KAPITEL II – DATADELING MELLEM VIRKSOMHEDER OG FORBRUGERE OG MELLEM VIRKSOMHEDER

Artikel 3

Forpligtelse til at gøre produktdata og relaterede tjenestedata tilgængelige for brugeren

1. Forbundne produkter udformes og fremstilles, og relaterede tjenester udformes og leveres, på en sådan måde, at produktdataene og de relaterede tjenestedata, herunder de relevante metadata, der er nødvendige for at fortolke og anvende dataene, som standard på en let og sikker måde gratis og i et fyldestgørende, struktureret, almindeligt anvendt og maskinlæsbart format og, hvis det er relevant og teknisk muligt, er direkte tilgængelige for brugeren.

2. Inden der indgås en aftale om køb, leje eller leasing af et forbundet produkt, skal sælgeren, udlejeren eller leasinggiveren, som kan være producenten, som minimum give brugeren følgende oplysninger på en klar og forståelig måde:

a) typen, formatet og den anslåede mængde af produktdata, som det forbundne produkt er i stand til at generere

b) hvorvidt det forbundne produkt er i stand til at generere data kontinuerligt og i realtid

c) hvorvidt det forbundne produkt er i stand til at lagre data på enheden eller på en fjernserver, herunder i givet fald den planlagte varighed af opbevaringen

d) hvordan brugeren kan tilgå, hente eller, hvor det er relevant, slette dataene, herunder de tekniske midler til at gøre dette, samt betingelserne for deres anvendelse og tjenestekvalitet.

3. Inden der indgås en aftale om levering af en relateret tjeneste, skal udbyderen af en sådan relateret tjeneste som minimum give brugeren følgende oplysninger på en klar og forståelig måde:

a) arten og den anslåede mængde af og indsamlingshyppigheden for de produktdata, som den potentielle dataindehaver forventes at opnå, og, hvor det er relevant, ordningerne for brugerens adgang til eller hentning af de pågældende data, herunder den potentielle dataindehavers lagringsordninger og varigheden af opbevaring

b) arten og den anslåede mængde af relaterede tjenestedata, der skal genereres, samt ordningerne for brugerens adgang til eller hentning af de pågældende data, herunder den potentielle dataindehavers lagringsordninger og varigheden af opbevaring

c) hvorvidt den potentielle dataindehaver forventer at anvende let tilgængelige data selv og de formål, hvortil disse data skal anvendes, og hvorvidt vedkommende har til hensigt at tillade en eller flere tredjeparter at anvende dataene til formål, der er aftalt med brugeren

d) den potentielle dataindehavers identitet såsom firmanavn og firmaets fysiske adresse og i givet fald tilsvarende for andre databehandlingsparter

e) hvilke kommunikationsmidler der gør det muligt hurtigt at kontakte den potentielle dataindehaver og kommunikere effektivt med denne

f) hvordan brugeren kan anmode om, at dataene deles med en tredjepart, og i givet fald bringe datadelingen til ophør

g) brugerens ret til at indgive en klage over en overtrædelse af en af dette kapitels bestemmelser til den kompetente myndighed, der er udpeget i henhold til artikel 37

h) hvorvidt en potentiel dataindehaver er indehaver af forretningshemmeligheder, som er indeholdt i de data, der er tilgængelige fra det forbundne produkt eller genereret under leveringen af en relateret tjeneste, og, hvis den potentielle dataindehaver ikke er forretningshemmelighedsindehaveren, forretningshemmelighedshaverens identitet

i) varigheden af aftalen mellem brugeren og den potentielle dataindehaver samt ordningerne for opsigelse af en sådan aftale.

Artikel 4

Brugeres og dataindehaveres rettigheder og forpligtelser for så vidt angår at tilgå og anvende produktdata og relaterede tjenestedata og stille dem til rådighed

1. Hvis brugeren ikke direkte kan tilgå data fra det forbundne produkt eller den relaterede tjeneste, gør dataindehaverne let tilgængelige data og de relevante metadata, der er nødvendige for at fortolke og anvende disse data, tilgængelige for brugeren uden unødigt ophold, i samme kvalitet som dataindehaveren har til rådighed, på en let og sikker måde, gratis og i et fyldestgørende, struktureret, almindeligt anvendt og maskinlæsbart format og, hvis det er relevant og teknisk muligt, kontinuerligt og i realtid. Dette skal ske på grundlag af en simpel anmodning ad elektronisk vej, hvor det er teknisk muligt.

2. Brugere og dataindehavere kan indgå aftale om at begrænse eller forbyde adgang til eller anvendelse eller yderligere deling af data, hvis en sådan behandling kan underminere det forbundne produkts sikkerhedskrav, der er fastsat i EU-retten eller national ret, med en alvorlig negativ virkning for fysiske personers sundhed og sikkerhed. Sektormyndigheder kan yde brugere og dataindehavere teknisk ekspertise i denne forbindelse. Hvis dataindehaveren afslår at dele data i henhold til denne artikel, underretter vedkommende den kompetente myndighed, der er udpeget i henhold til artikel 37.

3. Uden at det berører brugerens ret til prøvelse ved en medlemsstats domstol eller ret på et hvilket som helst tidspunkt, kan brugeren i forbindelse med enhver tvist med dataindehaveren vedrørende de kontraktlige begrænsninger eller forbud, der er omhandlet i stk. 2:

a) indgive klage til den kompetente myndighed i overensstemmelse med artikel 37, stk. 5, litra b), eller

b) aftale med dataindehaveren, at sagen indbringes for et tvistbilæggelsesorgan i overensstemmelse med artikel 10, stk. 1.

4. Dataindehavere må ikke gøre brugerens udøvelse af valgmuligheder eller rettigheder i henhold til denne artikel unødigt vanskelig, herunder ved at tilbyde brugerne valgmuligheder på en ikkeneutral måde eller ved at undergrave eller begrænse brugerens autonomi, beslutningstagning eller valgmuligheder via den måde, som en digital brugergrænseflade eller en del heraf er struktureret, udformet, fungerer eller betjenes på.

5. For at fastslå om en fysisk eller juridisk person er en bruger med henblik på stk. 1 må en dataindehaver ikke kræve, at denne person skal fremlægge oplysninger ud over, hvad der er nødvendigt. Dataindehavere må ikke opbevare oplysninger, navnlig logdata, om brugerens adgang til de ønskede data ud over, hvad der er nødvendigt for en forsvarlig udførelse af brugerens anmodning om adgang og af hensyn til sikkerheden og vedligeholdelsen af datainfrastrukturen.

6. Forretningshemmeligheder skal beskyttes og må kun videregives, hvis dataindehaveren og brugeren forud for videregivelsen træffer alle nødvendige foranstaltninger for at beskytte deres fortrolighed, navnlig over for tredjeparter. Dataindehaveren eller, når det ikke er den samme person, forretningshemmelighedshaveren identificerer de data, der er beskyttet som forretningshemmeligheder, herunder i de relevante metadata, og aftaler med brugeren forholdsmæssige tekniske og organisatoriske foranstaltninger, der er nødvendige for at beskytte fortroligheden af de delte data, navnlig over for tredjeparter, såsom en model for aftalevilkår, fortrolighedsaftaler, strenge adgangsprotokoller, tekniske standarder og anvendelse af adfærdskodekser.

7. Hvis der ikke foreligger nogen aftale om de nødvendige foranstaltninger omhandlet i stk. 6, eller hvis brugeren undlader at gennemføre de foranstaltninger, der er aftalt i henhold til stk. 6, eller undergraver fortroligheden af forretningshemmeligheder, kan dataindehaveren tilbageholde eller i givet fald suspendere delingen af data, der er identificeret som forretningshemmeligheder. Dataindehaverens beslutning skal være behørigt begrundet og meddeles brugeren skriftligt uden unødigt ophold. I sådanne tilfælde underretter dataindehaveren den kompetente myndighed, der er udpeget i henhold til artikel 37, om, at den har tilbageholdt eller suspenderet datadeling, og udpeger de foranstaltninger, der ikke er aftalt eller gennemført, og, hvis det er relevant, de forretningshemmeligheder, hvis fortrolighed er undergravet.

8. Under ekstraordinære omstændigheder, hvor dataindehaveren, der er forretningshemmelighedshaver, kan påvise, at vedkommende højst sandsynligt vil lide alvorlig økonomisk skade som følge af videregivelsen af forretningshemmeligheder på trods af de tekniske og organisatoriske foranstaltninger, som brugeren har truffet i henhold til denne artikels stk. 6, kan den pågældende dataindehaver fra sag til sag afslå en anmodning om adgang til de pågældende specifikke data. Denne påvisning skal være behørigt begrundet i objektive forhold, navnlig muligheden for at håndhæve beskyttelsen af forretningshemmeligheder i tredjelande, arten og graden af fortrolighed for de ønskede data og det forbundne produkts unikke og nyskabende karakter, og skal gives brugeren skriftligt uden unødigt ophold. Hvor dataindehaveren afslår at dele data i henhold til nærværende stykke, underretter vedkommende den kompetente myndighed, der er udpeget i henhold til artikel 37.

9. Uden at dette berører en brugers ret til prøvelse ved en medlemsstats domstol eller ret på et hvilket som helst tidspunkt, kan en bruger, der ønsker at anfægte en dataindehavers beslutning om at afslå eller om at tilbageholde eller suspendere datadelingen i henhold til stk. 7 og 8:

a) i overensstemmelse med artikel 37, stk. 5, litra b), indgive klage til den kompetente myndighed, som uden unødigt ophold skal beslutte, om og på hvilke betingelser datadelingen skal påbegyndes eller genoptages, eller

b) aftale med dataindehaveren, at sagen indbringes for et tvistbilæggelsesorgan i overensstemmelse med artikel 10, stk. 1.

10. Brugeren må ikke anvende de data, der er opnået på grundlag af en anmodning omhandlet i stk. 1, til at udvikle et forbundet produkt, der konkurrerer med det forbundne produkt, som dataene stammer fra, og heller ikke dele dataene med en tredjepart med henblik herpå og må ikke anvende de pågældende data til at opnå indsigt i producentens eller i givet fald dataindehaverens økonomiske situation, aktiver og produktionsmetoder.

11. Brugeren må ikke anvende tvangsmidler eller misbruge mangler i en dataindehavers tekniske databeskyttelsesinfrastruktur for at få adgang til data.

12. Hvis brugeren ikke er den registrerede, hvis personoplysninger der anmodes om, må alle personoplysninger, der er genereret ved brug af et forbundet produkt eller en relateret tjeneste, kun stilles til rådighed af dataindehaveren for brugeren, hvis der er et gyldigt retsgrundlag for behandling i henhold til artikel 6 i forordning (EU) 2016/679, og, hvor det er relevant, betingelserne i artikel 9 i nævnte forordning og i artikel 5, stk. 3, i direktiv 2002/58/EF er opfyldt.

13. En dataindehaver må kun anvende let tilgængelige andre data end personoplysninger, på grundlag af en aftale med brugeren. En dataindehaver må ikke anvende sådanne data til at opnå indsigt i brugerens økonomiske situation, aktiver og produktionsmetoder eller anvendelse af disse på en anden måde, som kunne underminere denne brugers forretningsmæssige stilling på de markeder, hvor brugeren er aktiv.

14. Dataindehavere må ikke stille andre produktdata end personoplysninger til rådighed for tredjeparter til andre kommercielle eller ikkekommercielle formål end opfyldelsen af deres aftale med brugeren. Hvor det er relevant, forpligter dataindehavere kontraktligt tredjeparter til ikke at dele data, som de har modtaget fra dem, med andre.

Artikel 5

Brugerens ret til at dele data med tredjeparter

1. Efter anmodning fra en bruger eller en part, der handler på dennes vegne, stiller dataindehaveren let tilgængelige data og de relevante metadata, der er nødvendige for at fortolke og anvende disse data, til rådighed for en tredjepart uden unødigt ophold, i samme kvalitet som dataindehaveren har til rådighed, på en let og sikker måde, gratis for brugeren, i et fyldestgørende, struktureret, almindeligt anvendt og maskinlæsbart format og, hvis det er relevant og teknisk muligt, kontinuerligt og i realtid. Dataene stilles til rådighed af dataindehaveren for tredjeparten i overensstemmelse med artikel 8 og 9.

2. Stk. 1 finder ikke anvendelse på let tilgængelige data i forbindelse med afprøvning af nye forbundne produkter, stoffer eller processer, der endnu ikke er blevet bragt i omsætning, medmindre en tredjeparts anvendelse heraf er kontraktligt tilladt.

3. Enhver virksomhed, der er udpeget som gatekeeper i henhold til artikel 3 i forordning (EU) 2022/1925, må ikke være en berettiget tredjepart i henhold til nærværende artikel og må derfor ikke:

a) på nogen måde anmode en bruger om eller kommercielt tilskynde en bruger til, herunder ved at yde økonomisk eller anden godtgørelse, at stille data, som brugeren har opnået på grundlag af en anmodning i henhold til artikel 4, stk. 1, til rådighed for en af virksomhedens tjenester

b) anmode eller kommercielt tilskynde en bruger til at anmode dataindehaveren om at stille data til rådighed for en af virksomhedens tjenester i henhold til denne artikels stk. 1

c) modtage data fra en bruger, som brugeren har opnået på grundlag af en anmodning i henhold til artikel 4, stk. 1.

4. For at fastslå om en fysisk eller juridisk person er en bruger eller en tredjepart med henblik på stk. 1 er brugeren eller tredjeparten ikke forpligtet til at fremlægge oplysninger ud over, hvad der er nødvendigt. Dataindehavere må ikke opbevare oplysninger om tredjepartens adgang til de ønskede data ud over, hvad der er nødvendigt for en forsvarlig udførelse af tredjepartens anmodning om adgang og af hensyn til sikkerheden og vedligeholdelsen af datainfrastrukturen.

5. Tredjeparten må ikke anvende tvangsmidler eller misbruge mangler i en dataindehavers tekniske databeskyttelsesinfrastruktur for at få adgang til data.

6. En dataindehaver må ikke anvende let tilgængelige data til at opnå indsigt i tredjepartens økonomiske situation, aktiver og produktionsmetoder eller anvendelse af disse på en anden måde, som kan underminere tredjepartens forretningsmæssige stilling på de markeder, hvor tredjeparten er aktiv, medmindre tredjeparten har givet tilladelse til en sådan anvendelse og har teknisk mulighed for let at trække tilladelsen tilbage på et hvilket som helst tidspunkt.

7. Hvis brugeren ikke er den registrerede, hvis personoplysninger der anmodes om, må enhver personoplysning, der er genereret ved anvendelse af et forbundet produkt eller en relateret tjeneste, kun stilles til rådighed af dataindehaveren til tredjeparten, hvis der er et gyldigt retsgrundlag for behandling i henhold til artikel 6 i forordning (EU) 2016/679, og, hvor det er relevant, betingelserne i artikel 9 i nævnte forordning og artikel 5, stk. 3, i direktiv 2002/58/EF er opfyldt.

8. Enhver uenighed mellem dataindehaver og tredjepart om ordninger for overførsel af data må ikke berøre, hindre eller gribe ind i den registreredes udøvelse af rettigheder i henhold til forordning (EU) 2016/679, navnlig med hensyn til retten til dataportabilitet i henhold til nævnte forordnings artikel 20.

9. Forretningshemmeligheder skal bevares og må kun videregives til tredjeparter, i det omfang sådan videregivelse er strengt nødvendig for at opfylde det formål, der er aftalt mellem brugeren og tredjeparten. Dataindehaveren eller, når det ikke er den samme person, forretningshemmelighedshaveren identificerer de data, der er beskyttet som forretningshemmeligheder, herunder i de relevante metadata, og aftaler med tredjeparten alle forholdsmæssige tekniske og organisatoriske foranstaltninger, der er nødvendige for at beskytte fortroligheden af de delte data, såsom en model for aftalevilkår, fortrolighedsaftaler, strenge adgangsprotokoller, tekniske standarder og anvendelse af adfærdskodekser.

10. Hvis der ikke foreligger nogen aftale om de i denne artikels stk. 9 omhandlede nødvendige foranstaltninger, eller hvis tredjeparten undlader at gennemføre de foranstaltninger, der er aftalt i henhold til denne artikels stk. 9, eller undergraver fortroligheden af forretningshemmeligheder, kan dataindehaveren tilbageholde eller i givet fald suspendere delingen af data, der er identificeret som forretningshemmeligheder. Dataindehaverens beslutning skal være behørigt begrundet og meddeles tredjeparten skriftligt uden unødigt ophold. I sådanne tilfælde underretter dataindehaveren den kompetente myndighed, der er udpeget i henhold til artikel 37, om, at den har tilbageholdt eller suspenderet datadelingen, og udpeger de foranstaltninger, der ikke er aftalt eller gennemført, og, hvis det er relevant, de forretningshemmeligheder, hvis fortrolighed er undergravet.

11. Når dataindehaveren, der er en forretningshemmelighedshaver, under ekstraordinære omstændigheder kan påvise, at vedkommende højst sandsynligt vil lide alvorlig økonomisk skade som følge af videregivelsen af forretningshemmeligheder på trods af de tekniske og organisatoriske foranstaltninger, som tredjeparten har truffet i henhold til denne artikels stk. 9, kan den pågældende dataindehaver fra sag til sag afslå en anmodning om adgang til de pågældende specifikke data. Denne påvisning skal være behørigt begrundet i objektive forhold, navnlig muligheden for at håndhæve beskyttelsen af forretningshemmeligheder i tredjelande, arten og graden af fortrolighed for de ønskede data og det forbundne produkts unikke og nyskabende karakter, og skal meddeles tredjeparten skriftligt uden unødigt ophold. Hvor dataindehaveren afslår at dele data i henhold til nærværende stykke, underretter vedkommende den kompetente myndighed, der er udpeget i henhold til artikel 37.

12. Uden at det berører en tredjeparts ret til prøvelse ved en medlemsstats domstol eller ret på et hvilket som helst tidspunkt, kan en tredjepart, der ønsker at anfægte en dataindehavers beslutning om at afslå eller om at tilbageholde eller suspendere datadeling i henhold til stk. 10 og 11:

a) i overensstemmelse med artikel 37, stk. 5, litra b), indgive klage til den kompetente myndighed, som uden unødigt ophold skal beslutte, om og på hvilke betingelser datadelingen skal påbegyndes eller genoptages, eller

b) aftale med dataindehaveren, at sagen indbringes for et tvistbilæggelsesorgan i overensstemmelse med artikel 10, stk. 1.

13. Den rettighed, der er omhandlet i stk. 1, må ikke krænke registreredes rettigheder i henhold til gældende EU-ret og national ret om beskyttelse af personoplysninger.

Artikel 6

Forpligtelser for tredjeparter, der modtager data efter anmodning fra brugeren

1. En tredjepart behandler kun de data, som den har fået stillet til rådighed i henhold til artikel 5, til de formål og på de betingelser, der er aftalt med brugeren, og under anvendelse af EU-retten og national ret om beskyttelse af personoplysninger, herunder den registreredes rettigheder for så vidt angår personoplysninger. Tredjeparten sletter dataene, når de ikke længere er nødvendige til det aftalte formål, medmindre andet er aftalt med brugeren i forbindelse med andre data end personoplysninger.

2. Tredjeparten må ikke:

a) gøre brugerens udøvelse af valgmuligheder eller rettigheder efter artikel 5 og nærværende artikel unødigt vanskelig, herunder ved at tilbyde brugerne valgmuligheder på en ikkeneutral måde, eller ved at tvinge, vildlede eller manipulere brugeren eller ved at undergrave eller begrænse brugernes autonomi, beslutningstagning eller valgmuligheder, herunder ved hjælp af en digital brugergrænseflade eller en del deraf

b) uanset artikel 22, stk. 2, litra a) og c) i forordning (EU) 2016/679, anvende de modtagne data til profilering, medmindre det er nødvendigt for at levere den tjeneste, som brugeren har anmodet om

c) stille de modtagne data til rådighed for en anden tredjepart, medmindre dataene stilles til rådighed på grundlag af en aftale med brugeren, og forudsat at den anden tredjepart træffer alle nødvendige foranstaltninger, der er aftalt mellem dataindehaveren og tredjeparten, for at beskytte fortroligheden af forretningshemmeligheder

d) stille de modtagne data til rådighed for en virksomhed, der er udpeget som gatekeeper i henhold til artikel 3 i forordning (EU) 2022/1925

e) anvende de modtagne data til at udvikle et produkt, der konkurrerer med det produkt, som de modtagne data stammer fra, eller dele dataene med en anden tredjepart til dette formål; tredjeparter må heller ikke anvende andre produktdata eller relaterede tjenestedata end personoplysninger, der stilles til rådighed for dem, til at opnå indsigt i dataindehaverens økonomiske situation, aktiver og produktionsmetoder eller anvendelse af disse

f) anvende de modtagne data på en måde, der påvirker det forbundne produkts eller de relaterede tjenesters sikkerhed negativt

g) tilsidesætte de specifikke foranstaltninger, der er aftalt med dataindehaveren eller forretningshemmelighedshaveren i henhold til artikel 5, stk. 9, og undergraver fortroligheden af forretningshemmeligheder

h) forhindre brugeren, der er en forbruger, herunder på grundlag af en aftale, i at stille de data, som vedkommende modtager, til rådighed for andre parter.

Artikel 7

Omfanget af forpligtelser vedrørende datadeling mellem virksomheder og forbrugere og mellem virksomheder

1. Forpligtelserne i dette kapitel finder ikke anvendelse på data genereret ved anvendelse af forbundne produkter, der fremstilles eller udformes, eller relaterede tjenester, der leveres, af en mikrovirksomhed eller en lille virksomhed, forudsat at denne virksomhed ikke har en partnervirksomhed eller en tilknyttet virksomhed som omhandlet i artikel 3 i bilaget til henstilling 2003/361/EF, der ikke er en mikrovirksomhed eller en lille virksomhed, og hvor mikrovirksomheden og den lille virksomhed ikke har fået fremstilling eller udformning af et forbundet produkt eller levering af en relateret tjeneste i underentreprise.

Det samme gælder for data genereret ved anvendelse af forbundne produkter, som fremstilles af, eller forbundne produkter, som leveres af, en mellemstor virksomhed, der har været en mellemstor virksomhed i henhold til artikel 2 i bilaget til henstilling 2003/361/EF i mindre end ét år, og for forbundne produkter i ét år efter den dato, hvorpå de blev bragt i omsætning af en mellemstor virksomhed.

2. Aftalevilkår, der til skade for brugeren udelukker anvendelsen af, fraviger eller ændrer virkningen af brugerens rettigheder i henhold til dette kapitel, er ikke bindende for brugeren.