jedná o právnickou osobu, která zveřejnila svou poslední roční účetní závěrku, nebo pokud pro ni v době uzavření smlouvy pracovalo 50 a více osob.

Zbývajícím bezpečnostním ventilem je článek 6:248(2) BW: smluvní podmínka se nepoužije, pokud by její použití bylo nepřijatelné z hlediska standardů přiměřenosti a spravedlnosti. Soudy toto ustanovení uplatňují restriktivně mezi podniky. Pro většinu zavedených společností je vyjednávání před podpisem jedinou skutečnou příležitostí.

Mění to zahraniční volba práva?

Částečně. Podle nařízení Řím I je volba práva mezi podniky obecně platná a podle nařízení Brusel I bis je totéž týká i volby soudu v rámci EU. Tato volba nevylučuje GDPR ani pravidla pro změnu poskytovatele podle zákona EU o ochraně osobních údajů, která zavazují poskytovatele služeb zákazníkům v EU, ať už jsou usazeni kdekoli. Slib dodržovat vnitrostátní právní předpisy o ochraně osobních údajů poskytovatele namísto GDPR je vadou.

Jak získáte svá data zpět podle zákona EU o ochraně osobních údajů?

Od září 2025 platí zákon o ochraně osobních údajů (nařízení (EU) 2023/2854), jehož pravidla pro přechod se vztahují na SaaS i na infrastrukturní a platformní služby. Body, které dříve byly obchodovatelné, se tak mění na zákonná minimální práva, bez ohledu na standardní podmínky poskytovatele.

Poskytovatel musí odstranit smluvní, technické a obchodní překážky bránící přechodu k jinému poskytovateli nebo k vlastní infrastruktuře. Nařízení omezuje lhůtu pro oznámení před zahájením přechodu, vyžaduje přechodné období, během kterého poskytovatel přechod podporuje, a zaručuje minimální lhůtu pro obnovení vašich údajů před jejich vymazáním. Export musí probíhat ve strukturovaném, běžně používaném a strojově čitelném formátu, a to prostřednictvím otevřených rozhraní.

Poplatky za přechod se postupně ruší: během přechodu si poskytovatel může účtovat pouze skutečné náklady a od 12. ledna 2027 si nesmí účtovat poplatky za přechod ani za odesílání dat vůbec. Smlouvy uzavřené za starších podmínek by měly být znovu přečteny s ohledem na tato pravidla. U vysoce přizpůsobených služeb je i nadále nutné do smlouvy uvést formát exportu, dokumentaci schématu a podporu migrace: zákonné minimum je spodní hranice, nikoli migrační plán.

Co musí smlouva se zpracovatelem uvádět o mazání a zabezpečení?

Pokud platforma uchovává osobní údaje, jste obvykle správcem a poskytovatel zpracovatelem a článek 28 GDPR vyžaduje písemnou smlouvu se zpracovatelem. Na konci smlouvy musí zpracovatel dle vaší volby smazat nebo vrátit všechny osobní údaje; klauzule, která umožňuje poskytovateli volbu, tento standard nesplňuje.

Naše vysvětlení rolí správce a zpracovatele podle GDPR vám pomůže určit, kdo je kdo, a náš průvodce smlouvou o zpracování osobních údajů se zabývá jejím vypracováním.

U záloh obvykle selhávají sliby o smazání. Zálohy se neupravují záznam po záznamu; akceptovaný přístup je takový, že data označená k smazání jsou vyřazena z provozu, neobnovují se do aktivních systémů a zmizí, když je záloha přepsána. Smlouva by měla stanovit dobu rotace záloh, zaručit, že označená data nebudou obnovena, a vyžadovat písemné potvrzení smazání.

Článek 32 GDPR vyžaduje od správce a zpracovatele odpovídající bezpečnostní opatření. Propojte je s certifikací, kterou poskytovatel vlastní a bude udržovat, jako je ISO/IEC 27001, s právem auditu. Od doby, kdy 15. srpna 2026 vstoupil v platnost zákon o kybernetické bezpečnosti (Cyberbeveiligingswet), musí subjekty v jeho působnosti včas varovat svůj tým CSIRT a příslušný orgán před závažným incidentem do 24 hodin a podrobnější oznámení do 72 hodin (články 26 a 27 Cyberbeveiligingswet). Tyto lhůty můžete dodržet pouze tehdy, pokud vás váš poskytovatel musí upozornit do několika hodin.

Dílčí zpracovatelé, umístění dat a audity

Podle článku 28(2) GDPR potřebuje zpracovatel před najmutím dílčího zpracovatele váš souhlas a v případě obecného zmocnění vás musí informovat o změnách, abyste mohli vznést námitku. Smlouva by měla stanovit výpovědní lhůtu a umožnit vám ukončit smlouvu bez sankce s plným exportem, pokud vznesete námitku.

Pokud osobní údaje opustí Evropský hospodářský prostor, vyžaduje kapitola V GDPR mechanismus přenosu, jako je rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky Evropské komise. Požadujte, aby poskytovatel na vlastní náklady přešel na alternativní mechanismus, pokud ten, který se používá, přestane být platný, a aby sdělil, ze kterých zemí má podpůrný personál přístup k vašim údajům. Ujistěte se, že doložka o auditu umožňuje následné otázky a kontrolu po incidentu, nikoli pouze výroční zprávu.

Komu patří odvozená data a data pro trénování umělé inteligence?

Nikdo ze zákona, takže o tom rozhoduje smlouva. Odvozená data jsou to, co poskytovatel vypočítává z vašich dat: benchmarky, predikce, zprávy o efektivitě a váhy modelů trénované na vaší datové sadě.

Sledujte klauzuli o „zlepšování služeb“, která obvykle představuje právo používat anonymizovaná nebo agregovaná data k vývoji služeb a modelů poskytovatele. Anonymizace je v rámci GDPR vysoká laťka: pseudonymizované záznamy neboli agregované údaje dostatečně podrobné k identifikaci jednoho zákazníka zůstávají osobními údaji. Anonymní data mohou i nadále odhalovat vaše ceny, marže, skladbu klientů a procesy produktu prodávanému vašim konkurentům.

Ochrana obchodního tajemství pomáhá pouze tehdy, pokud jste podnikli přiměřené kroky k utajení informací, a souhlas s jejich použitím pro trénování modelů je blízký opaku. Zákon EU o umělé inteligenci upravuje vývoj a používání systémů umělé inteligence, ale nepřiděluje práva k trénovacím datům ani výstupům. Ochranná klauzule stanoví, že veškerá práva k nezpracovaným, odvozeným a agregovaným datům zůstávají vaše a že vývoj produktů, benchmarking nebo trénování modelů vyžaduje váš předchozí písemný souhlas v jednotlivých případech.

Jsou limity odpovědnosti ve smlouvách SaaS platné podle nizozemského práva?

V zásadě ano. Nizozemské právo akceptuje doložky o zproštění odpovědnosti mezi podniky a poskytovatelé obvykle omezují odpovědnost na poplatky zaplacené za šest nebo dvanáct měsíců, což je zlomek ztráty v případě závažného narušení bezpečnosti dat.

Podle článku 6:248(2) BW je spoléhání se na strop nepřijatelné, zejména pokud byla škoda způsobena úmyslem nebo vědomou nedbalostí poskytovatele nebo jeho vedení, jak uvádí judikatura Nejvyššího soudu. Strana, která není vyloučena článkem 6:235 BW, může strop napadnout také podle článku 6:233(a) BW. Obě cesty se projednávají po ztrátě a za určitou cenu; vyjednávání je levnější.

Trvejte na dvou výjimkách: porušení povinností týkajících se mlčenlivosti a zabezpečení mimo obecný limit a neomezené odškodnění za duševní vlastnictví. Limit mezi vámi a poskytovatelem neomezuje nároky jednotlivců podle článku 82 GDPR ani pokuty ze strany AP, které u nejzávažnějších porušení mohou dosáhnout 4 % celosvětového ročního obratu.

Co se stane s vašimi daty, když poskytovatel zkrachuje?

Podle článku 37 zákona o bankrotu (Faillissementswet) můžete správci úvěrů (kurátorovi) poskytnout přiměřenou písemnou lhůtu k potvrzení, zda bude smlouva splněna. Pokud správce úvěr nepotvrdí, ztrácí právo požadovat od vás plnění, ale služba není nadále poskytována.

Samotná úschova zdrojového kódu tento problém neřeší, protože kód je bez prostředí, konfigurace a dat k ničemu. Dohoda o zajištění kontinuity provozu kombinuje pravidelné ukládání zdrojového kódu a instrukcí pro sestavení, aktuální kopii vašich dat v dokumentovaném formátu mimo majetek poskytovatele a spouštěč pro uvolnění dat, který kryje insolvenci a dlouhodobé výpadky služby. Viz naše články o dohodách o úschově a softwarové úschově v Nizozemsku.

Jak se slabé znění srovnává s ochranným zněním?

Slabá formulace popisuje výsledek; ochranná formulace zavazuje poskytovatele k mechanismu, který lze otestovat s ohledem na formát, období nebo pojmenovaný standard.

Co byste si jako zákazník měli ověřit?

• Končí licence poskytovatele ukončením a vztahuje se pouze na poskytování služby?
• Jsou odvozená a agregovaná data výslovně vaše a je modelové školení bez vašeho souhlasu vyloučeno?
• Je export zaručen v dokumentovaném, strojově čitelném formátu, maximálně v rozsahu povoleném zákonem o ochraně osobních údajů?
• Vztahuje se smazání i na zálohy s písemným potvrzením?
• Musí poskytovatel hlásit incidenty do několika hodin, abyste mohli dodržet 24hodinovou lhůtu pro kybernetické upozornění, pokud se na vás vztahuje?
• Spadají důvěrnost, bezpečnost a odškodnění za duševní vlastnictví mimo limit odpovědnosti?

Co byste si měli jako poskytovatel SaaS ověřit?

• Jsou vaše podmínky v souladu s pravidly pro změnu účtu podle zákona o ochraně osobních údajů, včetně postupného zrušení poplatků za změnu účtu do 12. ledna 2027?
• Splňuje vaše smlouva se zpracovatelem článek 28 GDPR, včetně smazání nebo vrácení údajů dle volby zákazníka?
• Je váš seznam dílčích zpracovatelů aktuální a obsahuje postup pro oznámení a podávání námitek?
• Jsou vaše práva na zlepšování služeb a školení v oblasti umělé inteligence jasně omezená a skutečně založená na anonymizovaných datech?
• Poskytli jste své všeobecné podmínky ve formě, kterou si zákazníci mohou uložit, jak vyžaduje článek 6:234 stavebního zákoníku?

Naše průvodce IT právem stanoví širší rámec.

Co pro vás můžeme udělat se SaaS smlouvami a daty?

Naši IT právníci posuzují a vyjednávají SaaS a cloudové smlouvy pro nizozemské i mezinárodní firmy:

• Prověříme vaši SaaS smlouvu a smlouvu se zpracovatelem a označíme každé ustanovení, které ovlivňuje práva k vašim datům.
• Vypracováváme ochranné formulace týkající se práv na ochranu osobních údajů, odvozených dat, exportu, mazání a odpovědnosti.
• Stávající smlouvy kontrolujeme podle pravidel zákona o změně smluvního vztahu (Data Act) a zákona o kybernetické bezpečnosti (Cyberbeveiligingswet).
• Zajistili jsme kontinuitu a úschovu s funkčním mechanismem pro uvolnění.
• Vedeme jednání s poskytovatelem, nebo pokud jste poskytovatelem vy, vypracujeme návrh standardních podmínek, které budou v souladu s požadavky.
• Zasahujeme ve sporech s poskytovateli, když se výstup nebo vrácení dat pokazí.

Shrnutí

• Data nejsou podle článku 3:2 BW věcí, takže vaše smlouva určuje, kdo je může používat.
• Omezte licenci poskytovatele na poskytování služby a zahrněte odvozená a agregovaná data.
• Větší společnosti se nemohou spoléhat na pravidla o nepřiměřených podmínkách podle článku 6:233 BW (článek 6:235 BW); před podpisem je třeba jednat.
• Zákon o ochraně osobních údajů poskytuje minimální práva na změnu dodavatele a vývoz a od 12. ledna 2027 ruší poplatky za změnu dodavatele.
• Bezpečné mazání záloh, rychlé oznámení o incidentech a zajištění kontinuity v případě insolvence.

Často kladené otázky