Niniejsze rozporządzenie powinno ustanawiać warunki ponownego wykorzystywania danych chronionych mające zastosowanie do podmiotów sektora publicznego wyznaczonych jako podmioty właściwe na podstawie prawa krajowego do udzielania lub odmowy udzielania dostępu do celów ponownego wykorzystywania, przy czym warunki te powinny pozostawać bez uszczerbku dla praw lub obowiązków dotyczących dostępu do takich danych. Warunki te powinny być niedyskryminujące, przejrzyste, proporcjonalne i obiektywnie uzasadnione, a jednocześnie nie powinny ograniczać konkurencji, ze szczególnym naciskiem na propagowanie dostępu do takich danych dla MŚP i przedsiębiorstw typu start-up. Warunki ponownego wykorzystywania powinny być opracowywane w sposób promujący badania naukowe, tak aby przykładowo uprzywilejowanie badań naukowych było co do zasady uznawane za niedyskryminujące. Podmioty sektora publicznego zezwalające na ponowne wykorzystywanie powinny dysponować środkami technicznymi niezbędnymi do zapewnienia ochrony praw i interesów osób trzecich oraz być uprawnione do żądania niezbędnych informacji od ponownego użytkownika. Warunki związane z ponownym wykorzystywaniem danych powinny być ograniczone do tego, co jest niezbędne do ochrony praw i interesów osób trzecich w odniesieniu do danych oraz integralności systemów informacyjno-komunikacyjnych podmiotów sektora publicznego. Podmioty sektora publicznego powinny stosować warunki, które najlepiej służą interesom ponownego użytkownika, a jednocześnie nie powodują nieproporcjonalnie dużego obciążenia dla podmiotów sektora publicznego. Należy określić warunki ponownego wykorzystywania danych, aby zapewnić skuteczne zabezpieczenia w odniesieniu do ochrony danych osobowych. Przed przesłaniem danych osobowych należy je zanonimizować, aby uniemożliwić identyfikację osób, których dane dotyczą, a dane zawierające poufne informacje handlowe należy zmodyfikować w taki sposób, aby nie ujawniać informacji poufnych. W przypadku gdy dostarczenie danych zanonimizowanych lub zmodyfikowanych nie odpowiadałoby potrzebom ponownego użytkownika, można zezwolić na ponowne wykorzystywanie danych na miejscu lub zdalnie w bezpiecznym środowisku przetwarzania, z zastrzeżeniem spełnienia wymogów dotyczących dokonania oceny skutków dla ochrony danych i przeprowadzenia konsultacji z organem nadzorczym zgodnie z art. 35 i art. 36 rozporządzenia (UE) 2016/679, oraz gdy ryzyko dla praw i interesów osób, których dane dotyczą, uznano za minimalne.

Mogłoby to stanowić odpowiednie rozwiązanie w zakresie ponownego wykorzystywania danych spseudonimizowanych. Podmiot sektora publicznego powinien nadzorować analizy danych w takich bezpiecznych środowiskach przetwarzania, by chronić prawa i interesy osób trzecich. W szczególności dane osobowe powinny być przesyłane osobie trzeciej do ponownego wykorzystywania tylko w przypadku, gdy podstawa prawna określona w prawie dotyczącym ochrony danych zezwala na takie przesyłanie. Dane nieosobowe powinny być przesyłane tylko wtedy, gdy nie ma powodów, by sądzić, że połączenie zbiorów danych nieosobowych doprowadziłoby do identyfikacji osób, których dane dotyczą. Powinno to mieć również zastosowanie do danych spseudonimizowanych, które zachowują status danych osobowych. W przypadku deanonimizacji osób, których dane dotyczą, oprócz obowiązku zgłoszenia takiego naruszenia ochrony danych organowi nadzorczemu i osobie, której dane dotyczą, zgodnie z rozporządzeniem (UE) 2016/679, powinien mieć zastosowanie obowiązek zgłoszenia tego naruszenia podmiotowi sektora publicznego. Podmioty sektora publicznego powinny, w stosownych przypadkach, ułatwiać – za pomocą odpowiednich środków technicznych – ponowne wykorzystywanie danych na podstawie zgody osób, których dane dotyczą, lub pozwolenia posiadaczy danych na ponowne wykorzystywanie dotyczących ich danych. W tym względzie podmiot sektora publicznego powinien dołożyć wszelkich starań, by udzielić pomocy w ubieganiu się o taką zgodę lub takie pozwolenie potencjalnym ponownym użytkownikom, ustanawiając – jeżeli jest to praktycznie wykonalne – mechanizmy techniczne, które umożliwiają przekazywanie pochodzących od ponownych użytkowników wniosków o wyrażenie zgody lub udzielenie pozwolenia. Nie należy podawać żadnych informacji kontaktowych umożliwiających ponownym użytkownikom bezpośredni kontakt z osobami, których dane dotyczą, lub z posiadaczami danych. Jeżeli podmiot sektora publicznego przekazuje wniosek o wyrażenie zgody lub udzielnie pozwolenia, powinien zapewnić, by osoba, której dane dotyczą, lub posiadacz danych byli wyraźnie poinformowani o możliwości odmowy wyrażenia zgody lub udzielenia pozwolenia.