W kwestii współpracy między właściwymi organami i udzielania sobie przez nie wzajemnej pomocy we wniosku przewidziano stosowanie wszelkich odnośnych mechanizmów. Na wypadek braku mechanizmów współpracy we wniosku wprowadzono środki w celu umożliwienia właściwym organom wymiany i dostępu do danych przechowywanych lub w inny sposób przetwarzanych w innych państwach członkowskich.

Kilka istotnych sektorów celowo wyłączono z zakresu stosowania wspomnianych aktów prawnych (tj. dyrektywy o handlu elektronicznym i dyrektywy usługowej), tak aby tylko ogólne przepisy traktatu miały zastosowanie do całości usług hostingu (przechowywania) i innego rodzaju przetwarzania danych. Istniejących barier dla tych usług nie można jednak skutecznie usunąć, polegając wyłącznie na bezpośrednim stosowaniu art. 49 i 56 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), ponieważ, z jednej strony, rozwiązywanie problemu każdej z tych barier osobno w ramach postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego byłoby niezwykle skomplikowane dla instytucji krajowych i unijnych, a z drugiej strony zniesienie wielu barier równocześnie wymaga szczegółowych przepisów prowadzących do wyeliminowania barier nie tylko w sektorze publicznym, ale i prywatnym, a także rodzi potrzebę ustanowienia współpracy administracyjnej. Ponadto wynikające z tego zwiększanie pewności prawa wydaje się szczególnie ważne dla użytkowników nowych technologii.

·zapewnienie, by właściwe organy zachowały pełne uprawnienia do żądania i uzyskiwania dostępu do danych na potrzeby kontroli regulacyjnej, w tym na potrzeby inspekcji i audytów; oraz

Aby uwolnić ten potencjał, we wniosku dąży się do osiągnięcia następujących celów:

Komisja przedkłada wniosek w formie rozporządzenia, które może zapewnić stosowanie jednolitych przepisów w zakresie swobodnego przepływu danych nieosobowych na całym terytorium Unii w tym samym czasie. Ma to szczególne znaczenie w usuwaniu istniejących i zapobieganiu wprowadzaniu przez państwa członkowskie nowych ograniczeń, w zagwarantowaniu pewności prawa dostawcom usług i użytkownikom objętym tymi przepisami, a tym samym zwiększaniu zaufania do transgranicznych przepływów danych, a także do usług przechowywania i innego rodzaju przetwarzania danych.

We wniosku przypomniano o konieczności stosowania się również do wymogów w zakresie bezpieczeństwa ustanowionych w przepisach krajowych i prawie Unii, w sytuacjach gdy osoby fizyczne lub prawne zlecają w ramach outsourcingu przechowywanie swoich danych lub innego rodzaju ich przetwarzanie, w tym w innym państwie członkowskim. Przywołano w nim również uprawnienia wykonawcze powierzone Komisji na mocy dyrektywy w sprawie bezpieczeństwa sieci i informacji w celu określenia wymogów w zakresie bezpieczeństwa, które również przyczynią się do sprawnego funkcjonowania niniejszego rozporządzenia. Wniosek wprawdzie pociąga za sobą konieczność podjęcia działań przez organy publiczne państw członkowskich z uwagi na wymagania dotyczące zgłaszania/przeglądu, wymagania dotyczące przejrzystości oraz współpracę administracyjną, jednak przepisy sformułowano tak, by ograniczyć wymagane działania do najistotniejszych potrzeb w zakresie współpracy, a tym samym uniknąć zbędnego obciążenia administracyjnego.

Aby usunąć przeszkody w swobodnym przepływie danych nieosobowych w obrębie Unii, ograniczanym wymogami dotyczącymi lokalizacji, i zwiększyć zaufanie do transgranicznych przepływów danych, a także usług przechowywania i innego rodzaju przetwarzania danych, wniosek oparto w dużej mierze na wykorzystaniu istniejących instrumentów i ram unijnych: dyrektywy w sprawie przejrzystości – do celów powiadamiania o projektach środków przewidujących wymogi dotyczące lokalizacji danych, a także różnych ram zapewniających dostępność danych na potrzeby kontroli regulacyjnej prowadzonej przez państwa członkowskie. Mechanizm współpracy ustanowiony we wniosku będzie wykorzystywany do rozwiązywania kwestii dostępności danych dla właściwych organów krajowych jedynie w przypadku braku innych mechanizmów współpracy oraz wyczerpania innych środków dostępu.

Wniosek jest zgodny z zasadą proporcjonalności określoną w art. 5 TUE, ponieważ przewidziano w nim skuteczne ramy, które nie wykraczają poza to, co jest konieczne do rozwiązania stwierdzonych problemów, i są proporcjonalne do zakładanych w nim celów.

Odmienne podejście w poszczególnych państwach członkowskich prowadziłoby jednak do mnożenia wymogów regulacyjnych na jednolitym rynku UE, a także do powstania wymiernych dodatkowych kosztów dla przedsiębiorstw, w szczególności małych i średnich przedsiębiorstw (MŚP).

Wniosek jest zgodny z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej (TUE). Celem niniejszego wniosku jest zapewnienie sprawnego funkcjonowania rynku wewnętrznego wyżej wymienionych usług, który nie jest ograniczony do terytorium jednego państwa członkowskiego, ponadto działania państw członkowskich na szczeblu krajowym nie wystarczą do osiągnięcia swobodnego przepływu danych nieosobowych w obrębie Unii, ponieważ podstawowym problemem jest transgraniczna mobilność danych.

Niniejszy wniosek wchodzi w zakres kompetencji dzielonych zgodnie z art. 4 ust. 2 lit. a) TFUE. Służy on osiągnięciu bardziej konkurencyjnego i zintegrowanego rynku wewnętrznego usług przechowywania i innego rodzaju przetwarzania danych poprzez zapewnienie swobodnego przepływu danych w obrębie Unii. We wniosku określono przepisy dotyczące wymogów dotyczących lokalizacji danych, dostępności danych dla właściwych organów i przenoszenia danych przez użytkowników profesjonalnych. Wniosek jest oparty na art. 114 TFUE, który stanowi podstawę prawną przyjęcia takich przepisów.

Przy opracowywaniu niniejszego wkładu w ten obszar polityki czerpano również ze strategicznego pakietu w sprawie cyfryzacji europejskiego przemysłu, obejmującego europejską inicjatywę dotyczącą przetwarzania w chmurze, służącą wdrożeniu rozwiązań opartych na wykorzystaniu chmur o dużej pojemności do przechowywania, udostępniania i ponownego wykorzystywania danych naukowych. Niniejszą inicjatywę oparto również na wynikach przeglądu europejskich ram interoperacyjności, których celem jest poprawa współpracy cyfrowej między administracjami publicznymi w Europie i którym swobodny przepływ danych przyniesie bezpośrednie korzyści. Przyczynia się ona do realizacji podjętego przez UE zobowiązania do wspierania otwartego internetu.

Proponowane rozporządzenie nie narusza praw podstawowych i jest zgodne z zasadami uznanymi w Karcie praw podstawowych Unii Europejskiej. Proponowane rozporządzenie powinno mieć pozytywny wpływ na wolność prowadzenia działalności gospodarczej (art. 16), ponieważ przyczyni się do wyeliminowania nieuzasadnionych lub nieproporcjonalnych barier w korzystaniu i świadczeniu usług związanych z danymi, takich jak usługi przetwarzania w chmurze, a także w konfigurowaniu wewnętrznych systemów informatycznych, oraz do zapobiegania powstawaniu takich barier.

Wniosek ma zastosowanie do obywateli, administracji krajowych oraz do wszystkich przedsiębiorstw, w tym mikroprzedsiębiorstw i MŚP. Wszystkie przedsiębiorstwa odniosą korzyść z przepisów eliminujących przeszkody dla mobilności danych. Proponowane środki przyniosą korzyści w szczególności MŚP, ponieważ swobodny przepływ danych nieosobowych przyniesie bezpośrednie ograniczenie ich kosztów i pomoże im w uzyskaniu bardziej konkurencyjnej pozycji na rynku. Wyłączenie MŚP z zakresu obowiązywania proponowanych przepisów mogłoby podważyć skuteczność tych uregulowań, ponieważ MŚP stanowią istotną część dostawców usług przechowywania lub innego rodzaju przetwarzania danych i są siłą napędową innowacji na rynkach tych usług. Kolejnym argumentem przemawiającym za niewyłączaniem mikroprzedsiębiorstw lub MŚP z zakresu stosowania przepisów jest to, że koszty wynikające z tych przepisów prawdopodobnie nie będą zbyt wysokie.

Wniosek będzie miał pozytywny wpływ na konkurencyjność, ponieważ stworzy bodźce do wprowadzania innowacyjnych rozwiązań w usługach przechowywania lub innego rodzaju przetwarzania danych, zachęci większą liczbę użytkowników do korzystania z tych usług i znacznie ułatwi, w szczególności nowym i małym przedsiębiorstwom będącym dostawcami usług, wchodzenie na nowe rynki. Wniosek przyczyni się również do zwiększenia transgranicznego i międzysektorowego korzystania z usług przechowywania lub innego rodzaju przetwarzania danych oraz do rozwoju rynku danych. W związku z powyższym niniejszy wniosek pomoże w przekształcaniu społeczeństwa i gospodarki oraz otworzy nowe możliwości dla europejskich obywateli, przedsiębiorstw i administracji publicznej.

Z oceny skutków wynika, że wariant preferowany, podwariant 2a, umożliwiłby skuteczne zniesienie obecnych nieuzasadnionych ograniczeń dotyczących lokalizacji i skuteczne zapobieżenie nowym ograniczeniom w przyszłości, dzięki jasnej zasadzie prawnej w połączeniu z systemem przeglądów, mechanizmami zgłaszania i zapewnieniem przejrzystości, a jednocześnie zwiększyłby pewność prawa i zaufanie do rynku. Obciążenie organów publicznych państw członkowskich byłoby umiarkowane i wyrażałoby się w kwocie około 33 000 EUR rocznie stanowiącej wydatki na zasoby ludzkie w celu utrzymania centralnych punktów kontaktowych, a także rocznym koszcie w wysokości od 385 do 1 925 EUR za przygotowywanie zgłoszeń.

Komisja uznała za stosowne przedłożenie wniosku, dokonując jednocześnie dalszej poprawy analizy w ocenie skutków w celu uwzględnienia uwag zgłoszonych przez Radę ds. Kontroli Regulacyjnej w drugiej opinii. Zakres niniejszego wniosku jest ograniczony do swobodnego przepływu danych nieosobowych w Unii Europejskiej. Ponadto mając na uwadze stwierdzenie Rady, że dowody wydają się przemawiać za mniej rygorystycznym wariantem w odniesieniu do przenoszenia danych, w ocenie skutków odstąpiono od pierwotnie preferowanego wariantu polegającego na nałożeniu na dostawców usług obowiązku ułatwienia użytkownikom zmiany dostawcy lub przenoszenia danych. Zamiast tego Komisja zachowała mniej uciążliwy wariant, w którym przewidziano samoregulację przy wsparciu Komisji. Proponowane środki są proporcjonalne i mniej rygorystyczne, ponieważ nie obejmują nowego prawa dotyczącego przenoszenia danych między dostawcami usług przechowywania lub innego rodzaju przetwarzania danych, oparte zostały natomiast na samoregulacji w celu osiągnięcia przejrzystości w zakresie warunków technicznych i operacyjnych dotyczących przenoszenia danych.

W odniesieniu do niniejszego wniosku przeprowadzono ocenę skutków. W ocenie tej rozważono następujący zestaw wariantów: scenariusz odniesienia (brak działań na szczeblu politycznym) oraz trzy warianty strategiczne. Wariant 1 polegał na wykorzystaniu wytycznych lub samoregulacji do rozwiązania poszczególnych stwierdzonych problemów i pociągał za sobą surowsze egzekwowanie przepisów w odniesieniu do różnych kategorii nieuzasadnionych lub nieproporcjonalnych ograniczeń dotyczących lokalizacji danych, nakładanych przez państwa członkowskie. W wariancie 2 przewidziano ustanowienie zasad prawnych dotyczących poszczególnych stwierdzonych problemów oraz wyznaczenie przez państwa członkowskie centralnych punktów kontaktowych i powołanie grupy ekspertów, której zadaniem byłoby omawianie wspólnych podejść i praktyk, a także doradzanie w kwestiach zasad wprowadzonych w ramach tego wariantu. Rozważono także podwariant 2a, aby umożliwić ocenę połączenia środków w postaci przepisów ustanawiających ramy swobodnego przepływu danych, centralnych punktów kontaktowych i powołania grupy ekspertów ze środkami samoregulacji dotyczącymi przenoszenia danych. Wariant 3 obejmował szczegółową inicjatywę ustawodawczą w celu wprowadzenia, między innymi, z góry określonych (zharmonizowanych) kryteriów oceny tego, czy dane ograniczenie dotyczące lokalizacji danych jest (nie)uzasadnione i (nie)proporcjonalne, oraz ustanowienia nowego prawa dotyczącego przenoszenia danych.

W niniejszym wniosku uwzględniono pewną liczbę uwag zgłaszanych przez państwa członkowskie i przedstawicieli sektora, w szczególności potrzebę: ustanowienia przekrojowej zasady swobodnego przepływu danych zapewniającej pewność prawa; poczynienia postępu w zakresie dostępności danych do celów regulacyjnych; ułatwienia użytkownikom profesjonalnym dokonywania zmiany dostawcy usług przechowywania lub innego rodzaju przetwarzania danych i przenoszenia danych do nowego dostawcy, poprzez zachęcanie dostawców usług do zwiększenia przejrzystości stosowanych procedur i warunków umów, lecz bez narzucania im na tym etapie konkretnych norm lub obowiązków.

W ramach drugiej rundy gromadzenia danych, od końca 2016 r. do drugiej połowy 2017 r., przeprowadzono między innymi konsultacje publiczne zainicjowane w następstwie komunikatu Komisji „Budowa europejskiej gospodarki opartej na danych” z dnia 10 stycznia 2017 r. Z odpowiedzi otrzymanych w ramach konsultacji publicznych wynika, iż według 61,9 % zainteresowanych stron ograniczenia dotyczące lokalizacji danych powinny zostać usunięte. Większość zainteresowanych stron biorących udział w konsultacjach (55,3 % respondentów) uważa, że działania legislacyjne są najbardziej odpowiednim instrumentem rozwiązania kwestii nieuzasadnionych ograniczeń dotyczących lokalizacji, a pewna ich liczba zaapelowała o przyjęcie w tej kwestii właśnie rozporządzenia. Dostawcy usług w zakresie technologii informatycznych, niezależnie od wielkości ich przedsiębiorstwa, zarówno ci mający siedzibę w UE, jak i ci spoza UE, wyrazili największe poparcie dla działań regulacyjnych. Zainteresowane strony wskazały również negatywne skutki ograniczeń w zakresie lokalizacji danych. Oprócz wzrostu kosztów dla przedsiębiorstw wymieniono także negatywny wpływ na świadczenie usług na rzecz podmiotów prywatnych lub publicznych (69,6 % wszystkich zainteresowanych stron, które udzieliły odpowiedzi, uznało ten wpływ za „duży”) lub na zdolność wejścia na nowy rynek (73,9 % zainteresowanych stron, które udzieliły odpowiedzi, uznało ten wpływ za „duży”). Zainteresowane strony ze wszystkich środowisk w podobny sposób odpowiadały na te pytania. Wyniki internetowych konsultacji publicznych również wskazują na to, że problemy ze zmianą dostawcy są powszechne, ponieważ 56,8 % respondentów reprezentujących MŚP podało, iż napotkali oni trudności przy próbie zmiany dostawcy.

Zgodnie z art. 7 każde państwo członkowskie ma obowiązek wyznaczyć jeden centralny punkt kontaktowy do celów współpracy z punktami kontaktowymi innych państw członkowskich i z Komisją w kwestiach stosowania niniejszego rozporządzenia. W art. 7 określono również warunki proceduralne mające zastosowanie do udzielania sobie wzajemnie przez właściwe organy pomocy przewidzianej w art. 5.

Celem art. 5 jest zapewnienie dostępności danych na potrzeby kontroli regulacyjnej prowadzonej przez właściwe organy. W tym celu określono, iż użytkownicy nie mogą odmówić udzielenia właściwym organom dostępu do danych, podając jako przyczynę odmowy fakt, że dane te są przechowywane lub w inny sposób przetwarzane w innym państwie członkowskim. W przypadku gdy właściwy organ wyczerpał wszystkie stosowne środki w celu uzyskania dostępu do danych, organ ten może zwrócić się o pomoc do organu w innym państwie członkowskim, jeżeli brak jest mechanizmu współpracy w tym zakresie.

Do pomiaru postępów w tych obszarach posłużono by się szczegółowymi wskaźnikami (zaproponowanymi w ocenie skutków). Planuje się także wykorzystanie danych Eurostatu oraz indeksu gospodarki cyfrowej i społeczeństwa cyfrowego. Rozważane jest również przeprowadzenie do tych celów specjalnego badania Eurobarometr.

W jej ramach konieczne będzie w szczególności zbadanie, czy rozporządzenie przyczyniło się do ograniczenia liczby i zakresu ograniczeń dotyczących lokalizacji danych oraz do zwiększenia pewności prawa i przejrzystości utrzymanych w mocy (uzasadnionych i proporcjonalnych) wymogów. Niezbędne będzie również ocenienie, czy inicjatywa polityczna przyczyniła się do poprawy zaufania do swobodnego przepływu danych nieosobowych, czy państwa członkowskie mają sensowną możliwość uzyskania – do celów kontroli regulacyjnej – dostępu do danych przechowywanych za granicą oraz czy rozporządzenie doprowadziło do poprawy przejrzystości warunków dotyczących przenoszenia danych.

(12)Wymogi dotyczące lokalizacji danych stanowią niewątpliwą przeszkodę dla swobodnego świadczenia usług przechowywania lub innego rodzaju przetwarzania danych w obrębie Unii oraz dla rozwoju rynku wewnętrznego. Powinny one zatem zostać zasadniczo zakazane, chyba że są uzasadnione względami bezpieczeństwa publicznego w rozumieniu prawa Unii, w szczególności art. 52 Traktatu o funkcjonowaniu Unii Europejskiej, i zgodne z zasadą proporcjonalności, zapisaną w art. 5 Traktatu o Unii Europejskiej. W celu wprowadzenia w życie zasady swobodnego przepływu danych nieosobowych przez granice, zapewnienia szybkiego zniesienia istniejących wymogów dotyczących lokalizacji danych oraz umożliwienia, do celów operacyjnych, przechowywania lub innego rodzaju przetwarzania danych w wielu lokalizacjach na terytorium UE, a także w związku z tym, że w niniejszym rozporządzeniu określono środki służące zapewnieniu dostępności danych do celów kontroli regulacyjnej, państwa członkowskie nie powinny mieć możliwości powoływania się w uzasadnieniach na względy inne niż bezpieczeństwo publiczne.

(11)Niniejsze rozporządzenie powinno mieć zastosowanie do przechowywania i innego rodzaju przetwarzania danych pojmowanego jak najszerzej i obejmującego wykorzystanie wszelkiego rodzaju systemów informatycznych, niezależnie od tego, czy są one zlokalizowane w pomieszczeniach użytkownika czy też są przedmiotem outsourcingu na rzecz dostawcy usług przechowywania lub innego rodzaju przetwarzania danych. Zakres tego pojęcia powinien obejmować różne stopnie intensywności przetwarzania danych, od przechowywania danych (infrastruktura jako usługa, ang. Infrastructure-as-a-Service, IaaS) po przetwarzanie danych na platformach (platforma jako usługa, ang. Platform-as-a-Service, PaaS) lub w aplikacjach (oprogramowanie jako usługa, ang. Software-as-a-Service, SaaS). Te różne usługi powinny wejść w zakres stosowania niniejszego rozporządzenia, chyba że przechowywanie danych lub inny rodzaj ich przetwarzania ma charakter wyłącznie pomocniczy w ramach usług innego typu, takich jak oferowanie internetowej platformy handlowej pośredniczącej między dostawcami usług a konsumentami lub przedsiębiorstwami.

(10)Zgodnie z rozporządzeniem (UE) 2016/679 państwa członkowskie nie mogą ograniczać ani zakazywać swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. W niniejszym rozporządzeniu ustanawia się tę samą zasadę swobodnego przepływu w Unii w odniesieniu do danych nieosobowych, z wyjątkiem sytuacji, w których ograniczenie lub zakaz byłyby uzasadnione ze względów bezpieczeństwa.

(8)Niniejsze rozporządzenie powinno mieć zastosowanie do osób fizycznych lub prawnych, które świadczą usługi przechowywania lub innego rodzaju przetwarzania danych na rzecz użytkowników mających miejsce zamieszkania lub siedzibę na terytorium Unii, w tym do dostawców usług, którzy świadczą usługi w Unii, ale nie mają na jej terytorium siedziby.

(5)Jednocześnie rozwój mobilności danych w Unii hamowany jest również ograniczeniami w sektorze prywatnym: kwestie prawne, umowne i techniczne utrudniają lub uniemożliwiają użytkownikom usług przechowywania lub innego rodzaju przetwarzania danych przenoszenie ich danych od jednego dostawcy usług do innego lub z powrotem do ich własnych systemów informatycznych, także po rozwiązaniu przez użytkowników umowy z dostawcą usług.

(4)Takie przeszkody dla swobodnego świadczenia usług przechowywania lub innego rodzaju przetwarzania danych oraz dla swobody przedsiębiorczości dostawców usług przechowywania lub innego rodzaju przetwarzania danych wynikają z wymogów w przepisach krajowych państw członkowskich, zgodnie z którymi dane muszą być zlokalizowane na określonym obszarze geograficznym lub określonym terytorium, aby móc je przechowywać lub przetwarzać. Podobny skutek wywołują inne przepisy lub praktyki administracyjne, w których nakłada się określone wymogi utrudniające przechowywanie lub innego rodzaju przetwarzanie danych poza określonym obszarem geograficznym lub określonym terytorium w obrębie Unii, takie jak wymogi stosowania rozwiązań technologicznych, które zostały certyfikowane lub zatwierdzone w danym państwie członkowskim. Brak pewności prawa co do zakresu uzasadnionych i nieuzasadnionych wymogów dotyczących lokalizacji danych w dalszym stopniu ogranicza ilość opcji dostępnych dla uczestników rynku i podmiotów sektora publicznego przy wyborze miejsca przechowywania lub innego rodzaju przetwarzania danych.

(13)Aby zapewnić skuteczne stosowanie zasady swobodnego przepływu danych nieosobowych przez granice oraz zapobiec pojawianiu się nowych przeszkód dla sprawnego funkcjonowania rynku wewnętrznego, państwa członkowskie powinny powiadamiać Komisję o każdym projekcie aktu, który zawiera nowe lub zmienia obowiązujące wymogi dotyczące lokalizacji danych. Powiadomienia te powinny być przekazywane i oceniane zgodnie z procedurą określoną w dyrektywie (UE) 2015/1535.

(14)Ponadto, w celu wyeliminowania możliwych istniejących przeszkód, w okresie przejściowym trwającym 12 miesięcy państwa członkowskie powinny dokonać przeglądu istniejących krajowych wymogów dotyczących lokalizacji danych i powiadomić Komisję o wszelkich wymogach w tym zakresie uznanych przez nie za zgodne z niniejszym rozporządzeniem, przekazując również uzasadnienie. Powiadomienia te powinny umożliwić Komisji ocenę zgodności wszelkich utrzymanych w mocy wymogów dotyczących lokalizacji danych.

(15)W celu zapewnienia, by wymogi dotyczące lokalizacji danych obowiązujące w państwach członkowskich były przejrzyste dla osób fizycznych i prawnych, takich jak dostawcy i użytkownicy usług przechowywania lub innego rodzaju przetwarzania danych, państwa członkowskie powinny publikować informacje o takich środkach na stronie centralnego internetowego punktu informacyjnego, jednego na kraj, i regularnie je aktualizować. W celu należytego informowania osób fizycznych i prawnych o wymogach dotyczących lokalizacji danych na całym terytorium Unii państwa członkowskie powinny przekazać Komisji informację o adresach takich punktów internetowych. Komisja powinna opublikować tę informację na swojej stronie internetowej.

(16)Wymogi dotyczące lokalizacji danych wynikają często z braku zaufania do transgranicznych usług przechowywania lub innego rodzaju przetwarzania danych, wywodzącego się z założenia, że właściwe organy państw członkowskich nie miałyby dostępu do tych danych do takich celów jak inspekcje i audyty w ramach kontroli regulacyjnej lub nadzorczej. W związku z tym w niniejszym rozporządzeniu należy wyraźnie określić, że nie narusza ono uprawnień właściwych organów do żądania i uzyskiwania dostępu do danych zgodnie z prawem Unii lub prawem krajowym, oraz że właściwym organom nie można odmówić dostępu do danych, podając jako przyczynę odmowy fakt, że dane są przechowywane lub w inny sposób przetwarzane w innym państwie członkowskim.

(17)Osoby fizyczne lub prawne, które podlegają obowiązkom przekazywania danych właściwym organom, mogą wywiązać się z tych obowiązków poprzez udzielenie i zagwarantowanie tym organom skutecznego i terminowego dostępu do danych drogą elektroniczną, niezależnie od państwa członkowskiego, na którego terytorium dane są przechowywane lub w inny sposób przetwarzane. Dostęp taki można zapewnić poprzez sprecyzowanie odnośnych warunków w umowach zawieranych między osobą fizyczną lub prawną podlegającą obowiązkowi udzielenia dostępu a dostawcą usług przechowywania lub innego rodzaju przetwarzania danych.

(18)Jeżeli osoba fizyczna lub prawna podlegająca obowiązkom dostarczenia danych nie wywiąże się z nich oraz pod warunkiem że właściwy organ wyczerpał wszystkie stosowne środki w celu uzyskania dostępu do danych, organ ten powinien mieć możliwość zwrócenia się o pomoc do właściwych organów innych państw członkowskich. W takich przypadkach właściwe organy powinny korzystać ze specjalnych instrumentów współpracy przewidzianych w prawie Unii lub umowach międzynarodowych, w zależności od przedmiotowej kwestii, takich jak, w obszarze współpracy organów ścigania i wymiaru sprawiedliwości w sprawach cywilnych lub karnych albo w sprawach administracyjnych, odpowiednio: decyzja ramowa 2006/960/WSiSW, dyrektywa Parlamentu Europejskiego i Rady 2014/41/UE, Konwencja Rady Europy o cyberprzestępczości, rozporządzenie Rady (WE) nr 1206/2001, dyrektywa Rady 2006/112/WE oraz rozporządzenie Rady (UE) nr 904/2010. W przypadku braku takich specjalnych mechanizmów współpracy właściwe organy powinny ze sobą współpracować w celu umożliwienia dostępu do danych będących przedmiotem wniosku, za pośrednictwem wyznaczonych centralnych punktów kontaktowych, chyba że naruszałoby to porządek publiczny państwa członkowskiego, do którego skierowany jest wniosek o dostęp.

(19)Jeżeli wniosek o pomoc pociąga za sobą konieczność uzyskania przez organ, do którego wniosek ten jest skierowany, dostępu do jakichkolwiek pomieszczeń osoby fizycznej lub prawnej, w tym do jakichkolwiek urządzeń lub środków służących do przechowywania lub innego rodzaju przetwarzania danych, uzyskanie takiego dostępu musi odbywać się zgodnie z prawem procesowym Unii lub państwa członkowskiego, w tym z wszelkimi wymogami dotyczącymi uzyskania najpierw zgody organu sądowego.

(20)Możliwość przenoszenia danych bez przeszkód jest jednym z kluczowych czynników ułatwiających dokonywanie wyboru przez użytkowników i rozwój skutecznej konkurencji na rynkach usług przechowywania lub innego rodzaju przetwarzania danych. Rzeczywiste trudności w transgranicznym przenoszeniu danych lub kwestie postrzegane jako takie problemy podważają również zaufanie użytkowników profesjonalnych do korzystania z ofert transgranicznych, a co za tym idzie, ich zaufanie do rynku wewnętrznego. Obowiązujące przepisy unijne zapewniają stosowne prawa użytkownikom będącym osobami fizycznymi i konsumentami, natomiast brak jest przepisów ułatwiających zmianę dostawcy usług użytkownikom chcącym tego dokonać w ramach swojej działalności gospodarczej lub zawodowej.

(21)Aby móc w pełni czerpać z korzyści, jakie płyną z konkurencji na rynku, użytkownicy profesjonalni powinni móc dokonywać świadomych wyborów i łatwo porównywać poszczególne elementy różnych oferowanych na rynku wewnętrznym usług przechowywania lub innego rodzaju przetwarzania danych, w tym umowne warunki przenoszenia danych po rozwiązaniu umowy. W celu uwzględnienia potencjału innowacyjnego rynku oraz doświadczenia i wiedzy fachowej dostawców usług raz profesjonalnych użytkowników usług przechowywania lub innego rodzaju przetwarzania danych, uczestnicy rynku powinni opracować szczegółowe informacje i wymagania operacyjne dotyczące przenoszenia danych – w ramach samoregulacji wspieranej i ułatwianej przez Komisję – w formie unijnych kodeksów postępowania, co może obejmować określenie wzorca warunków umownych. Jeżeli jednak takie kodeksy postępowania nie zostaną opracowane i skutecznie wdrożone w rozsądnym czasie, Komisja powinna dokonać przeglądu sytuacji.

(22)Aby przyczynić się do sprawnej współpracy między państwami członkowskimi, każde państwo członkowskie powinno wyznaczyć jeden centralny punkt kontaktowy do współpracy z punktami kontaktowymi innych państw członkowskich i z Komisją w kwestiach stosowania niniejszego rozporządzenia. W przypadku gdy właściwy organ jednego z państw członkowskich zwraca się do innego państwa członkowskiego o pomoc w uzyskaniu dostępu do danych na podstawie niniejszego rozporządzenia, powinien on złożyć w centralnym punkcie kontaktowym wyznaczonym przez to państwo członkowskie należycie uzasadniony wniosek, wraz z pisemnym wyjaśnieniem swojego uzasadnienia i podstaw prawnych wnioskowania o dostęp do danych. Centralny punkt kontaktowy wyznaczony przez państwo członkowskie, do którego skierowany jest wniosek o pomoc, powinien ułatwiać wzajemne udzielanie sobie pomocy przez organy poprzez ustalenie właściwego organu w państwie członkowskim wykonującym wniosek i przekazanie mu wniosku. W celu zapewnienia skutecznej współpracy organ, któremu wniosek został przekazany, powinien bez zbędnej zwłoki udzielić pomocy w odpowiedzi na dany wniosek bądź informacji na temat trudności w wykonaniu wniosku o pomoc lub podać uzasadnienie swojej odmowy wykonania takiego wniosku.

(23)W celu zapewnienia skutecznego stosowania procedury udzielania sobie nawzajem pomocy przez właściwe organy państw członkowskich Komisja może przyjmować akty wykonawcze określające standardowe formularze wniosków, ich języki, terminy lub inne szczegóły procedur wnioskowania o udzielenie pomocy. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011.

(24)Zwiększenie zaufania do bezpieczeństwa transgranicznego przechowywania lub innego rodzaju przetwarzania danych powinno zmniejszyć skłonność uczestników rynku i podmiotów sektora publicznego do traktowania lokalizacji danych jako zastępczej gwarancji bezpieczeństwa danych. Powinno to również zapewnić przedsiębiorstwom większą pewność prawa co do wymogów w zakresie bezpieczeństwa mających zastosowanie do zlecania przechowywania lub innych czynności przetwarzania danych w ramach outsourcingu, w tym dostawcom usług z innych państw członkowskich.

(25)Wymogi w zakresie bezpieczeństwa dotyczące przechowywania lub innego rodzaju przetwarzania danych, które są stosowane w sposób uzasadniony i proporcjonalny na podstawie prawa Unii lub prawa krajowego zgodnego z prawem Unii w państwie członkowskim miejsca zamieszkania osób fizycznych lub siedziby osób prawnych, których danych to dotyczy, powinny mieć nadal zastosowanie do przechowywania lub innego rodzaju przetwarzania danych w innym państwie członkowskim. Wspomniane osoby fizyczne lub prawne powinny być w stanie spełnić takie wymogi samodzielnie albo za pośrednictwem klauzul umownych w umowach z dostawcami usług.

(26)Wymogi w zakresie bezpieczeństwa ustanowione na szczeblu krajowym powinny być nieodzowne i proporcjonalne do ryzyka, na jakie narażone jest bezpieczeństwo przechowywania lub innego rodzaju przetwarzania danych w tym obszarze w zakresie prawa krajowego, w którym wymogi te określono.

(27)W dyrektywie 2016/1148 przewidziano środki prawne w celu zwiększenia ogólnego poziomu bezpieczeństwa cybernetycznego w Unii. Usługi przechowywania lub innego rodzaju przetwarzania danych stanowią jedną z kategorii usług cyfrowych objętych zakresem tej dyrektywy. Zgodnie z jej art. 16 państwa członkowskie mają obowiązek zapewnić, aby dostawcy usług cyfrowych określali i podejmowali odpowiednie i proporcjonalne środki techniczne i organizacyjne w celu zarządzania ryzykami, na jakie narażone są wykorzystywane przez nich sieci i systemy informatyczne. Środki te powinny zapewniać poziom bezpieczeństwa odpowiedni do istniejącego ryzyka oraz uwzględniać bezpieczeństwo systemów i obiektów, postępowanie w przypadku incydentu, zarządzanie ciągłością działania, monitorowanie, audyt i testowanie oraz zgodność z normami międzynarodowymi. Elementy te mają zostać określone bardziej szczegółowo w aktach wykonawczych, które Komisja ma przyjąć na podstawie tej dyrektywy.

(28)Komisja powinna okresowo dokonywać przeglądu niniejszego rozporządzenia, w szczególności w celu określenia, czy istnieje potrzeba wprowadzenia zmian w świetle postępu technologicznego i zmian na rynku.

(29)Niniejsze rozporządzenie nie narusza praw podstawowych i jest zgodne z zasadami uznanymi w szczególności w Karcie praw podstawowych Unii Europejskiej, a zatem powinno być interpretowane i stosowane zgodnie z tymi prawami i zasadami, w tym prawem do ochrony danych osobowych (art. 8), wolnością prowadzenia działalności gospodarczej (art. 16) oraz wolnością wypowiedzi i informacji (art. 11).

(30)Ponieważ cel niniejszego rozporządzenia, to jest zapewnienie swobodnego przepływu danych nieosobowych w Unii, nie może zostać osiągnięty w sposób wystarczający przez państwa członkowskie, natomiast ze względu na jego skalę i skutki możliwe jest lepsze jego osiągnięcie na poziomie Unii, Unia może przyjąć środki zgodnie z zasadą pomocniczości, określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną we wspomnianym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tego celu,

PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE:

Artykuł 1

Przedmiot