EUROPEISKA KOMMISSIONEN
Bryssel den 13.9.2017
COM(2017) 495 final
2017/0228(COD)
Förslag till
EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
om en ram för det fria flödet av icke-personuppgifter i Europeiska unionen
{SWD(2017) 304 final}
{SWD(2017) 305 final}
MOTIVERING
1.BAKGRUND TILL FÖRSLAGET
•Motiv och syfte med förslaget
Ny digital teknik, exempelvis molntjänster, stordata, artificiell intelligens och sakernas internet (Internet of Things, IoT), är utformad för att maximera effektiviteten, möjliggöra stordriftsfördelar och utveckla nya tjänster. Den erbjuder fördelar för användarna, såsom smidighet, produktivitet, snabbare användning och autonomi, t.ex. genom maskininlärning 1 .
Som framgår av 2017 års meddelande ”Att skapa en europeisk dataekonomi” 2 uppskattades värdet av EU:s datamarknad 2016 till nästan 60 miljarder euro, vilket är en ökning med 9,5 % jämfört med 2015. Enligt en studie skulle EU:s marknad kunna uppgå till mer än 106 miljarder euro 2020 3 .
För att frigöra denna potential syftar förslaget till att ta itu med följande frågor:
·Förbättra rörligheten för icke-personuppgifter över gränserna på den inre marknaden, vilken är begränsad i dag i många medlemsstater genom lokaliseringsbegränsningar eller rättslig osäkerhet på marknaden.
·Säkerställa att de behöriga myndigheternas befogenhet att begära och få tillgång till information för reglerings- och tillsynsändamål, t.ex. för inspektion och verifiering, inte påverkas, och
·Göra det lättare för yrkesmässiga användare av datalagring eller andra databehandlingstjänster att byta tjänsteleverantör och att portera data, samtidigt som man inte skapar en alltför stor börda för tjänsteleverantörerna eller snedvrider marknaden.
I halvtidsöversynen om genomförandet av strategin för den digitala inre marknaden 4 meddelades ett lagstiftningsförslag om ett samarbete kring fritt flöde i EU av data.
Det allmänna politiska målet med initiativet är att skapa en mer konkurrenskraftig och integrerad inre marknad för datalagring och andra databehandlingstjänster och databehandlingsverksamheter genom att ta itu med ovannämnda områden. I detta förslag används datalagring och annan databehandling i vid bemärkelse, och omfattar användning av alla typer av it-system, oavsett om de finns i användarens lokaler, eller är utkontrakterade till en leverantör av datalagrings- eller andra databehandlingstjänster 5 .
•Förenlighet med befintliga bestämmelser inom området
Förslaget bidrar till att uppfylla de mål som anges i strategin för den digitala inre marknaden 6 , i dess nyligen genomförda halvtidsöversyn, samt i de politiska riktlinjerna för den nuvarande kommissionen ”En ny start för EU: Mitt program för sysselsättning, tillväxt, rättvisa och demokratisk förändring” 7 .
Detta förslag är inriktat på tillhandahållandet av datavärdskap (lagring) och andra databehandlingstjänster, och är förenligt med befintliga rättsliga instrument. Initiativet syftar till att skapa en effektiv inre europeisk marknad för sådana tjänster. Därmed är det i linje med e-handelsdirektivet 8 , som syftar till en heltäckande och effektiv inre europeisk marknad för bredare kategorier av informationssamhällets tjänster, och med tjänstedirektivet 9 , som främjar en fördjupning av EU:s inre marknad för tjänster inom ett flertal sektorer.
Ett antal relevanta sektorer undantas uttryckligen från tillämpningsområdet för denna lagstiftning (dvs. e-handels- och tjänstedirektiven), så att endast de allmänna bestämmelserna i fördraget skulle vara tillämpliga för allt datavärdskap (lagring) och andra databehandlingstjänster. De befintliga hindren för dessa tjänster kan emellertid inte avlägsnas på ett effektivt sätt endast genom att förlita sig på en direkt tillämpning av artiklarna 49 och 56 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Skälet till det är för det första att det skulle bli ytterst svårt för de nationella institutionerna och unionens institutioner att ta itu med de hindren från fall till fall genom överträdelseförfaranden mot de berörda medlemsstaterna. För det andra skulle det krävas särskilda regler för att ta itu med såväl offentliga som privata hinder och fordras ett administrativt samarbete, för att undanröja många av hindren. Dessutom verkar den ökade rättssäkerheten vara särskilt viktigt för användare av ny teknik 10 .
Eftersom detta förslag gäller elektroniska uppgifter förutom personuppgifter, påverkar det inte unionens rättsliga ram för dataskydd, särskilt förordning nr 2016/679 (den allmänna dataskyddsförordningen) 11 , direktiv 2016/680 (polisdirektivet) 12 och direktiv 2002/58/EG (direktivet om integritet och elektronisk kommunikation) 13 , som säkerställer en hög skyddsnivå för personuppgifter och det fria flödet av sådana uppgifter inom unionen. Tillsammans med den ovannämnda rättsliga ramen syftar förslaget till att införa en övergripande och samstämmig EU-ram för att möjliggöra fri rörlighet för data på den inre marknaden.
Förslaget kommer att kräva anmälan av förslag till åtgärder avseende datalokalisering enligt öppenhetsdirektivet (2015/1535) 14 för att möjliggöra en bedömning av huruvida dessa lokaliseringsbegränsningar är motiverade.
När det gäller samarbete och ömsesidigt stöd mellan behöriga myndigheter föreslås det i förslaget att alla sådana mekanismer bör tillämpas. Om inga samarbetsmekanismer finns införs genom förslaget åtgärder som syftar till att möjliggöra för behöriga myndigheter att utbyta och få tillgång till uppgifter som lagras eller på annat sätt behandlas i andra medlemsstater.
•Förenlighet med unionens politik inom andra områden
Mot bakgrund av den digitala inre marknaden syftar detta initiativ till att minska hindren för en konkurrenskraftig datadriven ekonomi i Europa. I överensstämmelse med meddelandet om översynen efter halva tiden av den digitala inre marknaden undersöker kommissionen separat frågor som rör tillgång och vidareutnyttjande av offentliga och offentligt finansierade uppgifter och privatägda uppgifter som är av allmänt intresse och ansvar i händelse av skador orsakade av dataintensiva produkter 15 .
De politiska åtgärderna bygger också vidare på Digitalisering av den europeiska industrin det politiska paket som inbegrep det europeiska initiativet för molnbaserade tjänster 16 som syftar till att bygga upp en molnbaserad lösning med hög kapacitet för lagring, delning och vidareutnyttjande av vetenskapliga data. Dessutom bygger initiativet på en översyn av det europeiska ramverket för interoperabilitet 17 , som syftar till att förbättra det digitala samarbetet mellan offentliga förvaltningar i Europa, och det kommer att ha direkt nytta av det fria flödet av uppgifter. Det bidrar till EU:s engagemang för ett öppet internet 18 .
2.RÄTTSLIG GRUND, SUBSIDIARITETSPRINCIPEN OCH PROPORTIONALITETSPRINCIPEN
•Rättslig grund
Förslaget ingår i ett område där delad befogenhet gäller i enlighet med artikel 4.2 a i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Syftet är att uppnå en mer konkurrenskraftig och integrerad inre marknad för datalagring och andra databehandlingstjänster genom att garantera det fria flödet av uppgifter inom unionen. I förslaget fastställs bestämmelser om krav på datalokalisering, tillgången till uppgifter för behöriga myndigheter och dataportering för yrkesmässiga användare. Förslaget grundar sig på artikel 114 i EUF-fördraget som är den allmänna rättsliga grunden för att anta sådana regler.
•Subsidiaritetsprincipen
Förslaget är förenligt med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen. Syftet med detta förslag är att säkerställa en väl fungerande inre marknad för dessa tjänster, som inte är begränsad till en enda medlemsstats territorium och det fria flödet av icke-personuppgifter inom unionen kan inte uppnås av medlemsstaterna på nationell nivå, eftersom huvudproblemet är gränsöverskridande datarörlighet.
Medlemsstaterna kan minska antalet och omfattningen av deras egna datalokaliseringsbegränsningar, men de kommer troligen att göra det i olika utsträckning och på olika villkor, eller inte alls.
Olika metoder skulle emellertid leda till att för många lagstadgade krav i EU:s inre marknad och konkreta extra kostnader för företag, särskilt små och medelstora företag.
•Proportionalitetsprincipen
Förslaget är förenligt med proportionalitetsprincipen enligt artikel 5 i EU-fördraget eftersom det består av ett effektivt regelverk som inte går utöver vad som är nödvändigt för att lösa de problem som konstaterats och är proportionerligt för att uppnå sina mål.
I syfte att avlägsna hindren för det fria flödet av icke-personuppgifter inom unionen som begränsas av lokaliseringskrav och att öka förtroendet för gränsöverskridande dataflöden och datalagring och andra databehandlingstjänster kommer förslaget i hög grad att bygga på EU:s befintliga instrument och ramar: öppenhetsdirektivet för anmälan av förslag till åtgärder om krav på datalokalisering, olika ramar som säkrar tillgången till uppgifter för reglering och tillsyn av medlemsstaterna. Det är bara om det saknas andra samarbetsmekanismer, och när andra former av kontakt har uttömts, som samarbetsmekanismen i förslaget kommer att användas för att hantera frågor som rör tillgänglighet för data för nationella behöriga myndigheter.
I det föreslagna tillvägagångssättet för flödet av uppgifter mellan medlemsstaternas gränser och mellan olika tjänsteleverantörer/interna it-system eftersträvas en balans mellan EU:s lagstiftning och allmänna säkerhetsintressen i medlemsstaterna samt en balans mellan reglering och självreglering av marknaden.
För att lindra svårigheterna för yrkesmässiga användare att byta tjänsteleverantör och portera data, uppmuntrar initiativet till självreglering genom uppförandekoder om uppgifter som ska lämnas till användarna av datalagring eller andra databehandlingstjänster. Även villkoren för byte och portering bör hanteras genom självreglering för att fastställa bästa praxis.
I förslaget påminns det om att säkerhetskrav som införs genom nationell rätt och unionsrätten också ska säkerställas när fysiska eller juridiska personer utkontrakterar sina uppgifter, lagring eller andra behandlingstjänster, även i en annan medlemsstat. I förslaget påminns också om de genomförandebefogenheter som kommissionen tilldelas genom direktivet om nät- och informationssäkerhet för att åtgärda säkerhetsproblemen, vilket också bidrar till denna förordnings verkan. Även om det i förslaget skulle krävas åtgärder från de offentliga myndigheterna i medlemsstaterna till följd av anmälnings-/granskningskrav, kraven på insyn och det administrativa samarbetet är förslaget utformat för att minimera sådana åtgärder till de viktigaste samarbetsbehoven och därmed undvika onödiga administrativa bördor.
Genom att upprätta en tydlig ram tillsammans med samarbete mellan och med medlemsstaterna, samt genom självreglering, syftar förslaget till att förbättra rättssäkerheten och öka förtroendet, samtidigt som det är fortsatt relevant och effektivt på lång sikt på grund av flexibiliteten i den samarbetsram som bygger på de gemensamma kontaktpunkterna i medlemsstaterna.
Kommissionen avser att inrätta en expertgrupp som ska ge råd i frågor som omfattas av denna förordning.
•Val av instrument
Kommissionen lägger fram ett förslag till en förordning som kan säkerställa att enhetliga regler om det fria dataflödet av icke-personuppgifter är tillämpliga inom hela unionen vid samma tidpunkt. Detta är särskilt viktigt för att avlägsna befintliga hinder och förhindra att nya kommer att införas av medlemsstaterna, för att garantera rättssäkerheten för de berörda tjänsteleverantörerna och användarna och därmed öka förtroendet för gränsöverskridande dataflöden samt datalagring och andra databehandlingstjänster.
3.RESULTAT AV EFTERHANDSUTVÄRDERINGAR, SAMRÅD MED BERÖRDA PARTER OCH KONSEKVENSBEDÖMNINGAR
•Samråd med berörda parter
Under den första omgången av uppgiftsinsamling genomfördes 2015 ett offentligt samråd om regelverket för plattformar, mellanhänder på internet, data och molntjänster samt delningsekonomi. Två tredjedelar av de svarande – jämt fördelat över alla intressentgrupper, inklusive de små och medelstora företagen – ansåg att begränsningarna av datalokalisering har påverkat deras affärsstrategi 19 . Annan uppgiftsinsamling skedde i form av möten och evenemang, riktade workshopar med viktiga intressenter (t.ex. Cloud Select Industry Group) och särskilda workshoppar inom ramen för studier.
En andra omgång av uppgiftsinsamling, från slutet av 2016 till andra halvåret 2017, omfattade ett offentligt samråd som inleddes i samband med kommissionens meddelande ”Att skapa en europeisk dataekonomi” den 10 januari 2017. Enligt svaren på det offentliga samrådet ansåg 61,9 % av intressenterna att begränsningarna för datalokalisering borde avskaffas. En majoritet av intressenterna (55,3 % av de svarande) ansåg att lagstiftningsåtgärder är det lämpligaste instrumentet för att ta itu med oberättigade begränsningar för lokalisering, och vissa av dem efterfrågade uttryckligen en förordning 20 . Stödet för lagstiftningsåtgärder är störst bland it-tjänsteleverantörerna, såväl stora som små, inom och utanför EU. En del av intressenterna konstaterade även negativa effekter med restriktioner för datalokalisering. Förutom att de leder till ökade kostnader för företagen påverkar de tillhandahållandet av en tjänst till privata eller offentliga parter (69,6 % av de deltagande intressenterna identifierade denna negativa effekt som ”stor”) eller möjligheten att ta sig in på en ny marknad (73,9 % av de svarande intressenterna identifierade denna negativa effekt som ”stor”). Intressenternas svar hade en snarlik procentuell fördelning, oavsett deras bakgrund. Det framgick också av det offentliga samrådet på internet att problemet med att byta tjänsteleverantör är utbrett: 56,8 % av de svarande små och medelstora företagen uppgav att de hade stött på svårigheter när de vill byta leverantör.
Mötena med medlemsstaterna inom ramen för den strukturerade dialogen underlättade en samsyn om utmaningarna. 16 medlemsstater har uttryckligen efterfrågat ett lagstiftningsförslag i ett brev till ordförande Donald Tusk.
En rad påpekanden från medlemsstaterna och näringslivet betraktas i förslaget, särskilt behovet av en övergripande princip om fri rörlighet för uppgifter för att skapa rättssäkerhet, framsteg när det gäller tillgången till data för regleringsändamål, att göra det lättare för yrkesmässiga användare att byta leverantör av datalagring eller andra databehandlingstjänster och portering av data genom att uppmuntra till ökad öppenhet i de tillämpliga förfarandena och villkoren i avtalen, utan att införa särskilda standarder eller krav på tjänsteleverantörerna i det här skedet.
•Insamling och användning av sakkunnigutlåtanden
Rättsliga och ekonomiska studier har använts för att belysa olika aspekter av datarörlighet, inbegripet krav på datalokalisering 21 , byte av leverantör/dataportering 22 och datasäkerhet 23 . Ytterligare undersökningar har beställts om konsekvenserna av molntjänster 24 och spridningen av molntjänster 25 , samt om den europeiska datamarknaden 26 . Studier har också genomförts av sam- eller självregleringsåtgärder i sektorn för molntjänster 27 . Kommissionen har även grundat sig på andra externa källor, bl.a. marknadsöversyner och marknadsstatistik (t.ex. Eurostat).
•Konsekvensbedömning
En konsekvensbedömning har genomförts för detta förslag. Följande uppsättning alternativ beaktades i konsekvensbedömningen: Ett grundscenario (inga åtgärder) och tre alternativ. Alternativ 1 utgjordes av riktlinjer och/eller självreglering för att ta itu med de identifierade problemen och den därpå följande skärpningen av verkställighetsbefogenheterna i fråga om olika kategorier av oberättigade eller oproportionerliga hinder för datalokalisering som införs av medlemsstaterna. Alternativ 2 består i att fastställa rättsliga principer för de olika problem som ringats in och innebär att medlemsstaterna ska utse gemensamma kontaktpunkter och inrätta en expertgrupp, för att diskutera gemensamma strategier och praxis samt ge vägledning om de principer som införts enligt det här alternativet. Ett underalternativ 2a övervägdes också för att man skulle kunna bedöma en kombination av lagstiftning bestående av ramen för det fria flödet av uppgifter, de gemensamma kontaktpunkterna och en expertgrupp, samt självregleringsåtgärder rörande dataportering. Alternativ 3 utgörs av ett detaljerat lagstiftningsinitiativ för att fastställa bl.a. fördefinierade (harmoniserade) bedömningskriterier för vad som utgör (o)berättigade och (o)proportionella restriktioner för datalokalisering och en ny rättighet om dataportering.
Den 28 september 2016 avgav nämnden för lagstiftningskontroll sitt första yttrande om konsekvensanalysen, och den begärde att en omarbetad konsekvensbedömning lades fram. Den ändrades därefter och lades fram på nytt till nämnden för lagstiftningskontroll den 11 augusti 2017. I sitt andra yttrandet noterade nämnden för lagstiftningskontroll den utvidgning av tillämpningsområdet som skett till följd av kommissionens meddelande (2017) 9 ”Att skapa en europeisk dataekonomi”, samt det ytterligare materialet om intressenternas synpunkter och om bristerna hos den nuvarande ramen. Nämnden avgav ett andra negativt yttrande den 25 augusti 2017, där den i synnerhet noterade bristande belägg för att det behövs en ny rättighet om molntjänstportabilitet. I enlighet med operativ praxis betraktade nämnden yttrandet som slutligt.
Kommissionen ansåg att det var lämpligt att lägga fram ett förslag och samtidigt ytterligare förbättra sin bedömning av konsekvensanalysen genom att ta vederbörlig hänsyn till synpunkterna i det andra yttrandet från nämnden för lagstiftningskontroll. Räckvidden hos förslaget är begränsad till fritt flöde av icke-personuppgifter i Europeiska unionen. I enlighet med nämndens konstaterande att beläggen tycks peka mot ett mindre strängt alternativ i fråga om dataportering har man övergett det rekommenderade alternativ som ursprungligen föreslogs i konsekvensanalysen om en skyldighet för leverantörerna att underlätta byte eller portering av användarnas uppgifter. I stället bibehöll kommissionen ett mindre betungande alternativ som består av självregleringsåtgärder som underlättas av kommissionen. Förslaget är proportionellt och mindre strängt, eftersom det inte skapar en ny rätt till portering mellan leverantörer av datalagringstjänster eller av andra databehandlingstjänster, utan bygger på självreglering för att skapa transparens i de tekniska och driftsmässiga villkoren för portabilitet.
Förslaget beaktar även nämndens yttrande för att säkerställa att det inte sker överlappningar eller dubbleringar i förhållande till översynen av mandatet för Europeiska unionens byrå för nät- och informationssäkerhet (Enisa) och införandet av en europeisk ram för IKT-cybersäkerhetscertifiering.
Konsekvensanalysen visade att det rekommenderade alternativet, underalternativ 2a, skulle medföra att befintliga oberättigade begränsningar för lokalisering undanröjdes och att framtida hinder förebyggdes genom en tydlig rättslig princip i kombination med prövning, anmälning och transparens, samtidigt som det skulle öka rättssäkerheten på och förtroendet för marknaden. Bördan för medlemsstaternas offentliga myndigheter skulle bli måttlig, vilket leder till en årlig kostnad på ungefär 33 000 euro i fråga om personalresurser för att upprätthålla de gemensamma kontaktpunkterna samt en årlig kostnad på mellan 385 och 1 925 euro för utarbetande av anmälningar.
Förslaget kommer att ha positiva effekter på konkurrensen, eftersom det kommer att stimulera innovation i datalagrings- eller andra databehandlingstjänster, locka fler användare till tjänsterna och göra det avsevärt mycket lättare, särskilt för nya och små tjänsteleverantörer, att ta sig in på nya marknader. Förslaget kommer också att främja gränsöverskridande och sektorsövergripande användning av datalagrings- eller andra databehandlingstjänster och utvecklingen av datamarknaden. Därför kommer förslaget bidra till att omvandla samhället och ekonomin samt skapa nya möjligheter för europeiska medborgare, företag och offentliga förvaltningar.
•Lagstiftningens ändamålsenlighet och förenkling
Förslaget gäller medborgare, nationella förvaltningar och alla företag, inbegripet mikroföretag och små och medelstora företag. Alla företag gynnas av bestämmelserna om åtgärder mot hinder för datarörligheten. Särskilt de små och medelstora företagen kommer att gynnas av förslaget, eftersom fri rörlighet för icke-personuppgifter direkt kommer att sänka deras kostnader och gynna en starkare konkurrensposition. Om de små och medelstora företagen undantogs från reglerna, skulle reglernas ändamålsenlighet undergrävas, eftersom de små och medelstora företagen utgör en stor andel av leverantörerna av datalagring och annan lagring och är drivkrafter för innovation på de marknaderna. Eftersom kostnaderna till följd av reglerna dessutom sannolikt inte kommer att bli betydande, bör mikroföretag och små och medelstora företag inte undantas från deras tillämpningsområde.
•Grundläggande rättigheter
Det här förslaget till förordning respekterar de grundläggande rättigheter och principer som erkänns bland annat i Europeiska unionens stadga om de grundläggande rättigheterna. Den föreslagna förordningen skulle ha en positiv effekt på näringsfriheten (artikel 16), eftersom den skulle bidra till att undanröja och förhindra omotiverade eller oproportionerliga hinder för användning och tillhandahållande av datatjänster, exempelvis molntjänster, samt utformning av interna it-system.
4.BUDGETKONSEKVENSER
Det kommer att uppstå en måttlig administrativ börda för medlemsstaternas offentliga myndigheter, till följd av behovet av personalresurser för samarbetet mellan medlemsstaterna i de gemensamma kontaktpunkterna, och för att följa bestämmelserna om anmälan, översyn och öppenhet.
5.ÖVRIGA INSLAG
•Genomförandeplaner samt åtgärder för övervakning, utvärdering och rapportering
En omfattande utvärdering ska äga rum fem år efter det att tillämpningen av reglerna inletts för att bedöma deras ändamålsenlighet och proportionalitet. Den utvärderingen kommer att ske i enlighet med riktlinjerna för bättre lagstiftning.
Den måste särskilt omfatta en undersökning av om förordningen har bidragit till att minska datalokaliseringbegränsningarnas antal och omfattning, och till att öka rättssäkerheten om de återstående (motiverade och proportionerliga) begränsningarna och öppenheten i dessa. Utvärderingen måste också rymma en bedömning av om initiativet har bidragit till att förbättra förtroendet för det fria flödet av icke-personuppgifter, om medlemsstaterna rimligen kan få tillgång till uppgifter lagrade i utlandet för kontrolländamål och om förordningen har lett till ökad öppenhet i villkoren för dataportering.
De gemensamma kontaktpunkterna i medlemsstaterna planeras tjäna som en värdefull informationskälla vid efterhandsutvärderingen av lagstiftningen.
Särskilda indikatorer (såsom föreslås i konsekvensanalysen) skulle användas för att mäta framstegen på dessa områden. Även uppgifter från Eurostat och indexet för digital ekonomi och digitalt samhälle planeras användas. En specialutgåva av Eurobarometern kan också övervägas för detta ändamål.
•Ingående redogörelse för de specifika bestämmelserna i förslaget
I artiklarna 1–3 anges förslagets syfte, förordningens tillämpningsområde och de definitioner som används i förordningen.
I artikel 4 fastställs principen om fri rörlighet för icke-personuppgifter i unionen. Denna princip förbjuder varje krav på datalokalisering, såvida den inte berättigas av hänsyn till allmän säkerhet. Vidare föreskrivs en översyn av de nuvarande kraven, en anmälan av kvarvarande eller nya krav till kommissionen samt åtgärder för ökad öppenhet.
Artikel 5 syftar till att säkerställa behöriga myndigheters tillgång till data för kontroll. Användare får därför inte vägra att ge behöriga myndigheter tillgång till data på grund av att data lagras eller på annat sätt behandlas i en annan medlemsstat. Om en behörig myndighet har uttömt alla möjligheter att få tillgång till uppgifterna, får den behöriga myndigheten begära bistånd från en myndighet i en annan medlemsstat, om det inte finns någon specifik samarbetsmekanism.
I artikel 6 föreskrivs att kommissionen ska uppmuntra tjänsteleverantörer och yrkesmässiga användare att utveckla och införa uppförandekoder, och det anges vad som ska ingå i den detaljerade, tydliga och öppna information om villkoren för dataportering (inbegripet tekniska och operativa krav) som leverantören ska förse de professionella användarna med innan ett avtal ingås. Kommissionen ska se över utarbetandet och det faktiska genomförandet av sådana uppförandekoder senast två år efter det att denna förordning börjar tillämpas.
I artikel 7 föreskrivs att varje medlemsstat ska utse en gemensam kontaktpunkt som ska upprätthålla kontakt med de gemensamma kontaktpunkterna i andra medlemsstater och kommissionen vad gäller tillämpningen av denna förordning. I artikel 7 fastställs också de förfaranderegler som gäller för sådant stöd mellan behöriga myndigheter som avses i artikel 5.
Enligt artikel 8 ska kommissionen biträdas av kommittén för fritt dataflöde i den mening som avses i förordning (EU) nr 182/2011.
I artikel 9 föreskrivs en översyn inom fem år efter det att förordningen börjar tillämpas.
Enligt artikel 10 ska förordningen börja tillämpas sex månader efter dagen för dess offentliggörande.
2017/0228 (COD)
Förslag till
EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
om en ram för det fria flödet av icke-personuppgifter i Europeiska unionen
EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING
med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 114,
med beaktande av Europeiska kommissionens förslag,
efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,
med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande 28 ,
med beaktande av Regionkommitténs yttrande 29 ,
i enlighet med det ordinarie lagstiftningsförfarandet, och
av följande skäl:
(1)Digitaliseringen av ekonomin ökar. Informations- och kommunikationstekniken (IKT) är inte längre en specifik sektor, utan grunden för alla moderna innovativa ekonomiska system och samhällen. Elektroniska uppgifter står i centrum för dessa system och kan skapa stort värde när de analyseras eller kombineras med tjänster och produkter.
(2)Datavärdekedjor bygger på olika verksamheter som rör data: skapande och insamling av data; sammanställning och organiserande av data; datalagring och databehandling; analys, marknadsföring och distribution av data; användning och återanvändning av data. En effektiv och ändamålsenlig datalagring och annan databehandling är en grundläggande byggsten i alla datavärdekedjor. Den effektiviteten och ändamålsenligheten samt utvecklingen av den datadrivna ekonomin i unionen hämmas dock, i första hand av två typer av hinder för datarörlighet och för den inre marknaden.
(3)Etableringsfriheten och friheten att tillhandahålla tjänster enligt fördraget om Europeiska unionens funktionssätt gäller för datalagringstjänster och andra databehandlingstjänster. Tillhandahållandet av dessa tjänster försvåras eller hindras i vissa fall av vissa nationella krav på att lokalisera data på ett visst territorium.
(4)Sådana hinder för den fria rörligheten för datalagringstjänster eller andra databehandlingstjänster, och etableringsrätt för leverantörer av datalagringstjänster eller andra databehandlingstjänster härrör från krav i medlemsstaternas lagstiftning att lokalisera data i ett visst geografiskt område eller territorium för lagring eller annan behandling. Andra bestämmelser eller administrativ praxis har liknande verkan genom att de inför särskilda krav som gör det svårare att lagra eller på annat sätt behandla data utanför ett visst geografiskt område eller territorium inom unionen, till exempel krav på användning av tekniska anläggningar som är certifierade eller godkända i en specifik medlemsstat. Rättslig osäkerhet när det gäller lagliga och olagliga krav på datalokalisering begränsar marknadsaktörernas och den offentliga sektorns valmöjligheter ytterligare när det gäller lokalisering av datalagring eller annan databehandling.
(5)Samtidigt begränsas datarörligheten i unionen av privata restriktioner: rättsliga, avtalsrättsliga och tekniska aspekter som hindrar eller stoppar användare av datalagringstjänster eller andra databehandlingstjänster från att portera sina data från en tjänsteleverantör till en annan eller tillbaka till sina egna it-system, inte minst vid uppsägning av avtal med en tjänsteleverantör.
(6)Av rättssäkerhetsskäl och på grund av behovet av lika villkor inom unionen är det mycket viktigt att det finns en samlad uppsättning regler för alla marknadsaktörer för att den inre marknaden ska fungera väl. För att avlägsna handelshindren och snedvridningen av konkurrensen beroende på skilda nationella regelverk, samt för att förhindra uppkomsten av framtida liknande handelshinder och snedvriden konkurrens, är det därför nödvändigt att anta enhetliga regler som ska tillämpas i alla medlemsstater.
(7)För att skapa en ram för den fria rörligheten för icke-personuppgifter i unionen och grunden för att utveckla den datadrivna ekonomin och stärka den europeiska industrins konkurrenskraft, är det nödvändigt att fastställa en tydlig, omfattande och förutsägbar rättslig ram för lagring eller annan behandling av andra uppgifter än personuppgifter på den inre marknaden. En principbaserad strategi för samarbete mellan medlemsstaterna, samt självreglering, bör säkerställa att systemet är flexibelt så att det kan ta hänsyn till förändrade behov hos användare, tjänsteleverantörer och nationella myndigheter i EU. För att undvika risken för överlappning med befintliga mekanismer och således undvika ökade bördor för både medlemsstater och företag, bör man inte fastställa detaljerade tekniska regler.
(8)Denna förordning bör tillämpas på juridiska eller fysiska personer som tillhandahåller datalagringstjänster eller andra databehandlingstjänster till användare som är bosatta eller etablerade i unionen, inbegripet de som tillhandahåller tjänster i unionen utan att vara etablerade i unionen.
(9)Den rättsliga ramen om skydd för fysiska personer med avseende på behandling av personuppgifter, särskilt förordning (EU) 2016/679 30 , direktiv (EU) 2016/680 31 och direktiv 2002/58/EG 32 , bör inte påverkas av denna förordning.
(10)Enligt förordning (EU) 2016/679 får medlemsstaterna varken begränsa eller förbjuda det fria flödet av personuppgifter inom unionen av skäl som har anknytning till skydd för fysiska personer med avseende på behandling av personuppgifter. I den förordningen fastställs samma princip om fri rörlighet inom unionen för andra uppgifter än personuppgifter, utom om en begränsning eller ett förbud skulle vara motiverat av säkerhetsskäl.
(11)Denna förordning bör gälla för datalagring eller annan databehandling i vid bemärkelse, och omfatta användning av alla typer av it-system, oavsett om de finns i användarens lokaler eller är utkontrakterade till en leverantör av datalagringstjänster eller andra databehandlingstjänster. Den bör omfatta databehandling på olika nivåer, från datalagring (Infrastructure-as-a-Service (IaaS)), till databehandling på plattformar (Platform-as-a-Service (PaaS)), eller i tillämpningar (Software-as-a-Service (SaaS)). Dessa olika tjänster bör omfattas av tillämpningsområdet för denna förordning, såvida inte datalagring eller annan databehandling endast är en hjälptjänst till en tjänst av en annan typ, t.ex. att tillhandahålla en elektronisk marknadsplats som fungerar som förmedling mellan tjänsteleverantörer och konsumenter eller företagsanvändare.
(12)Krav på datalokalisering utgör ett tydligt hinder för det fria tillhandahållandet av datalagringstjänster eller andra databehandlingstjänster i unionen och för den inre marknaden. Sådana krav borde därför förbjudas såvida de inte är motiverade på grund av den allmänna säkerheten, enligt definitionen i unionslagstiftningen, särskilt artikel 52 i fördraget om Europeiska unionens funktionssätt, och är förenliga med proportionalitetsprincipen som fastställs i artikel 5 i fördraget om Europeiska unionen. I syfte att tillämpa principen om fritt flöde av icke-personuppgifter över gränserna, för att säkerställa ett snabbt undanröjande av existerande krav på datalokalisering och för att av operativa skäl möjliggöra datalagring eller annan databehandling på flera platser i hela EU, och eftersom det i denna förordning föreskrivs åtgärder för att säkerställa tillgången till data för kontrolländamål, bör medlemsstaterna inte kunna åberopa andra grunder än hänsyn till allmän säkerhet.
(13)För att säkerställa en effektiv tillämpning av principen om fritt flöde av personuppgifter över gränserna och förhindra att det uppstår nya hinder för en väl fungerande inre marknad, bör medlemsstaterna till kommissionen anmäla förslag till rättsakter som innehåller ett nytt krav på datalokalisering eller ändrar ett befintligt krav på datalokalisering. Dessa anmälningar bör lämnas in och bedömas i enlighet med det förfarande som anges i direktiv (EU) 2015/1535 33 .
(14)För att undanröja eventuella befintliga hinder, under en övergångsperiod på 12 månader, bör medlemsstaterna dessutom genomföra en översyn av befintliga nationella krav på datalokalisering och till kommissionen anmäla, tillsammans med en motivering, eventuella krav på datalokalisering som de anser överensstämmer med denna förordning. Dessa anmälningar bör göra det möjligt för kommissionen att bedöma efterlevnaden av eventuella kvarvarande krav på datalokalisering.
(15)För att säkerställa transparensen när det gäller krav på datalokalisering i medlemsstaterna för fysiska och juridiska personer, såsom tjänsteleverantörer och användare av datalagringstjänster eller andra databehandlingstjänster, bör medlemsstaterna offentliggöra information på nätet via en gemensam informationspunkt och regelbundet uppdatera informationen om sådana åtgärder. För att på lämpligt sätt informera juridiska och fysiska personer om krav på datalokalisering i hela unionen, bör medlemsstaterna meddela kommissionen adresserna till sådana kontaktpunkter. Kommissionen bör offentliggöra dessa uppgifter på sin webbplats.
(16)Krav på datalokalisering motiveras ofta av ett bristande förtroende för gränsöverskridande datalagring eller annan databehandling, som beror på att behöriga myndigheter i medlemsstater antar att data inte är tillgängliga, t.ex. för kontroll och revisioner i samband med tillsyn eller övervakning. Denna förordning bör därför klart och tydligt fastställa att den inte påverkar de behöriga myndigheternas befogenhet att begära och få tillgång till data i enlighet med unionslagstiftningen eller nationell lagstiftning, och att behöriga myndigheter inte får vägras tillgång till data på grundval av att datalaring eller databehandling sker i en annan medlemsstat.
(17)Fysiska eller juridiska personer som omfattas av skyldigheter att lämna uppgifter till behöriga myndigheter kan uppfylla dessa skyldigheter genom att tillhandahålla och garantera en effektiv elektronisk tillgång i rätt tid för behöriga myndigheter, oberoende av på vilken medlemsstats territorium data lagras eller behandlas på annat sätt. Sådan tillgång kan säkerställas genom konkreta villkor i avtal mellan den fysiska eller juridiska person som omfattas av skyldigheten att ge tillgång och leverantören av datalagringstjänster eller andra databehandlingstjänster.
(18)Om en fysisk eller juridisk person som omfattas av skyldigheter att lämna uppgifter inte uppfyller dem och under förutsättning att en behörig myndighet har uttömt alla möjligheter att få tillgång till data, bör den behöriga myndigheten ha möjlighet att begära hjälp från behöriga myndigheter i andra medlemsstater. I sådana fall bör behöriga myndigheter använda särskilda samarbetsinstrument i unionslagstiftningen eller internationella avtal, exempelvis, när det rör sig om polissamarbete, om straffrättsliga eller civilrättsliga fall eller om administrativa ärenden, rambeslut 2006/960 34 , Europaparlamentets och rådets direktiv 2014/41/EU 35 , Europarådets konvention om it-brottslighet 36 , rådets förordning (EG) nr 1206/2001 37 , rådets direktiv 2006/112/EG 38 och rådets förordning (EU) nr 904/2010 39 . Om det inte finns några sådana specifika samarbetsmekanismer bör de behöriga myndigheterna samarbeta med varandra för att ge tillgång till efterfrågade data, genom utsedda kontaktpunkter, såvida detta inte strider mot allmän ordning i den anmodade medlemsstaten.
(19)Om en begäran om hjälp innebär att den tillfrågade myndigheten ska få tillträde till en fysisk eller juridisk persons lokaler, inbegripet till eventuell utrustning och medel för datalagring eller annan databehandling, måste sådant tillträde ske i överensstämmelse med unionens eller medlemsstaternas processrättslagstiftning inklusive eventuellt krav på förhandstillstånd från rättsliga myndigheter.
(20)Förmågan att portera data utan hinder är centralt när det gäller användarnas valfrihet och en effektiv konkurrens på marknaderna för datalagring eller databehandlingstjänster. De faktiska eller upplevda svårigheterna i fråga om att portera data över gränser undergräver också förtroendet hos professionella användare i andra EU-länder när det gäller att acceptera gränsöverskridande anbud och därigenom deras förtroende för den inre marknaden. Medan fysiska personer och konsumenter kan dra nytta av befintlig unionslagstiftning, underlättas inte möjligheten att växla mellan tjänsteleverantörer för användare inom ramen för deras närings- eller yrkesverksamhet.
(21)För att utnyttja den konkurrensutsatta miljön fullt ut bör professionella användare kunna göra välinformerade val och på enkelt sätt jämföra enskilda delar av olika datalagringstjänster eller andra databehandlingstjänster på den inre marknaden, bland annat när det gäller avtalsvillkoren för dataportering i samband med uppsägning av avtal. I syfte att anpassa sig till marknadens innovationspotential och beakta den erfarenhet och sakkunskap som finns hos leverantörer och professionella användare av datalagringstjänster eller andra databehandlingstjänster, bör den detaljerade informationen och driftskraven för dataportering fastställas av marknadsaktörer genom självreglering, vilket ska uppmuntras och underlättas av kommissionen, i form av unionsuppförandekoder som kan leda till standardavtalsvillkor. Om sådana uppförandekoder inte införs och tillämpas effektivt inom rimlig tid, bör kommissionen se över situationen.
(22)För att bidra till ett smidigt samarbete mellan medlemsstaterna, bör varje medlemsstat utse en gemensam kontaktpunkt för att hålla kontakt med kontaktpunkterna i övriga medlemsstater och kommissionen när det gäller tillämpningen av denna förordning. Om en behörig myndighet i en medlemsstat begär hjälp från en annan medlemsstat för att få tillgång till uppgifter enligt denna förordning, bör den lämna in en vederbörligen motiverad begäran till den sistnämnda medlemsstatens utsedda gemensamma kontaktpunkt, inbegripet en skriftlig förklaring av sin motivering och de rättsliga grunderna för begäran om att få tillgång till uppgifter. Den gemensamma kontaktpunkt som utsetts av den medlemsstat vars hjälp begärs, bör underlätta hjälpen mellan myndigheter genom att identifiera och överföra begäran till den behöriga myndigheten i den medlemsstat som mottar begäran om hjälp. I syfte att säkerställa ett effektivt samarbete bör den myndighet som mottar begäran om hjälp utan onödigt dröjsmål tillhandahålla hjälp som svar på en viss begäran eller informera om svårigheterna med att uppfylla en begäran om hjälp eller om skälen för att avslå en sådan begäran.
(23)För att säkerställa en effektiv tillämpning av förfarandet för hjälp mellan medlemsstaternas behöriga myndigheter, får kommissionen anta genomförandeakter som fastställer standardformulär, språk för begäran, tidsfrister eller andra närmare uppgifter om förfarandena för begäranden om hjälp. Dessa befogenheter bör utövas i enlighet med Europaparlamentets och rådets förordning (EU) nr 182/2011 40 .
(24)Om man stärker tilltron till säkerheten i gränsöverskridande datalagring eller annan databehandling, borde det minska benägenheten hos marknadsaktörerna och den offentliga sektorn att använda datalokalisering som ersättning för datasäkerhet. Det borde också förbättra rättssäkerheten för företag avseende gällande säkerhetskrav när de lägger ut sin datalagring eller annan databehandlingsverksamhet på underleverantörer, vilket även gäller i fråga om tjänsteleverantörer i andra medlemsstater.
(25)Alla säkerhetskrav som gäller för datalagring eller annan databehandling och som tillämpas på ett proportionerligt och motiverat sätt på grundval av unionslagstiftningen eller nationell rätt i överensstämmelse med unionslagstiftningen i hemvist- eller etableringsmedlemsstaten för de fysiska eller juridiska personer vars data berörs, bör fortsätta att gälla för datalagring eller annan databehandling i en annan medlemsstat. Dessa fysiska eller juridiska personer bör kunna uppfylla dessa krav, antingen själva eller genom klausuler i avtal med leverantörer.
(26) Säkerhetskrav som fastställs på nationell nivå bör vara nödvändiga och stå i proportion till de risker som hotar säkerheten för datalagring eller annan databehandling i det område som omfattas av den nationella lagstiftningen där dessa krav fastställts.
(27)Direktiv 2016/1148 41 föreskriver rättsliga åtgärder för att förbättra den övergripande nivån på cybersäkerhet i unionen. Datalagringstjänster eller andra databehandlingstjänster utgör en av de digitala tjänster som omfattas av det direktivet. Enligt artikel 16 i det direktivet måste medlemsstaterna säkerställa att leverantörer av digitala tjänster utarbetar och vidtar ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem som de använder. Sådana åtgärder bör garantera en säkerhetsnivå som är anpassad till den aktuella risken, och bör ta hänsyn till systemens och anläggningarnas säkerhet, hantering av incidenter, driftskontinuitetshantering, övervakning, revision och testning samt efterlevnad av internationella normer. Dessa delar ska anges närmare av kommissionen i genomförandeakter enligt detta direktiv.
(28)Kommissionen bör se över denna förordning med jämna mellanrum, främst i syfte att avgöra behovet av modifieringar med hänsyn till den tekniska utvecklingen eller ändrad marknadsutveckling.
(29)Denna förordning är förenlig med de grundläggande rättigheter och de principer som erkänns särskilt i Europeiska unionens stadga om de grundläggande rättigheterna, och bör tolkas och tillämpas i överensstämmelse med dessa rättigheter och principer, inbegripet rätten till skydd av personuppgifter (artikel 8), näringsfrihet (artikel 16) och yttrandefrihet och informationsfrihet (artikel 11).
(30)Eftersom målet för denna förordning, nämligen att säkerställa den fria rörligheten för icke-personuppgifter i unionen, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av dess omfattning och verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen. I enlighet med proportionalitetsprincipen i samma artikel går denna förordning inte utöver vad som är nödvändigt för att uppnå detta mål.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Syfte
Denna förordning syftar till att säkerställa den fria rörligheten för andra uppgifter än personuppgifter inom unionen genom att fastställa regler avseende datalokaliseringskrav, tillgång till uppgifter för behöriga myndigheter och dataportering för professionella användare.
Artikel 2
Tillämpningsområde
1.Denna förordning ska tillämpas på lagring eller annan behandling av andra elektroniska data än personuppgifter i unionen, vilken
(a)tillhandahålls som en tjänst till användare som är bosatta eller etablerade i unionen, utan hänsyn till om leverantören är etablerad i unionen, eller
(b)utförs av en fysisk eller juridisk person, som är bosatt eller etablerad i unionen, för eget behov.
2.Denna förordning ska inte tillämpas på verksamheter som inte omfattas av unionslagstiftning.
Artikel 3
Definitioner
I denna förordning gäller följande definitioner:
1.uppgifter: andra uppgifter än personuppgifter som avses i artikel 4.1 i förordning (EU) 2016/679.
2.datalagring: lagring av uppgifter i elektroniskt format.
3.utkast till akt: en text som utarbetats i syfte att få den antagen som en lag eller annan författning av allmän karaktär och som befinner sig i det förberedande stadium då väsentliga ändringar fortfarande kan göras av den anmälande medlemsstaten.
4.leverantör: en fysisk eller juridisk person som tillhandahåller datalagring eller andra databehandlingstjänster.
5.datalokaliseringskrav: varje skyldighet, förbud, villkor, begränsning eller annat krav som föreskrivs i medlemsstaternas lagar eller andra författningar och som föreskriver att datalagring eller annan databehandling ska äga rum på en viss medlemsstats territorium eller hindrar lagring eller annan behandling av data i någon annan medlemsstat.
6.behörig myndighet: en medlemsstats myndighet som har befogenhet att få tillgång till uppgifter som lagras eller behandlas av en fysisk eller juridisk person för den personens tjänsteutövning, i enlighet med nationell lagstiftning eller unionslagstiftning.
7.användare: en fysisk eller juridisk person som använder eller vill använda en datalagringstjänst eller en annan databehandlingstjänst.
8.professionell användare: en fysisk eller juridisk person, inbegripet ett offentligt organ, som använder eller begär en datalagringstjänst eller en annan databehandlingstjänst för ändamål som är relaterade till personens närings- eller yrkesverksamhet.
Artikel 4
Fri rörlighet för uppgifter inom unionen
1.Lokalisering av data för lagring eller annan behandling inom unionen får inte begränsas till en viss medlemsstats territorium, och lagring eller annan databehandling i någon annan medlemsstat får inte förbjudas eller begränsas, om det inte är motiverat av hänsyn till allmän säkerhet.
2.Medlemsstaterna ska till kommissionen anmäla alla utkast till akter som inför ett nytt datalokaliseringskrav eller gör ändringar i ett existerande datalokaliseringskrav i enlighet med de förfaranden som fastställs i den nationella lag genom vilken direktiv (EU) 2015/1535 genomförs.
3.Inom 12 månader efter det att denna förordning har börjat tillämpas ska medlemsstaterna säkerställa att alla datalokaliseringskrav som inte är förenliga med punkt 1 upphör att gälla. Om en medlemsstat anser att ett datalokaliseringskrav är förenligt med punkt 1 och därför kan fortsätta att gälla ska den anmäla kravet till kommissionen, tillsammans med en motivering till varför kravet ska behållas.
4.Medlemsstaterna ska göra närmare uppgifter om eventuella datalokaliseringskrav som gäller på deras territorier tillgängliga för allmänheten online via en central informationspunkt som de ska hålla uppdaterad.
5.Medlemsstaterna ska meddela kommissionen adressen till sin centrala informationspunkt som nämns i punkt 4. Kommissionen ska offentliggöra länkarna till sådana punkter på sin webbsida.
Artikel 5
Tillgång till uppgifter för behöriga myndigheter
1.Denna förordning ska inte påverka behöriga myndigheters befogenheter att begära och få tillgång till uppgifter för sin tjänsteutövning i enlighet med unionslagstiftning eller nationell lagstiftning. Behöriga myndigheter får inte nekas tillgång till uppgifter på grundval av att uppgifterna lagras, eller behandlas på annat sätt, i en annan medlemsstat.
2.Om en behörig myndighet har uttömt alla användbara möjligheter att få tillgång till uppgifterna får den begära hjälp av en behörig myndighet i en annan medlemsstat i enlighet med det förfarande som fastställs i artikel 7, och den tillfrågade behöriga myndigheten ska tillhandahålla hjälp i enlighet med förfarandet i artikel 7, såvida det inte strider mot den allmänna ordningen i den tillfrågade medlemsstaten.
3.Om en begäran om hjälp innebär att den tillfrågade myndigheten ska få tillträde till en fysisk eller juridisk persons lokaler, inbegripet till utrustning och medel för datalagring eller annan databehandling, måste sådant tillträde ske i överensstämmelse med unionens eller medlemsstaternas processrättslagstiftning.
4.Punkt 2 ska tillämpas endast om det inte finns någon särskild samarbetsmekanism enligt unionslagstiftning eller internationella avtal för utbyte av uppgifter mellan behöriga myndigheter i olika medlemsstater.
Artikel 6
Portering av data
1.Kommissionen ska uppmuntra och underlätta utarbetandet av självreglerande uppförandekoder på unionsnivå, för att fastställa riktlinjer för bästa praxis när det gäller att underlätta byte av leverantörer och för att säkerställa att leverantörerna förser professionella användare med tillräckligt detaljerad, tydlig och öppen information innan ett avtal om datalagring och databehandling ingås, vad gäller följande frågor:
(a)de processer, tekniska krav, tidsramar och avgifter som gäller om en professionell användare vill byta till en annan leverantör eller portera data tillbaka till sina egna it-system, inbegripet processerna och platsen för eventuell backup av data, tillgängliga dataformat och datastöd, erforderlig it-konfiguration och minsta nätbandbredd; den tid som krävs innan porteringsprocessen inleds och den tid under vilken uppgifterna kommer att förbli tillgängliga för portering; garantierna för tillgång till uppgifter om leverantören gör konkurs;
(b)de operativa kraven för leverantörsbyte eller dataportering i ett strukturerat, allmänt använt och maskinläsbart format som medger tillräckligt med tid för användaren att byta leverantör eller portera data.
2.Kommissionen ska uppmuntra leverantörer att på ett effektivt sätt tillämpa de uppföranderegler som avses i punkt 1 inom ett år efter det att denna förordning börjar tillämpas.
3.Kommissionen ska se över utarbetandet och det faktiska genomförandet av sådana uppförandekoder och det faktiska tillhandahållandet av information från leverantörer senast två år efter det att denna förordning börjar tillämpas.
Artikel 7
Gemensamma kontaktpunkter
1.Varje medlemsstat ska utse en gemensam kontaktpunkt som ska upprätthålla kontakt med de gemensamma kontaktpunkterna i andra medlemsstater och kommissionen vad gäller tillämpningen av denna förordning. Medlemsstaterna ska underrätta kommissionen om de utsedda gemensamma kontaktpunkterna och alla efterföljande ändringar av dessa.
2.Medlemsstaterna ska säkerställa att de gemensamma kontaktpunkterna har de resurser som krävs för tillämpningen av denna förordning.
3.Om en behörig myndighet i en medlemsstat begär hjälp från en annan medlemsstat för att få tillgång till uppgifter enligt artikel 5.2 ska den lämna in en vederbörligen motiverad begäran till den sistnämnda medlemsstatens utsedda gemensamma kontaktpunkt, inbegripet en skriftlig förklaring av sin motivering och de rättsliga grunderna för begäran om att få tillgång till uppgifter.
4.Den gemensamma kontaktpunkten ska fastställa vilken behörig myndighet som berörs i sin medlemsstat och översända den begäran som mottagits enligt punkt 3 till den behöriga myndigheten. Den sålunda tillfrågade myndigheten ska utan onödigt dröjsmål
(a)svara den begärande behöriga myndigheten och underrätta den gemensamma kontaktpunkten om sitt svar och
(b)informera den gemensamma kontaktpunkten och den begärande behöriga myndigheten om eventuella svårigheter eller, i händelse av att begäran avslås eller besvaras ofullständigt, om skälen för ett sådant avslag eller ofullständigt svar.
5.All information som utbyts inom ramen för hjälp som begärs och tillhandahålls enligt artikel 5.2 får användas endast med avseende på det ärende för vilket den har begärts.
6.Kommissionen får anta genomförandeakter som fastställer standardformulär, språk för begäran, tidsfrister eller andra närmare uppgifter om förfarandena för begäran om hjälp. Sådana genomförandeakter ska antas i enlighet med det förfarande som avses i artikel 8.
Artikel 8
Kommitté
1.Kommissionen ska biträdas av kommittén för fritt dataflöde. Denna kommitté ska vara en kommitté i den mening som avses i förordning (EU) nr 182/2011.
2.När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas.
Artikel 9
Översyn
1.Senast den [5 år efter det datum som nämns i artikel 10.2] ska kommissionen genomföra en översyn av denna förordning och lägga fram en rapport om de viktigaste slutsatserna för Europaparlamentet, rådet och Europeiska ekonomiska och sociala kommittén.
2.Medlemsstaterna ska förse kommissionen med den information som är nödvändig för utarbetandet av den rapport som avses i punkt 1.
Artikel 10
Slutbestämmelser
1.Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
2.Denna förordning ska tillämpas från och med sex månader efter offentliggörandet.
Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
Utfärdad i Bryssel den
På Europaparlamentets vägnar På rådets vägnar
Ordförande Ordförande
IDC and Open Evidence, European Data Market, Final Report, 1 februari 2017 (SMART 2013/0063).
Ytterligare ekonomiska uppgifter inhämtades genom en undersökning av de ekonomiska effekterna av molntjänster i Europa (SMART 2014/0031, Deloitte, Measuring the economic impact of cloud computing in Europe”, 2016).