EU Data Act: pristup podacima po dizajnu i kraj zaključavanja u cloud

Data Act je najtiša od aktuelnih EU uredbi i jedna od najstrukturnijih. Ne dodaje baner na vaš sajt ni oznaku na proizvod. Menja kome pripadaju podaci koje vaši proizvodi generišu i pretvara promenu cloud provajdera u pravo umesto u komercijalnu pregovaračku temu.

Uredba (EU) 2023/2854 primenjuje se od 12. septembra 2025. Obaveza koja zahteva stvarnu inženjeriju, projektovanje proizvoda za pristup podacima, primenjuje se od 12. septembra 2026. Zabrana naplate promene cloud provajdera zaokružuje se 12. januara 2027.

Ako gradite povezane proizvode ili vodite uslugu obrade podataka, ovo je na vašoj mapi puta, bilo da tamo piše ili ne.

Dve uredbe u jednoj

Data Act radi dve prilično različite stvari i pomaže da se posmatraju odvojeno.

Prvi deo daje korisnicima povezanih proizvoda pravo na podatke koje ti proizvodi generišu i pravo da ih podele sa trećom stranom po svom izboru.

Drugi deo obavezuje pružaoce usluga obrade podataka, dakle cloud i edge usluge, da promena ka konkurentu bude praktična i vremenom besplatna.

Oba ciljaju isti problem: podaci koje generišu korisnici završe zaključani kod pružaoca koji ih je prikupio.

Povezani proizvodi: pristup podacima podrazumevano

Povezan proizvod je svaki fizički predmet koji dobija, generiše ili prikuplja podatke o svojoj upotrebi ili okruženju i može ih preneti. To je namerno široko. Vozila, industrijske mašine, poljoprivredna oprema, medicinska sredstva, kućni aparati, nosivi uređaji, pametna brojila, sistemi zgrada i potrošačka elektronika sve to spada.

Povezana usluga je softver koji čini da proizvod radi kako je predviđeno i u opsegu je uz hardver.

Šta korisnici dobijaju

Korisnici imaju pravo pristupa podacima proizvoda i podacima povezane usluge generisanim njihovom upotrebom, lako, bezbedno, besplatno, u sveobuhvatnom, strukturiranom, uobičajenom i mašinski čitljivom formatu. Gde je tehnički izvodljivo, taj pristup treba da bude direktan i neprekidan, a ne periodičan izvoz.

Mogu i zahtevati da imalac podataka podeli podatke sa trećom stranom koju odrede. Ta strana može biti usluga konkurenta, servis za popravku, osiguravač ili pružalac analitike. Imalac podataka to ne sme blokirati ugovornim odredbama, niti koristiti podeljene podatke da konkuriše korisniku.

Šta se menja 12. septembra 2026

Od tog datuma povezani proizvodi stavljeni na tržište i njihove povezane usluge moraju biti projektovani i proizvedeni tako da podaci proizvoda i povezane usluge budu podrazumevano dostupni korisniku, a gde je relevantno i tehnički izvodljivo, direktno.

Ta reč „projektovani" čini ovo inženjerskim, a ne pravnim rokom. Obavezu projektovanja ne zadovoljava proces podrške. Mora biti u proizvodu.

Kako to izgleda kao posao

Za većinu timova praznina nije u API-ju, nego u svemu ispod.

Model podataka. Morate razdvojiti podatke generisane korisnikovom upotrebom proizvoda od onih koje izvodite, obogaćujete ili zaključujete. Korisnici imaju pravo na prve. Ta razlika često ne postoji u sadašnjim šemama, gde telemetrija, izvedene metrike i interna analitika žive u istim tabelama.

Interfejsi pristupa. Pravi API sa autentikacijom, autorizacijom, straničenjem i ograničenjem brzine, plus samouslužna putanja za netehničke korisnike. CSV poslat imejlom na zahtev ne ispunjava „lako i, gde je relevantno i tehnički izvodljivo, direktno".

Delegiranje trećoj strani. Korisnik može odrediti primaoca. To znači model pristanka i autorizacije u kome korisnik daje ograničen pristup strani sa kojom nemate odnos i može ga opozvati. Ako vaša platforma ne poznaje pojam delegiranog pristupa, to je najveći deo posla.

Postupanje sa poslovnim tajnama. Uredba pokušava da izbalansira pristup podacima i zaštitu poslovnih tajni. Možete tražiti srazmerne mere za očuvanje poverljivosti, a u uskim okolnostima odbiti ili obustaviti deljenje. To mora biti dokumentovan, branjiv stav, a ne opšte odbijanje, i vredi rano uključiti pravnike.

Predugovorna informacija. Pre prodaje morate reći kupcu koje podatke proizvod generiše, kako im se pristupa, da li je to neprekidno i u realnom vremenu i da li nameravate sami da ih koristite. To je sadržaj za stranicu proizvoda i dokumentaciju i pripada istom pregledu kao obaveze informisanja o proizvodu koje stižu u septembru 2026.

Promena cloud provajdera: kraj zaključavanja

Druga polovina Data Act-a cilja usluge obrade podataka, što obuhvata IaaS, PaaS i SaaS.

Pružaoci moraju:

• Ukloniti komercijalne, tehničke, ugovorne i organizacione prepreke promeni.
• Završiti promenu u maksimalnom prelaznom periodu, uglavnom 30 dana posle otkaznog roka do dva meseca, produživom gde je tehnički neizvodljivo.
• Podržati izvoz svih izvozivih podataka i digitalnih sredstava u strukturiranom, uobičajenom i mašinski čitljivom formatu.
• Obezbediti otvorene interfejse, a za infrastrukturne usluge funkcionalnu ekvivalentnost posle promene.
• Ponuditi minimalni period preuzimanja od 30 dana posle raskida.

Što se naknada tiče, troškovi promene smanjeni su od datuma primene i potpuno se ukidaju od 12. januara 2027. Posle tog datuma pružalac ne sme naplatiti ništa za proces promene.

Ugovorni uslovi to moraju odražavati, uključujući postupak promene, prelazni period, iscrpnu listu izvozivih kategorija podataka i ponuđenu pomoć.

Ako kupujete cloud usluge

Ovo je stvarna poluga, a većina kupaca je ne koristi.

Pri sledećoj obnovi tražite klauzulu o promeni, kategorije izvozivih podataka i obaveze pomoći pri izlasku. Imate pravo na njih. Ako je odgovor maglovit, to je informacija o tome koliko bi izlazak zaista bio težak.

Vredi i uraditi test izvoza umesto verovanja stranici dokumentacije. Izvezite sve, pokušajte da to razumete i vidite da li bi zaista rekonstruisalo vašu uslugu negde drugde. Razmak između onoga što pružalac naziva izvozivim i onoga što je upotrebljivo obično je mesto gde zaključavanje živi.

Ako prodajete cloud usluge

Treba vam klauzula o promeni u ugovorima, dokumentovan postupak promene, mehanizam izvoza koji daje nešto zaista upotrebljivo i plan za tačku nulte naknade iz januara 2027. ako danas naplaćujete odlazni saobraćaj ili izlazne naknade.

Cena odlaznog saobraćaja zaslužuje posebnu pažnju. Naplata prenosa podataka ka spolja dugogodišnja je industrijska praksa, a razlika između običnih naknada za odlazni saobraćaj i naknada za promenu je ona u koju će regulatori gledati.

Pristup javnog sektora i B2B uslovi

Dva manja dela koja vredi znati.

Uredba daje javnim telima pravo da traže podatke od privatnih kompanija u slučajevima izuzetne potrebe, prvenstveno u javnim vanrednim situacijama. To je usko, ali ako držite podatke od javnog značaja, treba da znate da postupak postoji.

Uvodi i test nepravičnosti za ugovorne odredbe o pristupu podacima i njihovoj upotrebi nametnute jednostrano drugom preduzeću. Odredba koja grubo odstupa od dobre poslovne prakse ne obavezuje. To je korisna kočnica za odredbe o podacima po principu uzmi ili ostavi u ugovorima sa dobavljačima.

Šta bismo sada uradili

Ako pravite povezane proizvode, datum iz septembra 2026. trebalo bi da je već u planu sprinta. Obaveza projektovanja odnosi se na proizvode stavljene na tržište od tog datuma, pa je sve što je u razvoju u opsegu. Počnite od razdvajanja u modelu podataka, jer sve ostalo od toga zavisi.

Ako vodite uslugu obrade podataka, pregledajte ugovore, alate za izvoz i strukturu naknada. Tačka nulte naknade iz januara 2027. nije daleko, a posledice po prihod traže odluku na nivou uprave, a ne inženjerije.

Ako kupujete cloud usluge, iskoristite polugu pri obnovi i testirajte putanju izvoza. To košta jedan dan i govori vam nešto vredno o vašem stvarnom riziku.

Svi ostali ipak treba da provere opseg. Definicija povezanog proizvoda šira je nego što izraz sugeriše, a kompanije koje sebe smatraju softverskim ponekad isporučuju hardver, a da to interno nije zabeleženo.

Šira slika

Data Act je deo skupa pravila koja zajedno prekrajaju pretpostavke na kojima stoji evropski softver. Vodič kroz EU digitalnu usklađenost 2026 mapira celu površinu, uključujući rokove koji stižu uporedo sa ovim.

Postoji stvarno preklapanje za iskorišćavanje. API-ji za pristup podacima građeni za Data Act dele infrastrukturu sa zahtevima za prenosivost podataka po GDPR-u. Popisi komponenti građeni za Cyber Resilience Act govore vam gde podaci proizvoda zaista žive. Graditi to kao jednu platformsku sposobnost umesto tri projekta razlika je između kvartala i godine.

Projektujemo i gradimo platforme podataka, API-je i cloud infrastrukturu za kompanije koje posluju u Evropi, uključujući mašineriju delegiranog pristupa i izvoza koju ova uredba pretpostavlja. Ako želite pomoć u proceni šta obaveza projektovanja iz septembra 2026. znači za konkretan proizvod, pišite na office@c9group.dev ili pročitajte više o našem radu sa AWS infrastrukturom i ulaskom na evropsko tržište.

Gradimo sisteme umesto da dajemo pravne savete. Opseg i stavovi o poslovnim tajnama pripadaju vašim pravnicima.