Data Act на ЕУ: пристап до податоци по дизајн и крај на заклучувањето во облакот

Data Act е најтивката од актуелните уредби на ЕУ и една од најструктурните. Не додава банер на вашиот сајт ниту ознака на вашиот производ. Менува кому му припаѓаат податоците што ги генерираат вашите производи и промената на cloud провајдер ја претвора во право наместо во комерцијално преговарање.

Уредбата (ЕУ) 2023/2854 се применува од 12 септември 2025. Обврската што бара вистинско инженерство, односно проектирање производи за пристап до податоци, се применува од 12 септември 2026. Забраната за наплата на промена на cloud провајдер се заокружува на 12 јануари 2027.

Ако градите поврзани производи или водите услуга за обработка податоци, ова е на вашиот патоказ, без разлика дали таму пишува или не.

Две уредби во една

Data Act прави две прилично различни работи и помага да се разгледуваат одделно.

Првиот дел им дава на корисниците на поврзани производи право на податоците што тие производи ги генерираат и право да ги споделат со трето лице по свој избор.

Вториот дел ги обврзува давателите на услуги за обработка податоци, односно cloud и edge услуги, промената кон конкурент да биде практична и со време бесплатна.

Двата дела целат кон истиот проблем: податоците што ги генерираат корисниците завршуваат заклучени кај давателот што ги собрал.

Поврзани производи: пристап до податоци стандардно

Поврзан производ е секој физички предмет што добива, генерира или собира податоци за својата употреба или околина и може да ги пренесе. Тоа е намерно широко. Возила, индустриски машини, земјоделска опрема, медицински средства, домашни апарати, носливи уреди, паметни броила, системи за згради и потрошувачка електроника сите спаѓаат таму.

Поврзана услуга е софтвер што прави производот да работи како што е предвидено и е во опсег заедно со хардверот.

Што добиваат корисниците

Корисниците имаат право на пристап до податоците на производот и податоците на поврзаната услуга генерирани со нивната употреба, лесно, безбедно, бесплатно, во сеопфатен, структуриран, вообичаен и машински читлив формат. Каде што е технички изводливо, тој пристап треба да биде директен и непрекинат, а не периодичен извоз.

Можат и да бараат имателот на податоците да ги сподели со трето лице што ќе го определат. Тоа лице може да биде услуга на конкурент, сервис за поправка, осигурител или давател на аналитика. Имателот на податоците не смее да го блокира тоа со договорни одредби ниту да ги користи споделените податоци за да му конкурира на корисникот.

Што се менува на 12 септември 2026

Од тој датум поврзаните производи ставени на пазар и нивните поврзани услуги мора да бидат проектирани и произведени така што податоците на производот и поврзаната услуга да бидат стандардно достапни за корисникот и, каде што е релевантно и технички изводливо, директно.

Тој збор „проектирани" го прави ова инженерски, а не правен рок. Обврската за проектирање не ја задоволува процес за поддршка. Мора да е во производот.

Како изгледа тоа како работа

Кај повеќето тимови празнината не е во API, туку во сè под него.

Модел на податоци. Мора да ги разграничите податоците генерирани со корисничката употреба на производот од оние што ги изведувате, збогатувате или заклучувате. Корисниците имаат право на првите. Таа разлика во сегашните шеми често не постои, каде телеметријата, изведените метрики и внатрешната аналитика живеат во истите табели.

Интерфејси за пристап. Вистински API со автентикација, авторизација, страничење и ограничување на брзина, плус самопослужна патека за нетехнички корисници. CSV испратен по имејл на барање не го задоволува „лесно и, каде што е релевантно и технички изводливо, директно".

Делегирање на трето лице. Корисникот може да определи примач. Тоа бара модел на согласност и авторизација во кој корисникот дава ограничен пристап на страна со која немате однос и може да го отповика. Ако вашата платформа не го познава поимот делегиран пристап, тоа е најголемиот дел работа.

Постапување со деловни тајни. Уредбата се обидува да ги балансира пристапот до податоци и заштитата на деловните тајни. Можете да барате пропорционални мерки за зачувување доверливост, а во тесни околности да одбиете или да го прекинете споделувањето. Тоа мора да биде документиран, бранлив став, а не општо одбивање, и вреди правниците да се вклучат рано.

Преддоговорна информација. Пред продажба мора да му кажете на купувачот кои податоци ги генерира производот, како се пристапува до нив, дали е тоа непрекинато и во реално време и дали самите имате намера да ги користите. Тоа е содржина за страницата на производот и документацијата и припаѓа во истиот преглед како обврските за информирање за производ што стигнуваат во септември 2026.

Промена на cloud провајдер: крај на заклучувањето

Втората половина на Data Act ги цели услугите за обработка податоци, што опфаќа IaaS, PaaS и SaaS.

Давателите мора:

• Да ги отстранат комерцијалните, техничките, договорните и организациските пречки за промена.
• Да ја завршат промената во максимален преоден период, обично 30 дена по отказен рок до два месеца, продолжив каде што е технички неизводливо.
• Да го поддржат извозот на сите извозливи податоци и дигитални средства во структуриран, вообичаен и машински читлив формат.
• Да обезбедат отворени интерфејси, а за инфраструктурни услуги функционална еквивалентност по промената.
• Да понудат минимален период за преземање од 30 дена по престанокот.

Што се однесува до надоместоците, трошоците за промена се намалени од датумот на примена и целосно се укинуваат од 12 јануари 2027. По тој датум давателот не смее да наплати ништо за процесот на промена.

Договорните услови мора тоа да го одразуваат, вклучувајќи ја постапката за промена, преодниот период, исцрпниот список на извозливи категории податоци и понудената помош.

Ако купувате cloud услуги

Ова е вистинска полуга, а повеќето купувачи не ја користат.

При следната обнова побарајте ја клаузулата за промена, категориите извозливи податоци и обврските за помош при излез. Имате право на нив. Ако одговорот е магловит, тоа е информација колку тежок би бил всушност излезот.

Вреди и да направите тест на извоз наместо да верувате на страница со документација. Извезете сè, обидете се да го разберете и видете дали навистина би ја реконструирало вашата услуга на друго место. Растојанието меѓу она што давателот го нарекува извозливо и она што е употребливо обично е местото каде живее заклучувањето.

Ако продавате cloud услуги

Ви треба клаузула за промена во договорите, документирана постапка за промена, механизам за извоз што дава нешто навистина употребливо и план за точката на нулти надомест од јануари 2027, ако денес наплаќате излезен сообраќај или излезни надоместоци.

Цената на излезниот сообраќај заслужува посебно внимание. Наплатата на пренос податоци нанадвор е долгогодишна индустриска практика, а разликата меѓу обичните надоместоци за излезен сообраќај и надоместоците за промена е онаа во која регулаторите ќе гледаат.

Пристап на јавниот сектор и B2B услови

Два помали дела што вреди да се знаат.

Уредбата им дава на јавните тела право да бараат податоци од приватни компании во случаи на исклучителна потреба, првенствено при јавни вонредни состојби. Тоа е тесно, но ако држите податоци од јавно значење, треба да знаете дека постапката постои.

Воведува и тест на неправичност за договорни одредби за пристап до податоци и нивна употреба наметнати еднострано на друго претпријатие. Одредба што грубо отстапува од добрата деловна практика не обврзува. Тоа е корисна кочница за одредбите за податоци од типот земи или остави во договорите со добавувачи.

Што би направиле сега

Ако правите поврзани производи, датумот од септември 2026 треба веќе да е во план за спринт. Обврската за проектирање се однесува на производи ставени на пазар од тој датум, па сè што е во развој е опфатено. Почнете од раздвојувањето во моделот на податоци, бидејќи сè друго зависи од тоа.

Ако водите услуга за обработка податоци, прегледајте ги договорите, алатките за извоз и структурата на надоместоци. Точката на нулти надомест од јануари 2027 не е далеку, а последиците по приходот бараат одлука на ниво на управа, а не на инженерство.

Ако купувате cloud услуги, искористете ја полугата при обновата и тестирајте ја патеката за извоз. Тоа чини еден ден и ви кажува нешто вредно за вашиот вистински ризик.

Сите други сепак треба да го проверат опсегот. Дефиницијата на поврзан производ е поширока отколку што изразот сугерира, а компаниите што се сметаат за софтверски понекогаш испорачуваат хардвер без тоа внатрешно да е забележано.

Пошироката слика

Data Act е дел од сет правила што заедно ги преобликуваат претпоставките врз кои стои европскиот софтвер. Водичот за дигитална усогласеност со ЕУ 2026 ја мапира целата површина, вклучувајќи ги роковите што пристигнуваат покрај овој.

Постои вистинско преклопување за искористување. API за пристап до податоци градени за Data Act делат инфраструктура со барањата за преносливост на податоци според GDPR. Пописите на компоненти градени за Cyber Resilience Act ви кажуваат каде навистина живеат податоците за производот. Да се изгради тоа како една платформска способност наместо три проекти е разликата меѓу квартал и година.

Проектираме и градиме платформи за податоци, API и cloud инфраструктура за компании што работат во Европа, вклучувајќи ја машинеријата за делегиран пристап и извоз што оваа уредба ја претпоставува. Ако сакате помош во проценката што значи обврската за проектирање од септември 2026 за конкретен производ, пишете на office@c9group.dev или прочитајте повеќе за нашата работа со AWS инфраструктура и влез на европскиот пазар.

Градиме системи наместо да даваме правни совети. Опсегот и ставовите за деловните тајни им припаѓаат на вашите правници.