Nařízení Komise v přenesené pravomoci (EU) 2025/2050 ze dne 1. července 2025, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2065 stanovením technických podmínek a postupů, za nichž mají poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů sdílet údaje s prověřenými výzkumnými pracovníky (Text s významem pro EHP)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES(Úř. věst. L 277, 27.10.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2065/oj.), a zejména na čl. 40 odst. 13 uvedeného nařízení,
vzhledem k těmto důvodům:
Kapitola I
OBECNÁ USTANOVENÍ
Článek 1
Předmět
Toto nařízení stanoví postupy a technické podmínky pro poskytování přístupu prověřeným výzkumným pracovníkům k údajům uchovávaným poskytovateli velmi velkých online platforem a velmi velkých internetových vyhledávačů podle čl. 40 odst. 4 nařízení (EU) 2022/2065, zejména:
a) technické podmínky pro vývoj a fungování portálu pro přístup k údajům;
b) postupy a technické podmínky pro řízení procesu přístupu k údajům ze strany koordinátorů digitálních služeb a poskytovatelů údajů;
c) požadavky na formulaci odůvodněných žádostí a posuzování žádostí o změnu;
d) technické podmínky pro poskytování přístupu k údajům ze strany poskytovatelů údajů.
Článek 2
Definice
Pro účely tohoto nařízení se použijí definice uvedené v článku 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 a v článku 3 nařízení (EU) 2018/1725. Použijí se rovněž tyto definice:
1) „žádostí o přístup k údajům“ se rozumí informace a příslušná dokumentace, kterou žádající výzkumní pracovníci předloží koordinátorovi digitálních služeb v zemi usazení nebo koordinátorovi digitálních služeb členského státu výzkumné organizace, k níž je vedoucí výzkumný pracovník přidružen, aby získali status „prověřeného výzkumného pracovníka“ podle čl. 40 odst. 8 prvního pododstavce nařízení (EU) 2022/2065 pro konkrétní výzkumný projekt zahrnující přístup k údajům od poskytovatele údajů;
2) „procesem přístupu k údajům“ se rozumí kroky a postupy, které mohou vést k poskytnutí přístupu k údajům, jak je uvedeno v čl. 40 odst. 4 nařízení (EU) 2022/2065;
3) „žádajícím výzkumným pracovníkem“ se rozumí fyzická osoba, která žádá o přístup k údajům podle čl. 40 odst. 4 nařízení (EU) 2022/2065, a to buď samostatně, ve skupině, nebo jako součást subjektu;
4) „vedoucím výzkumným pracovníkem“ se rozumí žádající výzkumný pracovník, který podává žádost o přístup k údajům jako jednotlivec nebo jménem subjektu či skupiny žádajících výzkumných pracovníků;
5) „poskytovatelem údajů“ se rozumí poskytovatel velmi velké online platformy nebo velmi velkého internetového vyhledávače, který je jako takový určen v souladu s čl. 33 odst. 4 nařízení (EU) 2022/2065 a kterému může být určena odůvodněná žádost;
6) „odůvodněnou žádostí“ se rozumí odůvodněná žádost o přístup k údajům podle čl. 40 odst. 4 nařízení (EU) 2022/2065;
7) „žádostí o změnu“ se rozumí žádost o změnu podle čl. 40 odst. 5 nařízení (EU) 2022/2065, kterou poskytovatel údajů předloží koordinátorovi digitálních služeb v zemi usazení po obdržení odůvodněné žádosti;
8) „bezpečným zpracovatelským prostředím“ se rozumí bezpečné zpracovatelské prostředí ve smyslu čl. 2 bodu 20 nařízení Evropského parlamentu a Rady (EU) 2022/868(Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (akt o správě dat) (Úř. věst. L 152, 3.6.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/868/oj).).
Kapitola II
INFORMACE A KONTAKTNÍ POVINNOSTI
Článek 3
Portál pro přístup k údajům dle nařízení o digitálních službách
1. Komise zřídí a provozuje portál pro přístup k údajům dle nařízení o digitálních službách.
2. Portál pro přístup k údajům dle nařízení o digitálních službách má tyto funkce:
a) podpořit a zefektivnit řízení procesu přístupu k údajům pro výzkumné pracovníky, poskytovatele údajů a koordinátory digitálních služeb;
b) sloužit jako ústřední digitální místo pro informace o procesu přístupu k údajům a usnadňovat výměnu informací podle tohoto nařízení mezi žádajícími výzkumnými pracovníky, prověřenými výzkumnými pracovníky, poskytovateli údajů a koordinátory digitálních služeb.
3. Portál pro přístup k údajům dle nařízení o digitálních službách je interoperabilní se systémem pro sdílení informací AGORA zřízeným prováděcím nařízením (EU) 2024/607. Koordinátoři digitálních služeb mají v systému AGORA přístup k informacím předloženým prostřednictvím portálu pro přístup k údajům dle nařízení o digitálních službách.
4. Poskytovatelé údajů musí mít účet na portálu pro přístup k údajům dle nařízení o digitálních službách.
5. Pro účast v procesu přístupu k údajům musí mít žádající výzkumní pracovníci účet na portálu pro přístup k údajům dle nařízení o digitálních službách.
Článek 4
Role a odpovědnost při zpracování osobních údajů na portálu pro přístup k údajům dle nařízení o digitálních službách
1. Koordinátoři digitálních služeb jsou samostatnými správci, pokud jde o zpracování osobních údajů, které provádějí za účelem řízení procesu přístupu k údajům a zveřejňování příslušných informací.
2. Zpracovatelem osobních údajů zpracovávaných v rámci portálu pro přístup k údajům dle nařízení o digitálních službách je Komise.
3. Odpovědnost Komise jako zpracovatele za činnosti zpracování údajů prováděné na portálu pro přístup k údajům dle nařízení o digitálních službách je stanovena v příloze.
Článek 5
Zpracování osobních údajů na portálu pro přístup k údajům dle nařízení o digitálních službách
1. Pokud jsou osobní údaje registrovány a vyměňovány prostřednictvím portálu pro přístup k údajům dle nařízení o digitálních službách, zpracovávají se pouze v rozsahu, který je přiměřený a nezbytný pro účely procesu přístupu k údajům a zveřejnění příslušných informací.
2. Zpracovávání osobních údajů v rámci portálu pro přístup k údajům dle nařízení o digitálních službách probíhá pouze u těchto kategorií subjektů údajů:
a) fyzické osoby, které mají účet na portálu pro přístup k údajům dle nařízení o digitálních službách;
b) fyzické osoby, jejichž osobní údaje jsou obsaženy na portálu pro přístup k údajům dle nařízení o digitálních službách nebo v jakékoli jiné výměně údajů podle tohoto nařízení, která se týká procesu přístupu k údajům.
3. Zpracování osobních údajů v portálu pro přístup k údajům dle nařízení o digitálních službách probíhá pouze u těchto kategorií osobních údajů:
a) identifikační údaje jako je jméno, ID uživatele;
b) kontaktní údaje jako je adresa, e-mailová adresa, kontaktní údaje;
c) osobní údaje obsažené v dokumentaci prokazující přidružení k výzkumné organizaci a veškeré další osobní údaje, které jsou považovány za nezbytné pro účely účasti v procesu přístupu k údajům.
4. Zpracování osobních údajů uvedených v odstavci 1 se provádí pomocí infrastruktury informačních technologií, která se nachází v Evropském hospodářském prostoru.
Článek 6
Kontaktní místa a veřejné informace o procesu přístupu k údajům
1. Každý koordinátor digitálních služeb a každý poskytovatel údajů zřídí zvláštní kontaktní místo, jehož úkolem je poskytovat informace a podporu v procesu přístupu k údajům.
2. Koordinátoři digitálních služeb a poskytovatelé údajů sdělí co nejdříve svá kontaktní místa Komisi. Komise zveřejní údaje o kontaktních místech uvedených v odstavci 1 ve veřejném rozhraní portálu pro přístup k údajům dle nařízení o digitálních službách.
3. Každý koordinátor digitálních služeb zpřístupní ve svém online rozhraní údaje o kontaktním místě zřízeném podle odstavce 1 spolu s odkazem na portál pro přístup k údajům dle nařízení o digitálních službách a umožní jejich snadné vyhledání.
4. Poskytovatelé údajů zpřístupní následující informace a umožní jejich snadné vyhledání ve svých online rozhraních:
a) údaje o kontaktním místě, které zřídili podle odstavce 1;
b) odkaz na portál pro přístup k údajům dle nařízení o digitálních službách;
c) datový katalog dle nařízení o digitálních službách, který popisuje datová aktiva, k nimž lze přistupovat pro účely stanovené v čl. 40 odst. 4 nařízení EU 2022/2065, jakož i jejich datovou strukturu a metadata;
d) navržené způsoby přístupu k údajům v katalogu podle písmene c), odpovídající úrovni citlivosti různých datových aktiv.
5. Informace uvedené v odst. 4 písm. c) a d) se pravidelně aktualizují, zejména s cílem zohlednit údaje týkající se posouzení rizik provedených podle článku 34 nařízení (EU) 2022/2065 a auditů provedených podle článku 37 uvedeného nařízení.
Kapitola III
POŽADAVKY NA FORMULACI A ZPRACOVÁNÍ ODŮVODNĚNÝCH ŽÁDOSTÍ
Článek 7
Formulace odůvodněné žádosti
1. Do 80 pracovních dnů od podání žádosti o přístup k údajům rozhodne koordinátor digitálních služeb v zemi usazení s náležitým přihlédnutím k předpokladům stanoveným v článku 8 a v příslušných případech k jakémukoli dalšímu posouzení, které je pro tyto účely relevantní, zda lze formulovat odůvodněnou žádost, a provede jedno z následujících opatření:
a) formuluje odůvodněnou žádost, předloží ji poskytovateli údajů a informuje vedoucího výzkumného pracovníka o předložení odůvodněné žádosti;
b) informuje vedoucího výzkumného pracovníka o důvodech, proč nebylo možné odůvodněnou žádost formulovat.
2. Pokud v řádně odůvodněných případech potřebuje koordinátor digitálních služeb v zemi usazení dodatečný čas na vypracování odůvodněné žádosti, oznámí to co nejdříve vedoucímu výzkumnému pracovníkovi a uvede důvody zpoždění, jakož i nové datum pro provedení opatření uvedených v odstavci 1.
Článek 8
Předpoklady pro formulaci odůvodněné žádosti
Koordinátor digitálních služeb v zemi usazení rozhodne, zda lze formulovat odůvodněnou žádost s ohledem na následující prvky:
a) pro každého žádajícího výzkumného pracovníka:
- i) potvrzení o přidružení k výzkumné organizaci ve smyslu čl. 2 bodu 1 směrnice Evropského parlamentu a Rady (EU) 2019/790(Směrnice Evropského parlamentu a Rady (EU) 2019/790 ze dne 17. dubna 2019 o autorském právu a právech s ním souvisejících na jednotném digitálním trhu a o změně směrnic 96/9/ES a 2001/29/ES (Úř. věst. L 130, 17.5.2019, s. 92, ELI: http://data.europa.eu/eli/dir/2019/790/oj).);
- ii) prohlášení o nezávislosti na komerčních zájmech relevantních pro konkrétní projekt, pro který jsou údaje požadovány;
- iii) závazek bezplatně zpřístupnit výsledky svého výzkumu veřejnosti;
b) informace o financování výzkumného projektu, pro který jsou údaje požadovány;
c) popis požadovaných údajů, včetně formátu, rozsahu a pokud možno konkrétních atributů, příslušných metadat a dokumentace údajů, a to i s ohledem na informace zpřístupněné podle čl. 6 odst. 4 tohoto nařízení;
d) informace o nezbytnosti a přiměřenosti přístupu k údajům a informace o časovém rámci výzkumu, pro který jsou údaje požadovány;
e) informace o zjištěných rizicích z hlediska důvěrnosti, zabezpečení údajů a ochrany osobních údajů souvisejících s údaji, k nimž by byl získán přístup, popis technických, právních a organizačních opatření, která budou zavedena, včetně případných navrhovaných způsobů přístupu, aby se tato rizika při zpracování požadovaných údajů zmírnila;
f) popis výzkumných činností, které mají být s požadovanými údaji prováděny;
g) shrnutí žádosti pro přístup k údajům obsahující tyto prvky:
- i) téma výzkumu;
- ii) poskytovatele údajů, od kterého jsou údaje požadovány;
- iii) popis požadovaných údajů podle písmene c).
Článek 9
Způsoby přístupu
1. Koordinátor digitálních služeb v zemi usazení určí způsoby, včetně technických, právních a organizačních opatření, které má poskytovatel údajů použít pro poskytování přístupu k údajům prověřeným výzkumným pracovníkům.
2. Koordinátoři digitálních služeb mají možnost konzultovat příslušné orgány dohledu zřízené podle článku 51 nařízení (EU) 2016/679.
3. Při určování způsobů přístupu zohlední koordinátor digitálních služeb v zemi usazení informace uvedené v žádosti o přístup k údajům, zejména informace uvedené v čl. 8 písm. e), přičemž zohlední rovněž práva a zájmy poskytovatelů údajů a příjemců dotčené služby, včetně ochrany důvěrných informací, obchodního tajemství a zachování bezpečnosti jejich služby a informací, které poskytovatelé údajů zpřístupní podle čl. 6 odst. 4 písm. d).
4. Kromě prvků uvedených v odstavci 3 zohlední koordinátor digitálních služeb v zemi usazení při určování způsobů přístupu tyto prvky:
a) pokud přístup zahrnuje zpracování osobních údajů:
- i) posouzení rizik týkajících se zpracování osobních údajů, jak je popsáno v čl. 8 písm. e), včetně v příslušných případech posouzení vlivu na ochranu osobních údajů ve smyslu článku 35 nařízení (EU) 2016/679;
- ii) předpokládaná technická a organizační opatření předložená podle čl. 8 písm. e);
b) příslušná opatření pro zabezpečení sítě, šifrování, mechanismy řízení přístupu, zásady zálohování, mechanismy integrity dat, plány reakce na incidenty;
c) v příslušných případech informace o plánované době uchovávání a příslušných plánech na zničení dat;
d) veškerá organizační opatření, jako jsou interní přezkumné procesy, omezení přístupových práv a sdílení informací;
e) všechny navrhované smluvní doložky, jako jsou dohody o mlčenlivosti, dohody o údajích a jakékoli jiné typy písemných prohlášení, které stanoví možné podmínky přístupu a zpracování mezi vedoucím výzkumným pracovníkem a poskytovatelem údajů;
f) existence školení o zabezpečení údajů a ochraně osobních údajů, které absolvovali žádající výzkumní pracovníci;
g) zda je pro zpracování údajů nutné bezpečné zpracovatelské prostředí.
5. Pokud se koordinátor digitálních služeb v zemi usazení domnívá, že pro zajištění přístupu k požadovaným údajům má být použito bezpečné zpracovatelské prostředí, vyžádá si dokumentaci potvrzující, že provozovatel tohoto prostředí:
a) stanoví podmínky přístupu do bezpečného zpracovatelského prostředí, aby se minimalizovalo riziko neoprávněného čtení, kopírování, úpravy nebo odstranění údajů umístěných v bezpečném zpracovatelském prostředí;
b) zajišťuje, že prověření výzkumní pracovníci mají přístup pouze k údajům, na které se vztahuje odůvodněná žádost, a to prostřednictvím individuálních a jedinečných uživatelských identit a důvěrných přístupových režimů;
c) vede identifikovatelné protokoly o přístupu do bezpečného zpracovatelského prostředí po dobu nezbytnou pro ověření a audit všech zpracovatelských operací v tomto prostředí;
d) zajišťuje, že výpočetní výkon, který mají prověření výzkumní pracovníci k dispozici, je vhodný a dostatečný pro účely výzkumného projektu;
e) sleduje účinnost opatření uvedených v písmenech a) až d).
Článek 10
Obsah odůvodněné žádosti
1. Odůvodněná žádost musí obsahovat alespoň tyto prvky:
a) datum, do kterého poskytovatel údajů umožní přístup k požadovaným údajům, a datum ukončení tohoto přístupu;
b) způsoby přístupu stanovené podle článku 9;
c) shrnutí žádosti o přístup k údajům podle čl. 8 písm. g).
2. Koordinátor digitálních služeb v zemi usazení může v odůvodněné žádosti uvést jména a kontaktní údaje všech prověřených výzkumných pracovníků uvedených v žádosti o přístup k údajům, pokud je to nezbytné pro umožnění přístupu k požadovaným údajům v souladu se způsoby přístupu uvedenými v odůvodněné žádosti.
3. Pokud poskytnutí přístupu zahrnuje předání osobních údajů do třetí země nebo mezinárodní organizaci ve smyslu kapitoly V nařízení (EU) 2016/679, musí odůvodněná žádost obsahovat informace o potřebě zavést nebo odkázat na vhodný mechanismus předávání, aby byl zajištěn soulad s nařízením (EU) 2016/679.
Článek 11
Zveřejnění přehledu odůvodněné žádosti na portálu pro přístup k údajům dle nařízení o digitálních službách
1. Po formulování odůvodněné žádosti zveřejní koordinátor digitálních služeb v zemi usazení přehled odůvodněné žádosti ve veřejném rozhraní portálu pro přístup k údajům dle nařízení o digitálních službách. Přehled obsahuje všechny tyto informace:
a) shrnutí žádosti o přístup k údajům podle čl. 8 písm. g);
b) způsoby přístupu stanovené podle článku 9.
2. Přehled uvedený v odstavci 1 se aktualizuje tak, aby odrážel veškeré změny vyplývající z úpravy jednoho nebo více prvků po posouzení žádosti o změnu nebo výsledku mediace v souladu s článkem 13.
Článek 12
Postupy pro posuzování žádostí o změnu
1. Po obdržení žádosti o změnu podle čl. 40 odst. 5 nařízení (EU) 2022/2065 informuje koordinátor digitálních služeb v zemi usazení dotčeného vedoucího výzkumného pracovníka.
2. Při rozhodování o žádosti o změnu podané podle čl. 40 odst. 5 písm. a) nařízení (EU) 2022/2065 zohlední koordinátor digitálních služeb v zemi usazení tyto skutečnosti:
a) zda jsou důvody údajného nedostatečného přístupu k údajům náležitě odůvodněny;
b) zda je tento nedostatek přístupu k údajům trvalý nebo dočasný.
3. Při rozhodování o žádosti o změnu podané podle čl. 40 odst. 5 písm. b) nařízení (EU) 2022/2065 zohlední koordinátor digitálních služeb v zemi usazení následující skutečnosti:
a) zda jsou údajné zranitelnosti a jejich význam náležitě odůvodněny;
b) pravděpodobnost a závažnost škody vyplývající z těchto údajných významných zranitelností;
c) do jaké míry způsoby přístupu uvedené v odůvodněné žádosti účinně zmírňují riziko vzniku takové újmy.
4. Koordinátor digitálních služeb v zemi usazení může kdykoli během posuzování žádosti o změnu požádat poskytovatele údajů nebo vedoucího výzkumného pracovníka o jakékoli doplňující informace, které považuje za nezbytné pro dokončení posouzení.
5. Taková žádost o dodatečné informace se podá co nejdříve, aby měl poskytovatel údajů nebo vedoucí výzkumný pracovník dostatek času na odpověď, a v žádném případě neovlivní lhůtu stanovenou v čl. 40 odst. 6 druhém pododstavci nařízení (EU) 2022/2065. Pokud poskytovatel údajů nebo vedoucí výzkumný pracovník neposkytne požadované informace vůbec nebo ve lhůtě stanovené koordinátorem digitálních služeb v zemi usazení nebo poskytne informace jen částečně, koordinátor digitálních služeb v místě usazení rozhodne ve lhůtě stanovené v čl. 40 odst. 6 nařízení (EU) 2022/2065 na základě informací, které mu byly poskytnuty v přiměřené lhůtě.
Článek 13
Mediace
1. Pokud poskytovatel údajů nesouhlasí s rozhodnutím koordinátora digitálních služeb v zemi usazení o žádosti o změnu, může do pěti pracovních dnů od sdělení koordinátora digitálních služeb v místě usazení podle čl. 40 odst. 6 druhého pododstavce nařízení (EU) 2022/2065 písemně požádat koordinátora digitálních služeb v místě usazení o účast na mediaci.
2. Koordinátor digitálních služeb v zemi usazení není povinen účastnit se mediačního řízení.
3. Písemná žádost uvedená v odstavci 1 musí obsahovat stručný popis konkrétních prvků rozhodnutí, jak je sdělil koordinátor digitálních služeb v zemi usazení podle čl. 40 odst. 6 druhého pododstavce nařízení (EU) 2022/2065, proti kterému poskytovatel údajů vznáší námitky.
4. Koordinátor digitálních služeb v zemi usazení a poskytovatel údajů se dohodnou na jmenování mediátora a zahájí mediaci do dvaceti pracovních dnů od podání žádosti o mediaci podle odstavce 3.
5. Před souhlasem se jmenováním mediátora koordinátor digitálních služeb v zemi usazení ověří, zda je mediátor nestranný a nezávislý a zda má příslušné odborné znalosti týkající se předmětu popsaného v písemné žádosti uvedené v odstavci 1.
6. Veškeré náklady na mediaci nese poskytovatel údajů.
7. Koordinátor digitálních služeb v zemi usazení informuje vedoucího výzkumného pracovníka o žádosti o mediaci podle odstavce 1 bez zbytečného odkladu a může rozhodnout, že vedoucího výzkumného pracovníka přizve jako stranu k mediaci. Pokud byla žádost o přístup k údajům předložena koordinátorovi digitálních služeb výzkumné organizace, může koordinátor digitálních služeb v zemi usazení vyzvat koordinátora digitálních služeb výzkumné organizace, aby se mediačního řízení zúčastnil. Strana, kterou koordinátor digitálních služeb v zemi usazení vyzve, aby se k mediaci připojila, není povinna se mediačního řízení účastnit.
8. Účastí na mediaci není dotčeno právo stran zahájit soudní řízení kdykoli před mediací, během ní nebo po jejím skončení.
9. Koordinátor digitálních služeb v zemi usazení stanoví lhůtu pro mediaci, která nesmí překročit 40 pracovních dnů ode dne zahájení mediace podle odstavce 4.
10. Mediátor může mediaci ukončit dříve v jednom z následujících případů:
a) jedna ze stran výslovně požádá o ukončení mediace;
b) je zřejmé, že chování stran během mediace, včetně neochoty jednat v dobré víře, činí dosažení dohody nepravděpodobným.
11. Pokud je výsledkem mediace dohoda mezi stranami, koordinátor digitálních služeb v zemi usazení tuto dohodu zohlední a případně upraví odůvodněnou žádost a informuje o této úpravě vedoucího výzkumného pracovníka.
12. Pokud strany nedosáhnou dohody, oznámí koordinátor digitálních služeb v zemi usazení poskytovateli údajů, že rozhodnutí koordinátora digitálních služeb v místě usazení o žádosti o změnu, které bylo naposledy sděleno podle čl. 40 odst. 6 druhého pododstavce nařízení (EU) 2022/2065, se považuje za platné a slouží jako příslušný základ pro další kroky v procesu, a informuje vedoucího výzkumného pracovníka.
13. Koordinátor digitálních služeb v zemi usazení zaeviduje v systému AGORA souhrnný záznam z mediace, který vypracuje mediátor a podepíší všechny strany. Záznam musí obsahovat tyto informace:
a) datum písemné žádosti poskytovatele údajů o mediaci;
b) totožnost a kontaktní údaje stran;
c) datum počátku a konce mediace;
d) výsledek mediace, včetně dosažené dohody nebo důvodu ukončení mediace.
Článek 14
Konzultace nezávislých odborníků
1. Před formulováním odůvodněné žádosti nebo před přijetím rozhodnutí o žádosti o změnu může koordinátor digitálních služeb rozhodnout o konzultaci s odborníky.
2. Odborníci musí být nezávislí a nestranní, musí mít příslušné odborné znalosti a prokázané dovednosti a musí mít kapacitu a zdroje k provedení stanoveného úkolu bez zbytečného prodlení.
3. Na důkaz nestrannosti podepíší odborníci prohlášení, v němž potvrdí, že:
a) nemají žádné finanční ani osobní vazby na poskytovatele údajů ani na žádající výzkumné pracovníky;
b) nemají žádný zájem na výsledku procesu přístupu k údajům;
c) nejsou ve střetu zájmů.
4. Koordinátor digitálních služeb bez zbytečného odkladu zakóduje v systému AGORA veškeré konzultace provedené podle odstavce 1 spolu s odborným stanoviskem, které obdržel v reakci na konzultaci.
Kapitola IV
PODMÍNKY PRO POSKYTOVÁNÍ POŽADOVANÝCH ÚDAJŮ PROVĚŘENÝM VÝZKUMNÝM PRACOVNÍKŮM
Článek 15
Sdílení údajů a jejich dokumentace
1. Poskytovatelé údajů do tří pracovních dnů oznámí koordinátorovi digitálních služeb v zemi usazení:
a) že přístup k požadovaným údajům byl poskytnut prověřeným výzkumným pracovníkům v souladu s odůvodněnou žádostí;
b) že přístup prověřených výzkumných pracovníků byl ukončen.
2. Poskytovatelé údajů poskytnou prověřeným výzkumným pracovníkům veškeré další informace potřebné pro přístup k požadovaným údajům a jejich pochopení, například kódovací knihy, chronologické seznamy změn a dokumentaci architektury dat. V případech, kdy by poskytnutí takových informací mohlo vést k významné zranitelnosti služeb poskytovatele údajů, oznámí poskytovatel údajů koordinátorovi digitálních služeb v zemi usazení toto riziko a pokud je to možné, navrhne alternativní informace.
3. Při poskytování přístupu k údajům poskytovatelé údajů neukládají prověřeným výzkumným pracovníkům požadavky na správu údajů, jako jsou požadavky na archivaci, ukládání, obnovování a mazání, nebo omezení používání standardních analytických nástrojů, které by mohly bránit provádění příslušného výzkumu, pokud takové požadavky nebo omezení nejsou výslovně uvedeny v odůvodněné žádosti.
4. Pokud jsou osobní údaje zpracovávány, nesmí poskytovatelé údajů ukládat prověřeným výzkumným pracovníkům žádné jiné podmínky v souvislosti se zpracováním sdílených osobních údajů než ty, které jsou uvedeny v odůvodněné žádosti.
Kapitola V
ZÁVĚREČNÁ USTANOVENÍ
Článek 16
Vstup v platnost
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 1. července 2025.
Za Komisi
předsedkyně
Ursula von der Leyen
PŘÍLOHA Odpovědnost Komise jako zpracovatele za činnosti zpracování údajů prováděné v rámci portálu pro přístup k údajům dle nařízení o digitálních službách
1. Komise jménem koordinátorů digitálních služeb zřídí a zajistí portál pro přístup k údajům dle nařízení o digitálních službách, bezpečnou a spolehlivou IT infrastrukturu, která podporuje a zefektivňuje řízení procesu přístupu k údajům pro výzkumné pracovníky, výzkumné organizace, poskytovatele údajů a koordinátory digitálních služeb.
2. V zájmu plnění svých povinností zpracovatele pro koordinátory digitálních služeb může Komise využít třetí strany jako dílčí zpracovatele. V takovém případě správci zmocní Komisi, aby v případě potřeby využila dílčí zpracovatele nebo je nahradila. Komise informuje správce o uvedeném využití nebo nahrazení dílčích zpracovatelů, čímž správcům poskytne možnost vznést proti takovým změnám námitky. Komise zajistí, aby se na tyto dílčí zpracovatele vztahovaly stejné povinnosti v oblasti ochrany údajů, jaké jsou stanoveny v tomto nařízení.
3. Komise zpracovává osobní údaje pouze v rozsahu nezbytném pro:
- a) ověřování a řízení přístupu ve vztahu ke všem uživatelům portálu pro přístup k údajům dle nařízení o digitálních službách;
- b) provádění autorizace žádostí uživatelů portálu pro přístup k údajům dle nařízení o digitálních službách o vytváření, aktualizaci a mazání jakýchkoli informací obsažených v žádosti v rámci portálu pro přístup k údajům dle nařízení o digitálních službách;
- c) přijetí osobních údajů uvedených v čl. 5 odst. 3 tohoto nařízení, které nahráli uživatelé portálu pro přístup k údajům dle nařízení o digitálních službách;
- d) uložení osobních údajů na portálu pro přístup k údajům dle nařízení o digitálních službách;
- e) mazání osobních údajů k datu skončení jejich platnosti nebo na základě pokynu správce;
- f) po ukončení poskytování služeb portálu pro přístup k údajům dle nařízení o digitálních službách vymazání všech zbývajících osobních údajů, pokud právo Unie nebo členského státu nepožaduje uchovávání daných osobních údajů.
4. Komise přijme veškerá nejmodernější organizační, fyzická a logická bezpečnostní opatření pro zajištění fungování portálu pro přístup k údajům dle nařízení o digitálních službách. Za tímto účelem Komise:
- a) určí subjekt odpovědný za řízení zabezpečení portálu pro přístup k údajům dle nařízení o digitálních službách, oznámí správcům jeho kontaktní údaje a zajistí jeho dostupnost pro reakci na bezpečnostní hrozby;
- b) převezme odpovědnost za zabezpečení portálu pro přístup k údajům dle nařízení o digitálních službách, včetně pravidelného testování, hodnocení a posuzování bezpečnostních opatření.
5. Komise přijme veškerá nezbytná bezpečnostní opatření, aby nedošlo k ohrožení řádného fungování portálu pro přístup k údajům dle nařízení o digitálních službách. Ta zahrnují:
- a) postupy posouzení rizik s cílem identifikovat a odhadnout potenciální hrozby pro portál pro přístup k údajům dle nařízení o digitálních službách;
- b) audit a přezkum s cílem:
- i) zkontrolovat soulad mezi zavedenými bezpečnostními opatřeními a použitelnou bezpečnostní politikou;
- ii) pravidelně kontrolovat integritu portálu pro přístup k údajům dle nařízení o digitálních službách, bezpečnostní parametry a udělená oprávnění;
- iii) odhalovat narušení bezpečnosti a průniky do portálu pro přístup k údajům dle nařízení o digitálních službách;
- iv) provádět změny ke zmírnění stávajících bezpečnostních nedostatků portálu pro přístup k údajům dle nařízení o digitálních službách;
- v) vymezit podmínky, za nichž lze povolit provádění nezávislých auditů, též na žádost správců, a přispět k nim, včetně inspekcí, a přezkumů bezpečnostních opatření, a to za podmínek respektujících Protokol (č. 7) o výsadách a imunitách Evropské unie připojený ke Smlouvě o fungování Evropské unie;
- c) změnu kontrolního postupu, pokud jde o dokumentaci a měření dopadu změny před jejím provedením, a informování správců o všech změnách, které mohou ovlivnit komunikaci s infrastrukturami anebo bezpečnost portálu pro přístup k údajům dle nařízení o digitálních službách;
- d) stanovení postupu pro údržbu a opravy, ve kterém budou stanovena pravidla a podmínky, jež musí být dodržovány při údržbě a/nebo opravách portálu pro přístup k údajům dle nařízení o digitálních službách;
- e) stanovení postupu pro bezpečnostní incidenty, ve kterém budou definovány postupy pro hlášení a eskalaci, neprodlené informování dotčených správců, neprodlené informování správců, aby mohli dále informovat příslušné vnitrostátní dozorové úřady pro ochranu údajů o jakémkoliv porušení zabezpečení osobních údajů, a definování disciplinárního postupu pro řešení porušení zabezpečení portálu pro přístup k údajům dle nařízení o digitálních službách.
6. Komise přijme nejmodernější fyzická a logická bezpečnostní opatření pro zařízení, v nichž se nachází vybavení portálu pro přístup k údajům dle nařízení o digitálních službách, a pro kontroly údajů a zabezpečení souvisejícího přístupu. Za tímto účelem Komise:
- a) vynucuje fyzickou bezpečnost s cílem vytvořit rozlišená bezpečnostní pásma a umožnit odhalování případů narušení portálu pro přístup k údajům dle nařízení o digitálních službách;
- b) řídí přístup k zařízením portálu pro přístup k údajům dle nařízení o digitálních službách;
- c) zajistí, aby zařízení nebylo možné přidat, nahradit nebo odstranit zařízení bez předchozího povolení ze strany určených odpovědných orgánů;
- d) řídí přístup z portálu pro přístup k údajům dle nařízení o digitálních službách a do něj;
- e) zajistí, aby uživatelé portálu pro přístup k údajům dle nařízení o digitálních službách, kteří k portálu přistupují, byli ověřeni;
- f) přezkoumá oprávnění související s přístupem k portálu pro přístup k údajům dle nařízení o digitálních službách v případě narušení bezpečnosti, které má na portál vliv;
- g) zajistí zachování integrity informací přenášených prostřednictvím portálu pro přístup k údajům dle nařízení o digitálních službách;
- h) zavede technická a organizační bezpečnostní opatření, která zabrání neoprávněnému přístupu k osobním údajům v portálu pro přístup k údajům dle nařízení o digitálních službách;
- i) v případě potřeby zajistí zavedení opatření směřujících k zablokování neoprávněného přístupu do portálu pro přístup k údajům dle nařízení o digitálních službách (např. blokaci podle lokality / IP adresy).
7. Komise:
- a) podnikne kroky k ochraně své domény, včetně přerušení připojení, v případě závažného odchýlení od zásad a koncepcí v oblasti kvality a bezpečnosti;
- b) spravuje plán řízení rizik v oblasti své působnosti;
- c) v reálném čase sleduje výkonnost všech složek portálu pro přístup k údajům dle nařízení o digitálních službách, vypracovává pravidelné statistiky a vede záznamy;
- d) poskytuje uživatelům portálu pro přístup k údajům dle nařízení o digitálních službách podporu v angličtině;
- e) pomáhá správcům prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti správců reagovat na žádosti o výkon práv subjektu údajů, jak jsou stanovena v kapitole III nařízení (EU) 2016/679;
- f) podporuje správce poskytováním informací o portálu pro přístup k údajům dle nařízení o digitálních službách za účelem plnění povinností podle článků 32, 33, 34, 35 a 36 nařízení (EU) 2016/679;
- g) zajišťuje, aby údaje zpracovávané v rámci portálu pro přístup k údajům dle nařízení o digitálních službách byly nečitelné pro všechny osoby, které nejsou oprávněny k nim přistupovat;
- h) přijme veškerá příslušná opatření, aby zabránila neoprávněnému přístupu k osobním údajům předávaným prostřednictvím portálu pro přístup k údajům dle nařízení o digitálních službách;
- i) přijme opatření k usnadnění komunikace mezi správci;
- j) vede záznamy o činnostech zpracování prováděných jménem správce podle čl. 31 odst. 2 nařízení (EU) 2018/1725.