Source: https://www.europarl.europa.eu/doceo/document/A-8-2018-0201_PL.html
Timestamp: 2020-06-07 07:46:16+00:00

Document:
1001k 133k
w sprawie wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie ram swobodnego przepływu danych nieosobowych w Unii Europejskiej
Sprawozdawczyni: Anna Maria Corazza Bildt
– uwzględniając wniosek Komisji przedstawiony Parlamentowi Europejskiemu i Radzie (COM(2017)0495),
– uwzględniając art. 294 ust. 2 i art. 114 Traktatu o funkcjonowaniu Unii Europejskiej, zgodnie z którymi wniosek został przedstawiony Parlamentowi przez Komisję (C8-0312/2017),
– uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego z dnia 15 lutego 2018 r.(1),
– uwzględniając sprawozdanie Komisji Rynku Wewnętrznego i Ochrony Konsumentów (A8-0201/2018) oraz opinię Komisji Przemysłu, Badań Naukowych i Energii (A8-0000/2018),
(1) Cyfryzacja gospodarki postępuje coraz szybciej. Technologie informacyjno-komunikacyjne (ICT) nie stanowią już osobnego sektora, lecz leżą u podłoża wszystkich nowoczesnych, innowacyjnych systemów gospodarczych i społeczeństw. Dane elektroniczne są rdzeniem tych systemów i mogą przynieść wielkie korzyści, jeżeli podda się je analizie lub połączy z usługami i produktami.
(1) Cyfryzacja gospodarki postępuje coraz szybciej. Technologie informacyjno-komunikacyjne (ICT) nie stanowią już osobnego sektora, lecz leżą u podłoża wszystkich nowoczesnych, innowacyjnych systemów gospodarczych i społeczeństw. Dane elektroniczne są rdzeniem tych systemów i mogą przynieść wielkie korzyści, jeżeli podda się je analizie lub połączy, w bezpiecznych warunkach, z usługami i produktami.
(3) Zgodnie z Traktatem o funkcjonowaniu Unii Europejskiej swoboda przedsiębiorczości i swoboda świadczenia usług mają zastosowanie do usług przechowywania lub innego rodzaju przetwarzania danych. Świadczenie takich usług jest jednak utrudnione, a czasem nawet niemożliwe ze względu na pewne wymogi krajowe dotyczące lokalizacji danych na określonym terytorium.
(3) Zgodnie z Traktatem o funkcjonowaniu Unii Europejskiej swoboda przedsiębiorczości i swoboda świadczenia usług mają zastosowanie do usług przetwarzania danych, w tym przenoszenia danych. Świadczenie takich usług jest jednak utrudnione, a czasem nawet niemożliwe ze względu na pewne wymogi krajowe, regionalne lub lokalne dotyczące lokalizacji danych na określonym terytorium.
(4) Takie przeszkody dla swobodnego świadczenia usług przechowywania lub innego rodzaju przetwarzania danych oraz dla swobody przedsiębiorczości dostawców usług przechowywania lub innego rodzaju przetwarzania danych wynikają z wymogów w przepisach krajowych państw członkowskich, zgodnie z którymi dane muszą być zlokalizowane na określonym obszarze geograficznym lub określonym terytorium, aby móc je przechowywać lub przetwarzać. Podobny skutek wywołują inne przepisy lub praktyki administracyjne, w których nakłada się określone wymogi utrudniające przechowywanie lub innego rodzaju przetwarzanie danych poza określonym obszarem geograficznym lub określonym terytorium w obrębie Unii, takie jak wymogi stosowania rozwiązań technologicznych, które zostały certyfikowane lub zatwierdzone w danym państwie członkowskim. Brak pewności prawa co do zakresu uzasadnionych i nieuzasadnionych wymogów dotyczących lokalizacji danych w dalszym stopniu ogranicza ilość opcji dostępnych dla uczestników rynku i podmiotów sektora publicznego przy wyborze miejsca przechowywania lub innego rodzaju przetwarzania danych.
(4) Takie przeszkody dla swobodnego świadczenia usług przetwarzania danych oraz dla swobody przedsiębiorczości dostawców usług przetwarzania danych wynikają z wymogów w przepisach krajowych państw członkowskich, zgodnie z którymi dane muszą być zlokalizowane na określonym obszarze geograficznym lub określonym terytorium, aby móc je przetwarzać. Podobny skutek wywołują inne przepisy lub praktyki administracyjne, w których nakłada się określone wymogi utrudniające przetwarzanie danych poza określonym obszarem geograficznym lub określonym terytorium w obrębie Unii, takie jak wymogi stosowania rozwiązań technologicznych, które zostały certyfikowane lub zatwierdzone w danym państwie członkowskim. Brak pewności prawa co do zakresu uzasadnionych i nieuzasadnionych wymogów dotyczących lokalizacji danych w dalszym stopniu ogranicza ilość opcji dostępnych dla uczestników rynku i podmiotów sektora publicznego przy wyborze miejsca przetwarzania danych. Niniejsze rozporządzenie w żaden sposób nie ogranicza swobody przedsiębiorstw do regulowania umową miejsca lokalizacji danych. Celem niniejszego rozporządzenia jest jedynie zwiększenie liczby możliwości w tym zakresie przez zagwarantowanie, że ustalona lokalizacja może znajdować się w dowolnym miejscu w Unii.
(5a) Połączenie tych przeszkód spowodowało brak konkurencji między europejskimi dostawcami usług w chmurze, różne problemy z uzależnieniem od jednego dostawcy („vendor lock-in”) oraz poważny brak mobilności danych. Podobnie polityka dotycząca lokalizacji danych znacznie ograniczyła zdolność przedsiębiorstw badawczo-rozwojowych do ułatwiania współpracy między firmami, uczelniami oraz innymi organizacjami badawczymi i pobudzania ich własnej innowacyjności.
(7a) Swobodny przepływ danych w Unii odegra ważną rolę w osiąganiu wzrostu i innowacji opartych na danych. Podobnie jak przedsiębiorstwa i konsumenci, również organy i podmioty sektora publicznego w państwach członkowskich mogą skorzystać na większej swobodzie wyboru dostawców usług opartych na danych, bardziej konkurencyjnych cenach i większej skuteczności świadczenia usług obywatelom. Zważywszy na to, że organy i podmioty publiczne obsługują dużą ilość danych, jest kwestią najwyższej wagi, aby dawały one przykład i korzystały z usług przetwarzania danych oraz, korzystając z takich usług, powstrzymywały się od wprowadzania jakichkolwiek ograniczeń w lokalizowaniu danych. W związku z tym organy i podmioty publiczne również powinny zostać objęte niniejszym rozporządzeniem, w tym – z zastrzeżeniem dyrektywy Parlamentu Europejskiego i Rady 2014/24/UE1a – w kontekście zamówień publicznych. Jednocześnie niniejsze rozporządzenie nie nakłada na podmioty publiczne jakiegokolwiek obowiązku outsourcingu przetwarzania danych.
Dyrektywa Parlamentu Europejskiego i Rady 2014/24/UE z dnia 26 lutego 2014 r. w sprawie zamówień publicznych, uchylająca dyrektywę 2004/18/WE Tekst mający znaczenie dla EOG (Dz.U. L 94 z 28.3.2014, s. 65).
(9) Niniejsze rozporządzenie nie powinno mieć wpływu na ramy prawne w zakresie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, w szczególności na rozporządzenie (UE) 2016/67930, dyrektywę (UE) 2016/68031 i dyrektywę 2002/58/WE32.
(9) Niniejsze rozporządzenie nie powinno mieć wpływu na ramy prawne w zakresie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych ani na poszanowanie życia prywatnego oraz ochronę danych osobowych w łączności elektronicznej, w szczególności na rozporządzenie (UE) 2016/67930, dyrektywę (UE) 2016/68031 i dyrektywę 2002/58/WE32.
30 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).
31 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).
32 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37).
(10) Zgodnie z rozporządzeniem (UE) 2016/679 państwa członkowskie nie mogą ograniczać ani zakazywać swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. W niniejszym rozporządzeniu ustanawia się tę samą zasadę swobodnego przepływu w Unii w odniesieniu do danych nieosobowych, z wyjątkiem sytuacji, w których ograniczenie lub zakaz byłyby uzasadnione ze względów bezpieczeństwa.
(10) Zgodnie z rozporządzeniem (UE) 2016/679 państwa członkowskie nie mogą ograniczać ani zakazywać swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. W niniejszym rozporządzeniu ustanawia się tę samą zasadę swobodnego przepływu w Unii w odniesieniu do danych nieosobowych, z wyjątkiem sytuacji, w których ograniczenie lub zakaz byłyby uzasadnione ze względów bezpieczeństwa publicznego. Rozporządzenie (UE) 2016/679 oraz niniejsze rozporządzenie stanowią spójny zbiór przepisów dotyczących swobodnego przepływu różnych rodzajów danych. Jeżeli zbiory danych zawierają zarówno dane osobowe, jak i nieosobowe, rozporządzenie (UE) 2016/679 powinno być stosowane do części zbioru złożonej z danych osobowych, a niniejsze rozporządzenie powinno być stosowane do części zbioru złożonej z danych nieosobowych. Jeżeli w mieszanym zestawie danych dane nieosobowe i osobowe są nierozerwalnie powiązane, niniejsze rozporządzenie powinno być stosowane bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679. Jeżeli postęp technologiczny, na przykład w postaci sztucznej inteligencji, uczenia maszynowego, internetu rzeczy czy analizy dużych zbiorów danych, umożliwi przekształcanie zanonimizowanych danych w dane osobowe, dane te traktuje się jako dane osobowe i stosuje się odpowiednio rozporządzenie (UE) 2016/679. Ponadto niniejsze rozporządzenie nie nakłada obowiązku oddzielnego przechowywania różnych rodzajów danych ani obowiązku rozdzielania mieszanych zbiorów danych.
(12) Wymogi dotyczące lokalizacji danych stanowią niewątpliwą przeszkodę dla swobodnego świadczenia usług przechowywania lub innego rodzaju przetwarzania danych w obrębie Unii oraz dla rozwoju rynku wewnętrznego. Powinny one zatem zostać zasadniczo zakazane, chyba że są uzasadnione względami bezpieczeństwa publicznego w rozumieniu prawa Unii, w szczególności art. 52 Traktatu o funkcjonowaniu Unii Europejskiej, i zgodne z zasadą proporcjonalności, zapisaną w art. 5 Traktatu o Unii Europejskiej. W celu wprowadzenia w życie zasady swobodnego przepływu danych nieosobowych przez granice, zapewnienia szybkiego zniesienia istniejących wymogów dotyczących lokalizacji danych oraz umożliwienia, do celów operacyjnych, przechowywania lub innego rodzaju przetwarzania danych w wielu lokalizacjach na terytorium UE, a także w związku z tym, że w niniejszym rozporządzeniu określono środki służące zapewnieniu dostępności danych do celów kontroli regulacyjnej, państwa członkowskie nie powinny mieć możliwości powoływania się w uzasadnieniach na względy inne niż bezpieczeństwo publiczne.
(12) Wymogi dotyczące lokalizacji danych stanowią niewątpliwą przeszkodę dla swobodnego świadczenia usług przetwarzania danych w obrębie Unii oraz dla rozwoju rynku wewnętrznego. Powinny one zatem zostać zasadniczo zakazane, chyba że są uzasadnione nadrzędnymi względami bezpieczeństwa publicznego w rozumieniu prawa Unii, w szczególności art. 52 Traktatu o funkcjonowaniu Unii Europejskiej, i zgodne z zasadą proporcjonalności zapisaną w art. 5 Traktatu o Unii Europejskiej. W celu wprowadzenia w życie zasady swobodnego przepływu danych nieosobowych przez granice, zapewnienia szybkiego zniesienia istniejących wymogów dotyczących lokalizacji danych oraz umożliwienia, do celów operacyjnych, przetwarzania danych w wielu lokalizacjach na terytorium UE, a także w związku z tym, że w niniejszym rozporządzeniu określono środki służące zapewnieniu dostępności danych do celów kontroli regulacyjnej, państwa członkowskie nie powinny mieć możliwości powoływania się w uzasadnieniach na względy inne niż bezpieczeństwo publiczne.
(12a) Pojęcie „bezpieczeństwa publicznego” w rozumieniu art. 52 TFUE i zgodnie z wykładnią Trybunału Sprawiedliwości obejmuje zarówno bezpieczeństwo wewnętrzne, jak i zewnętrzne danego państwa członkowskiego. Zakłada ono istnienie rzeczywistego i wystarczająco poważnego zagrożenia dla jednego z podstawowych interesów społecznych, takiego jak zagrożenie dla funkcjonowania instytucji i podstawowych usług publicznych oraz życia ludności, a także ryzyko poważnego zakłócenia stosunków zagranicznych lub pokojowego współistnienia narodów bądź zagrożenie interesów wojskowych. Pojęcie „nadrzędnych względów bezpieczeństwa publicznego” zakłada istnienie zagrożenia dla bezpieczeństwa, które jest szczególnie poważne. Zgodnie z zasadą proporcjonalności wymogi w zakresie lokalizacji danych, które w wyjątkowych przypadkach uzasadnione są nadrzędnymi względami bezpieczeństwa publicznego, powinny być adekwatne do zamierzonego celu i nie wykraczać poza to, co jest niezbędne do jego realizacji.
(13) Aby zapewnić skuteczne stosowanie zasady swobodnego przepływu danych nieosobowych przez granice oraz zapobiec pojawianiu się nowych przeszkód dla sprawnego funkcjonowania rynku wewnętrznego, państwa członkowskie powinny powiadamiać Komisję o każdym projekcie aktu, który zawiera nowe lub zmienia obowiązujące wymogi dotyczące lokalizacji danych. Powiadomienia te powinny być przekazywane i oceniane zgodnie z procedurą określoną w dyrektywie (UE) 2015/153533.
(13) Aby zapewnić skuteczne stosowanie zasady swobodnego przepływu danych nieosobowych przez granice oraz zapobiec pojawianiu się nowych przeszkód dla sprawnego funkcjonowania rynku wewnętrznego, państwa członkowskie powinny bezzwłocznie przekazywać Komisji każdy projekt aktu, który zawiera nowe lub zmienia obowiązujące wymogi dotyczące lokalizacji danych. Projekty aktów powinny być przekazywane i oceniane zgodnie z dyrektywą (UE) 2015/153533.
33 Dyrektywa (UE) 2015/1535 Parlamentu Europejskiego i Rady z dnia 9 września 2015 r. ustanawiająca procedurę udzielania informacji w dziedzinie przepisów technicznych oraz zasad dotyczących usług społeczeństwa informacyjnego (Dz.U. L 241 z 17.9.2015, s. 1).
(14) Ponadto, w celu wyeliminowania możliwych istniejących przeszkód, w okresie przejściowym trwającym 12 miesięcy państwa członkowskie powinny dokonać przeglądu istniejących krajowych wymogów dotyczących lokalizacji danych i powiadomić Komisję o wszelkich wymogach w tym zakresie uznanych przez nie za zgodne z niniejszym rozporządzeniem, przekazując również uzasadnienie. Powiadomienia te powinny umożliwić Komisji ocenę zgodności wszelkich utrzymanych w mocy wymogów dotyczących lokalizacji danych.
(14) Ponadto, w celu wyeliminowania możliwych istniejących przeszkód, w okresie przejściowym trwającym 12 miesięcy państwa członkowskie powinny dokonać przeglądu istniejących krajowych wymogów dotyczących lokalizacji danych i przekazać Komisji wszelkie wymogi w tym zakresie, które uznają za zgodne z niniejszym rozporządzeniem, wraz z uzasadnieniem. Powiadomienia te powinny umożliwić Komisji ocenę zgodności wszelkich utrzymanych w mocy wymogów dotyczących lokalizacji danych oraz, w stosownych przypadkach, przyjmowanie decyzji, w których zwraca się do państw członkowskich o zmianę lub uchylenie takich wymogów dotyczących lokalizacji danych.
(15) W celu zapewnienia, by wymogi dotyczące lokalizacji danych obowiązujące w państwach członkowskich były przejrzyste dla osób fizycznych i prawnych, takich jak dostawcy i użytkownicy usług przechowywania lub innego rodzaju przetwarzania danych, państwa członkowskie powinny publikować informacje o takich środkach na stronie centralnego internetowego punktu informacyjnego, jednego na kraj, i regularnie je aktualizować. W celu należytego informowania osób fizycznych i prawnych o wymogach dotyczących lokalizacji danych na całym terytorium Unii państwa członkowskie powinny przekazać Komisji informację o adresach takich punktów internetowych. Komisja powinna opublikować tę informację na swojej stronie internetowej.
(15) W celu zapewnienia, by wymogi dotyczące lokalizacji danych obowiązujące w państwach członkowskich były przejrzyste dla osób fizycznych i prawnych, takich jak dostawcy i użytkownicy usług przechowywania lub innego rodzaju przetwarzania danych, państwa członkowskie powinny publikować szczegółowe informacje o tych wymogach na stronie centralnego internetowego punktu informacyjnego lub dostarczać je do internetowego punktu informacyjnego na szczeblu unijnym ustanowionego na mocy innego aktu prawnego Unii [takiego jak rozporządzenie (UE) nr... Parlamentu Europejskiego i Komisji jednolity portal cyfrowy] Państwa członkowskie powinny regularnie aktualizować te informacje. W celu należytego informowania osób fizycznych i prawnych o wymogach dotyczących lokalizacji danych na całym terytorium Unii państwa członkowskie powinny przekazać Komisji informację o adresach takich punktów internetowych. Komisja powinna opublikować tę informację na swojej stronie internetowej wraz ze skonsolidowanym wykazem wymogów dotyczących lokalizacji danych obowiązujących w państwach członkowskich. Komisja powinna dodatkowo publikować informacje na temat tych wymogów w swoich oficjalnych językach roboczych.
(16) Wymogi dotyczące lokalizacji danych wynikają często z braku zaufania do transgranicznych usług przechowywania lub innego rodzaju przetwarzania danych, wywodzącego się z założenia, że właściwe organy państw członkowskich nie miałyby dostępu do tych danych do takich celów jak inspekcje i audyty w ramach kontroli regulacyjnej lub nadzorczej. W związku z tym w niniejszym rozporządzeniu należy wyraźnie określić, że nie narusza ono uprawnień właściwych organów do żądania i uzyskiwania dostępu do danych zgodnie z prawem Unii lub prawem krajowym, oraz że właściwym organom nie można odmówić dostępu do danych, podając jako przyczynę odmowy fakt, że dane są przechowywane lub w inny sposób przetwarzane w innym państwie członkowskim.
(16) Wymogi dotyczące lokalizacji danych wynikają często z braku zaufania do transgranicznych usług przetwarzania danych, wywodzącego się z założenia, że właściwe organy państw członkowskich nie miałyby dostępu do tych danych do takich celów jak inspekcje i audyty w ramach kontroli regulacyjnej lub nadzorczej. W związku z tym należy wzmocnić bezpieczeństwo systemów hostingu danych we wszystkich państwach członkowskich, a w niniejszym rozporządzeniu należy wyraźnie określić, że nie narusza ono uprawnień właściwych organów do żądania i uzyskiwania dostępu do danych zgodnie z prawem Unii lub prawem krajowym, oraz że właściwym organom nie można odmówić dostępu do danych, podając jako przyczynę odmowy fakt, że dane są przechowywane lub w inny sposób przetwarzane w innym państwie członkowskim.
(18) Jeżeli osoba fizyczna lub prawna podlegająca obowiązkom dostarczenia danych nie wywiąże się z nich oraz pod warunkiem że właściwy organ wyczerpał wszystkie stosowne środki w celu uzyskania dostępu do danych, organ ten powinien mieć możliwość zwrócenia się o pomoc do właściwych organów innych państw członkowskich. W takich przypadkach właściwe organy powinny korzystać ze specjalnych instrumentów współpracy przewidzianych w prawie Unii lub umowach międzynarodowych, w zależności od przedmiotowej kwestii, takich jak, w obszarze współpracy organów ścigania i wymiaru sprawiedliwości w sprawach cywilnych lub karnych albo w sprawach administracyjnych, odpowiednio: decyzja ramowa 2006/960/WSiSW34, dyrektywa Parlamentu Europejskiego i Rady 2014/41/UE35, Konwencja Rady Europy o cyberprzestępczości36, rozporządzenie Rady (WE) nr 1206/200137, dyrektywa Rady 2006/112/WE38 oraz rozporządzenie Rady (UE) nr 904/201039. W przypadku braku takich specjalnych mechanizmów współpracy właściwe organy powinny ze sobą współpracować w celu umożliwienia dostępu do danych będących przedmiotem wniosku, za pośrednictwem wyznaczonych centralnych punktów kontaktowych, chyba że naruszałoby to porządek publiczny państwa członkowskiego, do którego skierowany jest wniosek o dostęp.
(18) Jeżeli osoba fizyczna lub prawna podlegająca obowiązkom dostarczenia danych nie wywiąże się z nich, właściwy organ powinien mieć możliwość zwrócenia się o pomoc do właściwych organów innych państw członkowskich. W takich przypadkach właściwe organy powinny korzystać ze specjalnych instrumentów współpracy przewidzianych w prawie Unii lub umowach międzynarodowych, w zależności od przedmiotowej kwestii, takich jak, w obszarze współpracy organów ścigania i wymiaru sprawiedliwości w sprawach cywilnych lub karnych albo w sprawach administracyjnych, odpowiednio: decyzja ramowa 2006/960/WSiSW34, dyrektywa Parlamentu Europejskiego i Rady 2014/41/UE35, Konwencja Rady Europy o cyberprzestępczości36, rozporządzenie Rady (WE) nr 1206/200137, dyrektywa Rady 2006/112/WE38 oraz rozporządzenie Rady (UE) nr 904/201039. W przypadku braku takich specjalnych mechanizmów współpracy właściwe organy powinny ze sobą współpracować w celu umożliwienia dostępu do danych będących przedmiotem wniosku za pośrednictwem wyznaczonych centralnych punktów kontaktowych.
34 Decyzja ramowa Rady 2006/960/WSiSW z dnia 18 grudnia 2006 r. w sprawie uproszczenia wymiany informacji i danych wywiadowczych między organami ścigania państw członkowskich Unii Europejskiej (Dz.U. L 386 z 29.12.2006, s. 89).
35 Dyrektywa Parlamentu Europejskiego i Rady nr 2014/41/UE z dnia 3 kwietnia 2014 r. w sprawie europejskiego nakazu dochodzeniowego w sprawach karnych (Dz.U. L 130 z 1.5.2014, s. 1).
36 Konwencja Rady Europy o cyberprzestępczości (CETS nr 185).
37 Rozporządzenie Rady (WE) nr 1206/2001 z dnia 28 maja 2001 r. w sprawie współpracy między sądami państw członkowskich przy przeprowadzaniu dowodów w sprawach cywilnych lub handlowych (Dz.U. L 174 z 27.6.2001, s. 1).
38 Dyrektywa 2006/112/WE Rady z dnia 28 listopada 2006 r. w sprawie wspólnego systemu podatku od wartości dodanej (Dz.U. L 347 z 11.12.2006, s. 1).
39 Rozporządzenie Rady (UE) nr 904/2010 z dnia 7 października 2010 r. w sprawie współpracy administracyjnej oraz zwalczania oszustw w dziedzinie podatku od wartości dodanej (Dz.U. L 268 z 12.10.2010, s. 1).
(21) Aby móc w pełni czerpać z korzyści, jakie płyną z konkurencji na rynku, użytkownicy profesjonalni powinni móc dokonywać świadomych wyborów i łatwo porównywać poszczególne elementy różnych oferowanych na rynku wewnętrznym usług przechowywania lub innego rodzaju przetwarzania danych, w tym umowne warunki przenoszenia danych po rozwiązaniu umowy. W celu uwzględnienia potencjału innowacyjnego rynku oraz doświadczenia i wiedzy fachowej dostawców usług raz profesjonalnych użytkowników usług przechowywania lub innego rodzaju przetwarzania danych, uczestnicy rynku powinni opracować szczegółowe informacje i wymagania operacyjne dotyczące przenoszenia danych – w ramach samoregulacji wspieranej i ułatwianej przez Komisję – w formie unijnych kodeksów postępowania, co może obejmować określenie wzorca warunków umownych. Jeżeli jednak takie kodeksy postępowania nie zostaną opracowane i skutecznie wdrożone w rozsądnym czasie, Komisja powinna dokonać przeglądu sytuacji.
(21) Aby móc w pełni czerpać z korzyści, jakie płyną z konkurencji na rynku, użytkownicy profesjonalni powinni móc dokonywać świadomych wyborów i łatwo porównywać poszczególne elementy różnych oferowanych na rynku wewnętrznym usług przetwarzania danych, w tym umowne warunki przenoszenia danych po rozwiązaniu umowy. W celu uwzględnienia potencjału innowacyjnego rynku oraz doświadczenia i wiedzy fachowej dostawców usług raz profesjonalnych użytkowników usług przechowywania lub innego rodzaju przetwarzania danych, uczestnicy rynku powinni opracować szczegółowe informacje i wymagania operacyjne dotyczące przenoszenia danych – w ramach samoregulacji wspieranej, ułatwianej i monitorowanej przez Komisję – w formie unijnych kodeksów postępowania, co może obejmować określenie wzorca warunków umownych. Kodeksy postępowania powinny być kompleksowe, wyraźnie stanowić, że uzależnienie od jednego dostawcy nie jest dopuszczalną praktyką handlową, zakładać stosowanie technologii zwiększających zaufanie oraz podlegać regularnym aktualizacjom, tak aby nadążać za rozwojem technologicznym. Podczas całego procesu Komisja zapewnia konsultacje z wszystkimi zainteresowanymi stronami, w tym małymi i średnimi przedsiębiorstwami oraz przedsiębiorstwami typu start-up. Komisja powinna przeprowadzić ocenę opracowania i skuteczności wdrażania takich kodeksów postępowania.
(28) Komisja powinna okresowo dokonywać przeglądu niniejszego rozporządzenia, w szczególności w celu określenia, czy istnieje potrzeba wprowadzenia zmian w świetle postępu technologicznego i zmian na rynku.
(28) Komisja powinna przedłożyć sprawozdanie z wdrażania niniejszego rozporządzenia, w szczególności w celu określenia, czy istnieje potrzeba wprowadzenia zmian w świetle postępu technologicznego i zmian na rynku, takich jak sztuczna inteligencja, uczenie maszynowe, internet rzeczy i analiza dużych zbiorów danych. Sprawozdanie to powinno zawierać w szczególności ocenę doświadczeń nabytych przy stosowaniu niniejszego rozporządzenia do mieszanych zbiorów danych, tak aby zapewnić prężny rozwój innowacji, oraz ocenę stosowania wyjątku dotyczącego bezpieczeństwa publicznego. Zanim inne przepisy niniejszego rozporządzenia zaczną obowiązywać, Komisja powinna również opublikować wytyczne na temat tego, jak rozporządzenie stosuje się do mieszanych zbiorów danych, tak aby przedsiębiorstwa, zwłaszcza MŚP, mogły lepiej zrozumieć wzajemne powiązania między niniejszym rozporządzeniem a rozporządzeniem (UE) 2016/679.
1. Niniejsze rozporządzenie ma zastosowanie do przechowywania lub innego rodzaju przetwarzania elektronicznych danych innych niż dane osobowe w Unii, które jest:
W przypadku mieszanych zbiorów danych niniejsze rozporządzenie ma zastosowanie do części zbioru złożonej z danych nieosobowych. Jeżeli w mieszanym zestawie danych dane osobowe i nieosobowe są nierozerwalnie związane, niniejsze rozporządzenie stosuje się bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679.
1a) „mieszany zbiór danych” oznacza zbiór danych obejmujący zarówno dane osobowe, jak i nieosobowe;
2) „przechowywanie danych” oznacza jakiekolwiek przechowywanie danych w formie elektronicznej;
2a) „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych lub zbiorach danych w formie elektronicznej w sposób zautomatyzowany lub niezautomatyzowany, na przykład gromadzenie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
4) „dostawca” oznacza osobę fizyczną lub prawną świadczącą usługi przechowywania lub innego rodzaju przetwarzania danych;
4) „dostawca” oznacza osobę fizyczną lub prawną świadczącą usługi przetwarzania danych;
5) „wymóg dotyczący lokalizacji danych” oznacza każdy obowiązek, zakaz, warunek, ograniczenie lub innego rodzaju wymóg określony w przepisach ustawowych, wykonawczych lub administracyjnych państw członkowskich, który narzuca lokalizację przechowywania lub innego rodzaju przetwarzania danych na terytorium danego państwa członkowskiego lub utrudnia przechowywanie lub innego rodzaju przetwarzanie danych w innym państwie członkowskim;
5) „wymóg dotyczący lokalizacji danych” oznacza każdy obowiązek, zakaz, warunek, ograniczenie lub innego rodzaju wymóg określony w przepisach ustawowych, wykonawczych lub administracyjnych bądź wynikający z praktyk administracyjnych państw członkowskich oraz ich emanacji, z uwzględnieniem przepisów i praktyk dotyczących zamówień publicznych, który narzuca wymóg przetwarzania danych na terytorium danego państwa członkowskiego lub utrudnia przetwarzanie danych w innym państwie członkowskim;
6) „właściwy organ” oznacza organ państwa członkowskiego uprawniony do uzyskania dostępu do danych przechowywanych lub przetwarzanych przez osobę fizyczną lub prawną, do celów wykonywania swoich obowiązków urzędowych, jak przewidziano w prawie krajowym lub prawie Unii;
6) „właściwy organ” oznacza organ państwa członkowskiego uprawniony do uzyskania dostępu do danych przetwarzanych przez osobę fizyczną lub prawną, do celów wykonywania swoich obowiązków urzędowych, jak przewidziano w prawie krajowym lub prawie Unii;
7) „użytkownik” oznacza osobę fizyczną lub prawną korzystającą lub pragnącą skorzystać z usługi przechowywania lub innego rodzaju przetwarzania danych;
7) „użytkownik” oznacza osobę fizyczną lub prawną, w tym podmiot sektora publicznego, korzystającą lub pragnącą skorzystać z usługi przetwarzania danych;
Artykuł 3 – ustęp 1 – punkt 8
8) „użytkownik profesjonalny” oznacza osobę fizyczną lub prawną, w tym podmiot sektora publicznego, korzystającą lub pragnącą skorzystać z usługi przechowywania lub innego rodzaju przetwarzania danych do celów związanych z jej działalnością handlową, gospodarczą, rzemieślniczą, zawodową lub wykonywanym zadaniem.
8) „użytkownik profesjonalny” oznacza osobę fizyczną lub prawną, w tym podmiot sektora publicznego, korzystającą lub pragnącą skorzystać z usługi przetwarzania danych do celów związanych z jej działalnością handlową, gospodarczą, rzemieślniczą, zawodową lub wykonywanym zadaniem.
1. Lokalizacji danych będących przedmiotem przechowywania lub innego rodzaju przetwarzania na terytorium Unii nie ogranicza się do terytorium określonego państwa członkowskiego, a przechowywanie lub innego rodzaju przetwarzanie danych w innym państwie członkowskim nie może być zakazywane ani ograniczane, chyba że jest to uzasadnione względami bezpieczeństwa publicznego.
1. Wymogi dotyczące lokalizacji danych są zakazane, chyba że, w drodze wyjątku i zgodnie z zasadą proporcjonalności, są one uzasadnione nadrzędnymi względami bezpieczeństwa publicznego.
2. Państwa członkowskie powiadamiają Komisję o każdym projekcie aktu, w którym wprowadza się nowe wymogi dotyczące lokalizacji danych lub zmiany w istniejących wymogach dotyczących lokalizacji danych, zgodnie z procedurami określonymi w przepisach krajowych wdrażających dyrektywę (UE) 2015/1535.
2. Państwa członkowskie bezzwłocznie informują Komisję o każdym projekcie aktu, w którym wprowadza się nowe wymogi dotyczące lokalizacji danych lub zmiany w istniejących wymogach dotyczących lokalizacji danych, zgodnie z procedurami określonymi w art. 5, 6 i 7 dyrektywy (UE) 2015/1535.
3. W terminie 12 miesięcy po rozpoczęciu stosowania niniejszego rozporządzenia państwa członkowskie zapewniają uchylenie wszelkich wymogów dotyczących lokalizacji danych, które nie są zgodne z ust. 1. Jeżeli państwo członkowskie uzna, że wymóg dotyczący lokalizacji danych jest zgodny z ust. 1 i może w związku z tym zostać utrzymany w mocy, powiadamia o tym środku Komisję, przedkładając również uzasadnienie utrzymania go w mocy.
3. Do dnia [12 miesięcy po wejściu w życie niniejszego rozporządzenia] r. państwa członkowskie zapewniają uchylenie wszelkich wymogów dotyczących lokalizacji danych, które nie są zgodne z ust. 1. Jeżeli do dnia [12 miesięcy po wejściu w życie niniejszego rozporządzenia] r. państwo członkowskie uzna, że wymóg dotyczący lokalizacji danych jest zgodny z ust. 1 i może w związku z tym zostać utrzymany w mocy, informuje o tym środku Komisję, przedkładając również uzasadnienie utrzymania go w mocy.
Artykuł 4 – ustęp 3 – akapit 1 a (nowy)
Bez uszczerbku dla art. 258 TFUE Komisja, w terminie trzech miesięcy od daty otrzymania takiego powiadomienia, bada zgodność tego środka z ust. 1 i w stosownym przypadku przyjmuje decyzję, w której wzywa dane państwo członkowskie do zmiany lub uchylenia tego środka.
4. Państwa członkowskie podają i aktualizują informacje o wszelkich mających zastosowanie na ich terytorium wymogach dotyczących lokalizacji danych, udostępniając je publicznie w internecie za pośrednictwem centralnego punktu informacyjnego, jednego na kraj.
4. Państwa członkowskie podają i aktualizują informacje o wszelkich mających zastosowanie na ich terytorium wymogach dotyczących lokalizacji danych, udostępniając je publicznie w internecie za pośrednictwem centralnego punktu informacyjnego lub punktu informacyjnego na szczeblu Unii utworzonego na mocy innego aktu Unii, jeśli punkt ten jest dostępny.
5. Państwa członkowskie przekazują Komisji informację o adresie ich centralnego punktu informacyjnego, o którym mowa w ust. 4. Komisja publikuje na swojej stronie internetowej linki do stron takich punktów.
5. Państwa członkowskie przekazują Komisji informację o adresie ich centralnego punktu informacyjnego, o którym mowa w ust. 4. Komisja publikuje na swojej stronie internetowej linki do stron takich punktów wraz ze skonsolidowanym wykazem wszystkich wymogów dotyczących lokalizacji danych, o których mowa w ust. 4, w tym informacji dotyczących tych wymogów w swoich oficjalnych językach roboczych, który to wykaz jest przez nią regularnie aktualizowany.
2. W przypadku gdy właściwy organ wyczerpał wszystkie stosowne środki w celu uzyskania dostępu do danych, może on zwrócić się z wnioskiem o pomoc do właściwego organu w innym państwie członkowskim zgodnie z procedurą przewidzianą w art. 7, a organ, do którego zwrócono się o pomoc, udziela jej zgodnie z procedurą przewidzianą w art. 7, chyba że naruszałoby to porządek publiczny państwa członkowskiego, do którego skierowano wniosek o pomoc.
2. W przypadku gdy właściwy organ nie uzyskał dostępu do danych po nawiązaniu kontaktu z użytkownikiem usługi przetwarzania danych oraz jeśli brak jest specjalnych mechanizmów współpracy na mocy przepisów Unii lub porozumień międzynarodowych umożliwiających wymianę danych między właściwymi organami różnych państw członkowskich, wspomniany właściwy organ może zwrócić się z wnioskiem o pomoc do właściwego organu innego państwa członkowskiego zgodnie z procedurą określoną w art.7. Właściwy organ, do którego skierowany jest wniosek, udziela pomocy zgodnie z tą procedurą.
3. Jeżeli wniosek o pomoc pociąga za sobą konieczność uzyskania przez organ, do którego wniosek ten jest skierowany, dostępu do jakichkolwiek pomieszczeń osoby fizycznej lub prawnej, w tym do jakichkolwiek urządzeń lub środków służących do przechowywania lub innego rodzaju przetwarzania danych, uzyskanie takiego dostępu musi odbywać się zgodnie z prawem procesowym Unii lub państwa członkowskiego.
3. Jeżeli wniosek o pomoc pociąga za sobą konieczność uzyskania przez organ, do którego wniosek ten jest skierowany, dostępu do jakichkolwiek pomieszczeń osoby fizycznej lub prawnej, w tym do jakichkolwiek urządzeń lub środków służących do przechowywania lub innego rodzaju przetwarzania danych, uzyskanie takiego dostępu musi odbywać się zgodnie z prawem Unii lub prawem procesowym państwa członkowskiego, w którym znajdują się te pomieszczenia lub urządzenia.
4. Ust. 2 stosuje się wyłącznie w przypadku, gdy w prawie Unii lub umowach międzynarodowych nie przewidziano żadnego szczególnego mechanizmu współpracy do celów wymiany danych między właściwymi organami różnych państw członkowskich.
1. Komisja wspiera i ułatwia opracowywanie w ramach samoregulacji kodeksów postępowania na szczeblu Unii, w celu określenia wytycznych dotyczących najlepszych praktyk w zakresie ułatwiania zmiany dostawcy oraz w celu zapewnienia, aby przed zawarciem umowy o przechowywanie i przetwarzanie danych dostawcy dostarczali użytkownikom profesjonalnym dostatecznie szczegółowych, jasnych i przejrzystych informacji dotyczących następujących kwestii:
1. Aby przyczynić się do rozwoju konkurencyjnej gospodarki opartej na danych, Komisja wspiera i ułatwia opracowywanie w ramach samoregulacji kodeksów postępowania na szczeblu Unii, które są oparte na zasadzie przejrzystości i w których ustanawia się wytyczne, obejmujące m.in. następujące aspekty:
-a) najlepsze praktyki w zakresie ułatwiania zmiany dostawcy i przenoszenia danych z wykorzystaniem formatów ustrukturyzowanych, powszechnie używanych, interoperacyjnych i nadających się do odczytu maszynowego, w tym formatów opartych na otwartych standardach, gdy jest to wymagane przez dostawcę usług otrzymującego dane lub gdy zwraca się on z takim wnioskiem;
a) procesy, wymagania techniczne, ramy czasowe i opłaty, które mają zastosowanie w przypadku gdy użytkownik profesjonalny chce zmienić dostawcę na innego lub przenieść dane z powrotem do własnych systemów informatycznych, w tym procesy tworzenia kopii zapasowych danych i lokalizacja takich kopii, dostępne formaty i nośniki danych, wymagana konfiguracja systemów informatycznych i minimalna szerokość pasma sieciowego; czas wymagany przed rozpoczęciem procesu przenoszenia danych i okres, przez który dane będą nadal dostępne do celów ich przeniesienia; a także gwarancje dostępu do danych w przypadku upadłości dostawcy; oraz
a) minimalne wymogi informacyjne mające na celu zapewnienie użytkownikom profesjonalnym, przed zawarciem umowy o przechowywanie i przetwarzanie danych, wystarczająco dokładnych, jasnych i przejrzystych informacji na temat następujących kwestii: procesy, wymagania techniczne, ramy czasowe i opłaty, które mają zastosowanie w przypadku, gdy użytkownik profesjonalny chce zmienić dostawcę lub przenieść dane z powrotem do własnych systemów informatycznych, a także gwarancje dostępu do danych w przypadku upadłości dostawcy.
b) wymagania operacyjne obowiązujące przy zmianie dostawcy lub przenoszeniu danych, przedstawione w sposób uporządkowany, w powszechnie używanym formacie nadającym się do przetwarzania automatycznego, zapewniające użytkownikowi wystarczająco dużo czasu na zmianę dostawcy lub przeniesienie danych.
1a. Komisja gwarantuje, że kodeksy postępowania, o których mowa w ust. 1, opracowywane są w ścisłej współpracy ze wszystkimi właściwymi zainteresowanymi stronami, w tym stowarzyszeniami małych i średnich przedsiębiorstw oraz przedsiębiorstwami typu start-up, użytkownikami i dostawcami usług w chmurze.
2. Komisja zachęca dostawców do skutecznego wdrożenia kodeksów postępowania, o których mowa w ust. 1, w ciągu roku od daty rozpoczęcia stosowania niniejszego rozporządzenia.
2. Komisja zachęca dostawców do ukończenia prac nad sporządzeniem kodeksów postępowania, o których mowa w ust. 1, do... [12miesięcy od daty publikacji niniejszego rozporządzenia] r. oraz do ich skutecznego wdrożenia do... [24 miesięcy od daty publikacji niniejszego rozporządzenia] r.
3. Nie później niż dwa lata po rozpoczęciu stosowania niniejszego rozporządzenia Komisja dokonuje przeglądu opracowywania i skutecznego wdrażania takich kodeksów postępowania, a także skutecznego dostarczania informacji przez dostawców.
Artykuł 7 – ustęp 6 a (nowy)
6a. Centralne punkty kontaktowe dostarczają użytkownikom ogólne informacje na temat niniejszego rozporządzenia, w szczególności dotyczące opracowania kodeksów postępowania, o których mowa w art. 6.
Wiedza fachowa centralnych punktów kontaktowych może służyć nie tylko jako łącznik między państwami członkowskimi a Komisją, lecz także jako ogniwo łączące instytucje i użytkowników.
1. Nie później niż dnia [5 lat po dacie wymienionej w art. 10 ust. 2] r. Komisja dokonuje przeglądu niniejszego rozporządzenia i przedkłada Parlamentowi Europejskiemu, Radzie i Europejskiemu Komitetowi Ekonomiczno-Społecznemu sprawozdanie zawierające główne wyniki tego przeglądu.
1. Nie później niż dnia [3 lata i 6 miesięcy po dacie opublikowania niniejszego rozporządzenia] r. Komisja przedkłada Parlamentowi Europejskiemu, Radzie i Europejskiemu Komitetowi Ekonomiczno-Społecznemu sprawozdanie z oceny wdrażania niniejszego rozporządzenia, zwłaszcza odnośnie do:
a) stosowania niniejszego rozporządzenia do mieszanych zbiorów danych, zwłaszcza w świetle zmian na rynku i rozwoju technologicznego, które mogą zwiększyć możliwości deanonimizacji danych;
b) wdrażania przez państwa członkowskie art. 4 ust. 1, w szczególności wyjątku dotyczącego bezpieczeństwa publicznego; oraz
c) opracowania i skutecznego wdrażania kodeksów postępowania, o których mowa w art. 6, oraz skutecznego przekazywania informacji przez usługodawców.
2a. Do dnia ... [6 miesięcy po dacie publikacji niniejszego rozporządzenia] r. Komisja publikuje wytyczne w sprawie wzajemnych powiązań niniejszego rozporządzenia i rozporządzenia (UE) 2016/679 w odniesieniu do mieszanych zbiorów danych.
2. Niniejsze rozporządzenie stosuje się po upływie sześciu miesięcy od jego opublikowania.
Jednak artykuł 9 ust. 2a ma zastosowanie od dnia [1 dzień od wejścia rozporządzenia w życie] r.
Dz.U. C 0 z 0.0.0000, s. 0.
Jednolity rynek cyfrowy stanowi fundament gospodarki europejskiej o ogromnym potencjale w zakresie stymulowania wzrostu gospodarczego i tworzenia miejsc pracy. W analizowanym rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych dane de facto traktuje się jako piątą swobodę na jednolitym rynku. W związku z pojawieniem się takich nowych technologii jak przetwarzanie w chmurze, duże zbiory danych i sztuczna inteligencja możliwość swobodnego przepływu danych stała się kwestią o kluczowym znaczeniu dla przedsiębiorstw europejskich. Jest to oczywiście możliwość, a nie obowiązek. Wprowadzone przez państwa członkowskie wymogi dotyczące lokalizacji ograniczają konkurencję i zwiększają koszty przechowywania danych o około 120 %. Dzięki zniesieniu tych wymogów UE mogłaby uzyskać roczny wzrost PKB rzędu 8 mld EUR, tj. 0,06 %. Jest to równowartość łącznego wzrostu PKB osiągniętego dzięki niedawnym umowom o wolnym handlu z Kanadą i Koreą Południową.
Sprawozdawczyni skoncentrowała się na uproszczeniu, wyjaśnieniu i zapewnieniu łatwości stosowania omawianego rozporządzenia. Jej celem jest dopilnowanie, by tekst był pewny pod względem prawnym i zachował aktualność w celu zmaksymalizowania korzyści płynących ze swobodnego przepływu danych.
II. Stanowisko sprawozdawczyni
A. Wyjątek dotyczący bezpieczeństwa publicznego
Sprawozdawczyni uznaje, że w wyjątkowych przypadkach państwa członkowskie mają uzasadnione powody ograniczenia swobodnego przepływu danych. Zważywszy jednak na wynikające stąd szkodliwe skutki dla gospodarki cyfrowej UE, sprawozdawczyni uważa, że należy ograniczyć te wymogi do minimum. Pragnie ona dopilnować, by państwa członkowskie nie nadużywały wyjątku dotyczącego bezpieczeństwa publicznego, dzięki wprowadzeniu utrwalonego pojęcia „nadrzędnych względów bezpieczeństwa publicznego”. Z uwagi na brak definicji pojęcia bezpieczeństwa publicznego sprawozdawczyni bazuje na Traktacie i obowiązującym orzecznictwie Trybunału Sprawiedliwości UE w celu wyjaśnienia tej koncepcji i zwiększenia pewności prawa.
Wyjaśnia również, że wszystkie grupy społeczne powinny czerpać korzyści ze swobodnego przepływu danych, włącznie z podmiotami sektora publicznego. Wiele wymogów dotyczących lokalizacji nie powstaje na szczeblu krajowym, dlatego należy wyjaśnić, że przedmiotowe rozporządzenie będzie miało zastosowanie na wszystkich poziomach sprawowania rządów, w tym w dziedzinie zamówień publicznych, co jest jedną z głównych obaw, szczególnie MŚP.
Komisja ma prawo i obowiązek monitorować stosowanie tego wyjątku oraz dopilnować, by nie interpretowano go w nieproporcjonalny sposób. Sprawozdawczyni pragnie wprowadzić dla państw członkowskich konkretny termin na poinformowanie o wymogach dotyczących lokalizacji danych, które chcą utrzymać. Komisja powinna przeanalizować projekt aktu i zdecydować, czy zainteresowane państwo członkowskie ma zmienić bądź uchylić dany wymóg dotyczący lokalizacji danych. Wszystkie utrzymane w mocy wymogi dotyczące lokalizacji danych powinny być publikowane na stronie internetowej Komisji, aby zapewnić łatwy dostęp do tych informacji.
B. Dostęp organów publicznych do danych
Dana przedsiębiorstwom i podmiotom sektora publicznego możliwość przetwarzania danych poza państwem członkowskim prowadzenia działalności nie może być w żadnym wypadku wykorzystywana jako sposób na ukrywanie informacji przed właściwymi organami. Sprawozdawczyni uważa, że zobowiązanie właściwych organów do pełnego wyzyskania wszystkich innych środków, zanim zwrócą się o pomoc do swoich odpowiedników, mogłoby niepotrzebnie wydłużyć proces uzyskania legalnego dostępu do wymaganych danych. Łatwiejszy dostęp do danych powinien też zapewnić nowy system centralnych punktów kontaktowych. W projekcie sprawozdania doprecyzowano także, że dostęp do pomieszczeń, w których przechowywane są dane, jest udzielany zgodnie z prawem krajowym państwa członkowskiego, w którym pomieszczenia lub urządzenia się znajdują.
C. Mieszane zbiory danych
Omawiane rozporządzenie i ogólne rozporządzenie o ochronie danych stanowią wzajemne uzupełnienie i ich cele nie pokrywają się. Łącznie zapewniają spójny zbiór zasad, które obejmują wszystkie rodzaje danych i które tworzą „jednolitą unijną przestrzeń danych”. Większość zbiorów danych zawiera zarówno dane osobowe, jak i nieosobowe, przy czym większość stanowią dane nieosobowe, a dane osobowe, takie jak imiona i nazwiska lub adresy elektroniczne są uwzględniane wyłącznie w celach administracyjnych. Wyłączenie takich mieszanych zbiorów danych z zakresu stosowania przedmiotowego rozporządzenia poważnie ograniczyłoby wynikające z niego korzyści. W przypadku mieszanych zbiorów danych, które można łatwo rozdzielić, omawiane rozporządzenie powinno mieć zastosowanie do części zbiorów obejmujących dane nieosobowe. W przypadku mieszanych zbiorów danych, w których dane nieosobowe i osobowe są ze sobą nierozerwalnie powiązane, rozporządzenie powinno mieć zastosowanie do całego zbioru danych, bez uszczerbku dla przepisów ogólnego rozporządzenia o ochronie danych. Zakres zastosowania tego ostatniego aktu jest ograniczony do danych osobowych i nie obejmuje danych nieosobowych, w związku z czym stosowanie jego przepisów, zamiast przepisów przedmiotowego rozporządzenia, do całego mieszanego zbioru danych byłoby nieproporcjonalne i błędne pod względem prawnym. Oznaczałoby to zbędne obciążenia dla takich przedsiębiorstw jak MŚP i firmy typu start-up, które musiałyby przestrzegać bardziej rygorystycznych przepisów, a ponadto hamowałoby innowacje. Zastosowanie omawianego rozporządzenia do danych nieosobowych nie oznacza, że środki ochrony prywatności wynikające z ogólnego rozporządzenia o ochronie danych przestają obowiązywać w odniesieniu do mieszanych zbiorów danych, niezależnie od miejsca przechowywania danych w UE. Jednocześnie omawiane rozporządzenie nie nakłada obowiązku oddzielnego przechowywania różnych rodzajów danych ani obowiązku rozdzielania mieszanych zbiorów danych.
D. Przenoszenie danych
W celu pełnego wykorzystania potencjału jednolitego rynku cyfrowego należy zwiększyć konkurencję. Ma to zapewnić m.in. możliwość przenoszenia danych między różnymi dostawcami usług w chmurze. Sprawozdawczyni jest za tym, by zadaniem uczestników rynku było opracowanie kodeksów postępowania regulujących możliwości użytkowników profesjonalnych w zakresie zmiany dostawcy usług i przenoszenia danych. Komisja powinna wspierać, ułatwiać i monitorować ten proces.
W celu stworzenia wyważonych i dobrze funkcjonujących kodeksów postępowania konieczne jest włączenie w ten proces zarówno użytkowników, jak i dostawców usług. Ponadto sprawozdawczyni podkreśla, że istotą kodeksu postępowania jest interoperacyjność i przejrzystość, w związku z czym postanowiła usunąć niektóre bardziej normatywne części tekstu Komisji i umożliwić uczestnikom rynku określenie, jak powinna wyglądać samoregulacja. Sprawozdawczyni wydłużyła również termin 6 miesięcy, ponieważ doświadczenie pokazuje, że opracowanie i wdrożenie kodeksu postępowania wymaga więcej czasu.
E. Przegląd
Biorąc pod uwagę znaczenie nadążania za rozwojem technologicznym, sprawozdawczyni proponuje skrócenie okresu oceny, w szczególności w odniesieniu do mieszanych zbiorów danych, ponieważ z czasem szare strefy będą się prawdopodobnie zwiększać. Na razie nie wiadomo, jak zbiory danych będą wyglądać w przyszłości, dlatego ważna jest ocena, czy przedmiotowe rozporządzenie jest aktualne i dostosowane do zakładanych celów. Sprawozdawczyni pragnie wyjaśnić, że wynikiem dokonanej przez Komisję oceny powinno być przedłożenie współprawodawcom odnośnego sprawozdania.
Poniższy wykaz opracowano na zasadzie zupełnej dobrowolności, na wyłączną odpowiedzialność sprawozdawczyni. W pracy nad projektem sprawozdania sprawozdawca otrzymał informacje od następujących podmiotów lub osób:
Almega (organizacja pracodawców szwedzkiego sektora usług)
Stowarzyszenie Szwedzkiego Przemysłu Inżynieryjnego
Stałe Przedstawicielstwo Bułgarii przy UE
CERCA (Europejskie Stowarzyszenie Handlu i Usług Motoryzacyjnych)
Stowarzyszenie Przemysłu Komputerowego i Komunikacyjnego (CCIA Europe)
Konfederacja Szwedzkich Przedsiębiorców
Dr Kristina IRION, Uniwersytet w Amsterdamie (warsztaty IMCO zorganizowane w dniu 20 lutego br.)
Dr Simon Forge, SCF Associates (warsztaty IMCO zorganizowane w dniu 20 lutego br.)
Stałe Przedstawicielstwo Estonii przy UE
Stowarzyszenie Europejskich Operatorów Sieci Telekomunikacyjnych (ETNO)
Europejska Federacja Marketingu Bezpośredniego i Interaktywnego (FEDMA)
FIGIEFA – Federacja Niezależnych Dystrybutorów Części Samochodowych
Stałe Przedstawicielstwo Francji przy Unii Europejskiej
Niemieckie Stowarzyszenie Ubezpieczycieli (GDV)
IDC – Usługi konsultingowe dla administracji europejskich
Fundacja na rzecz Technologii Informacyjnej i Innowacji
Irlandzkie Ministerstwo Łączności, Działania w sprawie Zmiany Klimatu i Środowiska
Krajowa Izba Handlu
Stałe Przedstawicielstwo Hiszpanii przy UE
Szwedzki sektor IT i telekomunikacji
Szwedzka Federacja Handlowa
Stowarzyszenie Loterii Europejskich (EL)
Federacja Rolników Szwedzkich (LRF)
UEAPME – Europejskie Stowarzyszenie Rzemiosła oraz Małych i Średnich Przedsiębiorstw
Federacja Małych Przedsiębiorstw w Zjednoczonym Królestwie
Stałe Przedstawicielstwo Zjednoczonego Królestwa przy Unii Europejskiej
OPINIA Komisji Przemysłu, Badań Naukowych i Energii (26.4.2018)
Komisja Przemysłu, Badań Naukowych i Energii zwraca się do Komisji Rynku Wewnętrznego i Ochrony Konsumentów, jako komisji przedmiotowo właściwej, o wzięcie pod uwagę następujących poprawek:
(2) Łańcuchy wartości danych złożone są z różnych działań w zakresie danych: tworzenia i gromadzenia danych; agregacji i organizacji danych; przechowywania i przetwarzania danych; analizy danych, obrotu danymi i dystrybucji danych; wykorzystywania i ponownego wykorzystywania danych. Skuteczne i wydajne funkcjonowanie przechowywania i innego rodzaju przetwarzania danych stanowi podstawowy element budowy każdego łańcucha wartości danych. Osiągnięcie takiego skutecznego i wydajnego funkcjonowania oraz rozwój gospodarki opartej na danych w Unii utrudniają jednak w szczególności dwa rodzaje przeszkód w mobilności danych i tworzeniu rynku wewnętrznego.
(2) Łańcuchy wartości danych złożone są z różnych działań w zakresie danych: tworzenia i gromadzenia danych; agregacji i organizacji danych; przetwarzania; analizy danych, obrotu danymi i dystrybucji danych; wykorzystywania i ponownego wykorzystywania danych. Skuteczne i wydajne funkcjonowanie przetwarzania stanowi podstawowy element budowy każdego łańcucha wartości danych. Osiągnięcie takiego skutecznego i wydajnego funkcjonowania oraz rozwój gospodarki opartej na danych w Unii utrudniają jednak w szczególności dwa rodzaje przeszkód w mobilności danych i tworzeniu rynku wewnętrznego.
Definicja „przetwarzania” dodana do art. 3 zawiera w sobie „przechowywanie danych”. Niniejsza poprawka odnosi się do całego tekstu. Jej przyjęcie będzie wymagało wprowadzenia odpowiednich zmian.
(3) Zgodnie z art. 26, 49–55 i 56–62 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) swoboda przedsiębiorczości i swoboda świadczenia usług mają zastosowanie do usług przetwarzania, w tym przenoszenia danych. Świadczenie takich usług jest jednak utrudnione, a czasem nawet niemożliwe ze względu na pewne wymogi krajowe dotyczące lokalizacji danych na określonym terytorium.
W art. 6 określono techniczne aspekty przenoszenia danych. Projekt rozporządzenia nie zawiera ani definicji prawa do przenoszenia danych, ani definicji samego przenoszenia danych. Aby zatem można było przedłożyć art. 6, należy potwierdzić usługowy charakter przenoszenia danych, które w związku z tym zostanie objęte traktatową swobodą świadczenia usług.
(5a) Połączenie tych przeszkód powoduje brak konkurencji między europejskimi dostawcami usług w chmurze, różne problemy z uzależnieniem od jednego dostawcy („vendor lock-in”) oraz poważny brak mobilności danych. Podobnie polityka dotycząca lokalizacji danych znacznie ogranicza zdolność przedsiębiorstw badawczo-rozwojowych do ułatwiania współpracy między firmami, uczelniami oraz innymi organizacjami badawczymi i pobudzania ich własnych innowacji.
(7a) Podobnie jak przedsiębiorstwa i konsumenci, również publiczne organy i podmioty państw członkowskich powinny skorzystać na większej swobodzie w zakresie wyboru dostawców usług opartych na danych, bardziej konkurencyjnych cenach i sprawniejszemu świadczeniu usług na rzecz obywateli. Ze względu na dużą ilość danych przetwarzanych przez organy i podmioty publiczne powinny one świecić przykładem, korzystając z usług w zakresie danych w Unii w odniesieniu do danych nieosobowych, oraz powstrzymać się od stosowania nieuzasadnionych ograniczeń dotyczących lokalizacji danych, gdy korzystają z usług związanych z danymi oferowanych przez podmioty prywatne.
(10) Zgodnie z rozporządzeniem (UE) 2016/679 państwa członkowskie nie mogą ograniczać ani zakazywać swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. W niniejszym rozporządzeniu ustanawia się tę samą zasadę swobodnego przepływu w Unii w odniesieniu do danych nieosobowych, z wyjątkiem sytuacji, w których ograniczenie lub zakaz byłyby uzasadnione ze względów bezpieczeństwa. Rozporządzenie (UE) 2016/679 oraz niniejsze rozporządzenie stanowią spójny zbiór przepisów, które obejmują swobodny przepływ różnych rodzajów danych. Dlatego rozporządzenie (UE) 2016/679 powinno być stosowane do części zbioru złożonej z danych osobowych, a niniejsze rozporządzenie powinno być stosowane do części zbioru złożonej z danych nieosobowych. Jeżeli dane nieosobowe i osobowe są nierozerwalnie powiązane, niniejsze rozporządzenie powinno być stosowane bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679. Ponadto rozporządzenie nie nakłada ani obowiązku rozdzielania mieszanych zbiorów danych, ani obowiązku oddzielnego przechowywania różnych rodzajów danych.
(10a) Niniejsze rozporządzenie nie powinno zatem obniżać poziomu ochrony przysługującej osobom fizycznym na mocy rozporządzenia (UE) 2016/679 i jednocześnie przedsiębiorstwa nie powinny mieć trudności z jego przestrzeganiem, a zwłaszcza nie powinno ono stać na przeszkodzie rozwojowi start-upów i MŚP. Komisja na swojej stronie internetowej powinna dostarczyć przedsiębiorstwom jasnych wytycznych na temat prawnego traktowania mieszanych zbiorów danych wraz z informacjami na temat możliwości rozdzielania mieszanych zbiorów danych. Komisja powinna ocenić zastosowanie niniejszego rozporządzenia do mieszanych zbiorów danych i w razie potrzeby zaproponować dalsze zalecenia w ramach jego przeglądu.
(12) Wymogi dotyczące lokalizacji danych stanowią niewątpliwą przeszkodę dla swobodnego świadczenia usług przetwarzania w obrębie Unii oraz dla rozwoju rynku wewnętrznego. Powinny one zatem zostać zasadniczo zakazane, chyba że są uzasadnione koniecznymi względami bezpieczeństwa publicznego w rozumieniu prawa Unii, w szczególności art. 52 Traktatu o funkcjonowaniu Unii Europejskiej, i zgodne z zasadą proporcjonalności, zapisaną w art. 5 Traktatu o Unii Europejskiej. W celu wprowadzenia w życie zasady swobodnego przepływu danych nieosobowych przez granice, zapewnienia szybkiego zniesienia istniejących wymogów dotyczących lokalizacji danych oraz umożliwienia, do celów operacyjnych, przetwarzania danych w wielu lokalizacjach na terytorium UE, a także w związku z tym, że w niniejszym rozporządzeniu określono środki służące zapewnieniu dostępności danych do celów kontroli regulacyjnej, państwa członkowskie nie powinny mieć możliwości powoływania się w uzasadnieniach na względy inne niż bezpieczeństwo publiczne. Pojęcie „bezpieczeństwa publicznego” w rozumieniu art. 52 TFUE i zgodnie z wykładnią Trybunału Sprawiedliwości obejmuje zarówno bezpieczeństwo wewnętrzne, jak i zewnętrzne danego państwa członkowskiego. Państwo członkowskie występujące o takie wyłączenie powinno wykazać, że zastosowanie tego odstępstwa jest konieczne do ochrony jego podstawowych interesów bezpieczeństwa.
(14) Ponadto, w celu wyeliminowania możliwych istniejących przeszkód, w okresie przejściowym trwającym 12 miesięcy państwa członkowskie powinny dokonać przeglądu istniejących przepisów ustawowych, wykonawczych lub administracyjnych o charakterze ogólnym, które ustanawiają wymogi dotyczące lokalizacji danych, i powiadomić Komisję o wszelkich wymogach w tym zakresie uznanych przez nie za zgodne z niniejszym rozporządzeniem, przekazując również uzasadnienie. Powiadomienia te powinny umożliwić Komisji ocenę zgodności wszelkich utrzymanych w mocy wymogów dotyczących lokalizacji danych oraz, w stosownych przypadkach, przyjmowanie opinii, w których występuje o zmianę lub uchylenie takich wymogów dotyczących lokalizacji danych, a które państwa członkowskie powinny wziąć w jak największym stopniu pod uwagę.
(15) W celu zapewnienia, by wymogi dotyczące lokalizacji danych obowiązujące w państwach członkowskich były przejrzyste dla osób fizycznych i prawnych, takich jak dostawcy i użytkownicy usług przetwarzania, państwa członkowskie powinny publikować informacje o takich środkach na stronie centralnego internetowego punktu informacyjnego, jednego na kraj, i regularnie je aktualizować. W celu należytego informowania osób fizycznych i prawnych o wymogach dotyczących lokalizacji danych na całym terytorium Unii państwa członkowskie powinny przekazać Komisji informację o adresach takich punktów internetowych. Komisja powinna publikować na swojej stronie internetowej regularnie aktualizowane informacje o tych krajowych środkach dostępne w jej językach roboczych, jak również adresy centralnych internetowych punktów kontaktowych państw członkowskich.
(21) Aby móc w pełni czerpać z korzyści, jakie płyną z konkurencji na rynku, użytkownicy profesjonalni powinni móc dokonywać świadomych wyborów i łatwo porównywać poszczególne elementy różnych oferowanych na rynku wewnętrznym usług przechowywania lub innego rodzaju przetwarzania danych, w tym umowne warunki przenoszenia danych po rozwiązaniu umowy. W celu uwzględnienia potencjału innowacyjnego rynku oraz doświadczenia i wiedzy fachowej dostawców usług raz profesjonalnych użytkowników usług przechowywania lub innego rodzaju przetwarzania danych, uczestnicy rynku powinni opracować szczegółowe informacje i wymagania operacyjne dotyczące przenoszenia danych – w ramach samoregulacji wspieranej i ułatwianej przez Komisję – w formie unijnych kodeksów postępowania, co może obejmować określenie wzorca warunków umownych. Przedmiotowe kodeksy postępowania powinny stanowić, że uzależnienie od jednego dostawcy nie jest dopuszczalną praktyką biznesową, powinny wykorzystywać otwarte standardy i otwarte specyfikacje, a także przewidywać stosowanie technologii zwiększających zaufanie, takich jak szyfrowanie. Komisja powinna zachęcać do konsultacji ze wszystkimi zainteresowanymi stronami – takimi jak użytkownicy chmury i dostawcy, bez względu na ich wielkość, również start-upy i MŚP – podczas opracowywania kodeksu postępowania w ramach samoregulacji. Jeżeli jednak takie kodeksy postępowania nie zostaną opracowane i skutecznie wdrożone w określonym czasie, Komisja powinna dokonać przeglądu sytuacji i ocenić potrzebę przedstawienia wniosków ustawodawczych, aby skutecznie ograniczyć liczbę przeszkód dla przenoszenia danych.
(21a) Jeżeli realizowane jest przetwarzania danych, użytkownikom profesjonalnym należy również umożliwić otrzymywanie danych w sposób uporządkowany, w powszechnie używanym, nadającym się do odczytu maszynowego i interoperacyjnym formacie oraz ich przesyłanie lub zlecanie ich przesyłania bezpośrednio z jednego przetwarzania danych do drugiego lub do usługi przetwarzania. Dostawców usług należy zachęcać do opracowywania interoperacyjnych formatów, wykorzystywania otwartych standardów i otwartych specyfikacji, które pozwalają przenosić dane.
(23) W celu zapewnienia skutecznego stosowania procedury udzielania sobie nawzajem pomocy przez właściwe organy państw członkowskich Komisja może przyjmować akty wykonawcze określające standardowe formularze wniosków, ich języki, terminy lub inne szczegóły procedur wnioskowania o udzielenie pomocy. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/201140.
(23) W celu zapewnienia skutecznego stosowania procedury udzielania sobie nawzajem pomocy przez właściwe organy państw członkowskich Komisja może przyjmować akty wykonawcze określające standardowe formularze wniosków, ich formaty i kanały przekazywania, języki, terminy lub inne szczegóły procedur wnioskowania o udzielenie pomocy. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/201140.
40 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 182/2011 z dnia 16 lutego 2011 r. ustanawiające przepisy i zasady ogólne dotyczące trybu kontroli przez państwa członkowskie wykonywania uprawnień wykonawczych przez Komisję (Dz.U. L 55 z 28.2.2011, s. 13).
(24) Zwiększenie zaufania do bezpieczeństwa transgranicznego przechowywania lub innego rodzaju przetwarzania danych powinno zmniejszyć skłonność uczestników rynku i podmiotów sektora publicznego do traktowania lokalizacji danych jako zastępczej gwarancji bezpieczeństwa danych. Powinno to również zapewnić przedsiębiorstwom większą pewność prawa co do wymogów w zakresie bezpieczeństwa mających zastosowanie do zlecania przechowywania lub innych czynności przetwarzania danych w ramach outsourcingu, w tym dostawcom usług z innych państw członkowskich.
(24) Zwiększenie zaufania do bezpieczeństwa transgranicznego przetwarzania powinno zmniejszyć skłonność uczestników rynku i podmiotów sektora publicznego do traktowania lokalizacji danych jako zastępczej gwarancji bezpieczeństwa danych. Powinno to również zapewnić przedsiębiorstwom większą pewność prawa co do wymogów w zakresie bezpieczeństwa mających zastosowanie do zlecania czynności przetwarzania w ramach outsourcingu, w tym dostawcom usług z innych państw członkowskich, a także uwzględnić obecny szybki rozwój nowych technologii, tak aby bezzwłocznie się do nich dostosowywać. W tym celu państwa członkowskie powinny unikać ingerującego ustawodawstwa, które podważałoby bezpieczeństwo, integralność lub autentyczność danych, a dostawcy usług powinni stosować najnowsze dostępne technologie, aby wdrażać strategie i praktyki uwzględniające bezpieczeństwo i prywatność już na etapie projektowania. Należy również zapewnić łatwość zmiany dostawców i możliwość przenoszenia danych, które też są czynnikami zwiększającymi zaufanie.
Wskazuje się na zaufanie jako największą przeszkodę pozaprawną dla stosowania usług w chmurze. Zatem budowanie zaufania musi być celem tego tekstu.
(29) Niniejsze rozporządzenie nie narusza praw podstawowych i jest zgodne z zasadami uznanymi w szczególności w Karcie praw podstawowych Unii Europejskiej, a zatem powinno być interpretowane i stosowane zgodnie z tymi prawami i zasadami, w tym prawem do ochrony danych osobowych (art. 8), wolnością prowadzenia działalności gospodarczej (art. 16) oraz wolnością wypowiedzi i informacji (art. 11).
(29) Niniejsze rozporządzenie powinno pozostawać bez uszczerbku dla innych obowiązujących przepisów dotyczących przetwarzania danych, nie narusza ono również praw podstawowych i jest zgodne z zasadami uznanymi w szczególności w Karcie praw podstawowych Unii Europejskiej, a zatem powinno być interpretowane i stosowane zgodnie z tymi prawami i zasadami, w tym prawem do ochrony danych osobowych (art. 8), wolnością prowadzenia działalności gospodarczej (art. 16) oraz wolnością wypowiedzi i informacji (art. 11).
Aby uniknąć ustanawiania hierarchii aktów prawnych i poprawić egzekwowanie praw podstawowych, potrzebna jest ścisła wykładnia.
a) świadczone jako usługa na rzecz użytkowników mających miejsce zamieszkania lub siedzibę w Unii, niezależnie od tego, czy dostawca usługi ma swoją siedzibę w Unii czy poza nią; lub
a) świadczone jako usługa na rzecz użytkowników mających miejsce zamieszkania lub siedzibę w Unii, bez względu na to, czy są to podmioty prywatne czy publiczno-prywatne, czy też organy publiczne i niezależnie od tego, czy dostawca usługi ma swoją siedzibę w Unii czy poza nią; lub
1a. W przypadku mieszanych zbiorów danych rozporządzenie (UE) 2016/679 powinno być stosowane do części zbioru złożonej z danych osobowych, a niniejsze rozporządzenie powinno być stosowane do części zbioru złożonej z danych nieosobowych. Jeżeli dane nieosobowe i osobowe są nierozerwalnie powiązane, zastosowanie ma niniejsze rozporządzenie, bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679.
2. „przechowywanie danych” oznacza jakiekolwiek przechowywanie danych w formie elektronicznej;
2. „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych lub zbiorach danych w formie elektronicznej w sposób zautomatyzowany lub niezautomatyzowany, takie jak gromadzenie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
(Niniejsza poprawka odnosi się do całego tekstu. Jej przyjęcie będzie wymagało wprowadzenia odpowiednich zmian w całym dokumencie).
4. „dostawca” oznacza osobę fizyczną lub prawną świadczącą usługi przechowywania lub innego rodzaju przetwarzania danych;
4. „dostawca” oznacza osobę fizyczną lub prawną świadczącą usługi przetwarzania;
5. „wymóg dotyczący lokalizacji danych” oznacza każdy obowiązek, zakaz, warunek, ograniczenie lub innego rodzaju wymóg określony w przepisach ustawowych, wykonawczych lub administracyjnych państw członkowskich, który narzuca lokalizację przechowywania lub innego rodzaju przetwarzania danych na terytorium danego państwa członkowskiego lub utrudnia przechowywanie lub innego rodzaju przetwarzanie danych w innym państwie członkowskim;
5. „wymóg dotyczący lokalizacji danych” oznacza każdy obowiązek, zakaz, warunek, ograniczenie lub innego rodzaju wymóg określony w przepisach ustawowych, wykonawczych lub administracyjnych bądź w praktykach państw członkowskich, także w zakresie udzielania zamówień publicznych, i wprowadzony przez władze lokalne, centralne lub regionalne bądź podmioty publiczne, który nakłada obowiązek lokalizacji przetwarzania na terytorium danego państwa członkowskiego lub utrudnia przechowywanie lub innego rodzaju przetwarzanie danych w innym państwie członkowskim;
6. „właściwy organ” oznacza organ państwa członkowskiego uprawniony do uzyskania dostępu do danych przechowywanych lub przetwarzanych przez osobę fizyczną lub prawną, do celów wykonywania swoich obowiązków urzędowych, jak przewidziano w prawie krajowym lub prawie Unii;
6. „właściwy organ” oznacza organ państwa członkowskiego uprawniony do uzyskania dostępu do danych przetwarzanych przez osobę fizyczną lub prawną, do celów wykonywania swoich obowiązków urzędowych, jak przewidziano w prawie krajowym lub prawie Unii;
7. „użytkownik” oznacza osobę fizyczną lub prawną korzystającą lub pragnącą skorzystać z usługi przechowywania lub innego rodzaju przetwarzania danych;
7. „użytkownik” oznacza osobę fizyczną lub prawną korzystającą lub pragnącą skorzystać z usługi przetwarzania danych;
1. Nakładanie wymogów w zakresie lokalizacji danych jest zakazane, chyba że jest uzasadnione ze względu na udokumentowane poważne zagrożenie bezpieczeństwa publicznego i stanowi odpowiedni i proporcjonalny środek.
3. W terminie 12 miesięcy po rozpoczęciu stosowania niniejszego rozporządzenia państwa członkowskie zapewniają uchylenie wszelkich wymogów dotyczących lokalizacji danych, które nie są zgodne z ust. 1. Jeżeli przed upływem tego okresu państwo członkowskie uzna, że wymóg dotyczący lokalizacji danych jest zgodny z ust. 1 i może w związku z tym zostać utrzymany w mocy, powiadamia o tym środku Komisję, przedkładając również uzasadnienie utrzymania go w mocy.
3a. Bez uszczerbku dla art. 258 TFUE Komisja, w terminie trzech miesięcy od daty otrzymania takiego powiadomienia, bada zgodność tego środka z ust. 1 niniejszego artykułu i w stosownym przypadku przyjmuje opinię, w której wzywa dane państwo członkowskie do zmiany lub uchylenia tego środka.
5. Państwa członkowskie przekazują Komisji informację o adresie ich centralnego punktu informacyjnego, o którym mowa w ust. 4. Komisja publikuje na swojej stronie internetowej regularnie aktualizowane informacje w jej językach roboczych na temat krajowych środków określonych w ust. 2 i 3, jak również adresy centralnych internetowych punktów kontaktowych państw członkowskich.
5a. Komisja publikuje na swojej stronie internetowej wytyczne dla dostawców i użytkowników usług przetwarzania danych na temat stosowania niniejszego rozporządzenia, w tym informacje o prawnym traktowaniu różnych rodzajów zbiorów danych.
1. Komisja wspiera i ułatwia opracowywanie w ramach samoregulacji kodeksów postępowania na szczeblu Unii w oparciu o zasadę interoperacyjności, w celu określenia wytycznych obejmujących następujące aspekty:
-a) najlepsze praktyki w zakresie ułatwiania zmiany dostawcy i przenoszeniu danych przy wykorzystaniu ustrukturyzowanych, powszechnie używanych otwartych standardów i formatu nadającego się do odczytu maszynowego, tak aby pozostawić użytkownikowi wystarczająco dużo czasu na zmianę dostawcy lub przeniesienie danych; oraz
a) minimalne wymogi informacyjne mające na celu zapewnienie użytkownikom profesjonalnym, przed zawarciem umowy o przetwarzanie danych, wystarczająco dokładnych, jasnych i przejrzystych informacji na temat następujących kwestii: procesy, wymagania techniczne, ramy czasowe i opłaty, które mają zastosowanie w przypadku gdy użytkownik profesjonalny chce zmienić dostawcę na innego lub przenieść dane z powrotem do własnych systemów informatycznych, w tym procesy tworzenia kopii zapasowych danych i lokalizacja takich kopii, dostępne formaty i nośniki danych, wymagana konfiguracja systemów informatycznych i minimalna szerokość pasma sieciowego; czas wymagany przed rozpoczęciem procesu przenoszenia danych i okres, przez który dane będą nadal dostępne do celów ich przeniesienia; a także gwarancje dostępu do danych w przypadku upadłości dostawcy; oraz
aa) systemy certyfikacji w zakresie produktów i usług związanych z przetwarzaniem danych, ułatwiające porównywanie jakości tych produktów i usług, w tym zarządzanie jakością, zarządzanie bezpieczeństwem informacji, zarządzanie ciągłością działania i zarządzanie środowiskowe;
Artykuł 6 – ustęp 3 – akapit 1 a (nowy)
Jeżeli samoregulacyjny kodeks postępowania nie zmniejszył liczby istniejących przeszkód dla przenoszenia danych, w stosownych przypadkach po przeglądzie przedstawia się wniosek ustawodawczy.
3a. Jeżeli takie kodeksy postępowania nie zostaną opracowane i skutecznie wdrożone w określonym czasie lub jeżeli po odpowiednio przeprowadzonym przeglądzie pojawią się powody do obaw, Komisja może przyjąć akty wykonawcze, by ustanowić minimalne wytyczne. Wspomniane akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 8.
Choć zachęca się do samoregulacji, w pokonaniu przeszkód, które mogą się pojawić w procesie sporządzania kodeksów, może pomóc zaangażowanie Komisji.
6. Komisja może przyjmować akty wykonawcze określające standardowe formularze wniosków, ich języki, terminy lub inne szczegóły procedur wnioskowania o udzielenie pomocy. Takie akty wykonawcze przyjmuje się zgodnie z procedurą, o której mowa w art. 8.
6. Komisja może przyjmować akty wykonawcze określające standardowe formularze wniosków, ich formaty i kanały przekazywania, języki, terminy lub inne szczegóły procedur wnioskowania o udzielenie pomocy. Wspomniane akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 8.
6a. Centralny punkt kontaktowy zapewnia też użytkownikom profesjonalnym oraz społeczeństwu ogólne informacje o obowiązkach przewidzianych w niniejszej dyrektywie, a także o wszelkich kodeksach postępowania opracowywanych zgodnie z art. 6.
Centralny punkt kontaktowy został pomyślany głównie jako pomoc dla administracji państw członkowskich, lecz mógłby on jeszcze rozwinąć swoje funkcje, stając się punktem kontaktowym dla ogółu obywateli i szeroko rozumianej społeczności przedsiębiorców.
Ostatnia aktualizacja: 21 czerwca 2018 Zastrzeżenia prawne - Polityka ochrony prywatności

References: art. 294
 art. 114
 art. 52
 art. 5
 art. 52
 art. 5
 art. 52
 art. 5
 art. 258
 art. 7
 art. 7
 art.7
 art. 6
 art. 10
 art. 4
 art. 6
 art. 3
 art. 26
 art. 6
 art. 6
 art. 52
 art. 5
 art. 52
 art. 258
 art. 8
 art. 8
 art. 8
 art. 6