Dataforordningen er nu trådt i kraft – hvad betyder de nye regler for dig?

Kort overblik over dataforordningens regulering

Kort fortalt skal dataforordningen give både private og virksomheder mere kontrol over data. Den fastsætter regler for, hvordan data fra smart produkter og tjenester kan bruges, tilgås og deles. Forordningen regulerer f.eks.:

• Adgang til og deling af data genereret af produkter og relaterede tjenester
• Producenter og tjenesteudbyderes pligt til at stille data til rådighed for brugere og tredjeparter i et brugbart format
• Brugeres mulighed for effektivt at skifte mellem databehandlingstjenester
• Krav til indhold og rimelighed af aftaler mellem dataindehavere, brugere mv.
• Oplysningspligt for sælgere, udlejere og leasinggivere af forbundne produkter og udbydere af relaterede tjenester og databehandlingstjenester
• Internationale dataoverførsler

Dataforordningen og databeskyttelsesforordningen

Der er mange ligheder mellem de krav, som følger af hhv. dataforordningen og databeskyttelsesforordningen (GDPR). Der er imidlertid tale om to forskellige regelsæt, der supplerer hinanden. Den afgørende forskel er, at mens databeskyttelsesforordningen bl.a. giver de registrerede større kontrol over behandlingen af personoplysninger om disse, giver dataforordningen brugere (både privatpersoner og virksomheder) bedre adgang til og kontrol over data, der ikke nødvendigvis har karakter af personoplysninger. 

Brugeres adgang til data fra forbundne produkter og relaterede tjenester

Dataforordningen fastsætter regler vedrørende data, der genereres ved brug af forbundne produkter (produktdata) og relaterede tjenester (relaterede tjenestedata), samt relevante metadata. 

”Forbundne produkter” er fysiske genstande, der opnår, genererer eller indsamler data vedrørende anvendelsen af produktet, og som kan videreformidle disse data, f.eks. via internettet (”internet of things”/”IoT”). Eksempler herpå er smartphones eller vaskemaskiner med bluetooth-forbindelse, hvor de relevante data f.eks. kan vedrøre produktets strømforbrug mv. 

Digitale tjenester, der har forbindelse til forbundne produkter, betegnes ”relaterede tjenester”. Som eksempel kan nævnes en app, hvorfra et forbundet produkt styres – det kan f.eks. være en app, der styrer lyset i en smart pære. ”Relaterede tjenestedata” er data, der vedrører brugerhandlinger eller -begivenheder relateret til det forbundne produkt. Det kan f.eks. være data om, hvornår produktet er indstillet til at slukke.

Dataforordningen fastsætter bl.a., at brugere skal kunne få adgang til og mulighed for at anvende sådanne data. Disse data skal stilles til rådighed for brugeren – og/eller en tredjepart udpeget af brugeren – enten direkte (brugeren kan selv tilgå dataene) eller indirekte (dataene stilles til rådighed på anmodning).

Derudover indeholder dataforordningen en række krav til, hvordan data skal gøres tilgængelige, herunder at dette skal ske i et almindeligt anvendt format. Hvis data alene stilles til rådighed indirekte, stilles der også krav til, hvor hurtigt data skal udleveres, hvilket kræver, at procedurer og tekniske foranstaltninger er på plads. 

Brugeres mulighed for effektivt at skifte mellem databehandlingstjenester

Dataforordningen stiller en række krav til udbydere af databehandlingstjenester (f.eks. cloudtjenester), der har til formål at forhindre såkaldt ”vendor lock-in”, hvor brugerne reelt ikke har mulighed for at skifte udbyder eller tjeneste. Derfor følger det af forordningen, at sådanne udbydere skal sikre, at brugerne kan skifte databehandlingstjeneste, herunder til en anden udbyder, og at de skal fjerne eventuelle hindringer for, at brugerne kan skifte udbyder og/eller tjeneste.

Derudover kan udbyderne kun i begrænset omfang opkræve gebyrer forbundet med sådanne skift, og fra den 12. januar 2027 må udbydere ikke længere opkræve skiftegebyrer.

Dataforordningen stiller også indholdsmæssige krav til aftaler mellem udbydere og brugere, herunder vedrørende adgang til at skifte udbyder/tjeneste, opsigelsesadgang og overgangsperiode for sådanne skift, der skal sikre, at udbydere heller ikke kontraktuelt afskærer brugerne fra sådanne skift.

Kommissionens standardvilkår

Kommissionen har udarbejdet standardaftalevilkår, der kan anvendes til at regulere dataadgang og dataanvendelse samt brug af cloudtjenester. Vilkårene kan anvendes til at sikre overholdelse af dataforordningens krav. Det er imidlertid vigtigt at være opmærksom på, at forordningen ikke stiller krav om, at virksomheder anvender disse vilkår. Vilkårene skal blot ses som et oplæg til, hvordan sådanne aftaler kan indrettes på en kommercielt rimelig og ikke-diskriminerende facon.

Urimelige aftalevilkår mellem virksomheder

Forordningen sætter også fokus på rimelige aftaler. Urimelige vilkår – som f.eks. at en virksomhed fraskriver sig ansvar for grov uagtsomhed – er derfor ikke bindende.

Oplysningspligter

Dataforordningen fastsætter en generel oplysningspligt for sælgere, udlejere og leasinggivere af forbundne produkter samt udbydere af relaterede tjenester. Heraf følger, at der skal afgives en række oplysninger til brugerne inden indgåelse af en aftale om køb/levering af produkter/tjenester omfattet af forordningen. Dette gælder bl.a. oplysninger om produktets/tjenestens datagenerering, og hvordan brugeren kan tilgå, hente og slette dataene. 

Udbydere af databehandlingstjenester er ligeledes underlagt en oplysningspligt. Den omfatter oplysninger om udbyderens procedurer for skift, eventuelle restriktioner og tekniske begrænsninger, som udbyderen måtte have kendskab til, samt dataenes strukturer og formater, relevante standarder mv.

Det er vigtigt at være opmærksom på, at visse oplysninger skal gøres tilgængelige på virksomhedens hjemmeside.

Sanktioner ved manglende overholdelse

I Danmark er det Digitaliseringsstyrelsen, der fører tilsyn med reglerne. Overtrædelser kan koste dyrt – helt op til EUR 20 mio. eller 4 % af virksomhedens globale omsætning.

Derudover må det forventes, at afgørelser vedrørende overtrædelse af forordningens regler vil blive offentliggjort på tilsynsmyndighedens hjemmeside.

Hvordan kan vi hjælpe med dataforordningen?

Hos Poul Schmith / Kammeradvokaten har vi indgående erfaring med at rådgive både private og offentlige aktører om dataret, digital regulering og compliance. Vi kan hjælpe jeres virksomhed med at:

• Kortlægge jeres data
  Identificere, hvilke systemer og produkter, der genererer data, og hvordan de er omfattet af dataforordningen og databeskyttelsesforordningen.
• Gennemgå kontrakter og samarbejdsaftaler
  Sikre, at aftaler med cloududbydere, leverandører og samarbejdspartnere lever op til de nye regler – og ikke indeholder urimelige eller skjulte vilkår.
• Udarbejde interne processer
  Etablere procedurer, så data kan udleveres i brugbare formater og uden unødig forsinkelse, hvis brugere eller tredjeparter anmoder om det.
• Forberede jer på skift af udbyder
  Gennemgå jeres nuværende set-up og hjælpe med at fjerne tekniske og kontraktlige barrierer for at skifte cloud- eller databehandlingstjeneste.
• Sikre overholdelse af oplysningspligten
  Udarbejde klare og brugervenlige informationstekster til kunder og sikre, at nødvendige oplysninger er tilgængelige på jeres hjemmeside.
• Minimere risikoen for sanktioner
  Dokumentere jeres processer og compliance, så I står stærkt ved et eventuelt tilsyn.

Vores tilgang

Vi kombinerer juridisk ekspertise med praktisk forståelse af teknologi og forretning. På den måde hjælper vi jer ikke blot med at leve op til reglerne, men også med at udnytte de muligheder, dataforordningen skaber.