Comisia Europeană recomandă contracte-model pentru partajarea datelor și clauze cloud, cu utilizare voluntară

Comisia Europeană a publicat patru modele de contracte pentru accesul la date și șase seturi de clauze pentru serviciile cloud, pe care întreprinderile le pot folosi voluntar în negocieri. Recomandarea, adoptată la 29 octombrie și publicată în Jurnalul Oficial al UE la 6 noiembrie 2026, urmărește să ajute în special firmele mici și mijlocii să obțină condiții mai echilibrate pentru utilizarea datelor și schimbarea furnizorului. Modelele nu modifică automat contractele existente și nu înlocuiesc drepturile și obligațiile deja aplicabile potrivit Regulamentului european privind datele, cunoscut drept Data Act.

Instrumentele răspund unei dificultăți practice: o firmă poate avea dreptul legal să primească datele generate de un utilaj conectat sau să își mute activitatea la alt furnizor cloud, dar trebuie să stabilească prin contract cum se realizează accesul ori transferul. Negocierile privesc formatul informațiilor, utilizările permise, protejarea secretelor comerciale, asistența tehnică și răspunderea în cazul unor probleme. Comisia urmărește reducerea costurilor de redactare și negociere, fără să prezinte economii deja măsurate după publicarea recomandării.

Cele patru modele pentru date acoperă raporturi diferite. Primul privește deținătorul datelor și utilizatorul unui produs conectat sau al unui serviciu asociat. Al doilea reglementează relația utilizatorului cu destinatarul căruia dorește să îi fie transmise datele, iar al treilea raportul dintre deținător și destinatar, atunci când furnizarea este obligatorie, inclusiv la cererea utilizatorului. Al patrulea este destinat partajării voluntare, în absența unei obligații legale de a furniza datele.

De exemplu, o întreprindere care folosește un echipament industrial conectat poate dori ca informațiile despre funcționare să ajungă la o firmă independentă de mentenanță. Contractele pot stabili separat accesul utilizatorului la date, scopurile pentru care prestatorul de mentenanță le poate folosi și condițiile în care deținătorul le transmite acestuia. Modelul potrivit depinde de rolul fiecărei părți și de existența unei obligații legale de partajare.

Data Act acordă utilizatorilor drepturi asupra accesului la datele generate de utilizarea produselor conectate, în condițiile regulamentului. Regimul privește datele brute și preprocesate disponibile, nu automat orice informație aflată la producător. Informațiile deduse prin analize suplimentare și algoritmi complecși sunt tratate diferit, iar secretele comerciale beneficiază de măsuri de protecție.

Accesul utilizatorului la datele pe care deținătorul trebuie să i le pună la dispoziție este gratuit. În relația dintre deținător și o altă întreprindere care primește datele poate exista o compensație rezonabilă, în limitele legii. Modelele ajută la formularea acestor condiții și la identificarea datelor și utilizărilor permise; ele nu stabilesc un tarif universal pentru acces și nici nu transformă toate datele în informații care trebuie furnizate fără restricții.

Pentru cloud, Comisia recomandă șase seturi de clauze, care pot fi folosite împreună sau separat. Trei privesc direct schimbarea furnizorului: transferul și ieșirea din serviciu, încetarea contractului și securitatea și continuitatea activității în timpul transferului. Celelalte trei tratează accesul la documentația contractuală, răspunderea părților și modificările unilaterale.

Clauzele vizează serviciile de prelucrare a datelor care intră în definiția Data Act, inclusiv infrastructură informatică, platforme și aplicații furnizate ca serviciu. O firmă poate depinde de acestea pentru contabilitate, relația cu clienții sau operațiunile de producție. Trecerea la alt furnizor poate presupune mutarea datelor și a activelor digitale pe care clientul are dreptul să le utilizeze, cooperarea furnizorilor și menținerea funcțiilor esențiale pe durata transferului.

Modelele oferă un cadru pentru stabilirea procedurii de ieșire, a asistenței, a calendarului și a condițiilor de export. Nu alcătuiesc însă singure un contract complet pentru toate serviciile și nu înlătură excepțiile prevăzute de Data Act, inclusiv pentru anumite servicii construite special pentru un client. Obligațiile sectoriale și cele de securitate trebuie de asemenea luate în considerare, iar folosirea doar a unor module poate necesita adaptarea trimiterilor și definițiilor.

Un termen financiar important este deja stabilit de Data Act, independent de aceste modele: din 12 ianuarie 2027, furnizorii nu vor mai putea percepe taxele de schimbare definite de regulament, inclusiv costurile de ieșire a datelor din infrastructura lor pentru transfer. Până atunci pot aplica taxe reduse, care nu depășesc costurile direct legate de procesul de schimbare. Tarifele obișnuite ale serviciului și eventualele penalități pentru încetarea anticipată a unui contract sunt categorii distincte, despre care clientul trebuie informat înainte de contractare. Transferurile pentru utilizarea în paralel a mai multor servicii au un regim separat și pot rămâne taxabile și după această dată.

Clauzele privind încetarea acordului leagă încheierea relației de finalizarea transferului sau de opțiunea clientului pentru ștergerea datelor. Când un acord acoperă mai multe servicii și clientul mută numai unul, celelalte pot continua. Modelele tratează și situația în care transferul nu este finalizat la expirarea contractului, pentru a clarifica menținerea serviciilor și răspunderea părților.

Transparența ar urma să fie sprijinită prin păstrarea documentelor relevante într-un singur loc online, securizat și accesibil clientului, în formate care pot fi citite și descărcate. Setul dedicat documentației include versiunea curentă și istoricul acordului, modificările, informațiile despre subcontractanți, notificările și datele de contact. Clientul ar putea astfel să verifice ce obligații îi revin și ce trebuie pregătit pentru schimbarea furnizorului.

Pentru modificarea contractului, regula recomandată este acordul prealabil al ambelor părți, exprimat în scris, inclusiv electronic. O excepție permite furnizorului să adapteze acordul pentru respectarea unei cerințe legale obligatorii care nu era în vigoare înaintea începerii contractului. Separat, pot fi propuse anumite modificări unilaterale benefice utilizării serviciului de către client, precum îmbunătățiri semnificative sau măsuri necesare de securitate, dacă sunt îndeplinite toate condițiile modelului.

Pentru această a doua categorie, furnizorul trebuie să notifice clientul cu cel puțin 30 de zile calendaristice înaintea aplicării, dacă legea nu cere altceva, și să explice schimbarea, beneficiul și consecințele sale. Modelul prevede că, dacă procedura și condițiile sunt respectate, clientul este considerat că a acceptat modificarea la data intrării ei în vigoare. Termenul de 30 de zile nu trebuie confundat cu un drept general al furnizorului de a schimba orice prevedere contractuală.

Sunt excluse modificările retroactive și schimbarea pe această cale a unor prevederi precum răspunderea, confidențialitatea ori regulile de stabilire a prețurilor. Mutarea datelor din UE în afara Uniunii sau între două locații din afara UE ar necesita acordul părților. Dacă furnizorul încalcă regulile modelului privind modificarea acordului, clientul ar avea dreptul să înceteze contractul fără costuri suplimentare și să solicite repararea prejudiciului, inclusiv a costurilor schimbării furnizorului.

Aceste protecții sunt recomandări de formulare contractuală, nu obligații noi impuse tuturor firmelor prin publicarea documentului. Părțile pot adapta modelele sau negocia alte prevederi, respectând normele obligatorii. După includerea într-un contract valabil, clauzele au efecte între părți, iar instanțele și autoritățile competente pot examina conformitatea lor cu legislația aplicabilă.

Distincția este esențială pentru datele personale. Partajarea acestora trebuie să respecte GDPR, inclusiv existența unui temei juridic adecvat. Clauzele cloud recomandate pentru Data Act nu încorporează cerințele GDPR și nu înlocuiesc instrumentele necesare pentru relația dintre operator și persoana împuternicită sau pentru transferurile internaționale. Modelele au fost concepute în principal pentru relații între întreprinderi; folosirea lor cu consumatorii presupune includerea protecțiilor obligatorii specifice acestora.

Într-o declarație adoptată în iulie 2025, Comitetul european pentru protecția datelor a avertizat că respectarea modelelor de partajare nu garantează, singură, respectarea GDPR. Observațiile priveau proiectul din mai 2025 și cereau clarificări privind persoanele vizate, temeiurile prelucrării și raportul dintre compensații și datele personale.

Calendarul recomandării este distinct de cel al regulamentului. Data Act se aplică în general din 12 septembrie 2025, cu reguli tranzitorii pentru anumite obligații și contracte, și cerea elaborarea și recomandarea modelelor înainte de acea dată. Recomandarea formală a fost publicată în noiembrie 2026, însă proiectele nu au apărut atunci pentru prima dată: introducerea documentului indică un raport al grupului de experți publicat încă din aprilie 2025 și consultări ulterioare. Publicarea târzie a formei finale nu echivalează cu absența oricărui instrument orientativ anterior.

Explicațiile Comisiei arată cum pot fi alese modelele în funcție de relația contractuală și cum se completează modulele cloud. Pentru întreprinderi, ele oferă un reper oficial față de care pot compara propunerile partenerilor și condițiile de acces, transfer sau încetare. Recomandarea încurajează statele membre să promoveze utilizarea lor prin autoritățile competente și organismele de soluționare a litigiilor. Efectele asupra costurilor și echilibrului negocierilor vor depinde de folosirea efectivă a instrumentelor și de aplicarea drepturilor deja prevăzute de lege.