Закон ЕС о данных: что это значит для вашей стратегии работы с данными

Оглавление

• Что такое Закон ЕС о данных?
• Почему Закон ЕС о данных имеет значение
• Основные требования и обязательства Закона о данных
• Кого затрагивает Закон о данных
• Как подготовиться к соблюдению Закона ЕС о данных?
• От соблюдения требований к возможностям
• Хотите узнать больше о том, что Закон ЕС о данных означает для вашей организации?

Европейский союз продолжает менять цифровой ландшафт, уделяя внимание не только безопасности (NIS2) и искусственному интеллекту (Закон ЕС об ИИ), но и тому, как осуществляется доступ к самим данным, их совместное использование и применение. С принятием Закона ЕС о данных происходит фундаментальный сдвиг: организации больше не могут рассматривать данные, генерируемые их продуктами и услугами, как исключительно свои собственные.

Закон о данных вводит новые права для пользователей и обязательства для организаций, коренным образом меняя потоки данных в экосистемах. Для многих это окажет прямое влияние на облачную стратегию, архитектуру данных и договорные отношения.

Что такое Закон ЕС о данных?

Закон ЕС о данных (Регламент (ЕС) 2023/2854) устанавливает гармонизированные правила честного доступа к данным и их использования в экономике ЕС. В отличие от GDPR, который фокусируется на защите персональных данных, Закон о данных затрагивает как персональные, так и неперсональные данные, включая данные, генерируемые машинами с устройств интернета вещей (IoT).

Краткий график внедрения

• Январь 2025 г.: Вступил в силу
• 12 сентября 2025 г.: Вступают в силу основные обязательства
• 12 сентября 2026 г.: Обязательства по проектированию с учетом требований к данным (data-by-design) и совместимости
• 12 января 2027 г.: Запрет на плату за смену провайдера
• 12 сентября 2027 г.: Полное внедрение

Почему Закон ЕС о данных имеет значение

В настоящее время ограниченное число провайдеров контролирует большую часть данных, генерируемых подключенными продуктами и цифровыми платформами. Это создает структурные проблемы, такие как:

• Привязка к определенному поставщику (vendor lock-in)
• Ограниченные возможности для сторонних инноваций
• Концентрация рыночной власти

Закон о данных решает эти проблемы путем введения юридически обязательных прав и обязанностей в отношении доступа к данным, их совместного использования и переносимости. Это позиционирует контроль над данными как ключевой фактор способности продолжать инновации.

Основные требования и обязательства Закона о данных

Закон о данных внедряет ориентированную на пользователя модель данных с четкими обязательствами по всей цепочке создания стоимости. Он определяет четкие роли между «держателями данных» и «пользователями данных», а также устанавливает правила доступа к данным, их совместного использования и передачи в цифровой экосистеме.

Пользователями могут быть как потребители, так и предприятия. Цель состоит в том, чтобы предотвратить изоляцию данных внутри экосистем и устранить барьеры для смены провайдеров. ЕС стремится создать инфраструктуру открытых данных, сохранить контроль за владельцами данных, предотвратить монополии и способствовать инновациям.

Регламент применяется ко многим секторам и вводит новые технические, договорные и операционные требования, которые организации должны внедрить в дизайн продуктов, предоставление услуг и отношения с поставщиками.

Основные требования

• Обеспечить доступ пользователей к данным: Пользователи должны иметь доступ к данным, генерируемым их продуктами и услугами
• Обеспечить контролируемый пользователем обмен данными: Пользователи должны иметь возможность делиться своими данными с третьими лицами
• Ограничить использование данных держателем: Провайдеры не могут свободно использовать или монетизировать данные, генерируемые их продуктами, без правового основания или явного согласия пользователя
• Внедрить доступ к данным на этапе проектирования: Продукты и услуги должны быть спроектированы так, чтобы обеспечить легкий доступ к данным
• Обеспечить возможность смены провайдеров: Облачные провайдеры и SaaS-провайдеры должны устранить барьеры для смены поставщика
• Обеспечить переносимость и совместимость данных: Данные должны быть переносимыми и пригодными для использования на разных платформах
• Устранить несправедливые условия договоров: Контракты на обмен данными должны быть честными и прозрачными
• Поддержать доступ государственного сектора к данным в чрезвычайных ситуациях: В исключительных случаях может потребоваться совместное использование данных

По сути, контроль над данными смещается от провайдеров данных и экосистем к пользователям экосистем (что напрямую связано с решением проблем цифрового суверенитета). И это относится как к бизнесу, так и к потребителям в качестве пользователей.

Кого затрагивает Закон о данных

Закон ЕС о данных широко применяется во всей цифровой экосистеме и затрагивает любую организацию, которая полагается на данные подключенных продуктов, цифровых служб или облачных платформ. Он устанавливает обязательства относительно того, как осуществляется доступ к этим данным, их совместное использование и передача между сторонами. Следовательно, соблюдение требований распространяется на весь ландшафт данных, напрямую влияя на архитектуру, стратегию работы с поставщиками, управление контрактами и практики управления данными.

• Организации, использующие облака и SaaS: Получают новые права на доступ к своим данным и их повторное использование
• Провайдеры цифровых продуктов и услуг: Должны обеспечить доступ к данным и их совместное использование
• Облачные провайдеры и платформы: Должны поддерживать переносимость и смену провайдера
• Партнеры по экосистеме: Получают новые возможности для предложения услуг на основе данных
• Органы государственного сектора: Получают условные права доступа

Обратите внимание, что Закон о данных имеет экстерриториальное действие, что означает, что он также затрагивает провайдеров из стран, не входящих в ЕС, которые обслуживают рынок ЕС.

Как подготовиться к соблюдению Закона ЕС о данных?

Закон о данных — это не просто вопрос соблюдения требований; он напрямую влияет на то, как вы проектируете и эксплуатируете свой ИТ-ландшафт.

Ключевые последствия

• Снижение зависимости от отдельных поставщиков
• Повышение значимости открытых архитектур и API
• Потребность в более надежном управлении данными и контрактном менеджменте
• Согласование с более широкими темами, такими как искусственный интеллект и цифровой суверенитет

Рекомендуемые шаги по обеспечению соответствия требованиям

• Поймите свой ландшафт данных: Узнайте, какие данные у вас есть и какие вы генерируете, кто их контролирует и какие у вас есть зависимости
• Оцените риски поставщиков и контрактов: Выявите риски привязки к поставщику (особенно в контрактах на облака и SaaS) и просмотрите пункты о праве собственности на данные и доступе к ним
• Обеспечьте доступ к данным и их переносимость: Поскольку Закон о данных требует этого, выясните, в какой степени эти обязательства применимы к вашим данным
• Синхронизируйте действия с более широкой стратегией: Теперь, когда вы понимаете свою ситуацию, обновите свои стратегии (в области облаков, данных и ИИ) в качестве основы для улучшений
• Внедрите на структурном уровне: Теперь, когда направление понятно, начните реализовывать улучшения в ландшафте поставщиков, архитектуре и реализации

От соблюдения требований к возможностям

Закон ЕС о данных кардинально меняет подходы к доступу и контролю данных в цифровых экосистемах. Таким образом, он является одновременно и требованием соответствия, и возможностью снизить зависимость от поставщиков и извлечь новую ценность из данных.

Управление требованиями Закона о данных затронет архитектуру, облачную стратегию и управление данными. Советники по GRC и консультанты по безопасности компании Nordcloud готовы поддержать ваш подход к планированию и реализации.

Хотите узнать больше о том, что Закон ЕС о данных означает для вашей организации?

Запишитесь на неформальную беседу с нашими экспертами по комплаенсу.