Jornal Oficial
da União Europeia
PT
Série L
2023/2854
22.12.2023
REGULAMENTO (UE) 2023/2854 DO PARLAMENTO EUROPEU E DO CONSELHO
de 13 de dezembro de 2023
relativo a regras harmonizadas sobre o acesso equitativo aos dados e a sua utilização e que altera o Regulamento (UE) 2017/2394 e a Diretiva (UE) 2020/1828 (Regulamento dos Dados)
(Texto relevante para efeitos do EEE)
O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.o,
Tendo em conta a proposta da Comissão Europeia,
Após transmissão do projeto de ato legislativo aos parlamentos nacionais,
Tendo em conta o parecer do Banco Central Europeu (1),
Tendo em conta o parecer do Comité Económico e Social Europeu (2),
Tendo em conta o parecer do Comité das Regiões (3),
Deliberando de acordo com o processo legislativo ordinário (4),
Considerando o seguinte:
(1)
Nos últimos anos, as tecnologias baseadas em dados têm tido efeitos transformadores em todos os setores da economia. A proliferação de produtos conectados à Internet, em particular, aumentou o volume e o valor potencial dos dados para os consumidores, as empresas e a sociedade. Dados interoperáveis e de elevada qualidade provenientes de diferentes domínios aumentam a competitividade e a inovação e asseguram um crescimento económico sustentável. Os mesmos dados podem ser utilizados e reutilizados para diversos fins e a um nível ilimitado, sem prejudicar a sua qualidade ou quantidade.
(2)
Os obstáculos à partilha de dados impedem uma distribuição otimizada dos dados em benefício da sociedade. Esses obstáculos incluem a ausência de incentivos para que os detentores dos dados celebrem voluntariamente acordos de partilha de dados, a incerteza quanto aos direitos e obrigações relacionados com os dados, os custos da contratação e da execução de interfaces técnicas, o elevado nível de fragmentação da informação em silos de dados, a má gestão dos metadados, a ausência de normas para a interoperabilidade semântica e técnica, os estrangulamentos que impedem o acesso aos dados, a ausência de práticas comuns de partilha de dados e os abusos de desequilíbrios contratuais no que respeita ao acesso aos dados e à sua utilização.
(3)
Nos setores que se caracterizam pela presença de microempresas, pequenas empresas e médias empresas (PME) na aceção do artigo 2.o do anexo da Recomendação 2003/361/CE da Comissão (5), verifica-se muitas vezes a ausência de capacidades e competências digitais para recolher, analisar e utilizar dados, sendo o acesso frequentemente limitado caso um único interveniente os detenha no sistema ou devido à falta de interoperabilidade entre dados, entre serviços de dados ou a nível transfronteiriço.
(4)
A fim de responder às necessidades da economia digital e de eliminar os obstáculos ao bom funcionamento do mercado interno dos dados, é necessário estabelecer um regime harmonizado que especifique quem tem direito a utilizar os dados relativos a um produto ou os relativos a serviços conexos, em que condições e com que fundamento. Por conseguinte, os Estados-Membros não deverão adotar ou manter requisitos nacionais adicionais relativos às matérias abrangidas pelo presente regulamento, salvo se explicitamente previsto no mesmo, uma vez que tal afetaria a sua aplicação direta e uniforme. Além disso, a ação ao nível da União deverá ter lugar sem prejuízo das obrigações e compromissos estabelecidos nos acordos comerciais internacionais celebrados pela União.
(5)
O presente regulamento garante que os utilizadores de um produto conectado ou serviço conexo na União podem aceder, em tempo útil, aos dados gerados pela utilização desse produto ou serviço conexo, e que podem utilizar esses dados, nomeadamente partilhando-os com terceiros da sua escolha. Impõe aos detentores dos dados a obrigação de disponibilizarem dados aos utilizadores e a terceiros escolhidos pelo utilizador em determinadas circunstâncias. Garante também que os detentores dos dados disponibilizam os dados aos destinatários dos dados na União ao abrigo de cláusulas e condições equitativas, razoáveis e não discriminatórias e de forma transparente. As regras do direito privado são fundamentais no regime global da partilha de dados. Por conseguinte, o presente regulamento adapta as regras do direito contratual e impede a exploração dos desequilíbrios contratuais que dificultam o acesso equitativo aos dados e a sua utilização. O presente regulamento garante também que, em caso de necessidade excecional, os detentores dos dados disponibilizam aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União os dados necessários para o desempenho de uma função específica de interesse público. Além disso, visa facilitar a mudança entre serviços de tratamento de dados e reforçar a interoperabilidade dos dados e dos mecanismos e serviços de partilha de dados na União. O presente regulamento não deverá ser interpretado como reconhecendo ou como conferindo aos detentores dos dados qualquer novo direito de utilizar os dados gerados pela utilização de um produto conectado ou serviço conexo.
(6)
A geração de dados é o resultado das ações de, pelo menos, dois intervenientes, nomeadamente o projetista ou o fabricante de um produto conectado, que, em muitos casos, pode ser também um prestador de serviços conexos, e o utilizador do produto conectado ou serviço conexo. Suscita questões de equidade na economia digital, uma vez que os dados registados por produtos conectados ou serviços conexos constituem um contributo importante para os serviços pós-venda, complementares e outros. A fim de tirar partido dos importantes benefícios económicos dos dados, nomeadamente através da partilha de dados com base em acordos voluntários e o desenvolvimento da criação de valor baseada em dados por parte das empresas da União, é preferível adotar uma abordagem geral que confira direitos no que respeita ao acesso aos dados e à utilização dos mesmos do que uma que conceda direitos exclusivos de acesso e utilização. O presente regulamento prevê regras horizontais que poderão posteriormente ser complementadas pelo direito da União ou nacional que dê resposta a situações específicas dos setores pertinentes.
(7)
O direito fundamental à proteção dos dados pessoais é salvaguardado, em particular, através dos Regulamentos (UE) 2016/679 (6) e (UE) 2018/1725 (7) do Parlamento Europeu e do Conselho. Além disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (8) protege a vida privada e a confidencialidade das comunicações, nomeadamente através de condições colocadas ao armazenamento de dados pessoais e não pessoais em equipamentos terminais e a qualquer acesso a partir dos mesmos. Esses atos legislativos da União constituem a base para um tratamento de dados sustentável e responsável, nomeadamente quando os conjuntos de dados incluem uma combinação de dados pessoais e não pessoais. O presente regulamento complementa e não prejudica o direito da União em matéria de proteção de dados pessoais e privacidade, nomeadamente os Regulamentos (UE) 2016/679 e (UE) 2018/1725 e a Diretiva 2002/58/CE. Nenhuma disposição do presente regulamento deverá ser aplicada ou interpretada de forma a diminuir ou limitar o direito à proteção dos dados pessoais ou o direito à privacidade e à confidencialidade das comunicações. Qualquer tratamento de dados pessoais nos termos do presente regulamento deverá cumprir o direito da União em matéria de proteção de dados, incluindo o requisito de que haja um fundamento jurídico válido para o tratamento nos termos do artigo 6.o do Regulamento (UE) 2016/679 e, se pertinente, as condições previstas no artigo 9.o desse regulamento e no artigo 5.o, n.o 3, da Diretiva 2002/58/CE. O presente regulamento não constitui um fundamento jurídico para a recolha ou a geração de dados pessoais por parte do detentor dos dados. O presente regulamento impõe aos detentores dos dados a obrigação de disponibilizar os dados pessoais aos utilizadores ou a terceiros escolhidos pelo utilizador, mediante pedido deste último. Esse acesso deverá ser facultado em relação aos dados pessoais que são objeto de tratamento pelo detentor dos dados com base em qualquer um dos fundamentos jurídicos a que se refere o artigo 6.o do Regulamento (UE) 2016/679. Se o utilizador não for o titular dos dados, o presente regulamento não cria um fundamento jurídico para facultar o acesso aos dados pessoais ou para os disponibilizar a terceiros, e não deverá ser entendido como conferindo ao detentor dos dados qualquer novo direito de utilizar os dados pessoais gerados pela utilização de um produto conectado ou serviço conexo. Nesses casos, poderá ser do interesse do utilizador promover o cumprimento dos requisitos do artigo 6.o do Regulamento (UE) 2016/679. Uma vez que o presente regulamento não deverá afetar negativamente os direitos dos titulares de dados em matéria de proteção de dados, o detentor dos dados poderá nesses casos satisfazer os pedidos, nomeadamente através da anonimização dos dados pessoais ou, caso os dados prontamente disponíveis contenham dados pessoais de vários titulares dos dados, através da transmissão apenas dos dados pessoais relativos ao utilizador.
(8)
Os princípios da minimização dos dados e da proteção dos dados desde a conceção e por defeito são essenciais quando o tratamento implica riscos significativos para os direitos fundamentais das pessoas. Tendo em conta as técnicas mais avançadas, todas as partes envolvidas na partilha de dados, incluindo a partilha de dados abrangida pelo presente regulamento, deverão aplicar medidas técnicas e organizativas para proteger esses direitos. Tais medidas incluem não só a pseudonimização e a cifragem, mas também a utilização de tecnologias cada vez mais disponíveis que permitem a introdução de algoritmos nos dados e a obtenção de informações valiosas sem a transmissão entre as partes ou a cópia desnecessária dos próprios dados, em bruto ou estruturados.
(9)
Salvo disposição em contrário no presente regulamento, este não afeta o direito nacional em matéria de contratos, nomeadamente as regras relativas à formação, à validade ou ao efeito dos contratos ou às consequências da rescisão de um contrato. O presente regulamento complementa e não prejudica o direito da União que visa promover os interesses dos consumidores e assegurar um elevado nível de defesa dos consumidores, e proteger a sua saúde, segurança e interesses económicos, nomeadamente a Diretivas 93/13/CEE do Conselho (9) e as Diretivas 2005/29/CE (10) e 2011/83/UE (11) do Parlamento Europeu e do Conselho.
(10)
O presente regulamento não prejudica os atos jurídicos da União e nacionais que preveem a partilha, o acesso e a utilização de dados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, ou para efeitos aduaneiros e fiscais, independentemente da base jurídica do Tratado sobre o Funcionamento da União Europeia (TFUE) com que tenham sido adotados, nem a cooperação internacional neste domínio, em particular com base na Convenção do Conselho da Europa sobre o Cibercrime (STE n.o 185), adotada em Budapeste em 23 de novembro de 2001. Tais atos incluem os Regulamentos (UE) 2021/784 (12), (UE) 2022/2065 (13) e (UE) 2023/1543 do Parlamento Europeu e do Conselho (14) e a Diretiva (UE) 2023/1544 do Parlamento Europeu e do Conselho (15). O presente regulamento não se aplica à recolha, partilha ou utilização de dados nem ao acesso aos mesmos ao abrigo do Regulamento (UE) 2015/847 do Parlamento Europeu e do Conselho (16) e da Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho (17). O presente regulamento não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União e não afeta, em caso algum, as competências dos Estados-Membros em matéria de segurança pública, defesa, segurança nacional, administração aduaneira e fiscal ou saúde e segurança dos cidadãos, independentemente do tipo de entidade incumbida pelos Estados-Membros de desempenhar funções relacionadas com essas competências.
(11)
O direito da União que estabelece requisitos em matéria de desenho do produto e de dados dos produtos a colocar no mercado da União não deverá ser afetado, salvo se especificamente previsto no presente regulamento.
(12)
O presente regulamento complementa e não prejudica o direito da União que visa estabelecer requisitos de acessibilidade de determinados produtos e serviços, em especial a Diretiva (UE) 2019/882 do Parlamento Europeu e do Conselho (18).
(13)
O presente regulamento não prejudica os atos jurídicos da União e os atos jurídicos nacionais que preveem a proteção de direitos de propriedade intelectual, incluindo as Diretivas 2001/29/CE (19), 2004/48/CE (20) e (UE) 2019/790 (21) do Parlamento Europeu e do Conselho.
(14)
Os produtos conectados que obtêm, geram ou recolhem, através dos seus componentes ou sistemas operativos, dados relativos ao seu desempenho, utilização ou ambiente, e que são capazes de comunicar esses dados através de um serviço de comunicações eletrónicas, uma conexão física ou acesso no dispositivo, frequentemente designados por Internet das coisas, deverão ser abrangidos pelo presente regulamento, com exceção dos protótipos. São exemplos desses serviços de comunicações eletrónicas, em especial, as redes telefónicas terrestres, as redes de televisão por cabo, as redes por satélite e as redes de comunicação de campo próximo. Os produtos conectados estão presentes em todos os aspetos da economia e da sociedade, inclusive nas infraestruturas privadas, civis ou comerciais, nos veículos, nos equipamentos de saúde e estilo de vida, nos navios, nas aeronaves, nos equipamentos domésticos e bens de consumo, nos dispositivos médicos e sanitários ou nas máquinas agrícolas e industriais. As escolhas dos fabricantes em termos de conceção e, se pertinente, o direito da União ou nacional destinado a dar resposta a necessidades e objetivos específicos de um setor, ou as decisões pertinentes das autoridades competentes, deverão determinar quais os dados que um produto conectado é capaz de disponibilizar.
(15)
Os dados representam a digitalização das ações e eventos do utilizador e, por conseguinte, deverão ser acessíveis ao mesmo. As regras relativas ao acesso aos dados provenientes de produtos conectados e serviços conexos e à sua utilização, nos termos do presente regulamento, dizem respeito tanto aos dados relativos a um produto como aos dados relativos a um serviço conexo. Os dados relativos a um produto referem-se aos dados gerados pela utilização de um produto conectado concebido pelo fabricante para que os mesmos sejam recuperáveis a partir do produto conectado por parte de um utilizador, de um detentor dos dados ou de terceiros, incluindo, se for caso disso, o fabricante. Os dados relativos a um serviço conexo referem-se aos dados que também representam a digitalização das ações ou eventos do utilizador relacionados com o produto conectado, gerados durante a prestação de um serviço conexo pelo prestador de serviços. Os dados gerados pela utilização de um produto conectado ou serviço conexo deverão ser entendidos como abrangendo os dados registados intencionalmente ou os dados que resultem indiretamente da ação do utilizador, como os dados sobre o ambiente ou as interações do produto conectado. Tal deverá incluir os dados relativos à utilização de um produto conectado gerados por uma interface de utilizador ou por meio de um serviço conexo e não deverá limitar-se à informação de que essa utilização ocorreu, devendo antes incluir todos os dados gerados pelo produto conectado em resultado dessa utilização, como os dados gerados automaticamente por sensores e os dados registados por aplicações incorporadas, incluindo as aplicações que indicam o estado do hardware e as anomalias de funcionamento. Deverá incluir ainda os dados gerados pelo produto conectado ou serviço conexo em períodos de inação por parte do utilizador, designadamente momentos em que o utilizador opte por não utilizar um produto conectado durante um determinado período de tempo, optando em vez disso por manter o produto conectado em modo de baixo consumo ou mesmo desligado, uma vez que o estado de um produto conectado ou dos seus componentes – por exemplo, as baterias – pode variar quando o produto está em modo de baixo consumo ou desligado. Os dados que não sejam substancialmente alterados, ou seja, dados em bruto – também designados por dados de origem ou primários – que se referem a pontos de informação gerados automaticamente sem qualquer outra forma de tratamento, e dados que foram objeto de pré-tratamento no intuito de os tornar compreensíveis e utilizáveis antes do tratamento e análise posteriores estão dentro do âmbito de aplicação do presente regulamento. Esses dados incluem dados recolhidos a partir de um único sensor ou de um grupo conectado de sensores, no intuito de tornar os dados recolhidos compreensíveis para casos de utilização mais amplos, através da determinação de uma quantidade ou qualidade física ou de alterações numa quantidade física, como a temperatura, a pressão, o caudal, o áudio, o pH, o nível de líquido, a posição, a aceleração ou a velocidade. O termo «dados objeto de pré-tratamento» não deverá ser interpretado de modo a impor ao detentor dos dados a obrigação de fazer investimentos substanciais na limpeza e transformação dos dados. Os dados a disponibilizar deverão incluir os metadados pertinentes, nomeadamente o seu contexto básico e carimbo temporal, a fim de tornar os dados utilizáveis, em combinação com outros dados, como os dados separados e classificados com outros pontos de informação que lhes digam respeito, ou reformatados num formato de uso corrente. Tais dados são potencialmente valiosos para o utilizador e apoiam a inovação e o desenvolvimento de serviços digitais e de outros serviços que protegem o ambiente, a saúde e a economia circular, nomeadamente por facilitarem a manutenção e a reparação dos produtos conectados em questão. Em contrapartida, não se deverão considerar abrangidas pelo âmbito de aplicação do presente regulamento as informações inferidas a partir desses dados ou deles derivadas que sejam o resultado de investimentos adicionais na atribuição de valores ou informações a partir dos dados, nomeadamente por meio de algoritmos complexos e exclusivos, incluindo os que façam parte de software abrangido por direitos de propriedade; por conseguinte, essas informações não deverão estar sujeitas à obrigação de o detentor dos dados as disponibilizar a um utilizador ou destinatário dos dados, salvo acordo em contrário entre o utilizador e o detentor dos dados. Esses dados poderão incluir, em especial, informações derivadas por meio da fusão de sensores, que infere ou obtém dados a partir de múltiplos sensores, recolhidas no produto conectado com recurso a algoritmos complexos exclusivos, e que poderão estar sujeitos a direitos de propriedade intelectual.
(16)
O presente regulamento permite que os utilizadores de produtos conectados beneficiem de serviços pós-venda, complementares e outros, baseados em dados recolhidos por sensores incorporados nesses produtos, já que a recolha desses dados poderá ter potencial valor para a melhoria do desempenho dos produtos conectados. É importante fazer uma distinção entre, por um lado, os mercados de fornecimento desses produtos conectados equipados com sensores e dos serviços conexos e, por outro, os mercados de software e conteúdos não relacionados com estes, nomeadamente conteúdos de texto, de áudio ou audiovisuais, que muitas vezes são abrangidos por direitos de propriedade intelectual. Consequentemente, os dados gerados por esses produtos equipados com sensores conectados, quando o utilizador grava, transmite, apresenta ou reproduz conteúdos, bem como os conteúdos em si, que estão muitas vezes abrangidos por direitos de propriedade intelectual, nomeadamente para utilização por um serviço em linha, não deverão ser abrangidos pelo presente regulamento. O presente regulamento também não deverá abranger dados que tenham sido obtidos, gerados ou acedidos a partir do produto conectado, ou que tenham sido transmitidos a este, para efeitos de conservação ou outras operações de tratamento em nome de outras partes que não o utilizador, como poderá ser o caso no que respeita a servidores ou infraestruturas de computação em nuvem operados pelos seus proprietários inteiramente em nome de terceiros, nomeadamente para utilização por um serviço em linha.
(17)
É necessário estabelecer regras relativas aos produtos conectados a um serviço conexo no momento da aquisição ou locação, de tal maneira que a sua ausência impediria o produto conectado de desempenhar uma ou mais das suas funções, ou que seja posteriormente conectado ao serviço pelo fabricante ou por um terceiro a fim de complementar ou adaptar a funcionalidade do produto conectado. Esses serviços conexos implicam o intercâmbio de dados entre o produto conectado e o prestador de serviços, e deverá considerar-se que estão explicitamente ligados ao funcionamento das funções do produto conectado, designadamente os serviços que, se aplicável, transmitem comandos ao produto conectado que possam ter impacto nas ações ou no comportamento do mesmo. Não deverão ser considerados serviços conexos os serviços que não tenham impacto no funcionamento do produto conectado e que não envolvem a transmissão de dados ou comandos ao produto conectado por parte do prestador de serviços. Esses serviços poderão incluir, por exemplo, serviços complementares de consultoria, de análise ou serviços financeiros, ou a reparação e manutenção regulares. Os serviços conexos poderão ser oferecidos no âmbito do contrato de aquisição ou locação. Os serviços conexos poderão também ser prestados para produtos conectados do mesmo tipo, podendo os utilizadores razoavelmente esperar que sejam prestados, tendo em conta a natureza do produto e declarações públicas feitas pelo vendedor, locador ou outras pessoas, ou em nome dos mesmos, em estádios anteriores da cadeia contratual, nomeadamente pelo fabricante. Esses serviços conexos podem, por sua vez, gerar dados de valor para o utilizador, independentemente das capacidades de recolha de dados do produto conectado com o qual estão interligados. O presente regulamento deverá também aplicar-se a um serviço conexo que não seja prestado pelo próprio vendedor ou locador, mas que seja prestado por um terceiro. Em caso de dúvida sobre se o serviço é prestado no âmbito do contrato de aquisição ou locação o presente regulamento deverá ser aplicável. Nem o fornecimento de energia nem o fornecimento da conectividade deverão ser interpretados como serviços conexos na aceção do presente regulamento.
(18)
O utilizador de um produto conectado deverá ser entendido como uma pessoa singular ou coletiva, como é o caso de uma empresa, um consumidor ou um organismo do setor público, que seja o proprietário de um produto conectado ou que tenha recebido determinados direitos temporários, por exemplo por meio de um contrato de locação, para aceder a dados obtidos a partir do produto conectado ou para utilizar esses dados, ou que receba serviços conexos para o produto conectado. Esses direitos de acesso não deverão alterar nem interferir de modo algum com os direitos dos titulares dos dados que possam estar a interagir com um produto conectado ou um serviço conexo em matéria de dados pessoais gerados pelo produto conectado ou durante a prestação do serviço conexo. O utilizador suporta os riscos e usufrui dos benefícios da utilização do produto conectado, devendo também beneficiar do acesso aos dados que esse produto gera. Por conseguinte, o utilizador deverá ter o direito de retirar benefícios dos dados gerados por esse produto conectado e por qualquer serviço conexo. Os proprietários ou locatários deverão também ser considerados utilizadores, inclusive quando várias entidades podem ser consideradas utilizadores. No contexto de múltiplos utilizadores, cada utilizador pode contribuir de forma diferente para a geração de dados e ter interesse em várias formas de utilização, como a gestão de frotas para uma empresa de locação financeira ou soluções de mobilidade para pessoas que utilizem um serviço de partilha de automóveis.
(19)
A literacia de dados refere-se às competências, aos conhecimentos e à compreensão que permitem aos utilizadores, consumidores e empresas, em particular as PME abrangidas pelo âmbito de aplicação do presente regulamento, tomar consciência do valor potencial dos dados que gerem, produzem e partilham, e estar motivados para oferecer e facultar o acesso aos seus dados em conformidade com as regras jurídicas pertinentes. A literacia de dados deverá ir além da aprendizagem de ferramentas e tecnologias e ter como objetivo equipar e capacitar cidadãos e empresas de modo a que possam beneficiar de um mercado de dados inclusivo e justo. A disseminação de medidas de literacia de dados e a introdução de medidas de seguimento adequadas poderá contribuir para melhorar as condições de trabalho e, em última análise, sustentar a consolidação e a trajetória de inovação da economia dos dados na União. As autoridades competentes deverão promover instrumentos e adotar medidas com vista a incrementar a literacia de dados dos utilizadores e das entidades abrangidas pelo âmbito de aplicação do presente regulamento, bem como a tomada de consciência dos seus direitos e obrigações ao abrigo do mesmo.
(20)
Na prática, nem todos os dados gerados por produtos conectados ou serviços conexos são facilmente acessíveis aos seus utilizadores, e as possibilidades relativas à portabilidade dos dados gerados por produtos conectados à Internet são, muitas vezes, limitadas. Os utilizadores não conseguem obter os dados necessários para recorrer a prestadores de serviços de reparação e outros, e as empresas não conseguem lançar serviços inovadores, convenientes e mais eficientes. Em muitos setores, os fabricantes são capazes de determinar, através do controlo que têm sobre a conceção técnica dos produtos conectados ou dos serviços conexos, quais os dados gerados e a forma de lhes aceder, apesar de não terem qualquer direito legal a esses dados. Por conseguinte, é necessário assegurar que os produtos conectados são concebidos e fabricados, e que os serviços conexos são concebidos e prestados, de modo a que os dados relativos a um produto e os dados relativos a um serviço conexo, nomeadamente os metadados pertinentes necessários para interpretar e utilizar esses dados, incluindo para efeitos de recuperação, utilização ou partilha dos mesmos, sejam sempre acessíveis aos utilizadores de forma fácil e segura, a título gratuito e num formato abrangente, estruturado, de uso corrente e de leitura automática. Os dados relativos a um produto e os dados relativos a um serviço conexo legalmente obtidos por um detentor dos dados ou suscetíveis de por ele serem legalmente obtidos a partir do produto conectado ou serviço conexo, designadamente através da conceção dos produtos conectados, do contrato entre o titular dos dados e o utilizador para a prestação de serviços conexos e dos meios técnicos de acesso aos dados, sem esforço desproporcionado, são designados por «dados prontamente disponíveis». Os dados prontamente disponíveis não incluem os dados gerados pela utilização de um produto conectado cuja conceção não preveja a conservação ou a transmissão desses dados fora do componente em que são gerados ou do produto conectado no seu conjunto. Por conseguinte, o presente regulamento não deverá ser entendido como impondo a obrigação de conservar os dados na unidade de processamento central de um produto conectado. A ausência de tal obrigação não deverá impedir o fabricante ou o detentor dos dados de acordarem voluntariamente com o utilizador a realização dessas adaptações. As obrigações em matéria de conceção previstas no presente regulamento também não prejudicam o princípio da minimização dos dados vertido no artigo 5.o, n.o 1, alínea c), do Regulamento (UE) 2016/679, nem deverão ser entendidas como impondo a obrigação de conceber produtos conectados e serviços conexos de modo a que conservem ou por qualquer forma tratem dados pessoais que não os dados pessoais necessários relativamente às finalidades para as quais são tratados. O direito da União ou nacional poderá ser introduzido para definir outras especificidades, como os dados relativos a um produto que deverão ser acessíveis a partir de produtos conectados ou serviços conexos, uma vez que esses dados poderão ser essenciais para o funcionamento, a reparação ou a manutenção eficientes desses produtos conectados ou serviços conexos. Caso as atualizações ou alterações a um produto conectado ou a um serviço conexo, subsequentemente efetuadas pelo fabricante ou por terceiros, levem a que fiquem acessíveis mais dados ou conduzam à restrição dos dados inicialmente acessíveis, tais mudanças deverão ser comunicadas ao utilizador no contexto da atualização ou alteração.
(21)
Caso várias pessoas ou entidades sejam consideradas utilizadores, por exemplo, num cenário de copropriedade ou em que um proprietário ou locatário partilhe direitos de acesso ou utilização dos dados, a conceção do produto conectado ou serviço conexo, ou da interface pertinente, deverão permitir que cada utilizador tenha acesso aos dados que gera. A utilização de produtos conectados que geram dados exige normalmente a criação de uma conta de utilizador. Tal conta permite que o utilizador seja identificado pelo titular dos dados, que pode ser o fabricante. Também pode ser utilizado como meio de comunicação e para apresentar e tratar pedidos de acesso a dados. Caso vários fabricantes ou prestadores de serviços conexos tenham vendido ou dado em locação produtos conectados ou prestado serviços conexos agrupados ao mesmo utilizador, esse utilizador deverá dirigir-se a cada uma das partes com as quais tenha celebrado um contrato. Os fabricantes ou projetistas de um produto conectado que seja normalmente utilizado por várias pessoas deverão criar os mecanismos necessários para possibilitar a existência de contas de utilizador separadas para pessoas individuais, se for caso disso, ou para permitir que várias pessoas utilizem a mesma conta de utilizador. As soluções relativas às contas deverão permitir que os utilizadores apaguem as suas contas e os dados com elas relacionados, e poderão permitir que os utilizadores ponham termo ao acesso aos dados, à utilização ou à partilha dos mesmos, ou apresentem pedidos nesse sentido, tendo nomeadamente em conta situações em que a propriedade ou a utilização do produto conectado se altere. O acesso deverá ser concedido ao utilizador com base num mecanismo de pedido simples que garanta a execução automática e que não exija uma análise ou autorização por parte do fabricante ou do detentor dos dados. Tal significa que esses dados só deverão ser disponibilizados caso o utilizador efetivamente deseje ter-lhes acesso. Se a execução automática do pedido de acesso aos dados não for possível, por exemplo através de uma conta de utilizador ou de uma aplicação móvel de acompanhamento fornecida com o produto conectado ou serviço conexo, o fabricante deverá informar o utilizador sobre a forma de aceder aos dados.
(22)
Os produtos conectados podem ser concebidos para tornar determinados dados diretamente acessíveis a partir de um armazenamento de dados no dispositivo ou de um servidor remoto ao qual se comuniquem os dados. O acesso ao armazenamento de dados no dispositivo pode realizar-se por meio de redes locais por cabo ou sem fios ligadas a um serviço de comunicações eletrónicas acessível ao público ou a uma rede móvel. O servidor poderá ser a capacidade do servidor local do próprio fabricante ou a capacidade de um terceiro ou de um prestador de serviços de computação em nuvem. Os subcontratantes, na aceção do artigo 4.o, ponto 8, do Regulamento (UE) 2016/679, não são considerados detentores dos dados. No entanto, eles podem ser especificamente incumbidos, pelo responsável pelo tratamento dos dados na aceção do artigo 24.o, ponto 7, do referido regulamento, de disponibilizar os dados. Os produtos conectados podem ser concebidos de forma a permitir que o utilizador ou um terceiro trate os dados no produto conectado ou num ambiente informático escolhido pelo utilizador ou pelo terceiro.
(23)
Os assistentes virtuais desempenham um papel cada vez mais importante na digitalização dos ambientes de consumo e dos ambientes profissionais e funcionam como uma interface de fácil utilização para reproduzir conteúdos, obter informações ou ativar produtos conectados à Internet. Podem funcionar como um portal único, por exemplo, num ambiente doméstico inteligente e registar quantidades significativas de dados pertinentes sobre a forma como os utilizadores interagem com os produtos ligados à internet, incluindo os fabricados por outras partes, podendo também substituir a utilização de interfaces fornecidas pelos fabricantes, como ecrãs táteis ou aplicações para telemóveis inteligentes. O utilizador pode querer disponibilizar esses dados a fabricantes terceiros e permitir novos serviços inteligentes. Os assistentes virtuais deverão ser abrangidos pelos direitos de acesso aos dados previstos no presente regulamento. Os dados gerados quando um utilizador interage com um produto conectado através de um assistente virtual fornecido por uma entidade que não o fabricante do produto conectado deverão igualmente ser abrangidos pelos direitos de acesso aos dados previstos no presente regulamento. No entanto, apenas os dados resultantes da interação entre o utilizador e um produto conectado ou serviço conexo através do assistente virtual deverão estar abrangidos pelo presente regulamento. Os dados produzidos pelo assistente virtual não relacionados com a utilização de um produto conectado ou serviço conexo não estão abrangidos pelo presente regulamento.
(24)
Antes da celebração de um contrato destinado à aquisição ou locação de um produto conectado, o vendedor ou locador, que poderá ser o fabricante, deverá facultar ao utilizador, de uma forma clara e compreensível, informação sobre os dados relativos a um produto que o produto conectado é capaz de gerar, incluindo o tipo, o formato e o volume estimado desses dados. Tal pode incluir informações sobre as estruturas de dados, os formatos dos dados, os vocabulários, os sistemas de classificação, as taxonomias e as listas de códigos, se disponíveis, bem como informações claras e suficientes que sejam pertinentes para o exercício dos direitos do utilizador sobre a forma de conservar, recuperar ou aceder aos dados, incluindo as condições de utilização e a qualidade do serviço das interfaces de programação de aplicações ou, se aplicável, a disponibilização de conjuntos de desenvolvimento de software. Essa obrigação proporciona transparência quanto à geração de dados relativos a um produto e reforça a facilidade de acesso do utilizador. A obrigação de facultar informações poderá ser cumprida, por exemplo, mantendo um localizador uniforme de recursos (endereço URL) estável na Web, o qual poderá ser distribuído como uma hiperligação Web ou um código QR que conduza às informações pertinentes e que poderá ser fornecido pelo vendedor ou locador, que pode ser o fabricante, ao utilizador antes da celebração do contrato de aquisição ou locação de um produto conectado. Em todo o caso, é necessário que o utilizador possa conservar as informações de uma forma acessível para consulta futura e que permita a reprodução inalterada das informações conservadas. Não é expectável que o detentor dos dados os conserve por tempo indeterminado para dar resposta às necessidades do utilizador do produto conectado; no entanto, deverá aplicar uma política de conservação de dados razoável, se for caso disso, em conformidade com o princípio da limitação da conservação nos termos do artigo 5.o, n.o 1, alínea e), do Regulamento (UE) 2016/679, que permita a aplicação efetiva dos direitos de acesso aos dados previstos no presente regulamento. A obrigação de facultar informações não afeta a obrigação de o responsável prestar informações ao titular dos dados nos termos dos artigos 12.o, 13.o e 14.o do Regulamento (UE) 2016/679. A obrigação de facultar informações antes da celebração de um contrato para a prestação de um serviço conexo deverá caber ao detentor prospetivo dos dados, independentemente de o detentor dos dados celebrar um contrato destinado à aquisição ou à locação de um produto conectado. Sempre que as informações mudem durante o tempo de vida do produto conectado ou durante o período de vigência do contrato para o serviço conexo, nomeadamente quando a finalidade da utilização desses dados se alterar em relação à finalidade inicialmente especificada, essas informações deverão também ser facultadas ao utilizador.
(25)
O presente regulamento não deverá ser entendido como conferindo aos detentores dos dados qualquer novo direito de utilizar os dados relativos a um produto ou os relativos a um serviço conexo. Se o fabricante de um produto conectado for um detentor dos dados, o fundamento para o fabricante utilizar dados não pessoais deverá ser um contrato entre o fabricante e o utilizador. Esse contrato poderá fazer parte de um acordo de prestação do serviço conexo, que poderá ser celebrado juntamente com o acordo de aquisição ou locação relativo ao produto conectado. Qualquer cláusula contratual que estipule que o detentor dos dados pode utilizar os dados relativos a um produto ou os relativos a um serviço conexo deverá ser transparente para o utilizador, nomeadamente no que respeita às finalidades para as quais o detentor dos dados tenciona utilizá-los. Essas finalidades podem incluir a melhoria do funcionamento do produto conectado ou dos serviços conexos, o desenvolvimento de novos produtos ou serviços, ou a agregação de dados com o objetivo de disponibilizar a terceiros os dados derivados resultantes, desde que esses dados derivados não permitam a identificação de dados específicos transmitidos ao detentor dos dados a partir do produto conectado e não permitam que um terceiro derive esses dados a partir do conjunto de dados. Quaisquer alterações do contrato deverão estar sujeitas ao acordo informado do utilizador. O presente regulamento não impede as partes de imporem cláusulas contratuais que tenham por efeito excluir ou limitar a utilização dos dados não pessoais, ou de determinadas categorias de dados não pessoais, por um detentor dos dados. Também não impede as partes de acordarem em disponibilizar os dados relativos a um produto ou os relativos a um serviço conexo, quer direta quer indiretamente, a terceiros, nomeadamente, quando aplicável, por intermédio de outro detentor dos dados. Além disso, o presente regulamento não deverá impedir o estabelecimento de requisitos regulamentares setoriais ao abrigo do direito da União, ou do direito nacional compatível com o direito da União, que excluam ou limitem a utilização de determinados dados pelo detentor dos dados por razões de ordem pública bem definidas. O presente regulamento não impede que, no âmbito das relações entre empresas, os utilizadores disponibilizem dados a terceiros ou a detentores dos dados ao abrigo de condições contratuais lícitas, o que inclui chegarem a acordo no sentido de limitar ou restringir a partilha ulterior desses dados, ou que sejam compensados de forma proporcionada, por exemplo, pela sua renúncia ao direito de utilizarem ou partilharem esses dados. Embora, de um modo geral, o conceito de «detentor dos dados» não inclua os organismos do setor público, poderá incluir empresas públicas.
(26)
Para fomentar o surgimento de mercados líquidos, equitativos e eficientes de dados não pessoais, os utilizadores de produtos conectados deverão poder partilhar dados com terceiros, incluindo para fins comerciais, sem terem de envidar grandes esforços jurídicos ou técnicos. Atualmente, para as empresas é muitas vezes difícil justificar os custos de computação ou os custos de pessoal inerentes à preparação de conjuntos de dados não pessoais ou de produtos de dados, bem como oferecê-los a potenciais contrapartes através de serviços de intermediação de dados, incluindo mercados de dados. Por conseguinte, a falta de previsibilidade dos benefícios económicos associados ao investimento na curadoria e disponibilização de conjuntos de dados ou produtos de dados representa um obstáculo considerável à partilha de dados não pessoais pelas empresas. A fim de possibilitar o surgimento, na União, de mercados líquidos, equitativos e eficientes de dados não pessoais, importa esclarecer que parte é que tem o direito de oferecer tais dados num mercado de dados. Por conseguinte, os utilizadores deverão ter o direito de partilhar dados não pessoais com destinatários dos dados para fins comerciais e não comerciais. Essa partilha de dados poderá ser efetuada ou diretamente pelo utilizador, ou, mediante pedido do utilizador, por intermédio de um detentor dos dados, ou através de serviços de intermediação de dados. Os serviços de intermediação de dados, regulados pelo Regulamento (UE) 2022/868 do Parlamento Europeu e do Conselho (22), poderão contribuir para uma economia dos dados, ao criarem relações comerciais entre os utilizadores, os destinatários dos dados e terceiros, e poderão ajudar os utilizadores no exercício do seu direito à utilização dos dados, designadamente através da garantia da anonimização dos dados pessoais ou da agregação do acesso aos dados por parte de vários utilizadores individuais. Sempre que os dados não estejam abrangidos pela obrigação do detentor dos dados de os disponibilizar a utilizadores ou a terceiros, o âmbito desses dados poderá ser especificado no contrato celebrado entre o utilizador e o detentor dos dados para a prestação de um serviço conexo, de forma a que os utilizadores possam determinar facilmente quais os dados cuja partilha com destinatários dos dados ou com terceiros está disponível. Os detentores dos dados não deverão disponibilizar a terceiros dados não pessoais relativos a um produto para fins, comerciais ou não comerciais, que não o cumprimento do seu contrato com o utilizador, sem prejuízo dos requisitos legais, nos termos do direito da União ou do direito nacional, de disponibilização de dados por parte dos detentores dos dados. Se pertinente, os detentores dos dados deverão vincular contratualmente terceiros a não partilhar os dados de si recebidos.
(27)
Nos setores que se caracterizam pela concentração de um pequeno número de fabricantes que fornecem produtos conectados a utilizadores finais, os utilizadores poderão dispor apenas de opções limitadas de acesso aos dados e de utilização e partilha dos mesmos. Nessas circunstâncias, os contratos poderão ser insuficientes para atingir o objetivo de capacitação dos utilizadores, tornando difícil que os utilizadores obtenham valor a partir dos dados gerados pelos produtos conectados que adquirem ou de que são locatários. Consequentemente, o potencial para as pequenas empresas inovadoras oferecerem soluções baseadas em dados de forma competitiva e para uma economia de dados diversificada na União é limitado. Por conseguinte, o presente regulamento deverá basear-se na evolução recente em setores específicos, como o Código de Conduta sobre a partilha de dados agrícolas através de um contrato. Podem ser adotadas disposições de direito da União ou nacional para dar resposta a necessidades e objetivos setoriais específicos. Além disso, os detentores dos dados não deverão utilizar quaisquer dados prontamente disponíveis que sejam dados não pessoais para obter informações sobre a situação económica do utilizador, os seus ativos ou métodos de produção, nem utilizar dados sobre uma utilização por parte do utilizador de qualquer forma que possa prejudicar a posição comercial desse utilizador nos mercados em que tem atividade. Tal poderia incluir a utilização de conhecimentos sobre o desempenho global de uma empresa ou de uma exploração agrícola em negociações contratuais com o utilizador sobre a potencial aquisição dos produtos ou produtos agrícolas do utilizador em detrimento do mesmo, ou a utilização dessa informação para alimentar bases de dados maiores em certos mercados no agregado, por exemplo, bases de dados sobre os rendimentos das colheitas para a época de colheita seguinte, uma vez que tal utilização poderia afetar negativamente o utilizador de uma forma indireta. O utilizador deverá dispor da interface técnica necessária para gerir as autorizações, de preferência com opções de autorização granulares como «permitir uma vez» ou «permitir durante a utilização desta aplicação ou serviço», incluindo a opção de retirar as autorizações.
(28)
Nos contratos entre um detentor dos dados e um consumidor na qualidade de utilizador de um produto conectado ou serviço conexo que gera dados, é aplicável o direito da União em matéria de defesa do consumidor, nomeadamente as Diretivas 93/13/CEE e 2005/29/CE, a fim de garantir que o consumidor não está sujeito a cláusulas contratuais abusivas. Para efeitos do presente regulamento, cláusulas contratuais abusivas impostas unilateralmente a uma empresa não deverão ser vinculativas para essa empresa.
(29)
Os detentores dos dados poderão exigir que o utilizador se identifique de forma adequada para verificar o seu direito de acesso aos dados. No caso de dados pessoais tratados por um subcontratante em nome do responsável pelo tratamento, os detentores dos dados deverão assegurar que o pedido de acesso é recebido e tratado pelo subcontratante.
(30)
O utilizador deverá ser livre de utilizar os dados para qualquer finalidade lícita, o que inclui o fornecimento dos dados que o utilizador recebeu, no exercício dos seus direitos nos termos do presente regulamento, a um terceiro que preste um serviço pós-venda que possa estar em concorrência com um serviço prestado por um detentor dos dados, ou dar instruções ao detentor dos dados para o fazer. O pedido deverá ser apresentado pelo utilizador ou por um terceiro autorizado que atue em nome deste, incluindo um prestador do serviço de intermediação de dados. Os detentores dos dados deverão assegurar que os dados disponibilizados ao terceiro são tão exatos, completos, fiáveis, pertinentes e atualizados como os dados aos quais o próprio detentor pode ou tem direito a aceder a partir da utilização do produto conectado ou serviço conexo. O manuseamento dos dados deverá respeitar os direitos de propriedade intelectual. É importante preservar os incentivos ao investimento em produtos com funcionalidades baseadas na utilização de dados provenientes de sensores incorporados nesses produtos.
(31)
A Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho (23) prevê que a aquisição, utilização ou divulgação de um segredo comercial é considerada legal, nomeadamente caso tal aquisição, utilização ou divulgação seja imposta ou permitida pelo direito da União ou pelo direito nacional. Embora o presente regulamento exija que os detentores dos dados divulguem determinados dados aos utilizadores, ou a terceiros escolhidos por um utilizador, mesmo se esses dados forem suscetíveis de ser protegidos como segredos comerciais, o mesmo deverá ser interpretado de forma a preservar a proteção concedida aos segredos comerciais nos termos da Diretiva (UE) 2016/943. Neste contexto, os detentores dos dados deverão poder solicitar aos utilizadores, ou a terceiros à escolha de um utilizador, que preservem a confidencialidade dos dados considerados como segredos comerciais. Para o efeito, os detentores dos dados deverão identificar os segredos comerciais antes da divulgação e deverão ter a possibilidade de chegar a acordo com os utilizadores, ou com terceiros escolhidos por um utilizador, sobre medidas necessárias para preservar a sua confidencialidade, nomeadamente utilizando modelos de cláusulas contratuais, acordos de confidencialidade, protocolos de acesso rigorosos, normas técnicas e a aplicação de códigos de conduta. Para além da utilização de modelos de cláusulas contratuais a desenvolver e a recomendar pela Comissão, o estabelecimento de códigos de conduta e de normas técnicas relacionados com a proteção dos segredos comerciais no tratamento dos dados poderá contribuir para a realização do objetivo do presente regulamento e deverá ser incentivado. Nos casos em que não haja acordo sobre as medidas necessárias ou em que o utilizador, ou os terceiros escolhidos pelo utilizador, não apliquem as medidas acordadas ou comprometam a confidencialidade dos segredos comerciais, o detentor dos dados deverá poder suster ou suspender a partilha dos dados identificados como segredos comerciais. Nesses casos, o detentor dos dados deverá fornecer a decisão por escrito ao utilizador ou ao terceiro e notificar sem demora injustificada a autoridade competente do Estado-Membro em que está estabelecido o detentor dos dados de que susteve ou suspendeu a partilha de dados, e deverá identificar as medidas que não foram acordadas ou aplicadas e, se pertinente, os segredos comerciais cuja confidencialidade foi comprometida. Os detentores dos dados não poderão, em princípio, recusar um pedido de acesso a dados ao abrigo do presente regulamento apenas com base na alegação de que determinados dados são considerados segredos comerciais, uma vez que tal condicionaria os efeitos pretendidos pelo presente regulamento. No entanto, em circunstâncias excecionais, um detentor dos dados que seja titular de um segredo comercial deverá poder, numa base casuística, recusar um pedido para os específicos dados em causa se conseguir demonstrar ao utilizador ou aos terceiros que, não obstante as medidas técnicas e organizativas adotadas pelo utilizador ou pelo terceiro, é altamente provável que resultem prejuízos económicos graves da divulgação desse segredo comercial. Os prejuízos económicos graves implicam que haja perdas económicas graves e irreparáveis. O detentor dos dados deverá fundamentar devidamente a sua recusa por escrito, sem demora injustificada, junto do utilizador ou do terceiro, e deverá notificar a autoridade competente. A referida fundamentação deverá basear-se em elementos objetivos que demonstrem o risco concreto de prejuízos económicos graves suscetíveis de resultar de uma divulgação de dados específica, bem como os motivos por que se considera que as medidas tomadas para salvaguardar os dados solicitados não são suficientes. Nesse contexto, poderá ser tido em conta um eventual impacto negativo na cibersegurança. Sem prejuízo do direito de obter reparação perante um órgão jurisdicional de um Estado-Membro, se um utilizador ou um terceiro pretender contestar a decisão do detentor dos dados de recusar ou de suster ou suspender a partilha de dados, o utilizador ou o terceiro poderá apresentar uma reclamação à autoridade competente, que deverá decidir, sem demora injustificada, se a partilha de dados deverá iniciar-se ou ser retomada e em que condições, ou poderá acordar com o detentor dos dados em submeter a questão à apreciação de um organismo de resolução de litígios. As exceções aos direitos de acesso aos dados previstas no presente regulamento não deverão limitar, em caso algum, o direito de acesso e direito à portabilidade dos dados dos titulares dos dados nos termos do Regulamento (UE) 2016/679.
(32)
O objetivo do presente regulamento não consiste apenas em promover o desenvolvimento de produtos conectados ou de serviços conexos novos e inovadores e em estimular a inovação nos mercados pós-venda, mas também em estimular o desenvolvimento de serviços inteiramente novos que utilizem os dados em causa, nomeadamente com base em dados provenientes de vários produtos conectados ou serviços conexos. Ao mesmo tempo, o presente regulamento pretende evitar comprometer os incentivos ao investimento para o tipo de produto conectado a partir do qual os dados são obtidos, por exemplo, através da utilização de dados para o desenvolvimento de um produto conectado concorrente que os utilizadores considerem permutável ou substituível, em especial com base nas características, no preço e na utilização pretendida do produto conectado. O presente regulamento não prevê a proibição do desenvolvimento de um serviço conexo que utilize dados obtidos ao abrigo do mesmo regulamento, uma vez que tal teria um efeito dissuasor indesejável na inovação. A proibição da utilização dos dados a que se tenha acedido ao abrigo do presente regulamento para desenvolver um produto conectado concorrente protege os esforços de inovação dos detentores dos dados. A possibilidade de um produto conectado concorrer com o produto conectado de origem dos dados depende do facto de os dois produtos conectados estarem em concorrência no mesmo mercado de produto. Esta situação deverá ser determinada com base nos princípios estabelecidos no direito da concorrência da União para definir o mercado de produto pertinente. No entanto, as finalidades lícitas para a utilização dos dados poderão incluir a engenharia inversa, desde que cumpra os requisitos previstos no presente regulamento e no direito da União ou no direito nacional. Poderá ser este o caso quando se trate da reparação ou do prolongamento do tempo de vida de um produto conectado ou da prestação de serviços pós-venda para produtos conectados.
(33)
Um terceiro a quem sejam disponibilizados dados poderá ser uma pessoa singular ou coletiva, como um consumidor, uma empresa, um organismo de investigação, uma organização sem fins lucrativos ou uma entidade que atue a título profissional. Ao disponibilizar os dados a terceiros, os detentores dos dados não deverão abusar da sua posição para procurar obter uma vantagem concorrencial nos mercados em que o detentor dos dados e o terceiro possam estar em concorrência direta. Por conseguinte, o detentor dos dados não deverá utilizar quaisquer dados prontamente disponíveis para obter informações sobre a situação económica do terceiro ou dos seus ativos ou métodos de produção, ou sobre a utilização de qualquer outra forma que possa prejudicar a posição comercial do terceiro nos mercados em que tem atividade. O utilizador deverá ter a possibilidade de partilhar dados não pessoais com terceiros para fins comerciais. Mediante acordo com o utilizador, e sob reserva do disposto no presente regulamento, os terceiros deverão poder transferir para outros terceiros os direitos de acesso aos dados concedidos pelo utilizador, incluindo em troca de uma compensação. Os intermediários de dados entre empresas e os sistemas de gestão de informações pessoais (SGIP), referidos como serviços de intermediação de dados no Regulamento (UE) 2022/868, poderão apoiar os utilizadores ou os terceiros no estabelecimento de relações comerciais com um número indeterminado de potenciais contrapartes para quaisquer finalidades lícitas abrangidas pelo âmbito de aplicação do presente regulamento. Esses serviços poderão desempenhar um papel vital na agregação do acesso aos dados, de modo a facilitar as análises de megadados ou a aprendizagem automática, desde que os utilizadores mantenham total controlo sobre a decisão de disponibilizar os seus dados para essa agregação, bem como sobre os termos comerciais ao abrigo dos quais os seus dados deverão ser utilizados.
(34)
A utilização de um produto conectado ou serviço conexo poderá gerar dados relativos ao titular dos dados, especialmente quando o utilizador é uma pessoa singular. O tratamento desses dados está sujeito às regras estabelecidas no Regulamento (UE) 2016/679, nomeadamente quando os dados pessoais e não pessoais de um conjunto de dados estejam indissociavelmente ligados. O titular dos dados poderá ser o utilizador ou outra pessoa singular. Os dados pessoais só poderão ser solicitados por um responsável pelo tratamento ou por um titular dos dados. Um utilizador que seja o titular dos dados tem direito, em determinadas circunstâncias, nos termos do Regulamento (UE) 2016/679, a aceder aos dados pessoais que digam respeito a esse utilizador, não sendo esse direito afetado pelo presente regulamento. Nos termos do presente regulamento, o utilizador que seja uma pessoa singular tem ainda o direito de aceder a todos os dados, pessoais e não pessoais, gerados pela utilização de um produto conectado. Se o utilizador não for o titular dos dados, mas uma empresa, incluindo um comerciante individual, mas não no caso de utilização doméstica conjunta do produto conectado, o utilizador deverá ser considerado responsável pelo tratamento. Por conseguinte, um utilizador que, na qualidade de responsável pelo tratamento, pretenda solicitar dados pessoais gerados pela utilização de um produto conectado ou serviço conexo deverá ter um fundamento jurídico para o tratamento dos dados, conforme exigido pelo artigo 6.o, n.o 1, do Regulamento (UE) 2016/679, como o consentimento do titular dos dados ou a execução de um contrato no qual o titular dos dados seja parte. Esse utilizador deverá assegurar que o titular dos dados seja devidamente informado das finalidades específicas, explícitas e legítimas do tratamento desses dados e da forma como o titular dos dados poderá exercer efetivamente os seus direitos. Caso o detentor dos dados e o utilizador sejam responsáveis conjuntos pelo tratamento na aceção do artigo 26.o do Regulamento (UE) 2016/679, deverão determinar, de um modo transparente, por meio de um acordo entre si, as respetivas responsabilidades pelo cumprimento do referido regulamento. Deverá entender-se que esse utilizador, depois da disponibilização dos dados, poderá, por sua vez, tornar-se detentor dos dados, se o mesmo satisfizer os critérios do presente regulamento e, assim, ficar sujeito às obrigações de disponibilização de dados nos termos do presente regulamento.
(35)
Os dados relativos a um produto ou os dados relativos a um serviço conexo só deverão ser disponibilizados a terceiros mediante pedido do utilizador. O presente regulamento complementa, em conformidade, o direito, previsto no artigo 20.o do Regulamento (UE) 2016/679, de os titulares dos dados receberem os dados pessoais que lhes digam respeito num formato estruturado, de uso corrente e de leitura automática, bem como de os transferirem para outro responsável pelo tratamento, se esses dados forem tratados por meios automatizados com base no artigo 6.o, n.o 1, alínea a), ou no artigo 9.o, n.o 2, alínea a), ou num contrato nos termos do artigo 6.o, n.o 1, alínea b) desse regulamento. Os titulares dos dados têm igualmente direito a que os dados pessoais sejam transmitidos diretamente entre os responsáveis pelo tratamento, mas unicamente se tal for tecnicamente viável. O artigo 20.o do Regulamento (UE) 2016/679 especifica que diz respeito aos dados fornecidos pelo titular, mas não especifica se tal exige um comportamento ativo por parte do titular dos dados ou se também é aplicável a situações em que um produto conectado ou serviço conexo, pela sua conceção, regista de forma passiva o comportamento de um titular dos dados ou outras informações relativas a um titular dos dados. O direito previsto no presente regulamento complementa, de várias formas, o direito de receber e transferir dados pessoais ao abrigo do artigo 20.o do Regulamento (UE) 2016/679. O presente regulamento concede aos utilizadores o direito de acesso e disponibilização a terceiros de quaisquer dados relativos a um produto ou dados relativos a um serviço conexo, independentemente da sua natureza enquanto dados pessoais, da distinção entre dados fornecidos ativamente ou registados de forma passiva e independentemente do fundamento jurídico do tratamento. Ao contrário do disposto no artigo 20.o do Regulamento (UE) 2016/679, o presente regulamento impõe e garante a viabilidade técnica do acesso de terceiros a todos os tipos de dados abrangidos pelo seu âmbito, sejam dados pessoais ou não, garantindo assim que os obstáculos técnicos deixam de dificultar ou impedir o acesso a esses dados. Possibilita igualmente aos detentores dos dados fixar uma compensação razoável a suportar por terceiros, mas não pelo utilizador, pelos custos incorridos com a disponibilização de acesso direto aos dados gerados pelo produto conectado do utilizador. Se um detentor dos dados e um terceiro não conseguirem chegar a acordo sobre as condições desse acesso direto, o titular dos dados não deverá, de modo algum, ser impedido de exercer os direitos previstos no Regulamento (UE) 2016/679, incluindo o direito à portabilidade dos dados, através de vias de recurso nos termos do referido regulamento. Neste contexto, deve entender-se que, em conformidade com o Regulamento (UE) 2016/679, um contrato não permite o tratamento de categorias especiais de dados pessoais pelo detentor dos dados ou pelo terceiro.
(36)
O acesso aos dados armazenados em equipamentos terminais, e acedidos a partir dos mesmos, está sujeito ao disposto na Diretiva 2002/58/CE e requer o consentimento do assinante ou utilizador, na aceção da referida diretiva, a menos que seja estritamente necessário para a prestação de um serviço da sociedade da informação explicitamente solicitado pelo utilizador ou pelo assinante ou exclusivamente para efeitos de transmissão de uma comunicação. A Diretiva 2002/58/CE protege a integridade do equipamento terminal de um utilizador relativamente à utilização das capacidades de tratamento e armazenamento e à recolha de informações. Os equipamentos da Internet das coisas são considerados equipamentos terminais se estiverem direta ou indiretamente ligados a uma rede pública de comunicações.
(37)
A fim de impedir a exploração dos utilizadores, os terceiros a quem os dados tenham sido disponibilizados mediante pedido do utilizador só deverão proceder ao tratamento desses dados para os fins acordados com o utilizador, e só deverão partilhá-los com outro terceiro com o acordo do utilizador em relação a essa partilha de dados.
(38)
Em consonância com o princípio da minimização dos dados, os terceiros só deverão ter acesso às informações necessárias para a prestação do serviço solicitado pelo utilizador. Tendo obtido acesso aos dados, o terceiro deverá proceder ao seu tratamento para as finalidades acordadas com o utilizador sem interferência do detentor dos dados. Para o utilizador, deverá ser tão fácil recusar ou interromper o acesso aos dados por parte do terceiro como autorizar o acesso. Nem os terceiros nem os detentores dos dados poderão dificultar excessivamente o exercício das escolhas ou dos direitos dos utilizadores, nomeadamente oferecendo escolhas aos utilizadores de forma não neutra, ou ao coagir, enganar ou manipular o utilizador, ou ao condicionar ou prejudicar a autonomia, a tomada de decisões ou as escolhas do utilizador, inclusive por meio de uma interface digital com o utilizador, ou parte dela. Nesse contexto, os terceiros ou detentores dos dados não deverão recorrer aos chamados «padrões obscuros» para a conceção das suas interfaces digitais. Os padrões obscuros consistem em técnicas de conceção que enganam ou induzem os consumidores em decisões que acarretam consequências negativas para os mesmos. Essas técnicas manipuladoras podem ser utilizadas para persuadir os utilizadores, em especial os consumidores vulneráveis, a adotar comportamentos indesejados, enganar os utilizadores incentivando-os a tomar decisões sobre operações de divulgação de dados ou distorcer indevidamente a tomada de decisões dos utilizadores do serviço, de uma forma que condiciona ou prejudica a sua autonomia, a tomada de decisões e a escolha. As práticas comerciais comuns e legítimas que cumprem o direito da União não deverão, por si só, ser consideradas padrões obscuros. Os terceiros e os detentores dos dados deverão cumprir as obrigações que lhes incumbem por força do direito da União aplicável, em especial os requisitos previstos nas Diretivas 98/6/CE (24) e 2000/31/CE (25) do Parlamento Europeu e do Conselho e nas Diretivas 2005/29/CE e 2011/83/UE.
(39)
Os terceiros deverão igualmente abster-se de utilizar os dados abrangidos pelo âmbito de aplicação do presente regulamento para traçar o perfil de pessoas, a menos que essas atividades de tratamento sejam estritamente necessárias para a prestação do serviço solicitado pelo utilizador, inclusive no contexto de tomadas de decisões automatizadas. O requisito de apagar os dados que já não sejam necessários para a finalidade acordada com o utilizador, salvo acordo em contrário relativamente aos dados não pessoais, complementa o direito do titular dos dados ao apagamento, nos termos do artigo 17.o do Regulamento (UE) 2016/679. Caso um terceiro seja prestador de um serviço de intermediação de dados, são aplicáveis as salvaguardas em relação ao titular dos dados previstas no Regulamento (UE) 2022/868. O terceiro pode utilizar os dados para desenvolver um produto conectado ou um serviço conexo novo e inovador, mas não para desenvolver um produto conectado concorrente.
(40)
As empresas em fase de arranque, as pequenas empresas, as empresas consideradas médias empresas nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE e as empresas dos setores tradicionais com capacidades digitais menos desenvolvidas têm dificuldade em obter acesso a dados pertinentes. O presente regulamento visa facilitar o acesso dessas entidades aos dados, assegurando simultaneamente que as obrigações que lhes correspondem sejam o mais proporcionadas possível, a fim de evitar o excesso de regulamentação. Ao mesmo tempo, surgiu um pequeno número de empresas de muito grande dimensão com um poder económico considerável na economia digital através da acumulação e da agregação de grandes volumes de dados e da infraestrutura tecnológica para os monetizar. Incluem-se nestas empresas de muito grande dimensão as que prestam serviços essenciais de plataforma que controlam ecossistemas de plataforma completos na economia digital, e que os operadores de mercado, existentes ou novos, são incapazes de desafiar ou contestar. O Regulamento (UE) 2022/1925 do Parlamento Europeu e do Conselho (26) visa corrigir estas ineficiências e desequilíbrios, conferindo à Comissão o poder de designar uma empresa na qualidade de «controlador de acesso», e impõe uma série de obrigações aos controladores de acesso assim designados, incluindo a proibição de combinar determinados dados sem consentimento e a obrigação de assegurar direitos efetivos de portabilidade dos dados nos termos do artigo 20.o do Regulamento (UE) 2016/679. Em conformidade com o Regulamento (UE) 2022/1925, e tendo em conta a capacidade indisputada dessas empresas para a obtenção de dados, a inclusão desses controladores de acesso como beneficiários do direito de acesso aos dados não seria necessária para alcançar o objetivo do presente regulamento e, por conseguinte, seria desproporcionada para os detentores dos dados sujeitos a essas obrigações. É igualmente provável que essa inclusão limitasse os benefícios do presente regulamento para as PME, que estão associados à equidade da distribuição do valor dos dados entre os diversos intervenientes no mercado. Tal significa que uma empresa que preste serviços essenciais de plataforma e que tenha sido designada como controladora de acesso não poderá solicitar nem obter acesso aos dados dos utilizadores gerados pela utilização de um produto conectado ou serviço conexo ou por um assistente virtual nos termos do presente regulamento. Além disso, os terceiros a quem se disponibilizam dados a pedido do utilizador não poderão disponibilizar os dados a um controlador de acesso. Por exemplo, o terceiro não poderá subcontratar a prestação de serviços a um controlador de acesso. Contudo, isso não impede que os terceiros utilizem serviços de tratamento de dados prestados por um controlador de acesso. De igual modo, tal não deverá impedir essas empresas de obterem e utilizarem os mesmos dados por outros meios lícitos. Os direitos de acesso previstos no presente regulamento contribuem para uma escolha mais alargada de serviços para os consumidores. Uma vez que os acordos voluntários entre controladores de acesso e detentores dos dados não são afetados, a limitação da concessão de acesso aos controladores de acesso não os excluiria do mercado nem os impediria de oferecer os seus serviços.
(41)
Tendo em conta o estado atual da tecnologia, seria demasiado oneroso impor a microempresas e pequenas empresas novas obrigações de conceção relativamente aos produtos conectados por si fabricados ou concebidos, ou aos serviços conexos por elas prestados. Todavia, tal não é o caso quando uma microempresa ou pequena empresa tem uma empresa parceira ou associada, na aceção do artigo 3.o do anexo da Recomendação 2003/361/CE, que não seja considerada microempresa ou pequena empresa, e quando é subcontratada para fabricar ou conceber um produto conectado ou prestar um serviço conexo. Nessas situações, a empresa que subcontratou o fabrico ou a conceção a uma microempresa ou pequena empresa está em condições de compensar adequadamente o subcontratante. Ainda assim, uma microempresa ou pequena empresa poderá estar sujeita aos requisitos estabelecidos no presente regulamento na qualidade de detentor dos dados, caso não seja o fabricante do produto conectado nem um prestador de serviços conexos. Deverá aplicar-se um período de transição às empresas que tenham sido consideradas médias empresas durante menos de um ano e aos produtos conectados durante um ano após a data em que tenham sido colocados no mercado por empresas médias. Esse período, de um ano, permite a essas empresas médias adaptarem-se e prepararem-se antes de enfrentarem a concorrência no mercado de serviços para os produtos conectados que essas empresas produzem, que se baseie nos direitos de acesso previstos no presente regulamento. O referido período de transição não se aplica quando uma empresa média tem empresas parceiras ou associadas que não sejam consideradas microempresas ou pequenas empresas ou quando essa empresa média não foi subcontratada para fabricar ou conceber um produto conectado ou prestar um serviço conexo.
(42)
Tendo em conta a multiplicidade de produtos conectados produzindo dados de natureza, volume e frequência diferentes, apresentando níveis diferentes de dados e de riscos de cibersegurança e proporcionando oportunidades económicas de valor diferente, e a fim de assegurar a coerência das práticas de partilha de dados no mercado interno, nomeadamente entre setores, e de incentivar e promover práticas equitativas de partilha de dados, mesmo em domínios em que esse direito de acesso aos dados não está previsto, o presente regulamento prevê regras horizontais sobre as disposições de acesso aos dados sempre que um detentor dos dados seja obrigado pelo direito da União ou pela legislação nacional adotada em conformidade com o direito da União a disponibilizar os dados a um destinatário dos dados. Esse acesso deverá basear-se em cláusulas e condições justos, razoáveis, não discriminatórias e transparentes. Essas regras gerais de acesso não são aplicáveis às obrigações de disponibilização de dados nos termos do Regulamento (UE) 2016/679. A partilha voluntária de dados não é afetada por essas regras. Os modelos de cláusulas contratuais não vinculativos para a partilha de dados entre empresas, a desenvolver e a recomendar pela Comissão, poderão ajudar as partes a celebrar contratos que incluam cláusulas e condições justas, razoáveis e não discriminatórias e que sejam aplicados de forma transparente. A celebração de contratos que possam incluir cláusulas contratuais de um modelo não vinculativo não deverá implicar que o direito de partilhar dados com terceiros esteja de modo algum sujeito à existência de um contrato desse tipo. Se as partes não conseguirem celebrar um contrato sobre a partilha de dados, inclusive com o apoio de organismos de resolução de litígios, poderão fazer valer perante os órgãos jurisdicionais nacionais o direito de partilhar dados com terceiros.
(43)
Com base no princípio da liberdade contratual, as partes deverão continuar a ser livres de negociar nos seus contratos as condições exatas para a disponibilização dos dados, no quadro das regras gerais de acesso para a disponibilização dos dados. As cláusulas desses contratos poderão incluir medidas técnicas e organizativas, nomeadamente no que toca à segurança dos dados.
(44)
A fim de assegurar que as condições de acesso obrigatório aos dados sejam equitativas para ambas as partes num contrato, as regras gerais em matéria de direitos de acesso aos dados deverão referir-se à regra destinada a evitar cláusulas contratuais abusivas.
(45)
Os acordos celebrados no âmbito de relações entre empresas com vista à disponibilização de dados não deverão ser discriminatórios em relação a categorias comparáveis de destinatários dos dados, independentemente de as partes serem grandes empresas ou PME. A fim de compensar a ausência de informações sobre as condições constantes de diferentes contratos, o que torna difícil para o destinatário dos dados avaliar se as condições de disponibilização dos dados são não discriminatórias, os detentores dos dados deverão ser responsáveis por demonstrar que uma cláusula contratual não é discriminatória. Não constitui discriminação ilícita o facto de um detentor dos dados utilizar diferentes cláusulas contratuais para disponibilizar dados, desde que essas diferenças sejam justificadas por razões objetivas. Essas obrigações são aplicáveis sem prejuízo do disposto no Regulamento (UE) 2016/679.
(46)
A fim de promover a continuação do investimento na geração e na disponibilização de dados valiosos, incluindo investimentos em ferramentas técnicas pertinentes, evitando simultaneamente encargos excessivos relacionados com o acesso aos dados e com a sua utilização que levem a que a partilha de dados deixe de ser comercialmente viável, o presente regulamento contém o princípio de que, no âmbito de relações entre empresas, os detentores dos dados podem solicitar uma compensação razoável quando forem obrigados, nos termos do direito da União ou da legislação nacional adotada em conformidade com o direito da União, a disponibilizar os dados a um destinatário dos dados. Essa compensação não deverá ser entendida como um pagamento pelos próprios dados. A Comissão deverá adotar orientações relativas ao cálculo de uma compensação razoável na economia dos dados.
(47)
Em primeiro lugar, a compensação razoável por cumprir a obrigação nos termos do direito da União ou da legislação nacional adotada em conformidade com o direito da União de cumprir um pedido de disponibilização de dados poderá incluir uma compensação pelos custos incorridos na disponibilização dos dados. Esses custos poderão ser custos técnicos, como os custos necessários para a reprodução, a difusão por meios eletrónicos e a conservação dos dados, mas não para a sua recolha ou geração. Esses custos técnicos poderão ainda incluir os custos do tratamento necessário para a disponibilização dos dados, incluindo os custos associados à formatação dos dados. Os custos relacionados com a disponibilização dos dados também poderão incluir os custos associados à facilitação de pedidos concretos de partilha de dados. Podem também variar em função do volume dos dados, bem como das disposições tomadas para a disponibilização dos dados. Os acordos a longo prazo entre os detentores e os destinatários dos dados, por exemplo através de um modelo de subscrição ou do recurso a contratos inteligentes, poderão reduzir os custos associados a operações periódicas ou repetitivas numa relação comercial. Os custos relacionados com a disponibilização dos dados poderão estar relacionados com um pedido específico ou ser partilhados entre pedidos. Se forem partilhados entre pedidos, o custo total da disponibilização dos dados não deverá recair sobre um único destinatário dos dados. Em segundo lugar, a compensação razoável poderá também incluir uma margem, exceto no que diz respeito às PME e às organizações de investigação sem fins lucrativos. A margem poderá variar em função de fatores relacionados com os próprios dados, como o seu volume, formato ou natureza. Poderá ter em conta os custos incorridos com a recolha dos dados. Por conseguinte, a margem poderá diminuir caso o detentor dos dados tenha recolhido os dados para efeitos da sua própria atividade, sem realizar investimentos consideráveis, ou poderá aumentar, caso, no âmbito da sua atividade, o detentor dos dados tenha realizado investimentos elevados na recolha de dados. A margem poderá ser limitada ou até inexistente em situações em que a utilização dos dados pelo destinatário dos dados não afete as atividades do detentor dos dados. O facto de os dados serem cogerados por um produto conectado de que o utilizador é proprietário ou locatário também poderá resultar numa redução da compensação, em comparação com outras situações em que os dados sejam gerados pelo detentor dos dados, por exemplo durante a prestação de um serviço conexo.
(48)
Não é necessário intervir em caso de partilha de dados entre grandes empresas, ou quando o detentor dos dados for uma pequena ou média empresa e o destinatário dos dados for uma grande empresa. Nesses casos, considera-se que as empresas são capazes de negociar a compensação, dentro dos limites do que é razoável e não discriminatório.
(49)
A fim de proteger as PME de encargos económicos excessivos que tornem demasiado difícil, do ponto de vista comercial, o desenvolvimento e a gestão de modelos empresariais inovadores, a compensação razoável que têm de pagar pela disponibilização dos dados não deverá exceder os custos diretamente relacionados com a disponibilização dos dados. Os custos diretamente relacionados são os custos imputáveis aos pedidos individuais, tendo em conta que as interfaces técnicas necessárias ou o respetivo software e conectividade são estabelecidos de forma permanente pelo detentor dos dados. Este regime deverá também aplicar-se às organizações de investigação sem fins lucrativos.
(50)
Em casos devidamente justificados, inclusive quando houver necessidade de salvaguardar a participação dos consumidores e a concorrência ou de promover a inovação em determinados mercados, pode ser prevista no direito da União ou na legislação nacional adotada em conformidade com o direito da União uma compensação regulamentada pela disponibilização de tipos de dados específicos.
(51)
A transparência é um princípio importante para garantir que a compensação solicitada por um detentor dos dados é razoável ou, se o destinatário dos dados for uma PME ou uma organização de investigação sem fins lucrativos, que a compensação não exceda os custos diretamente relacionados com a disponibilização dos dados ao seu destinatário e seja imputável ao pedido individual em causa. A fim de colocar os destinatários dos dados em condições de avaliar e verificar se a compensação cumpre os requisitos do presente regulamento, o detentor dos dados deverá facultar ao destinatário dos dados informações suficientemente pormenorizadas para o cálculo da compensação.
(52)
Assegurar o acesso a formas alternativas de resolução de litígios nacionais e transfronteiriços relacionados com a disponibilização de dados deverá beneficiar os detentores e os destinatários dos dados e, por conseguinte, reforçar a confiança na partilha de dados. Caso as partes não cheguem a acordo quanto a cláusulas e condições justas, razoáveis e não discriminatórias para a disponibilização de dados, os organismos de resolução de litígios deverão proporcionar às partes uma solução simples, rápida e de baixo custo. Embora o presente regulamento estabeleça apenas as condições que os organismos de resolução de litígios têm de cumprir para serem certificados, os Estados-Membros são livres de adotar quaisquer regras específicas para o procedimento de certificação, incluindo a caducidade ou a revogação da certificação. As disposições do presente regulamento em matéria de resolução de litígios não deverão exigir que os Estados-Membros criem organismos de resolução de litígios.
(53)
O procedimento de resolução de litígios previsto no presente regulamento é um procedimento voluntário que permite que os utilizadores, os detentores dos dados e os destinatários dos dados acordem em submeter os seus litígios à apreciação de organismos de resolução de litígios. Por conseguinte, as partes deverão ter a liberdade de se dirigirem a um organismo de resolução de litígios à sua escolha, dentro ou fora dos Estados-Membros em que estiverem estabelecidas.
(54)
A fim de evitar casos em que dois ou mais organismos de resolução de litígios sejam chamados a pronunciar-se sobre o mesmo litígio, em especial num contexto transfronteiriço, um organismo de resolução de litígios deverá poder recusar lidar com um pedido de resolução de um litígio que já tenha sido submetido a outro organismo de resolução de litígios ou a um órgão jurisdicional de um Estado-Membro.
(55)
A fim de assegurar a aplicação uniforme do presente regulamento, os organismos de resolução de litígios deverão ter em conta os modelos de cláusulas contratuais não vinculativos a desenvolver e a recomendar pela Comissão, bem como o direito da União ou nacional que especificam as obrigações de partilha de dados ou as orientações emitidas pelas autoridades setoriais para a aplicação desse direito.
(56)
As partes em processos de resolução de litígios não deverão ser impedidas de exercer os seus direitos fundamentais a vias de recurso efetivas e a um processo equitativo. Por conseguinte, a decisão de submeter um litígio a um organismo de resolução de litígios não deverá privar essas partes do seu direito de obter reparação perante um órgão jurisdicional de um Estado-Membro. Os organismos de resolução de litígios deverão tornar públicos os relatórios anuais de atividades.
(57)
Os detentores dos dados poderão aplicar medidas técnicas apropriadas de proteção a fim de impedir a divulgação ilícita dos dados ou o acesso ilícito aos mesmos. No entanto, essas medidas não deverão discriminar entre destinatários dos dados nem dificultar o acesso aos dados ou a sua utilização por parte dos utilizadores ou dos destinatários dos dados. Em caso de práticas abusivas por parte de um destinatário dos dados, como induzir o detentor dos dados em erro através da prestação de informações falsas com a intenção de utilizar os dados para fins ilícitos, incluindo o desenvolvimento de um produto conectado concorrente com base nos dados, o detentor dos dados e, se aplicável e caso não sejam a mesma pessoa, o titular do segredo comercial ou o utilizador poderão solicitar ao terceiro ou ao destinatário dos dados que aplique medidas corretivas sem demora injustificada. Esses pedidos, em especial os pedidos que visem pôr termo à produção, oferta ou colocação no mercado de bens, dados derivados ou serviços, bem como os que visem pôr termo à importação, exportação ou conservação de bens em infração ou a sua destruição, deverão ser avaliados à luz da sua proporcionalidade em relação aos interesses do detentor dos dados, do titular do segredo comercial ou do utilizador.
(58)
Quando uma parte se encontra numa posição negocial mais forte, existe o risco de essa parte poder tirar partido dessa posição em detrimento da outra parte contratante ao negociar o acesso aos dados, o que resulta num acesso aos dados menos viável do ponto de vista comercial e, por vezes, economicamente proibitivo. Esses desequilíbrios contratuais prejudicam todas as empresas que não dispõem de uma capacidade significativa para negociar as condições de acesso aos dados e que podem não ter outra alternativa senão aceitar cláusulas contratuais do tipo «pegar ou largar». Por conseguinte, as cláusulas contratuais abusivas que regulem o acesso e a utilização de dados, ou a responsabilidade e as vias de recurso pela violação ou cessação de obrigações relacionadas com dados, não deverão ser vinculativas para as empresas quando essas cláusulas tenham sido impostas unilateralmente a essas empresas.
(59)
As regras relativas às cláusulas contratuais deverão ter em conta o princípio da liberdade contratual enquanto conceito essencial nas relações entre empresas. Por conseguinte, nem todas as cláusulas contratuais deverão ser sujeitas a um teste do caráter abusivo, mas apenas as cláusulas impostas unilateralmente. Trata-se de situações do tipo «pegar ou largar», em que uma parte fornece uma determinada cláusula contratual e a outra empresa não pode influenciar o teor dessa cláusula, apesar de tentar negociá-la. Uma cláusula contratual simplesmente fornecida por uma das partes e aceite pela outra empresa ou uma cláusula negociada e subsequentemente acordada de forma alterada entre as partes contratantes não deverá considerar-se como tendo sido imposta unilateralmente.
(60)
Além disso, as regras relativas às cláusulas contratuais abusivas só deverão ser aplicáveis aos elementos de um contrato relacionados com a disponibilização de dados, ou seja, as cláusulas contratuais relativas ao acesso aos dados e à sua utilização, bem como à responsabilidade ou às vias de recurso em caso de violação e cessação de obrigações relacionadas com dados. As outras partes do mesmo contrato, não relacionadas com a disponibilização dos dados, não deverão ser sujeitas ao teste do caráter abusivo previsto no presente regulamento.
(61)
Os critérios de identificação das cláusulas contratuais abusivas só deverão ser aplicados a cláusulas contratuais excessivas em caso de abuso de uma posição negocial mais forte. A grande maioria das cláusulas contratuais que são comercialmente mais favoráveis para uma parte do que para a outra, incluindo as que são normais nos contratos entre empresas, constituem uma expressão normal do princípio da liberdade contratual e continuam a ser aplicáveis. Para efeitos do presente regulamento, um desvio manifesto das boas práticas comerciais inclui, nomeadamente, prejuízo objetivo da capacidade da parte à qual a cláusula foi imposta unilateralmente para proteger o seu interesse comercial legítimo nos dados em questão.
(62)
A fim de garantir a segurança jurídica, o presente regulamento estabelece uma lista de cláusulas que são sempre consideradas abusivas e uma lista de cláusulas que se presume serem abusivas. Neste último caso, a empresa que impõe a cláusula contratual deverá poder ilidir a presunção de caráter abusivo demonstrando que a cláusula contratual enumerada no presente regulamento não é abusiva no caso concreto em questão. Se uma cláusula contratual não constar da lista de cláusulas do presente regulamento que são sempre consideradas abusivas ou que se presume serem abusivas, aplica-se a disposição geral relativa ao caráter abusivo. A esse respeito, as cláusulas enumeradas como cláusulas contratuais abusivas no presente regulamento deverão servir de termo de comparação para a interpretação da disposição geral relativa ao caráter abusivo. Por último, os modelos de cláusulas contratuais não vinculativos para os contratos de partilha de dados entre empresas a desenvolver e a recomendar pela Comissão poderão também ser úteis para a negociação de contratos pelas partes comerciais. Se uma cláusula contratual for declarada abusiva, o contrato em causa deverá continuar a ser aplicável sem essa cláusula, salvo se a cláusula contratual abusiva não for dissociável das outras cláusulas do contrato.
(63)
Em situações de necessidade excecional, poderá ser necessário que os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União utilizem, no exercício das suas atribuições legais de interesse público, dados existentes, incluindo, se pertinente, metadados que os acompanhem, para dar resposta a emergências públicas ou noutros casos excecionais. As situações de necessidade excecional são circunstâncias imprevisíveis e limitadas no tempo, ao contrário de outras circunstâncias que podem ser planeadas, programadas, periódicas ou frequentes. Embora o conceito de «detentor dos dados» não inclua, de um modo geral, os organismos do setor público, poderá incluir as empresas públicas. Os organismos que realizam investigação e os organismos financiadores de investigação também poderão estar organizados como organismos do setor público ou como organismos de direito público. A fim de limitar os encargos para as empresas, as microempresas e pequenas empresas só deverão ser sujeitas à obrigação de fornecer dados aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União em situações de necessidade excecional quando tais dados são necessários para dar resposta a uma emergência pública e o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União não consigam obter esses dados por meios alternativos, de forma atempada e eficaz, em condições equivalentes.
(64)
No caso de emergências públicas, como emergências de saúde pública, emergências resultantes de catástrofes naturais, incluindo as agravadas pelas alterações climáticas e pela degradação ambiental, bem como catástrofes de grandes proporções de origem humana, como incidentes graves de cibersegurança, o interesse público resultante da utilização dos dados prevalecerá sobre o interesse dos detentores dos dados de disporem livremente dos dados que detêm. Nesse caso, os detentores dos dados deverão ser obrigados a disponibilizá-los aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União, a pedido destes. A existência de uma emergência pública deverá ser determinada ou declarada em conformidade com o direito da União ou nacional e com base nos procedimentos relevantes, incluindo os das organizações internacionais pertinentes. Nesses casos, o organismo do setor público deverá demonstrar que os dados abrangidos pelo pedido não poderiam ser obtidos de forma atempada e eficaz e em condições equivalentes por outra via, por exemplo, através do fornecimento voluntário de dados por outra empresa ou da consulta de uma base de dados pública.
(65)
Uma necessidade excecional poderá também resultar de situações que não sejam de emergência. Nesses casos, um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União deverão poder solicitar apenas dados não pessoais. O organismo do setor público deverá demonstrar que os dados são necessários para o cumprimento de uma função específica de interesse público explicitamente prevista por lei, como a produção de estatísticas oficiais ou a atenuação ou recuperação de uma emergência pública. Além disso, um tal pedido só poderá ser apresentado caso o organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União tenha identificado dados específicos que não poderiam ser obtidos de forma atempada e eficaz e em condições equivalentes por outra via, e apenas se tiver esgotado todos os outros meios à sua disposição para obter esses dados, como obter os dados através de acordos voluntários, nomeadamente adquirindo dados não pessoais no mercado às taxas de mercado, ou recorrendo às obrigações existentes de disponibilização de dados ou à adoção de novas medidas legislativas que pudessem assegurar a disponibilidade atempada dos dados. Deverão também aplicar-se as condições e os princípios aplicáveis aos pedidos, nomeadamente os que estão relacionados com a limitação das finalidades, a proporcionalidade, a transparência e os limites temporais. No caso de pedidos de dados necessários para a produção de estatísticas oficiais, o organismo do setor público requerente deverá igualmente demonstrar se o direito nacional lhe permite adquirir dados não pessoais no mercado.
(66)
O presente regulamento não deverá ser aplicável a acordos voluntários de intercâmbio de dados entre entidades privadas e públicas, incluindo o fornecimento de dados por PME, nem prejudicar esses acordos, e não prejudica os atos jurídicos da União que preveem pedidos de informação obrigatórios apresentados por entidades públicas a entidades privadas. O presente regulamento não deverá afetar as obrigações de fornecimento de dados impostas aos detentores dos dados por motivos de necessidade não excecional, nomeadamente nos casos em que a gama dos dados e dos detentores dos dados é conhecida ou em que a utilização dos dados pode ser efetuada periodicamente, como no caso das obrigações de comunicação de informações e das obrigações relativas ao mercado interno. O presente regulamento também não deverá afetar os requisitos de acesso aos dados para a verificação do cumprimento das regras aplicáveis, inclusive nos casos em que os organismos do setor público atribuem a função de verificação da conformidade a entidades que não são organismos do setor público.
(67)
O presente regulamento complementa e não prejudica o direito da União e o direito nacional que preveem o acesso a dados e a sua utilização para fins estatísticos, em especial o Regulamento (CE) n.o 223/2009 do Parlamento Europeu e do Conselho (27), bem como os atos jurídicos nacionais relacionados com estatísticas oficiais.
(68)
No exercício das suas funções nos domínios da prevenção, investigação, deteção ou repressão de infrações penais ou administrativas ou da execução de sanções penais e administrativas, bem como da recolha de dados para fins fiscais ou aduaneiros, os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União deverão recorrer às competências que lhes são conferidas pelo direito da União ou nacional. Por conseguinte, o presente regulamento não afeta atos legislativos de partilha, acesso e utilização de dados nesses domínios.
(69)
Em conformidade com o artigo 6.o, n.os 1 e 3, do Regulamento (UE) 2016/679, importa estabelecer um regime proporcional, limitado e previsível a nível da União aquando do estabelecimento do fundamento jurídico para a disponibilização de dados pelos seus detentores, em casos de necessidades excecionais, aos organismos do setor público, à Comissão, ao Banco Central Europeu ou a órgãos da União, a fim de garantir a segurança jurídica e de minimizar os encargos administrativos que recaem sobre as empresas. Para o efeito, os pedidos de dados apresentados pelos organismos do setor público, a Comissão, o Banco Central Europeu ou órgãos da União aos detentores dos dados deverão ser específicos, transparentes e proporcionados em termos do seu âmbito e da sua granularidade. A finalidade do pedido e a utilização prevista dos dados solicitados deverão ser específicas e claramente explicadas, permitindo simultaneamente a flexibilidade adequada para que a entidade requerente desempenhe as suas funções de interesse público. O pedido deverá igualmente respeitar os interesses legítimos dos detentores dos dados aos quais é apresentado. Os encargos para os detentores dos dados deverão ser minimizados, obrigando-se as entidades requerentes a respeitar o princípio da declaração única, que impede que os mesmos dados sejam solicitados várias vezes por mais do que um organismo do setor público ou pela Comissão, pelo Banco Central Europeu ou por órgãos da União. A fim de assegurar a transparência, os pedidos de dados apresentados pela Comissão, pelo Banco Central Europeu ou pelos órgãos da União deverão ser tornados públicos sem demora injustificada pela entidade que solicita os dados. O Banco Central Europeu e os órgãos da União deverão informar a Comissão dos seus pedidos. Se o pedido de dados tiver sido feito por um organismo do sector público, esse organismo deverá igualmente notificar o coordenador de dados do Estado-Membro em que o organismo do setor público está estabelecido. Deverá ser assegurada a disponibilização pública em linha de todos os pedidos. Uma vez recebida uma notificação do pedido de dados, a autoridade competente poderá decidir avaliar a legalidade do pedido e exercer as suas funções no que toca à execução e aplicação do presente regulamento. O coordenador de dados deverá assegurar a disponibilização pública em linha de todos os pedidos apresentados por organismos do setor público.
(70)
O objetivo da obrigação de fornecer os dados consiste em assegurar que os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União dispõem dos conhecimentos necessários para responder, prevenir ou recuperar de emergências públicas ou para manter a capacidade de desempenhar funções específicas expressamente previstas por lei. Os dados obtidos por essas entidades poderão ser comercialmente sensíveis. Por conseguinte, nem o Regulamento (UE) 2022/868 nem a Diretiva (UE) 2019/1024 do Parlamento Europeu e do Conselho (28) deverão ser aplicáveis aos dados disponibilizados nos termos do presente regulamento, nem estes deverão ser considerados como dados abertos disponíveis para reutilização por terceiros. Todavia, isso não deverá afetar a aplicabilidade da Diretiva (UE) 2019/1024 à reutilização de estatísticas oficiais para cuja elaboração tenham sido utilizados dados obtidos nos termos do presente regulamento, desde que a reutilização não inclua os dados subjacentes. Além disso, desde que sejam observadas as condições estabelecidas no presente regulamento, a possibilidade de partilhar os dados para a realização de investigação ou para o desenvolvimento, a produção e a divulgação de estatísticas oficiais não deverá ser afetada. Os organismos do setor público deverão também ser autorizados a proceder ao intercâmbio de dados obtidos nos termos do presente regulamento com outros organismos do setor público, a Comissão, o Banco Central Europeu ou órgãos da União, a fim de dar resposta às necessidades excecionais para as quais os dados tenham sido solicitados.
(71)
Os detentores dos dados deverão ter a possibilidade de recusar um pedido apresentado por um organismo do setor público, pela Comissão, pelo Banco Central Europeu ou por um órgão da União, ou solicitar a sua alteração, sem demora injustificada e, em qualquer caso, o mais tardar num período de cinco ou 30 dias úteis, em função da natureza da necessidade excecional invocada no pedido. Se for caso disso, o detentor dos dados deverá ter esta possibilidade se não tiver controlo sobre os dados solicitados, nomeadamente se não tiver acesso imediato aos dados e não puder determinar a sua disponibilidade. Deverá existir uma razão válida para a não disponibilização dos dados, se for possível demonstrar que o pedido é semelhante a um pedido apresentado anteriormente para o mesmo efeito por outro organismo do setor público, pela Comissão, pelo Banco Central Europeu ou por um órgão da União e o titular dos dados não tiver sido notificado do apagamento dos dados nos termos do presente regulamento. Um detentor dos dados que recuse o pedido ou solicite a sua alteração deverá comunicar a justificação subjacente ao organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União que solicita os dados. Caso os direitos sui generis das bases de dados ao abrigo da Diretiva 96/9/CE do Parlamento Europeu e do Conselho (29) sejam aplicáveis aos conjuntos de dados solicitados, os detentores dos dados deverão exercer os seus direitos de forma a não impedir o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União de obter os dados ou de os partilhar, em conformidade com o presente regulamento.
(72)
Em caso de necessidade excecional relacionada com uma resposta a uma emergência pública, os organismos do setor público deverão, sempre que possível, utilizar dados não pessoais. No caso de pedidos com base numa necessidade excecional não relacionada com uma emergência pública, não poderão ser solicitados dados pessoais. Caso o âmbito do pedido abranja dados pessoais, o detentor dos dados deverá anonimizá-los. Caso seja estritamente necessário incluir dados pessoais nos dados a disponibilizar a um organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União, ou caso a anonimização se revele impossível, a entidade que solicita os dados deverá demonstrar a estrita necessidade e as finalidades específicas e limitadas do tratamento. Deverão ser cumpridas as regras aplicáveis em matéria de proteção de dados pessoais. A disponibilização dos dados e a sua subsequente utilização deverão ser acompanhadas de salvaguardas dos direitos e interesses das pessoas a quem esses dados dizem respeito.
(73)
Os dados disponibilizados aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União com base numa necessidade excecional só deverão ser utilizados para as finalidades para as quais foram solicitados, salvo se o detentor dos dados que os disponibilizou tenha concordado expressamente que sejam utilizados para outras finalidades. Os dados deverão ser apagados quando deixarem de ser necessários para as finalidades indicadas no pedido, salvo acordo em contrário, devendo o detentor dos dados ser informado desse facto. O presente regulamento baseia-se nos regimes de acesso existentes na União e nos Estados-Membros e não altera o direito nacional relativo ao acesso do público aos documentos no contexto das obrigações de transparência. Os dados deverão ser apagados quando deixarem de ser necessários para o cumprimento das referidas obrigações de transparência.
(74)
Ao reutilizar dados fornecidos pelos seus detentores, os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União deverão respeitar o direito da União ou o direito nacional aplicável em vigor e as obrigações contratuais às quais o detentor dos dados está sujeito. Deverão abster-se de desenvolver ou melhorar um produto conectado ou serviço conexo que concorra com o produto conectado ou serviço conexo do detentor dos dados, bem como de partilhar os dados com terceiros para esses fins. Deverão igualmente proporcionar reconhecimento público aos detentores dos dados, a pedido destes, e ser responsáveis por manter os dados recebidos em segurança. Caso a divulgação de segredos comerciais do detentor dos dados a organismos do setor público, à Comissão, ao Banco Central Europeu ou a órgãos da União seja estritamente necessária para satisfazer a finalidade para a qual se solicitaram os dados, a confidencialidade dessa divulgação deverá ser garantida antes da divulgação dos dados.
(75)
Quando está em causa a salvaguarda de um bem público significativo, como é o caso da resposta a emergências públicas, não se deverá esperar que o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União em causa compense as empresas pelos dados obtidos. As emergências públicas são acontecimentos raros e nem todas essas emergências exigem a utilização de dados na posse das empresas. Ao mesmo tempo, a obrigação de fornecer dados poderá constituir um encargo considerável para as microempresas e pequenas empresas. Por conseguinte, estas deverão ser autorizadas a solicitar uma compensação mesmo no contexto de uma resposta a uma emergência pública. Por conseguinte, não é provável que as atividades comerciais dos detentores dos dados sejam afetadas negativamente em consequência do recurso ao presente regulamento pelos organismos do setor público, pela Comissão, pelo Banco Central Europeu ou pelos órgãos da União. Todavia, uma vez que os casos de necessidade excecional que não sejam a resposta a emergências públicas poderão ser mais frequentes, os detentores dos dados deverão, nesses casos, ter direito a uma compensação razoável, que não deverá exceder os custos técnicos e organizativos incorridos para satisfazer o pedido e a margem razoável necessária para disponibilizar os dados ao organismo do setor público, à Comissão, ao Banco Central Europeu ou ao órgão da União. A compensação não deverá ser entendida como um pagamento pelos próprios dados nem como sendo obrigatória. Os detentores dos dados não deverão poder solicitar uma compensação caso o direito nacional impeça os institutos nacionais de estatística ou outras autoridades nacionais responsáveis pela produção de estatísticas de compensar os detentores dos dados pela disponibilização dos mesmos. O organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União em causa deverão poder contestar o nível de compensação solicitado pelo detentor dos dados submetendo a questão à autoridade competente do Estado-Membro em que o detentor dos dados está estabelecido.
(76)
Um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União deverá ter direito a partilhar os dados que obteve na sequência do pedido com outras entidades ou pessoas, sempre que tal seja necessário para realizar atividades analíticas ou de investigação científica que não possa realizar por si próprio, desde que tais atividades sejam compatíveis com a finalidade para a qual os dados foram solicitados. Deverá informar atempadamente o detentor dos dados sobre essa partilha. Esses dados poderão também ser partilhados, nas mesmas circunstâncias, com os institutos nacionais de estatística e o Eurostat para o desenvolvimento, a produção e a divulgação de estatísticas oficiais. Essas atividades de investigação deverão, no entanto, ser compatíveis com a finalidade para a qual os dados foram solicitados, e o detentor dos dados deverá ser informado sobre a partilha posterior dos dados que forneceu. As pessoas singulares que realizam atividades de investigação ou as organizações de investigação com as quais estes dados sejam partilhados deverão prosseguir fins não lucrativos ou agir no contexto de uma missão de interesse público reconhecida pelo Estado. Para efeitos do presente regulamento, não deverão ser consideradas organizações de investigação as organizações sobre as quais empresas comerciais tenham uma influência significativa que lhes possibilite exercer controlo devido a situações estruturais que possam resultar num acesso preferencial aos resultados da investigação.
(77)
A fim de lidar com uma emergência pública transfronteiriça ou a outra necessidade excecional, os pedidos de dados poderão ser dirigidos a detentores dos dados em Estados-Membros que não o do organismo do setor público requerente. Nesse caso, o organismo do setor público requerente deverá notificar a autoridade competente do Estado-Membro em que o detentor dos dados está estabelecido, a fim de lhe permitir analisar o pedido à luz dos critérios estabelecidos no presente regulamento. Tal deverá ser igualmente aplicável aos pedidos apresentados pela Comissão, pelo Banco Central Europeu ou por um órgão da União. Caso sejam solicitados dados pessoais, o organismo do setor público deverá notificar a autoridade de controlo responsável pela fiscalização da aplicação do Regulamento (UE) 2016/679 no Estado-Membro em que o organismo do setor público está estabelecido. A autoridade competente em causa deverá estar habilitada a aconselhar o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União a cooperar com o organismo do setor público do Estado-Membro em que o detentor dos dados está estabelecido no que respeita à necessidade de assegurar a minimização dos encargos administrativos para o detentor dos dados. Quando a autoridade competente tenha objeções fundamentadas quanto à conformidade do pedido com o presente regulamento, deverá rejeitar o pedido do organismo do setor público, da Comissão, do Banco Central Europeu ou do órgão da União, que deverá ter em conta essas objeções antes de tomar iniciativas adicionais, incluindo voltar a apresentar o pedido.
(78)
A capacidade dos clientes de serviços de tratamento de dados, incluindo serviços de computação em nuvem e periféricos, de mudarem de um serviço de tratamento de dados para outro, mantendo ao mesmo tempo uma funcionalidade mínima do serviço e sem interrupções nos serviços, ou de utilizarem os serviços de vários prestadores em simultâneo sem obstáculos e custos de transferência dos dados indevidos, é uma condição fundamental para um mercado mais competitivo, com menos obstáculos à entrada de novos prestadores de serviços de tratamento de dados, bem como para assegurar uma maior resiliência para os utilizadores desses serviços. Os clientes que beneficiam de ofertas de serviços gratuitos deverão também beneficiar das disposições relativas à mudança de prestador de serviços estabelecidas no presente regulamento, de modo a que essas ofertas não resultem numa situação de vinculação para os clientes.
(79)
O Regulamento (UE) 2018/1807 do Parlamento Europeu e do Conselho (30) incentiva os prestadores de serviços de tratamento de dados a desenvolverem e aplicarem eficazmente códigos de conduta de autorregulação que abranjam as melhores práticas para, nomeadamente, facilitar a mudança de prestador de serviços de tratamento de dados e a portabilidade dos dados. Dada a limitada adesão aos quadros de autorregulação desenvolvidos em resposta a essas disposições e a indisponibilidade geral de normas e interfaces abertas, importa adotar um conjunto de obrigações regulamentares mínimas para os prestadores de serviços de tratamento de dados, a fim de eliminar os obstáculos pré-comerciais, comerciais, técnicos, contratuais e organizativos, os quais não se limitam à redução da velocidade da transferência de dados aquando da saída do cliente, que impedem uma mudança eficaz entre serviços de tratamento de dados.
(80)
Os serviços de tratamento de dados deverão abranger serviços que possibilitem um acesso em rede, ubíquo e a pedido, a um conjunto partilhado de recursos de computação configuráveis, moduláveis e adaptáveis, de natureza distribuída. Esses recursos de computação incluem recursos como redes, servidores ou outras infraestruturas virtuais ou físicas, software, incluindo ferramentas de desenvolvimento de software, armazenamento, aplicações e serviços. A capacidade do cliente do serviço de tratamento de dados para gerir autónoma e unilateralmente as capacidades de computação, como o tempo de acesso ao servidor ou o armazenamento em rede, sem qualquer interação humana por parte do prestador de serviços de tratamento de dados poderá descrever-se como exigindo um nível mínimo de esforço de gestão e como implicando um nível mínimo de interação entre o prestador e o cliente. O termo «ubíquo» utiliza-se para descrever as capacidades de computação que são disponibilizadas por meio da rede e a que se acede mediante mecanismos que promovem a utilização de diferentes plataformas para clientes «magros» (thin client) ou «gordos» (thick client) (desde navegadores Web a dispositivos móveis e estações de trabalho). O termo «modulável» refere-se a recursos de computação atribuídos de forma flexível pelo prestador de serviços de tratamento de dados, independentemente da localização geográfica dos recursos, a fim de fazer face às flutuações da procura. O termo «adaptável» utiliza-se para descrever os recursos de computação disponibilizados e libertados em função da procura, a fim de aumentar ou diminuir rapidamente os recursos disponíveis, consoante o volume de trabalho. O termo «conjunto partilhado» utiliza-se para descrever os recursos de computação fornecidos a múltiplos utilizadores que partilham um acesso comum ao serviço, mas cujo processamento é efetuado separadamente para cada utilizador, embora o serviço seja prestado a partir do mesmo equipamento eletrónico. O termo «distribuído» utiliza-se para descrever os recursos de computação localizados em diferentes computadores ou dispositivos ligados em rede, que comunicam e se coordenam entre si por via da transmissão de mensagens. O termo «altamente distribuído» utiliza-se para descrever os serviços de tratamento de dados que implicam o tratamento de dados mais próximo do local onde os dados são gerados ou recolhidos, por exemplo, num dispositivo conectado de tratamento de dados. Prevê-se que a computação periférica, uma forma de tratamento altamente distribuído de dados, gere novos modelos empresariais e de prestação de serviços em nuvem, que deverão ser abertos e interoperáveis desde o início.
(81)
O conceito genérico de «serviços de tratamento de dados» abrange um número substancial de serviços com uma vasta gama de diferentes finalidades, funcionalidades e configurações técnicas. Tal como normalmente entendidos pelos fornecedores e utilizadores e em consonância com normas amplamente utilizadas, os serviços de tratamento de dados inserem-se num ou mais dos seguintes três modelos de prestação de serviços de tratamento de dados, a saber, infraestrutura como serviço (IaaS, do inglês infrastructure as a service), plataforma como serviço (PaaS, do inglês platform as a service) e software como serviço (SaaS, do inglês software as a service). Esses modelos de prestação de serviços representam uma combinação específica e pré-estruturada de recursos informáticos oferecidos por um prestador de serviços de tratamento de dados. Esses três modelos fundamentais de prestação de serviços de tratamento de dados são ainda complementados por variações emergentes, cada uma compreendendo uma combinação distinta de recursos informáticos, como a conservação como serviço (Storage-as-a-Service) e a base de dados como serviço (Database-as-a-Service). Os serviços de tratamento de dados podem ser categorizados de forma mais granular e divididos numa lista não exaustiva de conjuntos de serviços de tratamento de dados que partilham o mesmo objetivo principal e as mesmas funcionalidades principais, bem como o mesmo tipo de modelos de tratamento de dados, que não estão relacionados com as características operacionais do serviço (mesmo tipo de serviço). Os serviços que se enquadram no mesmo tipo de serviço podem partilhar o mesmo modelo de prestação de serviços de tratamento de dados, no entanto, duas bases de dados que pareçam partilhar o mesmo objetivo principal podem, uma vez tido em conta o seu modelo de tratamento de dados, o seu modelo de distribuição e os casos de utilização a que se destinam, ser abrangidas por uma subcategoria mais granular de serviços semelhantes. Os serviços que se enquadram no mesmo tipo de serviço podem ter características diferentes e concorrentes, nomeadamente em termos de desempenho, segurança, resiliência e qualidade do serviço.
(82)
Comprometer a extração dos dados exportáveis que pertencem ao cliente a partir do prestador de serviços de tratamento de dados de origem poderá impedir o restabelecimento das funcionalidades do serviço na infraestrutura do prestador de tratamento de dados de serviços de destino. A fim de facilitar a estratégia de saída do cliente, evitar tarefas desnecessárias e pesadas e assegurar que o cliente não perde nenhum dos seus dados em consequência do processo de mudança, o prestador dos serviços de tratamento de dados de origem deverá informar antecipadamente o cliente sobre o âmbito dos dados que poderão ser exportados caso o cliente decida mudar para um serviço diferente prestado por um prestador de serviços de tratamento de dados diferente ou para uma infraestrutura informática local. O âmbito dos dados exportáveis deverá incluir, no mínimo, os dados de entrada e de saída, incluindo metadados, direta ou indiretamente gerados ou cogerados pela utilização do serviço de tratamento de dados por parte do cliente, excluindo quaisquer ativos ou dados do prestador de serviços de tratamento de dados ou de terceiros. Os dados exportáveis deverão excluir quaisquer ativos ou dados do prestador de serviços de tratamento de dados ou de terceiro protegidos por direitos de propriedade intelectual ou que constituam segredos comerciais desse prestador ou desse terceiro, ou dados relacionados com a integridade e a segurança do serviço cuja exportação exponha o prestador de serviços de tratamento de dados a vulnerabilidades de cibersegurança. Essas isenções não deverão impedir nem atrasar o processo de mudança.
(83)
Os ativos digitais referem-se a elementos em formato digital para os quais o cliente tem o direito de utilização, incluindo aplicações e metadados relacionados com a configuração de parâmetros, a segurança e a gestão dos direitos de acesso e de controlo, bem como a outros elementos, como manifestações de tecnologias de virtualização, incluindo máquinas virtuais e contentores. Os ativos digitais poderão ser transferidos se o cliente tiver o direito de utilização, independentemente da relação contratual com o serviço de tratamento de dados do qual o cliente se pretende mudar. Esses outros elementos são essenciais para a utilização eficaz dos dados e das aplicações do cliente no ambiente do prestador de serviços de tratamento de dados de destino.
(84)
O presente regulamento visa facilitar a mudança entre serviços de tratamento de dados, o que abrange as condições e ações necessárias para que um cliente rescinda um contrato de um serviço de tratamento de dados, celebre um ou mais novos contratos com diferentes prestadores de serviços de tratamento de dados, transfira os seus dados exportáveis e ativos digitais e, quando aplicável, beneficie de equivalência funcional.
(85)
A mudança é uma operação centrada no cliente que consiste em várias etapas, incluindo a extração de dados, que se refere ao descarregamento de dados do ecossistema de um prestador de serviços de tratamento de dados de origem; a transformação, caso os dados sejam estruturados de uma forma que não corresponda ao esquema do local de destino; e o carregamento dos dados num novo local de destino. Numa situação específica prevista no presente regulamento, a desagregação de um determinado serviço do contrato e a sua transferência para um prestador diferente deverá igualmente ser considerada uma mudança. O processo de mudança é, por vezes, gerido em nome do cliente por uma entidade terceira. Por conseguinte, todos os direitos e obrigações do cliente previstos pelo presente regulamento, incluindo a obrigação de cooperar de boa fé, deverão ser entendidos como aplicáveis a uma tal entidade terceira nessas circunstâncias. Os prestadores e os clientes de serviços de tratamento de dados têm diferentes níveis de responsabilidades, em função das etapas do processo referido. Por exemplo, o prestador de serviços de tratamento de dados de origem é responsável pela extração dos dados para um formato de leitura automática, mas são o cliente e o prestador de serviços de tratamento de dados de destino que carregam os dados para o novo ambiente, a menos que tenha sido obtido um serviço profissional específico de transição. Um cliente que pretenda exercer direitos relacionados com a mudança, previstos no presente regulamento, deverá informar o prestador de serviços de tratamento de dados de origem da decisão de mudar para um prestador de serviços de tratamento de dados diferente, de mudar para uma infraestrutura informática local ou de apagar os seus ativos e dados exportáveis.
(86)
Por equivalência funcional entende-se o restabelecimento, com base nos dados exportáveis e nos ativos digitais do cliente, de um nível mínimo de funcionalidade no ambiente de um novo serviço de tratamento de dados do mesmo tipo de serviço após a mudança, em que o serviço de tratamento de dados de destino produz um resultado materialmente comparável em resposta à mesma entrada de características partilhadas fornecida ao cliente ao abrigo do contrato. Só se poderá esperar que os prestadores de serviços de tratamento de dados facilitem a equivalência funcional para as características que tanto o serviço de origem como o serviço de tratamento de dados de destino ofereçam de forma independente. O presente regulamento não constitui uma obrigação para os prestadores de serviços de tratamento de dados de facilitar a equivalência funcional de prestadores de serviços de tratamento de dados, a não ser para os que oferecem serviços do modelo de prestação IaaS.
(87)
Os serviços de tratamento de dados são utilizados entre setores e variam em complexidade e tipo de serviço. Esta é uma consideração importante no que diz respeito ao processo de transferência e aos prazos. Não obstante, a prorrogação do período de transição por motivos de inviabilidade técnica, para permitir a conclusão do processo de mudança no prazo determinado, só poderá ser invocada em casos devidamente justificados. O ónus da prova a esse respeito deverá recair inteiramente sobre o prestador do serviço de tratamento de dados em causa. Tal não prejudica o direito exclusivo do cliente de prorrogar o período de transição, uma vez, por um período que o cliente considere mais adequado para os seus próprios fins. O cliente poderá invocar esse direito a uma prorrogação antes ou durante o período de transição, tendo em conta que o contrato continua a ser aplicável durante o período de transição.
(88)
Os encargos decorrentes da mudança são encargos impostos pelos prestadores de serviços de tratamento de dados aos clientes pelo processo de mudança. Normalmente, esses encargos destinam-se a transferir os custos em que o prestador de serviços de tratamento de dados de origem pode incorrer devido ao processo de mudança para o cliente que deseja mudar. Os custos relacionados com o trânsito dos dados de um prestador de serviços de tratamento de dados para outro ou para uma infraestrutura informática local («encargos decorrentes da saída de dados») ou os custos incorridos por ações de apoio específicas durante o processo de mudança são exemplos comuns de encargos decorrentes da mudança. Encargos decorrentes da saída de dados desnecessariamente elevados e outros encargos injustificados não relacionados com os reais encargos decorrentes da mudança impedem a mudança dos clientes, restringem o livre fluxo dos dados, têm o potencial de limitar a concorrência e causam efeitos de vinculação para os clientes, reduzindo os incentivos à escolha de um prestador de serviços diferente ou adicional. Por conseguinte, os encargos de mudança deverão ser abolidos três anos após a data de entrada em vigor do presente regulamento. Os prestadores de serviços de tratamento de dados deverão poder impor encargos decorrentes da mudança reduzidos até essa data.
(89)
Um prestador de serviços de tratamento de dados de origem deverá poder subcontratar determinadas tarefas e compensar entidades terceiras a fim de cumprir as obrigações previstas no presente regulamento. O cliente não deverá suportar os custos decorrentes da subcontratação de serviços levada a cabo pelo prestador de serviços de tratamento de dados de origem durante o processo de mudança, devendo esses custos ser considerados injustificados, a menos que cubram o trabalho realizado pelo prestador de serviços de tratamento de dados, a pedido do cliente, para prestar apoio adicional no processo de mudança que vá para além das obrigações do prestador relativamente à mudança expressamente previstas no presente regulamento. Nenhuma disposição do presente regulamento impede um cliente de compensar entidades terceiras pelo apoio no processo de migração ou as partes de acordarem contratos para a prestação de serviços de tratamento de dados de duração fixa, incluindo sanções proporcionadas de rescisão antecipada para cobrir a rescisão antecipada dos referidos contratos, em conformidade com o direito da União ou o direito nacional. A fim de incentivar a concorrência, a supressão gradual dos encargos associados à mudança entre diferentes prestadores de serviços de tratamento de dados deverá incluir especificamente os encargos decorrentes da saída de dados impostas por um prestador de serviços de tratamento de dados a um cliente. As taxas de serviço habituais para a prestação dos próprios serviços de tratamento de dados não constituem encargos decorrentes da mudança. Essas taxas de serviço habituais não estão sujeitas a supressão e continuam a ser aplicáveis até que o contrato de prestação dos serviços pertinentes deixe de ser aplicável. O presente regulamento permite ao cliente solicitar a prestação de serviços adicionais que vão para além das obrigações do prestador relativamente à mudança nos termos do presente regulamento. Esses serviços adicionais poderão ser prestados e cobrados pelo prestador quando são prestados a pedido do cliente e este aceita antecipadamente o preço desses serviços.
(90)
É necessária uma abordagem regulamentar à interoperabilidade que seja ambiciosa e promova a inovação, a fim de ultrapassar a vinculação a um prestador, que prejudica a concorrência e o desenvolvimento de novos serviços. A interoperabilidade entre serviços de tratamento de dados implica múltiplas interfaces e camadas de infraestruturas e de software, e raramente se limita a um teste binário relacionado com o facto de ser ou não ser viável. Ao invés, o desenvolvimento dessa interoperabilidade é alvo de uma análise de custo-benefício que se revela necessária para determinar se vale a pena procurar alcançar resultados razoavelmente previsíveis. A norma ISO/IEC 19941:2017 é um importante padrão internacional que constitui uma referência para a realização dos objetivos do presente regulamento, uma vez que contém considerações técnicas que esclarecem a complexidade de tal processo.
(91)
Caso os prestadores de serviços de tratamento de dados sejam, por sua vez, clientes de serviços de tratamento de dados prestados por um terceiro, beneficiarão eles próprios de uma mudança mais eficaz, mantendo-se simultaneamente vinculados às obrigações do presente regulamento no que se refere às suas próprias ofertas de serviços.
(92)
Os prestadores de serviços de tratamento de dados deverão ser obrigados a disponibilizar toda a assistência e apoio, no limite das suas capacidades e de forma proporcional às suas respetivas obrigações, que sejam necessários para que o processo de mudança para o serviço de outro prestador de serviços de tratamento de dados seja bem-sucedido, eficaz e seguro. O presente regulamento não exige que os prestadores de serviços de tratamento de dados desenvolvam novas categorias de serviços de tratamento de dados, nomeadamente na infraestrutura informática, ou com base na mesma, de diferentes prestadores de serviços de tratamento de dados, a fim de garantir a equivalência funcional num ambiente diferente dos seus próprios sistemas. Um prestador de serviços de tratamento de dados de origem não tem acesso ao ambiente do prestador de serviços de tratamento de dados de destino, nem tem informações sobre o mesmo. A equivalência funcional não deverá ser entendida como uma obrigação do prestador de serviços de tratamento de dados de origem de replicar o serviço em questão na infraestrutura do prestador de serviços de tratamento de dados de destino. Em vez disso, o prestador de origem deverá tomar todas as medidas razoáveis ao seu alcance para facilitar o processo de obtenção da equivalência funcional através do fornecimento de capacidades, de informações adequadas, de documentação, de apoio técnico e, se for caso disso, das ferramentas necessárias.
(93)
Os prestadores de serviços de tratamento de dados deverão também ser obrigados a eliminar os obstáculos existentes e a não impor novos obstáculos, inclusive aos clientes que pretendam mudar para uma infraestrutura informática local. Os obstáculos poderão, nomeadamente, ser de natureza pré-comercial, comercial, técnica, contratual ou organizativa. Os prestadores de serviços de tratamento de dados deverão também ser obrigados a eliminar os obstáculos à desagregação de um serviço individual específico de outros serviços de tratamento de dados prestados ao abrigo de um contrato e, na ausência de obstáculos técnicos importantes e comprovados que impeçam essa desagregação, a tornar o serviço pertinente disponível para a mudança.
(94)
Deverá ser mantido um elevado nível de segurança ao longo de todo o processo de mudança. Isto significa que o prestador de serviços de tratamento de dados de origem deverá alargar o nível de segurança a que se comprometeu para o serviço a todas as disposições técnicas pelas quais é responsável durante o processo de mudança, tais como as ligações de rede ou os dispositivos físicos. Não deverão ser afetados os direitos vigentes relativos à rescisão de contratos, incluindo os introduzidos pelo Regulamento (UE) 2016/679 e pela Diretiva (UE) 2019/770 do Parlamento Europeu e do Conselho (31). O presente regulamento não deverá ser entendido no sentido de impedir um prestador de serviços de tratamento de dados de disponibilizar aos clientes serviços, características e funcionalidades novos e melhorados, ou de competir com outros prestadores de serviços de tratamento de dados nessa base.
(95)
As informações a facultar pelos prestadores de serviços de tratamento de dados ao cliente poderão apoiar a estratégia de saída do cliente. Essas informações deverão incluir os procedimentos para dar início à mudança de serviço de tratamento de dados; os formatos de leitura automática para os quais podem ser exportados os dados do utilizador; as ferramentas destinadas a exportar os dados, incluindo interfaces abertas bem como informações sobre a compatibilidade com normas harmonizadas ou com especificações comuns baseadas em especificações de interoperabilidade aberta; informações sobre restrições e limitações técnicas conhecidas suscetíveis de afetar o processo de mudança; e uma estimativa do tempo necessário para concluir o processo de mudança.
(96)
A fim de facilitar a interoperabilidade e a mudança entre serviços de tratamento de dados, utilizadores e prestadores desses serviços deverão ponderar a utilização de ferramentas de execução e de conformidade, em particular as publicadas pela Comissão sob a forma de um conjunto de regras da UE para a computação em nuvem e um guia de orientação sobre contratos públicos de serviços de processamento de dados. Em especial, as cláusulas contratuais-tipo são benéficas porque aumentam a confiança nos serviços de tratamento de dados, criam uma relação mais equilibrada entre os utilizadores e os prestadores de serviços de tratamento de dados, e melhoram a segurança jurídica quanto às condições aplicáveis à mudança para outros serviços de tratamento de dados. Nesse contexto, os utilizadores e os prestadores de serviços de tratamento de dados deverão ponderar a utilização de cláusulas contratuais-tipo ou de outros instrumentos autorreguladores de conformidade, desde que cumpram plenamente o presente regulamento, elaborados por organismos ou grupos de peritos pertinentes criados ao abrigo do direito da União.
(97)
A fim de facilitar a mudança entre serviços de tratamento de dados, todas as partes envolvidas, incluindo os prestadores de serviços de tratamento de dados, tanto de origem como de destino, deverão cooperar de boa-fé para tornar o processo de mudança eficaz, e para permitir e assegurar a transferência segura e atempada dos dados necessários, num formato de uso corrente e de leitura automática, através de interfaces abertas, evitando simultaneamente perturbações do serviço e mantendo a continuidade do serviço.
(98)
Os serviços de tratamento de dados que digam respeito a serviços em que a maioria das características principais tenha sido personalizada para dar resposta às exigências específicas de um cliente individual ou em que todos os componentes tenham sido desenvolvidos para os fins solicitados por um cliente individual deverão ser isentos de algumas das obrigações aplicáveis à mudança de serviço de tratamento de dados. Tal não deverá incluir os serviços que o prestador de serviços de tratamento de dados oferece em larga escala comercial através do seu catálogo de serviços. Uma das obrigações do prestador de serviços de tratamento de dados é informar devidamente os potenciais clientes desses serviços, antes da celebração de um contrato, das obrigações previstas no presente regulamento que não se aplicam aos serviços em causa. Nada impede o prestador de serviços de tratamento de dados de, no futuro, implantar esses serviços em escala, caso em que esse prestador terá de cumprir todas as obrigações relativas à mudança previstas no presente regulamento.
(99)
Em consonância com o requisito mínimo de permitir a mudança de prestador de serviços de tratamento de dados, o presente regulamento visa igualmente melhorar a interoperabilidade para a utilização em paralelo de vários serviços de tratamento de dados com funcionalidades complementares. Trata-se de situações em que os clientes não rescindem um contrato para mudar para outro prestador de serviços de tratamento de dados, mas em que vários serviços de diferentes prestadores de serviços de tratamento de dados são utilizados em paralelo, de forma interoperável, para beneficiar das funcionalidades complementares dos diferentes serviços na configuração do sistema do cliente. No entanto, reconhece-se que a saída de dados de um prestador de serviços de tratamento de dados para outro para facilitar a utilização de serviços em paralelo poderá ser uma atividade contínua, ao contrário da saída única necessária no âmbito do processo de mudança. Por conseguinte, os prestadores de serviços de tratamento de dados deverão poder continuar a impor encargos decorrentes da saída de dados, sem exceder os custos incorridos, para efeitos de utilização em paralelo depois de um período de três anos a contar da data de entrada em vigor do presente regulamento. Tal é importante, nomeadamente, para a aplicação bem sucedida de estratégias multinuvem, que permitem aos clientes implementar estratégias informáticas capazes de perdurar no futuro e que diminuem a dependência de prestadores individuais de serviços de tratamento de dados. Facilitar uma abordagem multinuvem para os clientes de serviços de tratamento de dados poderá também contribuir para aumentar a sua resiliência operacional digital, tal como reconhecido pelo Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (32) em relação às instituições de serviços financeiros.
(100)
Prevê-se que as especificações e normas de interoperabilidade aberta elaboradas em conformidade com o anexo II do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (33) no domínio da interoperabilidade e da portabilidade favoreçam a emergência de um ambiente de computação em nuvem entre vários prestadores, um requisito fundamental para a inovação aberta na economia europeia dos dados. Uma vez que a adoção pelo mercado das normas identificadas no âmbito da iniciativa de coordenação da normalização em nuvem, concluída em 2016, foi limitada, é também necessário que a Comissão conte com as partes presentes no mercado para desenvolver especificações pertinentes de interoperabilidade aberta, a fim de acompanhar o ritmo acelerado do desenvolvimento tecnológico neste setor. Essas especificações de interoperabilidade aberta poderão então ser adotadas pela Comissão sob a forma de especificações comuns. Além disso, nos casos em que os processos impulsionados pelo mercado não tenham mostrado capacidade para estabelecer especificações ou normas comuns que facilitem uma interoperabilidade efetiva da computação em nuvem aos níveis da PaaS e do SaaS, a Comissão deverá ter a possibilidade, com base no presente regulamento e em conformidade com o Regulamento (UE) n.o 1025/2012, de solicitar aos organismos europeus de normalização que elaborem essas normas para tipos de serviço específicos, caso ainda não existam. Além disso, a Comissão incentivará as partes no mercado a elaborarem especificações pertinentes de interoperabilidade aberta. Após consulta das partes interessadas, a Comissão deverá poder impor, por meio de atos de execução, a utilização de normas harmonizadas para a interoperabilidade ou de especificações comuns para tipos de serviços específicos, através de uma referência num repositório central da União de normas relativas à interoperabilidade dos serviços de tratamento de dados. Os prestadores de serviços de tratamento de dados deverão assegurar a compatibilidade com essas normas harmonizadas e especificações comuns baseadas em especificações de interoperabilidade aberta, que não deverão ter um impacto negativo na segurança ou na integridade dos dados. As normas harmonizadas para a interoperabilidade dos serviços de tratamento de dados e as especificações comuns baseadas em especificações de interoperabilidade aberta só serão referenciadas se cumprirem os critérios especificados no presente regulamento, que têm o mesmo significado que os requisitos estabelecidos no anexo II do Regulamento (UE) n.o 1025/2012 e as facetas de interoperabilidade definidas nos termos da norma internacional ISO/IEC 19941:2017. Além disso, a normalização deverá ter em conta as necessidades das PME.
(101)
Os países terceiros poderão aprovar leis, regulamentos e outros atos normativos que visem a transferência direta de dados não pessoais localizados para além das fronteiras desses países, incluindo na União, ou conceder acesso governamental aos referidos dados. As decisões de órgãos jurisdicionais ou de outras autoridades judiciais ou administrativas, incluindo as autoridades de fiscalização e garantia do cumprimento de países terceiros, que exijam tal transferência ou acesso a dados não pessoais deverão ser executórias com base num acordo internacional, como um acordo de assistência judiciária mútua, em vigor entre o país terceiro em causa e a União ou um dos Estados-Membros. Noutros casos, poderão surgir situações em que um pedido de transferência de dados não pessoais ou de concessão de acesso a dados não pessoais decorrente da legislação de um país terceiro colida com a obrigação de proteção desses dados por força do direito da União ou do direito nacional do Estado-Membro pertinente, em especial no que diz respeito à proteção dos direitos fundamentais das pessoas singulares, como o direito à segurança e o direito a vias de recurso efetivas, ou dos interesses fundamentais de um Estado-Membro relacionados com a segurança nacional ou a defesa, bem como de proteção de dados comercialmente sensíveis, incluindo a proteção de segredos comerciais, e de proteção dos direitos de propriedade intelectual, incluindo os compromissos contratuais em matéria de confidencialidade nos termos dessa legislação. Na ausência de acordos internacionais que regulem essas matérias, a transferência ou o acesso a dados não pessoais só deverão ser permitidos caso se tenha verificado que a ordem jurídica do país terceiro exige que a decisão seja fundamentada, proporcionada e de caráter específico, e que as objeções fundamentadas do destinatário estejam sujeitas a controlo jurisdicional por um órgão jurisdicional competente de um país terceiro habilitado a ter em devida conta os interesses jurídicos relevantes do fornecedor desses dados. Sempre que possível, nos termos do pedido de acesso aos dados da autoridade do país terceiro, o prestador de serviços de tratamento de dados deverá poder informar o cliente cujos dados são solicitados antes de conceder acesso aos mesmos, a fim de verificar a existência de um potencial conflito desse acesso com o direito da União ou o direito nacional, como o relativo à proteção de dados comercialmente sensíveis, incluindo a proteção dos segredos comerciais e dos direitos de propriedade intelectual, bem como dos compromissos contratuais em matéria de confidencialidade.
(102)
A fim de promover uma maior confiança nos dados, é importante que as salvaguardas para assegurar o controlo dos dados pelos cidadãos, os organismos do setor público e as empresas da União sejam aplicadas na medida do possível. Além disso, importa respeitar o direito, os valores e as normas da União em matéria de segurança, proteção de dados e privacidade, e proteção dos consumidores, entre outras. A fim de impedir o acesso governamental ilícito a dados não pessoais por parte de autoridades de países terceiros, os prestadores de serviços de tratamento de dados abrangidos pelo presente regulamento, como os serviços de computação em nuvem e periféricos, deverão tomar todas as medidas razoáveis para impedir o acesso aos sistemas onde são conservados os dados não pessoais, incluindo, se pertinente, através da cifragem dos dados, da sujeição frequente a auditorias, da adesão verificada a sistemas pertinentes de certificação da fiabilidade da segurança e da alteração das políticas empresariais.
(103)
A normalização e a interoperabilidade semântica deverão desempenhar um papel fundamental na disponibilização de soluções técnicas que garantam a interoperabilidade nos espaços comuns europeus de dados e entre esses espaços, que constituem quadros interoperáveis de normas e práticas comuns, específicos a determinado fim, a determinado setor ou a vários setores e destinados a partilhar ou tratar conjuntamente os dados, nomeadamente para o desenvolvimento de novos produtos e serviços, a investigação científica ou iniciativas da sociedade civil. O presente regulamento prevê determinados requisitos essenciais para a interoperabilidade. Os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes que sejam entidades que facilitam ou participam na partilha de dados nos espaços comuns europeus de dados, incluindo os detentores dos dados, deverão cumprir esses requisitos no que diz respeito aos elementos sob o seu controlo. O cumprimento dessas regras poderá ser assegurado pela observância dos requisitos essenciais estabelecidos no presente regulamento, ou presumido pelo cumprimento de normas harmonizadas ou especificações comuns através de uma presunção de conformidade. A fim de facilitar a conformidade com os requisitos de interoperabilidade, há que conferir uma presunção de conformidade às soluções de interoperabilidade que cumprem as normas harmonizadas, ou partes das mesmas, nos termos do Regulamento (UE) n.o 1025/2012, que constitui o quadro por defeito para elaborar normas que prevejam tais presunções. A Comissão deverá avaliar os obstáculos à interoperabilidade e dar prioridade às necessidades de normalização, com base nas quais poderá solicitar a uma ou mais organizações europeias de normalização, nos termos do Regulamento (UE) n.o 1025/2012, que elaborem normas harmonizadas que satisfaçam os requisitos essenciais estabelecidos no presente regulamento. Se esses pedidos não resultarem em normas harmonizadas ou se essas normas harmonizadas forem insuficientes para garantir a conformidade com os requisitos essenciais do presente regulamento, a Comissão deverá poder adotar especificações comuns nesses domínios, desde que, ao fazê-lo, respeite devidamente o papel e as funções das organizações de normalização. As especificações comuns só deverão ser adotadas como solução de recurso excecional para facilitar o cumprimento dos requisitos essenciais do presente regulamento, ou em caso de bloqueio do processo de normalização ou em caso de atrasos no estabelecimento de normas harmonizadas adequadas. Caso o atraso se deva à complexidade técnica da norma em questão, a Comissão deverá tomar esse facto em consideração antes de ponderar o estabelecimento de especificações comuns. As especificações comuns deverão ser desenvolvidas de forma aberta e inclusiva e ter em conta, se pertinente, o aconselhamento prestado pelo Comité Europeu da Inovação de Dados criado pelo Regulamento (UE) 2022/868. Além disso, poderão ser adotadas especificações comuns em diferentes setores, em conformidade com ao direito da União ou nacional, com base nas necessidades específicas desses setores. Além disso, a Comissão deverá ter a possibilidade de impor o desenvolvimento de normas harmonizadas para a interoperabilidade dos serviços de tratamento de dados.
(104)
A fim de promover a interoperabilidade dos instrumentos para a execução automatizada dos acordos de partilha de dados, há que estabelecer requisitos essenciais para os contratos inteligentes que os profissionais criem para terceiros ou integrem em aplicações que apoiem a execução de acordos de partilha de dados. A fim de facilitar a conformidade desses contratos inteligentes com os referidos requisitos essenciais, há que conferir uma presunção de conformidade aos contratos inteligentes que cumprem as normas harmonizadas, ou partes das mesmas, nos termos do Regulamento (UE) n.o 1025/2012. A aceção de «contrato inteligente» no presente regulamento é tecnologicamente neutra. Os contratos inteligentes poderão, por exemplo, estar ligados a um livro-razão eletrónico. Os requisitos essenciais deverão aplicar-se apenas aos vendedores de contratos inteligentes, exceto nos casos em que estes desenvolvam internamente contratos inteligentes exclusivamente para uso interno. O requisito essencial de assegurar que os contratos inteligentes possam ser interrompidos e rescindidos implica o consentimento mútuo das partes no acordo de partilha de dados. A aplicabilidade das regras pertinentes do direito civil, contratual e de proteção dos consumidores aos acordos de partilha de dados não é, ou não deverá ser, afetada pela utilização de contratos inteligentes para a execução automatizada de tais acordos.
(105)
Para demonstrar o cumprimento dos requisitos essenciais estabelecidos no presente regulamento, o vendedor de um contrato inteligente ou, na sua ausência, a pessoa cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto da execução de um acordo, ou parte dele, de disponibilização de dados no contexto do presente regulamento deverá realizar uma avaliação da conformidade e emitir uma declaração de conformidade UE. Essa avaliação da conformidade deverá estar sujeita aos princípios gerais estabelecidos no Regulamento (CE) n.o 765/2008 do Parlamento Europeu e do Conselho (34) e na Decisão n.o 768/2008/CE do Parlamento Europeu e do Conselho (35).
(106)
Para além da obrigação dos profissionais que criam contratos inteligentes de cumprirem os requisitos essenciais, é igualmente importante incentivar os participantes em espaços de dados que oferecem dados ou serviços baseados em dados a outros participantes nos espaços comuns europeus de dados e entre estes a apoiarem a interoperabilidade dos instrumentos de partilha de dados, incluindo os contratos inteligentes.
(107)
A fim de assegurar a execução e a aplicação efetiva do presente regulamento, os Estados-Membros deverão designar uma ou várias autoridades competentes. Se um Estado-Membro designar mais do que uma autoridade competente, deverá designar igualmente uma delas como coordenador de dados. As autoridades competentes deverão colaborar entre si. Através do exercício dos seus poderes de investigação em conformidade com os procedimentos nacionais aplicáveis, as autoridades competentes deverão poder procurar e obter informações, em especial sobre as atividades de uma entidade abrangida pela sua competência e, inclusive no contexto de investigações conjuntas, tendo devidamente em conta o facto de as medidas de supervisão e aplicação efetiva relativas a uma entidade sob a competência de outro Estado-Membro deverem ser adotadas pela autoridade competente desse outro Estado-Membro, se for caso disso, em conformidade com os procedimentos relativos à cooperação transfronteiriça. As autoridades competentes deverão assistir-se mutuamente em tempo útil, em especial quando uma autoridade competente de um Estado-Membro detenha informações pertinentes para uma investigação realizada pelas autoridades competentes de outros Estados-Membros ou possa obter essas informações a que as autoridades competentes do Estado-Membro em que a entidade está estabelecida não tenham acesso. As autoridades competentes e os coordenadores de dados deverão estar identificados num registo público assegurado pela Comissão. O coordenador de dados poderá constituir um meio adicional para facilitar a cooperação em situações transfronteiriças, por exemplo quando uma autoridade competente de um determinado Estado-Membro não saiba a que autoridade se deve dirigir no Estado-Membro do coordenador de dados, nomeadamente quando o caso esteja relacionado com mais do que uma autoridade competente ou setor. O coordenador de dados deverá atuar, nomeadamente, como ponto de contacto único para todas as questões relacionadas com a aplicação do presente regulamento. Caso não tenha sido designado um coordenador de dados, a autoridade competente deverá assumir as funções atribuídas ao coordenador de dados nos termos do presente regulamento. As autoridades responsáveis pelo controlo do cumprimento do direito em matéria de proteção de dados e as autoridades competentes designadas ao abrigo do direito da União ou nacional deverão ser responsáveis pela execução do presente regulamento nos domínios da sua competência. A fim de evitar conflitos de interesses, as autoridades competentes responsáveis pela execução e pela fiscalização do cumprimento do presente regulamento no domínio da disponibilização de dados na sequência de um pedido com base em necessidades excecionais não deverão beneficiar do direito de apresentar um tal pedido.
(108)
A fim de fazer valer os seus direitos nos termos do presente regulamento, as pessoas singulares e coletivas deverão ter o direito de obter reparação pelas violações dos seus direitos ao abrigo do presente regulamento, mediante a apresentação de reclamações. Mediante pedido, o coordenador de dados deverá facultar todas as informações necessárias às pessoas singulares e coletivas para que apresentem as suas reclamações à autoridade competente adequada. Essas autoridades deverão ser obrigadas a cooperar para assegurar que a reclamação é tratada adequadamente e resolvida de forma eficaz e em tempo útil. A fim de utilizar o mecanismo da rede de cooperação de defesa do consumidor e possibilitar ações coletivas, o presente regulamento altera os anexos do Regulamento (UE) 2017/2394 do Parlamento Europeu e do Conselho (36) e da Diretiva (UE) 2020/1828 do Parlamento Europeu e do Conselho (37).
(109)
As autoridades competentes deverão garantir que os casos de infração às obrigações estabelecidas no presente regulamento são sujeitos a sanções. Tais sanções poderão incluir sanções financeiras, advertências, repreensões ou ordens para tornar as práticas comerciais conformes com as obrigações impostas pelo presente regulamento. As sanções estabelecidas pelos Estados-Membros deverão ser efetivas, proporcionadas e dissuasivas e deverão ter em conta as recomendações do Comité Europeu da Inovação de Dados contribuindo assim para alcançar o mais elevado nível possível de coerência no estabelecimento e na aplicação de sanções. Se for caso disso, as autoridades competentes deverão recorrer a medidas provisórias para limitar os efeitos de uma alegada infração enquanto a investigação dessa infração estiver em curso. Ao fazê-lo, deverão considerar nomeadamente a natureza, a gravidade, a dimensão e a duração da infração, tendo em conta o interesse público em causa, o âmbito e o tipo de atividades exercidas e a capacidade económica da parte infratora. Deverão ter igualmente em conta se a parte infratora não cumpre, de forma sistemática ou recorrente, as obrigações que lhe incumbem por força do presente regulamento. A fim de assegurar o respeito do princípio ne bis in idem e, em especial, para evitar que a mesma infração às obrigações previstas no presente regulamento seja sancionada mais do que uma vez, um Estado-Membro que tencione exercer a sua competência em relação a uma parte infratora que não está estabelecida e não designou um representante legal na União deverá informar, sem demora injustificada, todas as autoridades coordenadoras de dados, bem como a Comissão.
(110)
O Comité Europeu da Inovação de Dados deverá aconselhar e assistir a Comissão na coordenação das práticas e políticas nacionais sobre os domínios abrangidos pelo presente regulamento, bem como na realização dos seus objetivos em matéria de normalização técnica para reforçar a interoperabilidade. Deverá também desempenhar um papel fundamental na facilitação de debates abrangentes entre as autoridades competentes sobre a aplicação do presente regulamento e a fiscalização do seu cumprimento. Esse intercâmbio de informações destina-se a aumentar o acesso efetivo à justiça, bem como a cooperação policial e judiciária em toda a União. Entre outras funções, as autoridades competentes deverão utilizar o Comité Europeu da Inovação de Dados como plataforma para avaliar, coordenar e adotar recomendações sobre a fixação de sanções por infrações ao presente regulamento. Deverá permitir que as autoridades competentes, com a assistência da Comissão, coordenem a melhor abordagem para estabelecer e impor essas sanções. Essa abordagem evita a fragmentação, proporcionando simultaneamente flexibilidade aos Estados-Membros, e deverá conduzir a recomendações eficazes que apoiem a aplicação coerente do presente regulamento. O Comité Europeu da Inovação de Dados deverá também desempenhar um papel consultivo nos processos de normalização e na adoção de especificações comuns através de atos de execução, na adoção de atos delegados destinados a criar um mecanismo de controlo dos encargos decorrentes da mudança de prestador impostos pelos prestadores de serviços de tratamento de dados e a especificar mais pormenorizadamente os requisitos essenciais para a interoperabilidade dos dados, os mecanismos e serviços de partilha de dados bem como os espaços comuns europeus de dados. Deverá igualmente aconselhar e assistir a Comissão na adoção de diretrizes que estabeleçam especificações de interoperabilidade para o funcionamento dos espaços comuns europeus de dados.
(111)
A fim de ajudar as empresas a elaborar e negociar contratos, a Comissão deverá desenvolver e recomendar modelos de cláusulas contratuais não vinculativos para os contratos de partilha de dados entre empresas, tendo em conta, se necessário, as condições em setores específicos e as práticas existentes com mecanismos voluntários de partilha de dados. Esses modelos de cláusulas contratuais deverão constituir, antes de mais, um instrumento prático para ajudar, em especial, as PME a celebrar um contrato. Caso sejam utilizados de forma ampla e integral, esses modelos de cláusulas contratuais deverão também ter o efeito benéfico de influenciar a conceção dos contratos relativos ao acesso e a utilização de dados e, por conseguinte, de um modo mais geral, conduzir a relações contratuais mais justas no acesso e na partilha de dados.
(112)
A fim de eliminar o risco de os detentores dos dados incluídos em bases de dados, que foram obtidos ou gerados por meio de componentes físicos, por exemplo sensores, de um produto conectado e de um serviço conexo, ou de outros tipos de dados gerados por máquinas, reivindicarem o direito sui generis nos termos do artigo 7.o da Diretiva 96/9/CE, prejudicando assim, em particular, o exercício efetivo do direito dos utilizadores de acederem aos dados e os utilizarem, e o direito de partilharem dados com terceiros ao abrigo do presente regulamento, importa clarificar que o direito sui generis não é aplicável a essas bases de dados. Tal não afeta a eventual aplicação do direito sui generis nos termos do artigo 7.o da Diretiva 96/9/CE às bases de dados que contenham dados não abrangidos pelo âmbito de aplicação do presente regulamento, desde que sejam cumpridos os requisitos de proteção nos termos do n.o 1 do referido artigo.
(113)
A fim de ter em conta os aspetos técnicos dos serviços de tratamento de dados, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão para complementar o presente regulamento, a fim de ciar um mecanismo de controlo dos encargos decorrentes da mudança impostos pelos prestadores de serviços de tratamento de dados no mercado e de especificar mais pormenorizadamente os requisitos essenciais em matéria de interoperabilidade para os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (38). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da elaboração dos atos delegados.
(114)
A fim de assegurar condições uniformes para a execução do presente regulamento, deverão ser atribuídas competências de execução à Comissão para a adoção de especificações comuns destinadas a assegurar a interoperabilidade dos dados, de mecanismos de partilha de dados e serviços, bem como de espaços comuns europeus de dados, de especificações comuns para a interoperabilidade dos serviços de processamento de dados, e de especificações comuns para a interoperabilidade de contratos inteligentes. Deverão também ser atribuídas competências de execução à Comissão para efeitos de publicação das referências das normas harmonizadas e das especificações comuns para a interoperabilidade dos serviços de processamento de dados num repositório central da União de normas relativas à interoperabilidade dos serviços de tratamento de dados. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (39).
(115)
O presente regulamento não deverá prejudicar as regras relativas a necessidades específicas de setores ou domínios de interesse público individuais. Essas regras poderão incluir requisitos adicionais sobre os aspetos técnicos do acesso aos dados, como interfaces de acesso aos dados, ou a forma como o acesso aos dados poderá ser facultado, por exemplo, diretamente a partir do produto ou através de serviços de intermediação de dados. Essas regras poderão também incluir limites aos direitos dos detentores dos dados no que se refere ao acesso aos dados dos utilizadores e à sua utilização, ou outros aspetos para além do acesso aos dados e da sua utilização, por exemplo em matéria de governação ou de requisitos de segurança, incluindo requisitos de cibersegurança. O presente regulamento também não deverá prejudicar regras mais específicas no contexto do desenvolvimento de espaços comuns europeus de dados ou, sujeito às exceções previstas no presente regulamento, o direito da União e o direito nacional que preveem o acesso aos dados e a autorização da sua utilização para fins de investigação científica.
(116)
O presente regulamento não deverá afetar a aplicação das regras da concorrência, nomeadamente os artigos 101.o e 102.o do TFUE. As medidas previstas no presente regulamento não deverão ser utilizadas para restringir a concorrência de forma contrária ao TFUE.
(117)
A fim de permitir que os agentes abrangidos pelo âmbito do presente regulamento se adaptem às novas regras nele previstas e tomem as medidas técnicas necessárias, essas regras deverão ser aplicáveis a partir de 12 de setembro de 2025.
(118)
A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.o, n.os 1 e 2, do Regulamento (UE) 2018/1725 e emitiram o seu parecer em 4 de maio de 2022.
(119)
Atendendo a que os objetivos do presente regulamento, a saber, assegurar a equidade na repartição do valor dos dados entre os intervenientes na economia dos dados e promover o acesso e a utilização equitativos dos dados a fim de contribuir para a criação de um verdadeiro mercado interno dos dados, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à dimensão ou aos efeitos da ação e ao uso transfronteiriço dos dados, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos,
ADOTARAM O PRESENTE REGULAMENTO:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Artigo 1.o
Objeto e âmbito de aplicação
1. O presente regulamento estabelece regras harmonizadas sobre, nomeadamente:
a)
A disponibilização de dados relativos a um produto e de dados relativos a um serviço conexo ao utilizador do produto conectado ou do serviço conexo;
b)
A disponibilização de dados pelos detentores dos dados aos destinatários dos dados;
c)
A disponibilização de dados pelos detentores dos dados a organismos do setor público, à Comissão, ao Banco Central Europeu e aos órgãos da União, quando haja uma necessidade excecional desses dados, para o desempenho de uma missão específica de interesse público;
d)
A facilitação da mudança entre serviços de tratamento de dados;
e)
A introdução de salvaguardas contra o acesso ilícito de terceiros a dados não pessoais; e
f)
O desenvolvimento de normas de interoperabilidade para os dados a que se pretenda aceder e que se pretenda transferir e utilizar.
2. O presente regulamento abrange os dados pessoais e não pessoais, incluindo os seguintes tipos de dados, nos seguintes contextos:
a)
O capítulo II é aplicável aos dados, com exceção dos conteúdos, relativos ao desempenho, à utilização e ao ambiente dos produtos conectados e serviços conexos;
b)
O capítulo III é aplicável aos dados do setor privado sujeitos a obrigações legais de partilha de dados;
c)
O capítulo IV é aplicável aos dados do setor privado acedidos e utilizados com base em contratos entre empresas;
d)
O capítulo V é aplicável aos dados do setor privado, com destaque para os dados não pessoais;
e)
O capítulo VI é aplicável a todos os dados e serviços tratados por prestadores de serviços de tratamento de dados;
f)
O capítulo VII é aplicável aos dados não pessoais detidos na União por prestadores de serviços de tratamento de dados.
3. O presente regulamento é aplicável:
a)
Aos fabricantes de produtos conectados colocados no mercado da União e aos prestadores de serviços conexos, independentemente do local de estabelecimento desses fabricantes e prestadores;
b)
Aos utilizadores na União de produtos conectados ou serviços conexos referidos na alínea a);
c)
Aos detentores dos dados, independentemente do seu local de estabelecimento, que disponibilizam os dados a destinatários dos dados na União;
d)
Aos destinatários dos dados na União a quem os dados são disponibilizados;
e)
Aos organismos do setor público, à Comissão, ao Banco Central Europeu e aos órgãos da União que solicitam aos detentores dos dados que os disponibilizem quando exista uma necessidade excecional desses dados para o desempenho de uma missão específica de interesse público, e aos detentores dos dados que os facultam em resposta a esse pedido;
f)
Aos prestadores de serviços de tratamento de dados, independentemente do seu local de estabelecimento, que prestam esses serviços a clientes na União;
g)
Aos participantes em espaços de dados e aos vendedores de aplicações que utilizem contratos inteligentes e às pessoas cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto da execução de um acordo.
4. Sempre que o presente regulamento fizer referência a produtos conectados ou serviços conexos, entende-se que essas referências incluem igualmente os assistentes virtuais, na medida em que interajam com um produto conectado ou serviço conexo.
5. O presente regulamento não prejudica o direito da União e o direito nacional em matéria de proteção de dados pessoais, privacidade e confidencialidade das comunicações e integridade dos equipamentos terminais, os quais são aplicáveis aos dados pessoais tratados no âmbito dos direitos e obrigações estabelecidos no presente regulamento, nomeadamente os Regulamentos (UE) 2016/679 e (UE) 2018/1725 e a Diretiva 2002/58/CE, incluindo os poderes e as competências das autoridades de controlo ou os direitos dos titulares dos dados. Na medida em que os utilizadores sejam titulares dos dados, os direitos estabelecidos no capítulo II do presente regulamento complementam o direito de acesso por parte do titular dos dados e o direito de portabilidade dos dados previstos nos artigos 15.o e 20.o do Regulamento (UE) 2016/679. Em caso de conflito entre o presente regulamento e o direito da União em matéria de proteção de dados pessoais ou de privacidade, ou a legislação nacional adotada em conformidade com o referido direito da União, prevalece o direito da União ou o direito nacional aplicáveis em matéria de proteção de dados pessoais ou de privacidade.
6. O presente regulamento não é aplicável a acordos voluntários de intercâmbio de dados entre entidades privadas e públicas, nem prejudica esses acordos, em especial acordos voluntários de partilha de dados.
O presente regulamento não afeta os atos jurídicos nacionais ou da União que preveem a partilha, o acesso e a utilização de dados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, ou para efeitos aduaneiros e fiscais, nomeadamente os Regulamentos (UE) 2021/784, (UE) 2022/2065 e (UE) 2023/1543, a Diretiva (UE) 2023/1544 ou a cooperação internacional nesse domínio. O presente regulamento não é aplicável à recolha, partilha ou utilização de dados, nem ao acesso aos mesmos, nos termos do Regulamento (UE) 2015/847 e da Diretiva (UE) 2015/849. O presente regulamento não é aplicável a domínios não abrangidos pelo âmbito de aplicação do direito da União, e não afeta, em caso algum, as competências dos Estados-Membros em matéria de segurança pública, defesa ou segurança nacional, independentemente do tipo de entidade incumbida pelos Estados-Membros de desempenhar funções relacionadas com essas competências, nem os seus poderes para salvaguardar outras funções essenciais do Estado, nomeadamente a garantia da integridade territorial do Estado e a manutenção da ordem pública. O presente regulamento não afeta as competências dos Estados-Membros em matéria de administração aduaneira e fiscal ou de saúde e segurança dos cidadãos.
7. O presente regulamento complementa a abordagem de autorregulação constante do Regulamento (UE) 2018/1807 ao introduzir obrigações de aplicação geral em matéria de mudança de prestador de serviços de computação em nuvem.
8. O presente regulamento não prejudica os atos jurídicos nacionais e da União que preveem a proteção de direitos de propriedade intelectual, em especial as Diretivas 2001/29/CE, 2004/48/CE e (UE) 2019/790.
9. O presente regulamento complementa e não prejudica o direito da União que visa promover os interesses dos consumidores e assegurar um elevado nível de defesa dos consumidores, bem como proteger a sua saúde, segurança e interesses económicos, em especial as Diretivas 93/13/CEE, 2005/29/CE e 2011/83/UE.
10. O presente regulamento não obsta à celebração de contratos de caráter voluntário e lícito de partilha de dados, nomeadamente contratos celebrados numa base recíproca, que cumpram os requisitos previstos no presente regulamento.
Artigo 2.o
Definições
Para efeitos do presente regulamento, entende-se por:
1)
«Dados», qualquer representação digital de atos, factos ou informações e qualquer compilação desses atos, factos ou informações, incluindo sob a forma de gravação sonora, visual ou audiovisual;
2)
«Metadados», uma descrição estruturada do conteúdo ou da utilização dos dados, que facilita a pesquisa ou a utilização desses dados;
3)
«Dados pessoais», dados pessoais na aceção do artigo 4.o, ponto 1, do Regulamento (UE) 2016/679;
4)
«Dados não pessoais», dados que não sejam dados pessoais;
5)
«Produto conectado», um bem que obtém, gera ou recolhe dados relativos à sua utilização ou ao seu ambiente e que é capaz de comunicar dados relativos a um produto através de um serviço de comunicações eletrónicas, de uma conexão física ou do acesso no dispositivo, e cuja função principal não consiste na conservação, no tratamento ou na transmissão de dados em nome de quaisquer partes que não sejam o utilizador;
6)
«Serviço conexo», um serviço digital, que não seja um serviço de comunicações eletrónicas, incluindo software, conectado ao produto no momento da aquisição ou locação de tal modo que a sua ausência impediria que o produto conectado desempenhasse uma ou mais das suas funções, ou conectado posteriormente ao produto pelo fabricante ou por terceiros, a fim de aumentar, atualizar ou adaptar as funções do produto conectado;
7)
«Tratamento», uma operação ou um conjunto de operações efetuadas sobre dados ou conjuntos de dados, através de procedimentos automatizados ou não automatizados, como por exemplo a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, a difusão ou quaisquer outros meios de disponibilização dos mesmos, o alinhamento ou a combinação, a limitação, o apagamento ou a destruição;
8)
«Serviço de tratamento de dados», um serviço digital que é prestado a um cliente e que permite um acesso em rede, ubíquo e a pedido, a um conjunto partilhado de recursos de computação configuráveis, moduláveis e adaptáveis, de natureza centralizada, distribuída ou altamente distribuída, que é suscetível de ser rapidamente disponibilizado e libertado com um nível mínimo de esforço de gestão ou de interação com o prestador do serviço;
9)
«Mesmo tipo de serviço», um conjunto de serviços de tratamento de dados que partilham o mesmo objetivo principal, o mesmo modelo de serviço de tratamento de dados e as principais funcionalidades;
10)
«Serviço de intermediação de dados», um serviço de intermediação de dados na aceção do artigo 2.o, ponto 11, do Regulamento (UE) 2022/868;
11)
«Titular dos dados», o titular dos dados a que se refere o artigo 4.o, ponto 1, do Regulamento (UE) 2016/679;
12)
«Utilizador», uma pessoa singular ou coletiva que é proprietária de um produto conectado ou para quem foram transferidos, com base num contrato, direitos temporários à utilização desse produto conectado, ou que recebe serviços conexos;
13)
«Detentor dos dados», uma pessoa singular ou coletiva que tem o direito ou a obrigação, nos termos do presente regulamento, do direito aplicável da União ou da legislação nacional adotada em conformidade com o direito da União, de utilizar e de disponibilizar determinados dados, nomeadamente, caso tal tenha sido acordado contratualmente, dados relativos a um produto ou dados relativos a um serviço conexo que tenha recuperado ou gerado durante a prestação de um serviço conexo;
14)
«Destinatário dos dados», uma pessoa singular ou coletiva que age para fins relacionados com a sua atividade comercial, ofício ou profissão, que não seja o utilizador de um produto conectado ou serviço conexo, à qual o detentor dos dados disponibiliza os dados, incluindo um terceiro na sequência de um pedido do utilizador ao detentor dos dados ou em conformidade com uma obrigação jurídica ao abrigo do direito da União ou da legislação nacional adotada em conformidade com o direito da União;
15)
«Dados relativos a um produto», dados gerados pela utilização de um produto conectado concebido pelo fabricante para que os mesmos sejam recuperáveis através de um serviço de comunicações eletrónicas, de uma conexão física ou do acesso no dispositivo, por parte de um utilizador, de um detentor dos dados ou de terceiros, incluindo, se for caso disso, o fabricante;
16)
«Dados relativos a um serviço conexo», dados que representam a digitalização das ações do utilizador ou dos eventos relacionados com o produto conectado, registados intencionalmente pelo utilizador ou gerados como subproduto da ação do utilizador durante a prestação de um serviço conexo pelo prestador de serviços;
17)
«Dados prontamente disponíveis», dados relativos a um produto e dados relativos a um serviço conexo legalmente obtidos por um detentor dos dados ou suscetíveis de por ele serem legalmente obtidos a partir do produto conectado ou serviço conexo, sem um esforço desproporcionado que vá para além de uma operação simples;
18)
«Segredo comercial», um segredo comercial na aceção do artigo 2.o, ponto 1, da Diretiva (UE) 2016/943;
19)
«Titular do segredo comercial», um titular do segredo comercial na aceção do artigo 2.o, ponto 2, da Diretiva (UE) 2016/943;
20)
«Definição de perfis», a definição de perfis na aceção do artigo 4.o, n.o 4, do Regulamento (UE) 2016/679;
21)
«Disponibilização no mercado», o fornecimento de um produto conectado para distribuição, consumo ou utilização no mercado da União no âmbito de uma atividade comercial, a título oneroso ou gratuito;
22)
«Colocação no mercado», a primeira disponibilização de um produto conectado no mercado da União;
23)
«Consumidor», qualquer pessoa singular que atue com fins que não se incluam no âmbito da sua atividade comercial, ofício ou profissão;
24)
«Empresa», uma pessoa singular ou coletiva que, no que respeita às práticas e aos contratos abrangidos pelo presente regulamento, age para fins relacionados com a sua atividade comercial, ofício ou profissão;
25)
«Pequena empresa», uma pequena empresa na aceção do artigo 2.o, n.o 2, do anexo da Recomendação 2003/361/CE;
26)
«Microempresa», uma microempresa na aceção do artigo 2.o, n.o 3, do anexo da Recomendação 2003/361/CE;
27)
«Órgãos da União», os órgãos e organismos da União estabelecidos através de atos legislativos adotados com base no Tratado sobre a União Europeia, no TFUE ou no Tratado que institui a Comunidade Europeia da Energia Atómica ou ao abrigo daqueles atos legislativos;
28)
«Organismo do setor público», as autoridades nacionais, regionais ou locais dos Estados-Membros e os organismos de direito público dos Estados-Membros, ou as associações formadas por uma ou várias dessas autoridades ou por um ou vários desses organismos;
29)
«Emergência pública», uma situação excecional, limitada no tempo, como uma emergência de saúde pública, uma emergência resultante de catástrofes naturais ou uma catástrofe de grandes proporções de origem humana, incluindo incidentes importantes em matéria de cibersegurança, que afeta negativamente a população da União ou que afeta um Estado-Membro ou parte dele, com o risco de repercussões graves e duradouras nas condições de vida, na estabilidade económica ou na estabilidade financeira, ou com o risco de degradação significativa e imediata dos ativos económicos da União ou dos Estados-Membros em causa, e que é determinada ou oficialmente declarada de acordo com os procedimentos previstos no direito da União ou nacional;
30)
«Cliente», uma pessoa singular ou coletiva que tenha estabelecido uma relação contratual com um prestador de serviços de tratamento de dados com o objetivo de utilizar um ou mais serviços de tratamento de dados;
31)
«Assistentes virtuais», software com capacidade para tratar pedidos, funções ou perguntas, nomeadamente os que se baseiam em sons, textos, gestos ou movimentos, e que, com base nesses pedidos, funções ou perguntas, proporciona acesso a outros serviços ou controla as funções de produtos conectados;
32)
«Ativos digitais», elementos em formato digital, incluindo aplicações, para os quais o cliente tem o direito de utilização, independentemente da relação contratual estabelecida com o serviço de tratamento de dados do qual o cliente se pretende mudar;
33)
«Infraestrutura informática local», uma infraestrutura de tecnologias de informação e comunicação e recursos de computação de que o cliente é proprietário ou locatário localizados no centro de dados do próprio cliente e operados pelo cliente ou por um terceiro;
34)
«Mudança», o processo que envolve um prestador de serviços de tratamento de dados de origem, um cliente de um serviço de tratamento de dados e, se for o caso, um prestador de serviços de tratamento de dados de destino, pelo qual o cliente de um serviço de tratamento de dados passa da utilização de um serviço de tratamento de dados para a utilização de outro serviço de tratamento de dados do mesmo tipo de serviço, ou de outro serviço, disponibilizado por um prestador de serviços de tratamento de dados diferente, ou de uma infraestrutura informática local, nomeadamente através da extração, da transformação e do carregamento dos dados;
35)
«Encargos decorrentes da saída de dados», as comissões de transferência de dados cobradas aos clientes pela extração dos seus dados, através da rede, da infraestrutura informática de um prestador de serviços de tratamento de dados para os sistemas de um prestador diferente ou para infraestruturas informáticas locais;
36)
«Encargos decorrentes da mudança», encargos, que não as comissões habituais cobradas pelo serviço ou penalizações por rescisão antecipada de contrato, impostos por um prestador de serviços de tratamento de dados a um cliente pelas ações exigidas pelo presente regulamento para a mudança para os sistemas de um prestador diferente ou para infraestruturas informáticas locais, incluindo encargos decorrentes da saída de dados;
37)
«Equivalência funcional», o restabelecimento, com base nos dados exportáveis e nos ativos digitais do cliente, de um nível mínimo de funcionalidade no ambiente de um novo serviço de tratamento de dados do mesmo tipo de serviço após o processo de mudança, em que o serviço de tratamento de dados de destino produz um resultado materialmente comparável em resposta à mesma entrada de características partilhadas fornecida ao cliente ao abrigo do contrato;
38)
«Dados exportáveis», para efeitos dos artigos 23.o a 31.o e do artigo 35.o, os dados de entrada e saída, incluindo metadados, direta ou indiretamente gerados ou cogerados pela utilização, pelo cliente, do serviço de tratamento de dados, excluindo quaisquer ativos ou dados protegidos por direitos de propriedade intelectual, ou que constituam um segredo comercial, de prestadores do serviço de tratamento de dados ou de terceiros;
39)
«Contrato inteligente», um programa de computador utilizado para a execução automática de um acordo ou de parte dele, utilizando uma sequência de registos eletrónicos de dados e garantindo a sua integridade e a exatidão do seu ordenamento cronológico;
40)
«Interoperabilidade», a capacidade de dois ou mais espaços de dados ou redes de comunicações, sistemas, produtos conectados, aplicações, serviços de tratamento de dados ou componentes procederem ao intercâmbio de dados e os utilizarem, de modo a desempenharem as suas funções;
41)
«Especificações de interoperabilidade aberta», as especificações técnicas no domínio informático, que são orientadas para a concretização da interoperabilidade entre serviços de tratamento de dados;
42)
«Especificações comuns», um documento, que não uma norma, que contém soluções técnicas que proporcionam um meio para cumprir certos requisitos e obrigações estabelecidas no presente regulamento;
43)
«Norma harmonizada», uma norma harmonizada na aceção do artigo 2.o, ponto 1, alínea c), do Regulamento (UE) n.o 1025/2012.
CAPÍTULO II
PARTILHA DE DADOS ENTRE EMPRESAS E CONSUMIDORES E ENTRE EMPRESAS
Artigo 3.o
Obrigação de tornar acessíveis ao utilizador os dados relativos a um produto e os dados relativos a um serviço conexo
1. Os produtos conectados devem ser concebidos e fabricados, e os serviços conexos concebidos e prestados, de modo a que os dados relativos a um produto e os dados relativos a um serviço conexo, incluindo os metadados pertinentes necessários para interpretar e utilizar os dados, sejam acessíveis ao utilizador por defeito de forma fácil, segura e gratuita e num formato abrangente, estruturado, de uso corrente e de leitura automática e, quando pertinente e tecnicamente viável, de forma direta.
2. Antes da celebração de um contrato destinado à aquisição ou locação de um produto conectado, o vendedor ou o locador, os quais podem ser o fabricante, deve facultar ao utilizador, de uma forma clara e compreensível, pelo menos as seguintes informações:
a)
O tipo, o formato e o volume estimado dos dados relativos a um produto que o produto conectado é capaz de gerar;
b)
Se o produto conectado é capaz de gerar dados continuamente e em tempo real;
c)
Se o produto conectado é capaz de conservar dados no dispositivo ou num servidor remoto, incluindo, se for caso disso, a duração prevista da conservação;
d)
A forma como o utilizador pode aceder a esses dados, recuperá-los ou, se for caso disso, apagá-los, incluindo os meios técnicos para o fazer, bem como as respetivas condições de utilização e a qualidade do serviço.
3. Antes da celebração de um contrato de prestação de um serviço conexo, o prestador do serviço conexo deve facultar ao utilizador, de uma forma clara e compreensível, pelo menos as seguintes informações:
a)
A natureza, o volume estimado e a frequência de recolha dos dados relativos a um produto que o detentor prospetivo dos dados é suscetível de obter e, se pertinente, as disposições relativas ao acesso ou à recuperação desses dados por parte do utilizador, incluindo as disposições relativas à política de conservação dos dados do detentor prospetivo dos dados e a duração da conservação;
b)
A natureza e o volume estimado dos dados relativos a um serviço conexo que serão gerados, bem como as disposições relativas ao acesso ou à recuperação desses dados por parte do utilizador, incluindo as disposições relativas à conservação dos dados do detentor prospetivo dos dados e a duração da conservação;
c)
Se o detentor prospetivo dos dados prevê utilizar ele próprio os dados prontamente disponíveis e as finalidades para as quais esses dados serão utilizados, e se tenciona permitir que um ou mais terceiros utilizem os dados para fins acordados com o utilizador;
d)
A identidade do detentor prospetivo dos dados, como a sua designação social e o endereço geográfico em que está estabelecido e, se aplicável, outras partes envolvidas no tratamento de dados;
e)
Os meios de comunicação que permitem contactar rapidamente o detentor prospetivo dos dados e comunicar eficazmente com o mesmo;
f)
A forma como o utilizador pode solicitar que os dados sejam partilhados com um terceiro e, se aplicável, pôr termo à partilha de dados;
g)
O direito do utilizador de apresentar uma reclamação, invocando uma violação de qualquer das disposições do presente capítulo, à autoridade competente designada nos termos do artigo 37.o;
h)
Se um detentor prospetivo dos dados é titular de segredos comerciais contidos nos dados que são suscetíveis de serem acedidos a partir do produto conectado ou gerados durante a prestação do serviço conexo e, caso o detentor prospetivo dos dados não seja o titular dos segredos comerciais, a identidade do titular dos segredos comerciais;
i)
A duração do contrato entre o utilizador e o detentor prospetivo dos dados, bem como as disposições para por termo a esse contrato.
Artigo 4.o
Direitos e obrigações dos utilizadores e dos detentores dos dados no que respeita ao acesso, utilização e disponibilização dos dados relativos a um produto e dos dados relativos a um serviço conexo
1. Caso o utilizador não possa aceder diretamente aos dados a partir do produto conectado ou do serviço conexo, os detentores dos dados devem tornar acessíveis ao utilizador os dados prontamente disponíveis, bem como os metadados necessários para interpretar e utilizar esses dados, sem demora injustificada, com uma qualidade idêntica à que está disponível para o detentor dos dados, de forma fácil, segura e gratuita, num formato abrangente, estruturado, de uso corrente e de leitura automática, e, se pertinente e tecnicamente viável, de forma contínua e em tempo real. Esta disponibilização é feita com base num simples pedido por via eletrónica, caso tal seja tecnicamente viável.
2. Os utilizadores e os detentores dos dados podem limitar ou proibir contratualmente o acesso, a utilização ou a partilha posterior dos dados, sempre que tal tratamento seja suscetível de comprometer os requisitos de segurança do produto conectado, previstos no direito da União ou no direito nacional, causando efeitos negativos graves na saúde, proteção ou segurança das pessoas singulares. As autoridades setoriais podem facultar aos utilizadores e aos detentores dos dados conhecimentos técnicos especializados nesse contexto. Caso o detentor dos dados se recuse a partilhar dados nos termos do presente artigo, deve notificar a autoridade competente designada nos termos do artigo 37.o.
3. Sem prejuízo do direito do utilizador de, a qualquer momento, obter reparação perante um órgão jurisdicional de um Estado-Membro, o utilizador pode, relativamente a qualquer litígio com o detentor dos dados respeitante às limitações ou proibições contratuais referidas no n.o 2 do presente artigo:
a)
Apresentar, nos termos do artigo 37.o, n.o 5, alínea b), uma reclamação junto da autoridade competente; ou
b)
Acordar com o detentor dos dados em submeter a questão à apreciação de um organismo de resolução de litígios nos termos do artigo 10.o, n.o 1.
4. Os detentores dos dados não devem dificultar excessivamente o exercício das escolhas ou dos direitos previstos no presente artigo por parte do utilizador, nomeadamente oferecendo escolhas aos utilizadores de forma não neutra ou condicionando ou prejudicando a autonomia, a tomada de decisões ou as escolhas dos utilizadores através da estrutura, conceção, função ou modo de funcionamento de uma interface digital de utilizador ou de parte dela.
5. A fim de verificar se uma pessoa singular ou coletiva pode ser considerada um utilizador para efeitos do n.o 1, os detentores dos dados não podem exigir que essa pessoa faculte quaisquer informações para além das necessárias. Os detentores dos dados não podem conservar quaisquer informações, em especial dados de registo, sobre o acesso do utilizador aos dados solicitados para além das necessárias para a boa execução do pedido de acesso do utilizador e para a segurança e manutenção da infraestrutura de dados.
6. Os segredos comerciais devem ser preservados e só podem ser divulgados se o detentor dos dados e o utilizador tomarem, antes da divulgação, todas as medidas necessárias para preservar a sua confidencialidade, em especial no que diz respeito a terceiros. O detentor dos dados ou, caso não sejam a mesma pessoa, o titular dos segredos comerciais deve identificar os dados protegidos como segredos comerciais, incluindo nos metadados pertinentes, e acordar com o utilizador as medidas técnicas e organizativas proporcionadas necessárias para preservar a confidencialidade dos dados partilhados, em especial em relação a terceiros, tais como modelos de cláusulas contratuais, acordos de confidencialidade, protocolos de acesso rigorosos, normas técnicas e a aplicação de códigos de conduta.
7. Nos casos em que não haja acordo sobre as medidas necessárias referidas no n.o 6, ou em que o utilizador não aplique as medidas acordadas nos termos do n.o 6 ou comprometa a confidencialidade dos segredos comerciais, o detentor dos dados pode reter ou, consoante o caso, suspender a partilha dos dados identificados como segredos comerciais. A decisão do detentor dos dados deve ser devidamente fundamentada e comunicada por escrito ao utilizador, sem demora injustificada. Nesses casos, o detentor dos dados notifica a autoridade competente designada nos termos do artigo 37.o de que reteve ou suspendeu a partilha de dados e identifica as medidas que não foram acordadas ou aplicadas e, se for caso disso, os segredos comerciais cuja confidencialidade ficou comprometida.
8. Em circunstâncias excecionais, caso o detentor dos dados que seja titular de um segredo comercial possa demonstrar que é altamente provável que venha a sofrer prejuízos económicos graves devido à divulgação de segredos comerciais, não obstante as medidas técnicas e organizativas tomadas pelo utilizador nos termos do n.o 6 do presente artigo, esse detentor dos dados pode recusar, numa base casuística, um pedido de acesso aos dados específicos em causa. A referida demonstração deve ser devidamente fundamentada com base em elementos objetivos, nomeadamente a aplicabilidade da proteção de segredos comerciais em países terceiros, a natureza e o nível de confidencialidade dos dados solicitados e o caráter único e novo do produto conectado, e deve ser apresentada por escrito ao utilizador sem demora injustificada. Caso o detentor dos dados se recuse a partilhar dados nos termos do presente número, notifica a autoridade competente designada nos termos do artigo 37.o.
9. Sem prejuízo do direito do utilizador de, a qualquer momento, obter reparação perante um órgão jurisdicional de um Estado-Membro, um utilizador que pretenda contestar a decisão de um detentor dos dados de recusar, suster ou suspender a partilha de dados nos termos dos n.os 7 e 8 pode:
a)
Apresentar, nos termos do artigo 37.o, n.o 5, alínea b), uma reclamação junto da autoridade competente, que decide, sem demora injustificada, se a partilha de dados deve iniciar-se ou ser retomada, e em que condições; ou
b)
Acordar com o detentor dos dados em submeter a questão à apreciação de um organismo de resolução de litígios nos termos do artigo 10.o, n.o 1.
10. O utilizador não pode utilizar os dados obtidos na sequência do pedido a que se refere o n.o 1 para desenvolver um produto conectado que concorra com o produto conectado do qual provêm os dados, nem partilhar os dados com terceiros com essa intenção, e não pode utilizar esses dados para obter informações sobre a situação económica, os ativos e os métodos de produção do fabricante ou, se aplicável, do detentor dos dados.
11. O utilizador não pode recorrer a meios coercivos nem utilizar abusivamente lacunas na infraestrutura técnica dos detentores dos dados concebida para proteger os dados, a fim de obter acesso aos mesmos.
12. Caso o utilizador não seja o titular dos dados cujos dados pessoais são solicitados, quaisquer dados pessoais gerados pela utilização de um produto conectado ou serviço conexo só podem ser disponibilizados pelo titular dos dados ao utilizador se existir um fundamento jurídico válido para o tratamento nos termos do artigo 6.o do Regulamento (UE) 2016/679 e, se for caso disso, estiverem preenchidas as condições do artigo 9.o do referido regulamento e do artigo 5.o, n.o 3, da Diretiva 2002/58/CE.
13. Os detentores dos dados só podem utilizar dados prontamente disponíveis que sejam dados não pessoais com base num contrato com o utilizador. Os detentores dos dados não podem utilizar esses dados para obter informações sobre a situação económica, os ativos e os métodos de produção do utilizador, ou sobre a utilização desses dados de qualquer outra forma que possa prejudicar a posição comercial desse utilizador nos mercados nos quais exerce a sua atividade.
14. Os detentores dos dados não podem disponibilizar a terceiros os dados não pessoais relativos a um produto para fins comerciais ou não comerciais que vão para além do cumprimento do seu contrato com o utilizador. Se for caso disso, os detentores dos dados devem vincular contratualmente os terceiros a não partilharem os dados de si recebidos.
Artigo 5.o
Direito do utilizador de partilhar dados com terceiros
1. A pedido de um utilizador, ou de uma parte que atue em nome de um utilizador, o detentor dos dados deve disponibilizar a terceiros os dados prontamente disponíveis, bem como os metadados necessários para interpretar e utilizar esses dados, sem demora injustificada, com qualidade idêntica à que está disponível para o detentor dos dados, de forma fácil e segura, a título gratuito para o utilizador, num formato abrangente, estruturado, de uso corrente e de leitura automática, e, se pertinente e tecnicamente viável, de forma contínua e em tempo real. Os dados devem ser disponibilizados pelo detentor dos dados a terceiros nos termos dos artigos 8.o e 9.o.
2. O n.o 1 não se aplica aos dados prontamente disponíveis no contexto da testagem de novos produtos conectados, substâncias ou processos novos que ainda não tenham sido colocados no mercado, salvo se a sua utilização por terceiros estiver contratualmente autorizada.
3. Qualquer empresa designada como controlador de acesso nos termos do artigo 3.o do Regulamento (UE) 2022/1925, não é um terceiro elegível nos termos do presente artigo e, por conseguinte, não pode:
a)
Solicitar ou incentivar comercialmente um utilizador, de forma alguma, nomeadamente através do fornecimento de compensações pecuniárias ou de qualquer outra natureza, a disponibilizar a um dos seus serviços os dados que o utilizador obteve na sequência de um pedido efetuado nos termos do artigo 4.o, n.o 1;
b)
Solicitar ou incentivar comercialmente um utilizador a pedir ao detentor dos dados que os disponibilize a um dos seus serviços, nos termos do n.o 1 do presente artigo;
c)
Receber de um utilizador dados que este obteve na sequência de um pedido efetuado nos termos do artigo 4.o, n.o 1.
4. Para efeitos de verificar se uma pessoa singular ou coletiva se qualifica como utilizador ou como terceiro para efeitos do n.o 1, não se pode exigir ao utilizador ou ao terceiro que faculte quaisquer informações para além das necessárias. Os detentores dos dados não podem conservar quaisquer informações sobre o acesso do terceiro aos dados solicitados para além das necessárias para a boa execução do pedido de acesso do terceiro e para a segurança e manutenção da infraestrutura de dados.
5. O terceiro não pode usar meios coercivos nem utilizar abusivamente lacunas na infraestrutura técnica de um detentor dos dados concebida para proteger os dados, a fim de obter acesso aos mesmos.
6. Os detentores dos dados não podem utilizar dados prontamente disponíveis para obter informações sobre a situação económica, os ativos e os métodos de produção do terceiro, ou sobre a sua utilização desses dados, de qualquer outra forma que possa prejudicar a posição comercial do terceiro nos mercados nos quais exerce a sua atividade, a menos que o terceiro tenha autorizado essa utilização e tenha a possibilidade técnica de retirar facilmente essa autorização a qualquer momento.
7. Caso o utilizador não seja o titular dos dados cujos dados pessoais são solicitados, quaisquer dados pessoais gerados pela utilização de um produto conectado ou serviço conexo, só podem ser disponibilizados pelo titular dos dados a terceiros se existir um fundamento jurídico válido para o tratamento nos termos do artigo 6.o do Regulamento (UE) 2016/679 e, se for caso disso, estiverem preenchidas as condições do artigo 9.o do referido regulamento e do artigo 5.o, n.o 3, da Diretiva 2002/58/CE.
8. O facto de o detentor dos dados e o terceiro não chegarem a acordo sobre as modalidades de transmissão dos dados não pode prejudicar, impedir ou dificultar o exercício dos direitos do titular dos dados nos termos do Regulamento (UE) 2016/679 e, em especial, do direito à portabilidade dos dados previsto no artigo 20.o do referido regulamento.
9. Os segredos comerciais são preservados e só podem ser divulgados a terceiros na medida em que tal divulgação seja estritamente necessária para cumprir a finalidade acordada entre o utilizador e o terceiro. O detentor dos dados ou, caso não sejam a mesma pessoa, o titular dos segredos comerciais, identifica os dados protegidos como segredos comerciais, incluindo nos metadados pertinentes, e acorda com o terceiro todas as medidas técnicas e organizativas proporcionadas necessárias para preservar a confidencialidade dos dados partilhados, como os modelos de cláusulas contratuais, os acordos de confidencialidade, os protocolos de acesso rigorosos, as normas técnicas e a aplicação de códigos de conduta.
10. Nos casos em que não haja acordo sobre as medidas necessárias referidas no n.o 9 do presente artigo ou em que o terceiro não aplique as medidas acordadas nos termos do n.o 9 do presente artigo ou comprometa a confidencialidade dos segredos comerciais, o detentor dos dados pode reter ou, consoante o caso, suspender a partilha dos dados identificados como segredos comerciais. A decisão do detentor dos dados deve ser devidamente fundamentada e comunicada por escrito ao terceiro, sem demora injustificada. Nesses casos, o detentor dos dados notifica a autoridade competente designada nos termos do artigo 37.o de que reteve ou suspendeu a partilha de dados e identifica as medidas que não foram acordadas ou aplicadas e, se for caso disso, os segredos comerciais cuja confidencialidade ficou comprometida.
11. Em circunstâncias excecionais, caso o detentor dos dados que for titular de um segredo comercial possa demonstrar que é altamente provável que venha a sofrer prejuízos económicos graves devido à divulgação de segredos comerciais, não obstante as medidas técnicas e organizativas tomadas pelo terceiro nos termos do n.o 9 do presente artigo, o detentor dos dados pode recusar, numa base casuística, um pedido de acesso aos dados específicos em causa. A referida demonstração deve ser devidamente fundamentada com base em elementos objetivos, nomeadamente a aplicabilidade da proteção de segredos comerciais em países terceiros, a natureza e o nível de confidencialidade dos dados solicitados e o caráter único e novo do produto conectado, e deve ser apresentada por escrito ao terceiro sem demora injustificada. Caso o detentor dos dados se recuse a partilhar dados nos termos do presente número, notifica a autoridade nacional competente designada nos termos do artigo 37.o.
12. Sem prejuízo do direito do terceiro de, a qualquer momento, obter reparação perante um órgão jurisdicional de um Estado-Membro, um terceiro que pretenda contestar a decisão do detentor dos dados de recusar, suster ou suspender a partilha de dados em conformidade com os n.os 10 e 11 pode:
a)
Apresentar, nos termos do artigo 37.o, n.o 5, alínea b), uma reclamação junto da autoridade competente, que decide, sem demora injustificada, se a partilha de dados deve iniciar-se ou ser retomada e em que condições; ou
b)
Acordar com o detentor dos dados em submeter a questão à apreciação de um organismo de resolução de litígios nos termos do artigo 10.o, n.o 1.
13. O direito a que se refere o n.o 1 não pode prejudicar os direitos de outros titulares dos dados, em conformidade com o direito da União ou o direito nacional aplicáveis em matéria de proteção de dados pessoais.
Artigo 6.o
Obrigações dos terceiros que recebem dados a pedido do utilizador
1. Um terceiro deve tratar os dados que lhe foram disponibilizados nos termos do artigo 5.o unicamente para as finalidades e nas condições acordadas com o utilizador e sujeito ao direito da União e ao direito nacional sobre a proteção de dados pessoais, incluindo os direitos do titular dos dados no que se refere aos dados pessoais. O terceiro deve apagar os dados quando já não sejam necessários para a finalidade acordada, salvo acordo em contrário com o utilizador relativamente aos dados não pessoais.
2. O terceiro não pode:
a)
Dificultar excessivamente o exercício das escolhas ou dos direitos do utilizador ao abrigo do artigo 5.o e do presente artigo, nomeadamente oferecendo escolhas ao utilizador de forma não neutra ou coagindo-o, enganando-o ou manipulando-o, ou condicionando ou prejudicando a autonomia, a tomada de decisões ou as escolhas do utilizador, nomeadamente através de uma interface digital de utilizador ou de parte dela;
b)
Não obstante o disposto no artigo 22.o, n.o 2, alíneas a) e c), do Regulamento (UE) 2016/679, utilizar os dados que recebe para a definição de perfis, a menos que tal seja necessário para prestar o serviço solicitado pelo utilizador;
c)
Disponibilizar os dados que recebe a outro terceiro, salvo se os dados forem disponibilizados com base num contrato com o utilizador, e desde que esse terceiro tome todas as medidas necessárias acordadas entre o detentor dos dados e o terceiro para preservar a confidencialidade dos segredos comerciais;
d)
Disponibilizar os dados que recebe a uma empresa designada como controlador de acesso nos termos do artigo 3.o do Regulamento (UE) 2022/1925;
e)
Utilizar os dados que recebe para desenvolver um produto que concorra com o produto conectado do qual os dados acedidos são provenientes ou partilhar os dados com outro terceiro para essa finalidade; os terceiros também não podem utilizar dados não pessoais relativos a um produto ou a um serviço conexo que lhes sejam disponibilizados para obter informações sobre a situação económica, os ativos e os métodos de produção do detentor dos dados, ou sobre a sua utilização desses dados;
f)
Utilizar os dados que recebe de uma forma que tenha um impacto negativo na segurança do produto conectado ou serviço conexo;
g)
Ignorar as medidas específicas que acordou com um detentor dos dados ou com o titular dos segredos comerciais nos termos do artigo 5.o, n.o 9, e comprometer a confidencialidade dos segredos comerciais;
h)
Impedir o utilizador que seja um consumidor, nomeadamente com base num contrato, de disponibilizar os dados que recebe a outras partes.
Artigo 7.o
Âmbito das obrigações de partilha de dados entre empresas e consumidores e entre empresas
1. As obrigações estabelecidas no presente capítulo não são aplicáveis aos dados gerados através da utilização dos produtos conectados fabricados ou concebidos por microempresas ou pequenas empresas ou dos serviços conexos prestados pelas mesmas, desde que essas empresas não tenham empresas parceiras ou associadas, na aceção do artigo 3.o do anexo da Recomendação 2003/361/CE, que não sejam consideradas microempresas ou pequenas empresas e desde que a microempresa ou pequena empresa não seja subcontratada para fabricar ou conceber um produto conectado ou prestar um serviço conexo.
O mesmo se aplica aos dados gerados através da utilização de produtos conectados que uma empresa, que seja considerada uma média empresa nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE durante menos de um ano, tenha fabricado, ou relativamente aos quais tenha prestado serviços conexos, e aos produtos conectados durante um ano após a data em que tenham sido colocados no mercado por uma média empresa.
2. Qualquer cláusula contratual que, em detrimento do utilizador, exclua a aplicação dos direitos do utilizador estabelecidos no presente capítulo, constitua uma derrogação dos mesmos ou altere os seus efeitos não é vinculativa para o utilizador.
CAPÍTULO III
OBRIGAÇÕES DOS DETENTORES DOS DADOS OBRIGADOS A DISPONIBILIZAR OS DADOS NOS TERMOS DO DIREITO DA UNIÃO
Artigo 8.o
Condições em que os detentores dos dados os disponibilizam aos destinatários dos dados
1. Caso, no âmbito das relações entre empresas, um detentor dos dados seja obrigado a disponibilizá-los a um destinatário dos dados por força do artigo 5.o ou por força de outra disposição aplicável de direito da União ou da legislação nacional adotada em conformidade com o direito da União aplicável, deve acordar com o destinatário dos dados as disposições para a respetiva disponibilização e deve fazê-lo em termos e condições justos, razoáveis e não discriminatórios e de forma transparente, em conformidade com o presente capítulo e o capítulo IV.
2. Uma cláusula contratual relativa ao acesso aos dados e à sua utilização, ou à responsabilidade e às vias de recurso pela violação ou cessação de obrigações relacionadas com os dados, não é vinculativa se constituir uma cláusula contratual abusiva na aceção do artigo 13.o ou se, em detrimento do utilizador, excluir a aplicação dos direitos do utilizador nos termos do capítulo II, constituir uma derrogação dos mesmos ou alterar os seus efeitos.
3. Ao disponibilizar os dados, o detentor dos dados não pode discriminar, no que diz respeito às disposições para a disponibilização dos dados, entre categorias comparáveis de destinatários dos dados, incluindo empresas parceiras ou empresas associadas do detentor dos dados. Caso um destinatário dos dados considere discriminatórias as condições em que os dados lhe foram disponibilizados, o detentor dos dados deve, sem demora injustificada, apresentar ao destinatário dos dados, a pedido fundamentado deste, informações que demonstrem que não houve discriminação.
4. Um detentor dos dados não pode disponibilizar os dados a um destinatário dos dados, inclusive em regime de exclusividade, a menos que o utilizador o solicite nos termos do capítulo II.
5. Os detentores e os destinatários dos dados não podem ser obrigados a facultar quaisquer informações para além das necessárias com vista à verificação do cumprimento das cláusulas contratuais acordadas para a disponibilização dos dados ou das suas obrigações nos termos do presente regulamento ou de outras disposições aplicáveis do direito da União ou da legislação nacional aplicável adotada em conformidade com direito da União.
6. Salvo disposição em contrário do direito da União, incluindo o artigo 4.o, n.o 6, e o artigo 5.o, n.o 9, do presente regulamento, ou da legislação nacional adotada em conformidade com o direito da União, a obrigação de disponibilização dos dados a um destinatário dos dados não pode obrigar à divulgação de segredos comerciais.
Artigo 9.o
Compensação pela disponibilização de dados
1. Qualquer compensação acordada entre o detentor e o destinatário dos dados pela disponibilização dos dados no âmbito de relações entre empresas deve ser não discriminatória e razoável, podendo incluir uma margem.
2. Ao acordarem na compensação, o detentor e o destinatário dos dados devem ter em conta, em especial:
a)
Os custos incorridos com a disponibilização dos dados, incluindo, em especial, os custos necessários para a formatação dos dados, a difusão por meios eletrónicos e a conservação;
b)
Os investimentos na recolha e produção dos dados, se aplicável, tendo em conta a eventualidade de outras partes terem contribuído para a obtenção, a geração ou a recolha dos dados em questão.
3. A compensação referida no n.o 1 pode também depender do volume, do formato e da natureza dos dados.
4. Se o destinatário dos dados for uma PME ou uma organização de investigação sem fins lucrativos e não tiver empresas parceiras ou empresas associadas que não sejam consideradas PME, a compensação acordada não pode exceder os custos referidos no n.o 2, alínea a), do presente artigo.
5. A Comissão adota orientações sobre o cálculo da compensação razoável, tendo em conta o aconselhamento prestado pelo Comité Europeu da Inovação de Dados a que se refere o artigo 42.o.
6. O presente artigo não obsta a que outras disposições de direito da União ou de legislação nacional adotada em conformidade com o direito da União excluam a compensação pela disponibilização de dados ou prevejam uma compensação inferior.
7. O detentor dos dados deve facultar ao destinatário dos dados informação sobre a base de cálculo da compensação de forma suficientemente pormenorizada para que o destinatário dos dados possa avaliar se os requisitos dos n.os 1 a 4 são cumpridos.
Artigo 10.o
Resolução de litígios
1. Os utilizadores, os detentores dos dados e os destinatários dos dados devem ter acesso a um organismo de resolução de litígios, certificado em conformidade com o n.o 5 do presente artigo, para resolver litígios nos termos do artigo 4.o, n.os 3 e 9, e do artigo 5.o, n.o 12, bem como litígios relacionados com os termos e condições justos, razoáveis e não discriminatórios para a disponibilização dos dados, e com a forma transparente de o fazer, em conformidade com o presente capítulo e com o capítulo IV.
2. Os organismos de resolução de litígios devem comunicar as taxas, ou os mecanismos utilizados para as determinar, às partes em causa, antes de estas pedirem uma decisão.
3. Relativamente aos litígios submetidos à apreciação de um organismo de resolução de litígios ao abrigo do artigo 4.o, n.os 3 e 9, e do artigo 5.o, n.o 12, se o organismo de resolução de litígios decidir um litígio a favor do utilizador ou do destinatário dos dados, o detentor dos dados suporta todas as taxas cobradas pelo organismo de resolução de litígios e reembolsa o referido utilizador ou destinatário dos dados de quaisquer outras despesas razoáveis em que tenha incorrido no âmbito da resolução do litígio. Se o organismo de resolução de litígios decidir um litígio a favor do detentor dos dados, o utilizador ou destinatário dos dados não é obrigado a reembolsar quaisquer taxas ou outras despesas que o detentor dos dados tenha pago ou deva pagar no âmbito da resolução do litígio, salvo se o organismo de resolução de litígios considerar que o utilizador ou o destinatário dos dados atuou manifestamente de má-fé.
4. Os clientes de serviços de tratamento de dados e os prestadores desses serviços devem ter acesso a um organismo de resolução de litígios, certificado em conformidade com o n.o 5 do presente artigo, para resolver litígios relacionados com violações dos direitos dos clientes e com as obrigações dos prestadores de serviços de tratamento de dados, nos termos dos artigos 23.o a 31.o.
5. O Estado-Membro em que está estabelecido o organismo de resolução de litígios deve certificá-lo, a pedido desse organismo, se este tiver demonstrado que preenche todas as condições seguintes:
a)
Ser imparcial e independente e ser capaz de proferir as suas decisões de acordo com regras processuais claras, não discriminatórias e justas;
b)
Dispor dos conhecimentos especializados necessários, em particular no que respeita a termos e condições justos, razoáveis e não discriminatórios, incluindo a compensação, e sobre a disponibilização dos dados de forma transparente, permitindo ao organismo determinar efetivamente esses termos e condições;
c)
Estar facilmente acessível através das tecnologias de comunicação eletrónica;
d)
Ser capaz de adotar as suas decisões de forma rápida, eficiente e eficaz em termos de custos em, pelo menos, uma língua oficial da União.
6. Os Estados-Membros devem notificar à Comissão os organismos de resolução de litígios certificados nos termos do n.o 5. A Comissão deve publicar uma lista desses organismos num sítio Web específico e mantê-la atualizada.
7. Os organismos de resolução de litígios devem recusar-se a tratar um pedido de resolução de um litígio que já tenha sido submetido a outro organismo de resolução de litígios ou a um órgão jurisdicional de um Estado-Membro.
8. Os organismos de resolução de litígios devem conceder às partes a possibilidade de, num prazo razoável, manifestarem os seus pontos de vista sobre as questões que essas partes apresentaram a esses organismos. Nesse contexto, devem ser facultadas a cada uma das partes num litígio as observações da outra parte e quaisquer declarações de peritos. Deve ser concedida às partes a possibilidade de se pronunciarem sobre essas observações e declarações.
9. Os organismos de resolução de litígios devem adotar as decisões sobre as questões submetidas à sua apreciação no prazo de 90 dias a contar da apresentação do pedido nos termos dos n.os 1 e 4. Essas decisões devem ser consignadas por escrito ou num suporte duradouro e ser acompanhadas da sua fundamentação.
10. Os organismos de resolução de litígios devem elaborar e tornar públicos os relatórios anuais de atividades. Esses relatórios anuais devem incluir, em particular, as seguintes informações gerais:
a)
Os resultados agregados dos litígios;
b)
O tempo necessário, em média, para a resolução dos litígios;
c)
As razões mais comuns que conduzem a litígios.
11. A fim de facilitar o intercâmbio de informações e de boas práticas, os organismos de resolução de litígios podem decidir incluir recomendações no relatório a que se refere o n.o 10 sobre a forma como os problemas podem ser evitados ou resolvidos.
12. A decisão de um organismo de resolução de litígios só é vinculativa para as partes se estas tiverem dado o seu consentimento explícito à sua natureza vinculativa antes do início do processo de resolução de litígios.
13. O presente artigo não afeta o direito das partes de procurarem vias de recurso efetivas perante um órgão jurisdicional de um Estado-Membro.
Artigo 11.
Medidas técnicas de proteção relativas à utilização ou à divulgação não autorizadas de dados
1. Os detentores dos dados podem aplicar medidas técnicas de proteção adequadas, incluindo contratos inteligentes e cifragem, a fim de impedir o acesso não autorizado aos dados, incluindo os metadados, e assegurar o cumprimento dos artigos 4.o, 5.o, 6.o, 8.o e 9.o, bem como das cláusulas contratuais acordadas para a disponibilização dos dados. Essas medidas técnicas de proteção não podem discriminar entre destinatários dos dados nem prejudicar o direito do utilizador de obter uma cópia dos dados, de recuperar, utilizar ou aceder aos dados ou de facultar dados a terceiros nos termos do artigo 5.o, ou qualquer direito de terceiros ao abrigo do direito da União ou da legislação nacional adotada em conformidade com o direito da União. Os utilizadores, os terceiros e os destinatários dos dados não podem alterar nem suprimir essas medidas técnicas de proteção, exceto com o acordo do detentor dos dados.
2. Nas circunstâncias referidas no n.o 3, o terceiro ou o destinatário dos dados deve, sem demora injustificada, aceder ao pedido do detentor dos dados e, se aplicável e caso não sejam a mesma pessoa, do detentor dos segredos comerciais ou do utilizador, para que:
a)
Sejam apagados os dados disponibilizados pelo detentor dos dados e quaisquer cópias dos mesmos;
b)
Seja posto termo à produção, oferta ou colocação no mercado ou à utilização de bens, dados derivados ou serviços produzidos com base em conhecimentos obtidos através desses dados, ou à importação, exportação ou armazenamento de bens ilegais para esses efeitos, e sejam destruídos quaisquer bens ilegais, caso haja um risco sério de que a utilização ilícita desses dados venha a causar prejuízo significativo ao detentor dos dados, ao detentor dos segredos comerciais ou ao utilizador, ou caso essa medida não seja desproporcionada à luz dos interesses do detentor dos dados, do detentor dos segredos comerciais ou do utilizador;
c)
Informe o utilizador da utilização ou da divulgação não autorizadas dos dados e das medidas adotadas para pôr termo à utilização ou divulgação não autorizadas dos dados;
d)
Compense a parte lesada pelo uso indevido ou pela divulgação dos dados que tenham sido acedidos ou utilizados de forma ilícita.
3. O n.o 2 é aplicável se um terceiro ou um destinatário dos dados:
a)
Para efeitos de obtenção de dados, tiver facultado informações falsas a um detentor dos dados, tiver utilizado meios enganosos ou coercivos ou tiver aproveitado abusivamente lacunas na infraestrutura técnica do detentor dos dados concebida para proteger os dados;
b)
Tiver utilizado os dados disponibilizados para finalidades não autorizadas, nomeadamente o desenvolvimento de um produto conectado concorrente na aceção do artigo 6.o, n.o 2, alínea e);
c)
Tiver ilicitamente divulgado dados a outra parte;
d)
Não tiver mantido as medidas técnicas e organizativas acordadas nos termos do artigo 5.o, n.o 9; ou
e)
Tiver alterado ou suprimido, sem o acordo do detentor dos dados, medidas técnicas de proteção aplicadas por este nos termos do n.o 1 do presente artigo.
4. O n.o 2 é também aplicável se um utilizador alterar ou eliminar as medidas técnicas de proteção aplicadas pelo detentor dos dados ou não mantiver as medidas técnicas e organizativas tomadas pelo utilizador com o acordo do detentor dos dados ou, caso não sejam a mesma pessoa, do titular dos segredos comerciais, a fim de preservar os segredos comerciais, bem como relativamente a qualquer outra parte que tenha recebido dados por parte do utilizador através de uma violação do presente regulamento.
5. Se o destinatário dos dados violar o artigo 6.o, n.o 2, alíneas a) ou b), os utilizadores têm os mesmos direitos que os detentores dos dados ao abrigo do n.o 2 do presente artigo.
Artigo 12.
Âmbito das obrigações dos detentores dos dados obrigados a disponibilizar os dados nos termos do direito da União
1. O presente capítulo é aplicável sempre que, no âmbito de relações entre empresas, um detentor dos dados seja obrigado, nos termos do artigo 5.o ou por força do direito da União aplicável ou da legislação nacional adotada em conformidade com o direito da União, a disponibilizar os dados a um destinatário dos dados.
2. Uma cláusula contratual num acordo de partilha de dados que, em detrimento de uma parte ou, se aplicável, em detrimento do utilizador, exclua a aplicação do presente capítulo, constitua uma derrogação do mesmo ou altere os seus efeitos, não é vinculativa para essa parte.
CAPÍTULO IV
CLÁUSULAS CONTRATUAIS ABUSIVAS RELATIVAS AO ACESSO AOS DADOS E À SUA UTILIZAÇÃO ENTRE EMPRESAS
Artigo 13.o
Cláusulas contratuais abusivas impostas unilateralmente a outra empresa
1. Uma cláusula contratual relativa ao acesso aos dados e à sua utilização, ou à responsabilidade e às vias de recurso pela violação ou cessação de obrigações relacionadas com os dados, que tenha sido imposta unilateralmente por uma empresa a outra empresa não é vinculativa para esta última, caso seja abusiva.
2. Não é considerada abusiva uma cláusula contratual que reflita disposições imperativas do direito da União ou disposições do direito da União que seriam aplicáveis se as cláusulas contratuais não regulassem a matéria.
3. Uma cláusula contratual é abusiva se for de tal natureza que a sua utilização se desvie manifestamente das boas práticas comerciais em matéria de acesso e utilização de dados, ou se for contrária à boa-fé e às práticas comerciais leais.
4. Em especial, para efeitos do n.o 3, uma cláusula contratual é abusiva se tiver por objeto ou efeito:
a)
Excluir ou limitar a responsabilidade por atos intencionais ou negligência grosseira da parte que impôs unilateralmente a cláusula;
b)
Excluir as vias de recurso à disposição da parte à qual a cláusula foi imposta unilateralmente em caso de incumprimento de obrigações contratuais, ou a responsabilidade da parte que impôs unilateralmente a cláusula em caso de violação dessas obrigações;
c)
Conferir à parte que impôs unilateralmente a cláusula o direito exclusivo de determinar se os dados facultados estão em conformidade com o contrato ou de interpretar qualquer cláusula contratual.
5. Para efeitos do n.o 3, uma cláusula contratual presume-se abusiva se tiver por objeto ou efeito:
a)
Limitar de forma inadequada as vias de recurso em caso de incumprimento das obrigações contratuais ou a responsabilidade em caso de violação dessas obrigações, ou alargar a responsabilidade da empresa à qual a cláusula foi unilateralmente imposta;
b)
Permitir que a parte que impôs unilateralmente a cláusula aceda aos dados da outra parte contratante e os utilize de uma forma que prejudique significativamente os interesses legítimos desta última, em particular quando tais dados contenham dados comercialmente sensíveis ou estejam protegidos por segredos comerciais ou por direitos de propriedade intelectual;
c)
Impedir a parte à qual a cláusula foi imposta unilateralmente de utilizar os dados facultados ou gerados por essa parte durante a vigência do contrato, ou limitar a utilização desses dados na medida em que essa parte não tenha o direito de os utilizar, de os recolher, de lhes aceder ou de os controlar, ou de explorar o valor dos mesmos de forma adequada;
d)
Impedir a parte à qual a cláusula foi imposta unilateralmente de rescindir o contrato num prazo razoável;
e)
Impedir a parte à qual a cláusula foi imposta unilateralmente de obter uma cópia dos dados facultados ou gerados por essa parte durante a vigência do contrato ou num prazo razoável após a rescisão do mesmo;
f)
Permitir que a parte que impôs unilateralmente a cláusula rescinda o contrato com um pré-aviso injustificadamente curto, tendo em conta a eventual possibilidade razoável da outra parte contratante de mudar para um serviço alternativo e comparável, bem como o prejuízo financeiro causado por essa rescisão, exceto quando existam motivos sérios para o fazer;
g)
Permitir que a parte que impôs unilateralmente a cláusula altere substancialmente o preço estipulado no contrato ou qualquer outra condição material relacionada com a natureza, o formato, a qualidade ou a quantidade dos dados a partilhar caso não estejam estipulados no contrato uma razão válida para essa alteração nem o direito da outra parte de rescindir o contrato em caso de tal alteração.
A alínea g) do primeiro parágrafo não afeta as cláusulas nos termos das quais a parte que impôs unilateralmente a cláusula se reserva o direito de alterar unilateralmente as cláusulas de um contrato de duração indeterminada, desde que exista uma razão válida estipulada nesse contrato para essa alteração unilateral, que a parte que impôs unilateralmente a cláusula seja obrigada a informar a outra parte contratante com antecedência razoável relativamente a essa alteração pretendida e que a outra parte contratante seja livre de rescindir o contrato sem custos em caso de alteração.
6. Considera-se que uma cláusula contratual é imposta unilateralmente, na aceção do presente artigo, se tiver sido facultada por uma parte contratante e a outra parte contratante não tiver podido influenciar o seu teor, apesar de ter tentado negociá-la. Recai sobre a parte contratante que facultou a cláusula contratual o ónus da prova de que essa cláusula não foi imposta unilateralmente. A parte contratante que propôs a cláusula contratual contestada não pode alegar que esta é uma cláusula contratual abusiva.
7. Caso a cláusula contratual abusiva seja dissociável das restantes cláusulas, estas últimas são vinculativas.
8. O presente artigo não é aplicável às cláusulas contratuais que definem o objeto principal do contrato nem à adequação do preço aos dados fornecidos em troca.
9. As partes num contrato a que se aplique o n.o 1 não podem excluir a aplicação do presente artigo, derrogá-lo, nem alterar os seus efeitos.
CAPÍTULO V
DISPONIBILIZAÇÃO DE DADOS AOS ORGANISMOS DO SETOR PÚBLICO, À COMISSÃO, AO BANCO CENTRAL EUROPEU E AOS ÓRGÃOS DA UNIÃO COM BASE EM NECESSIDADES EXCECIONAIS
Artigo 14.o
Obrigação de disponibilização de dados com base em necessidades excecionais
Caso um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União demonstre uma necessidade excecional, tal como previsto no artigo 15.o, de utilizar determinados dados, incluindo os metadados pertinentes necessários para interpretar e utilizar esses dados, para desempenhar as suas atribuições legais de interesse público, os detentores dos dados que sejam pessoas coletivas, que não sejam organismos do setor público e que detenham esses dados devem disponibilizá-los mediante pedido devidamente fundamentado.
Artigo 15.o
Necessidade excecional de utilizar dados
1. Uma necessidade excecional de utilizar determinados dados na aceção do presente capítulo deve ser limitada no tempo e no âmbito, e considera-se que existe apenas em qualquer das seguintes circunstâncias:
a)
Caso os dados solicitados sejam necessários para dar resposta a uma emergência pública e o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União não possam obter esses dados por meios alternativos, de forma atempada e eficaz, em condições equivalentes;
b)
Em circunstâncias não abrangidas pela alínea a) e apenas no que diz respeito a dados não pessoais, caso:
i)
um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União atue com base no direito da União ou no direito nacional e tenha identificado dados específicos cuja falta o impossibilite de desempenhar uma função específica de interesse público expressamente prevista por lei, como produção de estatísticas oficiais ou a atenuação ou recuperação de uma emergência pública, e
ii)
o organismo do setor público, a Comissão, o Banco Central Europeu ou o organismo da União tenha esgotado todos os outros meios à sua disposição para obter esses dados, incluindo a aquisição de dados não pessoais no mercado às taxas de mercado ou com recurso às obrigações existentes de disponibilização de dados, ou a adoção de novas medidas legislativas que pudessem assegurar a disponibilidade atempada dos dados.
2. O n.o 1, alínea b), não se aplica às microempresas nem às pequenas empresas.
3. A obrigação de demonstrar que o organismo do setor público não pôde obter os dados não pessoais por meio da sua aquisição no mercado não se aplica se a função específica de interesse público for a produção de estatísticas oficiais e se a aquisição desses dados não for permitida pelo direito nacional.
Artigo 16.
Relação com outras obrigações de disponibilização de dados aos organismos do setor público, à Comissão, ao Banco Central Europeu e aos órgãos da União
1. O presente capítulo não afeta as obrigações estabelecidas no direito da União ou no direito nacional para efeitos de comunicação, cumprimento dos pedidos de acesso à informação ou demonstração ou verificação do cumprimento das obrigações legais.
2. O presente capítulo não se aplica aos organismos do setor público nem à Comissão, ao Banco Central Europeu ou aos órgãos da União no exercício de atividades de prevenção, investigação, deteção ou repressão de infrações penais ou administrativas ou de execução de sanções penais, nem à administração aduaneira ou fiscal. O presente capítulo não afeta o direito da União nem o direito nacional aplicáveis em matéria de prevenção, investigação, deteção ou repressão de infrações penais ou administrativas ou de execução de sanções penais ou administrativas, nem de administração aduaneira ou fiscal.
Artigo 17.
Pedidos de disponibilização de dados
1. Ao solicitar dados nos termos do artigo 14.o, um organismo do setor público, a Comissão, o Banco Central europeu ou um órgão da União deve:
a)
Especificar os dados que são necessários, incluindo os metadados pertinentes necessários para interpretar e utilizar esses dados;
b)
Demonstrar que estão reunidas as condições necessárias para a existência de uma necessidade excecional a que se refere o artigo 15.o para cujos fins se solicitam os dados;
c)
Explicar a finalidade do pedido, a utilização prevista dos dados solicitados, incluindo, se aplicável, por terceiros nos termos do n.o 4 do presente artigo, a duração dessa utilização e, se pertinente, a forma como o tratamento dos dados pessoais dará resposta à necessidade excecional;
d)
Especificar, se possível, quando se prevê que os dados sejam apagados por todas as partes que a eles têm acesso;
e)
Justificar a escolha do detentor dos dados ao qual é dirigido o pedido;
f)
Especificar quaisquer outros organismos do setor público, ou a Comissão, o Banco Central Europeu ou os órgãos da União e terceiros com os quais se prevê que os dados solicitados venham a ser partilhados;
g)
Caso sejam solicitados dados pessoais, especificar quaisquer medidas técnicas e organizativas necessárias e proporcionadas destinadas a aplicar os princípios da proteção de dados e as salvaguardas necessárias, tais como a pseudonimização, e se o detentor dos dados pode aplicar a anonimização antes de os disponibilizar;
h)
Indicar a disposição legal que atribui ao organismo do setor público requerente, à Comissão, ao Banco Central Europeu ou ao órgão da União a função específica de interesse público pertinente para o pedido dos dados;
i)
Especificar o prazo dentro do qual os dados devem ser disponibilizados e o prazo a que se refere o artigo 18.o, n.o 2, dentro do qual o detentor dos dados pode recusar o pedido ou solicitar a sua alteração;
j)
Envidar todos os esforços para evitar o cumprimento de um pedido de dados que resulte na responsabilidade dos detentores dos dados por violação do direito da União ou do direito nacional.
2. Um pedido de dados apresentado nos termos do n.o 1 do presente artigo deve:
a)
Ser formulado por escrito e em linguagem clara, concisa e simples, compreensível pelo detentor dos dados;
b)
Ser específico no que se refere ao tipo de dados solicitados e corresponder a dados que o detentor dos dados controla à data do pedido;
c)
Ser proporcional à necessidade excecional e devidamente justificado no que diz respeito à granularidade e volume dos dados solicitados e à frequência de acesso aos mesmos;
d)
Respeitar os objetivos legítimos do detentor dos dados, comprometendo-se a assegurar a proteção dos segredos comerciais, nos termos do artigo 19.o, n.o 3, e os custos e esforços necessários para disponibilizar os dados;
e)
Dizer respeito a dados não pessoais, e, apenas se se demonstrar que tal é insuficiente para dar resposta à necessidade excecional de utilizar dados, nos termos do artigo 15.o, n.o 1, alínea a), solicitar dados pessoais de forma pseudonimizada e definir as medidas técnicas e organizativas que serão tomadas para proteger os dados;
f)
Informar o detentor dos dados quanto às sanções que serão impostas nos termos do artigo 40.o pela autoridade competente designada nos termos do artigo 37.o em caso de incumprimento do pedido;
g)
Caso o pedido seja feito a um organismo do setor público, ser transmitido ao coordenador de dados a que se refere o artigo 37.o do Estado-Membro em que o organismo do setor público requerente está estabelecido, o qual deve e publicá-lo em linha sem demora injustificada, a menos que o coordenador de dados considere que tal publicação acarretaria um risco para a segurança pública.
h)
Caso o pedido seja feito pela Comissão, o Banco Central Europeu ou os órgãos da União, publicar os seus pedidos em linha sem demora injustificada;
i)
Caso sejam solicitados dados pessoais, ser notificado sem demora injustificada à autoridade de controlo responsável pela fiscalização da aplicação do Regulamento (UE) 2016/679 no Estado-Membro em que o organismo do setor público está estabelecido.
O Banco Central Europeu e os órgãos da União informam a Comissão dos seus pedidos.
3. Os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União não podem disponibilizar os dados obtidos nos termos do presente capítulo para reutilização, na aceção do artigo 2.o, ponto 2, do Regulamento (UE) 2022/868 ou do artigo 2.o, ponto 11, da Diretiva (UE) 2019/1024. O Regulamento (UE) 2022/868 e a Diretiva (UE) 2019/1024 não são aplicáveis aos dados na posse de organismos do setor público que tenham sido obtidos nos termos do presente capítulo.
4. O disposto no n.o 3 do presente artigo não obsta a que um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União proceda ao intercâmbio de dados obtidos nos termos do presente capítulo com outro organismo do setor público ou com a Comissão, o Banco Central Europeu ou um órgão da União, tendo em vista o desempenho das funções referidas no artigo 15.o, conforme especificado no pedido nos termos do n.o 1, alínea f), do presente artigo, ou disponibilize os dados a terceiros nos casos em que tenha delegado, por meio de um acordo publicamente disponível, inspeções técnicas ou outras funções a esse terceiro. As obrigações impostas aos organismos do setor público nos termos do artigo 19.o, em especial as salvaguardas destinadas a preservar a confidencialidade dos segredos comerciais, aplicam-se igualmente a esses terceiros. Caso um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União transmita ou disponibilize dados nos termos do presente número, deve, sem demora injustificada, notificar o detentor dos dados do qual recebeu esses dados.
5. Caso o detentor dos dados considere que os seus direitos ao abrigo do presente capítulo foram violados pela transmissão ou disponibilização dos dados, pode apresentar uma reclamação à autoridade competente, designada nos termos do artigo 37.o, do Estado-Membro em que o detentor dos dados está estabelecido.
6. A Comissão deve elaborar um modelo para os pedidos efetuados nos termos do presente artigo.
Artigo 18.
Cumprimento dos pedidos de dados
1. Um detentor dos dados que receba um pedido de disponibilização de dados nos termos do presente capítulo deve disponibilizá-los ao organismo do setor público, à Comissão, ao Banco Central Europeu ou ao órgão da União requerente sem demora injustificada, tendo em conta as medidas técnicas, organizativas e jurídicas necessárias.
2. Sem prejuízo das necessidades específicas relativas à disponibilidade de dados definidas no direito da União ou nacional, um detentor dos dados pode recusar ou solicitar a alteração de um pedido de disponibilização de dados ao abrigo do presente capítulo sem demora injustificada e, em qualquer caso, o mais tardar no prazo de cinco dias úteis após a receção de um pedido de dados necessários para dar resposta a uma emergência pública, e sem demora injustificada e, em qualquer caso, o mais tardar, no prazo de 30 dias úteis após a receção de um tal pedido noutros casos de uma necessidade excecional, por um dos seguintes motivos:
a)
O detentor dos dados não tem controlo sobre os dados solicitados;
b)
Um pedido similar para a mesma finalidade foi apresentado anteriormente por outro organismo do setor público ou pela Comissão, pelo Banco Central Europeu ou por um órgão da União, e o detentor dos dados não foi notificado do apagamento dos dados nos termos do artigo 19.o, n.o 1, alínea c);
c)
O pedido não cumpre as condições estabelecidas no artigo 17.o, n.os 1 e 2.
3. Se o detentor dos dados decidir recusar o pedido ou solicitar a sua alteração em conformidade com o n.o 2, alínea b), deve indicar a identidade do organismo do setor público ou da Comissão, do Banco Central Europeu ou do órgão da União que apresentou anteriormente um pedido para a mesma finalidade.
4. Caso os dados solicitados incluam dados pessoais, o detentor dos dados deve anonimizar adequadamente os dados, a menos que o cumprimento do pedido de disponibilização de dados a um organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União exija a divulgação de dados pessoais. Nesses casos, o detentor dos dados deve pseudonimizar os dados.
5. Caso o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União pretenda contestar a recusa de um detentor dos dados em facultar os dados solicitados, ou caso o detentor dos dados pretenda contestar o pedido, e a questão não possa ser resolvida através de uma alteração adequada do pedido, a matéria deve ser sujeita à apreciação da autoridade competente, designada nos termos do artigo 37.o, do Estado-Membro em que o detentor dos dados está estabelecido.
Artigo 19.
Obrigações dos organismos do setor público, da Comissão, do Banco Central Europeu e dos órgãos da União
1. Um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União que receba dados na sequência de um pedido apresentado nos termos do artigo 14.o:
a)
Não pode utilizar os dados de forma incompatível com a finalidade para a qual foram solicitados;
b)
Deve ter aplicado medidas técnicas e organizativas que preservem a confidencialidade e a integridade dos dados solicitados e a segurança das transferências dos dados, em especial dos dados pessoais, e salvaguardem os direitos e liberdades dos titulares dos dados;
c)
Deve apagar os dados quando já não sejam necessários para a finalidade indicada e informar, sem demora injustificada, o detentor dos dados e as pessoas ou as organizações que receberam os dados nos termos do artigo 21.o, n.o 1, de que os dados foram apagados, a menos que o arquivamento dos dados seja exigido nos termos do direito da União ou do direito nacional em matéria de acesso do público aos documentos no contexto das obrigações de transparência.
2. Um organismo do setor público, a Comissão, o Banco Central Europeu, um órgão da União ou um terceiro que receba dados ao abrigo do presente capítulo não pode:
a)
Utilizar os dados ou informações sobre a situação económica, os ativos e os métodos de produção ou de funcionamento do detentor dos dados para desenvolver ou melhorar um produto conectado ou serviço conexo que concorra com o produto conectado ou serviço conexo do detentor dos dados;
b)
Partilhar os dados com outro terceiro para qualquer uma das finalidades referidas na alínea a).
3. A divulgação de segredos comerciais a um organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União só pode ser exigida na medida do estritamente necessário para alcançar o objetivo de um pedido efetuado nos termos do artigo 15.o. Nesse caso, o detentor dos dados, ou, caso não sejam a mesma pessoa, o titular do segredo comercial, deve identificar os dados protegidos como segredos comerciais, incluindo os metadados pertinentes. Antes da divulgação dos segredos comerciais, o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União deve tomar todas as medidas técnicas e organizativas necessárias e adequadas para preservar a confidencialidade dos segredos comerciais, incluindo, se for caso disso, a utilização de modelos de cláusulas contratuais, normas técnicas e a aplicação de códigos de conduta.
4. Os organismos do setor público, a Comissão, o Banco Central Europeu ou um órgão da União são responsáveis pela segurança dos dados por si recebidos.
Artigo 20.
Compensação em caso de necessidade excecional
1. Os detentores dos dados que não sejam microempresas e pequenas empresas, devem facultar a título gratuito os dados necessários para dar resposta a uma emergência pública nos termos do artigo 15.o, n.o 1, alínea a). O organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União que recebeu os dados deve proporcionar reconhecimento público ao detentor dos dados, caso este o solicite.
2. O detentor dos dados tem direito a uma compensação justa pela disponibilização dos mesmos em cumprimento de um pedido apresentado nos termos do artigo 15.o, n.o 1, alínea b). Tal compensação deve cobrir os custos técnicos e organizativos incorridos para dar cumprimento ao pedido, incluindo, se aplicável, os custos de anonimização, pseudonimização, agregação e adaptação técnica, e uma margem razoável. A pedido do organismo do setor público, da Comissão, do Banco Central Europeu ou do órgão da União, o detentor dos dados deve facultar informações sobre a base de cálculo dos custos e da margem razoável.
3. O n.o 2 é igualmente aplicável caso uma microempresa ou pequena empresa solicite uma compensação pela disponibilização de dados.
4. Os detentores dos dados não podem solicitar uma compensação pela disponibilização de dados em cumprimento de um pedido apresentado nos termos do artigo 15.o, n.o 1, alínea b), se a função específica de interesse público for a produção de estatísticas oficiais e se a aquisição dos dados não for permitida pelo direito nacional. Os Estados-Membros notificam a Comissão sempre que a aquisição de dados para a produção de estatísticas oficiais não seja permitida pelo direito nacional.
5. Caso o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União não concorde com o nível de compensação solicitado pelo detentor dos dados, pode apresentar uma reclamação à autoridade competente designada nos termos do artigo 37.o do Estado-Membro em que o detentor dos dados está estabelecido.
Artigo 21.
Partilha de dados obtidos no contexto de necessidades excecionais com organizações de investigação ou organismos de estatística
1. Um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União tem o direito de partilhar os dados recebidos nos termos do presente capítulo com:
a)
Pessoas singulares ou organizações, com vista à realização de investigações ou análises científicas compatíveis com a finalidade para a qual os dados foram solicitados; ou
b)
Os institutos nacionais de estatística e o Eurostat, para a produção de estatísticas oficiais.
2. As pessoas singulares ou as organizações que recebam os dados nos termos do n.o 1 devem perseguir fins não lucrativos ou agir no contexto de uma missão de interesse público reconhecida pelo direito da União ou pelo direito nacional. Não podem incluir organizações sobre as quais empresas comerciais tenham uma influência significativa que seja suscetível de dar origem a um acesso preferencial aos resultados da investigação.
3. As pessoas singulares ou as organizações que recebem os dados nos termos do n.o 1 do presente artigo devem cumprir as mesmas obrigações que são aplicáveis aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União nos termos do artigo 17.o, n.o 3, e do artigo 19.o.
4. Não obstante o disposto no artigo 19.o, n.o 1, alínea c), as pessoas singulares ou as organizações que recebem os dados nos termos do n.o 1 do presente artigo podem conservar os dados recebidos para a finalidade para a qual os mesmos foram solicitados durante um período máximo de seis meses após o apagamento dos dados por parte dos organismos do setor público, da Comissão, do Banco Central Europeu e dos órgãos da União.
5. Caso um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União tencione transmitir ou disponibilizar dados nos termos do n.o 1 do presente artigo, deve, sem demora injustificada, notificar o detentor dos dados do qual tenha recebido esses dados, indicando a identidade e os contactos da organização ou da pessoa singular que irá receber os dados, a finalidade da transmissão ou disponibilização dos dados, o período de utilização dos dados e as medidas de proteção adotadas, tanto técnicas como organizativas, nomeadamente quando estejam em causa dados pessoais ou segredos comerciais. Caso o detentor dos dados não concorde com a transmissão ou disponibilização dos dados, pode apresentar uma reclamação à autoridade competente, designada nos termos do artigo 37.o, do Estado-Membro em que o detentor dos dados está estabelecido.
Artigo 22.
Assistência mútua e cooperação transfronteiriça
1. Os organismos do setor público, a Comissão, o Banco Central Europeu e os órgãos da União devem cooperar e prestar assistência mútua, a fim de aplicar o presente capítulo de forma coerente.
2. Os dados objeto de intercâmbio no contexto de um pedido e da prestação de assistência nos termos do n.o 1 não podem ser utilizados de forma incompatível com a finalidade para a qual foram solicitados.
3. Caso um organismo do setor público pretenda solicitar dados a um detentor dos dados estabelecido noutro Estado-Membro, deve notificar previamente dessa intenção a autoridade competente, designada nos termos do artigo 37.o, nesse Estado-Membro. Este requisito é igualmente aplicável aos pedidos apresentados pela Comissão, pelo Banco Central Europeu e pelos órgãos da União. O pedido é analisado pela autoridade competente do Estado-Membro em que o detentor dos dados está estabelecido.
4. Após ter analisado o pedido à luz dos requisitos previstos no artigo 17.o, a autoridade competente pertinente deve, sem demora injustificada, agir de uma das seguintes formas:
a)
Transmitir o pedido ao detentor dos dados e, se aplicável, aconselhar o organismo do setor público requerente, a Comissão, o Banco Central Europeu ou o órgão da União requerente sobre a eventual necessidade de cooperar com os organismos do setor público do Estado-Membro em que o detentor dos dados está estabelecido, com o objetivo de reduzir os encargos administrativos que recaem sobre o detentor dos dados ao satisfazer o pedido;
b)
Rejeitar o pedido por motivos devidamente fundamentados, em conformidade com o presente capítulo.
O organismo do setor público, a Comissão, o Banco Central Europeu e o órgão da União requerente devem, antes de tomar quaisquer medidas adicionais como a nova apresentação do pedido, ter em conta o parecer e a motivação apresentados pela autoridade competente pertinente nos termos do primeiro parágrafo, se aplicável.
CAPÍTULO VI
MUDANÇA ENTRE SERVIÇOS DE TRATAMENTO DE DADOS
Artigo 23.
Eliminar os obstáculos à mudança eficaz
Os prestadores de serviços de tratamento de dados devem tomar as medidas previstas nos artigos 25.o, 26.o, 27.o, 29.o e 30.o, a fim de permitir que os clientes mudem para um serviço de tratamento de dados, que abranja o mesmo tipo de serviço, disponibilizado por outro prestador de serviços de tratamento de dados, ou para uma infraestrutura informática local, ou, se for caso disso, utilizem vários prestadores de serviços de tratamento de dados ao mesmo tempo. Em especial, os prestadores de serviços de tratamento de dados não podem impor, e devem eliminar, os obstáculos pré-comerciais, comerciais, técnicos, contratuais e organizativos que impedem os clientes de:
a)
Rescindir o contrato de serviço de tratamento de dados, após o período máximo de pré-aviso e a conclusão com êxito do processo de mudança, em conformidade com o artigo 25.o;
b)
Celebrar novos contratos com outro prestador de serviços de tratamento de dados que abranjam o mesmo tipo de serviço de tratamento de dados;
c)
Transferir os seus dados exportáveis e ativos digitais para um prestador de serviços de tratamento de dados diferente ou para uma infraestrutura informática local, inclusive após terem beneficiado de uma oferta de serviços gratuitos;
d)
Em conformidade com o artigo 24.o, obter equivalência funcional na utilização do novo serviço de tratamento de dados no ambiente informático de um prestador de serviços de tratamento de dados diferente que abranjam o mesmo tipo de serviço;
e)
Separar, caso seja tecnicamente viável, os serviços de tratamento de dados a que se refere o artigo 30.o, n.o 1, de outros serviços de tratamento de dados prestados pelos prestadores de serviços de tratamento de dados.
Artigo 24.
Âmbito das obrigações técnicas
As responsabilidades dos prestadores de serviços de tratamento de dados, tal como previstas nos artigos 23.o, 25.o, 29.o, 30.o e 34.o, aplicam-se apenas aos serviços, contratos ou práticas comerciais disponibilizados pelo prestador de serviços de tratamento de dados de origem.
Artigo 25.
Cláusulas contratuais relativas à mudança
1. Os direitos do cliente e as obrigações do prestador de serviços de tratamento de dados em relação à mudança de prestador desses serviços ou, se for caso disso, à transferência para uma infraestrutura informática local, devem ser estabelecidos de forma clara num contrato escrito. O prestador de serviços de tratamento de dados deve disponibilizar esse contrato ao cliente, antes de ser assinado, num suporte que permita ao cliente armazenar e reproduzir o contrato.
2. Sem prejuízo do disposto na Diretiva (UE) 2019/770, o contrato referido no n.o 1 do presente artigo deve incluir pelo menos os seguintes elementos:
a)
Cláusulas que permitam ao cliente, mediante pedido, mudar para outro serviço de tratamento de dados oferecido por um prestador de serviços de tratamento de dados diferente ou transferir todos os dados exportáveis e ativos digitais para uma infraestrutura informática local, sem demora injustificada e, em qualquer caso, não excedendo o período de transição máximo obrigatório de 30 dias consecutivos, a iniciar após o período máximo de pré-aviso referido na alínea d), durante o qual o contrato de serviço permanece aplicável e durante o qual o prestador de serviços de tratamento de dados deve:
i)
prestar uma assistência razoável ao cliente e a terceiros autorizados pelo cliente no processo de mudança,
ii)
agir com a devida diligência para manter a continuidade da atividade e prosseguir a prestação das funções ou serviços ao abrigo do contrato,
iii)
prestar informações claras sobre os riscos conhecidos para a continuidade da prestação das funções ou serviços por parte do prestador de serviços de tratamento de dados de origem,
iv)
assegurar a manutenção de um elevado nível de segurança ao longo de todo o processo de mudança, em especial a segurança dos dados durante a sua transferência e a segurança continuada dos dados durante o período de recuperação especificado na alínea g), em conformidade com o direito da União ou o direito nacional aplicáveis;
b)
A obrigação do prestador de serviços de tratamento de dados de apoiar a estratégia de saída do cliente pertinente para os serviços contratados, inclusive através da prestação de todas as informações pertinentes;
c)
Uma cláusula que especifique que se considera que o contrato chegou ao seu termo e que o cliente será desse facto notificado, num dos seguintes casos:
i)
quando aplicável, após a conclusão com êxito do processo de mudança,
ii)
no final do prazo máximo de pré-aviso referido na alínea d), caso o cliente não pretenda mudar, mas antes apagar os seus dados exportáveis e ativos digitais após a cessação do serviço;
d)
Um prazo máximo de pré-aviso para o início do processo de mudança, que não pode exceder dois meses;
e)
A especificação exaustiva de todas as categorias de dados e ativos digitais que podem ser transferidas durante o processo de mudança, incluindo, no mínimo, todos os dados exportáveis;
f)
A especificação exaustiva das categorias de dados específicas ao funcionamento interno do serviço dos prestadores de serviços de tratamento de dados que devem ser excluídas dos dados exportáveis nos termos da alínea e) do presente número caso exista um risco de violação dos segredos comerciais do prestador, desde que essas exclusões não impeçam nem atrasem transferência mudança prevista no artigo 23.o;
g)
Um período mínimo de recuperação de dados de pelo menos 30 dias consecutivos, com início após o termo do período de transição acordado entre o cliente e o prestador de serviços de tratamento de dados, em conformidade com a alínea a) do presente número, e o n.o 4;
h)
Uma cláusula que garanta o apagamento integral de todos os dados exportáveis e ativos digitais gerados diretamente pelo cliente, ou diretamente relacionados com o cliente, após o termo do prazo de recuperação a que se refere a alínea g) ou após o termo de um prazo alternativo acordado que seja posterior ao termo do prazo de recuperação a que se refere a alínea g), desde que o processo de mudança tenha sido concluído com êxito;
i)
Encargos decorrentes da mudança que possam ser impostos pelos prestadores de serviços de tratamento de dados em conformidade com o artigo 29.o.
3. O contrato a que se refere o n.o 1 deve incluir cláusulas que prevejam que o cliente pode notificar o prestador de serviços de tratamento de dados da sua decisão de realizar uma ou mais das seguintes ações após o termo do período de notificação máximo referido no n.o 2, alínea d):
a)
Mudar para um prestador de serviços de tratamento de dados diferente, caso em que o cliente deve prestar as informações necessárias sobre esse prestador;
b)
Mudar para uma infraestrutura informática local;
c)
Apagar os seus dados exportáveis e ativos digitais.
4. Caso o período máximo de transição obrigatório previsto no n.o 2, alínea a), seja tecnicamente inviável, o prestador de serviços de tratamento de dados deve notificar o cliente no prazo de 14 dias úteis a contar da formulação do pedido de mudança, e deve justificar devidamente a inviabilidade técnica e indicar um período de transição alternativo, que não pode ser superior a sete meses. Em conformidade com o n.o 1, a continuidade do serviço deve ser assegurada durante todo o período de transição alternativo.
5. Sem prejuízo do disposto no n.o 4, o contrato referido no n.o 1, deve incluir cláusulas que confiram ao cliente o direito de prorrogar o período de transição uma vez, por um período que o cliente considere mais adequado para os seus próprios fins.
Artigo 26.
Obrigação de informação por parte dos prestadores de serviços de tratamento de dados
O prestador de serviços de tratamento de dados deve facultar ao cliente:
a)
Informação sobre os procedimentos disponíveis para a mudança e para a transferência para o serviço de tratamento de dados, incluindo informação sobre os métodos e formatos de mudança e transferência disponíveis, bem como sobre as restrições e limitações técnicas que sejam conhecidas do prestador de serviços de tratamento de dados de destino;
b)
Uma referência a um registo em linha atualizado, gerido pelo prestador de serviços de tratamento de dados, com informação pormenorizada sobre todas as estruturas e formatos de dados, bem como as normas pertinentes e as especificações de interoperabilidade aberta, no qual são disponibilizados os dados exportáveis referidos no artigo 25.o, n.o 2, alínea e).
Artigo 27.
Dever de boa-fé
Todas as partes envolvidas, incluindo os prestadores de serviços de tratamento de dados de destino, devem cooperar de boa-fé a fim de tornar o processo de mudança eficaz, de possibilitar a transferência atempada dos dados e de manter a continuidade do serviço de tratamento de dados.
Artigo 28.
Obrigações de transparência contratual em matéria de acesso e transferência internacionais
1. Os prestadores de serviços de tratamento de dados devem facultar e manter atualizadas nos seus sítios Web as seguintes informações:
a)
A jurisdição a que está sujeita a infraestrutura informática implantada para o tratamento de dados de cada um dos seus serviços;
b)
Uma descrição geral das medidas técnicas, organizativas e contratuais adotadas pelo prestador de serviços de tratamento de dados a fim de impedir o acesso governamental internacional a dados não pessoais detidos na União ou a sua transferência, caso esse acesso ou transferência seja suscetível de criar um conflito com o direito da União ou o direito nacional do Estado-Membro pertinente.
2. Os sítios Web a que se refere o n.o 1 devem ser elencados nos contratos relativos a todos os serviços de tratamento de dados oferecidos pelos prestadores de serviços de tratamento de dados.
Artigo 29.
Supressão gradual dos encargos decorrentes da mudança
1. A partir de 12 de janeiro de 2027, os prestadores de serviços de tratamento de dados não podem impor ao cliente, pelo processo de mudança, quaisquer encargos decorrentes da mudança.
2. A partir de 11 de janeiro de 2024 até 12 de janeiro de 2027, os prestadores de serviços de tratamento de dados podem impor ao cliente, pelo processo de mudança, encargos decorrentes da mudança reduzidos.
3. Os encargos decorrentes da mudança reduzidos a que se refere o n.o 2 não podem exceder os custos incorridos pelo prestador de serviços de tratamento de dados diretamente relacionados com o processo de mudança em causa.
4. Antes de celebrarem um contrato com um cliente, os prestadores de serviços de tratamento de dados devem facultar ao potencial cliente informações claras sobre as comissões habituais do serviço e as sanções pela rescisão antecipada que possam ser impostas, bem como sobre os encargos decorrentes da mudança reduzidos, que possam ser impostos durante o prazo a que se refere o n.o 2.
5. Quando pertinente, os prestadores de serviços de tratamento de dados devem facultar informações aos clientes sobre serviços de tratamento de dados que impliquem uma mudança altamente complexa ou onerosa ou em relação aos quais a mudança seja impossível sem interferência significativa nos dados, nos ativos digitais ou na arquitetura dos serviços.
6. Quando aplicável, os prestadores de serviços de tratamento de dados devem disponibilizar publicamente aos clientes as informações a que se referem os n.os 4 e 5 do presente artigo, por meio de uma secção específica do seu sítio Web ou de qualquer outra forma facilmente acessível.
7. A Comissão fica habilitada a adotar atos delegados nos termos do artigo 45.o que completem o presente regulamento mediante a criação de um mecanismo de controlo que lhe permita fazer o acompanhamento dos encargos decorrentes da mudança impostos pelos prestadores de serviços de tratamento de dados no mercado, de modo a assegurar que a supressão e a redução dos encargos decorrentes da mudança, nos termos dos n.os 1 e 2 do presente artigo, sejam alcançadas dentro dos prazos previstos nos mesmos números.
Artigo 30.
Aspetos técnicos da mudança
1. Os prestadores de serviços de tratamento de dados que digam respeito a recursos de computação moduláveis e adaptáveis limitados a elementos infraestruturais, como servidores, redes e recursos virtuais necessários para o funcionamento da infraestrutura, mas que não facultem acesso às aplicações, ao software e aos serviços operacionais armazenados, tratados ou implantados nesses elementos infraestruturais, devem, em conformidade com o artigo 27.o, tomar todas as medidas razoáveis ao seu alcance para permitir que o cliente, após ter mudado para um serviço que abranja o mesmo tipo de serviço, obtenha equivalência funcional na utilização do serviço de tratamento de dados de destino. O prestador de serviços de tratamento de dados de origem deve facilitar o processo de mudança através do fornecimento de capacidades, informações adequadas, documentação, apoio técnico e, se for caso disso, das ferramentas necessárias.
2. Os prestadores de serviços de tratamento de dados não referidos no n.o 1 devem disponibilizar interfaces abertas em igual medida a todos os seus clientes e aos prestadores de serviços de tratamento de dados de destino em causa, a título gratuito, a fim de facilitar o processo de mudança. Essas interfaces devem incluir informações suficientes sobre o serviço em causa para permitir o desenvolvimento de software para comunicar com os serviços, para efeitos de portabilidade e interoperabilidade dos dados.
3. No caso de serviços de tratamento de dados não referidos no n.o 1 do presente artigo, os prestadores de serviços de tratamento de dados devem assegurar a compatibilidade com especificações comuns baseadas em especificações de interoperabilidade aberta ou em normas de interoperabilidade harmonizadas pelo menos 12 meses após a publicação das referências a essas especificações comuns ou normas harmonizadas de interoperabilidade de serviços de tratamento de dados na sequência da publicação, no Jornal Oficial da União Europeia, dos atos de execução subjacentes, em conformidade com o artigo 35.o, n.o 8.
4. Os prestadores de serviços de tratamento de dados não referidos no n.o 1 do presente artigo devem atualizar o registo em linha a que se refere o artigo 26.o, alínea b), em conformidade com as obrigações que lhes incumbem por força do n.o 3 do presente artigo.
5. Em caso de mudança entre serviços do mesmo tipo de serviços, para os quais não tenham sido publicadas no repositório central da União de normas relativas aos serviços de tratamento de dados, em conformidade com o artigo 35.o, n.o 8, as especificações comuns ou as normas harmonizadas de interoperabilidade a que se refere o n.o 3 do presente artigo, o prestador dos serviços de tratamento de dados deve, a pedido do cliente, exportar todos os dados exportáveis num formato estruturado, de uso corrente e de leitura automática.
6. Os prestadores de serviços de tratamento de dados não podem ser obrigados a desenvolver novas tecnologias ou serviços, ou a divulgar ou transferir ativos digitais que estejam protegidos por direitos de propriedade intelectual ou que constituam segredos comerciais, para um cliente ou para um prestador de serviços de tratamento de dados diferente, nem a comprometer a segurança e integridade do serviço do cliente ou do prestador.
Artigo 31.
Regime específico para determinados serviços de tratamento de dados
1. As obrigações previstas no artigo 23.o, alínea d), no artigo 29.o e no artigo 30.o, n.os 1 e 3, não se aplicam aos serviços de tratamento de dados em que a maioria das características principais tenha sido personalizada para dar resposta às exigências específicas de um cliente individual ou em que todos os componentes tenham sido desenvolvidos para os fins solicitados por um cliente individual, e caso esses serviços de tratamento de dados não sejam oferecidos em larga escala comercial através do catálogo de serviços do prestador de serviços de tratamento de dados.
2. As obrigações previstas no presente capítulo não se aplicam aos serviços de tratamento de dados prestados através de uma versão não destinada à produção para fins de teste e avaliação, e durante um período de tempo limitado.
3. Antes da celebração de um contrato relativo à prestação dos serviços de tratamento de dados referidos no presente artigo, o prestador de serviços de tratamento de dados deve informar o potencial cliente das obrigações do presente capítulo que não se aplicam.
CAPÍTULO VII
ACESSO E TRANSFERÊNCIA GOVERNAMENTAIS INTERNACIONAIS ILÍCITOS DE DADOS NÃO PESSOAIS
Artigo 32.
Acesso e transferência governamentais internacionais
1. Sem prejuízo do disposto nos n.os 2 ou 3, os prestadores de serviços de tratamento de dados devem tomar todas as medidas técnicas, organizativas e legais adequadas, incluindo contratos, a fim de impedir que entidades governamentais internacionais ou de países terceiros acedam a dados não pessoais detidos na União ou os transfiram, caso esse acesso ou essa transferência seja suscetível de criar um conflito com o direito da União ou o direito nacional do Estado-Membro pertinente.
2. As decisões judiciais ou sentenças de um órgão jurisdicional de um país terceiro e as decisões de uma autoridade administrativa de um país terceiro que exijam que um prestador de serviços de tratamento de dados transfira ou dê acesso a dados não pessoais abrangidos pelo âmbito de aplicação do presente regulamento e detidos na União só podem ser reconhecidas ou executadas, seja de que forma for, se tiverem por base um acordo internacional, como um acordo de auxílio judiciário mútuo, em vigor entre o país terceiro requerente e a União ou entre o país terceiro requerente e um Estado-Membro.
3. Na ausência de um acordo internacional nos termos do n.o 2, caso um prestador de serviços de tratamento de dados seja o destinatário de uma decisão judicial ou sentença de um órgão jurisdicional de um país terceiro ou de uma decisão de uma autoridade administrativa de um país terceiro que exija a transferência ou o acesso a dados não pessoais abrangidos pelo âmbito de aplicação do presente regulamento e detidos na União, e o cumprimento dessa decisão seja suscetível de colocar o destinatário numa situação de conflito com o direito da União ou com o direito nacional do Estado-Membro em causa, a transferência dos dados em causa para essa autoridade de um país terceiro ou o acesso a esses dados pela mesma autoridade só pode ter lugar se:
a)
O sistema do país terceiro exigir que sejam expostos os motivos e a proporcionalidade dessa decisão judicial ou sentença e que essa decisão judicial ou sentença tenha um caráter específico, através, por exemplo, do estabelecimento de uma relação suficiente com determinados suspeitos ou infrações;
b)
A objeção fundamentada do destinatário estiver sujeita a reapreciação por um órgão jurisdicional competente de um país terceiro; e
c)
O órgão jurisdicional competente do país terceiro que emite a decisão judicial ou sentença ou reaprecia a decisão de uma autoridade administrativa estiver habilitado, nos termos do direito desse país terceiro, a ter devidamente em conta os interesses jurídicos relevantes do fornecedor dos dados protegidos pelo direito da União ou pelo direito nacional do Estado-Membro em causa.
O destinatário da decisão ou sentença pode solicitar o parecer do organismo ou autoridade nacional competente em matéria de cooperação internacional em questões jurídicas, a fim de determinar se as condições previstas no primeiro parágrafo estão preenchidas, nomeadamente quando considerar que a decisão pode dizer respeito a segredos comerciais e outros dados comercialmente sensíveis, bem como a conteúdos protegidos por direitos de propriedade intelectual, ou que a transferência pode conduzir a uma reidentificação. O organismo ou autoridade nacional relevante pode consultar a Comissão. Se o destinatário considerar que a decisão ou sentença pode colidir com os interesses de segurança nacional ou com os interesses de defesa da União ou dos seus Estados-Membros, deve solicitar o parecer do organismo ou autoridade nacional relevante para determinar se os dados solicitados dizem respeito a interesses de segurança nacional ou a interesses de defesa da União ou dos seus Estados-Membros. Se o destinatário não tiver recebido desse organismo ou autoridade uma resposta no prazo de um mês, ou se o parecer desse organismo ou autoridades concluir que as condições previstas no primeiro parágrafo não estão preenchidas, o destinatário pode rejeitar o pedido de transferência ou de acesso a dados não pessoais por esses motivos.
O Comité Europeu da Inovação de Dados referido no artigo 42.o presta aconselhamento e assistência à Comissão na elaboração de diretrizes sobre a avaliação do cumprimento das condições previstas no primeiro parágrafo do presente número.
4. Se estiverem preenchidas as condições previstas nos n.os 2 ou 3, o prestador de serviços de tratamento de dados deve facultar a quantidade mínima de dados que seja admissível em resposta a um pedido, com base numa interpretação razoável desse pedido por parte do prestador ou do organismo ou autoridade nacional relevante a que se refere o n.o 3, segundo parágrafo.
5. O prestador de serviços de tratamento de dados deve informar o cliente da existência de um pedido de acesso aos seus dados apresentado por uma autoridade de um país terceiro antes de satisfazer esse pedido, exceto nos casos em que o pedido vise finalidades relativas à fiscalização e garantia do cumprimento da lei e enquanto tal for necessário para preservar a eficácia das atividades de fiscalização e garantia do cumprimento da lei.
CAPÍTULO VIII
INTEROPERABILIDADE
Artigo 33.
Requisitos essenciais em matéria de interoperabilidade de dados, de mecanismos e serviços de partilha de dados bem como de espaços comuns europeus de dados
1. Os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes devem cumprir os seguintes requisitos essenciais para facilitar a interoperabilidade dos dados, dos mecanismos e dos serviços de partilha de dados bem como dos espaços comuns europeus de dados, que constituem quadros interoperáveis de normas e práticas comuns, específicos de determinado fim, de determinado setor ou de vários setores e destinados a partilhar ou tratar conjuntamente os dados, nomeadamente para o desenvolvimento de novos produtos e serviços, a investigação científica ou iniciativas da sociedade civil:
a)
O conteúdo do conjunto de dados, as restrições de utilização, as licenças, a metodologia de recolha de dados, a qualidade e a incerteza dos dados devem ser suficientemente descritos, quando aplicável, num formato de leitura automática, para possibilitar que o destinatário encontre os dados, a eles aceda e os utilize;
b)
As estruturas de dados, os formatos dos dados, os vocabulários, os sistemas de classificação, as taxonomias e as listas de códigos, quando disponíveis, devem ser descritos de forma coerente e acessível ao público;
c)
Os meios técnicos de acesso aos dados, como as interfaces de programação de aplicações, bem como as respetivas condições de utilização e a qualidade do serviço, devem ser suficientemente descritos para possibilitar o acesso e a transmissão automáticos de dados entre as partes, incluindo continuamente, sob a forma de descarregamento em bloco, ou em tempo real num formato de leitura automática, quando tal seja tecnicamente viável e não prejudique o bom funcionamento do produto conectado;
d)
Quando aplicável, devem ser disponibilizados os meios para permitir a interoperabilidade das ferramentas para automatizar a execução de acordos de partilha de dados, como os contratos inteligentes.
Estes requisitos podem revestir-se de uma natureza genérica ou dizer respeito a setores específicos, tendo plenamente em conta a inter-relação com os requisitos decorrentes de outras disposições de direito da União ou nacional.
2. A Comissão fica habilitada a adotar atos delegados, nos termos do artigo 45.o do presente regulamento, a fim de completar o presente regulamento mediante uma maior especificação dos requisitos essenciais previstos no n.o 1 do presente artigo, em relação aos requisitos que, pela sua natureza, não possam produzir o efeito pretendido a menos que sejam especificados mais pormenorizadamente em atos jurídicos vinculativos da União, e a fim de refletir adequadamente a evolução tecnológica e do mercado.
A Comissão, ao adotar atos delegados, levará em conta o aconselhamento prestado pelo Comité Europeu da Inovação de Dados, em conformidade com o artigo 42.o, alínea c), alínea iii).
3. Presume-se que os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes em espaços de dados que cumprem as normas harmonizadas, ou partes das mesmas, cujas referências se encontrem publicadas no Jornal Oficial da União Europeia estão em conformidade com os requisitos essenciais previstos no n.o 1, na medida em que essas normas ou partes das mesmas sejam abrangidas por aquelas normas harmonizadas ou partes das mesmas.
4. A Comissão deve, nos termos do artigo 10.o do Regulamento (UE) n.o 1025/2012, solicitar a uma ou várias organizações europeias de normalização que elaborem normas harmonizadas que satisfaçam os requisitos essenciais previstos no n.o 1 do presente artigo.
5. A Comissão pode, por meio de atos de execução, adotar especificações comuns que abranjam alguns ou todos os requisitos essenciais previstos no n.o 1 se estiverem preenchidas as seguintes condições:
a)
A Comissão ter solicitado, nos termos do artigo 10.o, n.o 1, do Regulamento (UE) n.o 1025/2012, a uma ou mais organizações europeias de normalização a elaboração de uma norma harmonizada que satisfaça os requisitos essenciais previstos no n.o 1 do presente artigo e:
i)
o pedido não ter sido aceite,
ii)
as normas harmonizadas que dão resposta a esse pedido não serem produzidas dentro do prazo estabelecido nos termos do artigo 10.o, n.o 1, do Regulamento (UE) n.o 1025/2012, ou
iii)
as normas harmonizadas não estarem em conformidade com o pedido;
b)
Não estar publicada no Jornal Oficial da União Europeia qualquer referência a normas harmonizadas que abranjam os requisitos essenciais pertinentes previstos no n.o 1 do presente artigo, em conformidade com o Regulamento (UE) n.o 1025/2012, e não se prever a publicação de tal referência dentro de um prazo razoável.
Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 46.o, n.o 2.
6. Antes de elaborar um projeto de ato de execução referido no n.o 5 do presente artigo, a Comissão informa o comité referido no artigo 22.o do Regulamento (UE) n.o 1025/2012 de que considera terem sido preenchidas as condições previstas no n.o 5 do presente artigo.
7. Ao elaborar o projeto de ato de execução referido no n.o 5, a Comissão tem em conta o aconselhamento prestado pelo Comité Europeu da Inovação de Dados e os pontos de vista de outros organismos ou grupos de peritos pertinentes e consulta devidamente todas as partes interessadas pertinentes.
8. Presume-se que os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes em espaços de dados que cumprem as especificações comuns, ou partes das mesmas, estabelecidas por atos de execução a que se refere o n.o 5, estão em conformidade com os requisitos essenciais estabelecidos no n.o 1 na medida em que esses requisitos sejam abrangidos por essas especificações comuns ou partes das mesmas.
9. Sempre que uma norma harmonizada seja adotada por uma organização europeia de normalização e para efeitos de publicação da sua referência no Jornal Oficial da União Europeia seja proposta à Comissão, esta deve avaliar a norma harmonizada em conformidade com o Regulamento (UE) n.o 1025/2012. Quando a referência de uma norma harmonizada é publicada no Jornal Oficial da União Europeia, a Comissão revoga os atos de execução a que se refere o n.o 5 do presente artigo, ou partes dos mesmos, que abranjam os mesmos requisitos essenciais daqueles abrangidos por essa norma harmonizada.
10. Caso um Estado-Membro considere que uma especificação comum não satisfaz totalmente os requisitos essenciais previstos no n.o 1, informa a Comissão desse facto através da apresentação de uma explicação pormenorizada. A Comissão avalia essa explicação pormenorizada e pode, se for caso disso, alterar o ato de execução que estabelece a especificação comum em questão.
11. A Comissão pode, tendo em conta a proposta do Comité Europeu da Inovação de Dados nos termos do artigo 30.o, alínea h), do Regulamento (UE) 2022/868, adotar orientações que estabeleçam especificações de quadros interoperáveis de normas e práticas comuns para o funcionamento dos espaços comuns europeus de dados.
Artigo 34.
Interoperabilidade para efeitos da utilização de serviços de tratamento de dados em paralelo
1. Os requisitos previstos no artigo 23.o, no artigo 24.o, no artigo 25.o, n.o 2, alínea a), subalíneas ii) e iv), alínea e) e alínea f), e no artigo 30.o, n.os 2 a 5, são igualmente aplicáveis, com as devidas adaptações, aos prestadores de serviços de tratamento de dados, a fim de facilitar a interoperabilidade para efeitos da utilização de serviços de tratamento de dados em paralelo.
2. Caso um serviço de tratamento de dados esteja a ser utlizado em paralelo com outro serviço de tratamento de dados, os prestadores de serviços de tratamento de dados podem impor encargos decorrentes da saída de dados, mas apenas com o objetivo de repercutir os custos da saída incorridos, sem exceder esses custos.
Artigo 35.
Interoperabilidade dos serviços de tratamento de dados
1. As especificações de interoperabilidade aberta e as normas harmonizadas de interoperabilidade dos serviços de tratamento de dados devem:
a)
Caso seja tecnicamente viável, alcançar a interoperabilidade entre os diferentes serviços de tratamento de dados que abranjam o mesmo tipo de serviço;
b)
Melhorar a portabilidade dos ativos digitais entre diferentes serviços de tratamento de dados que abranjam o mesmo tipo de serviço;
c)
Caso seja tecnicamente viável, facilitar a equivalência funcional entre os diferentes serviços de tratamento de dados a que se refere o artigo 30.o, n.o 1, que abranjam o mesmo tipo de serviço;
d)
Não afetar negativamente a segurança e a integridade dos serviços e tratamento de dados e dos dados;
e)
Ser concebidas de modo a permitir avanços técnicos e a inclusão de novas funções e inovação nos serviços de tratamento de dados.
2. As especificações de interoperabilidade aberta e as normas harmonizadas de interoperabilidade dos serviços de tratamento de dados devem abordar adequadamente:
a)
Os aspetos de interoperabilidade da computação em nuvem da interoperabilidade do transporte, da interoperabilidade sintática, da interoperabilidade semântica dos dados, da interoperabilidade comportamental e da interoperabilidade das políticas;
b)
Os aspetos de portabilidade dos dados em nuvem da portabilidade sintática dos dados, da portabilidade semântica dos dados e da portabilidade das políticas de dados;
c)
Os aspetos de aplicação em nuvem da portabilidade sintática das aplicações, da portabilidade das instruções das aplicações, da portabilidade dos metadados das aplicações, da portabilidade do comportamento das aplicações e da portabilidade das políticas de aplicação.
3. As especificações de interoperabilidade aberta devem cumprir o disposto no anexo II do Regulamento (UE) n.o 1025/2012.
4. Uma vez tidas em conta as normas e as iniciativas de autorregulação internacionais e europeias pertinentes, a Comissão pode, em conformidade com o artigo 10.o, n.o 1 do Regulamento (UE) n.o 1025/2012, solicitar a uma ou várias organizações europeias de normalização que elaborem normas harmonizadas que satisfaçam os requisitos essenciais previstos nos n.os 1 e 2 do presente artigo.
5. A Comissão pode, por meio de atos de execução, adotar especificações comuns com base em especificações de interoperabilidade aberta que abranjam todos os requisitos essenciais previstos nos n.os 1 e 2.
6. Ao elaborar o projeto de ato de execução a que se refere o n.o 5 do presente artigo, a Comissão tem em conta os pontos de vista das autoridades competentes relevantes a que se refere o artigo 37.o, n.o 5, alínea h), e de outros organismos ou grupos de peritos pertinentes, e consulta devidamente todas as partes interessadas pertinentes.
7. Caso um Estado-Membro considere que uma especificação comum não satisfaz totalmente os requisitos essenciais previstos nos n.os 1 e 2, informa a Comissão desse facto, apresentando uma explicação pormenorizada. A Comissão avalia essa explicação pormenorizada e pode, se for caso disso, alterar o ato de execução que estabelece a especificação comum em questão.
8. Para efeitos do artigo 30.o, n.o 3, a Comissão publica, por meio de atos de execução, as referências das normas harmonizadas e das especificações comuns de interoperabilidade dos serviços de tratamento de dados num repositório central da União de normas relativas à interoperabilidade dos serviços de tratamento de dados.
9. Os atos de execução referidos no presente artigo são adotados pelo procedimento de exame a que se refere o artigo 46.o, n.o 2.
Artigo 36.
Requisitos essenciais em matéria de contratos inteligentes para a execução de acordos de partilha de dados
1. O vendedor de uma aplicação que utilize contratos inteligentes ou, na sua ausência, a pessoa cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto da execução de um acordo de disponibilização de dados, ou de parte do mesmo, deve assegurar que os referidos contratos inteligentes cumprem os seguintes requisitos essenciais de:
a)
Solidez e controlo do acesso, para assegurar que o contrato inteligente foi concebido de modo a proporcionar mecanismos de controlo do acesso e um elevado grau de solidez, a fim de evitar erros funcionais e de resistir à manipulação por terceiros;
b)
Cessação e interrupção seguras, para assegurar a existência de um mecanismo para pôr termo à execução continuada das transações e que o contrato inteligente inclui funções internas que permitam reiniciar ou dar instruções ao contrato de modo a parar ou interromper a operação, em especial a fim de evitar futuras execuções acidentais;
c)
Arquivamento e continuidade dos dados, para assegurar, caso um contrato inteligente tenha de ser rescindido ou desativado, que exista a possibilidade de arquivar os dados sobre as transações, a lógica e o código do contrato inteligente, a fim de conservar o registo das operações realizadas no passado em relação aos dados (auditabilidade);
d)
Controlo do acesso, para assegurar que os contratos inteligentes estejam protegidos através de mecanismos rigorosos de controlo do acesso ao nível da governação e ao nível dos contratos inteligentes; e
e)
Coerência, para assegurar coerência com os termos do acordo de partilha de dados que o contrato inteligente executa.
2. O vendedor de um contrato inteligente ou, na sua ausência, a pessoa cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto da execução de um acordo, ou parte dele, de disponibilização de dados deve efetuar uma avaliação da conformidade com vista ao cumprimento dos requisitos essenciais previstos no n.o 1 e, no que respeita ao cumprimento desses requisitos, emitir uma declaração de conformidade UE.
3. Ao elaborar a declaração de conformidade UE, o vendedor de uma aplicação que utilize contratos inteligentes ou, na sua ausência, a pessoa cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto da execução de um acordo, ou parte dele, de disponibilização de dados, é responsável pelo cumprimento dos requisitos essenciais previstos no n.o 1.
4. Presume-se que um contrato inteligente que cumpre as normas harmonizadas, ou as partes pertinentes das mesmas, e cujas referências estão publicadas no Jornal Oficial da União Europeia, está em conformidade com os requisitos essenciais previstos no n.o 1, na medida em que esses requisitos sejam abrangidos por essas normas harmonizadas ou partes das mesmas.
5. A Comissão deve, nos termos do artigo 10.o do Regulamento (UE) n.o 1025/2012, solicitar a uma ou várias organizações europeias de normalização que elaborem normas harmonizadas que satisfaçam os requisitos essenciais previstos no n.o 1 do presente artigo.
6. A Comissão pode, por meio de atos de execução, adotar especificações comuns que abranjam alguns ou todos os requisitos essenciais previstos no n.o 1 se estiverem preenchidas as seguintes condições:
a)
A Comissão ter solicitado, nos termos do artigo 10.o, n.o 1, do Regulamento (UE) n.o 1025/2012, a uma ou mais organizações europeias de normalização a elaboração de uma norma harmonizada que satisfaça os requisitos essenciais previstos no n.o 1 do presente artigo e:
i)
o pedido não ter sido aceite,
ii)
as normas harmonizadas que dão resposta a esse pedido não serem produzidas dentro do prazo estabelecido nos termos do artigo 10.o, n.o 1, do Regulamento (UE) n.o 1025/2012, ou
iii)
as normas harmonizadas não estarem em conformidade com o pedido; e
b)
Não estar publicada no Jornal Oficial da União Europeia qualquer referência a normas harmonizadas que abranjam os requisitos essenciais pertinentes previstos no n.o 1 do presente artigo, em conformidade com o Regulamento (UE) n.o 1025/2012, e não se prever a publicação de tal referência dentro de um prazo razoável.
Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 46.o, n.o 2.
7. Antes de elaborar um projeto de ato de execução referido no n.o 6 do presente artigo, a Comissão informa o comité referido no artigo 22.o do Regulamento (UE) n.o 1025/2012 de que considera terem sido preenchidas as condições previstas no n.o 6 do presente artigo.
8. Ao elaborar o projeto de ato de execução referido no n.o 6, a Comissão tem em conta o aconselhamento prestado pelo Comité Europeu da Inovação de Dados e os pontos de vista de outros organismos ou grupos de peritos pertinentes e consulta devidamente todas as partes interessadas pertinentes.
9. Presume-se que o vendedor de um contrato inteligente ou, na sua ausência, a pessoa cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto de execução de um acordo, ou parte dele, de disponibilização de dados que cumpre as especificações comuns, ou partes das mesmas, estabelecidas por atos de execução a que se refere o n.o 6, está em conformidade com os requisitos essenciais previstos no n.o 1 na medida em que esses requisitos sejam abrangidos por essas especificações comuns ou partes das mesmas.
10. Sempre que uma norma harmonizada seja adotada por uma organização europeia de normalização e seja proposta à Comissão para efeitos da publicação da sua referência no Jornal Oficial da União Europeia, a Comissão deve avaliar a norma harmonizada em conformidade com o Regulamento (UE) n.o 1025/2012. Quando a referência de uma norma harmonizada é publicada no Jornal Oficial da União Europeia, a Comissão revoga os atos de execução a que se refere o n.o 6 do presente artigo, ou partes dos mesmos, que abranjam os mesmos requisitos essenciais que aqueles abrangidos por essa norma harmonizada.
11. Caso um Estado-Membro considere que uma especificação comum não satisfaz totalmente os requisitos essenciais previstos no n.o 1, informa a Comissão desse facto, apresentando uma explicação pormenorizada. A Comissão avalia essa explicação pormenorizada e pode, se for caso disso, alterar o ato de execução que estabelece a especificação comum em questão.
CAPÍTULO IX
EXECUÇÃO E FISCALIZAÇÃO DO CUMPRIMENTO
Artigo 37.
Autoridades competentes e coordenadores de dados
1. Cada Estado-Membro designa uma ou mais autoridades competentes que serão responsáveis pela execução e pela fiscalização do cumprimento do presente regulamento (autoridades competentes). Os Estados-Membros podem criar uma ou várias novas autoridades ou recorrer às existentes.
2. Se um Estado-Membro designar mais do que uma autoridade competente, designa uma delas como coordenador de dados, a fim de facilitar a cooperação entre as autoridades competentes e de apoiar as entidades abrangidas pelo âmbito de aplicação do presente regulamento em todas as matérias relacionadas com a sua aplicação e com a fiscalização do seu cumprimento. As autoridades competentes devem cooperar entre si no exercício das funções e competências que lhes são conferidas nos termos do n.o 5.
3. As autoridades de controlo responsáveis pela fiscalização da aplicação do Regulamento (UE) 2016/679 são responsáveis pela fiscalização da aplicação do presente regulamento no que diz respeito à proteção dos dados pessoais. Os capítulos VI e VII do Regulamento (UE) 2016/679 são aplicáveis com as devidas adaptações.
A Autoridade Europeia para a Proteção de Dados é responsável pelo controlo da aplicação do presente regulamento na medida em que diga respeito à Comissão, ao Banco Central Europeu ou aos órgãos da União. Se pertinente, o artigo 62.o do Regulamento (UE) 2018/1725 é aplicável com as devidas adaptações.
As funções e as competências das autoridades de controlo referidas no presente parágrafo são exercidas no que diz respeito ao tratamento de dados pessoais.
4. Sem prejuízo do disposto no n.o 1 do presente artigo:
a)
No caso de questões específicas de acesso e utilização setoriais de dados relacionadas com a aplicação do presente regulamento, deve ser respeitada a competência das autoridades setoriais;
b)
A autoridade competente responsável pela execução e pela fiscalização e garantia do cumprimento do disposto nos artigos 23.o a 31.o e nos artigos 34.o e 35.odeve ter experiência no domínio dos dados e dos serviços de comunicações eletrónicas.
5. Os Estados-Membros devem assegurar que as funções e competências das autoridades competentes são claramente definidas e incluem:
a)
A promoção da literacia de dados e da sensibilização dos utilizadores e das entidades abrangidas pelo âmbito de aplicação do presente regulamento no que se refere aos direitos e às obrigações previstos no presente regulamento;
b)
O tratamento das reclamações decorrentes de alegadas infrações ao presente regulamento, incluindo no que diz respeito a segredos comerciais, e a investigação, na medida do necessário, do conteúdo das reclamações, e prestação regular de informações aos seus autores, se pertinente nos termos da legislação nacional, sobre o andamento e o resultado das investigações num prazo razoável, em especial se for necessário realizar atividades de investigação ou de coordenação complementares com outras autoridades competentes;
c)
A realização de investigações em matérias relativas à execução do presente regulamento, nomeadamente com base em informações recebidas de outras autoridades competentes ou de outras autoridades públicas;
d)
A imposição de sanções financeiras efetivas, proporcionadas e dissuasivas, que podem incluir sanções periódicas e sanções com efeitos retroativos, ou a instauração de processos judiciais para a aplicação de coimas;
e)
O acompanhamento da evolução tecnológica e comercial pertinente para a disponibilização e a utilização dos dados;
f)
A cooperação com as autoridades competentes de outros Estados-Membros, e, se for caso disso, com a Comissão ou o Comité Europeu da Inovação de Dados, a fim de assegurar a aplicação coerente e eficiente do presente regulamento, incluindo o intercâmbio de todas as informações pertinentes por via eletrónica, sem demora injustificada, incluindo no que diz respeito ao n.o 10 do presente artigo;
g)
A cooperação com as autoridades competentes responsáveis pela execução de outros atos jurídicos nacionais ou da União, nomeadamente as autoridades competentes no domínio dos dados e dos serviços de comunicações eletrónicas, com a autoridade de controlo responsável pela fiscalização da aplicação do Regulamento (UE) 2016/679 ou com as autoridades setoriais, a fim de garantir que o presente regulamento é aplicado de uma forma coerente com outra legislação nacional e da União;
h)
A cooperação com todas as autoridades competentes, a fim de assegurar que as obrigações previstas nos artigos 23.o a 31.o e nos artigos 34.o e 35.o são aplicadas de forma coerente com outro direito da União e com a autorregulação aplicável aos prestadores de serviços de tratamento de dados;
i)
A garantia de que os encargos pela mudança de prestador de serviços de tratamento de dados são suprimidos, em conformidade com o artigo 29.o;
j)
A análise dos pedidos de dados feitos ao abrigo do capítulo V.
Caso seja designado, o coordenador de dados facilita a cooperação referida nas alíneas f), g) e h) do primeiro parágrafo e presta assistência às autoridades competentes, a pedido destas.
6. O coordenador de dados, nos casos em que uma autoridade competente tenha sido designada como tal, deve:
a)
Atuar como ponto de contacto único para todas as questões relacionadas com a aplicação do presente regulamento;
b)
Garantir a publicação em linha dos pedidos de disponibilização dos dados apresentados por organismos do setor público em caso de necessidade excecional ao abrigo do capítulo V, e promover a partilha voluntária de dados entre os organismos do setor público e os detentores dos dados;
c)
Informar anualmente a Comissão das recusas notificadas nos termos do artigo 4.o, n.os 2 e 8, e do artigo 5.o, n.o 11.
7. Os Estados-Membros devem notificar a Comissão dos nomes das autoridades competentes e das suas funções e competências e, se aplicável, do nome do coordenador de dados. A Comissão deve manter um registo público dessas autoridades.
8. No desempenho das suas funções e no exercício das suas competências em conformidade com o presente regulamento, as autoridades competentes devem ser imparciais e estar livres de qualquer influência externa, direta ou indireta, e não solicitar nem aceitar instruções relativas a casos individuais de qualquer outra autoridade pública ou de qualquer entidade privada.
9. Os Estados-Membros devem assegurar que as autoridades competentes dispõem dos recursos humanos e técnicos suficientes e dos conhecimentos especializados pertinentes para desempenhar adequadamente as suas funções em conformidade com o presente regulamento.
10. As entidades abrangidas pelo âmbito de aplicação do presente regulamento são da competência do Estado-Membro em que estão estabelecidas. Se a entidade estiver estabelecida em mais do que um Estado-Membro, considera-se que é da competência do Estado-Membro em que tem o seu estabelecimento principal, ou seja, aquele em que a entidade tem os serviços centrais ou sede social a partir dos quais são exercidas as principais funções financeiras e o controlo operacional.
11. As entidades abrangidas pelo âmbito de aplicação do presente regulamento que disponibilizem produtos conectados ou ofereçam serviços conexos na União e que não estejam estabelecidas na União designam um representante legal num dos Estados-Membros.
12. A fim de garantir o cumprimento do presente regulamento, toda e qualquer entidade abrangida pelo âmbito de aplicação do presente regulamento que disponibilize produtos conectados ou ofereça serviços conexos na União deve mandatar um representante legal para ser contactado pelas autoridades competentes, em complemento ou em substituição da referida entidade, no que diz respeito a todas as questões relacionadas com essa entidade. O referido representante legal deve cooperar com as autoridades competentes e demonstrar-lhes de forma exaustiva, mediante pedido, as medidas tomadas e as disposições adotadas pela entidade abrangida pelo âmbito de aplicação do presente regulamento que disponibiliza produtos conectados ou oferece serviços conexos na União para garantir o cumprimento do presente regulamento.
13. Considera-se que uma entidade abrangida pelo âmbito de aplicação do presente regulamento que disponibilize produtos conectados ou ofereça serviços na União está sob a competência do Estado-Membro em que está situado o seu representante legal. A designação de um representante legal por essa entidade é realizada sem prejuízo da sua responsabilidade e de eventuais ações judiciais que possam vir a ser intentadas contra a mesma. Até ao momento em que designe um representante legal nos termos do presente artigo, a entidade é da competência de todos os Estados-Membros, se aplicável, a fim de assegurar a aplicação e o cumprimento do presente regulamento. Toda e qualquer autoridade competente pode exercer a sua competência, nomeadamente através da imposição de sanções efetivas, proporcionadas e dissuasivas, desde que a entidade não esteja sujeita a procedimentos de execução nos termos do presente regulamento por outra autoridade competente a respeito dos mesmos factos.
14. As autoridades competentes têm competência para solicitar aos utilizadores, aos detentores dos dados ou aos destinatários dos dados, ou aos seus representantes legais, que sejam da competência do respetivo Estado-Membro, todas as informações necessárias para verificar o cumprimento do presente regulamento. Os pedidos de informações devem ser proporcionados em relação ao desempenho da função subjacente e devem ser fundamentados.
15. Caso uma autoridade competente de um Estado-Membro solicite assistência ou medidas de execução a uma autoridade competente de outro Estado-Membro, deve apresentar para o efeito um pedido fundamentado. Após receber o referido pedido, a autoridade competente deve fornecer uma resposta em que descreva pormenorizadamente as medidas tomadas ou previstas, sem demora injustificada.
16. As autoridades competentes devem respeitar o princípio da confidencialidade e do sigilo profissional e comercial e proteger os dados pessoais nos termos do direito da União ou do direito nacional. As informações trocadas no contexto de um pedido de assistência e facultadas nos termos do presente artigo só podem ser usadas relativamente ao assunto para o qual foram solicitadas.
Artigo 38.
Direito de reclamação
1. Sem prejuízo de qualquer outra via de recurso administrativa ou judicial, as pessoas singulares e coletivas têm o direito de apresentar reclamações, a título individual ou, se for caso disso, a título coletivo, à autoridade competente do Estado-Membro da sua residência habitual, do seu local de trabalho ou do seu estabelecimento, se considerarem que os seus direitos ao abrigo do presente regulamento foram violados. Mediante pedido, o coordenador de dados faculta todas as informações necessárias às pessoas singulares e coletivas para que apresentem as suas reclamações à autoridade competente adequada.
2. A autoridade competente à qual tenha sido apresentada uma reclamação informa o autor da reclamação, em conformidade com o direito nacional, quanto à evolução do processo e à decisão tomada.
3. As autoridades competentes devem cooperar com vista ao tratamento e resolução das reclamações de forma eficaz e atempada, inclusive através do intercâmbio de todas as informações pertinentes por via eletrónica, sem demora injustificada. Essa cooperação não afeta o mecanismo de cooperação previsto nos capítulos VI e VII do Regulamento (UE) 2016/679 e pelo Regulamento (UE) 2017/2394.
Artigo 39.
Direito à ação judicial
1. Não obstante quaisquer recursos administrativos ou outras vias de recurso extrajudiciais, toda e qualquer pessoa singular ou coletiva afetada tem direito à ação judicial no que respeita às decisões juridicamente vinculativas tomadas pelas autoridades competentes.
2. Caso uma autoridade competente não dê seguimento a uma reclamação, qualquer pessoa singular ou coletiva afetada tem direito, em conformidade com o direito nacional, à ação judicial ou a uma reapreciação por um organismo imparcial dotado da competência técnica adequada.
3. Os processos ao abrigo do presente artigo são interpostos perante os órgãos jurisdicionais do Estado-Membro da autoridade competente contra a qual a ação judicial é intentada, a título individual ou, se for caso disso, a título coletivo, pelos representantes de uma ou mais pessoas singulares ou coletivas.
Artigo 40.
Sanções
1. Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de infração ao presente regulamento e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas.
2. Os Estados-Membros notificam a Comissão, até 12 de setembro de 2025, dessas regras e medidas e também, sem demora, de qualquer alteração ulterior. A Comissão mantém e atualiza regularmente um registo público facilmente acessível dessas medidas.
3. Os Estados-Membros devem ter em conta as recomendações do Comité Europeu da Inovação de Dados e os seguintes critérios não exaustivos para a imposição de sanções em caso de infração ao presente regulamento:
a)
A natureza, gravidade, dimensão e duração da infração;
b)
Qualquer medida tomada pela parte infratora para atenuar ou reparar os danos causados pela infração;
c)
Qualquer infração anterior cometida pela parte infratora;
d)
Os benefícios financeiros obtidos ou as perdas evitadas pela parte infratora devido à infração, na medida em que esses benefícios ou perdas possam ser estabelecidos de forma fiável;
e)
Quaisquer outros fatores agravantes ou atenuantes aplicáveis às circunstâncias do caso concreto;
f)
O volume de negócios anual da parte infratora no exercício anterior na União.
4. Em caso de incumprimento das obrigações estabelecidas nos capítulos II, III e V do presente regulamento, as autoridades responsáveis por controlar a aplicação do Regulamento (UE) 2016/679 podem, no âmbito das suas competências, aplicar coimas nos termos do artigo 83.o do Regulamento (UE) 2016/679, até ao montante referido no artigo 83.o, n.o 5, do mesmo regulamento.
5. Em caso de incumprimento das obrigações estabelecidas no capítulo V do presente regulamento, a Autoridade Europeia para a Proteção de Dados pode, no âmbito das suas competências, aplicar coimas em conformidade com o artigo 66.o do Regulamento (UE) 2018/1725, até ao montante referido no artigo 66.o, n.o 3, do mesmo regulamento.
Artigo 41.
Modelos de cláusulas contratuais e cláusulas contratuais-tipo
Antes de 12 de setembro de 2025, a Comissão deve desenvolver e recomendar modelos de cláusulas contratuais não vinculativos sobre o acesso e a utilização dos dados, incluindo cláusulas em matéria de compensação razoável e proteção dos segredos comerciais, bem como cláusulas contratuais-tipo não vinculativas para contratos de serviços de computação em nuvem, a fim de prestar assistência às partes na elaboração e na negociação de contratos com direitos e obrigações contratuais justos, razoáveis e não discriminatórios.
Artigo 42.
Papel do Comité Europeu da Inovação de Dados
O Comité Europeu da Inovação de Dados criado como grupo de peritos da Comissão nos termos do artigo 29.o do Regulamento (UE) 2022/868, no qual estão representadas as autoridades competentes, apoia a aplicação coerente do presente regulamento do seguinte modo:
a)
Aconselhando e prestando assistência à Comissão no que diz respeito ao desenvolvimento de práticas coerentes das autoridades competentes para assegurar o cumprimento dos capítulos II, III, V e VII;
b)
Facilitando a cooperação entre as autoridades competentes mediante o reforço das capacidades e o intercâmbio de informações, nomeadamente estabelecendo métodos para o intercâmbio eficiente de informações relativas à aplicação dos direitos e obrigações previstos nos capítulos II, III e V em casos transfronteiriços, incluindo a coordenação no que diz respeito à fixação de sanções;
c)
Aconselhando e prestando assistência à Comissão no que diz respeito ao seguinte:
i)
a possibilidade de solicitar a elaboração das normas harmonizadas a que se referem o artigo 33.o, n.o 4, o artigo 35.o, n.o 4, e o artigo 36.o, n.o 5,
ii)
a elaboração dos projetos dos atos de execução a que se referem o artigo 33.o, n.o 5, o artigo 35.o, n.os 5 e 8, e o artigo 36.o, n.o 6,
iii)
a elaboração dos atos delegados a que se referem o artigo 29.o, n.o 7, e o artigo 33.o, n.o 2, e
iv)
a adoção das diretrizes que estabeleçam especificações de quadros interoperáveis de normas e práticas comuns para o funcionamento dos espaços comuns europeus de dados a que se refere o artigo 33.o, n.o 11.
CAPÍTULO X
DIREITO SUI GENERIS NOS TERMOS DA DIRETIVA 96/9/CE
Artigo 43.
Bases de dados que contêm determinados dados
O direito sui generis previsto no artigo 7.o da Diretiva 96/9/CE não é aplicável se os dados forem obtidos ou gerados por um produto conectado ou serviço conexo abrangido pelo âmbito de aplicação do presente regulamento, nomeadamente no que respeita aos seus artigos 4.o e 5.o.
CAPÍTULO XI
DISPOSIÇÕES FINAIS
Artigo 44.
Outros atos jurídicos da União que regem os direitos e as obrigações em matéria de acesso e utilização de dados
1. Não são afetadas as obrigações específicas relativas à disponibilização de dados entre empresas, entre empresas e consumidores e, a título excecional, entre empresas e organismos públicos, constantes dos atos jurídicos da União que entraram em vigor em 11 de janeiro de 2024 ou antes dessa data, nem dos atos delegados ou de execução que se baseiam nos mesmos.
2. O presente regulamento não prejudica o direito da União que especifique requisitos adicionais, em função das necessidades de um setor, de um espaço europeu comum de dados ou de um domínio de interesse público, em especial no que diz respeito:
a)
Aos aspetos técnicos do acesso aos dados;
b)
Aos limites dos direitos dos detentores dos dados de acederem a determinados dados facultados pelos utilizadores ou de os utilizarem;
c)
Aos aspetos que vão além do acesso e da utilização dos dados.
3. O presente regulamento, com exceção do capítulo V, não prejudica o direito da União e o direito nacional que preveem o acesso aos dados e autorizam a utilização dos dados para fins de investigação científica.
Artigo 45.
Exercício da delegação
1. O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.
2. O poder de adotar atos delegados referido no artigo 29.o, n.o 7, e no artigo 33.o, n.o 2, é conferido à Comissão por tempo indeterminado a contar de 11 de janeiro de 2024.
3. A delegação de poderes referida artigo 29.o, n.o 7, e no artigo 33.o, n.o 2 pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.
4. Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.
5. Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.
6. Os atos delegados adotados nos termos do artigo 29.o, n.o 7, ou do artigo 33.o, n.o 2, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de três meses a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por três meses por iniciativa do Parlamento Europeu ou do Conselho.
Artigo 46.
Procedimento de comité
1. A Comissão é assistida pelo comité criado pelo Regulamento (UE) 2022/868. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011.
2. Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011.
Artigo 47.
Alteração do Regulamento (UE) 2017/2394
Ao anexo do Regulamento (UE) 2017/2394, é aditado o seguinte ponto:
«29.
Regulamento (UE) 2023/2854 do Parlamento Europeu e do Conselho, de 13 de dezembro de 2023, relativo a regras harmonizadas sobre o acesso equitativo aos dados e a sua utilização e que altera o Regulamento (UE) 2017/2394 e a Diretiva (UE) 2020/1828 (Regulamento dos Dados) (JO L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj).».
Artigo 48.
Alteração da Diretiva (UE) 2020/1828
Ao anexo I da Diretiva (UE) 2020/1828 é aditado o seguinte ponto:
«68.
Regulamento (UE) 2023/2854 do Parlamento Europeu e do Conselho, de 13 de dezembro de 2023, relativo a regras harmonizadas sobre o acesso equitativo aos dados e a sua utilização e que altera o Regulamento (UE) 2017/2394 e a Diretiva (UE) 2020/1828 (Regulamento dos Dados) (JO L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj).».
Artigo 49.
Avaliação e revisão
1. Até 12 de setembro de 2028, a Comissão procede à avaliação do presente regulamento e apresenta um relatório com as suas principais conclusões ao Parlamento Europeu e ao Conselho, e ao Comité Económico e Social Europeu. Essa avaliação deve incidir, em especial, nos seguintes aspetos:
a)
As situações a considerar como situações de necessidade excecional para efeitos do artigo 15.o do presente regulamento e da aplicação do capítulo V do presente regulamento na prática, em especial a experiência adquirida com a aplicação do Capítulo V do presente regulamento pelos organismos do setor público, pela Comissão, pelo Banco Central Europeu e por órgãos da União; o número e o resultado dos processos instaurados junto da autoridade competente nos termos do artigo 18.o, n.o 5, relativos à aplicação do capítulo V do presente regulamento, conforme comunicados pelas autoridades competentes; o impacto de outras obrigações previstas no direito da União ou no direito nacional para efeitos de cumprimento dos pedidos de acesso às informações; o impacto dos mecanismos de partilha voluntária de dados, como as postas em prática por organizações de altruísmo de dados reconhecidas ao abrigo do Regulamento (UE) 2022/868, no cumprimento dos objetivos do capítulo V do presente regulamento, e o papel dos dados pessoais no contexto do artigo 15.o do presente regulamento, incluindo a evolução das tecnologias de reforço da privacidade;
b)
O impacto do presente regulamento na utilização dos dados na economia, nomeadamente na inovação de dados, nas práticas de monetização dos dados e nos serviços de intermediação de dados, bem como na partilha de dados nos espaços comuns europeus de dados;
c)
A acessibilidade e a utilização de diferentes categorias e tipos de dados;
d)
A exclusão de determinadas categorias de empresas da qualidade de beneficiárias nos termos do artigo 5.o;
e)
A ausência de qualquer impacto nos direitos de propriedade intelectual;
f)
O impacto nos segredos comerciais, nomeadamente na proteção contra a aquisição, utilização e divulgação ilícitas dos mesmos, bem como o impacto do mecanismo que permite ao detentor dos dados recusar o pedido do utilizador nos termos do artigo 4.o, n.o 8, e do artigo 5.o, n.o 11, tendo em conta, na medida do possível, qualquer revisão da Diretiva (UE) 2016/943;
g)
Se a lista de cláusulas contratuais abusivas a que se refere o artigo 13.o está atualizada à luz das novas práticas comerciais e do ritmo acelerado da inovação no mercado;
h)
Alterações das práticas contratuais dos prestadores de serviços de tratamento de dados e se tal resulta no cumprimento suficiente do artigo 25.o;
i)
A redução dos encargos impostos pelos prestadores de serviços de tratamento de dados devido ao processo de mudança, em consonância com a supressão gradual dos encargos decorrentes da mudança nos termos do artigo 29.o;
j)
A interação do presente regulamento com outros atos jurídicos da União pertinentes para a economia dos dados;
k)
A prevenção do acesso governamental ilícito a dados não pessoais;
l)
A eficácia do regime de fiscalização do cumprimento exigido nos termos do artigo 37.o;
m)
O impacto do presente regulamento nas PME no que respeita à sua capacidade de inovação e à disponibilidade de serviços de processamento de dados para utilizadores na União e ao encargo relacionado com o cumprimento de novas obrigações.
2. Até 12 de setembro de 2028, a Comissão procede à avaliação do presente regulamento e apresenta um relatório com as suas principais conclusões ao Parlamento Europeu e ao Conselho, bem como ao Comité Económico e Social Europeu. Essa avaliação deve analisar o impacto dos artigos 23.o a 31.o e dos artigos 34.o e 35.o, nomeadamente no que diz respeito à fixação de preços e à diversidade dos serviços de tratamento de dados oferecidos na União, com especial destaque para os prestadores de serviços que são PME.
3. Os Estados-Membros transmitem à Comissão as informações necessárias para a elaboração dos relatórios referidos nos n.os 1 e 2.
4. Com base nos relatórios referidos nos n.os 1 e 2, a Comissão pode, se for caso disso, apresentar uma proposta legislativa ao Parlamento Europeu e ao Conselho para alteração do presente regulamento.
Artigo 50.
Entrada em vigor e aplicação
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
É aplicável a partir de 12 de setembro de 2025.
A obrigação decorrente do artigo 3.o, n.o 1, é aplicável aos produtos conectados e serviços com eles relacionados colocados no mercado após 12 de setembro de 2026.
O capítulo III é aplicável às obrigações de disponibilização de dados nos termos de disposições do direito da União ou da legislação nacional adotada em conformidade com o direito da União que entrem em vigor após 12 de setembro de 2025.
O capítulo IV é aplicável aos contratos celebrados após 12 de setembro de 2025.
O capítulo IV é aplicável a partir de 12 de setembro de 2027 aos contratos celebrados em 12 de setembro de 2025, ou antes dessa data, desde que:
a)
Sejam de duração indeterminada; ou
b)
Expirem pelo menos 10 anos a contar de 11 de janeiro de 2024.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
Feito em Estrasburgo, em 13 de dezembro de 2023.
Pelo Parlamento Europeu
A Presidente
R. METSOLA
Pelo Conselho
O Presidente
P. NAVARRO RÍOS
(1) JO C 402 de 19.10.2022, p. 5.
(2) JO C 365 de 23.9.2022, p. 18.
(3) JO C 375 de 30.9.2022, p. 112.
(4) Posição do Parlamento Europeu de 9 de novembro de 2023 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 27 de novembro de 2023.
(5) Recomendação 2003/361/CE da Comissão, de 6 de maio de 2003, relativa à definição de micro, pequenas e médias empresas (JO L 124 de 20.5.2003, p. 36).
(6) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).
(7) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).
(8) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).
(9) Diretiva 93/13/CEE do Conselho, de 5 de abril de 1993, relativa às cláusulas abusivas nos contratos celebrados com os consumidores (JO L 95 de 21.4.1993, p. 29).
(10) Diretiva 2005/29/CE do Parlamento Europeu e do Conselho, de 11 de maio de 2005, relativa às práticas comerciais desleais das empresas face aos consumidores no mercado interno e que altera a Diretiva 84/450/CEE do Conselho, as Diretivas 97/7/CE, 98/27/CE e 2002/65/CE do Parlamento Europeu e do Conselho e o Regulamento (CE) n.o 2006/2004 do Parlamento Europeu e do Conselho («diretiva relativa às práticas comerciais desleais») (JO L 149 de 11.6.2005, p. 22).
(11) Diretiva 2011/83/UE do Parlamento Europeu e do Conselho, de 25 de outubro de 2011, relativa aos direitos dos consumidores, que altera a Diretiva 93/13/CEE do Conselho e a Diretiva 1999/44/CE do Parlamento Europeu e do Conselho e que revoga a Diretiva 85/577/CEE do Conselho e a Diretiva 97/7/CE do Parlamento Europeu e do Conselho (JO L 304 de 22.11.2011, p. 64).
(12) Regulamento (UE) 2021/784 do Parlamento Europeu e do Conselho, de 29 de abril de 2021, relativo ao combate à difusão de conteúdos terroristas em linha (JO L 172 de 17.5.2021, p. 79).
(13) Regulamento (UE) 2022/2065 do Parlamento Europeu e do Conselho, de 19 de outubro de 2022, relativo a um mercado único para os serviços digitais e que altera a Diretiva 2000/31/CE (Regulamento dos Serviços Digitais) (JO L 277 de 27.10.2022, p. 1).
(14) Regulamento (UE) 2023/1543 do Parlamento Europeu e do Conselho, de 12 de julho de 2023, relativo às ordens europeias de produção e às ordens europeias de conservação para efeitos de prova eletrónica em processos penais e para efeitos de execução de penas privativas de liberdade na sequência de processos penais (JO L 191 de 28.7.2023, p. 118).
(15) Diretiva (UE) 2023/1544 do Parlamento Europeu e do Conselho, de 12 de julho de 2023, que estabelece normas harmonizadas aplicáveis à designação de estabelecimento designado e à nomeação de representantes legais para efeitos de recolha de provas eletrónicas em processos penais (JO L 191 de 28.7.2023, p. 181).
(16) Regulamento (UE) 2015/847 do Parlamento Europeu e do Conselho, de 20 de maio de 2015, relativo às informações que acompanham as transferências de fundos e que revoga o Regulamento (CE) n.o 1781/2006 (JO L 141 de 5.6.2015, p. 1).
(17) Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho, de 20 de maio de 2015, relativa à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais ou de financiamento do terrorismo, que altera o Regulamento (UE) n.o 648/2012 do Parlamento Europeu e do Conselho, e que revoga a Diretiva 2005/60/CE do Parlamento Europeu e do Conselho e a Diretiva 2006/70/CE da Comissão (JO L 141 de 5.6.2015, p. 73).
(18) Diretiva (UE) 2019/882 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa aos requisitos de acessibilidade dos produtos e serviços (JO L 151 de 7.6.2019, p. 70).
(19) Diretiva 2001/29/CE do Parlamento Europeu e do Conselho, de 22 de maio de 2001, relativa à harmonização de certos aspetos do direito de autor e dos direitos conexos na sociedade da informação (JO L 167 de 22.6.2001, p. 10).
(20) Diretiva 2004/48/CE do Parlamento Europeu e do Conselho, de 29 de abril de 2004, relativa ao respeito dos direitos de propriedade intelectual (JO L 157 de 30.4.2004, p. 45).
(21) Diretiva (UE) 2019/790 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa aos direitos de autor e direitos conexos no mercado único digital e que altera as Diretivas 96/9/CE e 2001/29/CE (JO L 130 de 17.5.2019, p. 92).
(22) Regulamento (UE) 2022/868 do Parlamento Europeu e do Conselho, de 30 de maio de 2022, relativo à governação europeia de dados e que altera o Regulamento (UE) 2018/1724 (Regulamento Governação de Dados) (JO L 152 de 3.6.2022, p. 1).
(23) Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativa à proteção de know-how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais (JO L 157 de 15.6.2016, p. 1).
(24) Diretiva 98/6/CE do Parlamento Europeu e do Conselho, de 16 de fevereiro de 1998, relativa à defesa dos consumidores em matéria de indicações dos preços dos produtos oferecidos aos consumidores (JO L 80 de 18.3.1998, p. 27).
(25) Diretiva 2000/31/CE do Parlamento Europeu e do Conselho, de 8 de junho de 2000, relativa a certos aspetos legais dos serviços da sociedade da informação, em especial do comércio eletrónico, no mercado interno (Diretiva sobre o comércio eletrónico) (JO L 178 de 17.7.2000, p. 1).
(26) Regulamento (UE) 2022/1925 do Parlamento Europeu e do Conselho, de 14 de setembro de 2022, relativo à disputabilidade e equidade dos mercados no setor digital e que altera as Diretivas (UE) 2019/1937 e (UE) 2020/1828 (Regulamento dos Mercados Digitais) (JO L 265 de 12.10.2022, p. 1).
(27) Regulamento (CE) n.o 223/2009 do Parlamento Europeu e do Conselho, de 11 de março de 2009, relativo às Estatísticas Europeias e que revoga o Regulamento (CE, Euratom) n.o 1101/2008 relativo à transmissão de informações abrangidas pelo segredo estatístico ao Serviço de Estatística das Comunidades Europeias, o Regulamento (CE) n.o 322/97 do Conselho relativo às estatísticas comunitárias e a Decisão 89/382/CEE, Euratom do Conselho que cria o Comité do Programa Estatístico das Comunidades Europeias (JO L 87 de 31.3.2009, p. 164).
(28) Diretiva (UE) 2019/1024 do Parlamento Europeu e do Conselho, de 20 de junho de 2019, relativa aos dados abertos e à reutilização de informações do setor público (JO L 172 de 26.6.2019, p. 56).
(29) Diretiva 96/9/CE do Parlamento Europeu e do Conselho, de 11 de março de 1996, relativa à proteção jurídica das bases de dados (JO L 77 de 27.3.1996, p. 20).
(30) Regulamento (UE) 2018/1807 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, relativo a um regime para o livre fluxo de dados não pessoais na União Europeia (JO L 303 de 28.11.2018, p. 59).
(31) Diretiva (UE) 2019/770 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, sobre certos aspetos relativos aos contratos de fornecimento de conteúdos e serviços digitais (JO L 136 de 22.5.2019, p. 1).
(32) Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).
(33) Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, relativo à normalização europeia, que altera as Diretivas 89/686/CEE e 93/15/CEE do Conselho e as Diretivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE do Parlamento Europeu e do Conselho e revoga a Decisão 87/95/CEE do Conselho e a Decisão n.o 1673/2006/CE do Parlamento Europeu e do Conselho (JO L 316 de 14.11.2012, p. 12).
(34) Regulamento (CE) n.o 765/2008 do Parlamento Europeu e do Conselho, de 9 de julho de 2008, que estabelece os requisitos de acreditação e fiscalização do mercado relativos à comercialização de produtos, e que revoga o Regulamento (CEE) n.o 339/93 (JO L 218 de 13.8.2008, p. 30).
(35) Decisão n.o 768/2008/CE do Parlamento Europeu e do Conselho, de 9 de julho de 2008, relativa a um quadro comum para a comercialização de produtos, e que revoga a Decisão 93/465/CEE (JO L 218 de 13.8.2008, p. 82).
(36) Regulamento (UE) 2017/2394 do Parlamento Europeu e do Conselho, de 12 de dezembro de 2017, relativo à cooperação entre as autoridades nacionais responsáveis pela aplicação da legislação de proteção dos consumidores e que revoga o Regulamento (CE) n.o 2006/2004 (JO L 345 de 27.12.2017, p. 1).
(37) Diretiva (UE) 2020/1828 do Parlamento Europeu e do Conselho, de 25 de novembro de 2020, relativa a ações coletivas para proteção dos interesses coletivos dos consumidores e que revoga a Diretiva 2009/22/CE (JO L 409 de 4.12.2020, p. 1).
(38) JO L 123 de 12.5.2016, p. 1.
(39) Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13).
ELI: http://data.europa.eu/eli/reg/2023/2854/oj
ISSN 1977-0774 (electronic edition)
Top