ב-11 בינואר 2024, חוק הנתונים של האיחוד האירופי - תקנה (EU) 2023/2854 - נכנס לתוקף, עשרים יום לאחר פרסומו בכתב העת הרשמי של האיחוד האירופי. התקנה חלה החל מ-12 בספטמבר 2025. חקיקה זו מטילה חובות חדשות מהותיות על יצרני מוצרים מחוברים וספקי שירותים קשורים, המשפיעות על מגוון רחב של מגזרים: החל מייצור ואנרגיה ועד שירותי בריאות ותעשיית הרכב. כל מי שמייצר, מעבד או משתמש בנתונים בהקשר עסקי, מומלץ לבחון את היקף החקיקה הזו מבעוד מועד.
מה מסדיר חוק הנתונים?
חוק הנתונים מהווה חלק מאסטרטגיית הנתונים האירופית, שמטרתה לחזק את מעמדה התחרותי של אירופה בכלכלת הנתונים. התקנה קובעת כללים לגבי למי יש גישה לנתונים שנוצרו על ידי שימוש במוצרים או שירותים, ובאילו תנאים יש לשתף נתונים אלה. אין מדובר בזכות כללית לכל הנתונים, אלא במסגרת של שישה אשכולות ספציפיים: גישת משתמשים לנתוני מוצרים ושירותים, שיתוף B2B בתנאים הוגנים, גישה ציבורית במקרים של צורך חריג, מעבר בין שירותי עיבוד נתונים, הגנה מפני גישה ממשלתית בינלאומית לנתונים שאינם אישיים, ויכולת פעולה הדדית.
חובות לעסקים: עיצוב מוצר
מוצרים מחוברים חייבים להיות מתוכננים ומיוצרים באופן כזה שהנתונים שנוצרו יהיו, כברירת מחדל, בקלות, בבטחה, בחינם ובפורמט קריא על ידי מכונה, נגישים ישירות למשתמש. משתמשי מוצרים מחוברים - חשבו על מכשירי בית חכם, מכונות תעשייתיות או כלי רכב - רוכשים בכך את הזכות לגשת לנתונים שנוצרים על ידי השימוש שלהם באותו מוצר. יצרנים וספקי שירותים אינם רשאים עוד לשמור נתונים אלה באופן בלעדי לעצמם.
חשוב לציין, שחובה זו נכנסת לתוקף בהדרגה. למרות שחוק הנתונים בכללותו חל החל מ-12 בספטמבר 2025, חובת התכנון והייצור של מוצרים מחוברים חלה רק על מוצרים שהוצאו לשוק לאחר 12 בספטמבר 2026. לכן, מוצרים קיימים אינם מכוסים עדיין.
תנאים הוגנים בשיתוף נתונים B2B
התקנה מכילה כללים ספציפיים לגבי תנאים חוזיים בחוזי נתונים B2B . תנאי המוטל באופן חד צדדי על ידי חברה אחת על חברה אחרת אינו מחייב את הצד השני אם הוא אינו הוגן. תנאי נחשב כאילו הוטל באופן חד צדדי כאשר, למרות ניסיון לנהל משא ומתן, הצד השני לא היה מסוגל להשפיע על תוכנו. נטל ההוכחה מוטל על הצד שכלל את התנאי.
תנאי נחשב לא הוגן אם השימוש בו סוטה באופן בוטה מנוהל מסחרי תקין וסותר את תום הלב ואת התנהגות הוגנת. התקנה נותנת כדוגמאות תנאים השוללים אחריות בגין כוונה תחילה או רשלנות רבתי, מונעים מהצד השני להשתמש בנתונים שלו, מאפשרים סיום חד צדדי בהתראה קצרה באופן בלתי סביר, או מאפשרים ביצוע שינויים משמעותיים במחיר או שינויים מהותיים אחרים באופן חד צדדי. התוצאה המשפטית היא שהתנאי הלא הוגן אינו מחייב את הצד השני, בעוד שהוראות החוזה הנותרות נותרות בתוקף ככל שהתנאי ניתן להפרדה.
אינטראקציה עם ה-GDPR
חוק המידע יושב לצד תקנת הגנת המידע הכללית, אך קיים יחסי גומלין חשובים ביניהם. התקנה מכסה גם מידע אישי, אך אינה מנתקת אותו מחוק הגנת המידע. כאשר המשתמש אינו נושא המידע שאת המידע האישי שלו מבקשים, ניתן למסור מידע אישי זה רק כאשר קיים בסיס משפטי תקף לפי סעיף 6 בתקנת המידע הכללית. לפיכך, חוק המידע אינו יוצר חריג עצמאי לתקנת המידע הכללית: גישה למידע במסגרת חוק המידע אינה פוטרת צדדים מחובותיהם בתקנת המידע הכללית , וגם אינה מספקת בסיס לשמירה או שימוש חוזר נוספים במידע שסופקו מעבר למטרה שלשמה הושגו.
ניידות ענן ומיתוג
פרק נפרד דורש מספקי שירותי עיבוד נתונים להקל על המעבר לספק אחר. הם אינם רשאים להטיל מכשולים טרום-מסחריים, מסחריים, טכניים, חוזיים או ארגוניים המונעים מלקוחות לעבור. החל מ-12 בינואר 2027, ספקי שירותי עיבוד נתונים אינם רשאים עוד לגבות מלקוחות דמי מעבר. העברת הנתונים והתצורות בפועל חייבת להתרחש ללא עיכוב בלתי סביר ובשום מקרה לא לאחר תקופת מעבר מחייבת של שלושים יום לכל היותר. עבור ארגונים התלויים במידה רבה בספק ענן יחיד, הדבר מציע יתרון משא ומתן חדש בעת חידוש או משא ומתן מחדש על חוזים.
גישה לציבור במקרים של צורך חריג
התקנה מעניקה לגופים במגזר הציבורי את האפשרות, בתנאים מחמירים, לדרוש גישה לנתונים פרטיים במקרים של צורך חריג - כגון מצב חירום ציבורי. במקרה זה, בעלי נתונים שאינם זעירים ועסקים קטנים מחויבים להנגיש את הנתונים הדרושים ללא תשלום. במקרים אחרים של צורך חריג, בעל הנתונים זכאי לפיצוי הוגן. סמכות זו כפופה לתנאי המידתיות והסובידיאריות הקבועים בתקנה.
אכיפה בהולנד
בהולנד, האכיפה מוטמעת כעת בחוק באמצעות חוק יישום חוק הנתונים (Uitvoeringswet dataverordening). הרשות ההולנדית לצרכנים ושווקים (ACM) היא הרשות המוסמכת לחלק הגדול ביותר של התקנה, כולל הפרקים על נתוני מוצר, שיתוף B2B וניידות ענן. רשות הגנת המידע ההולנדית (AP) מוסמכת על האלמנטים הרגישים לפרטיות ועל עיבוד נתונים אישיים במסגרת סעיפים מסוימים ופרק 5. שתי הרשויות רשאיות לנקוט בפעולות אכיפה בתחומן על ידי הטלת צו הכפוף לעונש או קנס מנהלי. חוק היישום קובע גם הסדר שיתוף פעולה וחילופי מידע בין ה-ACM ל-AP, כך ששני המפקחים יוכלו לפעול באופן מתואם בנושאים חופפים.
מה זה אומר בפועל?
עסקים המפתחים, מייבאים או מפיצים מוצרים מחוברים יבדקו בחוכמה את עיצוב המוצר ואת המבנה החוזי שלהם בניגוד לחוק הנתונים כבר עכשיו. עבור מוצרים שיוצאו לשוק לאחר 12 בספטמבר 2026, חובת העיצוב והנגישות חלה במלואה. ספקי שירותים המעבדים נתונים מטעם משתמשים צריכים לבחון אילו חובות שיתוף נתונים חלות עליהם והאם הסכמים קיימים - כולל סעיפי נתונים שנוסחו באופן חד צדדי - תואמים אותם.
אלו הממתינים עד שהאכיפה תתחיל מסתכנים בפיגור. התאמת מוצרים, שירותים וחוזים לתקנות החדשות בזמן אינה רק עניין של ציות , אלא גם מציגה הזדמנויות: אלו המציעים ללקוחותיהם שקיפות וגישה לנתונים בולטים בשוק שמבקר יותר ויותר את האופן שבו חברות מטפלות בנתונים.
האם יש לכם שאלות לגבי השלכות חוק הנתונים של האיחוד האירופי על העסק שלכם או על החוזים שלכם? עורכי הדין ב Law & More שמחים לסייע לך.
שאלות נפוצות
האם חוק הנתונים כבר חל על המוצרים המחוברים הקיימים שלי?
התקנה תחול החל מ-12 בספטמבר 2025, אך החובה לתכנן מוצרים מחוברים כך שהנתונים יהיו נגישים למשתמשים חלה רק על מוצרים שהוצאו לשוק לאחר 12 בספטמבר 2026. מוצרים קיימים שכבר היו בשוק לפני תאריך זה עדיין אינם מכוסים. עם זאת, יצרנים ויבואנים יפעלו בחוכמה להתאים את פיתוח המוצרים שלהם לדרישות החדשות כעת, כך שמוצרים עתידיים יהיו תואמים עם השקתם לשוק.
מה עליי לעשות אם חוזה הנתונים שלי מכיל סעיפים המגבילים את הגישה לנתונים?
על פי חוק הנתונים, תנאים חוזיים המוטלים באופן חד צדדי ומונעים מהצד השני להשתמש או לנצל את הנתונים שלו עשויים להיחשב כבלתי הוגנים ולכן לא מחייבים. מומלץ לבדוק חוזי נתונים קיימים לאיתור סעיפים כאלה. נטל ההוכחה שתנאי לא הוטל באופן חד צדדי מוטל על הצד שכלל אותו. משא ומתן מחודש מוקדם בדרך כלל יעיל יותר מהמתנה עד שהצד השני יפעיל את התקנה.
האם מותר לי לשתף מידע אישי במסגרת חוק המידע ללא בסיס משפטי של ה-GDPR?
לא. חוק המידע אינו מספק בסיס עצמאי לחשיפת מידע אישי. כאשר המשתמש אינו נושא המידע אשר מידע אישיו מבוקש, ניתן למסור מידע זה רק כאשר קיים בסיס משפטי תקף לפי סעיף 6 בתקנת ה-GDPR. יתר על כן, גישה לנתונים במסגרת חוק המידע אינה מספקת בסיס לשמירה או שימוש חוזר נוסף במידע האישי שנחשף מעבר למטרה המקורית. לכן, יש להבטיח בו זמנית את תאימות ה-GDPR ואת תאימות לחוק המידע.
האם אני עדיין יכול לגבות דמי מעבר כספק שירותי ענן?
החל מ-12 בינואר 2027, ספקי שירותי עיבוד נתונים אינם מורשים לגבות מלקוחות דמי מעבר. בנוסף, החל מ-12 בספטמבר 2025, לא יוטלו מכשולים טכניים, חוזיים או ארגוניים המונעים מעבר. העברת הנתונים בפועל בעת המעבר חייבת להתרחש גם היא ללא דיחוי בלתי סביר ולהסתיים תוך תקופת מעבר של שלושים יום לכל המאוחר. חוזים קיימים המכילים תקופות ארוכות יותר או דמי מעבר מצדיקים בחינה מחודשת.
איזו רשות פיקוח מוסמכת לאכיפת חוק הנתונים בהולנד?
האכיפה מחולקת בין הרשות ההולנדית לצרכנים ושווקים (ACM) לרשות ההולנדית להגנה על נתונים (AP). ה-ACM מוסמכת על החלק הגדול ביותר של התקנה, כולל ההוראות בנוגע לנתוני מוצרים, שיתוף B2B וניידות ענן. ה-AP מוסמכת על אלמנטים רגישים לפרטיות ועיבוד נתונים אישיים במסגרת סעיפים מסוימים ופרק V. שתי הרשויות רשאיות להטיל צו הכפוף לעונש או קנס מנהלי. הסעדים המקובלים במשפט המנהלי זמינים נגד החלטות כאלה, כולל התנגדות, ערעור וסעד זמני.
האם חוק המידע חל גם על עסקים קטנים?
התקנה מבחינה לפי גודל הארגון בכמה נקודות. לדוגמה, מיקרו-עסקים ועסקים קטנים פטורים, במקרים של בקשות נתונים ציבוריות במצב חירום, מחובת להנגיש נתונים ללא תשלום; במקרים אלה הם זכאים לפיצוי הוגן. עבור החובות האחרות - כולל חובת הנגישות למוצרים מחוברים ומבחן ההגינות עבור תנאי B2B - אין פטור כללי לעסקים קטנים ובינוניים. לכן, ספקים קטנים יותר של מוצרים מחוברים או שירותי ענן חייבים להתאים את פעילותם לתקנה מבעוד מועד.
