---
title: "Регламент N 2022/868 Европейского парламента и Совета Европейского Союза"
number: "2022/868"
issuer: "Европейский Союз"
status: действует
canonical: "https://bukva.ai/docs/reglament-2022868"
---
## Регламент N 2022/868 Европейского парламента и Совета Европейского Союза
"О европейском управлении данными, а также об изменении Регламента (ЕС) 2018/1724 (Акт об управлении данными)" [рус.]
(Принят в г. Брюсселе 30.05.2022)
> [!IMPORTANT]
> Документ вступил в силу 23 июня 2022 года (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu по состоянию на 07.02.2023). Россия не участвует.
> В соответствии со [статьей 38](https://bukva.ai/docs/reglament-2022868/statya-38#p100580) данный документ вступил в силу на двадцатый день следующий за днем публикации в Официальном Журнале Европейского Союза и [применяется](https://bukva.ai/docs/reglament-2022868/statya-38#p100581) с 24 сентября 2023 года.
[неофициальный перевод] <*>
**ЕВРОПЕЙСКИЙ СОЮЗ**
**РЕГЛАМЕНТ (ЕС) N 2022/868**
**ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕС О ЕВРОПЕЙСКОМ УПРАВЛЕНИИ**
**ДАННЫМИ, А ТАКЖЕ ОБ ИЗМЕНЕНИИ РЕГЛАМЕНТА (ЕС) 2018/1724**
**(АКТ ОБ УПРАВЛЕНИИ ДАННЫМИ) <1>**
**(Брюссель, 30 мая 2022 года)**
(Действие Регламента распространяется
на Европейское экономическое пространство)
---
<*> Перевод Каулько И.А.
<1> Regulation (EU) 2022/868 of the European Parliament and of the Council of 30 May 2022 on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act). Опубликован в Официальном Журнале (далее - ОЖ) N L 152, 3.6.2022, стр. 1.
Европейский Парламент и Совет Европейского Союза,
Руководствуясь [Договором](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-1) о функционировании Европейского Союза, и, в частности, [Статьей 114](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-114#p100757) указанного Договора;
Принимая во внимание предложение Европейской Комиссии;
После передачи проекта законодательного акта национальным парламентам;
Принимая во внимание заключение Европейского комитета по социальным и экономическим вопросам <2>;
---
<2> ОЖ N C 286, 16.7.2021, стр. 38.
После консультации с Комитетом регионов;
Действуя в соответствии с обычной законодательной процедурой <3>,
---
<3> Позиция Европейского Парламента от 6 апреля 2022 г. (еще не опубликована в ОЖ) и Решение Совета ЕС от 16 мая 2022 г.
Принимая во внимание следующие обстоятельства:
(1) [Договор](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-1) о функционировании Европейского союза (TFEU) предусматривает создание внутреннего рынка и учреждение системы, обеспечивающей отсутствие искажений конкуренции на внутреннем рынке. Установление общих правил и практик в государствах-членах ЕС в отношении развития правовых рамок для управления данными должно способствовать достижению указанных целей при полном соблюдении основных прав. Оно также должно гарантировать укрепление открытой стратегической автономии Союза, способствуя при этом международному свободному обмену данными.
(2) За последнее десятилетие цифровые технологии преобразовали экономику и общество, затронув все сферы деятельности и повседневной жизни. В основе такой трансформации находятся данные: инновации, основанные на данных, принесут огромные выгоды гражданам и экономике Союза, к примеру, за счет улучшения и персонализации медицины, обеспечения новой мобильности и внесения вклада в реализацию Сообщения Европейской Комиссии от 11 декабря 2019 г. о "Зеленом пакте для Европы". Для того чтобы экономика, основанная на данных, стала доступной для всех граждан Союза, необходимо уделить особое внимание сокращению цифрового разделения, расширению участия женщин в экономике данных и развитию передового европейского экспертного опыта в технологическом секторе. Экономика данных должна быть построена таким образом, чтобы обеспечить процветание предприятий, в частности, микро-, малых и средних предприятий (SMEs), как определено в Приложении к Рекомендации 2003/361/ЕС Европейской Комиссии <4>, и начинающих компаний, обеспечивая нейтральность доступа к данным, мобильность данных и их оперативную совместимость, а также избегая эффекта привязок. В своем Сообщении от 19 февраля 2020 г. о европейской стратегии в отношении данных ("Европейская стратегия данных") Европейская Комиссия описала видение единого европейского пространства данных, то есть внутреннего рынка данных, на котором данные могут использоваться независимо от места их физического хранения в Союзе в соответствии с применяемым законодательством, что, inter alia, может иметь решающее значение для быстрого развития технологий искусственного интеллекта.
---
<4> Рекомендация 2003/361/ЕС Европейской Комиссии от 6 мая 2003 г. об определении микро-, малых и средних предприятий (ОЖ N L 124, 20.5.2003, стр. 36).
Европейская Комиссия также призвала к свободному и безопасному обмену данными с третьими странами, учитывая исключения и ограничения для общественной безопасности, общественного порядка и иных легитимных целей государственной политики Союза, в соответствии с международными обязательствами, в том числе в отношении основных прав. В целях воплощения данного видения в реальность Европейская Комиссия предложила создать общеевропейские пространства данных по конкретным предметным областям для обмена данными и для объединения данных. Как предлагается в Европейской стратегии данных, указанные общеевропейские пространства данных могут охватывать такие области, как здравоохранение, мобильность, производство, финансовые услуги, энергетика или сельское хозяйство, или их сочетание, к примеру, энергетика и климат, а также тематические области, такие как Европейский зеленый пакт или европейские пространства данных для государственного управления или профессиональных навыков. Общие европейские пространства данных должны обеспечивать поиск, доступность, взаимодействие и вторичное использование данных (принципы FAIR данных), обеспечивая при этом высокий уровень кибербезопасности. При наличии равных условий в экономике данных предприятия конкурируют за качество услуг, а не за объем контролируемых ими данных. Для целей разработки, создания и поддержки равных условий в экономике данных необходимо эффективное управление, в котором должны участвовать и должны быть представлены соответствующие заинтересованные стороны общего европейского пространства данных.
(3) Необходимо улучшить условия для обмена данными на внутреннем рынке посредством создания гармонизированных правовых рамок для обмена данными и посредством установления определенных основных требований для управления данными, уделяя особое внимание содействию сотрудничеству между государствами-членами ЕС. Настоящий Регламент должен быть направлен на дальнейшее развитие трансграничного цифрового внутреннего рынка и ориентированного на человека, надежного и безопасного общества данных и экономики данных. Отраслевое законодательство Союза может развиваться, адаптироваться и предлагать новые и дополнительные элементы в зависимости от особенностей секторов, таких как, к примеру, правовые акты Союза о европейском пространстве медицинских данных и о доступе к данным о транспортных средствах, принятие которых предполагается. Более того, деятельность в некоторых секторах экономики уже регулируется отраслевым законодательством Союза, которое включает правила, относящиеся к трансграничному обмену данными или трансграничному доступу к данным либо к обмену данными или доступу к ним на территории Союза, например, [Директива](https://bukva.ai/docs/direktiva-201124es/statya-1) 2011/24/ЕС Европейского Парламента и Совета ЕС <5> в контексте европейского пространства медицинских данных, и соответствующие законодательные акты в сфере транспорта, такие как Регламенты (ЕС) 2019/1239 <6> и (ЕС) 2020/1056 <7> и [Директива](https://bukva.ai/docs/direktiva-201040es/statya-1) 2010/40/ЕС <8> Европейского Парламента и Совета ЕС в контексте европейского пространства данных о мобильности.
---
<5> [Директива](https://bukva.ai/docs/direktiva-201124es/statya-1) 2011/24/ЕС Европейского Парламента и Совета ЕС от 9 марта 2011 г. о правах пациентов в трансграничном медицинском обслуживании (ОЖ N L 88, 4.4.2011, стр. 45).
<6> Регламент (ЕС) 2019/1239 Европейского Парламента и Совета ЕС от 20 июня 2019 г. об установлении европейской среды единого морского окна и об отмене Директивы 2010/65/ЕС (ОЖ N L 198, 25.7.2019, стр. 64).
<7> Регламент (ЕС) 2020/1056 Европейского Парламента и Совета ЕС от 15 июля 2020 г. об электронной информации о грузовых перевозках (ОЖ N L 249, 31.7.2020, стр. 33).
<8> [Директива](https://bukva.ai/docs/direktiva-201040es/statya-1) 2010/40/ЕС Европейского Парламента и Совета ЕС от 7 июля 2010 г. об общих рамках для размещения ITS (Intelligent Transport Systems) в сфере дорожного транспорта и взаимодействия с другими видами транспорта (ОЖ N L 207, 6.8.2010, стр. 1).
Следовательно, настоящий Регламент должен действовать без ущерба для Регламентов (ЕС) 223/2009 <9>, (ЕС) [2018/858](https://bukva.ai/docs/reglament-2018858/statya-1) <10> и (ЕС) 2018/1807 <11>, а также для Директив [2000/31/ЕС](https://bukva.ai/docs/direktiva-200031es/statya-1) <12>, [2001/29/ЕС](https://bukva.ai/docs/direktiva-200129es/statya-1) <13>, [2004/48/ЕС](https://bukva.ai/docs/direktiva-200448es/statya-1) <14>, [2007/2/ЕС](https://bukva.ai/docs/direktiva-20072es/statya-1) <15>, [2010/40/ЕС](https://bukva.ai/docs/direktiva-201040es/statya-1), (ЕС) [2015/849](https://bukva.ai/docs/direktiva-2015849/statya-1) <16>, (ЕС) [2016/943](https://bukva.ai/docs/direktiva-2016943/statya-1) <17>, (ЕС) [2017/1132](https://bukva.ai/docs/direktiva-20171132/statya-1) <18>, (ЕС) [2019/790](https://bukva.ai/docs/direktiva-2019790/statya-1) <19> и (ЕС) 2019/1024 <20> Европейского Парламента и Совета ЕС и для другого отраслевого законодательства Союза, регулирующего доступ к данным и вторичное использование данных. Настоящий Регламент должен действовать без ущерба для законодательства Союза и национального законодательства о доступе к данным и об использовании данных в целях предотвращения, расследования, обнаружения или преследования уголовных преступлений или исполнения уголовных наказаний, а также для международного сотрудничества в данном контексте.
---
<9> Регламент (ЕС) 223/2009 Европейского Парламента и Совета ЕС от 11 марта 2009 г. о Европейской статистике и об отмене Регламента (ЕС, Евратом) 1101/2008 Европейского Парламента и Совета ЕС о передаче данных при условии соблюдения их конфиденциальности Статистическому бюро Европейских сообществ, Регламента (ЕС) 322/97 Совета ЕС о статистике Сообщества, а также Решения 89/382/ЕЭС Совета ЕС, Евратом об учреждении Комитета по статистическим программам Европейских Сообществ (ОЖ N L 87, 31.3.2009, стр. 164).
<10> [Регламент](https://bukva.ai/docs/reglament-2018858/statya-1) (ЕС) 2018/858 Европейского Парламента и Совета ЕС от 30 мая 2018 г. об одобрении и рыночном надзоре в отношении моторных транспортных средств, их прицепов, а также систем, компонентов и отдельных технических узлов, предназначенных для указанных транспортных средств, об изменении Регламентов (ЕС) 715/2007 и (ЕС) 595/2009 и об отмене Директивы 2007/46/ЕС (ОЖ N L 151, 14.6.2018, стр. 1).
<11> Регламент (ЕС) 2018/1807 Европейского Парламента и Совета ЕС от 14 ноября 2018 г. о правовых рамках для свободного обращения неперсональных данных в Европейском Союзе (ОЖ N L 303, 28.11.2018, стр. 59).
<12> [Директива](https://bukva.ai/docs/direktiva-200031es/statya-1) 2000/31/ЕС Европейского Парламента и Совета ЕС от 8 июня 2000 г. о некоторых правовых аспектах услуг информационного общества, в частности, электронной коммерции, на внутреннем рынке ("Директива об электронной коммерции") (ОЖ N L 178, 17.7.2000, стр. 1).
<13> [Директива](https://bukva.ai/docs/direktiva-200129es/statya-1) 2001/29/ЕС Европейского Парламента и Совета ЕС от 22 мая 2001 г. о гармонизации определенных аспектов авторского права и смежных прав в информационном обществе (ОЖ N L 167, 22.6.2001, стр. 10).
<14> [Директива](https://bukva.ai/docs/direktiva-200448es/statya-1) 2004/48/ЕС Европейского Парламента и Совета ЕС от 29 апреля 2004 г. об обеспечении прав на интеллектуальную собственность (ОЖ N L 157, 30.4.2004, стр. 45).
<15> [Директива](https://bukva.ai/docs/direktiva-20072es/statya-1) 2007/2/ЕС Европейского Парламента и Совета ЕС от 14 марта 2007 г. об установлении инфраструктуры пространственной информации в ЕС (INSPIRE) (ОЖ N L 108, 25.4.2007, стр. 1).
<16> [Директива](https://bukva.ai/docs/direktiva-2015849/statya-1) (ЕС) 2015/849 Европейского Парламента и Совета ЕС от 20 мая 2015 г. о предотвращении использования финансовой системы для целей отмывания денег или финансирования терроризма, об изменении Регламента (ЕС) 648/2012 Европейского Парламента и Совета ЕС и об отмене Директивы 2005/60/ЕС Европейского Парламента и Совета ЕС и Директивы 2006/70/ЕС Европейской Комиссии (ОЖ N L 141 5.6.2015, стр. 73).
<17> [Директива](https://bukva.ai/docs/direktiva-2016943/statya-1) (ЕС) 2016/943 Европейского Парламента и Совета ЕС от 8 июня 2016 г. о защите конфиденциальных ноу-хау и деловой информации (коммерческой тайны) от незаконного приобретения, использования и раскрытия (ОЖ N L 157, 15.6.2016, стр. 1).
<18> [Директива](https://bukva.ai/docs/direktiva-20171132/statya-1) (ЕС) 2017/1132 Европейского Парламента и Совета ЕС от 14 июня 2017 г. о некоторых аспектах корпоративного права (ОЖ N L 169, 30.6.2017, стр. 46).
<19> [Директива](https://bukva.ai/docs/direktiva-2019790/statya-1) (ЕС) 2019/790 Европейского Парламента и Совета ЕС от 17 апреля 2019 г. об авторском праве и смежных правах на Едином цифровом рынке, а также об изменении Директив 96/9/ЕС и [2001/29/ЕС](https://bukva.ai/docs/direktiva-200129es/statya-1) (ОЖ N L 130, 17.5.2019, стр. 92).
<20> Директива (ЕС) 2019/1024 Европейского Парламента и Совета ЕС от 20 июня 2019 г. об открытых данных и о вторичном использовании информации публичного сектора (ОЖ N L 172, 26.6.2019, стр. 56).
Настоящий Регламент должен действовать без ущерба для компетенций государств-членов ЕС в отношении их деятельности, касающейся общественной безопасности, обороны и национальной безопасности. Вторичное использование данных, защищенных по указанным причинам и находящихся в распоряжении органов публичного сектора, включая данные, полученные в результате процедур закупок, подпадающих под сферу действия Директивы 2009/81/ЕС Европейского Парламента и Совета ЕС <21>, не должно подпадать под действие настоящего Регламента. Следует установить горизонтальный режим вторичного использования определенных категорий защищенных данных, находящихся в распоряжении органов публичного сектора, предоставления услуг посредничества в передаче данных и услуг, основанных на альтруизме в отношении данных в Союзе. Специфические особенности различных секторов могут потребовать разработки отраслевых систем на основе данных, опираясь при этом на требования настоящего Регламента. Провайдеры посреднических услуг в передаче данных, отвечающие требованиям, установленным в настоящем Регламенте, должны иметь возможность использовать наименование "признанный в Союзе провайдер посреднических услуг в передаче данных". Юридические лица, которые стремятся поддерживать цели общественного интереса посредством предоставления соответствующих данных на основе альтруизма в отношении крупномасштабных данных и которые отвечают требованиям, установленным в настоящем Регламенте, должны иметь возможность зарегистрироваться и использовать наименование "признанная в Союзе альтруистическая организация по предоставлению данных". Если отраслевое законодательство Союза или национальное законодательство требует от органов публичного сектора, указанных провайдеров посреднических услуг по передаче данных или указанных юридических лиц (признанных альтруистических организаций по предоставлению данных) соблюдения конкретных дополнительных технических, административных или организационных требований, в том числе посредством режима авторизации или сертификации, то указанные положения отраслевого законодательства Союза или национального законодательства также должны применяться.
---
<21> Директива 2009/81/ЕС Европейского Парламента и Совета ЕС от 13 июля 2009 г. о координации процедур заключения договоров государственного заказа на выполнение отдельных работ, поставку товаров и оказание услуг государственными заказчиками или юридическими лицами в сфере безопасности и обороны, а также о внесении изменений в Директивы 2004/17/ЕС и 2004/18/ЕС (ОЖ N L 216, 20.8.2009 г., стр. 76).
(4) Настоящий Регламент должен действовать без ущерба для Регламентов (ЕС) [2016/679](https://bukva.ai/docs/reglament-2016679/statya-1) <22> и (ЕС) [2018/1725](https://bukva.ai/docs/reglament-20181725/statya-1) <23> Европейского Парламента и Совета ЕС, а также для Директив [2002/58/ЕС](https://bukva.ai/docs/direktiva-200258es/statya-1) <24> и (ЕС) [2016/680](https://bukva.ai/docs/direktiva-2016680/statya-1) <25> Европейского Парламента и Совета ЕС и соответствующих положений национального законодательства, в том числе в случаях, когда персональные и неперсональные данные в наборе данных неразрывно связаны. В частности, настоящий Регламент не должен пониматься как создающий новую правовую основу для обработки персональных данных для любого из регулируемых видов деятельности или как изменяющий требования к информации, установленные в [Регламенте](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679. Имплементация настоящего Регламента не должна препятствовать трансграничной передаче данных в соответствии с [Главой V](https://bukva.ai/docs/reglament-2016679/statya-44#p100757) Регламента (ЕС) 2016/679. В случае противоречий между настоящим Регламентом и законодательством Союза о защите персональных данных или с национальным законодательством, принятым в соответствии с указанным законодательством Союза, соответствующее законодательство Союза или национальное законодательство о защите персональных данных должно иметь преимущественную силу. Следует предусмотреть возможность считать органы по защите данных компетентными органами в соответствии с настоящим Регламентом. Если иные органы выполняют функции компетентных органов в соответствии с настоящим Регламентом, они должны выполнять свои функции без ущерба действию надзорных полномочий и компетенций органов по защите данных в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679.
---
<22> [Регламент](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 Европейского Парламента и Совета ЕС от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий Регламент о защите персональных данных) (ОЖ N L 119, 4.5.2016, стр. 1).
<23> [Регламент](https://bukva.ai/docs/reglament-20181725/statya-1) (ЕС) 2018/1725 Европейского Парламента и Совета ЕС от 23 октября 2018 г. о защите физических лиц при обработке персональных данных, осуществляемой учреждениями, органами, службами и агентствами Союза, и о свободном обращении таких данных, а также об отмене Регламента (ЕС) 45/2001 и Решения 1247/2002/ЕС (ОЖ N L 295, 21.11.2018, стр. 39).
<24> [Директива](https://bukva.ai/docs/direktiva-200258es/statya-1) 2002/58/ЕС Европейского Парламента и Совета ЕС от 12 июля 2002 г. в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи (Директива о конфиденциальности и электронных средствах связи) (ОЖ N L 201, 31.7.2002, стр. 37).
<25> [Директива](https://bukva.ai/docs/direktiva-2016680/statya-1) (ЕС) 2016/680 Европейского Парламента и Совета ЕС от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных компетентными органами в целях предотвращения, расследования, выявления или уголовного преследования преступлений или исполнения уголовных наказаний, о свободном обращении таких данных, а также об отмене Рамочного Решения Совета ЕС 2008/977/ПВД (ОЖ N L 119, 4.5.2016, стр. 89).
(5) Действия на уровне Союза необходимы в целях повышения доверия к обмену данными посредством установления соответствующих механизмов контроля субъектами данных и держателями данных над данными, относящимися к ним, а также в целях устранения других препятствий на пути к хорошо функционирующей и конкурентоспособной экономике, основанной на данных. Указанные действия должны осуществляться без ущерба для обязанностей и обязательств, установленных в международных торговых соглашениях, заключенных Союзом. Общесоюзные правовые рамки управления должны быть направлены на укрепление доверия между физическими и юридическими лицами в отношении доступа к данным, контроля над ними, обмена, использования и вторичного использования, в частности, посредством установления соответствующих механизмов, позволяющих субъектам данных знать и полноценно осуществлять свои права, а также в отношении вторичного использования определенных типов данных, находящихся в распоряжении органов публичного сектора, предоставления услуг провайдерами посреднических услуг в отношении субъектов данных, держателей данных и пользователей данных, а также сбора и обработки данных, предоставляемых в альтруистических целях физическими и юридическими лицами. В частности, повышение прозрачности в отношении целей использования данных и условий, на которых данные хранятся предприятиями, может способствовать повышению доверия.
(6) Идея о том, что данные, которые были созданы или собраны органами публичного сектора или иными юридическими лицами за счет государственных бюджетов, должны приносить пользу обществу, уже долгое время является частью политики Союза. Директива (ЕС) 2019/1024 и отраслевое законодательство Союза обеспечивают, чтобы органы публичного сектора делали больше данных, которые они производят, легко доступными для использования и вторичного использования. Однако некоторые категории данных, такие как коммерческие конфиденциальные данные, данные, подлежащие статистической конфиденциальности, и данные, защищенные правами интеллектуальной собственности третьих сторон, включая коммерческие тайны и персональные данные, в публичных базах данных часто не предоставляются, даже для исследований или для инновационной деятельности в общественных интересах, несмотря на то, что такая доступность возможна в соответствии с применяемым законодательством Союза, в частности в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 и Директивами [2002/58/ЕС](https://bukva.ai/docs/direktiva-200258es/statya-1) и (ЕС) [2016/680](https://bukva.ai/docs/direktiva-2016680/statya-1). Вследствие деликатности указанных данных перед их предоставлением необходимо выполнить определенные технические и юридические процедурные требования, не в последнюю очередь для того, чтобы обеспечить соблюдение прав других лиц на указанные данные или ограничить негативное воздействие на основные права, а также обеспечить соблюдение принципа недискриминации и защиты данных. Для выполнения указанных требований обычно нужно много времени и знаний. Это привело к недостаточному использованию указанных данных. Хотя некоторые государства-члены ЕС устанавливают структуры, процессы или законодательство, способствующие вторичному использованию данных, это не характерно для всего Союза. Для облегчения использования данных для европейских исследований и инноваций частными и публичными организациями необходимы четкие условия доступа к указанным данным и использование данных на территории всего Союза.
(7) Существуют техники, позволяющие проводить анализ баз данных, содержащих персональные данные, такие как анонимизация, дифференцированная конфиденциальность, обобщение, сжатие и рандомизация, использование синтетических данных или аналогичных методов, а также другие инновационные методы сохранения конфиденциальности, которые могут способствовать обработке данных, более дружественной в отношении конфиденциальности. Государства-члены ЕС должны оказывать поддержку органам публичного сектора в целях оптимального использования указанных техник, тем самым делая как можно больше данных доступными для совместного использования. Применение указанных техник, наряду с комплексными оценками воздействия на защиту данных и другими мерами предосторожности, может способствовать повышению безопасности использования и вторичного использования персональных данных и должно обеспечить безопасное вторичное использование коммерческих конфиденциальных бизнес-данных в исследовательских, инновационных и статистических целях. Во многих случаях применение указанных техник, оценок воздействия и других гарантий подразумевает, что данные могут использоваться и вторично использоваться только в безопасной среде обработки, которая предоставляется или контролируется органом публичного сектора. На уровне Союза имеется опыт использования безопасных сред обработки, которые применяются для исследования статистических микроданных на основании Регламента (ЕС) 557/2013 Европейской Комиссии <26>. В целом в отношении персональных данных обработка персональных данных должна быть основана на одном или нескольких правовых основаниях для обработки, предусмотренных в [Статьях 6](https://bukva.ai/docs/reglament-2016679/statya-6#p100302) и [9](https://bukva.ai/docs/reglament-2016679/statya-9#p100335) Регламента (ЕС) 2016/679.
---
<26> Регламент (ЕС) 557/2013 Европейской Комиссии от 17 июня 2013 г. об имплементации Регламента (ЕС) 223/2009 Европейского Парламента и Совета ЕС о европейской статистике в отношении доступа к конфиденциальным данным для научных целей и об отмене Регламента (ЕС) 831/2002 Европейской Комиссии (ОЖ N L 164, 18.6.2013, стр. 16).
(8) В соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 принципы защиты данных не должны применяться к анонимной информации, а именно к информации, которая не относится к идентифицированному или идентифицируемому физическому лицу или к персональным данным, обезличенным таким образом, что субъект данных не идентифицируется или более не может быть идентифицирован. Вторичная идентификация субъектов данных из анонимизированных наборов данных должна быть запрещена. Данное запрещение должно действовать без ущерба для возможности проведения исследований техник анонимизации, в частности, в целях обеспечения информационной безопасности, улучшения существующих техник анонимизации и содействия повышению общей надежности анонимизации, осуществляемых в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679.
(9) В целях содействия защите персональных данных и конфиденциальных данных, а также в целях ускорения процесса предоставления таких данных для вторичного использования в соответствии с настоящим Регламентом, государства-члены ЕС должны поощрять органы публичного сектора создавать и предоставлять данные в соответствии с принципом "открытости по замыслу и по умолчанию", указанным в Статье 5(2) Директивы (ЕС) 2019/1024, и способствовать созданию и приобретению данных в форматах и структурах, которые облегчают анонимизацию в данном отношении.
(10) Категории данных, находящиеся в распоряжении органов публичного сектора и подлежащие вторичному использованию в соответствии с настоящим Регламентом, не подпадают под действие Директивы (ЕС) 2019/1024, которая исключает данные, недоступные в силу коммерческой и статистической конфиденциальности, и данные, включенные в произведения или в иные объекты, на которые третьи стороны имеют права интеллектуальной собственности. К коммерческим конфиденциальным данным относятся данные, защищенные коммерческой тайной, защищенное ноу-хау и любая другая информация, неправомерное раскрытие которой может повлиять на положение на рынке или финансовое состояние предприятия. Настоящий Регламент должен применяться к персональным данным, которые не подпадают под сферу действия Директивы (ЕС) 2019/1024 в той мере, в которой режим доступа исключает или ограничивает доступ к указанным данным по причинам защиты данных, конфиденциальности и неприкосновенности личности, в частности, в соответствии с правилами защиты данных. Вторичное использование данных, которые могут содержать коммерческие тайны, должно происходить без ущерба действию [Директивы](https://bukva.ai/docs/direktiva-2016943/statya-1) (ЕС) 2016/943, которая устанавливает правовые рамки для законного приобретения, использования или раскрытия коммерческих тайн.
(11) Настоящий Регламент не должен устанавливать обязательство разрешать вторичное использование данных, находящихся в распоряжении органов публичного сектора. В частности, каждое государство-член ЕС должно иметь возможность решать, будут ли данные доступны для вторичного использования, в том числе в отношении целей и объема такого доступа. Настоящий Регламент должен дополнять и действовать без ущерба для более конкретных обязательств органов публичного сектора в отношении разрешения вторичного использования данных, установленных в отраслевом законодательстве Союза или в национальном законодательстве. Публичный доступ к официальным документам может рассматриваться как отвечающий общественным интересам. Принимая во внимание роль публичного доступа к официальным документам и роль прозрачности в демократическом обществе, настоящий Регламент также должен действовать без ущерба для законодательства Союза или для национального законодательства в отношении предоставления доступа к официальным документам и их раскрытию. Доступ к официальным документам может, в частности, предоставляться в соответствии с национальным законодательством без наложения конкретных условий или посредством наложения конкретных условий, не предусмотренных настоящим Регламентом.
(12) Режим вторичного использования, предусмотренный настоящим Регламентом, должен применяться к данным, предоставление которых является частью публичных задач соответствующих органов публичного сектора в соответствии с законодательством или в соответствии с другими обязательными к применению правилами в государствах-членах ЕС. При отсутствии данных правил задачи публичного сектора должны определяться в соответствии с общей административной практикой в государствах-членах ЕС с условием, что перечень задач публичного сектора прозрачен и может быть пересмотрен. Задачи публичного сектора могут определяться в целом или на индивидуальной основе для отдельных органов публичного сектора. Поскольку публичные предприятия не подпадают под определение органа публичного сектора, данные, находящиеся в распоряжении публичных предприятий, не должны подпадать под действие настоящего Регламента. Данные, находящиеся в распоряжении учреждений культуры, таких как библиотеки, архивы и музеи, оркестры, театры оперы, балета и иные театры, а также данные, находящиеся в распоряжении образовательных учреждений, не должны подпадать под действие настоящего Регламента, поскольку произведения и другие документы, находящиеся в их распоряжении, преимущественно защищены правами интеллектуальной собственности третьих лиц. Организации, выполняющие исследования, и организации, финансирующие исследования, также могут быть организованы как органы публичного сектора или органы, регулируемые публичным правом.
Настоящий Регламент должен применяться к указанным гибридным организациям только при рассмотрении их как организаций, выполняющих исследования. Если организация, выполняющая исследования, хранит данные как часть конкретной публично-частной совместной работы с организациями частного сектора или другими органами публичного сектора, органами, регулируемыми публичным правом, или гибридными организациями, выполняющими исследования, т.е. организованными как органы публичного сектора или публичные предприятия с основной целью проведения исследований, такие данные также не должны подпадать под действие настоящего Регламента. В соответствующих случаях государства-члены ЕС должны иметь возможность применять настоящий Регламент к публичным предприятиям или частным предприятиям, которые выполняют обязанности публичного сектора или предоставляют услуги, представляющие общественный интерес. Обмен данными исключительно в целях выполнения своих публичных задач между органами публичного сектора в Союзе или между органами публичного сектора в Союзе и органами публичного сектора в третьих странах или международными организациями, а также обмен данными между исследователями в целях некоммерческих научных исследований не должны подпадать под действие положений настоящего Регламента в отношении вторичного использования определенных категорий защищенных данных, находящихся в распоряжении органов публичного сектора.
(13) Органы публичного сектора должны соблюдать антимонопольное законодательство при установлении принципов вторичного использования находящихся в их распоряжении данных, избегая заключения соглашений, целью или результатом которых может стать предоставление исключительных прав на вторичное использование определенных данных. Указанные соглашения должны быть возможны только в тех случаях, когда это оправдано и необходимо для предоставления услуги или поставки товара в общественных интересах. Это возможно в том случае, если эксклюзивное использование данных является единственным способом максимизировать общественную пользу от данных, к примеру, если существует только одна организация (которая специализируется на обработке определенного набора данных), способная предоставить услугу или поставить продукт, который позволяет органу публичного сектора предоставить услугу или поставить продукт в общественных интересах. Однако указанные соглашения должны заключаться в соответствии с применяемым законодательством Союза или национальным законодательством и должны подлежать регулярному пересмотру на основе анализа рынка в целях постоянного подтверждения необходимости подобной эксклюзивности. Кроме того, указанные соглашения должны соответствовать релевантным правилам оказания государственной помощи, где это целесообразно, и должны заключаться на ограниченный срок, который не должен превышать 12 месяцев. В целях обеспечения прозрачности указанные эксклюзивные соглашения должны публиковаться в Интернете в форме, соответствующей релевантному законодательству Союза о государственных закупках. Если исключительное право на вторичное использование данных не соответствует настоящему Регламенту, данное исключительное право должно быть признано недействительным.
(14) Запрещенные эксклюзивные соглашения и иные практики или договоренности, относящиеся к вторичному использованию данных, находящихся в распоряжении органов публичного сектора, которые непосредственно не предоставляют исключительных прав, но от которых можно обоснованно ожидать ограничения доступности к данным для вторичного использования, заключенные или уже действовавшие до даты вступления в силу настоящего Регламента, не должны возобновляться после истечения их срока. В случае бессрочных или долгосрочных соглашений они должны быть расторгнуты в течение 30 месяцев с даты вступления в силу настоящего Регламента.
(15) Настоящий Регламент должен установить условия для вторичного использования защищенных данных, которые применяются к органам публичного сектора, назначенным в соответствии с национальным законодательством компетентными органами, предоставляющими доступ или отказывающими в доступе для вторичного использования, и которые действуют без ущерба для прав или обязательств в отношении доступа к указанным данным. Указанные условия должны быть недискриминационными, прозрачными, соразмерными и объективно обоснованными, при этом не ограничивая конкуренцию, уделяя особое внимание содействию доступу к указанным данным SMEs и начинающих компаний. Условия вторичного использования следует разрабатывать таким образом, чтобы они способствовали научным исследованиям, чтобы предоставление привилегий научным исследованиям, как правило, считалось недискриминационным. Органы публичного сектора, разрешающие вторичное использование, должны иметь технические средства, необходимые для обеспечения защиты прав и интересов третьих сторон, и должны иметь право запрашивать необходимую информацию у вторичного пользователя. Условия вторичного использования данных должны быть ограничены тем, что необходимо для сохранения прав и интересов третьих сторон в отношении данных и для сохранения целостности информационных технологий и систем, не налагая непропорционального бремени на органы публичного сектора. Условия вторичного использования данных должны быть разработаны таким образом, чтобы обеспечить эффективные гарантии в отношении защиты персональных данных. Перед передачей персональные данные должны быть анонимизированы таким образом, чтобы не позволить идентифицировать субъектов данных, а данные, содержащие коммерческую конфиденциальную информацию, должны быть модифицированы таким образом, чтобы конфиденциальная информация не могла быть раскрыта. Если предоставление анонимизированных или модифицированных данных не отвечает потребностям вторичного пользователя, может быть разрешено вторичное использование данных на месте или удаленно в безопасной среде обработки при условии, что все требования к оценке воздействия на защиту данных соблюдены и проведена консультация с надзорным органом в соответствии со [Статьями 35](https://bukva.ai/docs/reglament-2016679/statya-35#p100625) и [36](https://bukva.ai/docs/reglament-2016679/statya-36#p100645) Регламента (ЕС) 2016/679, и если риски для прав и интересов субъектов данных были признаны минимальными.
Это может стать подходящим механизмом для вторичного использования псевдонимизированных данных. Анализ данных в безопасных средах обработки должен проводиться под контролем органа публичного сектора в целях защиты прав и интересов третьих сторон. В частности, персональные данные должны передаваться третьей стороне для вторичного использования только в том случае, если законные основания, предусмотренные законодательством о защите данных, позволяют передачу данных. Неперсональные данные должны передаваться только в том случае, если нет оснований полагать, что сочетание наборов неперсональных данных может привести к идентификации субъектов данных. Это также должно применяться к псевдонимизированным данным, которые сохраняют свой статус персональных данных. В случае вторичной идентификации субъектов данных обязательство уведомить об указанном нарушении орган публичного сектора должно применяться в дополнение к обязательству уведомить об указанном нарушении надзорный орган и субъекта данных в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679. В соответствующих случаях органы публичного сектора должны способствовать вторичному использованию данных на основе согласия субъектов данных или разрешения держателей данных на вторичное использование относящихся к ним данных с помощью соответствующих технических средств. В данном отношении орган публичного сектора должен приложить максимум усилий для оказания помощи потенциальным вторичным пользователям в получении согласия или разрешения посредством разработки технических механизмов, позволяющих передавать запросы на получение согласия или разрешения от вторичных пользователей, если это практически осуществимо. Не следует предоставлять контактную информацию, позволяющую вторичным пользователям напрямую связываться с субъектами данных или держателями данных. Если орган публичного сектора передает запрос на согласие или разрешение, он должен обеспечить, чтобы субъект данных или держатель данных был четко проинформирован о возможности отказа в даче согласия или разрешения.
(16) В целях содействия использованию данных и поощрения использования данных, находящихся в распоряжении органов публичного сектора для научных исследований органам публичного сектора рекомендуется разработать гармонизированный подход и гармонизированные процессы, чтобы сделать данные легко доступными для научных исследований в общественных интересах. Это может означать, inter alia, создание упорядоченных административных процедур, стандартизированного форматирования данных, информативных метаданных о выборе методологии и способах сбора данных, а также стандартизированных полей данных, которые позволяют легко объединять наборы данных из различных источников данных публичного сектора, если это необходимо для целей анализа. Целью указанных практик должно быть продвижение публично финансируемых и производимых данных для целей научных исследований в соответствии с принципом "открыто, насколько возможно, закрыто, насколько необходимо".
(17) Права интеллектуальной собственности третьих лиц не должны затрагиваться настоящим Регламентом. Настоящий Регламент не должен оказывать влияние на существование прав интеллектуальной собственности или на владение правами интеллектуальной собственности органов публичного сектора, или каким-либо образом ограничивать осуществление данных прав. Обязательства, налагаемые в соответствии с настоящим Регламентом, должны применяться только в той мере, в которой они совместимы с международными соглашениями о защите прав интеллектуальной собственности, в частности с Бернской конвенцией по охране литературных и художественных произведений (Бернская конвенция), с [Соглашением](https://bukva.ai/docs/soglashenie-po-torgovym-aspektam-prav/statya-1) по торговым аспектам прав интеллектуальной собственности (Соглашение TRIPS) и [Договором](https://bukva.ai/docs/dogovor-vois-po-avtorskomu-pravu/statya-1) Всемирной организации интеллектуальной собственности по авторскому праву (WCT), а также с законодательством Союза или национальным законодательством об интеллектуальной собственности. Однако органы публичного сектора должны осуществлять свои авторские права таким образом, чтобы содействовать вторичному использованию.
(18) Данные, являющиеся объектом прав интеллектуальной собственности, а также коммерческие тайны должны передаваться третьей стороне только в тех случаях, когда указанная передача является законной в силу законодательства Союза или национального законодательства или с согласия правообладателя. Если органы публичного сектора являются обладателями права создателя базы данных, предусмотренного в [Статье 7(1)](https://bukva.ai/docs/direktiva-969es/statya-7#p100135) Директивы 96/9/ЕС Европейского Парламента и Совета ЕС <27>, они не должны использовать данное право для предотвращения вторичного использования данных или для ограничения вторичного использования данных сверх пределов, установленных настоящим Регламентом.
---
<27> [Директива](https://bukva.ai/docs/direktiva-969es/statya-1) 96/9/ЕС Европейского Парламента и Совета ЕС от 11 марта 1996 г. о правовой охране баз данных (ОЖ N L 77, 27.3.1996, стр. 20).
(19) Предприятия и субъекты данных должны быть уверены в том, что вторичное использование определенных категорий защищенных данных, которые находятся в распоряжении органов публичного сектора, будет происходить с соблюдением их прав и интересов. Следовательно, следует ввести дополнительные гарантии для ситуаций, в которых вторичное использование данных публичного сектора происходит на основе обработки данных за пределами публичного сектора, к примеру, требование, чтобы органы публичного сектора обеспечивали полную защиту прав и интересов физических и юридических лиц, в частности, в отношении персональных данных, уязвимых коммерческих данных и прав интеллектуальной собственности, во всех случаях, включая случаи передачи данных в третьи страны. Органы публичного сектора не должны допускать вторичного использования информации, хранящейся в приложениях электронной системы здравоохранения, страховыми компаниями или любыми другими провайдерами услуг с целью дискриминации при установлении цен, поскольку это противоречит фундаментальному праву на доступ к здравоохранению.
(20) Кроме того, в целях сохранения добросовестной конкуренции и открытой рыночной экономики крайне важно охранять защищенные неперсональные данные, в частности, коммерческие тайны, а также неперсональные данные, представляющие контент, защищенный правами интеллектуальной собственности, от нелегального доступа, который может привести к краже интеллектуальной собственности или промышленному шпионажу. В целях обеспечения защиты прав или интересов держателей данных должна быть предусмотрена возможность передачи неперсональных данных, подлежащих защите от незаконного или неавторизованного доступа в соответствии с законодательством Союза или национальным законодательством и находящихся в распоряжении органов публичного сектора, в третьи страны, но только при условии предоставления соответствующих гарантий использования данных. Указанные гарантии должны включать требование о том, что орган публичного сектора передает защищенные данные вторичному пользователю только в том случае, если данный вторичный пользователь берет на себя договорные обязательства в интересах защиты данных. Вторичный пользователь, который намерен передать защищенные данные в третью страну, должен соблюдать обязательства, установленные в настоящем Регламенте, даже после передачи данных в третью страну. В целях обеспечения надлежащего исполнения указанных обязательств вторичный пользователь должен также принять юрисдикцию государства-члена ЕС органа публичного сектора, разрешившего вторичное использование для судебного разрешения споров.
(21) Надлежащие гарантии также должны считаться реализованными, если в третьей стране, в которую передаются неперсональные данные, действуют эквивалентные меры, которые обеспечивают данным уровень защиты, аналогичный тому, который применяется в соответствии с законодательством Союза, в частности, в отношении защиты коммерческих тайн и прав интеллектуальной собственности. В этой связи Европейская Комиссия должна иметь возможность заявлять посредством имплементационных актов, если это оправдано значительным количеством запросов по всему Союзу в отношении вторичного использования неперсональных данных в конкретных третьих странах, что третья страна обеспечивает уровень защиты, по существу эквивалентный тому, который обеспечивается законодательством Союза. Европейская Комиссия должна оценить необходимость указанных имплементационных актов, основываясь на информации, предоставленной государствами-членами ЕС через Европейский комитет по инновациям в области данных. Указанные имплементационные акты могут служить гарантией для органов публичного сектора, что вторичное использование данных, находящихся в распоряжении органов публичного сектора в соответствующей третьей стране, не нарушит защищенный характер данных. Оценка уровня защиты, предоставляемой в соответствующей третьей стране, должна, в частности, учитывать релевантное общее и отраслевое законодательство, в том числе в области общественной безопасности, обороны, национальной безопасности и уголовного права, в отношении доступа к неперсональным данным и их защиты, любой доступ органов публичного сектора соответствующей третьей страны к переданным данным, наличие и эффективное функционирование одного или нескольких независимых надзорных органов в третьей стране, ответственных за обеспечение и принудительное соблюдение правового режима, обеспечивающего доступ к указанным данным, международных обязательств третьей страны в отношении защиты данных или других обязательств, вытекающих из юридически обязательных конвенций или актов, а также из ее участия в многосторонних или региональных системах.
Наличие эффективных средств правовой защиты для держателей данных, органов государственного сектора или провайдеров посреднических услуг по передаче данных в соответствующей третьей стране имеет особое значение в контексте передачи неперсональных данных в указанную третью страну. Следовательно, данные гарантии должны включать наличие прав, обеспеченных правовой защитой, и эффективных средств правовой защиты. Указанные имплементационные акты должны действовать без ущерба для любых юридических обязательств или договорных соглашений, уже принятых или заключенных вторичным пользователем в интересах защиты неперсональных данных, в частности промышленных данных, и для права публичных органов обязывать вторичных пользователей соблюдать условия вторичного использования в соответствии с настоящим Регламентом.
(22) Некоторые третьи страны принимают законы, регламенты и иные правовые акты, целью которых является прямая передача неперсональных данных или предоставление правительственного доступа к неперсональным данным в Союзе под контролем физических и юридических лиц, находящихся под юрисдикцией государств-членов ЕС. Решения и постановления судов или трибуналов третьих стран или решения административных органов третьих стран, требующие передачи неперсональных данных или доступа к ним, должны исполняться, если они основаны на международном соглашении, таком как договор о взаимной правовой помощи, действующем между запрашивающей третьей страной и Союзом или государством-членом ЕС. В некоторых случаях могут возникнуть ситуации, когда обязательство о передаче данных или о предоставлении доступа к неперсональным данным, вытекающее из законодательства третьей страны, вступает в противоречие с конкурирующим обязательством по защите указанных данных в соответствии с законодательством Союза или национальным законодательством, в частности, в отношении защиты основных прав личности или основных интересов государства-члена ЕС, относящихся к национальной безопасности или обороне, а также в отношении защиты важных коммерческих данных и защиты прав интеллектуальной собственности, включая договорные обязательства в отношении конфиденциальности в соответствии с указанным законодательством. В отсутствие международных соглашений, регулирующих данные вопросы, передача неперсональных данных или доступ к ним должны быть разрешены только в том случае, если, в частности, проверено, что правовая система третьей страны требует, чтобы были указаны основания и соразмерность решения или постановления, чтобы решение или постановление носили конкретный характер и чтобы мотивированное возражение адресата подлежало рассмотрению компетентным судом или трибуналом третьей страны, которые уполномочены должным образом учитывать соответствующие законные интересы провайдера указанных данных.
Более того, органы публичного сектора, физические или юридические лица, которым было предоставлено право вторичного использования данных, провайдеры посреднических услуг по передаче данных и признанные альтруистические организации по обмену данными должны обеспечить в случае подписания ими договорных соглашений с другими частными сторонами, чтобы доступ к неперсональным данным, хранящимся в Союзе, или их передача в третьи страны осуществлялись только в соответствии с законодательством Союза или национальным законодательством соответствующего государства-члена ЕС.
(23) В целях дальнейшего укрепления доверия к экономике данных в Союзе необходимо, чтобы в отношении граждан Союза, публичного сектора и предприятий были осуществлены гарантии, обеспечивающие контроль над их стратегическими и конфиденциальными данными, и чтобы законодательство, ценности и стандарты Союза соблюдались, в частности, в отношении безопасности, защиты данных и защиты потребителей. В целях предотвращения незаконного доступа к неперсональным данным органы публичного сектора, физические и юридические лица, которым было предоставлено право на вторичное использование данных, провайдеры посреднических услуг по обработке данных и признанные альтруистические организации по обмену данными должны принять все разумные меры для предотвращения доступа к системам хранения неперсональных данных, включая шифрование данных или корпоративную политику. В этой связи следует обеспечить, чтобы органы публичного сектора, физические или юридические лица, которым было предоставлено право вторичного использования данных, провайдеры посреднических услуг по передаче данных и признанные альтруистические организации по обмену данными соблюдали все соответствующие технические стандарты, кодексы поведения и сертификации на уровне Союза.
(24) В целях укрепления доверия к механизмам вторичного использования в будущих конкретных законодательных актах Союза может потребоваться установить более строгие условия для определенных типов неперсональных данных, которые могут быть идентифицированы как особо уязвимые, в отношении передачи в третьи страны, если указанная передача может поставить под угрозу цели государственной политики Союза, в соответствии с международными обязательствами. К примеру, в сфере здравоохранения некоторые наборы данных, находящиеся в распоряжении субъектов государственной системы здравоохранения, таких как государственные больницы, могут быть идентифицированы как крайне уязвимые медицинские данные. К другим релевантным секторам относятся транспорт, энергетика, экология и финансы. В целях обеспечения гармонизированных практик на территории Союза указанные типы крайне уязвимых неперсональных публичных данных должны определяться законодательством Союза, к примеру, в контексте Европейского пространства данных здравоохранения или другим отраслевым законодательством. Указанные условия передачи данных в третьи страны должны быть установлены в делегированных актах. Условия должны быть соразмерными, недискриминационными и необходимыми для защиты законных целей государственной политики Союза, таких как защита здоровья населения, безопасности, защита окружающей среды, общественной морали, защита потребителей, неприкосновенности частной жизни и защита персональных данных. Условия должны соответствовать рискам, выявленным в связи с уязвимостью указанных данных, в том числе с точки зрения риска вторичной идентификации личности. Указанные условия могут включать условия, применяемые для передачи или технических ограничений, таких как требование использовать безопасную среду обработки, ограничения в отношении вторичного использования данных в третьих странах или категорий лиц, имеющих право передавать указанные данные в третьи страны либо получать доступ к данным в третьей стране. В исключительных случаях указанные условия могут также включать ограничения на передачу данных в третьи страны для защиты общественных интересов.
(25) Органы публичного сектора должны иметь возможность взимать плату за вторичное использование данных, но также должны иметь возможность разрешать вторичное использование по сниженной цене или бесплатно, к примеру, для определенных категорий вторичного использования, таких как некоммерческое вторичное использование в целях научных исследований или вторичное использование SMEs и начинающими предприятиями, гражданским обществом и образовательными учреждениями, с тем чтобы поощрять данное вторичное использование в целях стимулирования исследований и инноваций и поддержки предприятий, которые являются важным источником инноваций и, как правило, сталкиваются с большими трудностями при самостоятельном сборе релевантных данных в соответствии с правилами государственной помощи. В данном конкретном контексте под целями научных исследований следует понимать любые цели, связанные с исследованиями, независимо от организационной или финансовой структуры заинтересованного исследовательского учреждения, за исключением исследований, проводимых предприятием с целью разработки, совершенствования или оптимизации продуктов или услуг. Указанная плата должна быть прозрачной, недискриминационной, ограниченной необходимыми понесенными затратами и не должна ограничивать конкуренцию. Перечень категорий вторичных пользователей, к которым применяется сниженная плата или отсутствие платы, вместе с критериями, использованными для составления данного перечня, должен быть обнародован.
(26) В целях поощрения вторичного использования конкретных категорий данных, находящихся в распоряжении органов публичного сектора, государства-члены ЕС должны учредить единый информационный центр, который будет действовать в качестве интерфейса для вторичных пользователей, стремящихся вторично использовать данные. Он должен иметь межсекторальный охват и, при необходимости, дополнять деятельность на отраслевом уровне. Единый информационный центр должен иметь возможность полагаться на автоматизированные средства при передаче запросов или просьб о вторичном использовании. В процессе передачи должен быть обеспечен достаточный человеческий надзор. С этой целью можно использовать существующие практические механизмы, такие как порталы открытых данных. Единый информационный центр должен иметь перечень всех доступных ресурсов данных, включая, где это целесообразно, те ресурсы данных, которые доступны в отраслевых, региональных или местных информационных центрах, с релевантной информацией, описывающей имеющиеся данные. Кроме того, государства-члены ЕС должны назначить, учредить или содействовать учреждению компетентных органов для поддержки деятельности органов публичного сектора, позволяющих вторично использовать определенные категории защищенных данных. Их задачи могут включать предоставление доступа к данным, если это предусмотрено секторальным законодательством Союза или национальным законодательством. Данные компетентные органы должны оказывать содействие органам публичного сектора в использовании самых современных техник, в том числе в том, как наилучшим образом структурировать и хранить данные, чтобы сделать их легкодоступными, в частности через интерфейсы прикладного программирования, а также сделать данные совместимыми, передаваемыми и доступными для поиска, с учетом лучших практик обработки данных, а также любых существующих регулятивных и технических стандартов и безопасных сред обработки данных, которые позволяют анализировать данные таким образом, чтобы сохранить конфиденциальность информации.
Компетентные органы должны действовать в соответствии с инструкциями, полученными от органа публичного сектора. Такая структура помощи могла бы содействовать субъектам данных и держателям данных в управлении согласием или разрешением на вторичное использование, включая согласие и разрешение на определенные области научных исследований, если это соответствует признанным этическим стандартам научных исследований. Компетентные органы не должны обладать надзорной функцией, которая закреплена за надзорными органами в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679. Без ущерба действию надзорных полномочий органов по защите данных ответственным за обработку данных должен оставаться орган государственного сектора, ответственный за реестр, содержащий данные, который является контролером данных, как определено в [Регламенте](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, в той мере, в которой это касается персональных данных. Государства-члены ЕС должны иметь возможность назначать один или несколько компетентных органов, которые могут действовать в различных секторах. Внутренние службы органов публичного сектора также могут выступать в качестве компетентных органов. Компетентный орган может быть органом публичного сектора, оказывающим помощь другим органам публичного сектора в получении разрешения на вторичное использование данных, где это целесообразно, или органом публичного сектора, который сам разрешает вторичное использование. Оказание помощи другим органам государственного сектора должно подразумевать информирование их при получении запроса о лучших практиках выполнения требований, установленных в настоящем Регламенте, таких как технические средства для обеспечения безопасной среды обработки или технические средства для обеспечения приватности и конфиденциальности, когда предоставляется доступ к вторичному использованию данных в соответствии с настоящим Регламентом.
(27) Ожидается, что посреднические услуги по передаче данных будут играть ключевую роль в экономике данных, в частности, в поддержке и продвижении практик добровольного обмена данными между предприятиями или в содействии обмену данными в контексте обязательств, установленных законодательством Союза или национальным законодательством. Они могут стать инструментом, способствующим обмену значительными объемами релевантных данных. Провайдеры посреднических услуг по передаче данных, которые могут включать органы публичного сектора, предлагающие услуги, связывающие различных участников, могут внести свой вклад в эффективное объединение данных, а также в содействие двустороннему обмену данными. Специализированные посреднические услуги по передаче данных, независимые от субъектов данных, держателей данных и пользователей данных, могут способствовать формированию новых экосистем, основанных на данных, независимых от любого участника, обладающего значительной властью на рынке, обеспечивая при этом недискриминационный доступ к экономике данных для предприятий всех размеров, в частности SMEs и начинающих компаний с ограниченными финансовыми, юридическими или административными возможностями. Это будет особенно важно в контексте создания общих европейских пространств данных, а именно целевых, секторальных или межсекторальных совместимых рамок общих стандартов и практик для обмена данными или для совместной обработки данных, inter alia, в целях разработки новых продуктов и услуг, научных исследований или инициатив гражданского общества. Посреднические услуги по обработке данных могут включать двусторонний или многосторонний обмен данными или создание платформ или баз данных, позволяющих обмениваться данными или совместно их использовать, а также создание специальной инфраструктуры для взаимосвязи субъектов данных и держателей данных с пользователями данных.
(28) Сфера действия настоящего Регламента должна охватывать услуги, которые направлены на установление коммерческих отношений в целях обмена данными между неопределенным количеством субъектов данных и держателей данных, с одной стороны, и пользователей данных, с другой стороны, посредством технических, юридических или иных средств, в том числе в целях осуществления прав субъектов данных в отношении персональных данных. В тех случаях, когда предприятия или другие организации предлагают множество услуг, связанных с данными, под сферу действия настоящего Регламента должны подпадать только те виды деятельности, которые непосредственно относятся к предоставлению посреднических услуг в отношении данных. Предоставление услуг облачного хранилища, аналитики, программного обеспечения для обмена данными, веб-браузеров, плагинов для браузеров или услуг электронной почты не должно рассматриваться как посреднические услуги по передаче данных в значении настоящего Регламента при условии, что указанные услуги предоставляют субъектам данных или держателям данных только технические средства для обмена данными с другими лицами, предоставление указанных средств не направлено на установление коммерческих отношений между держателями данных и пользователями данных и не позволяет провайдеру посреднических услуг по передаче данных получать информацию об установлении коммерческих отношений в целях обмена данными. Примеры посреднических услуг по предоставлению данных включают рынки данных, на которых предприятия могут предоставлять данные другим лицам, организаторов экосистем обмена данными, открытых для всех заинтересованных сторон, в частности, в контексте общих европейских пространств данных, а также наборы данных, созданные совместно несколькими юридическими или физическими лицами с намерением предоставлять лицензию на использование указанных наборов данных всем заинтересованным сторонам таким образом, чтобы все участники, которые вносят вклад в наборы данных, получали вознаграждение за свой вклад.
Это исключает услуги, которые получают данные от держателей данных, обобщают, обогащают или преобразуют данные в целях добавления к ним существенной ценности и выдают лицензию на использование полученных данных пользователям данных без установления коммерческих отношений между держателями данных и пользователями данных. Это также исключает услуги, которые используются исключительно одним держателем данных для обеспечения возможности использования данных, находящихся в распоряжении у указанного держателя данных, или которые используются несколькими юридическими лицами в закрытой группе, включая отношения с провайдерами или клиентами или сотрудничество, установленное посредством договора, в частности те, которые имеют в качестве основной цели обеспечение функциональности объектов и устройств, подключенных к Интернету вещей.
(29) Услуги, заключающиеся в посредничестве в отношении защищенного авторским правом контента, такие как, например, услуги, которые оказывают провайдеры услуг по совместному использованию контента в Интернете, как определено в [пункте (6) Статьи 2](https://bukva.ai/docs/direktiva-2019790/statya-2#p100163) Директивы (ЕС) 2019/790, не должны подпадать под сферу действия настоящего Регламента. Провайдеры консолидированных данных, как определено в [пункте (35) Статьи 2(1)](https://bukva.ai/docs/reglament-6002014/statya-2#p100189) Регламента (ЕС) 600/2014 Европейского Парламента и Совета ЕС <28>, и провайдеры услуг по предоставлению информации об учетных записях, как определено в пункте (19) Статьи 4 Директивы (ЕС) 2015/2366 Европейского Парламента и Совета ЕС <29>, не должны рассматриваться в качестве провайдеров посреднических услуг по передаче данных для целей настоящего Регламента. Настоящий Регламент не должен применяться к услугам, предлагаемым органами публичного сектора в целях содействия вторичному использованию защищенных данных, находящихся в распоряжении органов публичного сектора в соответствии с настоящим Регламентом, или использованию любых других данных, в той мере, в которой данные услуги не направлены на установление коммерческих отношений. Альтруистические организации по обмену данными, регулируемые настоящим Регламентом, не должны рассматриваться как предлагающие посреднические услуги в отношении данных при условии, что указанные услуги не устанавливают коммерческие отношения между потенциальными пользователями данных, с одной стороны, и субъектами данных и держателями данных, которые предоставляют данные в альтруистических целях, с другой стороны. Другие услуги, которые не направлены на установление коммерческих отношений, такие как услуги репозиториев, целью которых является обеспечение возможности вторичного использования данных для научных исследований в соответствии с принципами открытого доступа, не должны рассматриваться как посреднические услуги в отношении данных в значении настоящего Регламента.
---
<28> [Регламент](https://bukva.ai/docs/reglament-6002014/statya-1) (ЕС) 600/2014 Европейского Парламента и Совета ЕС от 15 мая 2014 г. о рынках финансовых инструментов и об изменении Регламента (ЕС) 648/2012 (ОЖ N L 173, 12.6.2014, стр. 84).
<29> Директива (ЕС) 2015/2366 Европейского Парламента и Совета ЕС от 25 ноября 2015 г. о платежных услугах на внутреннем рынке, об изменении Директив 2002/65/ЕС, 2009/110/ЕС и 2013/36/ЕС и Регламента (ЕС) 1093/2010, а также об отмене Директивы 2007/64/ЕС (ОЖ N L 337, 23.12.2015, стр. 35).
(30) В особую категорию посреднических услуг по передаче данных включаются провайдеры услуг, которые предлагают свои услуги субъектам данных. Указанные провайдеры посреднических услуг по передаче данных стремятся расширить возможности субъектов данных и, в частности, контроль отдельных лиц над данными, относящимися к ним. Указанные провайдеры могут помогать субъектам в осуществлении их прав, предусмотренных [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, в частности, давать и отзывать свое согласие на обработку данных, право на доступ к собственным данным, право на исправление неточных персональных данных, право на удаление данных или право "быть забытым", право на ограничение обработки и право на переносимость данных, которое позволяет субъектам данных перемещать свои персональные данные от одного контролера данных к другому. В данном контексте важно, чтобы бизнес-модель указанных провайдеров обеспечивала отсутствие несогласованных стимулов, побуждающих отдельных лиц использовать данные услуги в целях предоставления большего количества данных, относящихся к ним, для обработки, чем в их собственных интересах. Это может включать консультирование лиц о возможном использовании их данных и проведение с надлежащей осмотрительностью проверок пользователей данных, прежде чем разрешить им связываться с субъектами данных, во избежание мошеннических действий. В определенных ситуациях может быть желательно собрать фактические данные в пространстве персональных данных, чтобы обработка могла осуществляться в данном пространстве без передачи персональных данных третьим лицам с целью максимальной защиты персональных данных и конфиденциальности. Указанные пространства персональных данных могут содержать статические персональные данные, такие как имя, адрес или дата рождения, а также динамические данные, которые человек генерирует, к примеру, использование онлайн-сервиса или объекта, подключенного к Интернету вещей. Они также могут использоваться для хранения подтвержденной идентификационной информации, такой как номера паспортов или данные социального обеспечения, а также учетных данных, таких как водительские права, дипломы или информация о банковском счете.
(31) Кооперативы данных стремятся достичь ряда целей, в частности, укрепить позиции отдельных лиц в принятии обоснованного решения до получения согласия на использование данных, оказывая влияние на политику и условия организаций пользователей данных, связанные с использованием данных, что обеспечивает лучший выбор для отдельных членов группы, или в возможном разрешении конфликта между позициями отдельных членов группы относительно того, как могут использоваться данные, когда указанные данные относятся к нескольким субъектам данных в пределах одной группы. В данном контексте важно признать, что права, предусмотренные [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, являются личными правами субъекта данных и что субъекты данных не могут отказаться от своих прав. Кооперативы данных также могут предоставить средства, полезные для предприятий, состоящих из одного человека, и SMEs, которые с точки зрения знаний об обмене данными часто сравнимы с отдельными лицами.
(32) В целях повышения доверия к указанным посредническим услугам по передаче данных, в частности, относящимся к использованию данных и соблюдению условий, выдвигаемых субъектами данных и держателями данных, необходимо создать регулятивные правовые рамки на уровне Союза, устанавливающие высоко гармонизированные требования, связанные с надежным предоставлением указанных посреднических услуг по передаче данных, и реализуемые компетентными органами. Указанные правовые рамки будут способствовать обеспечению лучшего контроля над доступом к собственным данным и их использованием со стороны субъектов и держателей данных, а также пользователей данных в соответствии с законодательством Союза. Европейская Комиссия также могла бы поощрять и содействовать разработке кодексов поведения на уровне Союза, вовлекая соответствующих участников, в частности, в отношении оперативной совместимости. В ситуациях, когда обмен данными происходит в контексте "бизнес - бизнес" и когда он происходит в контексте "бизнес - потребитель", провайдеры посреднических услуг по передаче данных должны предложить новый, "европейский" способ управления данными, обеспечивая разделение в экономике данных между предоставлением, посредничеством и использованием данных. Провайдеры посреднических услуг по передаче данных могут также предоставлять специальную техническую инфраструктуру для взаимосвязи субъектов данных и держателей данных с пользователями данных. В данной связи особенно важно сформировать указанную инфраструктуру таким образом, чтобы SMEs и начинающие предприятия не сталкивались с техническими или иными препятствиями для своего участия в экономике данных.
Провайдерам посреднических услуг по передаче данных должно быть разрешено предлагать дополнительные специальные инструменты и услуги держателям данных или субъектам данных с конкретной целью облегчения обмена данными, такие как временное хранение, фильтрация, преобразование, анонимизация и псевдонимизация. Указанные инструменты и услуги должны использоваться только по конкретному запросу или после одобрения держателя данных или субъекта данных, а инструменты третьих сторон, предлагаемые в данном контексте, не должны использовать данные в других целях. В то же время провайдерам посреднических услуг по передаче данных должно быть разрешено адаптировать данные, которыми они обмениваются, в целях повышения удобства использования данных пользователем данных, по желанию пользователя данных, или в целях повышения оперативной совместимости, к примеру, посредством преобразования данных в определенные форматы.
(33) Важно создать конкурентную среду для обмена данными. Ключевым элементом повышения доверия и контроля со стороны держателей данных, субъектов данных и пользователей данных к посредническим услугам по передаче данных является нейтральность провайдеров посреднических услуг по передаче данных по отношению к данным, которыми обмениваются держатели данных или субъекты данных и пользователи данных. Следовательно, необходимо, чтобы провайдеры посреднических услуг по передаче данных выступали только в качестве посредников в сделках и не использовали данные, которыми обмениваются, для каких-либо иных целей. Коммерческие условия предоставления посреднических услуг по передаче данных, включая ценообразование, не должны зависеть от того, использует ли потенциальный держатель данных или пользователь данных другие услуги, включая хранение, аналитику, искусственный интеллект или другие приложения, основанные на данных, предоставляемые тем же провайдером посреднических услуг по передаче данных или связанной с ним организацией, и, если да, то в какой степени держатель данных или пользователь данных использует указанные услуги. Это также потребует структурного разделения между службой посредничества по передаче данных и любыми другими предоставляемыми услугами во избежание конфликта интересов. Это означает, что посреднические услуги по передаче данных должны предоставляться посредством юридического лица, которое отделено от других видов деятельности указанного провайдера посреднических услуг по передаче данных. Однако провайдеры посреднических услуг по передаче данных должны иметь возможность использовать данные, предоставленные держателем данных, для улучшения своих посреднических услуг по передаче данных.
Провайдеры посреднических услуг по передаче данных должны иметь возможность предоставлять в распоряжение держателей данных, субъектов данных или пользователей данных свои собственные или принадлежащие третьей стороне инструменты в целях облегчения обмена данными, к примеру, инструменты для преобразования или фильтрации данных только по конкретному запросу субъекта данных или держателя данных или после одобрения субъектом данных или держателем данных. Предлагаемые в данном контексте инструменты третьей стороны не должны использовать данные в иных целях, чем те, которые связаны с посредническими услугами по передаче данных. Провайдеры посреднических услуг по передаче данных при обмене данными между физическими лицами как субъектами данных и юридическими лицами как пользователями данных должны, кроме того, нести фидуциарную ответственность перед физическими лицами, чтобы гарантировать, что они действуют в наилучших интересах субъектов данных. Вопросы ответственности за весь материальный и нематериальный ущерб и вред, возникающий в результате любого поведения провайдера посреднических услуг по передаче данных, могут быть урегулированы в соответствующем договоре на основе национальных режимов ответственности.
(34) Провайдеры посреднических услуг по передаче данных должны принимать разумные меры для обеспечения оперативной совместимости внутри сектора и между различными секторами в целях обеспечения надлежащего функционирования внутреннего рынка. Разумные меры могут включать следование существующим, широко используемым стандартам в секторе, в котором работают провайдеры посреднических услуг по передаче данных. Европейский комитет по инновациям в области данных должен содействовать появлению дополнительных отраслевых стандартов, если это необходимо. Провайдеры посреднических услуг по передаче данных должны своевременно реализовывать меры по обеспечению оперативной совместимости между посредническими услугами по передаче данных, принятые Европейским комитетом по инновациям в области данных.
(35) Настоящий Регламент должен действовать без ущерба для обязательства провайдеров посреднических услуг по передаче данных по соответствию требованиям [Регламента](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 и для обязанности надзорных органов по обеспечению соблюдения указанного [Регламента](https://bukva.ai/docs/reglament-2016679/statya-1). Если провайдеры посреднических услуг по передаче данных обрабатывают персональные данные, настоящий Регламент не должен влиять на защиту персональных данных. Если провайдеры посреднических услуг по передаче данных являются контролерами или обработчиками данных, как определено в [Регламенте](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, они обязаны соблюдать правила данного [Регламента](https://bukva.ai/docs/reglament-2016679/statya-1).
(36) Ожидается, что провайдеры посреднических услуг по передаче данных будут располагать процедурами и мерами по наложению санкций за мошенничество или злоупотребление в отношении сторон, ищущих доступ через их посреднические услуги по передаче данных, включая такие меры, как исключение пользователей данных, которые не соблюдают условия предоставления услуг или нарушают действующее законодательство.
(37) Провайдеры посреднических услуг по передаче данных также должны принимать меры в целях обеспечения соблюдения антимонопольного законодательства и иметь соответствующие процедуры. Это касается, в частности, ситуаций, когда обмен данными позволяет предприятиям получить информацию о рыночных стратегиях своих фактических или потенциальных конкурентов. Чувствительная с точки зрения конкуренции информация обычно включает данные о клиентах, будущих ценах, производственных затратах, количествах, оборотах, продажах или мощностях.
(38) В целях обеспечения того, чтобы управление данными на территории Союза основывалось на доверительном обмене данными, необходимо установить процедуру уведомления для посреднических услуг по передаче данных. Преимущества доверительной среды могут быть лучше всего достигнуты посредством введения ряда требований к предоставлению посреднических услуг по передаче данных, но без необходимости принятия компетентным органом по посредничеству в передаче данных какого-либо явного решения или административного акта для предоставления указанных услуг. Процедура уведомления не должна создавать чрезмерных препятствий для SMEs, начинающих предприятий и организаций гражданского общества и должна соблюдать принцип недискриминации.
(39) В целях поддержки эффективного трансграничного предоставления услуг провайдеру посреднических услуг по передаче данных следует предложить направлять уведомление только в компетентный орган по посредническим услугам по передаче данных того государства-члена ЕС, где находится его основное предприятие или где находится его законный представитель. Данное уведомление не должно включать ничего, кроме простого заявления о намерении предоставлять указанные услуги, и должно быть заполнено только информацией, указанной в настоящем Регламенте. После соответствующего уведомления провайдер посреднических услуг по передаче данных должен иметь возможность начать свою деятельность в любом государстве-члене ЕС без дальнейших обязательств по уведомлению.
(40) Процедура уведомления, предусмотренная настоящим Регламентом, должна действовать без ущерба для конкретных дополнительных правил в отношении предоставления посреднических услуг по передаче данных, применяемых в соответствии с конкретным отраслевым законодательством.
(41) Основным местом нахождения провайдера посреднических услуг по передаче данных в Союзе должно быть место нахождения его головного офиса в Союзе. Основное место нахождения провайдера посреднических услуг по передаче данных в Союзе должно определяться в соответствии с объективными критериями и должно подразумевать эффективное и реальное осуществление управленческой деятельности. Деятельность провайдера посреднических услуг по передаче данных должна соответствовать национальному законодательству государства-члена ЕС, в котором он имеет свое основное место нахождения.
(42) В целях обеспечения соблюдения провайдерами посреднических услуг по передаче данных настоящего Регламента, они должны иметь свое основное место нахождения в Союзе. Если провайдер услуг посредничества по передаче данных, не учрежденный в Союзе, предлагает услуги на территории Союза, он должен назначить законного представителя. Назначение законного представителя в указанных случаях необходимо, учитывая, что провайдеры посреднических услуг по передаче данных обрабатывают персональные данные, а также коммерческие конфиденциальные данные, что требует тщательного контроля за соблюдением провайдерами посреднических услуг по передаче данных настоящего Регламента. В целях определения, предлагает ли указанный провайдер посреднических услуг по передаче данных услуги на территории Союза, необходимо выяснить, очевидно ли, что провайдер посреднических услуг по передаче данных планирует предлагать услуги лицам в одном или в нескольких государствах-членах ЕС. Простая доступность в Союзе веб-сайта или адреса электронной почты и других контактных данных провайдера посреднических услуг по передаче данных или использование языка, обычно используемого в третьей стране, где учрежден провайдер посреднических услуг по передаче данных, должны считаться недостаточными для установления такого намерения. Однако такие факторы, как использование языка или валюты, обычно используемых в одном или нескольких государствах-членах ЕС, с возможностью заказа услуг на данном языке, или упоминание пользователей, находящихся в Союзе, могут сделать очевидным, что провайдер посреднических услуг по передаче данных планирует предлагать услуги на территории Союза.
Назначенный законный представитель должен действовать от имени провайдера посреднических услуг по передаче данных, и компетентные органы в отношении посреднических услуг по передаче данных должны иметь возможность обращаться к законному представителю в дополнение или вместо провайдера посреднических услуг по передаче данных, в том числе в случае нарушения, с целью возбуждения исполнительного производства в отношении не соблюдающего требования провайдера посреднических услуг по передаче данных, учрежденного не в Союзе. Законный представитель должен быть назначен письменным мандатом провайдера посреднических услуг по передаче данных, действовать от имени последнего в отношении его обязательств в соответствии с настоящим Регламентом.
(43) В целях содействия субъектам данных и держателям данных легко идентифицировать признанных в Союзе провайдеров посреднических услуг по передаче данных и тем самым повысить их доверие к указанным провайдерам следует присвоить им общий логотип, узнаваемый на всей территории Союза, в дополнение к наименованию "признанный в Союзе провайдер посреднических услуг по передаче данных".
(44) Компетентные органы по предоставлению посреднических услуг по передаче данных, назначенные в целях мониторинга соответствия провайдеров посреднических услуг по передаче данных требованиям настоящего Регламента, должны выбираться на основе их возможностей и опыта в отношении горизонтального или секторального обмена данными. Они должны быть независимы от любого провайдера посреднических услуг по передаче данных, а также прозрачны и беспристрастны при выполнении своих задач. Государства-члены ЕС должны сообщить Европейской Комиссии идентификационные данные указанных компетентных органов по предоставлению посреднических услуг по передаче данных. Полномочия и компетенции компетентных органов по предоставлению посреднических услуг по передаче данных должны действовать без ущерба для полномочий органов по защите данных. В частности, по любому вопросу, требующему оценки соответствия [Регламенту](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, компетентный орган по предоставлению посреднических услуг по передаче данных должен запросить, где это целесообразно, мнение или решение компетентного надзорного органа, учрежденного в соответствии с указанным [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1).
(45) Существует большой потенциал для достижения целей, представляющих общий интерес, при использовании данных, предоставленных добровольно субъектами данных на основе их информированного согласия или, если речь идет о неперсональных данных, предоставленных держателями данных. Указанные цели могут включать здравоохранение, борьбу с изменением климата, повышение мобильности, содействие разработке, производству и распространению официальной статистики, улучшение предоставления публичных услуг или формирование публичной политики. Поддержка научных исследований также должна рассматриваться как цель, представляющая общественный интерес. Настоящий Регламент должен быть направлен на содействие появлению достаточно объемных массивов данных, предоставляемых на основе альтруизма в отношении данных, в целях обеспечения возможности анализа данных и компьютерного обучения, в том числе на территории всего Союза. Для достижения данной цели государства-члены ЕС должны иметь возможность осуществить организационные и/или технические меры, которые бы способствовали альтруизму в отношении данных. Указанные меры могут включать наличие легко используемых инструментов для субъектов данных или для держателей данных в целях получения согласия или разрешения на альтруистическое использование их данных, организацию информационных кампаний или структурированный обмен между компетентными органами данными о том, как государственная политика, к примеру, улучшение дорожного движения, общественного здравоохранения и борьба с изменением климата, выигрывает от альтруизма в отношении данных. В этой связи государства-члены ЕС должны иметь возможность разрабатывать национальные политики альтруизма в отношении данных. Субъекты данных должны иметь возможность получать компенсацию, связанную только с затратами, которые они несут при предоставлении своих данных для целей, представляющих общественный интерес.
(46) Ожидается, что регистрация признанных альтруистических организаций по предоставлению данных и использование наименования "альтруистическая организация по обмену данными, признанная в Союзе", приведет к созданию хранилищ данных. Регистрация в государстве-члене ЕС будет действительна на всей территории Союза и, как ожидается, будет способствовать трансграничному использованию данных на территории Союза и появлению массивов данных, охватывающих несколько государств-членов ЕС. Держатели данных могут давать разрешение на обработку своих неперсональных данных в различных целях, не установленных на момент получения разрешения. Соответствие таких признанных альтруистических организаций по обмену данными ряду требований, установленных в настоящем Регламенте, должно вызвать уверенность в том, что данные, предоставляемые в альтруистических целях, служат цели, представляющей общественный интерес. Данная уверенность должна быть обусловлена, в частности, наличием места нахождения или законного представителя на территории Союза, а также требованием, что признанные альтруистические организации по обмену данными являются некоммерческими организациями, требованиями прозрачности и особыми гарантиями, установленными в целях защиты прав и интересов субъектов данных и предприятий.
Дополнительные гарантии должны включать обеспечение возможности обработки релевантных данных в безопасной среде обработки, управляемой признанными альтруистическими организациями по обмену данными, механизмы надзора, такие как комитеты или советы по этике, включающие представителей гражданского общества, в целях обеспечения поддержания контролером данных высоких стандартов научной этики и защиты основных прав, эффективные и легко доступные технические средства для отзыва или изменения согласия в любой момент на основе информационных обязательств обработчиков данных в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, а также средства для субъектов данных, позволяющие им быть информированными в отношении использования предоставленных ими данных. Регистрация в качестве признанной альтруистической организации по обмену данными не должна быть предварительным условием для осуществления деятельности, связанной с альтруизмом в отношении данных. Европейская Комиссия должна посредством делегированных актов подготовить свод правил в тесном сотрудничестве с альтруистическими организациями по обмену данными и заинтересованными участниками. Соблюдение указанного свода правил должно быть требованием для регистрации в качестве признанной альтруистической организации по обмену данными.
(47) В целях содействия субъектам данных и держателям данных легко идентифицировать признанные альтруистические организации по обмену данными и тем самым повысить их доверие к ним, следует создать общий логотип, узнаваемый во всем Союзе. Общий логотип должен сопровождаться QR-кодом со ссылкой на публичный реестр Союза признанных альтруистических организаций по обмену данными.
(48) Настоящий Регламент должен действовать без ущерба для создания, организации и функционирования субъектов, которые стремятся заниматься предоставлением данных на основе альтруизма в соответствии с национальным законодательством и основываются на требованиях национального законодательства для законной деятельности в государстве-члене ЕС в качестве некоммерческой организации.
(49) Настоящий Регламент должен действовать без ущерба для создания, организации и функционирования субъектов, не относящихся к органам публичного сектора, которые участвуют в совместном использовании данных и контента на основе открытых лицензий, способствуя тем самым созданию общих ресурсов, доступных для всех. Сюда следует включить открытые совместные платформы для обмена знаниями, научные и академические репозитории с открытым доступом, платформы для разработки программного обеспечения с открытым исходным кодом и платформы агрегации контента с открытым доступом.
(50) Признанные альтруистические организации по обмену данными должны иметь возможность собирать соответствующие данные непосредственно от физических и юридических лиц или обрабатывать данные, собранные другими. Обработка собранных данных может осуществляться альтруистическими организациями по обмену данными в целях, которые они устанавливают сами, или, в соответствующих случаях, они могут разрешить обработку третьими лицами в указанных целях. Если признанные альтруистические организации по обмену данными являются контролерами или обработчиками данных, как определено в [Регламенте](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, они должны соблюдать указанный [Регламент](https://bukva.ai/docs/reglament-2016679/statya-1). Как правило, альтруизм в отношении данных опирается на согласие субъектов данных в значении [пункта (a) Статьи 6(1)](https://bukva.ai/docs/reglament-2016679/statya-6#p100305) и [пункта (a) Статьи 9(2)](https://bukva.ai/docs/reglament-2016679/statya-9#p100339) Регламента (ЕС) 2016/679, которое должно соответствовать требованиям к законному согласию в соответствии со [Статьями 7](https://bukva.ai/docs/reglament-2016679/statya-7#p100323) и [8](https://bukva.ai/docs/reglament-2016679/statya-8#p100329) указанного Регламента. В соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 цели научных исследований могут быть подкреплены согласием на определенные области научных исследований, если они соответствуют признанным этическим стандартам научных исследований, или только на определенные области исследований или части исследовательских проектов. В [пункте (b) Статьи 5(1)](https://bukva.ai/docs/reglament-2016679/statya-5#p100296) Регламента (ЕС) 2016/679 указывается, что дальнейшая обработка для научных или исторических исследований или в статистических целях не должна, в соответствии со [Статьей 89(1)](https://bukva.ai/docs/reglament-2016679/statya-89#p101208) Регламента (ЕС) 2016/679, считаться несовместимой с первоначальными целями. Для неперсональных данных ограничения на использование должны быть указаны в разрешении, выданном держателем данных.
(51) Компетентные органы по регистрации альтруистических организаций по обмену данными, назначенные в целях мониторинга соответствия признанных альтруистических организаций по обмену данными требованиям настоящего Регламента, должны выбираться на основе их возможностей и опыта. Они должны быть независимыми от любой альтруистической организации по обмену данными, а также прозрачными и беспристрастными при выполнении своих задач. Государства-члены ЕС должны сообщить Европейской Комиссии идентификационные данные компетентных органов по регистрации альтруистических организаций по обмену данными. Полномочия и компетенции компетентных органов по регистрации альтруистических организаций по обмену данными должны действовать без ущерба для полномочий органов по защите данных. В частности, по любому вопросу, требующему оценки соответствия [Регламенту](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, компетентный орган по регистрации альтруистических организаций по обмену данными должен запросить, где это целесообразно, мнение или решение компетентного надзорного органа, учрежденного в соответствии с указанным [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1).
(52) В целях укрепления доверия, а также внесения для удобства пользователей дополнительной правовой определенности в процесс предоставления и отзыва согласия, в частности, в контексте научных исследований и статистического использования данных, предоставляемых на альтруистической основе, следует разработать европейскую форму согласия на предоставление данных на альтруистической основе и использовать ее в контексте альтруистического обмена данными. Указанная форма должна способствовать дополнительной прозрачности для субъектов данных в том, что доступ к их данным и их использование будут осуществляться в соответствии с их согласием, а также в полном соответствии с правилами защиты данных. Она также должна облегчить предоставление и отзыв согласия и использоваться для упорядочения альтруистического предоставления данных, осуществляемого предприятиями, и обеспечить механизм, позволяющий указанным предприятиям отозвать свое разрешение на использование данных. Чтобы учесть особенности отдельных секторов, в том числе с точки зрения защиты данных, европейская форма согласия на предоставление данных на альтруистической основе должна использовать модульный подход, позволяющий адаптировать ее для конкретных секторов и различных целей.
(53) В целях успешного внедрения системы управления данными следует создать Европейский комитет по инновациям в области данных в форме экспертной группы. Европейский комитет по инновациям в области данных должен состоять из представителей компетентных органов по посредническим услугам в области данных и компетентных органов по регистрации альтруистических организаций по обмену данными всех государств-членов ЕС, Европейского комитета по защите данных, Европейского инспектора по защите данных, Агентства Европейского союза по кибербезопасности (ENISA), Европейской Комиссии, представителя SMEs ЕС или представителя, назначенного сетью представителей SMEs, и других представителей соответствующих органов в конкретных секторах, а также органов, обладающих конкретным экспертным опытом. Европейский комитет по инновациям в области данных должен состоять из ряда подгрупп, включая подгруппу по вовлечению участников, состоящую из соответствующих представителей отраслей промышленности, таких как здравоохранение, окружающая среда, сельское хозяйство, транспорт, энергетика, промышленное производство, СМИ, культурный и творческий секторы, статистика, а также научно-исследовательских, академических кругов, гражданского общества, организаций по стандартизации, соответствующих общеевропейских пространств данных и других релевантных участников и третьих лиц, inter alia органов, обладающих конкретным экспертным опытом, таких как национальные статистические службы.
(54) Европейский комитет по инновациям в области данных должен оказывать содействие Европейской Комиссии в координации национальных практик и политик по темам, охватываемым настоящим Регламентом, и в поддержке межсекторального использования данных посредством соблюдения принципов Европейских рамок оперативной совместимости и использования европейских и международных стандартов и спецификаций, в том числе посредством Многосторонней платформы ЕС по ICT стандартизации, основных словарей и строительных элементов CEF, и должен учитывать работу по стандартизации, проводимую в конкретных секторах или областях. Работа по технической стандартизации может включать идентификацию приоритетов для разработки стандартов, а также разработку и обновление набора технических и правовых стандартов для передачи данных между двумя средами обработки, позволяющих организовать пространства данных, в частности, уточнение и разграничение того, какие стандарты и практики являются межсекторальными, а какие секторальными. Европейский комитет по инновациям в области данных должен сотрудничать с секторальными органами, сетями или экспертными группами, или другими межсекторальными организациями, занимающимися вопросами вторичного использования данных. Что касается альтруизма в отношении данных, Европейский комитет по инновациям в области данных должен оказывать содействие Европейской Комиссии в разработке формы согласия на предоставление данных на основе альтруизма после консультаций с Европейским комитетом по защите данных. Предлагая руководящие принципы по общим европейским пространствам данных, Европейский комитет по инновациям в области данных должен поддержать развитие функционирующей европейской экономики данных на основе указанных пространств данных, как установлено в Европейской стратегии данных.
(55) Государства-члены ЕС должны установить правила о санкциях, применяемых за нарушения настоящего Регламента, и должны принять все необходимые меры для обеспечения их исполнения. Предусмотренные санкции должны быть эффективными, соразмерными и оказывать сдерживающее воздействие. Значительные расхождения между правилами применения штрафных санкций могут привести к искажению конкуренции на едином цифровом рынке. Гармонизация данных правил может принести пользу в данном отношении.
(56) В целях обеспечения эффективного исполнения настоящего Регламента, а также в целях обеспечения того, чтобы провайдеры посреднических услуг по передаче данных и организации, желающие зарегистрироваться в качестве признанных альтруистических организаций по обмену данными, могли получить доступ и пройти процедуры уведомления и регистрации полностью онлайн и трансграничным образом, указанные процедуры должны предлагаться посредством единой цифровой платформы, созданной в соответствии с Регламентом (ЕС) 2018/1724 Европейского Парламента и Совета ЕС <30>. Указанные процедуры должны быть добавлены в перечень процедур, включенных в Приложение II к Регламенту (ЕС) 2018/1724.
---
<30> Регламент (ЕС) 2018/1724 Европейского Парламента и Совета ЕС от 2 октября 2018 г. о создании единой цифровой платформы для обеспечения доступа к информации, процедурам, услугам по оказанию помощи и решению проблем, а также об изменении Регламента (ЕС) 1024/2012 (ОЖ N L 295, 21.11.2018, стр. 1).
(57) Следовательно, в Регламент (ЕС) 2018/1724 должны быть внесены соответствующие изменения.
(58) В целях обеспечения эффективности настоящего Регламента полномочия по принятию актов в соответствии со [Статьей 290](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-290#p101973) TFEU должны быть делегированы Европейской Комиссии с целью дополнения настоящего Регламента посредством установления специальных условий, применяемых к передаче в третьи страны определенных категорий неперсональных данных, признанных высокочувствительными в конкретных законодательных актах Союза, и посредством создания свода правил для признанных альтруистических организаций по обмену данными, которым указанные организации должны соответствовать, предусматривающего информационные, технические требования и требования безопасности, а также схемы коммуникации и стандарты оперативной совместимости. Особенно важно, чтобы в ходе подготовительной работы Европейская Комиссия проводила надлежащие консультации, в том числе на экспертном уровне, и чтобы данные консультации проводились в соответствии с принципами, установленными в Межинституциональном соглашении от 13 апреля 2016 г. по совершенствованию законодательной работы <31>. В частности, в целях обеспечения равного участия в подготовке делегированных актов Европейский Парламент и Совет ЕС получают все документы одновременно с экспертами государств-членов ЕС, а их эксперты систематически имеют доступ к заседаниям экспертных групп Европейской Комиссии, занимающихся подготовкой делегированных актов.
---
<31> ОЖ N L 123, 12.5.2016, стр. 1.
(59) В целях обеспечения единых условий для имплементации настоящего Регламента имплементационные полномочия должны быть возложены на Европейскую Комиссию, чтобы содействовать органам публичного сектора и вторичным пользователям в соблюдении условий вторичного использования, установленных в настоящем Регламенте, посредством создания типовых договорных положений для передачи вторичными пользователями неперсональных данных в третью страну, чтобы заявить, что правовые, надзорные и исполнительные механизмы третьей страны аналогичны защите, обеспечиваемой законодательством Союза, разработать дизайн общего логотипа для провайдеров посреднических услуг по передаче данных и общего логотипа для признанных альтруистических организаций по обмену данными, а также создать и разработать европейскую форму согласия на предоставление данных на основе альтруизма. Указанные полномочия должны осуществляться в соответствии с [Регламентом](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011 Европейского Парламента и Совета ЕС <32>.
---
<32> [Регламент](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011 Европейского Парламента и Совета ЕС от 16 февраля 2011 г., устанавливающий правила и общие принципы относительно механизмов контроля государствами-членами ЕС выполнения Европейской Комиссией имплементационных полномочий (ОЖ N L 55, 28.2.2011, стр. 13).
(60) Настоящий Регламент не должен оказывать влияние на применение антимонопольных правил, в частности, [Статей 101](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-101#p100670) и [102](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-102#p100687) TFEU. Меры, предусмотренные в настоящем Регламенте, не должны использоваться для ограничения конкуренции способом, противоречащим [TFEU](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-1). Это касается, в частности, правил обмена конфиденциальной в отношении конкуренции информацией между фактическими или потенциальными конкурентами посредством посреднических услуг по передаче данных.
(61) В соответствии со [Статьей 42(1)](https://bukva.ai/docs/reglament-20181725/statya-42#p100564) Регламента (ЕС) 2018/1725 были проведены консультации с Европейским инспектором по защите данных и Европейским комитетом по защите данных, которые представили свое заключение 10 марта 2021 г.
(62) Настоящий Регламент использует в качестве руководящих принципов соблюдение основных прав и принципов, признанных, в частности, [Хартией](https://bukva.ai/docs/hartiya-osnovnyh-prav-evropeyskogo-soyuza/statya-1) основных прав Европейского Союза, включая право на неприкосновенность частной жизни, защиту персональных данных, свободу ведения бизнеса, право на собственность и интеграцию лиц с ограниченными возможностями. В данном контексте органы и услуги публичного сектора в соответствии с настоящим Регламентом должны, если это целесообразно, соответствовать Директивам (ЕС) [2016/2102](https://bukva.ai/docs/direktiva-20162102/statya-1) <33> и (ЕС) 2019/882 <34> Европейского Парламента и Совета ЕС. Кроме того, следует принимать во внимание "дизайн для всех" в контексте информационной и коммуникационной технологии, которая представляет собой сознательные и систематические усилия по активному применению принципов, методов и инструментов для продвижения универсального дизайна в компьютерных технологиях, включая интернет-технологии, что позволяет избежать необходимости адаптации a posteriori или специализированного дизайна.
---
<33> [Директива](https://bukva.ai/docs/direktiva-20162102/statya-1) (ЕС) 2016/2102 Европейского Парламента и Совета ЕС от 26 октября 2016 г. о доступности веб-сайтов и мобильных приложений органов публичного сектора (ОЖ N L 327, 2.12.2016, стр. 1).
<34> Директива (ЕС) 2019/882 Европейского Парламента и Совета ЕС от 17 апреля 2019 г. о требованиях к доступности товаров и услуг (ОЖ N L 151, 7.6.2019, стр. 70).
(63) Поскольку цели настоящего Регламента, а именно вторичное использование на территории Союза определенных категорий данных, находящихся в распоряжении органов публичного сектора, а также учреждение правовых рамок для уведомления и надзора за предоставлением посреднических услуг в области данных, правовых рамок для добровольной регистрации организаций, предоставляющих данные в альтруистических целях, и для создания Европейского комитета по инновациям в области данных, не могут быть успешно достигнуты государствами-членами ЕС, но могут по причинам масштабности и эффективности быстрее быть достигнуты на уровне Союза, Союз вправе принять меры в соответствии с принципом субсидиарности, как установлено в [Статье 5](https://bukva.ai/docs/dogovor-o-evropeyskom-soyuze-rus-angl/statya-5#p100099) Договора о Европейском Союзе. В соответствии с принципом пропорциональности, как установлено в указанной [Статье](https://bukva.ai/docs/dogovor-o-evropeyskom-soyuze-rus-angl/statya-5#p100099), настоящий Регламент не выходит за пределы того, что необходимо для достижения указанных целей.
**Приняли настоящий Регламент:**
## Статья 1
### Глава I. ОБЩИЕ ПОЛОЖЕНИЯ
### Статья 1
**Предмет и сфера действия**
Настоящий Регламент устанавливает:
(a) условия для вторичного использования на территории Союза определенных категорий данных, находящихся в распоряжении органов публичного сектора;
(b) рамки для уведомления и надзора за предоставлением посреднических услуг по передаче данных;
(c) рамки для добровольной регистрации организаций, которые собирают и обрабатывают данные, предоставляемые в альтруистических целях; и
(d) рамки для создания Европейского комитета по инновациям в области данных.
2. Настоящий Регламент не создает никаких обязательств для органов публичного сектора в отношении разрешения на вторичное использование данных, а также не освобождает органы публичного сектора от обязательств по обеспечению конфиденциальности в соответствии с законодательством Союза или национальным законодательством.
Настоящий Регламент действует без ущерба для:
(a) конкретных положений законодательства Союза или национального законодательства в отношении доступа к определенным категориям данных или их вторичного использования, в частности, в отношении предоставления доступа к официальным документам и их раскрытия; а также
(b) обязательств органов публичного сектора в соответствии с законодательством Союза или национальным законодательством в отношении разрешения на вторичное использование данных или требований, относящихся к обработке неперсональных данных.
Если отраслевое законодательство Союза или национальное законодательство требует от органов публичного сектора, провайдеров посреднических услуг по передаче данных или признанных альтруистических организаций по обмену данными соблюдения конкретных дополнительных технических, административных или организационных требований, в том числе посредством режима авторизации или сертификации, положения отраслевого законодательства Союза или национального законодательства также должны применяться. Любые указанные конкретные дополнительные требования должны быть недискриминационными, соразмерными и объективно обоснованными.
3. Законодательство Союза и национальное законодательство о защите персональных данных должно применяться к любым персональным данным, обрабатываемым в связи с настоящим Регламентом. В частности, настоящий Регламент действует без ущерба для Регламентов (ЕС) [2016/679](https://bukva.ai/docs/reglament-2016679/statya-1) и (ЕС) [2018/1725](https://bukva.ai/docs/reglament-20181725/statya-1) и Директив [2002/58/ЕС](https://bukva.ai/docs/direktiva-200258es/statya-1) и (ЕС) [2016/680](https://bukva.ai/docs/direktiva-2016680/statya-1), в том числе в отношении полномочий и компетенций надзорных органов. В случае противоречия между настоящим Регламентом и законодательством Союза о защите персональных данных или национальным законодательством, принятым в соответствии с указанным законодательством Союза, преимущественную силу имеет соответствующее законодательство Союза или национальное законодательство о защите персональных данных. Настоящий Регламент не создает правовую основу для обработки персональных данных и не затрагивает какие-либо права и обязанности, установленные в Регламентах (ЕС) [2016/679](https://bukva.ai/docs/reglament-2016679/statya-1) или (ЕС) [2018/1725](https://bukva.ai/docs/reglament-20181725/statya-1) или в Директивах [2002/58/ЕС](https://bukva.ai/docs/direktiva-200258es/statya-1) или (ЕС) [2016/680](https://bukva.ai/docs/direktiva-2016680/statya-1).
4. Настоящий Регламент действует без ущерба для применения антимонопольного законодательства.
5. Настоящий Регламент действует без ущерба для компетенций государств-членов ЕС в отношении их деятельности, касающейся общественной безопасности, обороны и национальной безопасности.
## Статья 2
### Статья 2
Для целей настоящего Регламента применяются следующие определения:
(1) "данные" означает любое цифровое представление действий, фактов или информации и любую компиляцию указанных действий, фактов или информации, в том числе в форме звуковой, визуальной или аудиовизуальной записи;
(2) "вторичное использование" означает использование физическими или юридическими лицами данных, находящихся в распоряжении органов публичного сектора, в коммерческих или некоммерческих целях, отличных от первоначальной цели в рамках публичного задания, для которого были собраны данные, за исключением обмена данными между органами публичного сектора исключительно при выполнении их публичных задач;
(3) "персональные данные" означает персональные данные, как определено в [пункте (1) Статьи 4](https://bukva.ai/docs/reglament-2016679/statya-4#p100256) Регламента (ЕС) 2016/679;
(4) "неперсональные данные" означает данные, отличные от персональных данных;
(5) "согласие" означает согласие, как определено в [пункте (11) Статьи 4](https://bukva.ai/docs/reglament-2016679/statya-4#p100266) Регламента (ЕС) 2016/679;
(6) "разрешение" означает предоставление пользователям данных права на обработку неперсональных данных;
(7) "субъект данных" означает субъект данных, как указано в [пункте (1) Статьи 4](https://bukva.ai/docs/reglament-2016679/statya-4#p100256) Регламента (ЕС) 2016/679;
(8) "держатель данных" означает юридическое лицо, включая органы государственного сектора и международные организации, или физическое лицо, не являющееся субъектом данных в отношении конкретных данных, о которых идет речь, которое в соответствии с применяемым законодательством Союза или национальным законодательством имеет право предоставлять доступ к определенным персональным или неперсональным данным или обмениваться ими;
(9) "пользователь данных" означает физическое или юридическое лицо, которое имеет законный доступ к определенным персональным или неперсональным данным и имеет право, в том числе в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 в случае персональных данных, использовать указанные данные в коммерческих или некоммерческих целях;
(10) "обмен данными" означает предоставление данных субъектом данных или держателем данных пользователю данных с целью совместного или индивидуального использования указанных данных на основе добровольных соглашений или законодательства Союза либо национального законодательства, непосредственно или через посредника, к примеру, в соответствии с открытыми или коммерческими лицензиями за плату или бесплатно;
(11) "посредническая услуга по передаче данных" означает услугу, направленную на установление коммерческих отношений в целях обмена данными между неопределенным количеством субъектов данных и держателей данных, с одной стороны, и пользователей данных, с другой стороны, посредством технических, юридических или иных средств, в том числе в целях осуществления прав субъектов данных в отношении персональных данных, исключая, по меньшей мере, следующее:
(a) услуги, в которых данные получены от держателей данных, обобщаются, обогащаются или преобразуются с целью добавления к ним значительной ценности и выдается лицензия на использование полученных данных пользователям данных без установления коммерческих отношений между держателями данных и пользователями данных;
(b) услуги, которые сосредоточены на посредничестве в передаче контента, защищенного авторским правом;
(c) услуги, которые используются исключительно одним держателем данных в целях обеспечения возможности использования данных, находящихся в распоряжении указанного держателя данных, или которые используются многими юридическими лицами в закрытой группе, включая отношения с провайдерами либо клиентами или договорное сотрудничество, в частности, те услуги, которые имеют в качестве основной цели обеспечение функциональности объектов и устройств, подключенных к Интернету вещей;
(d) услуги по обмену данными, предлагаемые органами публичного сектора, которые не направлены на установление коммерческих отношений;
(12) "обработка" означает обработку, как определено в [пункте (2) Статьи 4](https://bukva.ai/docs/reglament-2016679/statya-4#p100257) Регламента (ЕС) 2016/679 в отношении персональных данных или в пункте (2) Статьи 3 Регламента (ЕС) 2018/1807 в отношении неперсональных данных;
(13) "доступ" означает использование данных в соответствии с конкретными техническими, юридическими или организационными требованиями, не обязательно подразумевая передачу или загрузку данных;
(14) "основное место нахождения" юридического лица означает место нахождения его центральной администрации в Союзе;
(15) "услуги кооперативов данных" означает посреднические услуги по предоставлению данных, предлагаемые организационной структурой, образованной субъектами данных, предприятиями, состоящими из одного лица, или SMEs, которые являются членами указанной структуры, имеющей в качестве основных целей поддержку своих членов при осуществлении их прав в отношении определенных данных, в том числе в отношении осознанного выбора до получения их согласия на обработку данных, обмен мнениями о целях и условиях обработки данных, которые наилучшим образом представляли бы интересы ее членов в отношении их данных, и проведение переговоров о сроках и условиях обработки данных от имени своих членов до получения их разрешения на обработку неперсональных данных или до получения их согласия на обработку персональных данных;
(16) "альтруизм в отношении данных" означает добровольный обмен данными на основе согласия субъектов данных на обработку относящихся к ним персональных данных или разрешения держателей данных, позволяющего использование их неперсональных данных без просьбы о получении или без получения вознаграждения, выходящего за рамки компенсации, связанной с понесенными ими затратами при предоставлении ими своих данных в целях, представляющих общественный интерес, предусмотренных в национальном законодательстве, где это применимо, таких как здравоохранение, борьба с изменением климата, повышение мобильности, содействие разработке, производству и распространению официальной статистики, улучшение предоставления публичных услуг, формирование публичной политики или научные исследования в общественных интересах;
(17) "орган публичного сектора" означает государственные, региональные или местные органы власти, органы, регулируемые публичным правом, или ассоциации, сформированные одним или несколькими указанными органами власти, или один или несколько указанных органов, регулируемых публичным правом;
(18) "органы, регулируемые публичным правом" означает органы, которые имеют следующие характеристики:
(a) они учреждены с конкретной целью удовлетворения потребностей в общих интересах и не имеют промышленного или коммерческого характера;
(b) они обладают правосубъектностью;
(c) они финансируются, в основном, государственными, региональными или местными органами власти или иными органами, регулируемыми публичным правом, подлежат управленческому надзору со стороны указанных органов власти, или имеют административный, управленческий или надзорный орган, более половины членов которого назначаются государственными, региональными или местными органами власти или иными органами, регулируемыми публичным правом;
(19) "публичное предприятие" означает любое предприятие, на которое органы публичного сектора могут прямо или косвенно оказывать доминирующее влияние в силу их собственности на него, их финансового участия в нем или правил, которые управляют им; для целей данного определения доминирующее влияние со стороны органов публичного сектора должно предполагаться в любом из следующих случаев, в которых данные органы, прямо или косвенно:
(a) владеют большинством уставного капитала предприятия;
(b) контролируют большинство голосов, приходящихся на акции, выпущенные предприятием;
(c) могут назначать более половины административного, управленческого или надзорного органа предприятия;
(20) "безопасная среда обработки" означает физическую или виртуальную среду и организационные средства для обеспечения соответствия законодательству Союза, такому как [Регламент](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, в частности, в отношении прав субъектов данных, прав интеллектуальной собственности, коммерческой и статистической конфиденциальности, целостности и доступности, а также применяемому национальному законодательству, а также в целях того, чтобы позволить субъекту, предоставляющему безопасную среду обработки, определять и контролировать все действия по обработке данных, включая отображение, хранение, загрузку и экспорт данных и расчет производных данных с использованием вычислительных алгоритмов;
(21) "законный представитель" означает физическое или юридическое лицо, учрежденное в Союзе, специально назначенное действовать от имени провайдера посреднических услуг по передаче данных или субъекта, который в целях общественного интереса собирает данные, предоставляемые на основе альтруизма в отношении данных физическими или юридическими лицами, не учрежденными в Союзе, к которым могут обращаться компетентные органы за посредническими услугами по передаче данных и компетентные органы в целях регистрации альтруистических организаций по обмену данными в дополнение или вместо провайдера посреднических услуг по передаче данных или субъекта в отношении обязательств в соответствии с настоящим Регламентом, в том числе в отношении возбуждения исполнительного производства против не соблюдающего требования провайдера посреднических услуг по передаче данных или субъекта, не учрежденного в Союзе.
## Статья 3
### Глава II. ВТОРИЧНОЕ ИСПОЛЬЗОВАНИЕ ОПРЕДЕЛЕННЫХ КАТЕГОРИЙ ЗАЩИЩЕННЫХ ДАННЫХ, НАХОДЯЩИХСЯ В РАСПОРЯЖЕНИИ ОРГАНОВ ПУБЛИЧНОГО СЕКТОРА
### Статья 3
1. Настоящая Глава применяется к данным, находящимся в распоряжении органов публичного сектора, которые защищены на основании:
(a) коммерческой тайны, включая деловые, профессиональные и корпоративные секреты;
(b) статистической конфиденциальности;
(c) защиты прав интеллектуальной собственности третьих сторон; или
(d) защиты персональных данных, в той мере, в которой указанные данные не подпадают под действие Директивы (ЕС) 2019/1024.
2. Настоящая Глава не применяется к:
(a) данным, находящимся в распоряжении публичных предприятий;
(b) данным, находящимся в распоряжении публичных радио- и телевизионных операторов и их дочерних компаний, а также в распоряжении других организаций или их дочерних компаний для оказания услуг публичного телерадиовещания;
(c) данным, находящимся в распоряжении учреждений культуры и образовательных учреждений;
(d) данным, находящимся в распоряжении органов публичного сектора, которые защищены по причинам общественной безопасности, обороны или национальной безопасности; или
(e) данным, предоставление которых является деятельностью, выходящей за рамки публичной задачи соответствующих органов публичного сектора, как определено правовыми актами или иными обязательными правилами в соответствующем государстве-члене ЕС, или, в отсутствие данных правил, как определено в соответствии с общей административной практикой в данном государстве-члене ЕС, при условии, что объем публичных задач является прозрачным и подлежит пересмотру.
3. Настоящая Глава действует без ущерба для:
(a) законодательства Союза и национального законодательства и международных соглашений, участниками которых являются Союз или государства-члены ЕС по защите категорий данных, указанных в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-3#p100194); а также
(b) законодательства Союза и национального законодательства о доступе к документам.
## Статья 4
### Статья 4
**Запрет на эксклюзивные договоренности**
1. Соглашения или иные виды практик, относящиеся к вторичному использованию данных, находящихся в распоряжении органов публичного сектора, которые содержат категории данных, указанные в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194) и предоставляют исключительные права или имеют своей целью или следствием предоставление данных исключительных прав или ограничение доступности данных для вторичного использования субъектами, не являющимися сторонами указанных соглашений или иных видов практик, запрещаются.
2. Путем частичного отступления от [параграфа 1](https://bukva.ai/docs/reglament-2022868/statya-4#p100210) исключительное право на вторичное использование данных, указанных в данном [параграфе](https://bukva.ai/docs/reglament-2022868/statya-4#p100210), может быть предоставлено в объеме, необходимом для оказания услуги или поставки продукта в общественных интересах, что иначе было бы невозможно.
3. Исключительное право, как указано в [параграфе 2](https://bukva.ai/docs/reglament-2022868/statya-4#p100211), должно предоставляться посредством административного акта или договорного соглашения в соответствии с применяемым законодательством Союза или национальным законодательством и с соблюдением принципов прозрачности, равного обращения и недискриминации.
4. Срок действия исключительного права на вторичное использование данных не должен превышать 12 месяцев. В случае заключения договора срок действия договора должен совпадать со сроком действия исключительного права.
5. Предоставление исключительного права в соответствии с [параграфами 2](https://bukva.ai/docs/reglament-2022868/statya-4#p100211), [3](https://bukva.ai/docs/reglament-2022868/statya-4#p100212) и [4](https://bukva.ai/docs/reglament-2022868/statya-4#p100213), включая причины, по которым необходимо предоставить данное право, должно быть прозрачным и должно быть публично доступно в Интернете в форме, соответствующей релевантному законодательству Союза о публичных закупках.
6. Соглашения или иные виды практик, подпадающие под действие запрета, указанного в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-4#p100210), которые не соответствуют условиям, установленным в [параграфах 2](https://bukva.ai/docs/reglament-2022868/statya-4#p100211) и [3](https://bukva.ai/docs/reglament-2022868/statya-4#p100212), и которые были заключены до 23 июня 2022 г., должны быть прекращены по окончании срока действия соответствующего договора и в любом случае до 24 декабря 2024 г.
## Статья 5
### Статья 5
**Условия для вторичного использования**
1. Органы публичного сектора, которые в соответствии с национальным законодательством компетентны предоставлять доступ или отказывать в доступе для вторичного использования одной или нескольких категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), должны сделать общедоступными условия для разрешения указанного вторичного использования и процедуру запроса вторичного использования посредством единого информационного центра, указанного в [Статье 8](https://bukva.ai/docs/reglament-2022868/statya-8#p100273). В случае предоставления доступа или отказа в доступе для вторичного использования им вправе оказать содействие компетентные органы, указанные в [Статье 7(1)](https://bukva.ai/docs/reglament-2022868/statya-7#p100263).
Государства-члены ЕС должны обеспечить, чтобы органы публичного сектора были оснащены необходимыми ресурсами для соблюдения данной Статьи.
2. Условия для вторичного использования должны быть недискриминационными, прозрачными, соразмерными и объективно обоснованными в отношении категорий данных и целей вторичного использования, а также характера данных, для которых разрешено вторичное использование. Указанные условия не должны использоваться для ограничения конкуренции.
3. Органы публичного сектора должны, в соответствии с законодательством Союза и национальным законодательством, обеспечить сохранность защищенного характера данных. Они вправе предусмотреть следующие требования:
(a) предоставлять доступ для вторичного использования данных только в том случае, если орган публичного сектора или компетентный орган после получения запроса на вторичное использование удостоверился, что данные были:
(i) анонимизированы, в случае персональных данных; а также
(ii) модифицированы, обобщены или обработаны любым другим методом контроля раскрытия, в случае коммерческой конфиденциальной информации, включая коммерческие тайны или контент, защищенный правами интеллектуальной собственности;
(b) получать доступ и вторично использовать данные удаленно в безопасной среде обработки, которая предоставляется или контролируется органом публичного сектора;
(c) получать доступ и вторично использовать данные в пределах физических помещений, в которых расположена безопасная среда обработки в соответствии с высокими стандартами безопасности, при условии, что удаленный доступ не может быть разрешен без угрозы для прав и интересов третьих сторон.
4. В случае вторичного использования, разрешенного в соответствии с [пунктами (b)](https://bukva.ai/docs/reglament-2022868/statya-5#p100225) и [(c) параграфа 3](https://bukva.ai/docs/reglament-2022868/statya-5#p100226), органы публичного сектора должны определить условия, сохраняющие целостность функционирования технических систем используемой безопасной среды обработки. Орган публичного сектора должен сохранить за собой право проверять процесс, средства и любые результаты обработки данных, проведенной вторичным пользователем, в целях сохранения целостности защиты данных, а также должен сохранить за собой право запрещать использование результатов, которые содержат информацию, ставящую под угрозу права и интересы третьих лиц. Решение о запрете использования результатов должно быть понятным и прозрачным для вторичного пользователя.
5. Если национальное законодательство не предусматривает специальных гарантий в отношении применяемых обязательств по соблюдению конфиденциальности, относящихся к вторичному использованию данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), орган публичного сектора должен сделать условием для вторичного использования данных, предоставленных в соответствии с [параграфом 3](https://bukva.ai/docs/reglament-2022868/statya-5#p100221) настоящей Статьи, соблюдение вторичным пользователем обязательства конфиденциальности, запрещающего раскрытие любой информации, ставящей под угрозу права и интересы третьих сторон, которую вторичный пользователь мог получить, вопреки установленным гарантиям. Вторичным пользователям должно быть запрещено вторично идентифицировать любого субъекта данных, к которому относятся данные. Они должны принимать технические и оперативные меры для предотвращения вторичной идентификации и уведомлять орган публичного сектора о любом нарушении данных, приведшем к вторичной идентификации соответствующих субъектов данных. В случае неавторизованного вторичного использования неперсональных данных вторичный пользователь должен незамедлительно, при необходимости с помощью органа публичного сектора, проинформировать юридических лиц, чьи права и интересы могут быть затронуты.
6. Если вторичное использование данных не может быть разрешено в соответствии с обязательствами, установленными в [параграфах 3](https://bukva.ai/docs/reglament-2022868/statya-5#p100221) и [4](https://bukva.ai/docs/reglament-2022868/statya-5#p100227) настоящей Статьи, и отсутствует правовая основа для передачи данных в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679, орган публичного сектора должен приложить максимум усилий в соответствии с законодательством Союза и национальным законодательством для оказания помощи потенциальным вторичным пользователям в получении согласия субъектов данных или разрешения от держателей данных, чьи права и интересы могут быть затронуты вторичным использованием, если это возможно без чрезмерного бремени для органа публичного сектора. При оказании данной помощи органу публичного сектора вправе оказывать содействие компетентные органы, указанные в [Статье 7(1)](https://bukva.ai/docs/reglament-2022868/statya-7#p100263).
7. Вторичное использование данных должно разрешаться только при соблюдении прав интеллектуальной собственности. Право разработчика базы данных, предусмотренное в [Статье 7(1)](https://bukva.ai/docs/direktiva-969es/statya-7#p100135) Директивы 96/9/ЕС, не должно осуществляться органами публичного сектора в целях предотвращения вторичного использования данных или ограничения вторичного использования сверх пределов, установленных настоящим Регламентом.
8. Если запрашиваемые данные считаются конфиденциальными в соответствии с законодательством Союза или национальным законодательством о коммерческой или статистической конфиденциальности, органы публичного сектора должны обеспечить, чтобы конфиденциальные данные не были раскрыты в результате разрешения на вторичное использование, если только указанное вторичное использование не разрешено в соответствии с [параграфом 6](https://bukva.ai/docs/reglament-2022868/statya-5#p100229).
9. Если вторичный пользователь намеревается передать неперсональные данные, защищенные на основаниях, установленных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), в третью страну, он должен проинформировать орган публичного сектора о своем намерении передать данные и о целях указанной передачи в момент подачи запроса на вторичное использование данных. В случае вторичного использования в соответствии с [параграфом 6](https://bukva.ai/docs/reglament-2022868/statya-5#p100229) настоящей Статьи вторичный пользователь должен, при необходимости посредством органа публичного сектора, проинформировать юридическое лицо, чьи права и интересы могут быть затронуты, о своем намерении, о целях и надлежащих гарантиях. Орган публичного сектора не должен разрешать вторичное использование, пока юридическое лицо не даст разрешение на передачу.
10. Органы публичного сектора должны передавать неперсональные конфиденциальные данные или данные, защищенные правами интеллектуальной собственности, вторичному пользователю, который намеревается передать указанные данные в третью страну, кроме страны, указанной в соответствии с [параграфом 12](https://bukva.ai/docs/reglament-2022868/statya-5#p100238), только в том случае, если вторичный пользователь по договору обязуется:
(a) соблюдать обязательства, налагаемые в соответствии с [параграфами 7](https://bukva.ai/docs/reglament-2022868/statya-5#p100230) и [8](https://bukva.ai/docs/reglament-2022868/statya-5#p100231), даже после передачи данных в третью страну; а также
(b) признавать юрисдикцию судов или трибуналов государства-члена ЕС передающего органа публичного сектора в отношении любого спора, относящегося к соблюдению [параграфов 7](https://bukva.ai/docs/reglament-2022868/statya-5#p100230) и [8](https://bukva.ai/docs/reglament-2022868/statya-5#p100231).
11. Органы публичного сектора должны, где это целесообразно и в меру своих возможностей, предоставлять руководство и оказывать содействие вторичным пользователям в соблюдении обязательств, указанных в [параграфе 10](https://bukva.ai/docs/reglament-2022868/statya-5#p100233) настоящей Статьи.
В целях оказания помощи органам публичного сектора и вторичным пользователям, Европейская Комиссия вправе принять имплементационные акты, устанавливающие типовые договорные положения для соблюдения обязательств, указанных в [параграфе 10](https://bukva.ai/docs/reglament-2022868/statya-5#p100233) настоящей Статьи. Указанные имплементационные акты должны приниматься в соответствии с процедурой с проверкой, указанной в [Статье 33(3)](https://bukva.ai/docs/reglament-2022868/statya-33#p100533).
12. Если это обосновано в связи со значительным количеством запросов на территории Союза о вторичном использовании неперсональных данных в конкретных третьих странах, Европейская Комиссия вправе принять имплементационные акты, объявляющие, что правовые, надзорные и правоприменительные механизмы третьей страны:
(a) обеспечивают защиту интеллектуальной собственности и коммерческой тайны способом, который по существу аналогичен защите, обеспечиваемой в соответствии с законодательством Союза;
(b) эффективно применяются и исполняются; а также
(c) обеспечивают эффективную судебную защиту.
Указанные имплементационные акты должны приниматься в соответствии с процедурой с проверкой, указанной в [Статье 33(3)](https://bukva.ai/docs/reglament-2022868/statya-33#p100533).
13. Конкретные законодательные акты Союза могут рассматривать определенные категории неперсональных данных, находящихся в распоряжении органов публичного сектора, высокочувствительными для целей настоящей Статьи, если их передача в третьи страны может поставить под угрозу цели публичной политики Союза, такие как безопасность и здоровье населения, или может привести к риску вторичной идентификации неперсональных, анонимизированных данных. Если данный акт принят, Европейская Комиссия должна принять делегированные акты в соответствии со [Статьей 32](https://bukva.ai/docs/reglament-2022868/statya-32#p100521), дополняющие настоящий Регламент посредством установления специальных условий, применяемых к передаче указанных данных в третьи страны.
Указанные особые условия должны основываться на характере категорий неперсональных данных, идентифицированных в конкретном законодательном акте Союза, и на том основании, что данные категории должны считаться высокочувствительными, с учетом рисков вторичной идентификации неперсональных, анонимизированных данных. Они должны быть недискриминационными и ограничиваться тем, что необходимо для достижения целей публичной политики Союза, идентифицированных в данном акте, в соответствии с международными обязательствами Союза.
Если того требуют конкретные законодательные акты Союза, как указано в [первом подпараграфе](https://bukva.ai/docs/reglament-2022868/statya-5#p100243), особые условия могут включать условия, применяемые для передачи, или технические правила в данном отношении, ограничения на вторичное использование данных в третьих странах или на категории лиц, имеющих право передавать указанные данные в третьи страны, или, в исключительных случаях, ограничения на передачу в третьи страны.
14. Физическое или юридическое лицо, которому было предоставлено право на вторичное использование неперсональных данных, вправе передавать данные только в те третьи страны, в отношении которых выполняются требования [параграфов 10](https://bukva.ai/docs/reglament-2022868/statya-5#p100233), [12](https://bukva.ai/docs/reglament-2022868/statya-5#p100238) и [13](https://bukva.ai/docs/reglament-2022868/statya-5#p100243).
## Статья 6
### Статья 6
1. Органы публичного сектора, которые разрешают вторичное использование категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), вправе взимать плату за разрешение вторичного использования указанных данных.
2. Любые сборы, взимаемые в соответствии с [параграфом 1](https://bukva.ai/docs/reglament-2022868/statya-6#p100249), должны быть прозрачными, недискриминационными, соразмерными и объективно обоснованными и не должны ограничивать конкуренцию.
3. Органы публичного сектора должны обеспечить, чтобы любые сборы также могли быть оплачены в режиме онлайн посредством широкодоступных трансграничных платежных услуг без дискриминации по признаку места нахождения провайдера платежных услуг, места выпуска платежного инструмента или места нахождения платежного счета на территории Союза.
4. Если органы публичного сектора взимают плату, они должны принять меры по стимулированию вторичного использования категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), в некоммерческих целях, таких как научные исследования, а также SMEs и начинающими предпринимателями в соответствии с правилами государственной помощи. В данном отношении органы публичного сектора вправе также предоставлять данные по сниженной цене или бесплатно, в частности, SMEs и начинающим предпринимателям, гражданскому обществу и образовательным учреждениям. В этой связи органы публичного сектора вправе составить перечень категорий вторичных пользователей, которым данные для вторичного использования предоставляются по сниженной цене или бесплатно. Указанный перечень, а также критерии, использованные для его составления, должны быть обнародованы.
5. Любые сборы должны рассчитываться на основе расходов, связанных с проведением процедуры рассмотрения запросов на вторичное использование категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), и ограничены необходимыми расходами в отношении:
(a) воспроизведения, предоставления и распространения данных;
(b) урегулирования прав;
(c) анонимизации или иных форм подготовки персональных данных и коммерческих конфиденциальных данных, как это предусмотрено в [Статье 5(3)](https://bukva.ai/docs/reglament-2022868/statya-5#p100221);
(d) поддержания безопасной среды обработки;
(e) приобретения права на разрешение вторичного использования в соответствии с настоящей Главой третьими сторонами за пределами публичного сектора; а также
(f) оказания помощи вторичным пользователям в получении согласия от субъектов данных и разрешения от держателей данных, чьи права и интересы могут быть затронуты указанным вторичным использованием.
6. Критерии и методология расчета платы должны быть установлены государствами-членами ЕС и опубликованы. Орган публичного сектора должен опубликовать описание основных категорий расходов и правил, используемых для распределения расходов.
## Статья 7
### Статья 7
1. В целях выполнения задач, указанных в настоящей Статье, каждое государство-член ЕС должно назначить один или несколько компетентных органов, которые могут быть компетентными в определенных секторах, для оказания помощи органам публичного сектора в предоставлении или отказе в доступе для повторного использования к категориям данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194). Государства-члены ЕС вправе либо учредить один или несколько новых компетентных органов, либо полагаться на существующие органы публичного сектора или на внутренние службы органов публичного сектора, которые отвечают условиям, установленным в настоящем Регламенте.
2. Компетентные органы могут быть уполномочены предоставлять доступ для вторичного использования категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), в соответствии с законодательством Союза или национальным законодательством, которое предусматривает предоставление данного доступа. Если они предоставляют доступ или отказывают в доступе для вторичного использования, к указанным компетентным органам должны применяться [Статьи 4](https://bukva.ai/docs/reglament-2022868/statya-4#p100208), [5](https://bukva.ai/docs/reglament-2022868/statya-5#p100216), [6](https://bukva.ai/docs/reglament-2022868/statya-6#p100247) и [9](https://bukva.ai/docs/reglament-2022868/statya-9#p100279).
3. Компетентные органы должны иметь достаточные правовые, финансовые, технические и человеческие ресурсы для выполнения возложенных на них задач, включая необходимые технические знания, чтобы иметь возможность соблюдать соответствующее законодательство Союза или национальное законодательство, относящееся к режимам доступа к категориям данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194).
4. Помощь, предусмотренная в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-7#p100263), должна включать, при необходимости:
(a) оказание технической поддержки посредством предоставления безопасной среды обработки в целях обеспечения доступа для вторичного использования данных;
(b) предоставление рекомендаций и технической поддержки в отношении того, как наилучшим образом структурировать и хранить данные, чтобы сделать данные легкодоступными;
(c) предоставление технической поддержки для псевдонимизации и обеспечение обработки данных таким образом, чтобы эффективно сохранять секретность, конфиденциальность, целостность и доступность информации, содержащейся в данных, для которых разрешено вторичное использование, включая техники анонимизации, обобщения, удаления и рандомизации персональных данных или иные новейшие методы сохранения конфиденциальности, а также удаление коммерческой конфиденциальной информации, включая коммерческие тайны или контент, защищенный правами интеллектуальной собственности;
(d) оказание помощи органам публичного сектора, где это целесообразно, в предоставлении поддержки вторичным пользователям при запросе согласия на вторичное использование от субъектов данных или при запросе разрешения от держателей данных в соответствии с их конкретными решениями, включая юрисдикцию, в рамках которой предполагается осуществлять обработку данных, а также оказание помощи органам публичного сектора в создании технических механизмов, позволяющих передавать запросы на согласие или на разрешение от вторичных пользователей, где это практически осуществимо;
(e) предоставление органам публичного сектора помощи в оценке адекватности договорных обязательств, принятых вторичным пользователем в соответствии со [Статьей 5(10)](https://bukva.ai/docs/reglament-2022868/statya-5#p100233).
5. Каждое государство-член ЕС должно уведомить Европейскую Комиссию об идентификационной информации компетентных органов, назначенных в соответствии с [параграфом 1](https://bukva.ai/docs/reglament-2022868/statya-7#p100263), до 24 сентября 2023 г. Каждое государство-член ЕС также должно уведомить Европейскую Комиссию о любом последующем изменении идентификационных данных указанных компетентных органов.
## Статья 8
### Статья 8
**Единые информационные центры**
1. Государства-члены ЕС должны обеспечить, чтобы вся соответствующая информация, относящаяся к применению [Статей 5](https://bukva.ai/docs/reglament-2022868/statya-5#p100216) и [6](https://bukva.ai/docs/reglament-2022868/statya-6#p100247), имелась в наличии и была легко доступна через единый информационный центр. Государства-члены ЕС должны учредить новый орган или назначить существующий орган или структуру в качестве единого информационного центра. Единый информационный центр может быть связан с секторальными, региональными или местными информационными центрами. Функции единого информационного центра могут быть автоматизированы при условии, что орган публичного сектора обеспечивает надлежащую поддержку.
2. Единый информационный центр должен обладать полномочиями принимать запросы или просьбы о вторичном использовании категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), и должен передавать их, если это возможно и целесообразно, автоматизированными средствами компетентным органам публичного сектора или компетентным органам, указанным в [Статье 7(1)](https://bukva.ai/docs/reglament-2022868/statya-7#p100263), где это применимо. Единый информационный центр должен предоставлять доступный для электронного поиска перечень материалов, который содержит общую информацию обо всех доступных источниках данных, включая, где это целесообразно, те источники данных, которые доступны в секторальных, региональных или местных информационных центрах, с соответствующей информацией, описывающей доступные данные, включая, по меньшей мере, формат и размер данных и условия их вторичного использования.
3. Единый информационный центр вправе создать отдельный, упрощенный и хорошо документированный информационный канал для SMEs и начинающих предприятий, учитывая их потребности и возможности при запросе на вторичное использование категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194).
4. Европейская Комиссия должна учредить европейский единый центр доступа, предлагающий электронный реестр данных, доступных в национальных единых информационных центрах, с функцией поиска, а также дополнительную информацию о том, как запрашивать данные через указанные национальные единые информационные центры.
## Статья 9
### Статья 9
**Процедура запросов на вторичное использование**
1. Если в соответствии с национальным законодательством не установлены более короткие сроки, компетентные органы публичного сектора или компетентные органы, указанные в [Статье 7(1)](https://bukva.ai/docs/reglament-2022868/statya-7#p100263), должны принять решение по запросу на вторичное использование категорий данных, указанных в [Статье 3(1)](https://bukva.ai/docs/reglament-2022868/statya-3#p100194), в течение двух месяцев с даты получения запроса.
В случае исключительно обширных и сложных запросов на вторичное использование, указанный двухмесячный период может быть продлен на срок до 30 дней. В данных случаях компетентные органы публичного сектора или компетентные органы, указанные в [Статье 7(1)](https://bukva.ai/docs/reglament-2022868/statya-7#p100263), должны в кратчайший срок уведомить заявителя о том, что для проведения процедуры требуется больше времени, вместе с указанием причин задержки.
2. Любое физическое или юридическое лицо, непосредственно заинтересованное в решении, указанном в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-9#p100281), должно обладать эффективным правом на предъявление регрессного иска в государстве-члене ЕС, где находится соответствующий орган. Указанное право на предъявление регрессного иска должно быть закреплено в национальном законодательстве и должно включать возможность рассмотрения беспристрастным органом с соответствующим экспертным опытом, таким как национальный антимонопольный орган, соответствующий орган по доступу к документам, надзорный орган, учрежденный в соответствии с [Регламентом](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 или национальный судебный орган, решения которого являются обязательными для органа публичного сектора или соответствующего компетентного органа.
## Статья 10
### Глава III. ТРЕБОВАНИЯ, ПРИМЕНЯЕМЫЕ К ПОСРЕДНИЧЕСКИМ УСЛУГАМ ПО ПЕРЕДАЧЕ ДАННЫХ
### Статья 10
**Посреднические услуги по передаче данных**
Предоставление следующих посреднических услуг по передаче данных должно соответствовать [Статье 12](https://bukva.ai/docs/reglament-2022868/statya-12#p100318) и подлежит процедуре уведомления:
(a) посреднические услуги между держателями данных и потенциальными пользователями данных, включая предоставление технических или иных средств для обеспечения указанных услуг; данные услуги могут включать двусторонний или многосторонний обмен данными или создание платформ или баз данных, позволяющих обмениваться данными или совместно использовать данные, а также создание другой конкретной инфраструктуры для взаимосвязи держателей данных с пользователями данных;
(b) посреднические услуги между субъектами данных, которые стремятся сделать доступными свои персональные данные, или между физическими лицами, которые стремятся сделать доступными неперсональные данные, и между потенциальными пользователями данных, включая предоставление технических или иных средств для оказания данных услуг и, в частности, обеспечение возможности осуществления прав субъектов данных, предусмотренных в [Регламенте](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679;
**(c) услуги кооперативов данных.**
## Статья 11
### Статья 11
**Уведомление провайдерами посреднических услуг**
**по передаче данных**
1. Любой провайдер посреднических услуг по передаче данных, который намеревается предоставлять посреднические услуги по передаче данных, указанные в [Статье 10](https://bukva.ai/docs/reglament-2022868/statya-10#p100285), должен подать уведомление в компетентный орган по оказанию посреднических услуг по передаче данных.
2. Для целей настоящего Регламента провайдер посреднических услуг по передаче данных, имеющий представительства в более чем одном государстве-члене ЕС, должен считаться находящимся под юрисдикцией государства-члена ЕС, в котором он имеет свое основное представительство, без ущерба для законодательства Союза, регулирующего трансграничные иски о возмещении ущерба и соответствующие производства.
3. Провайдер посреднических услуг по передаче данных, который не учрежден в Союзе, но который предлагает посреднические услуги по передаче данных, указанные в [Статье 10](https://bukva.ai/docs/reglament-2022868/statya-10#p100285), на территории Союза, должен назначить законного представителя в одном из государств-членов ЕС, в которых предлагаются данные услуги.
В целях обеспечения соблюдения настоящего Регламента законный представитель должен быть уполномочен провайдером посреднических услуг по передаче данных действовать вместе с ним или вместо него при обращении компетентных органов по посредническим услугам по передаче данных или субъектов данных и держателей данных по всем вопросам, связанным с предоставляемыми посредническими услугами по передаче данных. Законный представитель должен сотрудничать с компетентными органами по посредническим услугам по передаче данных и всесторонне демонстрировать им, по запросу, предпринятые провайдером посреднических услуг по передаче данных действия и меры в целях обеспечения соблюдения настоящего Регламента.
Считается, что провайдер посреднических услуг по передаче данных находится под юрисдикцией государства-члена ЕС, в котором расположен его законный представитель. Назначение законного представителя провайдером посреднических услуг по передаче данных должно действовать без ущерба для любых судебных производств, которые могут быть инициированы против провайдера посреднических услуг по передаче данных.
4. После подачи уведомления в соответствии с [параграфом 1](https://bukva.ai/docs/reglament-2022868/statya-11#p100293) провайдер посреднических услуг по передаче данных вправе начать свою деятельность в соответствии с условиями, установленными в настоящей Главе.
5. Уведомление, указанное в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-11#p100293), должно давать право провайдеру посреднических услуг по передаче данных предоставлять посреднические услуги по передаче данных во всех государствах-членах ЕС.
6. Уведомление, указанное в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-11#p100293), должно включать следующую информацию:
(a) наименование провайдера посреднических услуг по передаче данных;
(b) правовой статус провайдера посреднических услуг по передаче данных, его форму, структуру собственности, соответствующие дочерние компании и, если провайдер посреднических услуг по передаче данных зарегистрирован в торговом или ином подобном публичном национальном реестре, регистрационный номер;
(c) адрес основного места нахождения провайдера посреднических услуг по передаче данных в Союзе, если таковое имеется, и, если это применимо, любого филиала в другом государстве-члене ЕС или адрес законного представителя;
(d) публичный веб-сайт, на котором можно найти полную и актуальную информацию о провайдере посреднических услуг по передаче данных и его деятельности, включая, как минимум, информацию, указанную в [пунктах (a)](https://bukva.ai/docs/reglament-2022868/statya-11#p100301), [(b)](https://bukva.ai/docs/reglament-2022868/statya-11#p100302), [(c)](https://bukva.ai/docs/reglament-2022868/statya-11#p100303) и [(f)](https://bukva.ai/docs/reglament-2022868/statya-11#p100306);
(e) контактные лица провайдера посреднических услуг по передаче данных и его контактные данные;
(f) описание посреднических услуг по передаче данных, которые провайдер посреднических услуг по передаче данных намерен предоставлять с указанием категорий, перечисленных в [Статье 10](https://bukva.ai/docs/reglament-2022868/statya-10#p100285), к которым относится указанная посредническая услуга по передаче данных;
(g) предполагаемую дату начала деятельности, если она отличается от даты уведомления.
7. Компетентный орган по посредническим услугам по передаче данных должен обеспечить, чтобы процедура уведомления была недискриминационной и не искажала конкуренцию.
8. По запросу провайдера посреднических услуг по передаче данных компетентный орган посреднических услуг по передаче данных в течение одной недели после получения надлежащим образом и полностью заполненного уведомления должен выдать стандартизированную декларацию, подтверждающую, что провайдер посреднических услуг по передаче данных предоставил уведомление, указанное в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-11#p100293), и что уведомление содержит информацию, указанную в [параграфе 6](https://bukva.ai/docs/reglament-2022868/statya-11#p100300).
9. По запросу провайдера посреднических услуг по передаче данных компетентный орган по посредническим услугам по передаче данных должен подтвердить, что провайдер посреднических услуг по передаче данных соблюдает настоящую Статью и [Статью 12](https://bukva.ai/docs/reglament-2022868/statya-12#p100318). После получения данного подтверждения провайдер посреднических услуг по передаче данных вправе использовать в своих письменных и устных сообщениях обозначение "признанный в Союзе провайдер посреднических услуг по передаче данных", а также общий логотип.
Для того чтобы признанные в Союзе провайдеры посреднических услуг по передаче данных могли быть легко идентифицированы на территории Союза, Европейская Комиссия посредством имплементационных актов должна определить дизайн общего логотипа. Признанные в Союзе провайдеры посреднических услуг по передаче данных должны четко отображать общий логотип на каждой онлайновой и офлайновой публикации, относящейся к их деятельности по посредничеству в передаче данных.
Указанные имплементационные акты должны приниматься в соответствии с консультативной процедурой, указанной в [Статье 33(2)](https://bukva.ai/docs/reglament-2022868/statya-33#p100532).
10. Компетентный орган посреднических услуг по передаче данных должен без промедления ставить в известность Европейскую Комиссию о каждом новом уведомлении с помощью электронных средств. Европейская Комиссия должна вести и регулярно обновлять публичный реестр всех провайдеров посреднических услуг по передаче данных, предоставляющих свои услуги в Союзе. Информация, указанная в [пунктах (a)](https://bukva.ai/docs/reglament-2022868/statya-11#p100301), [(b)](https://bukva.ai/docs/reglament-2022868/statya-11#p100302), [(c)](https://bukva.ai/docs/reglament-2022868/statya-11#p100303), [(d)](https://bukva.ai/docs/reglament-2022868/statya-11#p100304), [(f)](https://bukva.ai/docs/reglament-2022868/statya-11#p100306) и [(g) параграфа 6](https://bukva.ai/docs/reglament-2022868/statya-11#p100307), должна быть опубликована в публичном реестре.
11. Компетентный орган посреднических услуг по передаче данных вправе взимать плату за уведомление в соответствии с национальным законодательством. Данные сборы должны быть пропорциональными и объективными и основываться на административных расходах, связанных с мониторингом соблюдения требований и другой деятельностью по контролю рынка компетентного органа посреднических услуг по передаче данных в отношении уведомлений провайдеров посреднических услуг по передаче данных. В случае SMEs и начинающих предприятий компетентный орган посреднических услуг по передаче данных вправе взимать более низкую плату или отказаться от нее.
12. Провайдеры посреднических услуг по передаче данных должны уведомлять компетентный орган посреднических услуг по передаче данных о любых изменениях в информации, предоставленной в соответствии с [параграфом 6](https://bukva.ai/docs/reglament-2022868/statya-11#p100300), в течение 14 дней с даты изменения.
13. Если провайдер посреднических услуг по передаче данных прекращает свою деятельность, он должен в течение 15 дней уведомить соответствующий компетентный орган посреднических услуг по передаче данных, определенный в соответствии с [параграфами 1](https://bukva.ai/docs/reglament-2022868/statya-11#p100293), [2](https://bukva.ai/docs/reglament-2022868/statya-11#p100294) и [3](https://bukva.ai/docs/reglament-2022868/statya-11#p100295).
14. Компетентный орган посреднических услуг по передаче данных должен без промедления поставить в известность Европейскую Комиссию о каждом уведомлении, указанном в [параграфах 12](https://bukva.ai/docs/reglament-2022868/statya-11#p100315) и [13](https://bukva.ai/docs/reglament-2022868/statya-11#p100316), с помощью электронных средств. Европейская Комиссия должна соответствующим образом обновлять публичный реестр провайдеров посреднических услуг по передаче данных в Союзе.
## Статья 12
### Статья 12
**Условия предоставления посреднических услуг**
**по передаче данных**
Предоставление посреднических услуг по передаче данных, указанных в [Статье 10](https://bukva.ai/docs/reglament-2022868/statya-10#p100285), должно осуществляться при соблюдении следующих условий:
(a) провайдер посреднических услуг по передаче данных не должен использовать данные, в отношении которых он предоставляет посреднические услуги в передаче данных, в иных целях, чем предоставление их в распоряжение пользователей данных, и должен предоставлять посреднические услуги в передаче данных через отдельное юридическое лицо;
(b) коммерческие условия, включая ценообразование, для предоставления посреднических услуг по передаче данных держателю данных или пользователю данных не должны зависеть от того, использует ли держатель данных или пользователь данных иные услуги, предоставляемые тем же провайдером посреднических услуг по передаче данных или связанной с ним организацией, и в какой степени держатель данных или пользователь данных использует иные услуги;
(c) данные, собранные в отношении любой деятельности физического или юридического лица в целях предоставления посреднических услуг по передаче данных, включая дату, время и данные геолокации, продолжительность деятельности и связи с другими физическими или юридическими лицами, установленные лицом, использующим посредническую услугу по передаче данных, должны использоваться только в целях развития данной посреднической услуги по передаче данных, что может повлечь за собой использование данных для выявления мошенничества или кибербезопасности, и должны предоставляться держателям данных по запросу;
(d) провайдер посреднических услуг по передаче данных должен содействовать обмену данными в том формате, в котором он получает их от субъекта данных или от держателя данных, должен преобразовывать данные в конкретные форматы только в целях повышения оперативной совместимости внутри сектора и между секторами или по запросу пользователя данных, или если это предусмотрено законодательством Союза, или в целях обеспечения гармонизации с международными или европейскими стандартами данных, а также должен предлагать субъектам данных или держателям данных возможность отказаться от указанных преобразований, если только преобразование не предусмотрено законодательством Союза;
(e) посреднические услуги по передаче данных могут включать предложение дополнительных специальных инструментов и услуг держателям данных или субъектам данных с конкретной целью облегчения обмена данными, таких как временное хранение, фильтрация, преобразование, анонимизация и псевдонимизация, причем указанные инструменты должны использоваться только по явному запросу или с согласия держателя данных или субъекта данных, а инструменты третьих сторон, предлагаемые в данном контексте, не должны использоваться в других целях;
(f) провайдер посреднических услуг по передаче данных должен обеспечить, чтобы процедура доступа к его услугам была справедливой, прозрачной и недискриминационной как для субъектов данных и держателей данных, так и для пользователей данных, в том числе в отношении цен и условий предоставления услуг;
(g) провайдер посреднических услуг по передаче данных должен иметь процедуры для предотвращения практик мошенничества или злоупотреблений в отношении сторон, стремящихся получить доступ через его посреднические услуги по передаче данных;
(h) провайдер посреднических услуг по передаче данных в случае своей несостоятельности должен обеспечить разумную непрерывность предоставления своих посреднических услуг по передаче данных и, если указанные посреднические услуги по передаче данных обеспечивают хранение данных, должен иметь механизмы, позволяющие держателям данных и пользователям данных получать доступ, передавать или извлекать свои данные, а также, если указанные посреднические услуги по передаче данных предоставляются между субъектами данных и пользователями данных, механизмы, позволяющие субъектам данных осуществлять свои права;
(i) провайдер посреднических услуг по передаче данных должен принимать надлежащие меры в целях обеспечения оперативной совместимости с другими посредническими услугами по передаче данных, inter alia, посредством широко используемых открытых стандартов в секторе, в котором работает провайдер посреднических услуг в передаче данных;
(j) провайдер посреднических услуг по передаче данных должен принять адекватные технические, правовые и организационные меры для предотвращения передачи неперсональных данных или доступа к неперсональным данным, если это является незаконным в соответствии с законодательством Союза или национальным законодательством соответствующего государства-члена ЕС;
(k) провайдер посреднических услуг по передаче данных должен без промедления информировать держателей данных в случае неавторизованной передачи, неавторизованного доступа или использования неперсональных данных, которые он предоставил;
(l) провайдер посреднических услуг по передаче данных должен принять необходимые меры для обеспечения надлежащего уровня безопасности при хранении, обработке и передаче неперсональных данных, а также провайдер посреднических услуг по передаче данных должен дополнительно обеспечить наивысший уровень безопасности при хранении и передаче чувствительной антимонопольной информации;
(m) провайдер посреднических услуг по передаче данных, предлагающий услуги субъектам данных, должен действовать в наилучших интересах субъектов данных, если это способствует осуществлению их прав, в частности, посредством информирования и, при необходимости, консультирования субъектов данных в краткой, прозрачной, разборчивой и легкодоступной форме о предполагаемом использовании данных пользователями данных и стандартных условиях, связанных с данным использованием, до того, как субъекты данных дадут свое согласие;
(n) если провайдер посреднических услуг по передаче данных предоставляет инструменты для получения согласия субъектов данных или разрешений на обработку данных, предоставляемых держателями данных, он должен, где это целесообразно, указать юрисдикцию третьей страны, в которой предполагается использование данных, и предоставить субъектам данных инструменты для дачи и отзыва согласия, а держателям данных - инструменты для дачи и отзыва разрешений на обработку данных;
(o) провайдер посреднических услуг по передаче данных должен вести журнал учета деятельности по посредническим услугам по передаче данных.
## Статья 13
### Статья 13
**Компетентные органы посреднических услуг по передаче данных**
1. Каждое государство-член ЕС должно назначить один или несколько компетентных органов для выполнения задач, связанных с процедурой уведомления о посреднических услугах по передаче данных, и должно предоставить Европейской Комиссии идентификационные данные указанных компетентных органов до 24 сентября 2023 г. Каждое государство-член ЕС также должно уведомить Европейскую Комиссию о любых последующих изменениях идентификационных данных указанных компетентных органов.
2. Компетентные органы посреднических услуг по передаче данных должны соответствовать требованиям, установленным в [Статье 26](https://bukva.ai/docs/reglament-2022868/statya-26#p100459).
3. Полномочия компетентных органов посреднических услуг по передаче данных должны действовать без ущерба для полномочий органов по защите данных, национальных антимонопольных органов, органов, отвечающих за кибербезопасность, и других соответствующих секторальных органов. В соответствии со своими полномочиями, предусмотренными законодательством Союза и национальным законодательством, данные органы должны установить тесное сотрудничество и обмениваться информацией, необходимой для выполнения своих задач в отношении провайдеров посреднических услуг по передаче данных, и должны стремиться к достижению последовательности в решениях, принимаемых при применении настоящего Регламента.
## Статья 14
### Статья 14
**Мониторинг соблюдения требований**
1. Компетентные органы посреднических услуг по передаче данных должны осуществлять мониторинг и надзор за соблюдением провайдерами посреднических услуг по передаче данных требований настоящей Главы. Компетентные органы посреднических услуг по передаче данных вправе также осуществлять мониторинг и надзор за соблюдением требований провайдерами посреднических услуг по передаче данных на основании запроса физического или юридического лица.
2. Компетентные органы посреднических услуг по передаче данных должны иметь право запрашивать у провайдеров посреднических услуг по передаче данных или у их законных представителей всю информацию, необходимую для проверки соблюдения требований настоящей Главы. Любой запрос информации должен быть соразмерен выполнению задачи и должен быть обоснован.
3. Если компетентный орган посреднических услуг по передаче данных обнаруживает, что провайдер посреднических услуг по передаче данных не соблюдает одно или несколько требований настоящей Главы, он должен уведомить указанного поставщика посреднических услуг по передаче данных о своих выводах и дать ему возможность предоставить свое мнение в течение 30 дней с момента получения уведомления.
4. Компетентный орган посреднических услуг по передаче данных должен иметь право требовать прекращения нарушения, указанного в [параграфе 3](https://bukva.ai/docs/reglament-2022868/statya-14#p100345), в разумные сроки или немедленно в случае серьезного нарушения и должен принять надлежащие и соразмерные меры в целях обеспечения соблюдения требований. В этой связи компетентный орган посреднических услуг по передаче данных имеет право в соответствующих случаях:
(a) налагать посредством административных процедур сдерживающие финансовые санкции, которые могут включать периодические штрафные платежи и санкции с обратной силой, возбуждать судебное разбирательство для наложения штрафов или и то, и другое;
(b) потребовать отложить начало или приостановить предоставление посреднических услуг по передаче данных до внесения любых, запрошенных компетентным органом посреднических услуг по передаче данных, изменений в условия; или
(c) потребовать прекращения предоставления посреднических услуг по передаче данных в случае, если серьезные или повторяющиеся нарушения не были устранены, несмотря на предварительное уведомление в соответствии с [параграфом 3](https://bukva.ai/docs/reglament-2022868/statya-14#p100345).
Компетентный орган посреднических услуг по передаче данных должен обратиться в Европейскую Комиссию с запросом об исключении провайдера посреднических услуг по передаче данных из реестра провайдеров посреднических услуг по передаче данных после того, как он отдал распоряжение о прекращении предоставления посреднических услуг по передаче данных в соответствии с [первым параграфом](https://bukva.ai/docs/reglament-2022868/statya-14#p100343), [пункт (c)](https://bukva.ai/docs/reglament-2022868/statya-14#p100349).
Если провайдер посреднических услуг по передаче данных устраняет нарушения, данный провайдер посреднических услуг по передаче данных должен вторично уведомить компетентный орган посреднических услуг по передаче данных. Компетентный орган посреднических услуг по передаче данных должен уведомить Европейскую Комиссию о каждом новом вторичном уведомлении.
5. Если провайдер посреднических услуг по передаче данных, не учрежденный в Союзе, не назначает законного представителя или законный представитель не предоставляет по запросу компетентного органа посреднических услуг по передаче данных необходимую информацию, исчерпывающе демонстрирующую соблюдение настоящего Регламента, компетентный орган посреднических услуг по передаче данных должен иметь право отложить начало или приостановить предоставление посреднических услуг по передаче данных до назначения законного представителя или предоставления необходимой информации.
6. Компетентные органы посреднических услуг по передаче данных должны уведомить соответствующего провайдера посреднических услуг по передаче данных о мерах, принятых в соответствии с [параграфами 4](https://bukva.ai/docs/reglament-2022868/statya-14#p100346) и [5](https://bukva.ai/docs/reglament-2022868/statya-14#p100352), и их основаниях, а также о необходимых шагах, которые должны быть предприняты в целях устранения соответствующих недостатков, без промедления, и должны установить разумный срок, который не должен превышать 30 дней, для выполнения указанных мер провайдером посреднических услуг по передаче данных.
7. Если провайдер посреднических услуг по передаче данных имеет свое основное место нахождения или законного представителя в государстве-члене ЕС, но предоставляет услуги в других государствах-членах ЕС, компетентный орган посреднических услуг по передаче данных государства-члена ЕС, в котором находится основное место нахождения или законный представитель, и компетентные органы посреднических услуг по передаче данных других государств-членов ЕС должны сотрудничать и оказывать содействие друг другу. Указанные содействие и сотрудничество могут включать обмен информацией между заинтересованными компетентными органами посреднических услуг по передаче данных в целях выполнения их задач в соответствии с настоящим Регламентом и мотивированные запросы о принятии мер, указанных в настоящей Статье.
Если компетентный орган посреднических услуг по передаче данных в одном государстве-члене ЕС запрашивает помощь у компетентного органа посреднических услуг по передаче данных в другом государстве-члене ЕС, он должен предоставить мотивированный запрос. Компетентный орган посреднических услуг по передаче данных должен, после получения запроса, предоставить ответ без промедления и в сроки, пропорциональные срочности запроса.
Любая информация, обмен которой осуществляется в контексте помощи, запрошенной и предоставленной в соответствии с настоящим параграфом, должна использоваться только в отношении вопроса, по которому она была запрошена.
## Статья 15
### Статья 15
Настоящая Глава не должна применяться к признанным альтруистическим организациям по обмену данными или к другим некоммерческим организациям в той мере, в которой их деятельность состоит из сбора данных в общественных интересах, предоставленных физическими или юридическими лицами на основе альтруизма в отношении данных, за исключением случаев, когда указанные организации и юридические лица имеют целью установить коммерческие отношения между неопределенным числом субъектов данных и владельцев данных, с одной стороны, и пользователей данных, с другой стороны.
## Статья 16
### Глава IV. АЛЬТРУИЗМ В ОТНОШЕНИИ ДАННЫХ
### Статья 16
**Национальные механизмы для альтруизма в отношении данных**
Государства-члены ЕС могут иметь организационные или технические меры, или и то, и другое, для содействия альтруизму в отношении данных. В этой связи государства-члены ЕС вправе разработать национальные политики, связанные с альтруизмом в отношении данных. Указанные национальные политики могут, в частности, помочь субъектам данных предоставить относящиеся к ним персональные данные, хранящиеся в организациях государственного сектора, на добровольной основе в целях альтруизма в отношении данных и указать необходимую информацию, которая должна быть предоставлена субъектам данных в отношении вторичного использования их данных в общественных интересах.
Если государство-член ЕС разрабатывает указанные национальные политики, оно должно уведомить об этом Европейскую Комиссию.
## Статья 17
### Статья 17
**Публичные реестры признанных альтруистических**
**организаций по предоставлению данных**
1. Каждый компетентный орган по регистрации альтруистических организаций по обмену данными должен вести и регулярно обновлять публичный национальный реестр признанных альтруистических организаций по обмену данными.
2. Европейская Комиссия должна вести публичный союзный реестр признанных альтруистических организаций по обмену данными в информационных целях. При условии, что организация зарегистрирована в публичном национальном реестре признанных альтруистических организаций по обмену данными в соответствии со [Статьей 18](https://bukva.ai/docs/reglament-2022868/statya-18#p100371), она вправе использовать в своих письменных и устных сообщениях обозначение "альтруистическая организация по обмену данными, признанная в Союзе", а также общий логотип.
Для того чтобы признанные альтруистические организации по обмену данными могли быть легко идентифицированы на территории Союза, Европейская Комиссия посредством имплементационных актов должна определить дизайн общего логотипа. Признанные альтруистические организации по обмену данными должны четко отображать общий логотип на каждой онлайновой и офлайновой публикации, относящейся к их деятельности по альтруизму в отношении данных. Общий логотип должен сопровождаться QR-кодом со ссылкой на публичный реестр Союза признанных альтруистических организаций по обмену данными.
Указанные имплементационные акты должны приниматься в соответствии с консультативной процедурой, указанной в [Статье 33(2)](https://bukva.ai/docs/reglament-2022868/statya-33#p100532).
## Статья 18
### Статья 18
**Общие требования для регистрации**
Для того чтобы соответствовать требованиям для регистрации в публичном национальном реестре признанных альтруистических организаций по обмену данными, организация должна:
(a) осуществлять альтруистическую деятельность в отношении данных;
(b) быть юридическим лицом, учрежденным в соответствии с национальным законодательством для достижения целей, представляющих общественный интерес, как предусмотрено в национальном законодательстве, где это применимо;
(c) функционировать на некоммерческой основе и быть юридически независимым от любой организации, действующей на коммерческой основе;
(d) осуществлять свою альтруистическую деятельность в отношении данных через структуру, которая функционально отделена от других видов деятельности;
(e) соблюдать свод правил, указанный в [Статье 22(1)](https://bukva.ai/docs/reglament-2022868/statya-22#p100427), не позднее чем через 18 месяцев после даты вступления в силу делегированных актов, указанных в данном [параграфе](https://bukva.ai/docs/reglament-2022868/statya-22#p100427).
## Статья 19
### Статья 19
**Регистрация признанных альтруистических организаций**
**по обмену данными**
1. Организация, которая отвечает требованиям [Статьи 18](https://bukva.ai/docs/reglament-2022868/statya-18#p100371), вправе подать заявление на регистрацию в публичном национальном реестре признанных альтруистических организаций по обмену данными в государстве-члене ЕС, в котором она учреждена.
2. Организация, которая отвечает требованиям [Статьи 18](https://bukva.ai/docs/reglament-2022868/statya-18#p100371) и имеет места нахождения в более чем одном государстве-члене ЕС, вправе подать заявление на регистрацию в публичном национальном реестре признанных альтруистических организаций по обмену данными в государстве-члене ЕС, в котором она имеет свое основное место нахождения.
3. Организация, которая отвечает требованиям [Статьи 18](https://bukva.ai/docs/reglament-2022868/statya-18#p100371), но не учрежденная в Союзе, должна назначить законного представителя в одном из государств-членов ЕС, в котором предлагаются альтруистические услуги по обмену данными.
В целях обеспечения соблюдения настоящего Регламента законный представитель должен быть уполномочен организацией действовать вместе с нею или вместо нее при обращении компетентных органов для регистрации альтруистических организаций по обмену данными или субъектов данных и держателей данных по всем вопросам, относящимся к указанной организации. Законный представитель должен сотрудничать с компетентными органами при регистрации альтруистических организаций по обмену данными и, по запросу, подробно демонстрировать им действия и меры, предпринятые организацией в целях обеспечения соблюдения настоящего Регламента.
Считается, что организация находится под юрисдикцией государства-члена ЕС, в котором расположен ее законный представитель. Указанная организация вправе подать заявку на регистрацию в публичном национальном реестре признанных альтруистических организаций по обмену данными в данном государстве-члене ЕС. Назначение организацией законного представителя должно действовать без ущерба для любых судебных разбирательств, которые могут быть возбуждены против организации.
4. Заявления о регистрации, указанные в [параграфах 1](https://bukva.ai/docs/reglament-2022868/statya-19#p100381), [2](https://bukva.ai/docs/reglament-2022868/statya-19#p100382) и [3](https://bukva.ai/docs/reglament-2022868/statya-19#p100383), должны содержать следующую информацию:
(a) наименование организации;
(b) юридический статус организации, ее форму и, если организация зарегистрирована в публичном национальном реестре, регистрационный номер;
(c) устав организации, где это целесообразно;
(d) источники дохода организации;
(e) адрес основного места нахождения организации в Союзе, при наличии, и, если это применимо, любого филиала в другом государстве-члене ЕС или адрес законного представителя;
(f) публичный веб-сайт, на котором можно найти полную и актуальную информацию о организации и ее деятельности, включая, как минимум, информацию, указанную в [пунктах (a)](https://bukva.ai/docs/reglament-2022868/statya-19#p100387), [(b)](https://bukva.ai/docs/reglament-2022868/statya-19#p100388), [(d)](https://bukva.ai/docs/reglament-2022868/statya-19#p100390), [(e)](https://bukva.ai/docs/reglament-2022868/statya-19#p100391) и [(h)](https://bukva.ai/docs/reglament-2022868/statya-19#p100394);
(g) контактные лица организации и их контактные данные;
(h) цели общественного интереса, которые она намерена продвигать при сборе данных;
(i) характер данных, которые организация намерена контролировать или обрабатывать, и, в случае персональных данных, указание категорий персональных данных;
(j) любые другие документы, свидетельствующие о соответствии требованиям [Статьи 18](https://bukva.ai/docs/reglament-2022868/statya-18#p100371).
5. Если организация предоставила всю необходимую информацию в соответствии с [параграфом 4](https://bukva.ai/docs/reglament-2022868/statya-19#p100386) и после того, как компетентный орган регистрации альтруистических организаций по обмену данными оценит заявление на регистрацию и установит, что организация соответствует требованиям [Статьи 18](https://bukva.ai/docs/reglament-2022868/statya-18#p100371), он должен зарегистрировать организацию в публичном национальном реестре признанных альтруистических организаций по обмену данными в течение 12 недель после получения заявления на регистрацию. Регистрация должна быть действительна во всех государствах-членах ЕС.
Компетентный орган по регистрации альтруистических организаций по обмену данными должен уведомить Европейскую Комиссию о любой регистрации. Европейская Комиссия должна включить данную регистрацию в публичный реестр Союза признанных альтруистических организаций по обмену данными.
6. Информация, указанная в [пунктах (a)](https://bukva.ai/docs/reglament-2022868/statya-19#p100387), [(b)](https://bukva.ai/docs/reglament-2022868/statya-19#p100388), [(f)](https://bukva.ai/docs/reglament-2022868/statya-19#p100392), [(g)](https://bukva.ai/docs/reglament-2022868/statya-19#p100393) и [(h) параграфа 4](https://bukva.ai/docs/reglament-2022868/statya-19#p100394), должна быть опубликована в соответствующем публичном национальном реестре признанных альтруистических организаций по обмену данными.
7. Признанная альтруистическая организация по обмену данными должна уведомить соответствующий компетентный орган по регистрации альтруистических организаций по обмену данными о любых изменениях в информации, предоставленной в соответствии с [параграфом 4](https://bukva.ai/docs/reglament-2022868/statya-19#p100386), в течение 14 дней с даты изменения.
Компетентный орган по регистрации альтруистических организаций по обмену данными должен без промедления ставить в известность Европейскую Комиссию о каждом уведомлении с помощью электронных средств. На основании указанного уведомления Европейская Комиссия должна незамедлительно обновлять публичный реестр Союза признанных альтруистических организаций по обмену данными.
## Статья 20
### Статья 20
**Требования прозрачности**
1. Признанная альтруистическая организация по обмену данными должна вести полный и точный учет в отношении:
(a) всех физических или юридических лиц, которым была предоставлена возможность обрабатывать данные, находящиеся в распоряжении указанной признанной альтруистической организации по обмену данными, и их контактные данные;
(b) даты или продолжительности обработки персональных данных или использования неперсональных данных;
(c) цели обработки, заявленной физическим или юридическим лицом, которому была предоставлена возможность обработки;
(d) вознаграждения, выплаченного физическими или юридическими лицами, обрабатывающими данные, при наличии.
2. Признанная альтруистическая организация по обмену данными должна составлять и передавать в соответствующий компетентный орган регистрации альтруистических организаций по обмену данными ежегодный отчет о деятельности, который должен содержать, по меньшей мере, следующее:
(a) информацию о деятельности признанной альтруистической организации по обмену данными;
(b) описание способа продвижения представляющих общественный интерес целей, для которых собирались данные, в течение указанного финансового года;
(c) список всех физических и юридических лиц, которым было разрешено обрабатывать имеющиеся у нее данные, включая краткое описание целей общественного интереса, преследуемых указанной обработкой данных, и описание технических средств, использованных с данной целью, включая описание техник, использованных для сохранения конфиденциальности и защиты данных;
(d) краткое описание результатов обработки данных, разрешенной признанной альтруистической организацией по обмену данными, если это применимо;
(e) информацию об источниках доходов признанной альтруистической организации по обмену данными, в частности, обо всех доходах от предоставления доступа к данным, и о расходах.
## Статья 21
### Статья 21
**Особые требования в отношении защиты прав и интересов**
**субъектов данных и держателей данных в отношении их данных**
1. Признанная альтруистическая организация по обмену данными должна информировать субъектов данных или держателей данных до любой обработки их данных ясным и легко доступным способом о:
(a) целях общего интереса и, если это применимо, о конкретной, явной и законной цели, для которой персональные данные подлежат обработке, и для которой она разрешает обработку их данных пользователем данных;
(b) местонахождении и цели общего интереса, для которых она разрешает любую обработку, осуществляемую в третьей стране, если обработка осуществляется признанной альтруистической организацией по обмену данными.
2. Признанная альтруистическая организация по обмену данными не должна использовать данные для других целей, кроме целей общественного интереса, для которых субъект данных или держатель данных разрешает обработку. Признанная альтруистическая организация по обмену данными не должна использовать вводящие в заблуждение маркетинговые практики, чтобы добиваться предоставления данных.
3. Признанная альтруистическая организация по обмену данными должна предоставлять инструменты для получения согласия от субъектов данных или разрешения на обработку данных, предоставляемых держателями данных. Признанная альтруистическая организация по обмену данными также должна предоставлять инструменты для несложного отзыва согласия или разрешения.
4. Признанная альтруистическая организация по обмену данными должна принять меры для обеспечения надлежащего уровня безопасности хранения и обработки неперсональных данных, которые она собрала на основе альтруизма в отношении данных.
5. Признанная альтруистическая организация по обмену данными должна без промедления информировать держателей данных в случае любой неавторизованной передачи, доступа к данным или использования предоставленных ею неперсональных данных.
6. Если признанная альтруистическая организация по обмену данными облегчает обработку данных третьими сторонами, в том числе посредством предоставления инструментов для получения согласия субъектов данных или разрешений на обработку данных, предоставленных держателями данных, она должна, при необходимости, указать юрисдикцию третьей страны, в которой предполагается использование данных.
## Статья 22
### Статья 22
1. Европейская Комиссия должна принять делегированные акты в соответствии со [Статьей 32](https://bukva.ai/docs/reglament-2022868/statya-32#p100521), дополняющие настоящий Регламент посредством создания свода правил, устанавливающего:
(a) надлежащие информационные требования в целях обеспечения предоставления субъектам данных и держателям данных до получения согласия или разрешения на альтруизм в отношении данных достаточно подробной, ясной и прозрачной информации об использовании данных, инструментах предоставления и отзыва согласия или разрешения, а также о мерах, принятых во избежание неправомерного использования данных, переданных альтруистической организации по обмену данными;
(b) соответствующие технические требования и требования безопасности для обеспечения надлежащего уровня безопасности хранения и обработки данных, а также инструментов для дачи и отзыва согласия или разрешения;
(c) коммуникационные схемы с использованием междисциплинарного подхода для повышения осведомленности об альтруизме в отношении данных, о присвоении статуса "альтруистическая организация по обмену данными, признанная в Союзе" и о своде правил среди соответствующих участников, в частности, среди держателей данных и субъектов данных, которые потенциально могут обмениваться своими данными;
(d) рекомендации по соответствующим стандартам оперативной совместимости.
2. Свод правил, указанный в [параграфе 1](https://bukva.ai/docs/reglament-2022868/statya-22#p100427), должен быть подготовлен в тесном сотрудничестве с альтруистическими организациями по обмену данными и заинтересованными участниками.
## Статья 23
### Статья 23
**Компетентные органы для регистрации альтруистических**
**организаций по обмену данными**
1. Каждое государство-член ЕС должно назначить один или несколько компетентных органов, ответственных за публичный национальный реестр признанных альтруистических организаций по обмену данными.
Компетентные органы по регистрации альтруистических организаций по обмену данными должны соответствовать требованиям, установленным в [Статье 26](https://bukva.ai/docs/reglament-2022868/statya-26#p100459).
2. Каждое государство-член ЕС должно уведомить Европейскую Комиссию об идентификационных данных своих компетентных органов по регистрации альтруистических организаций по обмену данными до 24 сентября 2023 г. Каждое государство-член ЕС также должно уведомить Европейскую Комиссию о любых последующих изменениях в идентификационных данных указанных компетентных органов.
3. Компетентный орган регистрации альтруистических организаций по обмену данными государства-члена ЕС должен выполнять свои задачи в сотрудничестве с соответствующим органом по защите данных, если указанные задачи связаны с обработкой персональных данных, и с соответствующими секторальными органами данного государства-члена ЕС.
## Статья 24
### Статья 24
**Мониторинг соблюдения требований**
1. Компетентные органы регистрации альтруистических организаций по обмену данными должны осуществлять мониторинг и надзор за соблюдением признанными альтруистическими организациями по обмену данными требований, установленных в настоящей Главе. Компетентный орган регистрации альтруистических организаций по обмену данными также вправе осуществлять мониторинг и надзор за соблюдением требований указанных признанных альтруистических организаций по обмену данными на основании запроса от физического или юридического лица.
2. Компетентные органы регистрации альтруистических организаций по обмену данными должны обладать полномочиями запрашивать у признанных альтруистических организаций по обмену данными информацию, необходимую для проверки соблюдения требований настоящей Главы. Любой запрос информации должен быть соразмерен выполнению задачи и должен быть обоснован.
3. Если компетентный орган регистрации альтруистических организаций по обмену данными обнаружит, что признанная альтруистическая организация по обмену данными не соответствует одному или нескольким требованиям настоящей Главы, он должен уведомить признанную альтруистическую организацию по обмену данными о своих выводах и предоставить ей возможность высказать свое мнение в течение 30 дней с момента получения уведомления.
4. Компетентный орган регистрации альтруистических организаций по обмену данными должен обладать полномочиями потребовать прекращения нарушения, указанного в [параграфе 3](https://bukva.ai/docs/reglament-2022868/statya-24#p100443), либо немедленно, либо в течение разумного срока, и должен принять надлежащие и соразмерные меры в целях обеспечения соблюдения требований.
5. Если признанная альтруистическая организация по обмену данными не соблюдает одно или несколько требований настоящей Главы даже после получения уведомления от компетентного органа регистрации альтруистических организаций по обмену данными в соответствии с [параграфом 3](https://bukva.ai/docs/reglament-2022868/statya-24#p100443), то указанная признанная альтруистическая организация по обмену данными должна:
(a) потерять свое право на использование наименования "альтруистическая организация по обмену данными, признанная в Союзе" в любых письменных и устных сообщениях;
(b) быть удалена из соответствующего публичного национального реестра признанных альтруистических организаций по обмену данными и из публичного реестра признанных альтруистических организаций по обмену данными Союза.
Любое решение об отмене права использования наименования "альтруистическая организация по обмену данными, признанная в Союзе" в соответствии с [пунктом (a) первого подпараграфа](https://bukva.ai/docs/reglament-2022868/statya-24#p100446), должно быть обнародовано компетентным органом регистрации альтруистических организаций по обмену данными.
6. Если признанная альтруистическая организация по обмену данными имеет свое основное место нахождения или законного представителя в государстве-члене ЕС, но действует в других государствах-членах ЕС, компетентный орган регистрации альтруистических организаций по обмену данными государства-члена ЕС, где находится основное место нахождения или законный представитель, и компетентные органы регистрации альтруистических организаций по обмену данными других государств-членов ЕС должны сотрудничать и оказывать друг другу помощь. Данное содействие и сотрудничество могут включать обмен информацией между соответствующими компетентными органами регистрации альтруистических организаций по обмену данными в целях выполнения ими своих задач в соответствии с настоящим Регламентом и мотивированных запросов о принятии мер, указанных в настоящей Статье.
Если компетентный орган регистрации альтруистических организаций по обмену данными в одном государстве-члене ЕС просит о содействии компетентный орган регистрации альтруистических организаций по обмену данными в другом государстве-члене ЕС, он должен предоставить мотивированный запрос. Компетентный орган регистрации альтруистических организаций по обмену данными должен по такому запросу предоставить ответ без промедления и в сроки, пропорциональные срочности запроса.
Любая информация, обмен которой осуществляется в контексте помощи, запрашиваемой и предоставляемой в соответствии с настоящим параграфом, должна использоваться только в отношении вопросов, по которым она запрашивается.
## Статья 25
### Статья 25
**Европейская форма согласия на предоставление**
**данных на основе альтруизма**
1. В целях облегчения сбора данных, основанных на альтруизме в отношении данных Европейская Комиссия должна принять имплементационные акты, устанавливающие и разрабатывающие европейскую форму согласия на предоставление данных на основе альтруизма, после консультаций с Европейским комитетом по защите данных, с учетом рекомендаций Европейского комитета по инновациям в области данных и с надлежащим привлечением заинтересованных участников. Форма должна позволять получение согласия или разрешения в государствах-членах ЕС в едином формате. Указанные имплементационные акты должны приниматься в соответствии с консультативной процедурой, указанной в [Статье 33(2)](https://bukva.ai/docs/reglament-2022868/statya-33#p100532).
2. Европейская форма согласия на предоставление данных на основе альтруизма должна использовать модульный подход, позволяющий адаптировать ее для конкретных секторов и для различных целей.
3. В случае предоставления персональных данных европейская форма согласия на предоставление данных на основе альтруизма должна обеспечивать, чтобы субъекты данных могли дать согласие на конкретную операцию по обработке данных и отозвать свое согласие в соответствии с требованиями [Регламента](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679.
4. Форма должна быть доступна в печатном и легком для понимания формате, а также в электронном, машиночитаемом формате.
## Статья 26
### Глава V. КОМПЕТЕНТНЫЕ ОРГАНЫ И ПРОЦЕССУАЛЬНЫЕ ПОЛОЖЕНИЯ
### Статья 26
**Требования, относящиеся к компетентным органам**
1. Компетентные органы посреднических услуг по передаче данных и компетентные органы регистрации альтруистических организаций по обмену данными и любые провайдеры посреднических услуг по передаче данных или признанные альтруистические организации по обмену данными должны являться юридически отдельными структурами и быть функционально независимыми друг от друга. Функции компетентных органов посреднических услуг по передаче данных и компетентных органов регистрации альтруистических организаций по обмену данными могут выполняться одним и тем же органом. Государства-члены ЕС вправе либо учредить один или несколько новых органов для данных целей, либо использовать уже существующие.
2. Компетентные органы посреднических услуг по передаче данных и компетентные органы регистрации альтруистических организаций по обмену данными должны выполнять свои задачи беспристрастно, прозрачно, последовательно, надежно и своевременно. При выполнении своих задач они должны обеспечивать честную конкуренцию и недискриминацию.
3. Руководство высшего уровня и персонал, ответственный за выполнение соответствующих задач компетентных органов посреднических услуг по передаче данных и компетентных органов регистрации альтруистических организаций по обмену данными, не должны являться разработчиками, производителями, поставщиками, установщиками, покупателями, владельцами, пользователями услуг или работниками сферы услуг, которые они оценивают, а также авторизованными представителями любой из указанных сторон. Это не должно препятствовать использованию оцениваемых услуг, необходимых для деятельности компетентного органа посреднических услуг по передаче данных и компетентного органа регистрации альтруистических организаций по обмену данными, или использованию указанных услуг в личных целях.
4. Руководство высшего уровня и персонал компетентных органов посреднических услуг по передаче данных и компетентных органов регистрации альтруистических организаций по обмену данными не должны заниматься какой-либо деятельностью, которая может противоречить их независимому суждению или добросовестности в отношении порученной им деятельности по оценке.
5. Компетентные органы посреднических услуг по передаче данных и компетентные органы регистрации альтруистических организаций по обмену данными должны иметь в своем распоряжении достаточные финансовые и человеческие ресурсы для выполнения возложенных на них задач, включая необходимые технические знания и ресурсы.
6. Компетентные органы посреднических услуг по передаче данных и компетентные органы регистрации альтруистических организаций по обмену данными государства-члена ЕС должны предоставлять Европейской Комиссии и компетентным органам посреднических услуг по передаче данных и компетентным органам регистрации альтруистических организаций по обмену данными других государств-членов ЕС по мотивированному запросу и без промедления информацию, необходимую для выполнения их задач в соответствии с настоящим Регламентом. Если компетентный орган посреднических услуг по передаче данных или компетентный орган регистрации альтруистических организаций по обмену данными считает запрашиваемую информацию конфиденциальной в соответствии с законодательством Союза и национальным законодательством о коммерческой и профессиональной тайне, Европейская Комиссия и любые другие заинтересованные компетентные органы посреднических услуг по передаче данных или компетентные органы регистрации альтруистических организаций по обмену данными должны обеспечить надлежащую конфиденциальность.
## Статья 27
###
Статья 27
**Право на подачу жалобы**
**(b) о средствах правовой защиты, предусмотренных в [Статье 28](https://bukva.ai/docs/reglament-2022868/statya-28#p100473).**
## Статья 28
### Статья 28
**Право на эффективную судебную защиту**
1. Несмотря на любые административные или иные внесудебные средства правовой защиты, любые заинтересованные физические и юридические лица должны иметь право на эффективную судебную защиту в отношении юридически обязательных решений, указанных в [Статье 14](https://bukva.ai/docs/reglament-2022868/statya-14#p100341), принятых компетентными органами посреднических услуг по передаче данных при управлении, контроле и исполнении режима уведомления для провайдеров посреднических услуг по передаче данных, и юридически обязательных решений, указанных в [Статьях 19](https://bukva.ai/docs/reglament-2022868/statya-19#p100379) и [24](https://bukva.ai/docs/reglament-2022868/statya-24#p100439), принятых компетентными органами регистрации альтруистических организаций по обмену данными, в отношении мониторинга признанных альтруистических организаций по обмену данными.
2. Производство в соответствии с настоящей Статьей должно возбуждаться в судах или трибуналах государства-члена ЕС компетентного органа посреднических услуг по передаче данных или компетентного органа регистрации альтруистических организаций по обмену данными, в отношении которых запрашивается судебная защита, индивидуально или, в соответствующих случаях, коллективно представителями одного или нескольких физических или юридических лиц.
3. Если компетентный орган посреднических услуг по передаче данных или компетентный орган регистрации альтруистических организаций по обмену данными не принимает мер по жалобе, все пострадавшие физические и юридические лица должны, в соответствии с национальным законодательством, либо иметь право на эффективную судебную защиту, либо на доступ к рассмотрению по апелляции беспристрастным органом, обладающим соответствующей компетенцией.
## Статья 29
###
Глава VI. ЕВРОПЕЙСКИЙ КОМИТЕТ ПО ИННОВАЦИЯМ В ОБЛАСТИ ДАННЫХ
###
Статья 29
**Европейский комитет по инновациям в области данных**
## Статья 30
###
Статья 30
**Задачи Европейского комитета по инновациям в области данных**
## Статья 31
###
Глава VII. МЕЖДУНАРОДНЫЙ ДОСТУП И ПЕРЕДАЧА
###
Статья 31
**Международный доступ и передача**
## Статья 32
###
Глава VIII. ДЕЛЕГИРОВАНИЕ И ПОРЯДОК РАБОТЫ КОМИТЕТА
###
Статья 32
**Осуществление делегирования**
## Статья 33
###
Статья 33
**Порядок работы Комитета**
## Статья 34
###
Глава IX. ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ
###
Статья 34
**(a) характер, тяжесть, масштаб и продолжительность нарушения;**
**(b) любые действия, предпринятые провайдером посреднических услуг по передаче данных или признанной альтруистической организацией по обмену данными в целях смягчения или устранения ущерба, причиненного нарушением;**
**(c) любые предыдущие нарушения со стороны провайдера посреднических услуг по передаче данных или признанной альтруистической организацией по обмену данными;**
**(d) финансовые выгоды, полученные провайдером посреднических услуг по передаче данных или признанной альтруистической организацией по обмену данными или убытки, которых удалось им избежать, в результате нарушения, в той мере, в которой выгоды или убытки могут быть достоверно установлены;**
**(e) любые другие отягчающие или смягчающие факторы, применимые к обстоятельствам дела.**
## Статья 35
###
Статья 35
## Статья 36
###
Статья 36
**Изменения Регламента (ЕС) 2018/1724**
| Жизненные события | Процедуры | Ожидаемый результат при условии оценки заявки компетентным органом в соответствии с национальным законодательством, если это целесообразно |
| Открытие, ведение и закрытие бизнеса | Уведомление о предпринимательской деятельности, разрешение на осуществление предпринимательской деятельности, изменение предпринимательской деятельности и прекращение предпринимательской деятельности, не связанное с процедурами банкротства или ликвидации, исключая первоначальную регистрацию предпринимательской деятельности в реестре предпринимателей и исключая процедуры, относящиеся к созданию или последующей регистрации компаний или фирм в значении второго параграфа Статьи 54 TFEU. | Подтверждение получения уведомления или изменения, или запроса на получение разрешения на предпринимательскую деятельность |
| Регистрация работодателя (физического лица) в системах обязательного пенсионного обеспечения и страхования | Подтверждение регистрации или регистрационного номера социального страхования |
| Регистрация работников в системах обязательного пенсионного обеспечения и страхования | Подтверждение регистрации или регистрационного номера социального страхования |
| Представление декларации по корпоративному налогу | Подтверждение получения декларации |
| Уведомление систем социального обеспечения об окончании контракта с работником, за исключением процедур коллективного расторжения контрактов с работниками | Подтверждение получения уведомления |
| Уплата социальных взносов за работников | Квитанция или иная форма подтверждения уплаты социальных взносов за работников |
| Уведомление провайдера посреднических услуг по передаче данных | Подтверждение получения уведомления |
| Регистрация в качестве альтруистической организации по обмену данными, признанной в Союзе | Подтверждение регистрации |
## Статья 37
### Статья 37
**Организации, предоставляющие посреднические услуги по передаче данных, указанные в [Статье 10](https://bukva.ai/docs/reglament-2022868/statya-10#p100285), на 23 июня 2022 г., должны выполнить обязательства, установленные в [Главе III](https://bukva.ai/docs/reglament-2022868/statya-10#p100284), до 24 сентября 2025 г.**
## Статья 38
###
Статья 38
Совершено в Брюсселе 30 мая 2022 г.
**REGULATION (EU) No. 2022/868**
**OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL**
**ON EUROPEAN DATA GOVERNANCE AND AMENDING**
**REGULATION (EU) 2018/1724 (DATA GOVERNANCE ACT)**
**(Brussels, 30.V.2022)**
(Text with EEA relevance)
The European Parliament and the Council of the European Union,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee <*>,
---
<*> OJ C 286, 16.7.2021, p. 38.
After consulting the Committee of the Regions,
Acting in accordance with the ordinary legislative procedure <*>,
---
<*> Position of the European Parliament of 6 April 2022 (not yet published in the Official Journal) and decision of the Council of 16 May 2022.
Whereas:
(1) The Treaty on the Functioning of the European Union (TFEU) provides for the establishment of an internal market and the institution of a system ensuring that competition in the internal market is not distorted. The establishment of common rules and practices in the Member States relating to the development of a framework for data governance should contribute to the achievement of those objectives, while fully respecting fundamental rights. It should also guarantee the strengthening of the open strategic autonomy of the Union while fostering international free flow of data.
(2) Over the last decade, digital technologies have transformed the economy and society, affecting all sectors of activity and daily life. Data is at the centre of that transformation: data-driven innovation will bring enormous benefits to both Union citizens and the economy, for example by improving and personalising medicine, providing new mobility, and contributing to the communication of the Commission of 11 December 2019 on the European Green Deal. In order to make the data-driven economy inclusive for all Union citizens, particular attention must be paid to reducing the digital divide, boosting the participation of women in the data economy and fostering cutting-edge European expertise in the technology sector. The data economy has to be built in a way that enables undertakings, in particular micro, small and medium-sized enterprises (SMEs), as defined in the Annex to Commission Recommendation 2003/361/EC <*>, and start-ups to thrive, ensuring data access neutrality and data portability and interoperability, and avoiding lock-in effects. In its communication of 19 February 2020 on a European strategy for data (the "European strategy for data"), the Commission described the vision of a common European data space, meaning an internal market for data in which data could be used irrespective of its physical storage location in the Union in compliance with applicable law, which, inter alia, could be pivotal for the rapid development of artificial intelligence technologies.
---
<*> Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (OJ L 124, 20.5.2003, p. 36).
The Commission also called for the free and safe flow of data with third countries, subject to exceptions and restrictions for public security, public order and other legitimate public policy objectives of the Union, in line with international obligations, including on fundamental rights. In order to turn that vision into reality, the Commission proposed establishing domain-specific common European data spaces for data sharing and data pooling. As proposed in the European strategy for data, such common European data spaces could cover areas such as health, mobility, manufacturing, financial services, energy or agriculture, or a combination of such areas, for example energy and climate, as well as thematic areas such as the European Green Deal or European data spaces for public administration or skills. Common European data spaces should make data findable, accessible, interoperable and re-usable (the "FAIR data principles"), while ensuring a high level of cybersecurity. Where there is a level playing field in the data economy, undertakings compete on quality of services, and not on the amount of data they control. For the purposes of the design, creation and maintenance of the level playing field in the data economy, sound governance is needed in which relevant stakeholders of a common European data space need to participate and be represented.
(3) It is necessary to improve the conditions for data sharing in the internal market, by creating a harmonised framework for data exchanges and laying down certain basic requirements for data governance, paying specific attention to facilitating cooperation between Member States. This Regulation should aim to develop further the borderless digital internal market and a human-centric, trustworthy and secure data society and economy. Sectorspecific Union law can develop, adapt and propose new and complementary elements, depending on the specificities of the sector, such as the Union law envisaged on the European health data space and on access to vehicle data. Moreover, certain sectors of the economy are already regulated by sector-specific Union law, which includes rules relating to the sharing of or access to data across borders or across the Union, for example Directive 2011/24/EU of the European Parliament and of the Council <1> in the context of the European health data space, and relevant legislative acts in the field of transport, such as Regulations (EU) 2019/1239 <2> and (EU) 2020/1056 <3> and Directive 2010/40/EU <4> of the European Parliament and of the Council in the context of the European mobility data space.
---
<1> Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients' rights in cross-border healthcare (OJ L 88, 4.4.2011, p. 45).
<2> Regulation (EU) 2019/1239 of the European Parliament and of the Council of 20 June 2019 establishing a European Maritime Single Window environment and repealing Directive 2010/65/EU (OJ L 198, 25.7.2019, p. 64).
<3> Regulation (EU) 2020/1056 of the European Parliament and of the Council of 15 July 2020 on electronic freight transport information (OJ L 249, 31.7.2020, p. 33).
<4> Directive 2010/40/EU of the European Parliament and of the Council of 7 July 2010 on the framework for the deployment of Intelligent Transport Systems in the field of road transport and for interfaces with other modes of transport (OJ L 207, 6.8.2010, p. 1).
This Regulation should therefore be without prejudice to Regulations (EC) No 223/2009 <1>, (EU) 2018/858 <2> and (EU) 2018/1807 <3> as well as Directives 2000/31/EC <4>, 2001/29/EC <5>, 2004/48/EC <6>, 2007/2/EC <7>, 2010/40/EU, (EU) 2015/849 <8>, (EU) 2016/943 <9>, (EU) 2017/1132 <10>, (EU) 2019/790 <11> and (EU) 2019/1024 <12> of the European Parliament and of the Council and any other sector-specific Union law that regulates access to and re-use of data. This Regulation should be without prejudice to Union and national law on the access to and use of data for the purpose of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, as well as international cooperation in that context.
---
<1> Regulation (EC) No 223/2009 of the European Parliament and of the Council of 11 March 2009 on European statistics and repealing Regulation (EC, Euratom) No 1101/2008 of the European Parliament and of the Council on the transmission of data subject to statistical confidentiality to the Statistical Office of the European Communities, Council Regulation (EC) No 322/97 on Community Statistics, and Council Decision 89/382/EEC, Euratom establishing a Committee on the Statistical Programmes of the European Communities (OJ L 87, 31.3.2009, p. 164).
<2> Regulation (EU) 2018/858 of the European Parliament and of the Council of 30 May 2018 on the approval and market surveillance of motor vehicles and their trailers, and of systems, components and separate technical units intended for such vehicles, amending Regulations (EC) No 715/2007 and (EC) No 595/2009 and repealing Directive 2007/46/EC (OJ L 151, 14.6.2018, p. 1).
<3> Regulation (EU) 2018/1807 of the European Parliament and of the Council of 14 November 2018 on a framework for the free flow of non-personal data in the European Union (OJ L 303, 28.11.2018, p. 59).
<4> Directive 2000/31/EC of the European Parliament and of the Council of 8 June 2000 on certain legal aspects of information society services, in particular electronic commerce, in the Internal Market ("Directive on electronic commerce") (OJ L 178, 17.7.2000, p. 1).
<5> Directive 2001/29/EC of the European Parliament and of the Council of 22 May 2001 on the harmonisation of certain aspects of copyright and related rights in the information society (OJ L 167, 22.6.2001, p. 10).
<6> Directive 2004/48/EC of the European Parliament and of the Council of 29 April 2004 on the enforcement of intellectual property rights (OJ L 157, 30.4.2004, p. 45).
<7> Directive 2007/2/EC of the European Parliament and of the Council of 14 March 2007 establishing an Infrastructure for Spatial Information in the European Community (INSPIRE) (OJ L 108, 25.4.2007, p. 1).
<8> Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) No 648/2012 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC (OJ L 141, 5.6.2015, p. 73).
<9> Directive (EU) 2016/943 of the European Parliament and of the Council of 8 June 2016 on the protection of undisclosed know-how and business information (trade secrets) against their unlawful acquisition, use and disclosure (OJ L 157, 15.6.2016, p. 1).
<10> Directive (EU) 2017/1132 of the European Parliament and of the Council of 14 June 2017 relating to certain aspects of company law (OJ L 169, 30.6.2017, p. 46).
<11> Directive (EU) 2019/790 of the European Parliament and of the Council of 17 April 2019 on copyright and related rights in the Digital Single Market and amending Directives 96/9/EC and 2001/29/EC (OJ L 130, 17.5.2019, p. 92).
<12> Directive (EU) 2019/1024 of the European Parliament and of the Council of 20 June 2019 on open data and the re-use of public sector information (OJ L 172, 26.6.2019, p. 56).
This Regulation should be without prejudice to the competences of the Member States with regard to their activities concerning public security, defence and national security. The re-use of data protected for such reasons and held by public sector bodies, including data from procurement procedures falling within the scope of Directive 2009/81/EC of the European Parliament and of the Council <*>, should not be covered by this Regulation. A horizontal regime for the re-use of certain categories of protected data held by public sector bodies, the provision of data intermediation services and of services based on data altruism in the Union should be established. Specific characteristics of different sectors may require the design of sectoral data-based systems, while building on the requirements of this Regulation. Data intermediation services providers that meet the requirements laid down in this Regulation should be able to use the label "data intermediation services provider recognised in the Union". Legal persons that seek to support objectives of general interest by making available relevant data based on data altruism at scale and that meet the requirements laid down in this Regulation should be able to register as and use the label "data altruism organisation recognised in the Union". Where sector-specific Union or national law requires public sector bodies, such data intermediation services providers or such legal persons (recognised data altruism organisations) to comply with specific additional technical, administrative or organisational requirements, including through an authorisation or certification regime, those provisions of that sector-specific Union or national law should also apply.
---
<*> Directive 2009/81/EC of the European Parliament and of the Council of 13 July 2009 on the coordination of procedures for the award of certain works contracts, supply contracts and service contracts by contracting authorities or entities in the fields of defence and security, and amending Directives 2004/17/EC and 2004/18/EC (OJ L 216, 20.8.2009, p. 76).
(4) This Regulation should be without prejudice to Regulations (EU) 2016/679 <1> and (EU) 2018/1725 <2> of the European Parliament and of the Council and to Directives 2002/58/EC <3> and (EU) 2016/680 <4> of the European Parliament and of the Council and the corresponding provisions of national law, including where personal and non-personal data in a data set are inextricably linked. In particular, this Regulation should not be read as creating a new legal basis for the processing of personal data for any of the regulated activities, or as amending the information requirements laid down in Regulation (EU) 2016/679. The implementation of this Regulation should not prevent cross-border transfers of data in accordance with Chapter V of Regulation (EU) 2016/679. In the event of a conflict between this Regulation and Union law on the protection of personal data or national law adopted in accordance with such Union law, the relevant Union or national law on the protection of personal data should prevail. It should be possible to consider data protection authorities to be competent authorities under this Regulation. Where other authorities function as competent authorities under this Regulation, they should do so without prejudice to the supervisory powers and competences of data protection authorities under Regulation (EU) 2016/679.
---
<1> Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 4.5.2016, p. 1).
<2> Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (OJ L 295, 21.11.2018, p. 39).
<3> Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 31.7.2002, p. 37).
<4> Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 4.5.2016, p. 89).
(5) Action at Union level is necessary to increase trust in data sharing by establishing appropriate mechanisms for control by data subjects and data holders over data that relates to them, and in order to address other barriers to a well-functioning and competitive data-driven economy. That action should be without prejudice to obligations and commitments in the international trade agreements concluded by the Union. A Union-wide governance framework should have the objective of building trust among individuals and undertakings in relation to data access, control, sharing, use and re-use, in particular by establishing appropriate mechanisms for data subjects to know and meaningfully exercise their rights, as well as with regard to the re-use of certain types of data held by the public sector bodies, the provision of services by data intermediation services providers to data subjects, data holders and data users, as well as the collection and processing of data made available for altruistic purposes by natural and legal persons. In particular, more transparency regarding the purpose of data use and conditions under which data is stored by undertakings can help increase trust.
(6) The idea that data that has been generated or collected by public sector bodies or other entities at the expense of public budgets should benefit society has been part of Union policy for a long time. Directive (EU) 2019/1024 and sector-specific Union law ensure that the public sector bodies make more of the data they produce easily available for use and re-use. However, certain categories of data, such as commercially confidential data, data that are subject to statistical confidentiality and data protected by intellectual property rights of third parties, including trade secrets and personal data, in public databases are often not made available, not even for research or innovative activities in the public interest, despite such availability being possible in accordance with the applicable Union law, in particular Regulation (EU) 2016/679 and Directives 2002/58/EC and (EU) 2016/680. Due to the sensitivity of such data, certain technical and legal procedural requirements must be met before they are made available, not least in order to ensure the respect of rights others have over such data or to limit the negative impact on fundamental rights, the principle of non-discrimination and data protection. The fulfilment of such requirements is usually time- and knowledge-intensive. This has led to the insufficient use of such data. While some Member States are establishing structures, processes or legislation to facilitate that type of re-use, this is not the case across the Union. In order to facilitate the use of data for European research and innovation by private and public entities, clear conditions for access to and use of such data are needed across the Union.
(7) There are techniques enabling analyses on databases that contain personal data, such as anonymisation, differential privacy, generalisation, suppression and randomisation, the use of synthetic data or similar methods and other state-of-the-art privacy-preserving methods that could contribute to a more privacy-friendly processing of data. Member States should provide support to public sector bodies to make optimal use of such techniques, thus making as much data as possible available for sharing. The application of such techniques, together with comprehensive data protection impact assessments and other safeguards, can contribute to more safety in the use and re-use of personal data and should ensure the safe re-use of commercially confidential business data for research, innovation and statistical purposes. In many cases the application of such techniques, impact assessments and other safeguards implies that data can be used and re-used only in a secure processing environment that is provided or controlled by the public sector body. There is experience at Union level with such secure processing environments that are used for research on statistical microdata on the basis of Commission Regulation (EU) No 557/2013 <*>. In general, insofar as personal data are concerned, the processing of personal data should be based upon one or more of the legal bases for processing provided in Articles 6 and 9 of Regulation (EU) 2016/679.
---
<*> Commission Regulation (EU) No 557/2013 of 17 June 2013 implementing Regulation (EC) No 223/2009 of the European Parliament and of the Council on European Statistics as regards access to confidential data for scientific purposes and repealing Commission Regulation (EC) No 831/2002 (OJ L 164, 18.6.2013, p. 16).
(8) In accordance with Regulation (EU) 2016/679, the principles of data protection should not apply to anonymous information, namely information which does not relate to an identified or identifiable natural person, or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable. Re-identification of data subjects from anonymised datasets should be prohibited. This should not prejudice the possibility to conduct research into anonymisation techniques, in particular for the purpose of ensuring information security, improving existing anonymisation techniques and contributing to the overall robustness of anonymisation, undertaken in accordance with Regulation (EU) 2016/679.
(9) In order to facilitate the protection of personal data and confidential data and to speed up the process of making such data available for re-use under this Regulation, Member States should encourage public sector bodies to create and make available data in accordance with the principle of "open by design and by default" referred to in Article 5(2) of Directive (EU) 2019/1024 and to promote the creation and the procurement of data in formats and structures that facilitate anonymisation in that regard.
(10) The categories of data held by public sector bodies which should be subject to re-use under this Regulation fall outside the scope of Directive (EU) 2019/1024 that excludes data which is not accessible due to commercial and statistical confidentiality and data that is included in works or other subject matter over which third parties have intellectual property rights. Commercially confidential data includes data protected by trade secrets, protected know-how and any other information the undue disclosure of which would have an impact on the market position or financial health of the undertaking. This Regulation should apply to personal data that fall outside the scope of Directive (EU) 2019/1024 insofar as the access regime excludes or restricts access to such data for reasons of data protection, privacy and the integrity of the individual, in particular in accordance with data protection rules. The re-use of data, which may contain trade secrets, should take place without prejudice to Directive (EU) 2016/943, which sets out the framework for the lawful acquisition, use or disclosure of trade secrets.
(11) This Regulation should not create an obligation to allow the re-use of data held by public sector bodies. In particular, each Member State should therefore be able to decide whether data is made accessible for re-use, also in terms of the purposes and scope of such access. This Regulation should complement and be without prejudice to more specific obligations on public sector bodies to allow re-use of data laid down in sector-specific Union or national law. Public access to official documents may be considered to be in the public interest. Taking into account the role of public access to official documents and transparency in a democratic society, this Regulation should also be without prejudice to Union or national law on granting access to and disclosing official documents. Access to official documents may in particular be granted in accordance with national law without imposing specific conditions or by imposing specific conditions that are not provided by this Regulation.
(12) The re-use regime provided for in this Regulation should apply to data the supply of which forms part of the public tasks of the public sector bodies concerned under law or other binding rules in the Member States. In the absence of such rules, the public tasks should be defined in accordance with common administrative practice in the Member States, provided that the scope of the public tasks is transparent and subject to review. The public tasks could be defined generally or on a case-by-case basis for individual public sector bodies. As public undertakings are not covered by the definition of public sector body, the data held by public undertakings should not be covered by this Regulation. Data held by cultural establishments, such as libraries, archives and museums as well as orchestras, operas, ballets and theatres, and by educational establishments should not be covered by this Regulation since the works and other documents they hold are predominantly covered by third party intellectual property rights. Research-performing organisations and research-funding organisations could also be organised as public sector bodies or bodies governed by public law.
This Regulation should apply to such hybrid organisations only in their capacity as research-performing organisations. If a research-performing organisation holds data as a part of a specific public-private association with private sector organisations or other public sector bodies, bodies governed by public law or hybrid researchperforming organisations, i.e. organised as either public sector bodies or public undertakings, with the main purpose of pursuing research, those data should also not be covered by this Regulation. Where relevant, Member States should be able to apply this Regulation to public undertakings or private undertakings that exercise public sector duties or provide services of general interest. The exchange of data, purely in pursuit of their public tasks, among public sector bodies in the Union or between public sector bodies in the Union and public sector bodies in third countries or international organisations, as well as the exchange of data between researchers for non-commercial scientific research purposes, should not be subject to the provisions of this Regulation concerning the re-use of certain categories of protected data held by public sector bodies.
(13) Public sector bodies should comply with competition law when establishing the principles for re-use of data they hold, avoiding the conclusion of agreements which might have as their objective or effect the creation of exclusive rights for the re-use of certain data. Such agreements should be possible only where justified and necessary for the provision of a service or the supply of a product in the general interest. This may be the case where the exclusive use of the data is the only way to maximise the societal benefits of the data in question, for example where there is only one entity (which has specialised in the processing of a specific dataset) capable of providing the service or supplying the product which allows the public sector body to provide a service or supply a product in the general interest. Such arrangements should, however, be concluded in accordance with applicable Union or national law and be subject to regular review based on a market analysis in order to ascertain whether such exclusivity continues to be necessary. In addition, such arrangements should comply with the relevant State aid rules, as appropriate, and should be concluded for a limited duration which should not exceed 12 months. In order to ensure transparency, such exclusive agreements should be published online, in a form that complies with relevant Union law on public procurement. Where an exclusive right to re-use data does not comply with this Regulation, that exclusive right should be invalid.
(14) Prohibited exclusive agreements and other practices or arrangements pertaining to the re-use of data held by public sector bodies which do not expressly grant exclusive rights but which can reasonably be expected to restrict the availability of data for re-use that have been concluded or were already in place before the date of entry into force of this Regulation should not be renewed after the expiry of their term. In the case of indefinite or longer-term agreements, they should be terminated within 30 months of the date of entry into force of this Regulation.
(15) This Regulation should lay down conditions for re-use of protected data that apply to public sector bodies designated as competent under national law to grant or refuse access for re-use, and which are without prejudice to rights or obligations concerning access to such data. Those conditions should be non-discriminatory, transparent, proportionate and objectively justified, while not restricting competition, with a specific focus on promoting access to such data by SMEs and start-ups. The conditions for re-use should be designed in a manner promoting scientific research so that, for example, privileging scientific research should, as a rule, be considered to be non-discriminatory. Public sector bodies allowing re-use should have in place the technical means necessary to ensure the protection of rights and interests of third parties and should be empowered to request the necessary information from the re-user. Conditions attached to the re-use of data should be limited to what is necessary to preserve the rights and interests of third parties in the data and the integrity of the information technology and communication systems of the public sector bodies. Public sector bodies should apply conditions which best serve the interests of the re-user without leading to a disproportionate burden on the public sector bodies. Conditions attached to the re-use of data should be designed to ensure effective safeguards with regard to the protection of personal data. Before transmission, personal data should be anonymised, in order not to allow the identification of the data subjects, and data containing commercially confidential information should be modified in such a way that no confidential information is disclosed. Where the provision of anonymised or modified data would not respond to the needs of the re-user, subject to fulfilling any requirements to carry out a data protection impact assessment and consult the supervisory authority pursuant to Articles 35 and 36 of Regulation (EU) 2016/679 and where the risks to the rights and interests of data subjects have been found to be minimal, on-premise or remote re-use of the data within a secure processing environment could be allowed.
This could be a suitable arrangement for the re-use of pseudonymised data. Data analyses in such secure processing environments should be supervised by the public sector body, so as to protect the rights and interests of third parties. In particular, personal data should be transmitted to a third party for re-use only where a legal basis under data protection law allows such transmission. Non-personal data should be transmitted only where there is no reason to believe that the combination of non-personal data sets would lead to the identification of data subjects. This should also apply to pseudonymised data which retain their status as personal data. In the event of the reidentification of data subjects, an obligation to notify such a data breach to the public sector body should apply in addition to an obligation to notify such a data breach to a supervisory authority and to the data subject in accordance with Regulation (EU) 2016/679. Where relevant, the public sector bodies should facilitate the re-use of data on the basis of the consent of data subjects or the permission of data holders on the re-use of data pertaining to them through adequate technical means. In that respect, the public sector body should make best efforts to provide assistance to potential re-users in seeking such consent or permission by establishing technical mechanisms that permit transmitting requests for consent or permission from re-users, where practically feasible. No contact information should be given that allows re-users to contact data subjects or data holders directly. Where the public sector body transmits a request for consent or permission, it should ensure that the data subject or data holder is clearly informed of the possibility to refuse consent or permission.
(16) In order to facilitate and encourage the use of data held by public sector bodies for the purposes of scientific research, public sector bodies are encouraged to develop a harmonised approach and harmonised processes to make that data easily accessible for the purposes of scientific research in the public interest. That could mean, inter alia, creating streamlined administrative procedures, standardised data formatting, informative metadata on the methodological and data collection choices and standardised data fields that enable the easy joining of data sets from different public sector data sources where relevant for the purposes of analysis. The objective of those practices should be to promote the publicly funded and produced data for the purposes of scientific research in accordance with the principle of "as open as possible, as closed as necessary".
(17) The intellectual property rights of third parties should not be affected by this Regulation. This Regulation should neither affect the existence or ownership of intellectual property rights of public sector bodies nor limit the exercise of those rights in any way. The obligations imposed in accordance with this Regulation should apply only insofar as they are compatible with international agreements on the protection of intellectual property rights, in particular the Berne Convention for the Protection of Literary and Artistic Works (Berne Convention), the Agreement on Trade-related Aspects of Intellectual Property Rights (TRIPS Agreement) and the World Intellectual Property Organization Copyright Treaty (WCT), and Union or national intellectual property law. Public sector bodies should, however, exercise their copyright in a way that facilitates re-use.
(18) Data subject to intellectual property rights as well as trade secrets should be transmitted to a third party only where such transmission is lawful by virtue of Union or national law or with the agreement of the rights holder. Where public sector bodies are holders of the right of the maker of a database provided for in Article 7(1) of Directive 96/9/EC of the European Parliament and of the Council <*> they should not exercise that right in order to prevent the re-use of data or to restrict re-use beyond the limits set by this Regulation.
---
<*> Directive 96/9/EC of the European Parliament and of the Council of 11 March 1996 on the legal protection of databases (OJ L 77, 27.3.1996, p. 20).
(19) Undertakings and data subjects should be able to have confidence in the fact that the re-use of certain categories of protected data which are held by the public sector bodies will take place in a manner that respects their rights and interests. Additional safeguards should therefore be put in place for situations in which the re-use of such public sector data takes place on the basis of a processing of the data outside the public sector, such as a requirement that public sector bodies ensure that the rights and interests of natural and legal persons are fully protected, in particular with regard to personal data, commercially sensitive data and intellectual property rights, in all cases, including where such data is transferred to third countries. Public sector bodies should not allow the re-use of information stored in e-health applications by insurance undertakings or any other service provider for the purpose of discriminating in the setting of prices, as this would run counter to the fundamental right of access to health.
(20) Furthermore, in order to preserve fair competition and the open market economy it is of the utmost importance to safeguard protected data of non-personal nature, in particular trade secrets, but also non-personal data representing content protected by intellectual property rights from unlawful access that may lead to intellectual property theft or industrial espionage. In order to ensure the protection of the rights or interests of data holders, it should be possible to transfer non-personal data which is to be protected from unlawful or unauthorised access in accordance with Union or national law and which is held by public sector bodies to third countries, but only where appropriate safeguards for the use of data are provided. Such appropriate safeguards should include a requirement that the public sector body transmit protected data to a re-user only if that re-user makes contractual commitments in the interest of the protection of the data. A re-user that intends to transfer the protected data to a third country should comply with the obligations laid down in this Regulation even after the data has been transferred to the third country. To ensure the proper enforcement of such obligations, the re-user should also accept the jurisdiction of the Member State of the public sector body that allowed the re-use for the judicial settlement of disputes.
(21) Appropriate safeguards should also be considered to be implemented where, in the third country to which non-personal data is being transferred, there are equivalent measures in place which ensure that data benefit from a level of protection similar to that applicable by means of Union law, in particular with regard to the protection of trade secrets and intellectual property rights. To that end, the Commission should be able to declare, by means of implementing acts, where justified because of the substantial number of requests across the Union concerning the re-use of non-personal data in specific third countries, that a third country provides a level of protection that is essentially equivalent to that provided by Union law. The Commission should assess the necessity of such implementing acts on the basis of information provided by the Member States through the European Data Innovation Board. Such implementing acts would reassure public sector bodies that re-use of data held by public sector bodies in the third country concerned would not compromise the protected nature of that data. The assessment of the level of protection afforded in the third country concerned should, in particular, take into consideration the relevant general and sectoral law, including on public security, defence, national security and criminal law, concerning access to and protection of non-personal data, any access by the public sector bodies of that third country to the data transferred, the existence and effective functioning of one or more independent supervisory authorities in the third country with responsibility for ensuring and enforcing compliance with the legal regime ensuring access to such data, the third country's international commitments regarding the protection of data, or other obligations arising from legally binding conventions or instruments as well as from its participation in multilateral or regional systems.
The existence of effective legal remedies for data holders, public sector bodies or data intermediation services providers in the third country concerned is of particular importance in the context of the transfer of non-personal data to that third country. Such safeguards should therefore include the availability of enforceable rights and of effective legal remedies. Such implementing acts should be without prejudice to any legal obligation or contractual arrangements already undertaken by a re-user in the interest of the protection of non-personal data, in particular industrial data, and to the right of public sector bodies to oblige re-users to comply with conditions for re-use, in accordance with this Regulation.
(22) Some third countries adopt laws, regulations and other legal acts which aim to directly transfer or provide governmental access to non-personal data in the Union under the control of natural and legal persons under the jurisdiction of the Member States. Decisions and judgments of third-country courts or tribunals or decisions of third-country administrative authorities requiring such transfer of or access to non-personal data should be enforceable where they are based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State. In some cases, situations may arise where the obligation to transfer or provide access to non-personal data arising from a third country law conflicts with a competing obligation to protect such data under Union or national law, in particular with regard to the protection of the fundamental rights of the individual or of the fundamental interests of a Member State related to national security or defence, as well as the protection of commercially sensitive data and the protection of intellectual property rights, including contractual undertakings regarding confidentiality in accordance with such law. In the absence of international agreements regulating such matters, the transfer of or access to non-personal data should be allowed only if, in particular, it has been verified that the third-country's legal system requires the reasons and proportionality of the decision or judgment to be set out, that the decision or judgment is specific in character, and that the reasoned objection of the addressee is subject to a review by a competent third-country court or tribunal, which is empowered to take duly into account the relevant legal interests of the provider of such data.
Moreover, public sector bodies, natural or legal persons to which the right to re-use data was granted, data intermediation services providers and recognised data altruism organisations should ensure, where they sign contractual agreements with other private parties, that non-personal data held in the Union are accessed in or transferred to third countries only in accordance with Union law or the national law of the relevant Member State.
(23) To foster further trust in the data economy of the Union, it is essential that the safeguards in relation to Union citizens, the public sector and undertakings that ensure control over their strategic and sensitive data are implemented and that Union law, values and standards are upheld in terms of, but not limited to, security, data protection and consumer protection. In order to prevent unlawful access to non-personal data, public sector bodies, natural or legal persons to which the right to re-use data was granted, data intermediation services providers and recognised data altruism organisations should take all reasonable measures to prevent access to the systems where non-personal data is stored, including encryption of data or corporate policies. To that end, it should be ensured that public sector bodies, natural or legal persons to which the right to re-use data was granted, data intermediation services providers and recognised data altruism organisations adhere to all relevant technical standards, codes of conduct and certifications at Union level.
(24) In order to build trust in re-use mechanisms, it may be necessary to attach stricter conditions for certain types of non-personal data that may be identified as highly sensitive in future specific Union legislative acts, with regard to the transfer to third countries, if such transfer could jeopardise Union public policy objectives, in line with international commitments. For example, in the health domain, certain datasets held by actors in the public health system, such as public hospitals, could be identified as highly sensitive health data. Other relevant sectors include transport, energy, environment and finance. In order to ensure harmonised practices across the Union, such types of highly sensitive non-personal public data should be defined by Union law, for example in the context of the European health data space or other sectoral law. Those conditions attached to the transfer of such data to third countries should be laid down in delegated acts. Conditions should be proportionate, non-discriminatory and necessary to protect legitimate Union public policy objectives identified, such as the protection of public health, safety, the environment, public morality, consumer protection, privacy and personal data protection. The conditions should correspond to the risks identified in relation to the sensitivity of such data, including in terms of the risk of the re-identification of individuals. Such conditions could include terms applicable for the transfer or technical arrangements, such as the requirement to use a secure processing environment, limitations with regard to the re-use of data in third countries or categories of persons entitled to transfer such data to third countries or to access the data in the third country. In exceptional cases such conditions could also include restrictions to the transfer of the data to third countries to protect the public interest.
(25) Public sector bodies should be able to charge fees for the re-use of data but should also be able to allow re-use at a discounted fee or free of charge, for example for certain categories of re-use such as non-commercial re-use for scientific research purposes, or re-use by SMEs and start-ups, civil society and educational establishments, so as to provide incentives for such re-use in order to stimulate research and innovation and support undertakings that are an important source of innovation and typically find it more difficult to collect relevant data themselves, in accordance with State aid rules. In that specific context, scientific research purposes should be understood to include any type of research-related purpose regardless of the organisational or financial structure of the research institution in question, with the exception of research that is being conducted by an undertaking with the aim of developing, enhancing or optimising products or services. Such fees should be transparent, non-discriminatory and limited to the necessary costs incurred and should not restrict competition. A list of categories of re-users to which a discounted fee or no charge applies, together with the criteria used to establish that list, should be made public.
(26) In order to provide incentives for the re-use of specific categories of data held by public sector bodies, Member States should establish a single information point to act as an interface for re-users that seek to re-use that data. It should have a cross-sector remit, and should complement, if necessary, arrangements at the sectoral level. The single information point should be able to rely on automated means where it transmits enquiries or requests for re-use. Sufficient human oversight should be ensured in the transmission process. For that purpose existing practical arrangements such as open data portals could be used. The single information point should have an asset list containing an overview of all available data resources including, where relevant, those data resources that are available at sectoral, regional or local information points, with relevant information describing the available data. In addition, Member States should designate, establish or facilitate the establishment of competent bodies to support the activities of public sector bodies allowing re-use of certain categories of protected data. Their tasks may include granting access to data, where mandated under sectoral Union or national law. Those competent bodies should provide assistance to public sector bodies with state-of-the-art techniques, including on how to best structure and store data to make data easily accessible, in particular through application programming interfaces, as well as make data interoperable, transferable and searchable, taking into account best practices for data processing, as well as any existing regulatory and technical standards and secure data processing environments, which allow data analysis in a manner that preserves the privacy of the information.
The competent bodies should act in accordance with the instructions received from the public sector body. Such an assistance structure could assist the data subjects and data holders with management of the consent or permission for re-use, including consent and permission to certain areas of scientific research where in keeping with recognised ethical standards for scientific research. The competent bodies should not have a supervisory function, which is reserved for supervisory authorities under Regulation (EU) 2016/679. Without prejudice to the supervisory powers of data protection authorities, data processing should be carried out under the responsibility of the public sector body responsible for the register containing the data, which remains a data controller as defined in Regulation (EU) 2016/679 insofar as personal data are concerned. Member States should be able to have one or more competent bodies, which could act in different sectors. The internal services of public sector bodies could also act as competent bodies. A competent body could be a public sector body assisting other public sector bodies in allowing re-use of data, where relevant, or a public sector body allowing re-use itself. Assisting other public sector bodies should entail informing them, upon request, about best practices on how to fulfil the requirements laid down in this Regulation such as the technical means to make a secure processing environment available or the technical means to ensure privacy and confidentiality where access to re-use of data within the scope of this Regulation is provided.
(27) Data intermediation services are expected to play a key role in the data economy, in particular in supporting and promoting voluntary data sharing practices between undertakings or facilitating data sharing in the context of obligations set by Union or national law. They could become a tool to facilitate the exchange of substantial amounts of relevant data. Data intermediation services providers, which may include public sector bodies, that offer services that connect the different actors have the potential to contribute to the efficient pooling of data as well as to the facilitation of bilateral data sharing. Specialised data intermediation services that are independent from data subjects, data holders and data users could have a facilitating role in the emergence of new data-driven ecosystems independent from any player with a significant degree of market power, while allowing non-discriminatory access to the data economy for undertakings of all sizes, in particular SMEs and start-ups with limited financial, legal or administrative means. This will be particularly important in the context of the establishment of common European data spaces, namely purpose- or sector-specific or cross-sectoral interoperable frameworks of common standards and practices to share or jointly process data for, inter alia, the development of new products and services, scientific research or civil society initiatives. Data intermediation services could include bilateral or multilateral sharing of data or the creation of platforms or databases enabling the sharing or joint use of data, as well as the establishment of specific infrastructure for the interconnection of data subjects and data holders with data users.
(28) This Regulation should cover services which aim to establish commercial relationships for the purposes of data sharing between an undetermined number of data subjects and data holders on the one hand and data users on the other, through technical, legal or other means, including for the purpose of exercising the rights of data subjects in relation to personal data. Where undertakings or other entities offer multiple data-related services, only the activities which directly concern the provision of data intermediation services should be covered by this Regulation. The provision of cloud storage, analytics, data sharing software, web browsers, browser plug-ins or email services should not be considered to be data intermediation services within the meaning of this Regulation, provided that such services only provide technical tools for data subjects or data holders to share data with others, but the provision of such tools neither aims to establish a commercial relationship between data holders and data users nor allows the data intermediation services provider to acquire information on the establishment of commercial relationships for the purposes of data sharing. Examples of data intermediation services include data marketplaces on which undertakings could make data available to others, orchestrators of data sharing ecosystems that are open to all interested parties, for instance in the context of common European data spaces, as well as data pools established jointly by several legal or natural persons with the intention to license the use of such data pools to all interested parties in a manner that all participants that contribute to the data pools would receive a reward for their contribution.
This would exclude services that obtain data from data holders and aggregate, enrich or transform the data for the purpose of adding substantial value to it and license the use of the resulting data to data users, without establishing a commercial relationship between data holders and data users. This would also exclude services that are exclusively used by one data holder in order to enable the use of the data held by that data holder, or that are used by multiple legal persons in a closed group, including supplier or customer relationships or collaborations established by contract, in particular those that have as a main objective to ensure the functionalities of objects and devices connected to the Internet of Things.
(29) Services that focus on the intermediation of copyright-protected content, such as online content-sharing service providers as defined in Article 2, point (6), of Directive (EU) 2019/790, should not be covered by this Regulation. Consolidated tape providers as defined in Article 2(1), point (35), of Regulation (EU) No 600/2014 of the European Parliament and of the Council <*> and account information service providers as defined in Article 4, point (19), of Directive (EU) 2015/2366 of the European Parliament and of the Council <**> should not be considered to be data intermediation services providers for the purposes of this Regulation. This Regulation should not apply to services offered by public sector bodies in order to facilitate either the re-use of protected data held by public sector bodies in accordance with this Regulation or the use of any other data, insofar as those services do not aim to establish commercial relationships. Data altruism organisations regulated by this Regulation should not be considered to be offering data intermediation services provided that those services do not establish a commercial relationship between potential data users, on the one hand, and data subjects and data holders who make data available for altruistic purposes, on the other. Other services that do not aim to establish commercial relationships, such as repositories that aim to enable the re-use of scientific research data in accordance with open access principles should not be considered to be data intermediation services within the meaning of this Regulation.
---
<*> Regulation (EU) No 600/2014 of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Regulation (EU) No 648/2012 (OJ L 173, 12.6.2014, p. 84).
<**> Directive (EU) 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market, amending Directives 2002/65/EC, 2009/110/EC and 2013/36/EU and Regulation (EU) No 1093/2010, and repealing Directive 2007/64/EC (OJ L 337, 23.12.2015, p. 35).
(30) A specific category of data intermediation services includes providers of services that offer their services to data subjects. Such data intermediation services providers seek to enhance the agency of data subjects, and in particular individuals' control over data relating to them. Such providers would assist individuals in exercising their rights under Regulation (EU) 2016/679, in particular giving and withdrawing their consent to data processing, the right of access to their own data, the right to the rectification of inaccurate personal data, the right of erasure or right "to be forgotten", the right to restrict processing and the right to data portability, which allows data subjects to move their personal data from one data controller to the other. In that context, it is important that the business model of such providers ensures that there are no misaligned incentives that encourage individuals to use such services to make more data relating to them available for processing than would be in their interest. This could include advising individuals on the possible uses of their data and making due diligence checks on data users before allowing them to contact data subjects, in order to avoid fraudulent practices. In certain situations, it could be desirable to collate actual data within a personal data space so that processing can happen within that space without personal data being transmitted to third parties in order to maximise the protection of personal data and privacy. Such personal data spaces could contain static personal data such as name, address or date of birth as well as dynamic data that an individual generates through, for example, the use of an online service or an object connected to the Internet of Things. They could also be used to store verified identity information such as passport numbers or social security information, as well as credentials such as driving licences, diplomas or bank account information.
(31) Data cooperatives seek to achieve a number of objectives, in particular to strengthen the position of individuals in making informed choices before consenting to data use, influencing the terms and conditions of data user organisations attached to data use in a manner that gives better choices to the individual members of the group or potentially finding solutions to conflicting positions of individual members of a group on how data can be used where such data relates to several data subjects within that group. In that context it is important to acknowledge that the rights under Regulation (EU) 2016/679 are personal rights of the data subject and that data subjects cannot waive such rights. Data cooperatives could also provide a useful means for one-person undertakings and SMEs which, in terms of knowledge of data sharing, are often comparable to individuals.
(32) In order to increase trust in such data intermediation services, in particular related to the use of data and compliance with the conditions imposed by data subjects and data holders, it is necessary to create a Union-level regulatory framework which establishes highly harmonised requirements related to the trustworthy provision of such data intermediation services, and which is implemented by the competent authorities. That framework will contribute to ensuring that data subjects and data holders, as well as data users, have better control over access to and use of their data, in accordance with Union law. The Commission could also encourage and facilitate the development of codes of conduct at Union level, involving relevant stakeholders, in particular on interoperability. Both in situations where data sharing occurs in a business-to-business context and where it occurs in a business-to-consumer context, data intermediation services providers should offer a novel, "European" way of data governance, by providing a separation in the data economy between data provision, intermediation and use. Data intermediation services providers could also make available specific technical infrastructure for the interconnection of data subjects and data holders with data users. In that regard, it is of particular importance to shape that infrastructure in such a way that SMEs and start-ups encounter no technical or other barriers to their participation in the data economy.
Data intermediation services providers should be allowed to offer additional specific tools and services to data holders or data subjects for the specific purpose of facilitating the exchange of data, such as temporary storage, curation, conversion, anonymisation and pseudonymisation. Those tools and services should be used only at the explicit request or approval of the data holder or data subject and third-party tools offered in that context should not use data for other purposes. At the same time, data intermediation services providers should be allowed to adapt the data exchanged in order to improve the usability of the data by the data user where the data user so desires, or to improve interoperability by, for example, converting the data into specific formats.
(33) It is important to enable a competitive environment for data sharing. A key element by which to increase the trust and control of data holders, data subjects and data users in data intermediation services is the neutrality of data intermediation services providers with regard to the data exchanged between data holders or data subjects and data users. It is therefore necessary that data intermediation services providers act only as intermediaries in the transactions, and do not use the data exchanged for any other purpose. The commercial terms, including pricing, for the provision of data intermediation services should not be dependent on whether a potential data holder or data user is using other services, including storage, analytics, artificial intelligence or other data-based applications, provided by the same data intermediation services provider or by a related entity, and if so to what degree the data holder or data user uses such other services. This will also require structural separation between the data intermediation service and any other services provided, so as to avoid conflicts of interest. This means that the data intermediation service should be provided through a legal person that is separate from the other activities of that data intermediation services provider. However, the data intermediation services providers should be able to use the data provided by the data holder for the improvement of their data intermediation services.
Data intermediation services providers should be able to put at the disposal of data holders, data subjects or data users their own or third-party tools for the purpose of facilitating the exchange of data, for example tools for the conversion or curation of data only at the explicit request or approval of the data subject or data holder. The third-party tools offered in that context should not use data for purposes other than those related to data intermediation services. Data intermediation services providers that intermediate the exchange of data between individuals as data subjects and legal persons as data users should, in addition, bear fiduciary duty towards the individuals, to ensure that they act in the best interest of the data subjects. Questions of liability for all material and immaterial damage and detriment resulting from any conduct of the data intermediation services provider could be addressed in the relevant contract, on the basis of national liability regimes.
(34) Data intermediation services providers should take reasonable measures to ensure interoperability within a sector and between different sectors to ensure the proper functioning of the internal market. Reasonable measures could include following the existing, commonly-used standards in the sector where the data intermediation services providers operate. The European Data Innovation Board should facilitate the emergence of additional industry standards, where necessary. Data intermediation services providers should implement in due time the measures for interoperability between the data intermediation services adopted by the European Data Innovation Board.
(35) This Regulation should be without prejudice to the obligation of data intermediation services providers to comply with Regulation (EU) 2016/679 and the responsibility of supervisory authorities to ensure compliance with that Regulation. Where data intermediation services providers process personal data, this Regulation should not affect the protection of personal data. Where the data intermediation services providers are data controllers or processors as defined in Regulation (EU) 2016/679 they are bound by the rules of that Regulation.
(36) Data intermediation services providers are expected to have in place procedures and measures to impose penalties for fraudulent or abusive practices in relation to parties seeking access through their data intermediation services, including measures such as the exclusion of data users that breach the terms of service or infringe existing law.
(37) Data intermediation services providers should also take measures to ensure compliance with competition law and have procedures in place to that effect. This applies in particular in situations where data sharing enables undertakings to become aware of market strategies of their actual or potential competitors. Competitively sensitive information typically includes information on customer data, future prices, production costs, quantities, turnovers, sales or capacities.
(38) A notification procedure for data intermediation services should be established in order to ensure that data governance within the Union is based on trustworthy exchange of data. The benefits of a trustworthy environment would be best achieved by imposing a number of requirements for the provision of data intermediation services, but without requiring any explicit decision or administrative act by the competent authority for data intermediation services for the provision of such services. The notification procedure should not impose undue obstacles for SMEs, start-ups and civil society organisations and should comply with the principle of non-discrimination.
(39) In order to support effective cross-border provision of services, the data intermediation services provider should be requested to send a notification only to the competent authority for data intermediation services from the Member State where its main establishment is located or where its legal representative is located. Such a notification should not entail more than a mere declaration of the intention to provide such services and should be completed only by providing the information set out in this Regulation. After the relevant notification the data intermediation services provider should be able to start operating in any Member State without further notification obligations.
(40) The notification procedure laid down in this Regulation should be without prejudice to specific additional rules for the provision of data intermediation services applicable by means of sector-specific law.
(41) The main establishment of a data intermediation services provider in the Union should be the place of its central administration in the Union. The main establishment of a data intermediation services provider in the Union should be determined in accordance with objective criteria and should imply the effective and real exercise of management activities. Activities of a data intermediation services provider should comply with the national law of the Member State in which it has its main establishment.
(42) In order to ensure the compliance of data intermediation services providers with this Regulation, they should have their main establishment in the Union. Where a data intermediation services provider not established in the Union offers services within the Union, it should designate a legal representative. The designation of a legal representative in such cases is necessary, given that such data intermediation services providers handle personal data as well as commercially confidential data, which necessitates the close monitoring of the compliance of data intermediation services providers with this Regulation. In order to determine whether such a data intermediation services provider is offering services within the Union, it should be ascertained whether it is apparent that the data intermediation services provider is planning to offer services to persons in one or more Member States. The mere accessibility in the Union of the website or of an email address and other contact details of the data intermediation services provider, or the use of a language generally used in the third country where the data intermediation services provider is established, should be considered to be insufficient to ascertain such an intention. However, factors such as the use of a language or a currency generally used in one or more Member States with the possibility of ordering services in that language, or the mentioning of users who are in the Union, could make it apparent that the data intermediation services provider is planning to offer services within the Union.
A designated legal representative should act on behalf of the data intermediation services provider and it should be possible for competent authorities for data intermediation services to address the legal representative in addition to or instead of a data intermediation services provider, including in the case of an infringement, for the purpose of initiating enforcement proceedings against a non-compliant data intermediation services provider not established in the Union. The legal representative should be designated by a written mandate of the data intermediation services provider to act on the latter's behalf with regard to the latter's obligations under this Regulation.
(43) In order to assist data subjects and data holders to easily identify, and thereby increase their trust in, data intermediation services providers recognised in the Union, a common logo recognisable throughout the Union should be established, in addition to the label "data intermediation services provider recognised in the Union".
(44) The competent authorities for data intermediation services designated to monitor compliance of data intermediation services providers with the requirements of this Regulation should be chosen on the basis of their capacity and expertise regarding horizontal or sectoral data sharing They should be independent of any data intermediation services provider as well as transparent and impartial in the exercise of their tasks. Member States should notify the Commission of the identity of those competent authorities for data intermediation services. The powers and competences of the competent authorities for data intermediation services should be without prejudice to the powers of the data protection authorities. In particular, for any question requiring an assessment of compliance with Regulation (EU) 2016/679, the competent authority for data intermediation services should seek, where relevant, an opinion or decision of the competent supervisory authority established pursuant to that Regulation.
(45) There is a strong potential for objectives of general interest in the use of data made available voluntarily by data subjects on the basis of their informed consent or, where it concerns non-personal data, made available by data holders. Such objectives would include healthcare, combating climate change, improving mobility, facilitating the development, production and dissemination of official statistics, improving the provision of public services, or public policy making. Support to scientific research should also be considered to be an objective of general interest. This Regulation should aim to contribute to the emergence of sufficiently-sized data pools made available on the basis of data altruism in order to enable data analytics and machine learning, including across the Union. In order to achieve that objective, Member States should be able to have in place organisational or technical arrangements, or both, which would facilitate data altruism. Such arrangements could include the availability of easily useable tools for data subjects or data holders for giving consent or permission for the altruistic use of their data, the organisation of awareness campaigns, or a structured exchange between competent authorities on how public policies, such as improving traffic, public health and combating climate change, benefit from data altruism. To that end, Member States should be able to establish national policies for data altruism. Data subjects should be able to receive compensation related only to the costs they incur when making their data available for objectives of general interest.
(46) The registration of recognised data altruism organisations and use of the label "data altruism organisation recognised in the Union" is expected to lead to the establishment of data repositories. Registration in a Member State would be valid across the Union and is expected to facilitate cross-border data use within the Union and the emergence of data pools covering several Member States. Data holders could give permission to the processing of their non-personal data for a range of purposes not established at the moment of giving the permission. The compliance of such recognised data altruism organisations with a set of requirements as laid down in this Regulation should bring trust that the data made available for altruistic purposes is serving an objective of general interest. Such trust should result in particular from having a place of establishment or a legal representative within the Union, as well as from the requirement that recognised data altruism organisations are not-for-profit organisations, from transparency requirements and from specific safeguards in place to protect rights and interests of data subjects and undertakings.
Further safeguards should include making it possible to process relevant data within a secure processing environment operated by the recognised data altruism organisations, oversight mechanisms such as ethics councils or boards, including representatives from civil society to ensure that the data controller maintains high standards of scientific ethics and protection of fundamental rights, effective and clearly communicated technical means to withdraw or modify consent at any moment, on the basis of the information obligations of data processors under Regulation (EU) 2016/679, as well as means for data subjects to stay informed about the use of data they made available. Registration as a recognised data altruism organisation should not be a precondition for exercising data altruism activities. The Commission should, by means of delegated acts, prepare a rulebook in close cooperation with data altruism organisations and relevant stakeholders. Compliance with that rulebook should be a requirement for registration as a recognised data altruism organisation.
(47) In order to assist data subjects and data holders to easily identify, and thereby to increase their trust in, recognised data altruism organisations, a common logo that is recognisable throughout the Union should be established. The common logo should be accompanied by a QR code with a link to the public Union register of recognised data altruism organisations.
(48) This Regulation should be without prejudice to the establishment, organisation and functioning of entities that seek to engage in data altruism pursuant to national law and build on national law requirements to operate lawfully in a Member State as a not-for-profit organisation.
(49) This Regulation should be without prejudice to the establishment, organisation and functioning of entities other than public sector bodies that engage in the sharing of data and content on the basis of open licenses, thereby contributing to the creation of common resources available to all. This should include open collaborative knowledge sharing platforms, open access scientific and academic repositories, open source software development platforms and open access content aggregation platforms.
(50) Recognised data altruism organisations should be able to collect relevant data directly from natural and legal persons or to process data collected by others. Processing of collected data could be done by data altruism organisations for purposes which they establish themselves or, where relevant, they could allow the processing by third parties for those purposes. Where recognised data altruism organisations are data controllers or processors as defined in Regulation (EU) 2016/679, they should comply with that Regulation. Typically, data altruism would rely on consent of data subjects within the meaning of Article 6(1), point (a), and Article 9(2), point (a), of Regulation (EU) 2016/679 that should be in compliance with requirements for lawful consent in accordance with Articles 7 and 8 of that Regulation. In accordance with Regulation (EU) 2016/679, scientific research purposes could be supported by consent to certain areas of scientific research where in keeping with recognised ethical standards for scientific research or only to certain areas of research or parts of research projects. Article 5(1), point (b), of Regulation (EU) 2016/679 specifies that further processing for scientific or historical research purposes or statistical purposes should, in accordance with Article 89(1) of Regulation (EU) 2016/679, not be considered to be incompatible with the initial purposes. For non-personal data the usage limitations should be found in the permission given by the data holder.
(51) The competent authorities for the registration of data altruism organisations designated to monitor compliance of recognised data altruism organisations with the requirements of this Regulation should be chosen on the basis of their capacity and expertise. They should be independent of any data altruism organisation as well as transparent and impartial in the exercise of their tasks. Member States should notify the Commission of the identity of those competent authorities for the registration of data altruism organisations. The powers and competences of the competent authorities for the registration of data altruism organisations should be without prejudice to the powers of the data protection authorities. In particular, for any question requiring an assessment of compliance with Regulation (EU) 2016/679, the competent authority for the registration of data altruism organisations should seek, where relevant, an opinion or decision of the competent supervisory authority established pursuant to that Regulation.
(52) To promote trust and bring additional legal certainty and user-friendliness to the process of granting and withdrawing consent, in particular in the context of scientific research and statistical use of data made available on an altruistic basis, a European data altruism consent form should be developed and used in the context of altruistic data sharing. Such a form should contribute to additional transparency for data subjects that their data will be accessed and used in accordance with their consent and also in full compliance with the data protection rules. It should also facilitate the granting and withdrawing of consent and be used to streamline data altruism carried out by undertakings and provide a mechanism allowing such undertakings to withdraw their permission to use the data. In order to take into account the specificities of individual sectors, including from a data protection perspective, the European data altruism consent form should use a modular approach allowing customisation for specific sectors and for different purposes.
(53) In order to successfully implement the data governance framework, a European Data Innovation Board should be established, in the form of an expert group. The European Data Innovation Board should consist of representatives of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations of all Member States, the European Data Protection Board, the European Data Protection Supervisor, the European Union Agency for Cybersecurity (ENISA), the Commission, the EU SME Envoy or a representative appointed by the network of SME envoys, and other representatives of relevant bodies in specific sectors as well as bodies with specific expertise. The European Data Innovation Board should consist of a number of subgroups, including a subgroup for stakeholder involvement composed of relevant representatives of industry, such as health, environment, agriculture, transport, energy, industrial manufacturing, media, cultural and creative sectors, and statistics, as well as of research, academia, civil society, standardisation organisations, relevant common European data spaces and other relevant stakeholders and third parties, inter alia bodies with specific expertise such as national statistical offices.
(54) The European Data Innovation Board should assist the Commission in coordinating national practices and policies on the topics covered by this Regulation, and in supporting cross-sector data use by adhering to the European Interoperability Framework principles and through the use of European and international standards and specifications, including through the EU Multi-Stakeholder Platform for ICT Standardisation, the Core Vocabularies and the CEF Building Blocks, and should take into account standardisation work taking place in specific sectors or domains. Work on technical standardisation could include the identification of priorities for the development of standards and establishing and maintaining a set of technical and legal standards for transmitting data between two processing environments that allows data spaces to be organised, in particular clarifying and distinguishing which standards and practices are cross-sectoral and which are sectoral. The European Data Innovation Board should cooperate with sectoral bodies, networks or expert groups, or other cross-sectoral organisations dealing with the re-use of data. Regarding data altruism, the European Data Innovation Board should assist the Commission in the development of the data altruism consent form, after consulting the European Data Protection Board. By proposing guidelines on common European data spaces, the European Data Innovation Board should support the development of a functioning European data economy on the basis of those data spaces, as set out in the European strategy for data.
(55) Member States should lay down rules on penalties applicable to infringements of this Regulation and should take all measures necessary to ensure that they are implemented. The penalties provided for should be effective, proportionate and dissuasive. Large discrepancies between rules on penalties could lead to distortion of competition in the digital single market. The harmonisation of such rules could be of benefit in that regard.
(56) In order to provide for an efficient enforcement of this Regulation and to ensure that data intermediation services providers and entities that wish to register as recognised data altruism organisations are able to access and complete the procedures of notification and registration fully online and in a cross-border manner, such procedures should be offered through the single digital gateway established pursuant to Regulation (EU) 2018/1724 of the European Parliament and of the Council <*>. Those procedures should be added to the list of procedures included in Annex II to Regulation (EU) 2018/1724.
---
<*> Regulation (EU) 2018/1724 of the European Parliament and of the Council of 2 October 2018 establishing a single digital gateway to provide access to information, to procedures and to assistance and problem-solving services and amending Regulation (EU) No 1024/2012 (OJ L 295, 21.11.2018, p. 1).
(57) Regulation (EU) 2018/1724 should therefore be amended accordingly.
(58) In order to ensure the effectiveness of this Regulation, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission for the purpose of supplementing this Regulation by laying down special conditions applicable to transfers to third countries of certain non-personal data categories deemed to be highly sensitive in specific Union legislative acts and by establishing a rulebook for recognised data altruism organisations, with which those organisations are to comply, that provides for information, technical and security requirements as well as communication roadmaps and interoperability standards. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making <*>. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States' experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
---
<*> OJ L 123, 12.5.2016, p. 1.
(59) In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission to assist public sector bodies and re-users in their compliance with conditions for re-use set out in this Regulation by establishing model contractual clauses for the transfer by re-users of non-personal data to a third country, to declare that the legal, supervisory and enforcement arrangements of a third country are equivalent to the protection ensured under Union law, to develop the design of the common logo for data intermediation services providers and of the common logo for recognised data altruism organisations, and to establish and develop the European data altruism consent form. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council <*>.
---
<*> Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission's exercise of implementing powers (OJ L 55, 28.2.2011, p. 13).
(60) This Regulation should not affect the application of the rules on competition, and in particular Articles 101 and 102 TFEU. The measures provided for in this Regulation should not be used to restrict competition in a manner contrary to the TFEU. This concerns in particular the rules on the exchange of competitively sensitive information between actual or potential competitors through data intermediation services.
(61) The European Data Protection Supervisor and the European Data Protection Board were consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 and delivered their opinion on 10 March 2021.
(62) This Regulation uses as its guiding principles the respect for the fundamental rights and principles recognised in particular by the Charter of Fundamental Rights of the European Union, including the right to privacy, the protection of personal data, the freedom to conduct a business, the right to property and the integration of persons with disabilities. In the context of the latter, the public service bodies and services under this Regulation should, where relevant, comply with Directives (EU) 2016/2102 <*> and (EU) 2019/882 <**> of the European Parliament and of the Council. Furthermore, Design for All in the context of information and communications technology, which is the conscious and systematic effort to proactively apply principles, methods and tools to promote universal design in computer-related technologies, including internet-based technologies, thus avoiding the need for a posteriori adaptations or specialised design, should be taken into account.
---
<*> Directive (EU) 2016/2102 of the European Parliament and of the Council of 26 October 2016 on the accessibility of the websites and mobile applications of public sector bodies (OJ L 327, 2.12.2016, p. 1).
<**> Directive (EU) 2019/882 of the European Parliament and of the Council of 17 April 2019 on the accessibility requirements for products and services (OJ L 151, 7.6.2019, p. 70).
(63) Since the objectives of this Regulation, namely the re-use, within the Union, of certain categories of data held by public sector bodies as well as the establishment of a notification and supervisory framework for the provision of data intermediation services, a framework for voluntary registration of entities which make data available for altruistic purposes and a framework for the establishment of a European Data Innovation Board, cannot be sufficiently achieved by the Member States, but can rather, by reason of its scale and effects, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives,
**Have adopted this Regulation:**
**Article 1**
**Subject matter and scope**
1. This Regulation lays down:
(a) conditions for the re-use, within the Union, of certain categories of data held by public sector bodies;
(b) a notification and supervisory framework for the provision of data intermediation services;
(c) a framework for voluntary registration of entities which collect and process data made available for altruistic purposes; and
(d) a framework for the establishment of a European Data Innovation Board.
2. This Regulation does not create any obligation on public sector bodies to allow the re-use of data, nor does it release public sector bodies from their confidentiality obligations under Union or national law.
This Regulation is without prejudice to:
(a) specific provisions in Union or national law regarding the access to or re-use of certain categories of data, in particular with regard to the granting of access to and disclosure of official documents; and
(b) the obligations of public sector bodies under Union or national law to allow the re-use of data or to requirements related to processing of non-personal data.
Where sector-specific Union or national law requires public sector bodies, data intermediation services providers or recognised data altruism organisations to comply with specific additional technical, administrative or organisational requirements, including through an authorisation or certification regime, those provisions of that sector-specific Union or national law shall also apply. Any such specific additional requirements shall be non-discriminatory, proportionate and objectively justified.
3. Union and national law on the protection of personal data shall apply to any personal data processed in connection with this Regulation. In particular, this Regulation is without prejudice to Regulations (EU) 2016/679 and (EU) 2018/1725 and Directives 2002/58/EC and (EU) 2016/680, including with regard to the powers and competences of supervisory authorities. In the event of a conflict between this Regulation and Union law on the protection of personal data or national law adopted in accordance with such Union law, the relevant Union or national law on the protection of personal data shall prevail. This Regulation does not create a legal basis for the processing of personal data, nor does it affect any of the rights and obligations set out in Regulations (EU) 2016/679 or (EU) 2018/1725 or Directives 2002/58/EC or (EU) 2016/680.
4. This Regulation is without prejudice to the application of competition law.
5. This Regulation is without prejudice to the competences of the Member States with regard to their activities concerning public security, defence and national security.
Article 2
**Definitions**
**For the purposes of this Regulation, the following definitions apply:**
(1) "data" means any digital representation of acts, facts or information and any compilation of such acts, facts or information, including in the form of sound, visual or audiovisual recording;
(2) "re-use" means the use by natural or legal persons of data held by public sector bodies, for commercial or non-commercial purposes other than the initial purpose within the public task for which the data were produced, except for the exchange of data between public sector bodies purely in pursuit of their public tasks;
(3) "personal data" means personal data as defined in Article 4, point (1), of Regulation (EU) 2016/679;
(4) "non-personal data" means data other than personal data;
(5) "consent" means consent as defined in Article 4, point (11), of Regulation (EU) 2016/679;
(6) "permission" means giving data users the right to the processing of non-personal data;
(7) "data subject" means data subject as referred to in Article 4, point (1), of Regulation (EU) 2016/679;
(8) "data holder" means a legal person, including public sector bodies and international organisations, or a natural person who is not a data subject with respect to the specific data in question, which, in accordance with applicable Union or national law, has the right to grant access to or to share certain personal data or non-personal data;
(9) "data user" means a natural or legal person who has lawful access to certain personal or non-personal data and has the right, including under Regulation (EU) 2016/679 in the case of personal data, to use that data for commercial or non-commercial purposes;
(10) "data sharing" means the provision of data by a data subject or a data holder to a data user for the purpose of the joint or individual use of such data, based on voluntary agreements or Union or national law, directly or through an intermediary, for example under open or commercial licences subject to a fee or free of charge;
(11) "data intermediation service" means a service which aims to establish commercial relationships for the purposes of data sharing between an undetermined number of data subjects and data holders on the one hand and data users on the other, through technical, legal or other means, including for the purpose of exercising the rights of data subjects in relation to personal data, excluding at least the following:
(a) services that obtain data from data holders and aggregate, enrich or transform the data for the purpose of adding substantial value to it and license the use of the resulting data to data users, without establishing a commercial relationship between data holders and data users;
(b) services that focus on the intermediation of copyright-protected content;
(c) services that are exclusively used by one data holder in order to enable the use of the data held by that data holder, or that are used by multiple legal persons in a closed group, including supplier or customer relationships or collaborations established by contract, in particular those that have as a main objective to ensure the functionalities of objects and devices connected to the Internet of Things;
(d) data sharing services offered by public sector bodies that do not aim to establish commercial relationships;
(12) "processing" means processing as defined in Article 4, point (2), of Regulation (EU) 2016/679 with regard to personal data or Article 3, point (2), of Regulation (EU) 2018/1807 with regard to non-personal data;
(13) "access" means data use, in accordance with specific technical, legal or organisational requirements, without necessarily implying the transmission or downloading of data;
(14) "main establishment" of a legal person means the place of its central administration in the Union;
(15) "services of data cooperatives" means data intermediation services offered by an organisational structure constituted by data subjects, one-person undertakings or SMEs who are members of that structure, having as its main objectives to support its members in the exercise of their rights with respect to certain data, including with regard to making informed choices before they consent to data processing, to exchange views on data processing purposes and conditions that would best represent the interests of its members in relation to their data, and to negotiate terms and conditions for data processing on behalf of its members before giving permission to the processing of non-personal data or before they consent to the processing of personal data;
(16) "data altruism" means the voluntary sharing of data on the basis of the consent of data subjects to process personal data pertaining to them, or permissions of data holders to allow the use of their non-personal data without seeking or receiving a reward that goes beyond compensation related to the costs that they incur where they make their data available for objectives of general interest as provided for in national law, where applicable, such as healthcare, combating climate change, improving mobility, facilitating the development, production and dissemination of official statistics, improving the provision of public services, public policy making or scientific research purposes in the general interest;
(17) "public sector body" means the State, regional or local authorities, bodies governed by public law or associations formed by one or more such authorities, or one or more such bodies governed by public law;
(18) "bodies governed by public law" means bodies that have the following characteristics:
(a) they are established for the specific purpose of meeting needs in the general interest, and do not have an industrial or commercial character;
(b) they have legal personality;
(c) they are financed, for the most part, by the State, regional or local authorities, or other bodies governed by public law, are subject to management supervision by those authorities or bodies, or have an administrative, managerial or supervisory board, more than half of whose members are appointed by the State, regional or local authorities, or by other bodies governed by public law;
(19) "public undertaking" means any undertaking over which the public sector bodies may exercise directly or indirectly a dominant influence by virtue of their ownership of it, their financial participation therein, or the rules which govern it; for the purposes of this definition, a dominant influence on the part of the public sector bodies shall be presumed in any of the following cases in which those bodies, directly or indirectly:
(a) hold the majority of the undertaking's subscribed capital;
(b) control the majority of the votes attaching to shares issued by the undertaking;
(c) can appoint more than half of the undertaking's administrative, management or supervisory body;
(20) "secure processing environment" means the physical or virtual environment and organisational means to ensure compliance with Union law, such as Regulation (EU) 2016/679, in particular with regard to data subjects' rights, intellectual property rights, and commercial and statistical confidentiality, integrity and accessibility, as well as with applicable national law, and to allow the entity providing the secure processing environment to determine and supervise all data processing actions, including the display, storage, download and export of data and the calculation of derivative data through computational algorithms;
(21) "legal representative" means a natural or legal person established in the Union explicitly designated to act on behalf of a data intermediation services provider or an entity that collects data for objectives of general interest made available by natural or legal persons on the basis of data altruism not established in the Union, which may be addressed by the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations in addition to or instead of the data intermediation services provider or entity with regard to the obligations under this Regulation, including with regard to initiating enforcement proceedings against a non-compliant data intermediation services provider or entity not established in the Union.
**Article 3**
**Categories of data**
1. This Chapter applies to data held by public sector bodies which are protected on grounds of:
(a) commercial confidentiality, including business, professional and company secrets;
(b) statistical confidentiality;
(c) the protection of intellectual property rights of third parties; or
(d) the protection of personal data, insofar as such data fall outside the scope of Directive (EU) 2019/1024.
2. This Chapter does not apply to:
(a) data held by public undertakings;
(b) data held by public service broadcasters and their subsidiaries, and by other bodies or their subsidiaries for the fulfilment of a public service broadcasting remit;
(c) data held by cultural establishments and educational establishments;
(d) data held by public sector bodies which are protected for reasons of public security, defence or national security; or
(e) data the supply of which is an activity falling outside the scope of the public task of the public sector bodies concerned as defined by law or by other binding rules in the Member State concerned, or, in the absence of such rules, as defined in accordance with common administrative practice in that Member State, provided that the scope of the public tasks is transparent and subject to review.
3. This Chapter is without prejudice to:
(a) Union and national law and international agreements to which the Union or Member States are party on the protection of categories of data referred to in paragraph 1; and
**(b) Union and national law on access to documents.**
**Article 4**
**Prohibition of exclusive arrangements**
1. Agreements or other practices pertaining to the re-use of data held by public sector bodies containing categories of data referred to in Article 3(1) which grant exclusive rights or which have as their objective or effect to grant such exclusive rights or to restrict the availability of data for re-use by entities other than the parties to such agreements or other practices shall be prohibited.
2. By way of derogation from paragraph 1, an exclusive right to re-use data referred to in that paragraph may be granted to the extent necessary for the provision of a service or the supply of a product in the general interest that would not otherwise be possible.
3. An exclusive right as referred to in paragraph 2 shall be granted through an administrative act or contractual arrangement in accordance with applicable Union or national law and in compliance with the principles of transparency, equal treatment and non-discrimination.
4. The duration of an exclusive right to re-use data shall not exceed 12 months. Where a contract is concluded, the duration of the contract shall be the same as the duration of the exclusive right.
5. The grant of an exclusive right pursuant to paragraphs 2, 3 and 4, including the reasons as to why it is necessary to grant such a right, shall be transparent and be made publicly available online, in a form that complies with relevant Union law on public procurement.
6. Agreements or other practices falling within the scope of the prohibition referred to in paragraph 1 which do not meet the conditions laid down in paragraphs 2 and 3 and which were concluded before 23 June 2022 shall be terminated at the end of the applicable contract and in any event by 24 December 2024.
**Article 5**
**Conditions for re-use**
1. Public sector bodies which are competent under national law to grant or refuse access for the re-use of one or more of the categories of data referred to in Article 3(1) shall make publicly available the conditions for allowing such re-use and the procedure to request the re-use via the single information point referred to in Article 8. Where they grant or refuse access for re-use, they may be assisted by the competent bodies referred to in Article 7(1).
Member States shall ensure that public sector bodies are equipped with the necessary resources to comply with this Article.
2. Conditions for re-use shall be non-discriminatory, transparent, proportionate and objectively justified with regard to the categories of data and the purposes of re-use and the nature of the data for which re-use is allowed. Those conditions shall not be used to restrict competition.
3. Public sector bodies shall, in accordance with Union and national law, ensure that the protected nature of data is preserved. They may provide for the following requirements:
(a) to grant access for the re-use of data only where the public sector body or the competent body, following the request for re-use, has ensured that data has been:
(i) anonymised, in the case of personal data; and
(ii) modified, aggregated or treated by any other method of disclosure control, in the case of commercially confidential information, including trade secrets or content protected by intellectual property rights;
(b) to access and re-use the data remotely within a secure processing environment that is provided or controlled by the public sector body;
(c) to access and re-use the data within the physical premises in which the secure processing environment is located in accordance with high security standards, provided that remote access cannot be allowed without jeopardising the rights and interests of third parties.
4. In the case of re-use allowed in accordance with paragraph 3, points (b) and (c), the public sector bodies shall impose conditions that preserve the integrity of the functioning of the technical systems of the secure processing environment used. The public sector body shall reserve the right to verify the process, the means and any results of processing of data undertaken by the re-user to preserve the integrity of the protection of the data and reserve the right to prohibit the use of results that contain information jeopardising the rights and interests of third parties. The decision to prohibit the use of the results shall be comprehensible and transparent to the re-user.
5. Unless national law provides for specific safeguards on applicable confidentiality obligations relating to the re-use of data referred to in Article 3(1), the public sector body shall make the re-use of data provided in accordance with paragraph 3 of this Article conditional on the adherence by the re-user to a confidentiality obligation that prohibits the disclosure of any information that jeopardises the rights and interests of third parties that the re-user may have acquired despite the safeguards put in place. Re-users shall be prohibited from re-identifying any data subject to whom the data relates and shall take technical and operational measures to prevent re-identification and to notify any data breach resulting in the re-identification of the data subjects concerned to the public sector body. In the event of the unauthorised re-use of non-personal data, the re-user shall, without delay, where appropriate with the assistance of the public sector body, inform the legal persons whose rights and interests may be affected.
6. Where the re-use of data cannot be allowed in accordance with the obligations laid down in paragraphs 3 and 4 of this Article and there is no legal basis for transmitting the data under Regulation (EU) 2016/679, the public sector body shall make best efforts, in accordance with Union and national law, to provide assistance to potential re-users in seeking consent of the data subjects or permission from the data holders whose rights and interests may be affected by such re-use, where it is feasible without a disproportionate burden on the public sector body. Where it provides such assistance, the public sector body may be assisted by the competent bodies referred to in Article 7(1).
7. Re-use of data shall be allowed only in compliance with intellectual property rights. The right of the maker of a database as provided for in Article 7(1) of Directive 96/9/EC shall not be exercised by public sector bodies in order to prevent the re-use of data or to restrict re-use beyond the limits set by this Regulation.
8. Where data requested is considered to be confidential, in accordance with Union or national law on commercial or statistical confidentiality, the public sector bodies shall ensure that the confidential data is not disclosed as a result of allowing re-use, unless such re-use is allowed in accordance with paragraph 6.
9. Where a re-user intends to transfer non-personal data protected on the grounds set out in Article 3(1) to a third country, it shall inform the public sector body of its intention to transfer such data and the purpose of such transfer at the time of requesting the re-use of such data. In the case of re-use in accordance with paragraph 6 of this Article, the re-user shall, where appropriate with the assistance of the public sector body, inform the legal person whose rights and interests may be affected of that intention, purpose and the appropriate safeguards. The public sector body shall not allow the re-use unless the legal person gives permission for the transfer.
10. Public sector bodies shall transmit non-personal confidential data or data protected by intellectual property rights to a re-user which intends to transfer those data to a third country other than a country designated in accordance with paragraph 12 only if the re-user contractually commits to:
(a) complying with the obligations imposed in accordance with paragraphs 7 and 8 even after the data is transferred to the third country; and
(b) accepting the jurisdiction of the courts or tribunals of the Member State of the transmitting public sector body with regard to any dispute related to compliance with paragraphs 7 and 8.
11. Public sector bodies shall, where relevant and to the extent of their capabilities, provide guidance and assistance to re-users in complying with the obligations referred to in paragraph 10 of this Article.
In order to assist public sector bodies and re-users, the Commission may adopt implementing acts establishing model contractual clauses for complying with the obligations referred to in paragraph 10 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 33(3).
12. Where justified because of the substantial number of requests across the Union concerning the re-use of non-personal data in specific third countries, the Commission may adopt implementing acts declaring that the legal, supervisory and enforcement arrangements of a third country:
(a) ensure protection of intellectual property and trade secrets in a way that is essentially equivalent to the protection ensured under Union law;
(b) are being effectively applied and enforced; and
(c) provide effective judicial redress.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 33(3).
13. Specific Union legislative acts may deem certain non-personal data categories held by public sector bodies to be highly sensitive for the purposes of this Article where their transfer to third countries may put at risk Union public policy objectives, such as safety and public health or may lead to the risk of re-identification of non-personal, anonymised data. Where such an act is adopted, the Commission shall adopt delegated acts in accordance with Article 32 supplementing this Regulation by laying down special conditions applicable to the transfers of such data to third countries.
Those special conditions shall be based on the nature of the non-personal data categories identified in the specific Union legislative act and on the grounds for deeming those categories to be highly sensitive, taking into account the risks of re-identification of non-personal, anonymised data. They shall be non-discriminatory and limited to what is necessary to achieve the Union public policy objectives identified in that act, in accordance with the Union's international obligations.
If required by specific Union legislative acts as referred to in the first subparagraph, such special conditions may include terms applicable for the transfer or technical arrangements in this regard, limitations with regard to the re-use of data in third countries or categories of persons entitled to transfer such data to third countries or, in exceptional cases, restrictions with regard to transfers to third countries.
14. The natural or legal person to which the right to re-use non-personal data was granted may transfer the data only to those third countries for which the requirements in paragraphs 10, 12 and 13 are met.
1. Public sector bodies which allow re-use of the categories of data referred to in Article 3(1) may charge fees for allowing the re-use of such data.
2. Any fees charged pursuant to paragraph 1 shall be transparent, non-discriminatory, proportionate and objectively justified and shall not restrict competition.
3. Public sector bodies shall ensure that any fees can also be paid online through widely available cross-border payment services, without discrimination based on the place of establishment of the payment service provider, the place of issue of the payment instrument or the location of the payment account within the Union.
4. Where public sector bodies charge fees, they shall take measures to provide incentives for the re-use of the categories of data referred to in Article 3(1) for non-commercial purposes, such as scientific research purposes, and by SMEs and start-ups in accordance with State aid rules. In that regard, public sector bodies may also make the data available at a discounted fee or free of charge, in particular to SMEs and start-ups, civil society and educational establishments. To that end, public sector bodies may establish a list of categories of re-users to which data for re-use is made available at a discounted fee or free of charge. That list, together with the criteria used to establish it, shall be made public.
5. Any fees shall be derived from the costs related to conducting the procedure for requests for the re-use of the categories of data referred to in Article 3(1) and limited to the necessary costs in relation to:
(a) the reproduction, provision and dissemination of data;
(b) the clearance of rights;
(c) anonymisation or other forms of preparation of personal data and commercially confidential data as provided for in Article 5(3);
(d) the maintenance of the secure processing environment;
(e) the acquisition of the right to allow re-use in accordance with this Chapter by third parties outside the public sector; and
(f) assisting re-users in seeking consent from data subjects and permission from data holders whose rights and interests may be affected by such re-use.
6. The criteria and methodology for calculating fees shall be laid down by the Member States and published. The public sector body shall publish a description of the main categories of costs and the rules used for the allocation of costs.
**Article 7**
**Competent bodies**
1. For the purpose of carrying out the tasks referred to in this Article, each Member State shall designate one or more competent bodies, which may be competent for particular sectors, to assist the public sector bodies which grant or refuse access for the re-use of the categories of data referred to in Article 3(1). Member States may either establish one or more new competent bodies or rely on existing public sector bodies or on internal services of public sector bodies that fulfil the conditions laid down in this Regulation.
2. The competent bodies may be empowered to grant access for the re-use of the categories of data referred to in Article 3(1) pursuant to Union or national law which provides for such access to be granted. Where they grant or refuse access for the re-use, Articles 4, 5, 6 and 9 shall apply to those competent bodies.
3. The competent bodies shall have adequate legal, financial, technical and human resources to carry out the tasks assigned to them, including the necessary technical knowledge to be able to comply with relevant Union or national law concerning the access regimes for the categories of data referred to in Article 3(1).
4. The assistance provided for in paragraph 1 shall include, where necessary:
(a) providing technical support by making available a secure processing environment for providing access for the re-use of data;
(b) providing guidance and technical support on how to best structure and store data to make that data easily accessible;
(c) providing technical support for pseudonymisation and ensuring data processing in a manner that effectively preserves the privacy, confidentiality, integrity and accessibility of the information contained in the data for which re-use is allowed, including techniques for the anonymisation, generalisation, suppression and randomisation of personal data or other state-of-the-art privacy-preserving methods, and the deletion of commercially confidential information, including trade secrets or content protected by intellectual property rights;
(d) assisting the public sector bodies, where relevant, to provide support to re-users in requesting consent for re-use from data subjects or permission from data holders in line with their specific decisions, including on the jurisdiction in which the data processing is intended to take place and assisting the public sector bodies in establishing technical mechanisms that allow the transmission of requests for consent or permission from re-users, where practically feasible;
(e) providing public sector bodies with assistance in assessing the adequacy of contractual commitments made by a re-user pursuant to Article 5(10).
5. Each Member State shall notify the Commission of the identity of the competent bodies designated pursuant to paragraph 1 by 24 September 2023. Each Member State shall also notify the Commission of any subsequent change to the identity of those competent bodies.
**Article 8**
**Single information points**
1. Member States shall ensure that all relevant information concerning the application of Articles 5 and 6 is available and easily accessible through a single information point. Member States shall establish a new body or designate an existing or structure as the single information point. The single information point may be linked to sectoral, regional or local information points. The functions of the single information point may be automated provided that the public sector body ensures adequate support.
2. The single information point shall be competent to receive enquiries or requests for the re-use of the categories of data referred to in Article 3(1) and shall transmit them, where possible and appropriate by automated means, to the competent public sector bodies, or the competent bodies referred to in Article 7(1), where relevant. The single information point shall make available by electronic means a searchable asset list containing an overview of all available data resources including, where relevant, those data resources that are available at sectoral, regional or local information points, with relevant information describing the available data, including at least the data format and size and the conditions for their re-use.
3. The single information point may establish a separate, simplified and well-documented information channel for SMEs and start-ups, addressing their needs and capabilities in requesting the re-use of the categories of data referred to in Article 3(1).
4. The Commission shall establish a European single access point offering a searchable electronic register of data available in the national single information points and further information on how to request data via those national single information points.
**Article 9**
**Procedure for requests for re-use**
1. Unless shorter time limits have been established in accordance with national law, the competent public sector bodies or the competent bodies referred to in Article 7(1) shall adopt a decision on the request for the re-use of the categories of data referred to in Article 3(1) within two months of the date of receipt of the request.
In the case of exceptionally extensive and complex requests for re-use, that two-month period may be extended by up to 30 days. In such cases the competent public sector bodies or the competent bodies referred to in Article 7(1) shall notify the applicant as soon as possible that more time is needed for conducting the procedure, together with the reasons for the delay.
2. Any natural or legal person directly affected by a decision as referred to in paragraph 1 shall have an effective right of redress in the Member State where the relevant body is located. Such a right of redress shall be laid down in national law and shall include the possibility of review by an impartial body with the appropriate expertise, such as the national competition authority, the relevant access-to-documents authority, the supervisory authority established in accordance with Regulation (EU) 2016/679 or a national judicial authority, whose decisions are binding upon the public sector body or the competent body concerned.
**Article 10**
**Data intermediation services**
The provision of the following data intermediation services shall comply with Article 12 and shall be subject to a notification procedure:
(a) intermediation services between data holders and potential data users, including making available the technical or other means to enable such services; those services may include bilateral or multilateral exchanges of data or the creation of platforms or databases enabling the exchange or joint use of data, as well as the establishment of other specific infrastructure for the interconnection of data holders with data users;
(b) intermediation services between data subjects that seek to make their personal data available or natural persons that seek to make non-personal data available, and potential data users, including making available the technical or other means to enable such services, and in particular enabling the exercise of the data subjects' rights provided in Regulation (EU) 2016/679;
**(c) services of data cooperatives.**
**Article 11**
**Notification by data intermediation services providers**
1. Any data intermediation services provider who intends to provide the data intermediation services referred to in Article 10 shall submit a notification to the competent authority for data intermediation services.
2. For the purposes of this Regulation, a data intermediation services provider with establishments in more than one Member State shall be deemed to be under the jurisdiction of the Member State in which it has its main establishment, without prejudice to Union law regulating cross-border actions for damages and related proceedings.
3. A data intermediation services provider that is not established in the Union, but which offers the data intermediation services referred to in Article 10 within the Union, shall designate a legal representative in one of the Member States in which those services are offered.
For the purpose of ensuring compliance with this Regulation, the legal representative shall be mandated by the data intermediation services provider to be addressed in addition to or instead of it by competent authorities for data intermediation services or data subjects and data holders, with regard to all issues related to the data intermediation services provided. The legal representative shall cooperate with and comprehensively demonstrate to the competent authorities for data intermediation services, upon request, the actions taken and provisions put in place by the data intermediation services provider to ensure compliance with this Regulation.
The data intermediation services provider shall be deemed to be under the jurisdiction of the Member State in which the legal representative is located. The designation of a legal representative by the data intermediation services provider shall be without prejudice to any legal actions which could be initiated against the data intermediation services provider.
4. After having submitted a notification in accordance with paragraph 1, the data intermediation services provider may start the activity subject to the conditions laid down in this Chapter.
5. The notification referred to in paragraph 1 shall entitle the data intermediation services provider to provide data intermediation services in all Member States.
6. The notification referred to in paragraph 1 shall include the following information:
(a) the name of the data intermediation services provider;
(b) the data intermediation services provider's legal status, form, ownership structure, relevant subsidiaries and, where the data intermediation services provider is registered in a trade or other similar public national register, registration number;
(c) the address of the data intermediation services provider's main establishment in the Union, if any, and, where applicable, of any secondary branch in another Member State or that of the legal representative;
(d) a public website where complete and up-to-date information on the data intermediation services provider and the activities can be found, including as a minimum the information referred to in points (a), (b), (c) and (f);
(e) the data intermediation services provider's contact persons and contact details;
(f) a description of the data intermediation service the data intermediation services provider intends to provide, and an indication of the categories listed in Article 10 under which such data intermediation service falls;
(g) the estimated date for starting the activity, if different from the date of the notification.
7. The competent authority for data intermediation services shall ensure that the notification procedure is non-discriminatory and does not distort the competition.
8. At the request of the data intermediation services provider, the competent authority for data intermediation services shall, within one week of a duly and fully completed notification, issue a standardised declaration, confirming that the data intermediation services provider has submitted the notification referred to in paragraph 1 and that the notification contains the information referred to in paragraph 6.
9. At the request of the data intermediation services provider, the competent authority for data intermediation services shall confirm that the data intermediation services provider complies with this Article and Article 12. Upon receipt of such a confirmation, that data intermediation services provider may use the label "data intermediation services provider recognised in the Union" in its written and spoken communication, as well as a common logo.
In order to ensure that data intermediation services providers recognised in the Union are easily identifiable throughout the Union, the Commission shall, by means of implementing acts, establish a design for the common logo. Data intermediation services providers recognised in the Union shall display the common logo clearly on every online and offline publication that relates to their data intermediation activities.
Those implementing acts shall be adopted in accordance with the advisory procedure referred to in Article 33(2).
10. The competent authority for data intermediation services shall notify the Commission of each new notification by electronic means without delay. The Commission shall keep and regularly update a public register of all data intermediation services providers providing their services in the Union. The information referred to in paragraph 6, points (a), (b), (c), (d), (f) and (g), shall be published in the public register.
11. The competent authority for data intermediation services may charge fees for the notification in accordance with national law. Such fees shall be proportionate and objective and be based on the administrative costs related to the monitoring of compliance and other market control activities of the competent authority for data intermediation services in relation to notifications of data intermediation services providers. In the case of SMEs and start-ups, the competent authority for data intermediation services may charge a discounted fee or waive the fee.
12. Data intermediation services providers shall notify the competent authority for data intermediation services of any changes to the information provided pursuant to paragraph 6 within 14 days of the date of the change.
13. Where a data intermediation services provider ceases its activities, it shall notify the relevant competent authority for data intermediation services determined pursuant to paragraphs 1, 2 and 3 within 15 days.
14. The competent authority for data intermediation services shall notify the Commission of each notification referred to in paragraphs 12 and 13 by electronic means without delay. The Commission shall update the public register of the data intermediation services providers in the Union accordingly.
**Article 12**
**Conditions for providing data intermediation services**
The provision of data intermediation services referred in Article 10 shall be subject to the following conditions:
(a) the data intermediation services provider shall not use the data for which it provides data intermediation services for purposes other than to put them at the disposal of data users and shall provide data intermediation services through a separate legal person;
(b) the commercial terms, including pricing, for the provision of data intermediation services to a data holder or data user shall not be dependent upon whether the data holder or data user uses other services provided by the same data intermediation services provider or by a related entity, and if so to what degree the data holder or data user uses such other services;
(c) the data collected with respect to any activity of a natural or legal person for the purpose of the provision of the data intermediation service, including the date, time and geolocation data, duration of activity and connections to other natural or legal persons established by the person who uses the data intermediation service, shall be used only for the development of that data intermediation service, which may entail the use of data for the detection of fraud or cybersecurity, and shall be made available to the data holders upon request;
(d) the data intermediation services provider shall facilitate the exchange of the data in the format in which it receives it from a data subject or a data holder, shall convert the data into specific formats only to enhance interoperability within and across sectors or if requested by the data user or where mandated by Union law or to ensure harmonisation with international or European data standards and shall offer an opt-out possibility regarding those conversions to data subjects or data holders, unless the conversion is mandated by Union law;
(e) data intermediation services may include offering additional specific tools and services to data holders or data subjects for the specific purpose of facilitating the exchange of data, such as temporary storage, curation, conversion, anonymisation and pseudonymisation, such tools being used only at the explicit request or approval of the data holder or data subject and third-party tools offered in that context not being used for other purposes;
(f) the data intermediation services provider shall ensure that the procedure for access to its service is fair, transparent and non-discriminatory for both data subjects and data holders, as well as for data users, including with regard to prices and terms of service;
(g) the data intermediation services provider shall have procedures in place to prevent fraudulent or abusive practices in relation to parties seeking access through its data intermediation services;
(h) the data intermediation services provider shall, in the event of its insolvency, ensure a reasonable continuity of the provision of its data intermediation services and, where such data intermediation services ensure the storage of data, shall have mechanisms in place to allow data holders and data users to obtain access to, to transfer or to retrieve their data and, where such data intermediation services are provided between data subjects and data users, to allow data subjects to exercise their rights;
(i) the data intermediation services provider shall take appropriate measures to ensure interoperability with other data intermediation services, inter alia, by means of commonly used open standards in the sector in which the data intermediation services provider operates;
(j) the data intermediation services provider shall put in place adequate technical, legal and organisational measures in order to prevent the transfer of or access to non-personal data that is unlawful under Union law or the national law of the relevant Member State;
(k) the data intermediation services provider shall without delay inform data holders in the event of an unauthorised transfer, access or use of the non-personal data that it has shared;
(l) the data intermediation services provider shall take necessary measures to ensure an appropriate level of security for the storage, processing and transmission of non-personal data, and the data intermediation services provider shall further ensure the highest level of security for the storage and transmission of competitively sensitive information;
(m) the data intermediation services provider offering services to data subjects shall act in the data subjects' best interest where it facilitates the exercise of their rights, in particular by informing and, where appropriate, advising data subjects in a concise, transparent, intelligible and easily accessible manner about intended data uses by data users and standard terms and conditions attached to such uses before data subjects give consent;
(n) where a data intermediation services provider provides tools for obtaining consent from data subjects or permissions to process data made available by data holders, it shall, where relevant, specify the third-country jurisdiction in which the data use is intended to take place and provide data subjects with tools to both give and withdraw consent and data holders with tools to both give and withdraw permissions to process data;
(o) the data intermediation services provider shall maintain a log record of the data intermediation activity.
**Article 13**
**Competent authorities for data intermediation services**
1. Each Member State shall designate one or more competent authorities to carry out the tasks related to the notification procedure for data intermediation services and shall notify the Commission of the identity of those competent authorities by 24 September 2023. Each Member State shall also notify the Commission of any subsequent change to the identity of those competent authorities.
2. The competent authorities for data intermediation services shall comply with the requirements set out in Article 26.
3. The powers of the competent authorities for data intermediation services are without prejudice to the powers of the data protection authorities, national competition authorities, authorities in charge of cybersecurity and other relevant sectoral authorities. In accordance with their respective competences under Union and national law, those authorities shall establish strong cooperation and exchange information as is necessary for the exercise of their tasks in relation to data intermediation services providers, and shall aim to achieve consistency in the decisions taken in applying this Regulation.
**Article 14**
**Monitoring of compliance**
1. The competent authorities for data intermediation services shall monitor and supervise compliance of data intermediation services providers with the requirements of this Chapter. The competent authorities for data intermediation services may also monitor and supervise the compliance of data intermediation services providers, on the basis of a request by a natural or legal person.
2. The competent authorities for data intermediation services shall have the power to request from data intermediation services providers or their legal representatives all the information that is necessary to verify compliance with the requirements of this Chapter. Any request for information shall be proportionate to the performance of the task and shall be reasoned.
3. Where the competent authority for data intermediation services finds that a data intermediation services provider does not comply with one or more of the requirements of this Chapter, it shall notify that data intermediation services provider of those findings and give it the opportunity to state its views, within 30 days of the receipt of the notification.
4. The competent authority for data intermediation services shall have the power to require the cessation of the infringement referred to in paragraph 3 within a reasonable time limit or immediately in the case of a serious infringement and shall take appropriate and proportionate measures with the aim of ensuring compliance. In that regard, the competent authority for data intermediation services shall have the power, where appropriate:
(a) to impose, through administrative procedures, dissuasive financial penalties, which may include periodic penalties and penalties with retroactive effect, to initiate legal proceedings for the imposition of fines, or both;
(b) to require a postponement of the commencement or a suspension of the provision of the data intermediation service until any changes to the conditions requested by the competent authority for data intermediation services have been made; or
(c) to require the cessation of the provision of the data intermediation service in the event that serious or repeated infringements have not been remedied despite prior notification in accordance with paragraph 3.
The competent authority for data intermediation services shall request the Commission to remove the data intermediation services provider from the register of data intermediation services providers once it has ordered the cessation of the provision of the data intermediation service in accordance with the first subparagraph, point (c).
If a data intermediation services provider remedies infringements, that data intermediation services provider shall re-notify the competent authority for data intermediation services. The competent authority for data intermediation services shall notify the Commission of each new re-notification.
5. Where a data intermediation services provider that is not established in the Union fails to designate a legal representative or the legal representative fails, upon request of the competent authority for data intermediation services, to provide the necessary information that comprehensively demonstrates compliance with this Regulation, the competent authority for data intermediation services shall have the power to postpone the commencement of or to suspend the provision of the data intermediation service until the legal representative is designated or the necessary information is provided.
6. The competent authorities for data intermediation services shall notify the data intermediation services provider concerned of the measures imposed pursuant to paragraphs 4 and 5 and the reasons on which they are based, as well as the necessary steps to be taken to rectify the relevant shortcomings, without delay, and shall stipulate a reasonable period, which shall not be longer than 30 days, for the data intermediation services provider to comply with those measures.
7. If a data intermediation services provider has its main establishment or its legal representative in a Member State but provides services in other Member States, the competent authority for data intermediation services of the Member State of the main establishment or where the legal representative is located and the competent authorities for data intermediation services of those other Member States shall cooperate and assist each other. Such assistance and cooperation may cover information exchanges between the competent authorities for data intermediation services concerned for the purposes of their tasks under this Regulation and reasoned requests to take the measures referred to in this Article.
Where a competent authority for data intermediation services in one Member State requests assistance from a competent authority for data intermediation services in another Member State, it shall submit a reasoned request. The competent authority for data intermediation services shall, upon such a request, provide a response without delay and within a timeframe proportionate to the urgency of the request.
Any information exchanged in the context of assistance requested and provided under this paragraph shall be used only in respect of the matter for which it was requested.
**Article 15**
**Exceptions**
This Chapter shall not apply to recognised data altruism organisations or other not-for-profit entities insofar as their activities consist of seeking to collect data for objectives of general interest, made available by natural or legal persons on the basis of data altruism, unless those organisations and entities aim to establish commercial relationships between an undetermined number of data subjects and data holders on the one hand and data users on the other.
**Article 16**
**National arrangements for data altruism**
Member States may have in place organisational or technical arrangements, or both, to facilitate data altruism. To that end, Member States may establish national policies for data altruism. Those national policies may, in particular, assist data subjects in making personal data related to them held by public sector bodies available voluntarily for data altruism, and set out the necessary information that is required to be provided to data subjects concerning the re-use of their data in the general interest.
If a Member State develops such national policies, it shall notify the Commission thereof.
**Article 17**
**Public registers of recognised data altruism organisations**
1. Each competent authority for the registration of data altruism organisations shall keep and regularly update a public national register of recognised data altruism organisations.
2. The Commission shall maintain a public Union register of recognised data altruism organisations for information purposes. Provided that an entity is registered in the public national register of recognised data altruism organisations in accordance with Article 18, it may use the label "data altruism organisation recognised in the Union" in its written and spoken communication, as well as a common logo.
In order to ensure that recognised data altruism organisations are easily identifiable throughout the Union, the Commission shall, by means of implementing acts, establish a design for the common logo. Recognised data altruism organisations shall display the common logo clearly on every online and offline publication that relates to their data altruism activities. The common logo shall be accompanied by a QR code with a link to the public Union register of recognised data altruism organisations.
Those implementing acts shall be adopted in accordance with the advisory procedure referred to in Article 33(2).
**Article 18**
**General requirements for registration**
In order to qualify for registration in a public national register of recognised data altruism organisations, an entity shall:
(a) carry out data altruism activities;
(b) be a legal person established pursuant to national law to meet objectives of general interest as provided for in national law, where applicable;
(c) operate on a not-for-profit basis and be legally independent from any entity that operates on a for-profit basis;
(d) carry out its data altruism activities through a structure that is functionally separate from its other activities;
(e) comply with the rulebook referred to Article 22(1), at the latest 18 months after the date of entry into force of the delegated acts referred to in that paragraph.
**Article 19**
**Registration of recognised data altruism organisations**
1. An entity which meets the requirements of Article 18 may submit an application for registration in the public national register of recognised data altruism organisations in the Member State in which it is established.
2. An entity which meets the requirements of Article 18 and has establishments in more than one Member State may submit an application for registration in the public national register of recognised data altruism organisations in the Member State in which it has its main establishment.
3. An entity which meets the requirements of Article 18 but which is not established in the Union shall designate a legal representative in one of the Member States in which the data altruism services are offered.
For the purpose of ensuring compliance with this Regulation, the legal representative shall be mandated by the entity to be addressed in addition to or instead of it by competent authorities for the registration of data altruism organisations or data subjects and data holders, with regard to all issues related to that entity. The legal representative shall cooperate with and comprehensively demonstrate to the competent authorities for the registration of data altruism organisations, upon request, the actions taken and provisions put in place by the entity to ensure compliance with this Regulation.
The entity shall be deemed to be under the jurisdiction of the Member State in which the legal representative is located. Such an entity may submit an application for registration in the public national register of recognised data altruism organisations in that Member State. The designation of a legal representative by the entity shall be without prejudice to any legal actions which could be initiated against the entity.
4. Applications for registration referred to in paragraphs 1, 2 and 3 shall contain the following information:
(a) the name of the entity;
(b) the entity's legal status, form and, where the entity is registered in a public national register, registration number;
(c) the statutes of the entity, where appropriate;
(d) the entity's sources of income;
(e) the address of the entity's main establishment in the Union, if any, and, where applicable, any secondary branch in another Member State or that of the legal representative;
(f) a public website where complete and up-to-date information on the entity and the activities can be found, including as a minimum the information referred to in points (a), (b), (d), (e) and (h);
(g) the entity's contact persons and contact details;
(h) the objectives of general interest it intends to promote when collecting data;
(i) the nature of the data that the entity intends to control or process, and, in the case of personal data, an indication of the categories of personal data;
(j) any other documents which demonstrate that the requirements of Article 18 are met.
5. Where the entity has submitted all necessary information pursuant to paragraph 4 and after the competent authority for the registration of data altruism organisations has evaluated the application for registration and found that the entity complies with the requirements of Article 18, it shall register the entity in the public national register of recognised data altruism organisations within 12 weeks after the receipt of the application for registration. The registration shall be valid in all Member States.
The competent authority for the registration of data altruism organisations shall notify the Commission of any registration.
The Commission shall include that registration in the public Union register of recognised data altruism organisations.
6. The information referred to in paragraph 4, points (a), (b), (f), (g) and (h), shall be published in the relevant public national register of recognised data altruism organisations.
7. A recognised data altruism organisation shall notify the relevant competent authority for the registration of data altruism organisations of any changes to the information provided pursuant to paragraph 4 within 14 days of the date of the change.
The competent authority for the registration of data altruism organisations shall notify the Commission of each such notification by electronic means without delay. Based on such a notification, the Commission shall update the public Union register of recognised data altruism organisations without delay.
**Article 20**
**Transparency requirements**
1. A recognised data altruism organisation shall keep full and accurate records concerning:
(a) all natural or legal persons that were given the possibility to process data held by that recognised data altruism organisation, and their contact details;
(b) the date or duration of the processing of personal data or use of non-personal data;
(c) the purpose of the processing as declared by the natural or legal person that was given the possibility of processing;
(d) the fees paid by natural or legal persons processing the data, if any.
2. A recognised data altruism organisation shall draw up and transmit to the relevant competent authority for the registration of data altruism organisations an annual activity report which shall contain at least the following:
(a) information on the activities of the recognised data altruism organisation;
(b) a description of the way in which the objectives of general interest for which data was collected have been promoted during the given financial year;
(c) a list of all natural and legal persons that were allowed to process data it holds, including a summary description of the objectives of general interest pursued by such data processing and the description of the technical means used for it, including a description of the techniques used to preserve privacy and data protection;
(d) a summary of the results of the data processing allowed by the recognised data altruism organisation, where applicable;
(e) information on sources of revenue of the recognised data altruism organisation, in particular all revenue from allowing access to the data, and on expenditure.
**Article 21**
**Specific requirements to safeguard rights and interests**
**of data subjects and data holders with regard to their data**
1. A recognised data altruism organisation shall inform data subjects or data holders prior to any processing of their data in a clear and easily comprehensible manner of:
(a) the objectives of general interest and, if applicable, the specified, explicit and legitimate purpose for which personal data is to be processed, and for which it permits the processing of their data by a data user;
(b) the location of and the objectives of general interest for which it permits any processing carried out in a third country, where the processing is carried out by the recognised data altruism organisation.
2. The recognised data altruism organisation shall not use the data for other objectives than those of general interest for which the data subject or data holder allows the processing. The recognised data altruism organisation shall not use misleading marketing practices to solicit the provision of data.
3. The recognised data altruism organisation shall provide tools for obtaining consent from data subjects or permissions to process data made available by data holders. The recognised data altruism organisation shall also provide tools for easy withdrawal of such consent or permission.
4. The recognised data altruism organisation shall take measures to ensure an appropriate level of security for the storage and processing of non-personal data that it has collected based on data altruism.
5. The recognised data altruism organisation shall, without delay, inform data holders in the event of any unauthorised transfer, access or use of the non-personal data that it has shared.
6. Where the recognised data altruism organisation facilitates data processing by third parties, including by providing tools for obtaining consent from data subjects or permissions to process data made available by data holders, it shall, where relevant, specify the third-country jurisdiction in which the data use is intended to take place.
**Article 22**
**Rulebook**
1. The Commission shall adopt delegated acts in accordance with Article 32, supplementing this Regulation by establishing a rulebook laying down:
(a) appropriate information requirements to ensure that data subjects and data holders are provided, before a consent or permission for data altruism is given, with sufficiently detailed, clear and transparent information regarding the use of data, the tools for giving and withdrawing consent or permission, and the measures taken to avoid misuse of the data shared with the data altruism organisation;
(b) appropriate technical and security requirements to ensure the appropriate level of security for the storage and processing of data, as well as for the tools for giving and withdrawing consent or permission;
(c) communication roadmaps taking a multi-disciplinary approach to raise awareness of data altruism, of the designation as a "data altruism organisation recognised in the Union" and of the rulebook among relevant stakeholders, in particular data holders and data subjects that would potentially share their data;
(d) recommendations on relevant interoperability standards.
2. The rulebook referred to in paragraph 1 shall be prepared in close cooperation with data altruism organisations and relevant stakeholders.
**Article 23**
**Competent authorities for the registration of data altruism**
**organisations**
1. Each Member State shall designate one or more competent authorities responsible for its public national register of recognised data altruism organisations.
The competent authorities for the registration of data altruism organisations shall comply with the requirements set out in Article 26.
2. Each Member State shall notify the Commission of the identity of their competent authorities for the registration of data altruism organisations by 24 September 2023. Each Member State shall also notify the Commission of any subsequent change to the identity of those competent authorities.
3. The competent authority for the registration of data altruism organisations of a Member State shall undertake its tasks in cooperation with the relevant data protection authority, where such tasks are related to processing of personal data, and with relevant sectoral authorities of that Member State.
**Article 24**
**Monitoring of compliance**
1. The competent authorities for the registration of data altruism organisations shall monitor and supervise compliance of recognised data altruism organisations with the requirements laid down in this Chapter. The competent authority for the registration of data altruism organisations may also monitor and supervise the compliance of such recognised data altruism organisations, on the basis of a request by a natural or legal person.
2. The competent authorities for the registration of data altruism organisations shall have the power to request information from recognised data altruism organisations that is necessary to verify compliance with the requirements of this Chapter. Any request for information shall be proportionate to the performance of the task and shall be reasoned.
3. Where the competent authority for the registration of data altruism organisations finds that a recognised data altruism organisation does not comply with one or more of the requirements of this Chapter, it shall notify the recognised data altruism organisation of those findings and give it the opportunity to state its views within 30 days of the receipt of the notification.
4. The competent authority for the registration of data altruism organisations shall have the power to require the cessation of the infringement referred to in paragraph 3 either immediately or within a reasonable time limit and shall take appropriate and proportionate measures with the aim of ensuring compliance.
5. If a recognised data altruism organisation does not comply with one or more of the requirements of this Chapter even after having been notified in accordance with paragraph 3 by the competent authority for the registration of data altruism organisations, that recognised data altruism organisation shall:
(a) lose its right to use the label "data altruism organisation recognised in the Union" in any written and spoken communication;
(b) be removed from the relevant public national register of recognised data altruism organisations and the public Union register of recognised data altruism organisations.
Any decision revoking the right to use the label "data altruism organisation recognised in the Union" under the first subparagraph, point (a), shall be made public by the competent authority for the registration of data altruism organisations.
6. If a recognised data altruism organisation has its main establishment or its legal representative in a Member State but is active in other Member States, the competent authority for the registration of data altruism organisations of the Member State of the main establishment or where the legal representative is located and the competent authorities for the registration of data altruism organisations of those other Member States shall cooperate and assist each other. Such assistance and cooperation may cover information exchanges between the competent authorities for the registration of data altruism organisations concerned for the purposes of their tasks under this Regulation and reasoned requests to take the measures referred to in this Article.
Where a competent authority for the registration of data altruism organisations in one Member State requests assistance from a competent authority for the registration of data altruism organisations in another Member State, it shall submit a reasoned request. The competent authority for the registration of data altruism organisations shall, upon such a request, provide a response without delay and within a timeframe proportionate to the urgency of the request.
Any information exchanged in the context of assistance requested and provided under this paragraph shall be used only in respect of the matter for which it was requested.
**Article 25**
**European data altruism consent form**
1. In order to facilitate the collection of data based on data altruism, the Commission shall adopt implementing acts establishing and developing a European data altruism consent form, after consulting the European Data Protection Board, taking into account the advice of the European Data Innovation Board and duly involving relevant stakeholders. The form shall allow the collection of consent or permission across Member States in a uniform format. Those implementing acts shall be adopted in accordance with the advisory procedure referred to in Article 33(2).
2. The European data altruism consent form shall use a modular approach allowing customisation for specific sectors and for different purposes.
3. Where personal data are provided, the European data altruism consent form shall ensure that data subjects are able to give consent to and withdraw consent from a specific data processing operation in compliance with the requirements of Regulation (EU) 2016/679.
4. The form shall be available in a manner that can be printed on paper and is easily understandable as well as in an electronic, machine-readable form.
**Article 26**
**Requirements relating to competent authorities**
1. The competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall be legally distinct from, and functionally independent of, any data intermediation services provider or recognised data altruism organisation. The functions of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations may be carried out by the same authority. Member States may either establish one or more new authorities for those purposes or rely on existing ones.
2. Competent authorities for data intermediation services and competent authorities for the registration of data altruism organisations shall exercise their tasks in an impartial, transparent, consistent, reliable and timely manner. Where they exercise their tasks, they shall safeguard fair competition and non-discrimination.
3. The top-level management and personnel responsible for carrying out the relevant tasks of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall not be the designer, manufacturer, supplier, installer, purchaser, owner, user or maintainer of the services which they evaluate, nor the authorised representative of any of those parties. This shall not preclude the use of evaluated services that are necessary for the operations of the competent authority for data intermediation services and the competent authority for the registration of data altruism organisations or the use of such services for personal purposes.
4. The top-level management and personnel of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall not engage in any activity that may conflict with their independence of judgment or integrity in relation to evaluation activities assigned to them.
5. The competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall have at their disposal the adequate financial and human resources to carry out the tasks assigned to them, including the necessary technical knowledge and resources.
6. The competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations of a Member State shall provide the Commission and competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations from other Member States, on reasoned request and without delay, with the information necessary to carry out their tasks under this Regulation. Where a competent authority for data intermediation services or a competent authority for the registration of data altruism organisations considers the information requested to be confidential in accordance with Union and national law on commercial and professional confidentiality, the Commission and any other competent authorities for data intermediation services or competent authorities for the registration of data altruism organisations concerned shall ensure such confidentiality.
**Article 27**
**Right to lodge a complaint**
1. Natural and legal persons shall have the right to lodge a complaint in relation to any matter falling within the scope of this Regulation, individually or, where relevant, collectively, with the relevant competent authority for data intermediation services against a data intermediation services provider or with the relevant competent authority for the registration of data altruism organisations against a recognised data altruism organisation.
2. The competent authority for data intermediation services or the competent authority for the registration of data altruism organisations with which the complaint has been lodged shall inform the complainant of:
(a) the progress of the proceedings and of the decision taken; and
**(b) the judicial remedies provided for in Article 28.**
**Article 28**
**Right to an effective judicial remedy**
1. Notwithstanding any administrative or other non-judicial remedies, any affected natural and legal persons shall have the right to an effective judicial remedy with regard to legally binding decisions referred to in Article 14 taken by the competent authorities for data intermediation services in the management, control and enforcement of the notification regime for data intermediation services providers and legally binding decisions referred to in Articles 19 and 24 taken by the competent authorities for the registration of data altruism organisations in the monitoring of recognised data altruism organisations.
2. Proceedings pursuant to this Article shall be brought before the courts or tribunals of the Member State of the competent authority for data intermediation services or the competent authority for the registration of data altruism organisations against which the judicial remedy is sought individually or, where relevant, collectively by the representatives of one or more natural or legal persons.
3. Where a competent authority for data intermediation services or a competent authority for the registration of data altruism organisations fails to act on a complaint, any affected natural and legal persons shall, in accordance with national law, either have the right to an effective judicial remedy or access to review by an impartial body with the appropriate expertise.
**Article 29**
**European Data Innovation Board**
1. The Commission shall establish a European Data Innovation Board in the form of an expert group, consisting of representatives of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations of all Member States, the European Data Protection Board, the European Data Protection Supervisor, ENISA, the Commission, the EU SME Envoy or a representative appointed by the network of SME envoys, and other representatives of relevant bodies in specific sectors as well as bodies with specific expertise. In its appointments of individual experts, the Commission shall aim to achieve gender and geographical balance among the members of the expert group.
2. The European Data Innovation Board shall consist of at least the following three subgroups:
(a) a subgroup composed of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations, with a view to carrying out the tasks pursuant to Article 30, points (a), (c), (j) and (k);
(b) a subgroup for technical discussions on standardisation, portability and interoperability pursuant to Article 30, points (f) and (g);
(c) a subgroup for stakeholder involvement composed of relevant representatives from industry, research, academia, civil society, standardisation organisations, relevant common European data spaces and other relevant stakeholders and third parties advising the European Data Innovation Board on tasks pursuant to Article 30, points (d), (e), (f), (g) and (h).
3. The Commission shall chair the meetings of the European Data Innovation Board.
4. The European Data Innovation Board shall be assisted by a secretariat provided by the Commission.
**Article 30**
**Tasks of the European Data Innovation Board**
The European Data Innovation Board shall have the following tasks:
(a) to advise and assist the Commission with regard to developing a consistent practice of public sector bodies and competent bodies referred to in Article 7(1) in handling requests for the re-use of the categories of data referred to in Article 3(1);
(b) to advise and assist the Commission with regard to developing a consistent practice for data altruism across the Union;
(c) to advise and assist the Commission with regard to developing a consistent practice of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations in the application of requirements applicable to data intermediation services providers and recognised data altruism organisations;
(d) to advise and assist the Commission with regard to developing consistent guidelines on how to best protect, in the context of this Regulation, commercially sensitive non-personal data, in particular trade secrets, but also non-personal data representing content protected by intellectual property rights from unlawful access that risks intellectual property theft or industrial espionage;
(e) to advise and assist the Commission with regard to developing consistent guidelines for cybersecurity requirements for the exchange and storage of data;
(f) to advise the Commission, in particular taking into account the input from standardisation organisations, on the prioritisation of cross-sector standards to be used and developed for data use and cross-sector data sharing between emerging common European data spaces, cross-sectoral comparison and exchange of best practices with regard to sectoral requirements for security and access procedures, taking into account sector-specific standardisation activities, in particular clarifying and distinguishing which standards and practices are cross-sectoral and which are sectoral;
(g) to assist the Commission, in particular taking into account the input from standardisation organisations, in addressing fragmentation of the internal market and the data economy in the internal market by enhancing cross-border, cross-sector interoperability of data as well as data sharing services between different sectors and domains, building on existing European, international or national standards, inter alia with the aim of encouraging the creation of common European data spaces;
(h) to propose guidelines for common European data spaces, namely purpose- or sector-specific or cross-sectoral interoperable frameworks of common standards and practices to share or jointly process data for, inter alia, the development of new products and services, scientific research or civil society initiatives, such common standards and practices taking into account existing standards, complying with the competition rules and ensuring non-discriminatory access to all participants, for the purpose of facilitating data sharing in the Union and reaping the potential of existing and future data spaces, addressing, inter alia:
(i) cross-sectoral standards to be used and developed for data use and cross-sector data sharing, cross-sectoral comparison and exchange of best practices with regard to sectoral requirements for security and access procedures, taking into account sector-specific standardisation activities, in particular clarifying and distinguishing which standards and practices are cross-sectoral and which are sectoral;
(ii) requirements to counter barriers to market entry and to avoid lock-in effects, for the purpose of ensuring fair competition and interoperability;
(iii) adequate protection for lawful data transfers to third countries, including safeguards against any transfers prohibited by Union law;
(iv) adequate and non-discriminatory representation of relevant stakeholders in the governance of common European data spaces;
(v) adherence to cybersecurity requirements in accordance with Union law;
(i) to facilitate cooperation between Member States with regard to setting harmonised conditions allowing for the re-use of the categories of data referred to in Article 3(1) held by public sector bodies across the internal market;
(j) to facilitate cooperation between competent authorities for data intermediation services and competent authorities for the registration of data altruism organisations through capacity-building and the exchange of information, in particular by establishing methods for the efficient exchange of information relating to the notification procedure for data intermediation services providers and the registration and monitoring of recognised data altruism organisations, including coordination with regard to the setting of fees or penalties, as well as facilitate cooperation between competent authorities for data intermediation services and competent authorities for the registration of data altruism organisations with regard to international access and transfer of data;
(k) to advise and assist the Commission with regard to evaluating whether the implementing acts referred to in Article 5(11) and (12) are to be adopted;
(l) to advise and assist the Commission with regard to developing the European data altruism consent form in accordance with Article 25(1);
(m) to advise the Commission on improving the international regulatory environment for non-personal data, including standardisation.
**Article 31**
**International access and transfer**
1. The public sector body, the natural or legal person to which the right to re-use data was granted under Chapter II, the data intermediation services provider or the recognised data altruism organisation shall take all reasonable technical, legal and organisational measures, including contractual arrangements, in order to prevent international transfer or governmental access to non-personal data held in the Union where such transfer or access would create a conflict with Union law or the national law of the relevant Member State, without prejudice to paragraph 2 or 3.
2. Any decision or judgment of a third-country court or tribunal and any decision of a third-country administrative authority requiring a public sector body, a natural or legal person to which the right to re-use data was granted under Chapter II, a data intermediation services provider or recognised data altruism organisation to transfer or give access to non-personal data within the scope of this Regulation held in the Union shall be recognised or enforceable in any manner only if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or any such agreement between the requesting third country and a Member State.
3. In the absence of an international agreement as referred to in paragraph 2 of this Article, where a public sector body, a natural or legal person to which the right to re-use data was granted under Chapter II, a data intermediation services provider or recognised data altruism organisation is the addressee of a decision or judgment of a third-country court or tribunal or a decision of a third-country administrative authority to transfer or give access to non-personal data within the scope of this Regulation held in the Union and compliance with such a decision would risk putting the addressee in conflict with Union law or with the national law of the relevant Member State, transfer to or access to such data by that third-country authority shall take place only where:
(a) the third-country system requires the reasons and proportionality of such a decision or judgment to be set out and requires such a decision or judgment to be specific in character, for instance by establishing a sufficient link to certain suspected persons or infringements;
(b) the reasoned objection of the addressee is subject to a review by a competent third-country court or tribunal; and
(c) the competent third-country court or tribunal issuing the decision or judgment or reviewing the decision of an administrative authority is empowered under the law of that third country to take duly into account the relevant legal interests of the provider of the data protected under Union law or the national law of the relevant Member State.
4. If the conditions laid down in paragraph 2 or 3 are met, the public sector body, the natural or legal person to which the right to re-use data was granted under Chapter II, the data intermediation services provider or the recognised data altruism organisation shall provide the minimum amount of data permissible in response to a request, based on a reasonable interpretation of the request.
5. The public sector body, the natural or legal person to which the right to re-use data was granted under Chapter II, the data intermediation services provider and the recognised data altruism organisation shall inform the data holder about the existence of a request of a third-country administrative authority to access its data before complying with that request, except where the request serves law enforcement purposes and for as long as this is necessary to preserve the effectiveness of the law enforcement activity.
**Article 32**
**Exercise of the delegation**
1. The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2. The power to adopt delegated acts referred to in Article 5(13) and Article 22(1) shall be conferred on the Commission for an indeterminate period of time from 23 June 2022.
3. The delegation of power referred to in Article 5(13) and Article 22(1) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the Official Journal of the European Union or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4. Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5. As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6. A delegated act adopted pursuant to Article 5(13) or Article 22(1) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of three months of notification of that act to the European Parliament and to the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by three months at the initiative of the European Parliament or of the Council.
Article 33
**1. The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.**
**2. Where reference is made to this paragraph, Article 4 of Regulation (EU) No 182/2011 shall apply.**
**3. Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.**
Penalties
1. Member States shall lay down the rules on penalties applicable to infringements of the obligations regarding transfers of non-personal data to third countries pursuant to Article 5(14) and Article 31, the notification obligation of data intermediation services providers pursuant to Article 11, the conditions for providing data intermediation services pursuant to Article 12 and the conditions for the registration as a recognised data altruism organisation pursuant to Articles 18, 20, 21 and 22, and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. In their rules on penalties, Member States shall take into account the recommendations of the European Data Innovation Board. Member States shall, by 24 September 2023, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
2. Member States shall take into account the following non-exhaustive and indicative criteria for the imposition of penalties on data intermediation services providers and recognised data altruism organisations for infringements of this Regulation, where appropriate:
**(a) the nature, gravity, scale and duration of the infringement;**
**(b) any action taken by the data intermediation services provider or recognised data altruism organisation to mitigate or remedy the damage caused by the infringement;**
**(c) any previous infringements by the data intermediation services provider or recognised data altruism organisation;**
**(d) the financial benefits gained or losses avoided by the data intermediation services provider or recognised data altruism organisation due to the infringement, insofar as such benefits or losses can be reliably established;**
**(e) any other aggravating or mitigating factors applicable to the circumstances of the case.**
Evaluation and review
By 24 September 2025, the Commission shall carry out an evaluation of this Regulation and submit a report on its main findings to the European Parliament and to the Council as well as to the European Economic and Social Committee. The report shall be accompanied, where necessary, by legislative proposals.
The report shall assess, in particular:
(a) the application and functioning of the rules on penalties laid down by the Member States pursuant to Article 34;
(b) the level of compliance of the legal representatives of data intermediation services providers and recognised data altruism organisations that are not established in the Union with this Regulation and the level of enforceability of penalties imposed on those providers and organisations;
(c) the type of data altruism organisations registered under Chapter IV and an overview of the objectives of general interests for which data are shared in view of establishing clear criteria in that respect.
Member States shall provide the Commission with the information necessary for the preparation of that report.
**Article 36**
**Amendment to Regulation (EU) 2018/1724**
**In the table in Annex II to Regulation (EU) 2018/1724, the entry "Starting, running and closing a business" is replaced by the following:**
| Life events | Procedures | Expected output subject to an assessment of the application by the competent authority in accordance with national law, where relevant |
| Starting, running and closing a business | Notification of business activity, permission for exercising a business activity, changes of business activity and the termination of a business activity not involving insolvency or liquidation procedures, excluding the initial registration of a business activity with the business register and excluding procedures concerning the constitution of or any subsequent filing by companies or firms within the meaning of the second paragraph of Article 54 TFEU | Confirmation of the receipt of notification or change, or of the request for permission for business activity |
| Registration of an employer (a natural person) with compulsory pension and insurance schemes | Confirmation of registration or social security registration number |
| Registration of employees with compulsory pension and insurance schemes | Confirmation of registration or social security registration number |
| Submitting a corporate tax declaration | Confirmation of the receipt of the declaration |
| Notification to the social security schemes of the end of contract with an employee, excluding procedures for the collective termination of employee contracts | Confirmation of the receipt of the notification |
| Payment of social contributions for employees | Receipt or other form of confirmation of payment of social contributions for employees |
| Notification of a data intermediation services provider | Confirmation of the receipt of notification |
| Registration as a data altruism organisation recognised in the Union | Confirmation of the registration |
**Article 37**
**Transitional arrangements**
Entities providing the data intermediation services referred to in Article 10 on 23 June 2022 shall comply with the obligations set out in Chapter III by 24 September 2025.
**Article 38**
**Entry into force and application**
This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union.
It shall apply from 24 September 2023.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 30 May 2022.
---