Data Act og GDPR: Ret til dataadgang og behandlingsgrundlag
Data Act giver brugere ret til adgang til produktdata, relaterede tjenestedata og metadata fra forbundne produkter i eller tæt på realtid, i et struktureret og maskinlæsbart format og uden særskilt betaling.
Data Act er imidlertid ikke et selvstændigt GDPR-behandlingsgrundlag. Hvor brugeren ikke er den registrerede, eller hvor data er følsomme, skal der foreligge hjemmel efter GDPR art. 6 og eventuelt art. 9; alternativt bør data leveres i anonymiseret form.
Urimelige vilkår og FRAND under Data Act
I B2B-forhold kan urimelige aftaleklausuler, der begrænser dataadgang eller datadeling, tilsidesættes efter kriteriet om god handelspraksis. Klausuler om ensidige prisændringer formodes urimelige, og ansvarsfraskrivelse for forsæt eller grov uagtsomhed er ugyldig.
Klausuler udformet som GDPR-sikkerhed må ikke fungere som skjulte barrierer. FRAND-betingelser og kompensationsmodeller skal balancere rimelighed med adgangskravene og må ikke omgå forordningen. Et samlet kontrakttjek på tværs af reglerne er nødvendigt.
Tredjepartsadgang: Pligter, begrænsninger og roller
Brugeren kan pålægge dataindehaveren at dele data direkte med en udpeget tredjepart. Data Act fastlægger pligten til udlevering, mens GDPR afgrænser, hvad der lovligt kan deles og til hvilke formål.
Tredjeparter må kun anvende data til det aftalte formål, må ikke profilere uden aftale og må ikke bruge data til at udvikle konkurrerende produkter. Klar rollefordeling, passende behandlingsgrundlag og tekniske foranstaltninger som anonymisering eller pseudonymisering er centrale.
Første skridt til efterlevelse og governance
Start med at kortlægge omfanget af forbundne produkter og relaterede tjenester samt systemernes evne til realtidsudlevering i et maskinlæsbart format. Opdater også brugeroplysninger for at opfylde transparenskrav.
Etabler governance, procedurer og dokumentation på tværs af jura og teknik. Uddan kommercielle teams i urimelige vilkår og FRAND, og forankr kontroller ved onboarding af tredjeparter.
Fokusér særligt på disse tre tiltag:
- Identificer produkter og dataflows omfattet af Data Act.
- Gennemgå standardvilkår og GDPR-hjemler, herunder art. 6 og 9.
- Implementer adgangs-API'er, anonymisering og logning, og tildel klare roller.
