Krajowe ramy stosowania DGA
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/868 z 30.5.2022 r. w sprawie europejskiego zarządzania danymi i zmieniające rozporządzenie (UE) 2018/1724 (akt w sprawie zarządzania danymi) (Dz.Urz. UE L z 2022 r. Nr 152, s. 1; dalej: DGA) jest stosowane bezpośrednio w państwach członkowskich od 24.9.2023 r. Polska ustawa nie zastępuje jego przepisów ani nie ustanawia od podstaw zasad zarządzania danymi. Wskazuje natomiast właściwe organy, reguluje tryb rozpatrywania wniosków oraz określa zasady nadzoru i nakładania sankcji.
Zakres regulacji wykracza poza ochronę danych osobowych. Obejmuje również dane nieosobowe, ponowne wykorzystywanie chronionych zasobów sektora publicznego, działalność pośredników danych oraz dobrowolne udostępnianie danych w interesie ogólnym. DGA tworzy warunki do wykorzystywania danych w działalności gospodarczej, badaniach naukowych, rozwoju innowacji i realizacji przedsięwzięć społecznych.
Nowy model pośrednictwa w wymianie danych
Jednym z głównych elementów DGA jest regulowany model usług pośrednictwa danych. Jego celem jest ułatwienie nawiązywania relacji między podmiotami posiadającymi dane lub uprawnionymi do ich udostępnienia a podmiotami zainteresowanymi ich wykorzystaniem.
Istotą usługi objętej DGA jest ustanawianie relacji między posiadaczami danych lub osobami, których dane dotyczą, a potencjalnymi użytkownikami. Może to następować za pomocą platform, baz danych, infrastruktury wymiany informacji lub innych rozwiązań technicznych i organizacyjnych.
Do tej kategorii mogą należeć m.in. usługi pośredniczące między przedsiębiorstwami posiadającymi dane a ich potencjalnymi użytkownikami, rozwiązania ułatwiające osobom fizycznym udostępnianie danych oraz usługi spółdzielni danych. Nie każda platforma przetwarzająca lub sprzedająca dane będzie jednak pośrednikiem w rozumieniu DGA. Znaczenie ma rzeczywista funkcja podmiotu oraz sposób organizacji działalności.
Pośrednik ma działać w sposób neutralny wobec stron wymiany. DGA ogranicza możliwość wykorzystywania danych do innych celów i wymaga odpowiedniego oddzielenia usług pośrednictwa od pozostałej działalności. Rozwiązanie ma zwiększać zaufanie podmiotów, które chcą zachować kontrolę nad warunkami udostępnienia danych.
Dostawca zamierzający rozpocząć działalność objętą DGA powinien dokonać zgłoszenia do właściwego organu. W Polsce jest nim Prezes UODO. Zgłoszenie w jednym państwie członkowskim pozwala świadczyć usługi na całym rynku unijnym. Po uzyskaniu potwierdzenia spełniania wymagań DGA dostawca może posługiwać się oznaczeniem „uznany w Unii dostawca usług pośrednictwa danych” i wspólnym logo.
Nowy model może stworzyć dodatkowe możliwości dla przedsiębiorców budujących platformy i infrastrukturę wymiany danych. Nie zwalnia jednak stron z obowiązków wynikających z przepisów o ochronie danych osobowych, tajemnicach prawnie chronionych i własności intelektualnej.
Dobrowolne udostępnianie danych w interesie ogólnym
DGA reguluje również altruizm danych, czyli dobrowolne udostępnianie danych osobowych lub nieosobowych do celów leżących w interesie ogólnym, bez wynagrodzenia wykraczającego poza zwrot kosztów związanych z ich przekazaniem.
Dane mogą być udostępniane m.in. na potrzeby badań naukowych, ochrony zdrowia, przeciwdziałania zmianom klimatu, poprawy mobilności, statystyki publicznej, rozwoju usług publicznych lub kształtowania polityk publicznych. W przypadku danych osobowych podstawą jest zgoda osoby, której dane dotyczą, a w przypadku danych nieosobowych – pozwolenie ich posiadacza.
Organizacja zajmująca się altruizmem danych może ubiegać się o wpis do publicznego krajowego rejestru uznanych organizacji altruizmu danych. Rejestracja jest dobrowolna. Podmiot niezarejestrowany może prowadzić działalność polegającą na nieodpłatnym udostępnianiu danych, ale nie może używać zastrzeżonego unijnego oznaczenia.
Uzyskanie wpisu wymaga spełnienia warunków określonych w DGA i oznacza poddanie się nadzorowi. Status uznanej organizacji jest ważny we wszystkich państwach członkowskich. Może mieć znaczenie dla instytucji naukowych, organizacji społecznych i innych podmiotów realizujących projekty zależne od dostępu do odpowiednio dużych zbiorów danych.
Dostęp do danych chronionych
Ważną częścią ustawy jest procedura dostępu do określonych kategorii danych znajdujących się w posiadaniu podmiotów sektora publicznego. Chodzi o dane chronione ze względu na prawa lub interesy osób trzecich, w tym tajemnicę przedsiębiorstwa, prawa własności intelektualnej i ochronę danych osobowych.
Dane te nie są tym samym co otwarte dane publiczne, które mogą być swobodnie ponownie wykorzystywane na zasadach określonych w odrębnych przepisach. DGA i ustawa nie tworzą również bezwarunkowego prawa do uzyskania każdego zbioru znajdującego się w zasobach administracji.
Nowe przepisy ustanawiają jednolitą ścieżkę ubiegania się o ponowne wykorzystywanie danych chronionych. Z procedury mogą korzystać obywatele, przedsiębiorcy, jednostki naukowe i organizacje społeczne. Wniosek składa się do podmiotu sektora publicznego posiadającego dane, ale za pośrednictwem ministra właściwego do spraw informatyzacji. Powinien on wskazywać m.in. dane objęte wnioskiem, cel ich ponownego wykorzystywania oraz rodzaj działalności, produktu lub usługi, w których mają zostać użyte.
Minister przekazuje prawidłowo skierowany wniosek właściwemu podmiotowi niezwłocznie, nie później niż w ciągu siedmiu dni. Jeżeli wnioskodawca nie wskaże podmiotu posiadającego dane, wniosek zostanie mu zwrócony.
Po rozpoznaniu sprawy podmiot publiczny może poinformować o braku danych, przedstawić ofertę udzielenia dostępu albo odmówić go w drodze decyzji. Oferta określa warunki ponownego wykorzystywania oraz ewentualną opłatę. Wnioskodawca ma 14 dni na jej przyjęcie albo wniesienie sprzeciwu. Brak odpowiedzi oznacza wycofanie wniosku.
Dostęp może wymagać zastosowania anonimizacji, pseudonimizacji, bezpiecznego środowiska przetwarzania lub innych zabezpieczeń. Powinien odbywać się z poszanowaniem poufności, praw osób trzecich i przepisów o ochronie danych.
Punkt informacyjny i wsparcie Prezesa GUS
Minister właściwy do spraw informatyzacji prowadzi pojedynczy punkt informacyjny oraz wykaz zasobów dostępny w portalu danych. Rozwiązanie ma ułatwiać identyfikację właściwych instytucji oraz uzyskiwanie informacji o danych, które mogą być ponownie wykorzystywane.
Minister nie decyduje jednak samodzielnie o udostępnieniu danych. Merytoryczne rozstrzygnięcie należy do podmiotu sektora publicznego posiadającego dany zasób. Minister pełni funkcję pośredniczącą i rozpatruje odwołania od decyzji o odmowie dostępu.
Podmioty publiczne mogą korzystać ze wsparcia Prezesa GUS w zakresie technicznych i organizacyjnych warunków udostępniania danych oraz zapewnienia odpowiedniego środowiska ich przetwarzania.
Nadzór i sankcje
Prezes UODO jest organem właściwym w sprawach usług pośrednictwa danych, rejestracji organizacji altruizmu danych oraz naruszeń dotyczących przekazywania określonych danych nieosobowych do państw trzecich.
Za brak wymaganego zgłoszenia dostawcy usług pośrednictwa danych grozi kara do 200 tys. zł, a za naruszenie warunków świadczenia takich usług do 2 mln zł. Uznanej organizacji altruizmu danych za naruszenie warunków rejestracji może zostać wymierzona kara do 20 tys. zł. Sankcja do 2 mln zł może dotyczyć również naruszeń obowiązków związanych z przekazywaniem danych nieosobowych do państw trzecich.
Komentarz
Przedsiębiorcy działający w obszarze danych powinni zweryfikować, czy ich model działalności podlega regulacjom DGA. Samo przetwarzanie danych, prowadzenie platformy czy oferowanie produktów opartych na danych nie przesądza bowiem o świadczeniu usług pośrednictwa danych w rozumieniu DGA.
Jeżeli działalność mieści się w zakresie tych regulacji, konieczne jest ustalenie m.in. obowiązku zgłoszenia, zasad współpracy z posiadaczami i użytkownikami danych oraz reguł dotyczących przepływu danych nieosobowych poza Unię. Organizacje zainteresowane statusem uznanej organizacji altruizmu danych powinny przygotować dokumentację potwierdzającą spełnienie wymagań DGA. Podmioty publiczne muszą natomiast uporządkować informacje o posiadanych zasobach i procedury rozpoznawania wniosków.
Ustawa ma ułatwiać wykorzystywanie danych, ale nie znosi ograniczeń wynikających z ochrony danych osobowych, tajemnicy przedsiębiorstwa ani praw własności intelektualnej. Praktyczne znaczenie regulacji będzie zależało od połączenia szerszego dostępu do danych z zachowaniem kontroli nad sposobem ich wykorzystania.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
