Законодателният акт за данните урежда достъпа до данни от свързани продукти, споделянето на данни, договорните клаузи и смяната на облачни доставчици. Задълженията за проектиране по чл. 3 вече се прилагат към продукти, пуснати на пазара след 12 септември 2026 г.
Василев & Чисусе · 2026-10-11 · Правен преглед: 12 октомври 2026 г.
Законодателният акт за данните на ЕС, Регламент (ЕС) 2023/2854, се прилага от 12 септември 2025 г. Той променя начина, по който предприятията проектират свързани продукти и свързани с тях услуги, предоставят на ползвателите достъп до генерираните данни, споделят данни с трети лица, договарят достъпа до данни и позволяват преминаване между доставчици на облачни и други услуги за обработка на данни.
След 12 септември 2026 г. започна да се прилага и следващ важен етап: задължението по чл. 3, параграф 1 се отнася до свързаните продукти и свързаните с тях услуги, пуснати на пазара след тази дата. Производителите и доставчиците на нови свързани продукти трябва да разглеждат достъпа до данни като въпрос на проектиране и договорна уредба, а не само като процедура след получено искане от клиент.
Регламентът може да засяга производители на свързани продукти, доставчици на свързани услуги, държатели на данни, ползватели на свързани продукти, трети лица, които получават данни по искане на ползвателя, доставчици на услуги за обработка на данни и публични органи, които искат данни при извънредна необходимост.
Практическият му обхват не се ограничава до традиционните технологични дружества. Свързани промишлени машини, превозни средства, медицински и здравни изделия, оборудване за дома, енергийни системи и други продукти, които генерират данни, подлежащи на извличане, могат да попаднат в режима, както и софтуерът или услугите, свързани с работата на тези продукти.
Свързан продукт е продукт, който получава, генерира или събира данни за своето използване или среда и може да предава данни от продукта чрез електронна съобщителна услуга, физическа връзка или достъп в самото устройство, когато основната му функция не е съхраняването, обработването или предаването на данни от името на друго лице.
Следователно квалификацията зависи от функциите на продукта и генерираните данни, а не от това дали той се рекламира като "умен", "цифров" или като част от интернет на нещата. Екипите по разработване и обслужване трябва да опишат данните, генерирани при използването, и да установят кои от тях са извличаеми по смисъла на регламента.
За свързаните продукти и свързаните с тях услуги, пуснати на пазара след 12 септември 2026 г., чл. 3, параграф 1 изисква те да бъдат проектирани и произведени така, че данните от продукта и свързаната услуга, заедно с необходимите метаданни, по подразбиране да бъдат лесно, сигурно и безплатно достъпни за ползвателя в цялостен, структуриран, широко използван и машинночетим формат. Когато е относимо и технически възможно, данните трябва да бъдат пряко достъпни за ползвателя.
Това засяга архитектурата на продукта, интерфейсите, удостоверяването на достъпа и изнасянето на данни. Производителят не може да реши въпроса единствено чрез общите условия, ако техническият дизайн прави съответните данни практически недостъпни.
Преди сключването на договора продавачът, наемодателят или лизингодателят трябва да предостави определена информация за данните, които свързаният продукт може да генерира, и за начина, по който ползвателят може да получи достъп, да извлече или, когато е приложимо, да изтрие данни. Доставчиците на свързани услуги имат съответни преддоговорни информационни задължения.
Затова описанията на продуктите, договорите за продажба и условията за услугата трябва да съответстват на техническата действителност. Информацията за обема на данните, генерирането им в реално време, съхраняването, достъпа и предвиденото използване трябва да бъде точна и изпълнима.
Да. Регламентът дава на ползвателите права за достъп до данните, генерирани чрез използване на свързаните продукти и услуги, и при условията на регламента да изискат държателят на данните да ги предостави на посочено от ползвателя трето лице.
Това може да подпомогне независимо обслужване и ремонт, анализ на данни и други услуги. Държателите на данни трябва да изградят процедура за проверка на исканията, определяне на обхванатите данни, защита на сигурността и търговската тайна и прилагане на законовите условия за предоставяне.
Законодателният акт за данните не премахва защитата на търговската тайна. Когато данните, които трябва да бъдат споделени, съдържат търговска тайна, регламентът предвижда защитни мерки и позволява подходящи технически и организационни средства за запазване на поверителността. При определени извънредни обстоятелства притежателят на търговската тайна може да откаже или спре предоставянето, ако са изпълнени законовите условия за риск от сериозна икономическа вреда.
Предприятията не трябва да използват общо обозначение "търговска тайна" като основание да отхвърлят всяко искане. Същевременно действително поверителните елементи следва да бъдат предварително определени и защитени с пропорционални технически, договорни и организационни мерки.
Глава IV урежда неравноправни договорни клаузи относно достъпа до данни и използването им, когато клаузите са едностранно наложени на друго предприятие. Регламентът определя рамка за клаузи, които са неравноправни или за които се предполага, че са неравноправни, с особено значение при значителна разлика в силата на договаряне.
Тази глава се прилага към договори, сключени след 12 септември 2025 г. От 12 септември 2027 г. тя ще се прилага и към определени по-стари договори с неопределен срок или с много дълъг оставащ срок. Затова предприятията трябва да прегледат дългосрочните клаузи за данни, вместо да приемат, че старите договори остават трайно извън режима.
Регламентът съдържа механизъм за предоставяне на данни от предприятия на публични органи, Европейската комисия, Европейската централна банка и определени органи на Съюза при извънредна необходимост и при изпълнение на предвидените условия.
Това не е общо право на публичните органи да изискват всеки търговски набор от данни. Искането трябва да отговаря на законовите основания и процедурните гаранции. Предприятие, което получи такова искане, трябва да провери правното основание, обхвата, необходимостта, изискванията за сигурност и приложимите правила за възнаграждение и поверителност.
Доставчиците на услуги за обработка на данни трябва да премахват договорни, търговски, технически и организационни пречки, които възпрепятстват клиентите да преминат към друг доставчик или да използват едновременно няколко доставчика. Регламентът въвежда и минимални договорни изисквания, които целят преминаването да бъде по-прозрачно и практически осъществимо.
Доставчиците на платформени и софтуерни услуги трябва при приложимите условия да поддържат изнасяне на данни в широко използван машинночетим формат и отворени интерфейси. Доставчиците на инфраструктурни услуги имат задължения, насочени към функционална равностойност при преминаване между услуги от един и същ вид.
От 12 януари 2027 г. доставчиците на услуги за обработка на данни няма да могат да начисляват на клиентите такси за процеса по смяна на доставчик. До тази дата регламентът допуска намалени такси през преходния период при условията, определени в него.
Доставчици и клиенти, които договарят облачни услуги в края на 2026 г., трябва да избягват ценообразуване, което след няколко месеца ще стане несъвместимо с регламента. Клаузите за прекратяване, изнасянето на данни, съдействието при прехвърляне, преходните срокове и техническата помощ следва да бъдат прегледани заедно.
Законодателният акт за данните не заменя правилата за защита на личните данни. Когато данните от продукта или услугата съдържат лични данни, Общият регламент относно защитата на данните продължава да се прилага, включително изискванията за правно основание, прозрачност, ограничение на целите, свеждане на данните до необходимия минимум и правата на субектите на данни.
Правото за получаване или споделяне на данни по Законодателния акт за данните не създава автоматично правно основание за всяко обработване на лични данни. Предприятията трябва да разграничават нелични, лични и смесени набори от данни преди изграждането на процедурите за достъп и споделяне. Практиката на Адвокатско дружество "Василев и Чисусе" по защита на данните консултира по това взаимодействие.
Достъпът до данни трябва да бъде предоставян сигурно. Предприятията, за които се прилагат изисквания за киберсигурност, следва да съгласуват механизмите за достъп с контрола на достъпа, удостоверяването, управлението на инциденти и риска при доставчиците.
За организациите в обхвата на българския режим по NIS2 вижте ръководството ни за NIS2. Двата режима имат различни цели, но могат да се прилагат едновременно към един и същ продукт, услуга или архитектура на данните.
Производителите и доставчиците на свързани услуги трябва да определят кои свързани продукти са пуснати на пазара след 12 септември 2026 г. и да проверят дали чл. 3, параграф 1 е отразен в техническия им дизайн. Необходимо е да се прегледат и преддоговорната информация, процедурите за достъп на ползвателите, предоставянето на данни на трети лица и защитата на търговската тайна.
Доставчиците на услуги за обработка на данни трябва да прегледат клаузите за преминаване и прекратяване преди пълното премахване на таксите за смяна на доставчик на 12 януари 2027 г. Предприятията във всички сектори трябва да установят и едностранно наложените договорни клаузи за данни, които могат да попаднат в глава IV, и да имат вътрешна процедура за искания от публични органи.
Адвокатско дружество "Василев и Чисусе" консултира производители, технологични предприятия, държатели на данни и клиенти относно приложимостта на Законодателния акт за данните, достъпа до данни от свързани продукти, договорните клаузи, предоставянето на данни на трети лица, търговската тайна, смяната на доставчици на облачни услуги и взаимодействието с правилата за лични данни и киберсигурност.
Статията отразява Регламент (ЕС) 2023/2854 и европейските указания, проверени към 12 октомври 2026 г., и има общ информационен характер. Тя не представлява индивидуален правен съвет. Приложимите задължения зависят от продукта, услугата, данните, договорната роля, размера на предприятието и другото приложимо законодателство.