Jak určit, která data spadají pod Data Act a která ne?

Jak určit, která data spadají pod Data Act a která ne?

Nařízení o datech, známé také jako Data Act, se s výjimkami použije od 12. září 2025. Výrobcům připojených výrobků, poskytovatelům souvisejících služeb a držitelům dat ukládá zejména povinnost zpřístupnit uživatelům určitá data vznikající při používání výrobku nebo služby. Data Act ale neukládá zpřístupnit všechna data v zařízení, aplikaci nebo cloudu. Zaměřuje se jen na určité kategorie dat, které vznikají při používání připojeného výrobku nebo související služby. Dále proto používáme označení Data Act.

Rozhodující je především původ a význam konkrétních dat. Do režimu zpřístupnění typicky patří nezpracovaná a předzpracovaná data z výrobku a data ze související služby, včetně metadat nezbytných pro jejich výklad a využití. Naopak mimo něj zpravidla zůstávají odvozená nebo dovozená data, která představují nový poznatek, a obsah určený k lidskému vnímání.

Tento článek je součástí naší série k Data Actu, v níž se věnujeme jeho praktické implementaci.

Začněte tím, odkud data pocházejí

Data Act nestanoví obecné právo na přístup ke všem datům, která podnik zpracovává. Pro účely práv uživatelů podle Kapitoly II Data Actu je podstatné nejprve zjistit, zda vůbec stojíme u výrobku nebo služby, se kterými Data Act pracuje. Jinak řečeno: zda data vznikají při používání připojeného výrobku nebo související služby.

Připojeným výrobkem je zjednodušeně předmět schopný získávat, vytvářet nebo shromažďovat data o svém použití nebo prostředí a tato data přenášet. Související službou je digitální služba, typicky software nebo aplikace, která je s takovým výrobkem spojena a ovlivňuje jeho funkce, chování nebo provoz; nejde však o samotnou službu elektronických komunikací. Až poté má smysl řešit samotná data: odkud pocházejí, jak vznikla a zda je držitel dat může bez nepřiměřeného úsilí zpřístupnit.

Která data se zpřístupňují?

Data z výrobku

Data z výrobku jsou data vytvořená používáním připojeného výrobku, která výrobce navrhl tak, aby je bylo možné z výrobku získat. Typicky půjde o data související s jeho použitím, výkonností nebo prostředím. Může jít například o:

• údaje ze senzorů, například teplotu, tlak, polohu, rychlost, stav nabití nebo spotřebu energie;
• vstupy uživatele, například stisknutí tlačítka nebo změnu nastavení;
• provozní údaje, například dobu běhu, stav součásti, chybový kód nebo záznam události;
• data vznikající při pohotovostním režimu, nabíjení nebo automatické činnosti výrobku.

Pouhý popis výrobku v návodu, na obalu nebo v marketingových materiálech naopak datem z výrobku není.

Data ze související služby

Data Act se nevztahuje jen na samotný výrobek. Může dopadat i na data, která vznikají při používání digitální služby navázané na výrobek, například aplikace, která výrobek ovládá nebo mění jeho nastavení. Půjde například o příkaz odeslaný z aplikace do výrobku, změnu provozního režimu nebo stav párování. Nejde však automaticky o všechna data uložená v uživatelském účtu. Vždy musí existovat vazba na připojený výrobek a na službu, která splňuje definici související služby.

Nezpracovaná a předzpracovaná data

Zpřístupňovat se nemusí jen úplně surová data. Do režimu Data Actu mohou spadat i data, která už prošla základní úpravou, aby jim bylo možné porozumět nebo je prakticky použít. Takovým zpracováním může být kalibrace, převod jednotek, filtrování šumu, oprava, doplnění časového údaje nebo výpočet fyzikální veličiny z údajů jednoho či více propojených senzorů, pokud tím nevzniká nový analytický poznatek. Také jednoduchý průměr, například průměrná denní teplota, může zůstat předzpracovaným datem.

Spolu s těmito daty se zpřístupňují také relevantní metadata, bez nichž by data nebylo možné správně vyložit nebo použít. Může jít o čas a místo měření, jednotku, formát, rozlišení, identifikátor výrobku, verzi firmwaru nebo vysvětlení chybových kódů.

Snadno dostupná data

Pokud uživatel nemá k datům přímý přístup, musí mu držitel dat na žádost zpřístupnit snadno dostupná data. Jde o data z výrobku a data ze související služby, která držitel dat oprávněně získává nebo může získat bez nepřiměřeného úsilí přesahujícího jednoduchý úkon. Data Act proto obecně nevyžaduje, aby držitel začal vytvářet nová data nebo zásadně měnil technické řešení výrobku.

Data zpracovávaná výhradně uvnitř výrobku, která jeho konstrukce neumožňuje uložit ani přenést mimo výrobek, snadno dostupnými daty zpravidla nejsou. Jinak tomu může být, pokud byla data alespoň dočasně uložena, přenesena do systému držitele dat nebo pokud existují rozumné prostředky, jak je bez podstatných změn systému nebo nákladů znovu spojit s konkrétním uživatelem nebo připojeným výrobkem.

Kdy už jde o odvozená nebo dovozená data?

Nejtěžší bývá poznat, kde končí běžná úprava dat a kde už začíná nový analytický výstup. Povinnost zpřístupnění se nevztahuje na odvozená nebo dovozená data, která vznikla dalším zpracováním a představují nové informace nebo poznatky, zejména v důsledku dodatečných investic do složitých algoritmů. Typickým příkladem může být předpověď poruchy, doporučení servisního zásahu nebo personalizovaný plán úspor energie.

Samotná složitost výpočtu, spojení více zdrojů ani agregace však automaticky neznamenají, že jsou data odvozená. Není tedy podstatné jen to, kolik výpočtů proběhlo. Důležité je, zda výsledek stále popisuje původně naměřenou skutečnost, nebo už přidává nový úsudek, doporučení či předpověď. V prvním případě půjde spíše o předzpracovaná data, ve druhém o data odvozená nebo dovozená.

Anonymizace sama o sobě data nevyřazuje z působnosti Data Actu

Samotná ochranná úprava dat ještě neznamená, že data z režimu Data Actu vypadnou. Anonymizace, pseudonymizace nebo šifrování samy o sobě nemění data na odvozená nebo dovozená data. Jejich účelem je ochrana informací, nikoli vytvoření nové informační hodnoty. Nelze je proto automaticky použít jako důvod pro vyloučení dat z působnosti Data Actu.

Data Act se vztahuje na osobní i neosobní údaje. Při zpřístupnění osobních údajů se však současně plně uplatní GDPR. Pokud uživatel není subjektem údajů, Data Act sám o sobě neposkytuje právní základ pro předání osobních údajů. Držitel dat proto musí vždy posoudit právní základ zpracování, rozsah nezbytných údajů a práva dalších osob.

Obsah zůstává zpravidla mimo působnost

Kapitola II Data Actu se nevztahuje na obsah, zejména textový, zvukový nebo audiovizuální materiál určený k lidskému vnímání. U digitální kamery tak mohou být zpřístupňovány provozní údaje, například stav baterie, čas, poloha nebo úroveň osvětlení, nikoli však samotné fotografie či videozáznamy.

Rozhodující ovšem není jen formát souboru. Obrazový výstup kamery používaný jako senzor, například pro nouzové brzdění vozidla nebo vyhodnocení stavu rostlin, nemusí být obsahem určeným k lidskému vnímání. Taková data proto mohou do působnosti nařízení spadat.

Jak postupovat v praxi

Praktické posouzení by mělo probíhat na úrovni jednotlivých datových typů, nikoli jen celých databází. Doporučujeme zejména:

• zmapovat připojené výrobky, související služby, uživatele a držitele dat;
• u každého datového typu zaznamenat jeho zdroj, význam, formát, místo uložení, dobu uchování a cestu přenosu;
• ověřit, zda data souvisejí s použitím, výkonností nebo prostředím výrobku, případně s poskytováním související služby;
• popsat jednotlivé kroky zpracování a určit, zda pouze zpřístupňují původní význam, nebo vytvářejí nový poznatek;
• ověřit, zda jsou data držiteli dat snadno dostupná;
• samostatně posoudit osobní údaje, obchodní tajemství a bezpečnostní rizika.

Obchodní tajemství ani osobní údaje nejsou automaticky mimo působnost nařízení. Jde o samostatnou vrstvu posouzení podmínek zpřístupnění. U obchodního tajemství je třeba nejprve identifikovat chráněná data a dohodnout nezbytná opatření k zachování jejich důvěrnosti. Úplné odmítnutí zpřístupnění je vyhrazeno pro výjimečné případy stanovené nařízením.

Závěr aneb co si z toho odnést

Při určování, která data spadají pod Data Act, nestačí rozdělit databáze na „surová“ a „odvozená“ data. Je třeba vyjít z konkrétního výrobku nebo služby, původu a významu dat, stupně jejich zpracování a jejich dostupnosti pro držitele dat.

Nezpracovaná a předzpracovaná data vznikající při používání připojeného výrobku nebo související služby, včetně relevantních metadat, budou zpravidla podléhat zpřístupnění. Nové analytické poznatky, obsah určený k lidskému vnímání a data bez potřebné vazby na používání výrobku či služby zpravidla zůstanou mimo tento režim. U hraničních případů se proto vyplatí mít dobře popsané, proč byla konkrétní data zařazena právě takto.

Autoři

Spoluautorem tohoto článku je Lukáš Krajčovič, právní asistent.