Pada 11 Januari 2024, Akta Data EU – Peraturan (EU) 2023/2854 – mula berkuat kuasa, dua puluh hari selepas penerbitannya dalam Jurnal Rasmi Kesatuan Eropah. Peraturan ini berkuat kuasa mulai 12 September 2025. Undang-undang ini mengenakan obligasi baharu yang asas ke atas pengeluar produk berkaitan dan penyedia perkhidmatan berkaitan, yang mempengaruhi pelbagai sektor: daripada pembuatan dan tenaga kepada penjagaan kesihatan dan industri automotif. Sesiapa yang menjana, memproses atau menggunakan data dalam konteks perniagaan dinasihatkan untuk meneliti skop undang-undang ini dengan segera.
Apakah yang ditadbir oleh Akta Data?
Akta Data merupakan sebahagian daripada strategi data Eropah, yang bertujuan untuk mengukuhkan kedudukan daya saing Eropah dalam ekonomi data. Peraturan ini menetapkan peraturan tentang siapa yang mempunyai akses kepada data yang dihasilkan oleh penggunaan produk atau perkhidmatan, dan di bawah syarat-syarat apa data tersebut mesti dikongsi. Ini tidak melibatkan hak umum untuk semua data, tetapi sebaliknya rangka kerja enam kluster tertentu: akses pengguna kepada data produk dan perkhidmatan, perkongsian B2B atas terma yang adil, akses awam dalam kes keperluan luar biasa, bertukar antara perkhidmatan pemprosesan data, perlindungan terhadap akses kerajaan antarabangsa kepada data bukan peribadi, dan interoperabilitas.
Kewajipan untuk perniagaan: reka bentuk produk
Produk yang terhubung mesti direka bentuk dan dikeluarkan sedemikian rupa sehingga data yang dijana, secara lalai, mudah, selamat, percuma dan dalam format yang boleh dibaca mesin yang boleh diakses terus oleh pengguna. Pengguna produk yang terhubung – bayangkan peranti rumah pintar, jentera perindustrian atau kenderaan – dengan itu memperoleh hak untuk mengakses data yang dijana oleh penggunaan produk tersebut. Pengilang dan penyedia perkhidmatan mungkin tidak lagi menyimpan data tersebut secara eksklusif untuk diri mereka sendiri.
Yang penting, kewajipan ini mempunyai kemasukan berfasa ke dalam aplikasi. Walaupun Akta Data secara keseluruhannya berkuat kuasa mulai 12 September 2025, kewajipan reka bentuk dan pembuatan untuk produk berkaitan hanya terpakai kepada produk yang diletakkan di pasaran selepas 12 September 2026. Oleh itu, produk sedia ada masih belum dilindungi.
Terma adil dalam perkongsian data B2B
Peraturan ini mengandungi peraturan khusus mengenai terma kontrak dalam kontrak data B2B . Terma yang dikenakan secara unilateral oleh satu perusahaan ke atas perusahaan lain tidak mengikat pihak lain jika ia tidak adil. Sesuatu terma dianggap telah dikenakan secara unilateral jika, walaupun terdapat percubaan untuk berunding, pihak yang satu lagi tidak dapat mempengaruhi kandungannya. Beban membuktikan perkara ini terletak pada pihak yang memasukkan terma tersebut.
Sesuatu istilah adalah tidak adil jika penggunaannya sangat menyimpang daripada amalan komersial yang baik dan bertentangan dengan niat baik dan urusan yang adil. Peraturan ini memberikan contoh istilah yang mengecualikan liabiliti atas niat atau kecuaian yang melampau, menghalang pihak lain daripada menggunakan datanya sendiri, membenarkan penamatan unilateral dengan notis yang tidak munasabah, atau membenarkan perubahan harga yang ketara atau perubahan penting lain dibuat secara unilateral. Akibat undang-undangnya ialah istilah yang tidak adil itu tidak mengikat pihak lain, manakala peruntukan kontrak yang selebihnya kekal berkuat kuasa setakat mana istilah itu boleh diasingkan.
Interaksi dengan GDPR
Akta Data ini terletak bersebelahan dengan Peraturan Perlindungan Data Umum, tetapi terdapat interaksi penting antara kedua-duanya. Peraturan ini juga merangkumi data peribadi, tetapi tidak memisahkannya daripada undang-undang perlindungan data. Jika pengguna bukan subjek data yang data peribadinya diminta, data peribadi tersebut hanya boleh diberikan jika terdapat asas undang-undang yang sah di bawah Perkara 6 GDPR. Oleh itu, Akta Data tidak mewujudkan pengecualian tersendiri kepada GDPR: akses data di bawah Akta Data tidak melepaskan pihak-pihak daripada kewajipan GDPR mereka , dan juga tidak menyediakan asas untuk pengekalan atau penggunaan semula data yang diberikan selanjutnya melebihi tujuan ia diperolehi.
Kebolehgunaan dan pensuisan awan
Bab berasingan mewajibkan penyedia perkhidmatan pemprosesan data untuk memudahkan pertukaran kepada penyedia lain. Mereka tidak boleh mengenakan sebarang halangan pra-komersial, komersial, teknikal, kontraktual atau organisasi yang menghalang pelanggan daripada bertukar. Mulai 12 Januari 2027, penyedia perkhidmatan pemprosesan data tidak lagi boleh mengenakan sebarang caj pertukaran kepada pelanggan. Pemindahan data dan konfigurasi sebenar mesti berlaku tanpa kelewatan yang tidak wajar dan dalam apa jua keadaan tidak selepas tempoh peralihan mandatori maksimum tiga puluh hari. Bagi organisasi yang sangat bergantung pada penyedia awan tunggal, ini menawarkan leverage rundingan baharu semasa memperbaharui atau merundingkan semula kontrak.
Akses awam dalam kes keperluan luar biasa
Peraturan ini memberi badan sektor awam kemungkinan, di bawah syarat-syarat yang ketat, untuk menuntut akses kepada data peribadi dalam kes-kes keperluan luar biasa – seperti kecemasan awam. Dalam kes itu, pemegang data selain perusahaan mikro dan perusahaan kecil diwajibkan untuk menyediakan data yang diperlukan secara percuma. Dalam kes-kes keperluan luar biasa yang lain, pemegang data berhak mendapat pampasan yang adil. Kuasa ini tertakluk kepada syarat-syarat perkadaran dan subsidiariti yang dinyatakan dalam Peraturan.
Penguatkuasaan di Belanda
Di Belanda, penguatkuasaan kini telah diterapkan dalam undang-undang melalui Akta Pelaksanaan Akta Data (Uitvoeringswet dataverordening). Pihak Berkuasa Pengguna dan Pasaran Belanda (ACM) ialah pihak berkuasa yang berwibawa untuk bahagian terbesar Peraturan, termasuk bab mengenai data produk, perkongsian B2B dan kebolehgunaan awan. Pihak Berkuasa Perlindungan Data Belanda (AP) berwibawa untuk elemen sensitif privasi dan untuk pemprosesan data peribadi dalam artikel tertentu dan Bab V. Kedua-dua pihak berkuasa boleh mengambil tindakan penguatkuasaan dalam domain mereka sendiri dengan mengenakan perintah tertakluk kepada penalti atau denda pentadbiran. Akta Pelaksanaan juga memperuntukkan kerjasama dan pengaturan pertukaran maklumat antara ACM dan AP, supaya kedua-dua penyelia boleh bertindak secara terselaras mengenai isu yang bertindih.
Apakah maksud ini dalam amalan?
Perniagaan yang membangunkan, mengimport atau mengedarkan produk berkaitan adalah bijak untuk menyemak semula reka bentuk produk dan struktur kontrak mereka terhadap Akta Data sekarang. Bagi produk yang diletakkan di pasaran selepas 12 September 2026, kewajipan reka bentuk dan kebolehcapaian terpakai sepenuhnya. Penyedia perkhidmatan yang memproses data bagi pihak pengguna harus mempertimbangkan kewajipan perkongsian data yang terpakai kepada mereka dan sama ada perjanjian sedia ada – termasuk klausa data yang digubal secara unilateral – selaras dengannya.
Mereka yang menunggu sehingga penguatkuasaan bermula berisiko ketinggalan. Menyelaraskan produk, perkhidmatan dan kontrak dengan peraturan baharu dalam masa yang singkat bukan sahaja soal pematuhan , tetapi juga memberikan peluang: mereka yang menawarkan ketelusan dan akses data kepada pelanggan mereka menonjol dalam pasaran yang semakin kritikal terhadap cara syarikat mengendalikan data.
Adakah anda mempunyai soalan tentang implikasi Akta Data EU untuk perniagaan atau kontrak anda? Peguam di Law & More dengan senang hati akan membantu anda.
Soalan Lazim
Adakah Akta Data sudah terpakai kepada produk sedia ada saya yang berkaitan?
Peraturan ini berkuat kuasa mulai 12 September 2025, tetapi kewajipan untuk mereka bentuk produk berkaitan supaya data boleh diakses oleh pengguna hanya terpakai kepada produk yang diletakkan di pasaran selepas 12 September 2026. Produk sedia ada yang sudah berada di pasaran sebelum tarikh tersebut masih belum diliputi. Walau bagaimanapun, pengilang dan pengimport adalah bijak untuk menyelaraskan pembangunan produk mereka dengan keperluan baharu sekarang, supaya produk masa hadapan mematuhi piawaian semasa pelancaran pasaran.
Apakah yang perlu saya lakukan jika kontrak data saya mengandungi klausa yang menyekat akses kepada data?
Di bawah Akta Data, terma kontrak yang dikenakan secara unilateral dan menghalang pihak lain daripada menggunakan atau mengeksploitasi datanya sendiri boleh dianggap tidak adil dan oleh itu tidak mengikat. Adalah dinasihatkan untuk menyemak semula kontrak data sedia ada untuk klausa tersebut. Beban membuktikan bahawa sesuatu terma tidak dikenakan secara unilateral terletak pada pihak yang memasukkannya. Rundingan semula awal secara amnya lebih berkesan daripada menunggu sehingga pihak lain menggunakan Peraturan tersebut.
Bolehkah saya berkongsi data peribadi di bawah Akta Data tanpa asas perundangan GDPR?
Tidak. Akta Data tidak menyediakan asas kendiri untuk mendedahkan data peribadi. Jika pengguna bukan subjek data yang data peribadinya diminta, data tersebut hanya boleh diberikan jika terdapat asas perundangan yang sah di bawah Perkara 6 GDPR. Selain itu, akses data di bawah Akta Data tidak menyediakan asas untuk pengekalan atau penggunaan semula data peribadi yang didedahkan selanjutnya di luar tujuan asal. Oleh itu, pematuhan GDPR dan pematuhan Akta Data mesti dipastikan secara serentak.
Bolehkah saya masih mengenakan yuran pertukaran sebagai penyedia perkhidmatan awan?
Mulai 12 Januari 2027, penyedia perkhidmatan pemprosesan data dilarang mengenakan yuran pertukaran pelanggan. Di samping itu, mulai 12 September 2025, tiada halangan teknikal, kontraktual atau organisasi yang menghalang pertukaran boleh dikenakan. Pemindahan data sebenar semasa pertukaran juga mesti berlaku tanpa kelewatan yang tidak wajar dan diselesaikan dalam tempoh peralihan selewat-lewatnya tiga puluh hari. Kontrak sedia ada yang mengandungi tempoh yang lebih panjang atau caj pertukaran memerlukan semakan semula.
Pihak berkuasa penyeliaan yang manakah kompeten untuk menguatkuasakan Akta Data di Belanda?
Penguatkuasaan dibahagikan antara Pihak Berkuasa Pengguna dan Pasaran Belanda (ACM) dan Pihak Berkuasa Perlindungan Data Belanda (AP). ACM bertanggungjawab untuk bahagian terbesar Peraturan, termasuk peruntukan mengenai data produk, perkongsian B2B dan kebolehgunaan awan. AP bertanggungjawab untuk elemen sensitif privasi dan pemprosesan data peribadi dalam artikel tertentu dan Bab V. Kedua-dua pihak berkuasa boleh mengenakan perintah tertakluk kepada penalti atau denda pentadbiran. Remedi undang-undang pentadbiran biasa tersedia terhadap keputusan sedemikian, termasuk bantahan, rayuan dan relif interim.
Adakah Akta Data juga terpakai kepada perusahaan kecil?
Peraturan ini membezakan saiz perusahaan berdasarkan beberapa perkara. Contohnya, perusahaan mikro dan perusahaan kecil dikecualikan, dalam kes permintaan data kecemasan awam, daripada kewajipan untuk menyediakan data secara percuma; dalam kes tersebut mereka berhak mendapat pampasan yang adil. Bagi kewajipan lain – termasuk kewajipan kebolehcapaian untuk produk yang berkaitan dan ujian keadilan untuk terma B2B – tiada pengecualian umum untuk perusahaan kecil dan sederhana. Oleh itu, penyedia produk yang berkaitan atau perkhidmatan awan yang lebih kecil juga mesti menyelaraskan operasi mereka dengan Peraturan dalam masa yang singkat.
