Uvedený návrh sa zameriava na poskytovanie služieb hostingu údajov (uchovávanie) a ich iného spracúvania a je v súlade s existujúcimi právnymi nástrojmi. Iniciatíva má za cieľ vytvorenie účinného jednotného trhu EÚ pre takéto služby. Je preto v súlade so smernicou o elektronickom obchode, ktorej cieľom je komplexný a účinný jednotný trh EÚ pre širšie kategórie služieb informačnej spoločnosti, a so smernicou o službách, ktorou sa podporuje prehĺbenie jednotného trhu EÚ pre služby v mnohých odvetviach.

V návrhu sa pripomína, že bezpečnostné požiadavky uložené vnútroštátnym právom a právom Únie by sa mali zabezpečiť aj v prípade, ak fyzické alebo právnické osoby poveria svojimi službami uchovávania alebo iného spracúvania údajov externých poskytovateľov takýchto služieb, a to aj v inom členskom štáte. Okrem toho sa v ňom pripomínajú aj vykonávacie právomoci prenesené na Komisiu prostredníctvom smernice o bezpečnosti sietí a informačných systémov s cieľom splniť bezpečnostné požiadavky, ktorými sa tiež prispieva k fungovaniu tohto nariadenia. Napokon, aj napriek tomu, že by sa návrhom vyžadovali opatrenia zo strany verejných orgánov členských štátov z dôvodu požiadaviek oznamovania/preskúmania, požiadaviek na transparentnosť a administratívnej spolupráce, je vypracovaný tak, aby sa takéto opatrenia minimalizovali na najdôležitejšie potreby spolupráce a zabránilo sa tak zbytočnému administratívnemu zaťaženiu.

Týmto navrhovaným nariadením sa dodržiavajú základné práva zásady uznané v Charte základných práv Európskej únie. Navrhované nariadenie by malo mať pozitívny vplyv na slobodu podnikania (článok 16), pretože prispeje k odstráneniu a predchádzaniu neopodstatnených alebo neprimeraných prekážok využívania a poskytovania služieb súvisiacich s údajmi, ako sú napríklad cloudové služby, ako aj prekážok konfigurácie interných systémov IT.

Návrh sa uplatňuje na občanov, vnútroštátne správne orgány a všetky podniky vrátane mikropodnikov a MSP. Z ustanovení, ktorými sa odstraňujú prekážky pre mobilitu údajov, môžu mať prospech všetky podniky. Z návrhu budú ťažiť najmä MSP, keďže v dôsledku voľného pohybu iných ako osobných údajov sa priamo znížia ich náklady, pričom získajú konkurencieschopnejšie postavenie na trhu. Vyňatie MSP z príslušných pravidiel by oslabilo ich účinnosť, pretože MSP predstavujú veľkú časť poskytovateľov služieb uchovávania alebo iného spracúvania údajov, ako aj hnaciu silu inovácie na týchto trhoch. Okrem toho, keďže náklady vyplývajúce z týchto pravidiel pravdepodobne nebudú podstatné, mikropodniky alebo MSP by nemali byť vylúčené z rozsahu ich pôsobnosti.

Z posúdenia vplyvu vyplynulo, že uprednostňovanou možnosťou, ktorou je alternatívna možnosť 2a, by sa zabezpečilo účinné odstránenie existujúcich neopodstatnených obmedzení lokalizácie údajov a účinne by sa predchádzalo obmedzeniam v budúcnosti, a to ako výsledok jasnej právnej zásady v kombinácii s revíziou, oznamovaním a transparentnosťou, pričom by sa zároveň zvýšila právna istota a dôvera v trh. Zaťaženie verejných orgánov členských štátov by bolo mierne, z čoho by vznikali náklady vo výške približne 33 000 EUR ročne, a to na ľudské zdroje na udržiavanie jednotných kontaktných miest, ako aj ročné náklady vo výške od 385 do 1 925 EUR na prípravu oznámení.

V súvislosti s týmto návrhom sa vykonalo posúdenie vplyvu. V posúdení vplyvu sa posudzoval tento súbor možností: základný scenár (bez politickej intervencie) a tri politické možnosti. Možnosť č. 1 pozostávala z usmernení a/alebo samoregulácie na účely riešenia rozličných identifikovaných problémov a posilnenia presadzovania práva vo vzťahu k rôznym kategóriám neopodstatnených alebo neprimeraných obmedzení, ktoré sa týkajú lokalizácie údajov a ktoré uložili členské štáty. V rámci možnosti č. 2 by sa stanovili právne zásady týkajúce sa rôznych zistených problémov a predpokladalo by sa, že členské štáty určia jednotné kontaktné miesta a vytvoria skupinu expertov s cieľom diskutovať o spoločných prístupoch a postupoch a poskytovať usmernenia týkajúce sa zásad zavedených v rámci tejto možnosti. Zvažovala sa aj alternatívna možnosť č. 2a s cieľom umožniť posúdenie kombinácie právnych predpisov, ktorými sa ustanovuje rámec pre voľný tok údajov, jednotné kontaktné miesta a skupina expertov, ako aj samoregulačné opatrenia na uskutočňovanie prenosu údajov. Možnosť č. 3 pozostávala z podrobnej legislatívnej iniciatívy na účely stanovenia – okrem iného – vopred vymedzených (harmonizovaných) posúdení toho, čo predstavuje (ne)opodstatnené a (ne)primerané obmedzenia lokalizácie údajov a nové právo týkajúce sa prenosu údajov.

Druhé kolo zhromažďovania dôkazov od konca roku 2016 až do druhej polovice roku 2017 zahŕňalo verejnú konzultáciu, ktorá sa začala 10. januára 2017 v kontexte oznámenia nazvaného „Budovanie európskeho dátového hospodárstva“. Podľa reakcií na verejnú konzultáciu zastávalo 61,9 % zainteresovaných strán názor, že obmedzenia týkajúce sa lokalizácie údajov by sa mali odstrániť. zúčastnených zainteresovaných strán (55,3 % respondentov) je presvedčená, že najvhodnejším nástrojom na riešenie neopodstatnených obmedzení týkajúcich sa lokalizácie údajov je legislatívne opatrenie, pričom mnohé z nich výslovne požadujú prijatie nariadenia. Najvyššiu podporu regulačným opatreniam preukazujú poskytovatelia IT služieb všetkých veľkostí, a to so sídlom v rámci EÚ aj mimo nej. Zainteresované strany tiež určovali negatívne vplyvy obmedzení týkajúcich sa lokalizácie údajov. Okrem zvýšenia nákladov pre podniky ide o negatívne vplyvy na poskytovanie služby súkromným alebo verejným subjektom (69,6 % všetkých zúčastnených zainteresovaných strán identifikovalo tento vplyv ako „veľký“) alebo na možnosť vstúpiť na nový trh (73,9 % opýtaných zainteresovaných strán identifikovalo tento vplyv ako „veľký“). Percentuálny podiel odpovedí na tieto otázky bol podobný pri zainteresovaných stranách z rôznych prostredí. Prostredníctvom verejných online konzultácií sa tiež preukázalo, že problémy so zmenou poskytovateľov sú rozšírené, keďže 56,8 % respondentov zastupujúcich MSP uviedlo, že čelili ťažkostiam, keď chceli zmeniť poskytovateľa.

V prvom kole zhromažďovania dôkazov sa v roku 2015 uskutočnila verejná konzultácia týkajúca sa regulačného prostredia pre platformy, online sprostredkovateľov, údajov a cloud computingu a kolaboratívneho hospodárstva. Dve tretiny respondentov – s rovnomerným zastúpením zo všetkých skupín zainteresovaných strán vrátane MSP – zastávajú názor, že obmedzenia týkajúce lokalizácie údajov ovplyvňujú ich obchodné stratégie. Ďalšie činnosti zhromažďovania informácií pozostávali zo stretnutí a podujatí, cielených seminárov s hlavnými zainteresovanými stranami (napr. so skupinou pre otázky cloud computingu pozostávajúcou z vybraných zástupcov priemyselných odvetví – Cloud Select Industry Group) a špecializovaných seminárov v súvislosti so štúdiami.

V článku 6 sa stanovuje, že Komisia nabáda poskytovateľov služieb a profesionálnych používateľov, aby vytvárali a uplatňovali kódexy správania obsahujúce podrobné informácie o podmienkach prenosu údajov (vrátane technických a prevádzkových požiadaviek), ktoré by poskytovatelia služieb mali profesionálnym používateľom poskytnúť dostatočne podrobným, jasným a transparentným spôsobom pred uzavretím zmluvy. Komisia preskúma rozvoj a účinné uplatňovanie takých kódexov do dvoch rokov od začiatku uplatňovania tohto nariadenia.

(12)Požiadavky na lokalizáciu údajov predstavujú jasnú prekážku pre voľné poskytovanie služieb uchovávania alebo iného spracúvania údajov v celej Únii a pre vnútorný trh. Ako také by mali byť zakázané, pokiaľ nie sú opodstatnené z dôvodov verejnej bezpečnosti, ako sa vymedzuje prostredníctvom práva Únie, najmä v článku 52 Zmluvy o fungovaní Európskej únie, a v súlade so zásadou proporcionality zakotvenou v článku 5 Zmluvy o Európskej únii. Na účely uplatňovania zásady voľného toku iných ako osobných údajov cez hranice, zabezpečenia rýchleho odstránenia existujúcich požiadaviek na lokalizáciu údajov a umožnenia toho, aby sa údaje z prevádzkových dôvodov uchovávali a inak spracúvali na viacerých miestach v celej EÚ, a keďže sa týmto nariadením ustanovujú opatrenia na zabezpečenie dostupnosti údajov na účely regulačnej kontroly, by členské štáty nemali mať možnosť dovolávať sa iných odôvodnení ako verejnej bezpečnosti.

(11)Toto nariadenie by sa malo uplatňovať na uchovávanie alebo iné spracúvanie údajov v širokom význame, a to pri zahrnutí používania všetkých druhov informačných systémov, či už takých, ktoré sa nachádzajú v priestoroch používateľa, alebo u externých poskytovateľov služieb uchovávania alebo iného spracúvania údajov. Malo by sa vzťahovať na spracúvanie údajov na rôznych úrovniach intenzity, od uchovávania údajov [infraštruktúra ako služba – „Infrastructure-as-a-Service“ (IaaS)] až po spracúvanie údajov na platformách [platforma ako služba – „Platform-as-a-Service“ (PaaS)] alebo v aplikáciách [softvér ako služba – „Software-as-a-Service“ (SaaS)]. Tieto rôzne služby by mali patriť do rozsahu pôsobnosti tohto nariadenia, pokiaľ uchovávanie alebo iné spracúvanie údajov nie je len doplnkom služby iného typu, ako napríklad poskytovanie sprostredkovania online trhoviska medzi poskytovateľom služieb a spotrebiteľom alebo podnikovým používateľom.

(8)Toto nariadenie by sa malo uplatňovať na právnické alebo fyzické osoby, ktoré poskytujú služby uchovávania alebo iného spracúvania údajov používateľom s pobytom alebo so sídlom v Únii vrátane tých, ktorí poskytujú služby v Únii bez toho, aby v nej mali sídlo.

(7)S cieľom vytvoriť rámec pre voľný pohyb iných ako osobných údajov v rámci Únie a základ pre rozvoj dátového hospodárstva a posilnenie konkurencieschopnosti európskeho priemyslu je nevyhnutné stanoviť jasný, komplexný a predvídateľný právny rámec pre uchovávanie alebo iné spracúvanie iných ako osobných údajov na vnútornom trhu. Prístupom založeným na zásadách, ktorým sa zabezpečuje spolupráca medzi členskými štátmi, ako aj samoregulácia by sa mala zabezpečiť flexibilita uvedeného rámca, aby sa v ňom mohli zohľadniť meniace sa potreby používateľov, poskytovateľov služieb a vnútroštátnych orgánov v Únii. Aby sa zabránilo riziku prekrývania sa s existujúcimi mechanizmami a vyhlo sa tak vyššiemu zaťaženiu pre členské štáty aj podniky, nemali by sa zavádzať podrobné technické pravidlá.

(5)Zároveň je mobilita údajov v Únii obmedzená aj prostredníctvom súkromných obmedzení: právne, zmluvné a technické problémy, ktorými sa používateľom služieb uchovávania alebo iného spracúvania údajov prekáža alebo zabraňuje v prenose ich údajov od jedného poskytovateľa služieb k druhému alebo späť do svojich vlastných IT systémov, v neposlednom rade po vypovedaní ich zmluvy s poskytovateľom služieb.

(13)S cieľom zabezpečiť účinné uplatňovanie zásady voľného toku iných ako osobných údajov cez hranice a zabrániť vzniku nových prekážok pre riadne fungovanie vnútorného trhu by členské štáty mali Komisii oznámiť každý návrh právneho aktu, ktorý obsahuje nové požiadavky na lokalizáciu údajov alebo ktorým sa upravuje už existujúca požiadavka na lokalizáciu údajov. Také oznámenia by sa mali predkladať a hodnotiť v súlade s postupom ustanoveným v smernici (EÚ) 2015/1535.

(14)Okrem toho by s cieľom odstrániť možné existujúce bariéry počas prechodného obdobia 12 mesiacov členské štáty mali preskúmať existujúce vnútroštátne požiadavky na lokalizáciu údajov a oznámiť Komisii spolu s odôvodnením každú požiadavku na lokalizáciu údajov, o ktorej sa domnievajú, že je v súlade s týmto nariadením. Tieto informácie by mali Komisii umožniť posúdiť súlad všetkých zostávajúcich požiadaviek na lokalizáciu údajov.

(15)Na zabezpečenie transparentnosti požiadaviek na lokalizáciu údajov v členských štátoch pre fyzické a právnické osoby, ako napríklad poskytovateľov a používateľov služieb uchovávania alebo iného spracúvania údajov, by členské štáty mali na jedinom online informačnom mieste uverejniť a pravidelne aktualizovať informácie o takýchto opatreniach. Členské štáty by mali Komisii oznamovať adresy takýchto online miest s cieľom vhodne informovať právnické a fyzické osoby o požiadavkách na lokalizáciu údajov v celej Únii. Komisia by tieto informácie mala uverejniť na svojom webovom sídle.

(16)Požiadavky na lokalizáciu údajov sú často podporované nedostatočnou dôverou v cezhraničné uchovávanie alebo iné spracúvanie údajov vyplývajúcou z predpokladanej nedostupnosti údajov pre príslušné orgány členských štátov na účely, ako sú napríklad inšpekcie a audit na regulačné kontroly alebo kontroly dohľadu. Preto by sa v tomto nariadení malo jasne stanoviť, že ním nie sú dotknuté právomoci príslušných orgánov požadovať a získať prístup k údajom v súlade s právom Únie alebo vnútroštátnym právom a že prístup príslušných orgánov k údajom sa nesmie zamietnuť na základe toho, že údaje sa uchovávajú alebo inak spracúvajú v inom členskom štáte.

(17)Fyzické alebo právnické osoby, na ktoré sa vzťahujú povinnosti poskytovať údaje príslušným orgánom, môžu splniť tieto povinnosti tým, že príslušným orgánom poskytnú a zaručia účinný a včasný elektronický prístup k údajom bez ohľadu na to, na území ktorého členského štátu sa dané údaje uchovávajú alebo inak spracúvajú. Takýto prístup sa môže zabezpečiť prostredníctvom konkrétnych podmienok v zmluvách medzi fyzickou alebo právnickou osobou, na ktorú sa vzťahuje povinnosť poskytovať prístup, a poskytovateľom služieb uchovávania alebo iného spracúvania údajov.

(18)Ak si fyzická alebo právnická osoba, na ktorú sa vzťahujú povinnosti poskytovať údaje, neplní povinnosti a ak príslušný orgán vyčerpal všetky uplatniteľné prostriedky na získanie prístupu k údajom, mal by mať tento príslušný orgán možnosť požiadať o pomoc príslušné orgány v iných členských štátoch. V takýchto prípadoch by príslušné orgány mali využívať osobitné nástroje spolupráce ustanovené v práve Únie alebo medzinárodných dohodách, a to v závislosti od predmetu úpravy v danom prípade, ako napríklad – v oblasti policajnej spolupráce, trestnej alebo občianskej justície alebo v správnych veciach – rámcové rozhodnutie 2006/960, smernicu Európskeho parlamentu a Rady 2014/41/EÚ, Dohovor Rady Európy o počítačovej kriminalite, nariadenie Rady (ES) č. 1206/2001, smernicu Rady 2006/112/ES a nariadenie Rady (EÚ) č. 904/2010. Ak takéto osobitné mechanizmy spolupráce neexistujú, príslušné orgány by mali navzájom spolupracovať s cieľom zabezpečiť prístup k požadovaným údajom prostredníctvom určených jednotných kontaktných miest, okrem prípadov, keď by to bolo v rozpore s verejným poriadkom dožiadaného členského štátu.

(19)Ak žiadosť o pomoc zahŕňa získanie prístupu zo strany dožiadaného orgánu do akýchkoľvek priestorov fyzickej alebo právnickej osoby, a to aj k akýmkoľvek zariadeniam a prostriedkom uchovávania alebo iného spracúvania údajov, takýto prístup musí byť v súlade s procesným právom Únie alebo členského štátu, a to aj s každou požiadavkou na získanie predchádzajúceho povolenia súdu.

(20)Možnosť prenášať údaje bez prekážok je kľúčovým faktorom uľahčujúcim voľbu a účinnú hospodársku súťaž na trhoch so službami uchovávania alebo iného spracúvania údajov. Skutočné alebo vnímané problémy, pokiaľ ide o cezhraničný prenos údajov, taktiež narušujú dôveru profesionálnych používateľov vo využívanie cezhraničných ponúk a v dôsledku toho aj ich dôveru vo vnútorný trh. Zatiaľ čo fyzické osoby a spotrebitelia majú výhody z existujúcich právnych predpisov Únie, možnosť zmeniť poskytovateľa služieb sa pre používateľov v rámci ich obchodnej alebo podnikateľskej činnosti neuľahčuje.

(21)S cieľom v plnej miere využiť výhody konkurenčného prostredia by profesionálni používatelia mali mať možnosť prijímať informované rozhodnutia v súvislosti s rôznymi službami, ktoré sa týkajú uchovávania alebo iného spracúvania údajov a ktoré sa ponúkajú na vnútornom trhu, a tiež ľahko porovnávať jednotlivé zložky takýchto služieb, a to aj pokiaľ ide o zmluvné podmienky prenosu údajov po skončení zmluvy. Na účely zosúladenia skúseností a odborných znalostí poskytovateľov a profesionálnych používateľov služieb uchovávania alebo iného spracúvania údajov s inovačným potenciálom na trhu a na účely zohľadnenia takýchto skúseností a odborných znalostí by účastníci trhu mali – s podporou a pomocou Komisie – prostredníctvom samoregulácie zabezpečiť podrobné informácie a vymedziť prevádzkové požiadavky, pokiaľ ide o prenos údajov, a to vo forme kódexov správania Únie, ktoré môžu obsahovať vzorové zmluvné podmienky. Ak sa však takéto kódexy správania v primeranej lehote nezavedú a nebudú účinne vykonávať, Komisia by mala situáciu preskúmať.

(22)S cieľom prispieť k bezproblémovej spolupráci medzi členskými štátmi by mal každý členský štát určiť jednotné kontaktné miesto na účely spolupráce s kontaktnými miestami ostatných členských štátov a Komisie, pokiaľ ide o uplatňovanie tohto nariadenia. Ak príslušný orgán jedného členského štátu požiada o pomoc iný členský štát na účely získania prístupu k údajom podľa tohto nariadenia, mal by určenému jednotnému kontaktnému miestu iného členského štátu predložiť náležite odôvodnenú žiadosť vrátane písomného vysvetlenia svojho odôvodnenia a právnych základov pre požadovanie prístupu k údajom. Jednotné kontaktné miesto určené členským štátom, o ktorého pomoc sa žiada, by malo uľahčovať poskytovanie pomoci medzi orgánmi, a to tým, že zistí zodpovedný príslušný orgán dožiadaného členského štátu a žiadosť mu zašle. Na účely zabezpečenia účinnej spolupráce by mal orgán, ktorému sa žiadosť zaslala, bezodkladne poskytnúť pomoc v reakcii na danú žiadosť alebo poskytnúť informácie o ťažkostiach, pokiaľ ide o vyhovenie žiadosti o pomoc, alebo o dôvodoch zamietnutia takejto žiadosti.

(23)S cieľom zabezpečiť účinné vykonávanie postupu vzájomného poskytovania pomoci medzi príslušnými orgánmi členského štátu môže Komisia prijať vykonávacie akty, v ktorých sa stanovia štandardné formuláre, jazyky používané v žiadostiach, lehoty alebo iné podrobnosti postupov pre predkladanie žiadostí o pomoc. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011.

(24)Zvýšením dôvery v bezpečnosť cezhraničného uchovávania alebo iného spracúvania údajov by sa mala znížiť tendencia účastníkov trhu a verejného sektora využívať lokalizáciu údajov ako prostriedok na zaistenie bezpečnosti údajov. Mala by sa tým tiež zvýšiť právna istota pre spoločnosti v súvislosti s uplatniteľnými bezpečnostnými požiadavkami v prípade, že vykonávaním svojich činností uchovávania alebo iného spracúvania údajov poveria externých poskytovateľov služieb, a to aj v inom členskom štáte.

(25)Všetky bezpečnostné požiadavky týkajúce sa uchovávania alebo iného spracúvania údajov, ktoré sa na základe práva Únie alebo vnútroštátneho práva v súlade s právom Únie uplatňujú opodstatneným a primeraným spôsobom v členskom štáte bydliska alebo sídla fyzických alebo právnických osôb, ktorých údaje sa uchovávajú alebo inak spracúvajú, by sa mali aj naďalej uplatňovať na uchovávanie alebo iné spracúvanie týchto údajov v inom členskom štáte. Tieto fyzické alebo právnické osoby by mali mať možnosť splniť takéto požiadavky buď sami alebo prostredníctvom zmluvných doložiek stanovených v zmluvách s poskytovateľmi.

(26) Bezpečnostné požiadavky stanovené na vnútroštátnej úrovni by mali byť potrebné a primerané vzhľadom na riziká súvisiace s bezpečnosťou uchovávania a iného spracúvania údajov v oblasti rozsahu pôsobnosti vnútroštátnych právnych predpisov, v ktorých sú tieto požiadavky stanovené.

(27)V smernici 2016/1148 sa ustanovujú právne opatrenia na zvýšenie celkovej úrovne kybernetickej bezpečnosti v Únii. Služby uchovávania alebo iného spracúvania údajov predstavujú jednu z digitálnych služieb, na ktoré sa uvedená smernica vzťahuje. Podľa jej článku 16 musia členské štáty zabezpečiť, aby poskytovatelia digitálnych služieb identifikovali riziká súvisiace s bezpečnosťou sietí a informačných systémov, ktoré používajú, a aby prijali vhodné a primerané technické a organizačné opatrenia na riadenie týchto rizík. Takými opatreniami by sa mala zaistiť úroveň bezpečnosti, ktorá zodpovedá miere daného rizika, a zohľadňovať bezpečnosť systémov a zariadení, riešenie incidentov, riadenie kontinuity činností, monitorovanie, audit a skúšanie, ako aj súlad s medzinárodnými normami. Tieto prvky má Komisia ďalej špecifikovať vo vykonávacích aktoch podľa uvedenej smernice.

(28)Komisia by mala toto nariadenie pravidelne preskúmavať, najmä s cieľom určiť potrebu úprav vzhľadom na technologický rozvoj alebo rozvoj trhu.

(29)V tomto nariadení sa rešpektujú základné práva a dodržujú zásady uznané v Charte základných práv Európskej únie, pričom toto nariadenie by sa malo vykladať a uplatňovať v súlade s týmito právami a zásadami vrátane práva na ochranu osobných údajov (článok 8), slobodu podnikania (článok 16), ako aj slobodu prejavu a práva na informácie (článok 11).

(30)Keďže cieľ tohto nariadenia, a to zabezpečiť voľný pohyb iných ako osobných údajov v rámci Únie, nie je možné uspokojivo dosiahnuť na úrovni jednotlivých členských štátov, ale z dôvodu jeho rozsahu a účinkov ho možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa,

PRIJALI TOTO NARIADENIE:

Článok 1

Predmet úpravy