13.06.2023 13:06
EU:n datasäädös muuttaa yritysten mahdollisuuksia päättää datastaan
Asianajaja, osakas Juuso Tuppurainen, Asianajotoimisto Pro Juridica Oy
Euroopan unionissa vireillä oleva datasäädös (Data Act) on edennyt EU:n neuvoston, Euroopan parlamentin ja puheenjohtajavaltio Ruotsin välillä lopulliseen versioon saattamiseksi. Tämänhetkisen ehdotuksen vaikutukset tulevat olemaan mittavat digitaalisten palveluiden tarjoajien ja dataa keräävien tuotteiden valmistajien toimintaan. Yritykset ovat voineet sääntelyn puuttuessa varsin vapaasti päättää datansa suojaamisesta sekä jakamisen ehdoista. Datasäännös on eräänlainen perussäännös datan käyttämiselle ja se muuttaa olennaisesti yritysten mahdollisuuksia päättää datastaan. Datasäädöksestä on kuitenkin löydettävissä EU:n sääntelyssä käytettyjä tuttuja elementtejä, kuten laajat informointivelvollisuudet, sopimus- ja sisältöpakko, seuraamusmaksut ja valvovien viranomaisten oikeus tulkita yleisluonteista säädöstekstiä.
Kauhuskenaariona IOT-laitteita valmistaville yrityksille on velvoite jakaa laitteen tuottamaa dataa ilmaiseksi laitteiden käyttäjille ja edelleen kilpailijoiden hyödynnettäväksi. Vastaavasti edellä mainittu velvollisuus jakaa dataa tarjoaa monille yrityksille mahdollisuuden miettiä, miten omassa liiketoiminnassaan voisi hyödyntää IOT-laitteiden tai tietynlaisten palveluiden keräämää dataa. Tämä on konkreettinen seuraus datasäädöksen pitkälle viedyistä, kuluttajaa sekä käyttäjää palvelevista tarkoituksista. Keskeisimpiä asioita sääntelyn soveltamisen kannalta on säädöksen soveltamisalan lisäksi ”datan” määritelmä – unohtamatta dataan liittyviä uusia oikeuksia ja velvollisuuksia. Säädöksen voimaantuloon valmistautuessa keskeistä on hahmottaa, koskeeko datasäädös oman yrityksen tuotteita ja palveluita.
Datan laaja määritelmä sisältää myös henkilötiedot, mikä velvoittaa ottamaan huomioon myös tietosuoja-asetuksen (GDPR). Datasäädös ei kuitenkaan täysin vastaa soveltamisalaltaan GDPR:ää, sillä osa säädöksen luvuista ei koske mikro- ja pienyrityksiä. Täysin tämä ei vapauta mikro- ja pienyrityksiä, sillä kulttuurillinen muutos ja kuluttajien odotukset tulevat heijastumaan kaikkien datan parissa toimivien toimintaan.
GDPR:stäkin tuttu asetelma yksilön suojaamisesta näkyy datasäädöksessä. Se takaa muun muassa laajoja oikeuksia dataan, josta yhtenä esimerkkinä on kuluttajien oikeus saada dataansa maksuttomasti. Käytännössä esimerkiksi älykellon tuottama data tulisi jakaa maksutta ja helposti sen käyttäjälle. Käyttäjä puolestaan voi myydä tai luovuttaa dataa eteenpäin tietyin reunaehdoin.
Säädösehdotuksen perusteella voidaan karkeasti sanoa, että datan jakaminen edellyttää siitä sopimista. Lisäksi yrityksillä on laaja velvollisuus informoida dataan liittyvistä asioista sekä hankkia erilaisia suostumuksia GDPR:ää vastaavalla tavalla.
Sen lisäksi, että IOT-laitteiden valmistajilla katsotaan olevan velvollisuus huomioida dataan pääsy laitetta valmistaessa, dataan pääsy tulee pääsääntöisesti olla maksutonta. Velvollisuus on pakottava niille, joita datasäädös lopulta koskee. Käytännössä oikeus päästä dataan tulee vaikuttamaan laitteiden arkkitehtuuriin. Laitteet tulee suunnitella siten, että ne mahdollistavat käytön tuloksena syntyvän datan siirrettävyyden.
Myös osaan pilvipalveluntarjoajista tulee kohdistumaan uudenlaisia velvoitteita. Eräiden vakiomuotoisten pilvipalveluiden tarjoajien asiakkaalla on oikeus saada irtisanomisilmoituksella datansa siirrettyä 30 päivän kuluessa sen vaihtaessa palveluntarjoajaa, jopa ilman erillistä veloitusta. Pilvipalveluntarjoajien on poistettava kaikki sopimusperusteiset, kaupalliset, tekniset ja organisatoriset esteet, jotka voisivat estää asiakasta siirtämästä dataa toiselle pilvipalveluntarjoajalle.
Keskeinen huoli teknologiayrityksillä on liikesalaisuuksien ja immateriaalioikeuksien siirtyminen kolmansiin maihin. Säädös pyrkii antamaan turvaa teknisin, organisatorisin sekä oikeudellisin keinoin. Tällaisia keinoja voivat olla esimerkiksi sopimusjärjestelyt, joissa tulee ottaa huomioon velvollisuus estää datan siirto kolmansiin maihin.
Konkreettisia vaikutuksia yksittäiselle yritykselle on tarpeen arvioida viimeistään, kun säädöksen lopullinen sisältö varmistuu.
Juuso Tuppurainen
asianajaja, osakas
Asianajotoimisto Pro Juridica Oy
Kirjoitus on julkaistu alun perin Toukokuun 2023 Kauppakamari-lehdessä.
Liity jäseneksi - saat maksutonta neuvontaa
Keski-Suomen kauppakamarin jäsenenä voit hyödyntää maksutonta neuvontaa esimerkiksi talous-, laki-, vero-, työsuhde- ja GDPR-asioisssa. Voit lähettää kysymyksesi osoitteeseen neuvonta@kskauppakamari.fi tai ottaa suoraan yhteyttä neuvontapalvelukumppaneihimme.