EU डाटा ऐन: कसले डाटा साझा गर्नुपर्छ, र कुन सर्तहरूमा?

EU डेटा ऐनले जडान गरिएका उत्पादनहरू र सम्बन्धित सेवाहरूका प्रयोगकर्ताहरूलाई उनीहरूले उत्पन्न गर्ने डेटा पहुँच गर्ने र त्यो डेटा तेस्रो पक्षहरूसँग साझा गर्ने अधिकार दिन्छ। यो १२ सेप्टेम्बर २०२५ देखि लागू भएको छ, तर उत्पादनहरू डिजाइन गर्ने दायित्व डेटा प्रत्यक्ष रूपमा पहुँचयोग्य हुने गरी १२ सेप्टेम्बर २०२६ पछि बजारमा राखिएका जडान गरिएका उत्पादनहरूमा मात्र लागू हुन्छ।

डेटा ऐन, नियमन (EU) २०२३/२८५४ ले ​​व्यवसायहरू बीच डेटा सम्झौताहरूमा अनुचित सर्तहरू, क्लाउड प्रदायकहरू बीच स्विच गर्ने र असाधारण परिस्थितिहरूमा सार्वजनिक निकायहरूद्वारा डेटामा पहुँच गर्ने सम्बन्धमा पनि नियमहरू सेट गर्दछ। यदि तपाईंको व्यवसायले अन्य व्यवसायहरूसँग सम्झौता अन्तर्गत जडान गरिएका उत्पादनहरू बनाउँछ, आयात गर्छ वा बेच्छ, क्लाउड सेवाहरू प्रदान गर्दछ वा डेटा प्रयोग गर्दछ भने, यो प्रभावित हुने सम्भावना हुन्छ। तल हामी मुख्य दायित्वहरू र ACM र AP ले नेदरल्याण्ड्समा तिनीहरूलाई कसरी लागू गर्छन् भनेर व्याख्या गर्छौं।

तथ्याङ्क ऐनले के नियमन गर्छ?

डेटा ऐनले उत्पादन र सेवाहरूको प्रयोगबाट उत्पन्न हुने डेटा कसले पहुँच गर्न सक्छ र कुन सर्तहरूमा त्यो डेटा साझा गर्नुपर्छ भनेर तोक्छ। यसले सबै डेटाको सामान्य अधिकार सिर्जना गर्दैन, तर छ विशिष्ट क्षेत्रहरूको लागि एक रूपरेखा सिर्जना गर्दछ।

यो नियमन ११ जनवरी २०२४ मा लागू भयो। यसले उत्पादन र सेवा डेटामा प्रयोगकर्ताहरूको पहुँच, व्यवसायहरू बीच डेटा साझेदारीको लागि उचित सर्तहरू, असाधारण आवश्यकताको अवस्थामा सार्वजनिक निकायहरूद्वारा पहुँच, डेटा प्रशोधन सेवाहरू बीच स्विच गर्ने, EU बाहिरबाट गैर-व्यक्तिगत डेटामा गैरकानूनी सरकारी पहुँच विरुद्ध सुरक्षा उपायहरू, र अन्तरसञ्चालनशीलतालाई समेट्छ। पूर्ण पाठ EUR-Lex मा उपलब्ध छ ।

जडान गरिएका उत्पादनहरूका निर्माताहरूले के गर्नुपर्छ?

जडान गरिएका उत्पादनहरू र सम्बन्धित सेवाहरू यसरी डिजाइन गरिनुपर्छ कि तिनीहरूले उत्पन्न गर्ने डेटा, पूर्वनिर्धारित रूपमा, सजिलै, सुरक्षित रूपमा, नि:शुल्क र मेसिन-पठनीय ढाँचामा प्रयोगकर्तालाई सिधै पहुँचयोग्य होस्, जहाँ सान्दर्भिक र प्राविधिक रूपमा सम्भव छ (धारा ३)। स्मार्ट घर उपकरणहरू, औद्योगिक मेसिनहरू, चिकित्सा उपकरणहरू वा सवारी साधनहरूको बारेमा सोच्नुहोस्।

यो डिजाइन दायित्व १२ सेप्टेम्बर २०२६ पछि बजारमा राखिएका जडान गरिएका उत्पादनहरू र सम्बन्धित सेवाहरूमा लागू हुन्छ। त्यो मिति अघि बजारमा पहिले नै रहेका उत्पादनहरूलाई पुन: डिजाइन गर्न आवश्यक छैन। सम्झौता सम्पन्न हुनु अघि, प्रयोगकर्तालाई उत्पादनले उत्पन्न गर्ने डेटाको प्रकार र मात्रा र प्रयोगकर्ताले यसलाई कसरी पहुँच गर्न सक्छ भन्ने बारे पनि जानकारी गराउनुपर्छ (धारा ३(२) र (३))।

जहाँ डेटा प्रत्यक्ष रूपमा पहुँचयोग्य छैन, डेटा धारकले अनुरोधमा प्रयोगकर्तालाई उपलब्ध गराउनु पर्छ, अनावश्यक ढिलाइ बिना र नि:शुल्क (धारा ४)। प्रयोगकर्ताले डेटा धारकलाई प्रयोगकर्ताको रोजाइको तेस्रो पक्षसँग डेटा साझा गर्न पनि अनुरोध गर्न सक्छ (धारा ५)। डिजिटल बजार ऐन अन्तर्गत तोकिएका गेटकीपरहरू त्यस्तो तेस्रो पक्ष हुन सक्दैनन्।

के तपाईं आफ्नो व्यापारिक गोप्य कुराहरू सुरक्षित राख्न सक्नुहुन्छ?

हो, केही हदसम्म। व्यापारिक गोप्यता भएको डेटा खुलासा गर्नु अघि डेटा धारकले गोपनीयता उपायहरू आवश्यक पर्न सक्छ, र असाधारण अवस्थामा यदि खुलासाले गम्भीर आर्थिक क्षति पुर्‍याउने सम्भावना बढी छ भने साझेदारीलाई अस्वीकार गर्न वा निलम्बन गर्न सक्छ। यस्तो अस्वीकार लिखित रूपमा प्रमाणित गरिनुपर्छ र नेदरल्याण्ड्समा ACM मा सक्षम अधिकारीलाई सूचित गरिनुपर्छ।

प्रयोगकर्ताले प्राप्त डेटालाई त्यस्तो उत्पादन विकास गर्न प्रयोग गर्न सक्दैन जसले डेटा उत्पन्न भएको जडान गरिएको उत्पादनसँग प्रतिस्पर्धा गर्छ (धारा ४(१०))। डेटा धारकले, आफ्नो तर्फबाट, प्रयोगकर्तासँगको सम्झौताको आधारमा गैर-व्यक्तिगत उत्पादन डेटा मात्र प्रयोग गर्न सक्छ।

व्यवसायहरू बीचको कुन सम्झौताका सर्तहरू अनुचित छन्?

डेटाको पहुँच र प्रयोग, वा उल्लङ्घनको लागि दायित्व र उपचार सम्बन्धी सम्झौताको सर्तले अर्को व्यवसायलाई बाध्य पार्दैन यदि यो एकपक्षीय रूपमा लगाइएको हो र अनुचित छ (धारा १३)। यदि अर्को पक्षले वार्ता गर्ने प्रयास गर्दा पनि यसको सामग्रीलाई प्रभाव पार्न सकेन भने, शब्द एकपक्षीय रूपमा लगाइन्छ, र शब्द प्रस्तुत गर्ने पक्षले अन्यथा प्रमाणित गर्नुपर्छ।

डेटा पहुँच र प्रयोगमा राम्रो व्यावसायिक अभ्यासबाट पूर्ण रूपमा विचलित भएमा, कुनै शब्द अनुचित हुन्छ, जुन असल विश्वास र निष्पक्ष व्यवहारको विपरीत हुन्छ। धारा १३ मा दुई सूचीहरू छन्। सधैं अनुचित हुने शब्दहरूमा ती समावेश छन् जसले जानाजानी कार्यहरू वा घोर लापरवाहीको लागि दायित्वलाई बहिष्कार गर्दछ वा सीमित गर्दछ, र ती जसले शब्द लागू गर्ने पक्षलाई सम्झौताको व्याख्या गर्ने विशेष अधिकार दिन्छ। अनुचित मानिने शब्दहरूमा ती समावेश छन् जसले अर्को पक्षले योगदान गरेको डेटाको प्रयोगलाई अनुपयुक्त रूपमा प्रतिबन्धित गर्दछ, वा जसले अनुचित रूपमा छोटो सूचनामा समाप्तिलाई अनुमति दिन्छ।

अनुचित अवधिले अर्को पक्षलाई बाध्य पार्दैन, तर यदि अवधिलाई यसबाट अलग गर्न सकिन्छ भने बाँकी सम्झौता लागू रहन्छ। नियमहरू १२ सेप्टेम्बर २०२५ पछि सम्पन्न भएका सम्झौताहरूमा लागू हुन्छन्। १२ सेप्टेम्बर २०२७ देखि, तिनीहरू अनिश्चित अवधिको लागि चल्ने वा ११ जनवरी २०२४ पछि कम्तिमा दस वर्ष समाप्त हुने पुराना सम्झौताहरूमा पनि लागू हुन्छन्।

यदि कुनै डेटा धारकले अर्को व्यवसायलाई डेटा उपलब्ध गराउनु पर्छ भने, यसले उचित क्षतिपूर्ति माग्न सक्छ (धारा ९)। सूक्ष्म, साना र मध्यम आकारका उद्यमहरू र केही अनुसन्धान संस्थाहरूको लागि, त्यो क्षतिपूर्ति डेटा उपलब्ध गराउने लागतभन्दा बढी हुनु हुँदैन।

डेटा ऐन GDPR सँग कसरी सम्बन्धित छ?

डेटा ऐनले सामान्य डेटा संरक्षण नियमन (GDPR) लाई प्रतिस्थापन गर्दैन। जहाँ व्यक्तिगत डेटा समावेश छ, GDPR पूर्ण रूपमा लागू हुन जारी रहन्छ, र द्वन्द्वको अवस्थामा GDPR प्रबल हुन्छ।

यदि डेटा माग्ने प्रयोगकर्ता डेटा विषय होइन भने, व्यक्तिगत डेटा केवल धारा ६ GDPR र जहाँ सान्दर्भिक छ, धारा ९ GDPR अन्तर्गत वैध कानुनी आधार भएमा मात्र उपलब्ध गराउन सकिन्छ। डेटा ऐनले आफैंमा त्यस्तो आधार सिर्जना गर्दैन, र उद्देश्य सीमा, सुरक्षा र भण्डारण अवधि सम्बन्धी GDPR नियमहरू लागू भइरहन्छन्। डेटा साझेदारी गर्ने GDPR जोखिमहरू र तपाईंले ग्राहक डेटा कति समयसम्म राख्न सक्नुहुन्छ भन्ने बारे थप पढ्नुहोस् ।

क्लाउड प्रदायकहरू र उनीहरूका ग्राहकहरूका लागि के परिवर्तनहरू छन्?

क्लाउड र एज सेवाहरू जस्ता डेटा प्रशोधन सेवाहरूका प्रदायकहरूले ग्राहकहरूलाई अर्को प्रदायक वा आफ्नै पूर्वाधारमा स्विच गर्न सजिलो बनाउनु पर्छ। तिनीहरूले स्विच गर्न बाधा पुर्‍याउने व्यावसायिक, प्राविधिक, सम्झौता वा संगठनात्मक अवरोधहरू लागू गर्न सक्दैनन् (धारा २३)।

सम्झौताले ग्राहकलाई दुई महिनाको अधिकतम सूचना अवधिमा स्विच गर्न अनुमति दिनुपर्छ, त्यसपछि डेटा र डिजिटल सम्पत्तिहरूको वास्तविक स्थानान्तरण बढीमा तीस दिनको संक्रमणकालीन अवधि भित्र पूरा गर्नुपर्छ। यदि त्यो प्राविधिक रूपमा सम्भव छैन भने, प्रदायकले किन भनेर व्याख्या गर्नुपर्छ र अधिकतम सात महिनासम्म अवधि बढाउन सक्छ।

१२ जनवरी २०२७ देखि, प्रदायकहरूले अब कुनै पनि स्विचिङ शुल्क लिन सक्ने छैनन्। त्यो मिति सम्म, तिनीहरूले स्विचसँग प्रत्यक्ष रूपमा जोडिएको लागतभन्दा बढी नहुने कम शुल्क मात्र लिन सक्छन्। नवीकरण गर्नु अघि आफ्नो अवस्थित क्लाउड सम्झौताहरू लामो अवधिको लागि वा स्विचिङ शुल्कहरूको लागि जाँच गर्नुहोस्।

सार्वजनिक निकायहरूले तपाईंको डेटा कहिले माग गर्न सक्छन्?

सार्वजनिक क्षेत्रका निकायहरूले, कडा सर्तहरूमा, सार्वजनिक आपतकाल जस्ता असाधारण आवश्यकताको अवस्थामा व्यवसायहरूलाई डेटा उपलब्ध गराउन आवश्यक पार्न सक्छन्। अनुरोध विशिष्ट, समानुपातिक र जायज हुनुपर्छ।

सार्वजनिक आपतकालमा, क्षतिपूर्तिको हकदार सूक्ष्म तथा साना उद्यमहरू बाहेक, डेटा धारकहरूले डेटा नि:शुल्क प्रदान गर्नुपर्छ। असाधारण आवश्यकताको अन्य अवस्थामा, उदाहरणका लागि जहाँ डेटा सार्वजनिक हितमा विशेष कार्यको लागि आवश्यक छ र अन्यथा प्राप्त गर्न सकिँदैन, डेटा धारकले उचित क्षतिपूर्ति दाबी गर्न सक्छ।

नेदरल्याण्ड्समा डेटा ऐन कसले लागू गर्छ?

२१ नोभेम्बर २०२५ देखि लागू भएको डाटा ऐन कार्यान्वयन ऐन (Uitvoeringswet dataverordening) मा पर्यवेक्षण नियमन गरिएको छ। उपभोक्ता तथा बजार प्राधिकरण (ACM) ले उत्पादन डेटा, व्यवसायहरू बीच डेटा साझेदारी र क्लाउड स्विचिङ सम्बन्धी नियमहरू सहित अधिकांश नियमनको निरीक्षण गर्दछ।

डच डाटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) व्यक्तिगत डाटा संलग्न भएको ठाउँमा र सार्वजनिक निकायहरूद्वारा डाटा अनुरोधहरूको लागि जिम्मेवार छ। दुवै अधिकारीहरूले आफ्नो क्षेत्र भित्र जरिवाना (last onder dwangsom) वा प्रशासनिक जरिवानाको अधीनमा आदेश लगाउन सक्छन्, र तिनीहरू ओभरल्यापिङ मुद्दाहरूमा सहकार्य गर्छन्।

यदि कुनै निकायले तपाईंको व्यवसाय विरुद्ध निर्णय लिन्छ भने, तपाईंले छ हप्ता भित्र त्यो निकायमा आपत्ति (बेज्वार) दर्ता गर्न सक्नुहुन्छ र त्यसपछि अदालतमा अपील गर्न सक्नुहुन्छ। व्यवसायले नियमन अन्तर्गत नागरिक अदालतहरूमा पनि आफ्नो अधिकार लागू गर्न सक्छ, उदाहरणका लागि यदि कुनै तथ्याङ्क धारकले तथ्याङ्कमा पहुँच गर्न अस्वीकार गर्छ भने।

के डाटा ऐन साना व्यवसायहरूमा पनि लागू हुन्छ?

धेरै हदसम्म, हो। साना र मध्यम आकारका उद्यमहरूको लागि कुनै सामान्य छुट छैन: व्यवसायको आकारलाई ध्यान नदिई जडान गरिएका उत्पादनहरूको लागि डिजाइन दायित्व र सम्झौता सर्तहरूको लागि निष्पक्षता परीक्षण लागू हुन्छ।

अध्याय II को डेटा पहुँच र साझेदारी दायित्वहरू सूक्ष्म तथा साना उद्यमहरूद्वारा प्रदान गरिएका उत्पादनहरू वा सेवाहरूद्वारा उत्पन्न डेटामा लागू हुँदैनन्, यदि तिनीहरूसँग कुनै ठूलो साझेदार वा लिङ्क गरिएको उद्यम छैन भने (धारा ७)। मध्यम आकारका उद्यमहरूले एक वर्षको सीमित संक्रमणकालीन छुटबाट लाभ उठाउँछन्। सार्वजनिक आपतकालमा, सूक्ष्म तथा साना उद्यमहरू क्षतिपूर्तिको हकदार हुन्छन्।

निर्माता, डेटा होल्डर वा क्लाउड प्रदायकको रूपमा तपाईंले के जाँच गर्नुपर्छ?

१२ सेप्टेम्बर २०२६ पछि बजारमा राख्ने उत्पादन र सेवाहरूबाट सुरु गर्नुहोस्, किनकि डिजाइन दायित्व तिनीहरूमा पूर्ण रूपमा लागू हुन्छ।

• के उत्पादन डिजाइनले प्रयोगकर्ताहरूलाई प्राविधिक रूपमा सम्भव भएसम्म उनीहरूको डेटामा प्रत्यक्ष पहुँच दिन्छ (धारा ३)?
• के तपाईंको पूर्व-सम्झौता जानकारीले डेटाको प्रकार र मात्रा र प्रयोगकर्ताहरूले यसलाई कसरी पहुँच गर्न सक्छन् भनेर उल्लेख गर्दछ?
• के पहुँच र साझेदारी अनुरोधहरूलाई अनावश्यक ढिलाइ बिना सम्हाल्ने कुनै प्रक्रिया छ (धारा ४ र ५)?
• के तपाईंले व्यापारिक गोप्य कुराहरू र साझा गर्नु अघि आवश्यक पर्ने गोपनीयता उपायहरू पहिचान गर्नुभएको छ?
• के तपाईंको क्लाउड अनुबंधहरूले १२ जनवरी २०२७ मा दुई महिनाको सूचना अवधि, तीस दिनको स्थानान्तरण अवधि र स्विचिंग शुल्कको अन्त्यको सम्मान गर्छन्?

प्रयोगकर्ता वा व्यावसायिक ग्राहकको रूपमा तपाईंले के जाँच गर्नुपर्छ?

एक प्रयोगकर्ताको रूपमा तपाईंले निर्माता वा सेवा प्रदायकले अन्यथा आफूसँग राख्ने डेटा दाबी गर्न सक्नुहुन्छ, र तपाईंले धारा १३ अन्तर्गत अनुचित डेटा सर्तहरूलाई चुनौती दिन सक्नुहुन्छ।

• तपाईंको व्यवसायमा कुन कुन जोडिएका उत्पादन र सेवाहरूले धारा ४ अन्तर्गत अनुरोध गर्न सकिने डेटा उत्पन्न गर्छन्?
• के तपाईंको आपूर्तिकर्ता सम्झौताहरूमा डेटा प्रयोग वा दायित्वमा एकतर्फी रूपमा लगाइएका सर्तहरू छन् जुन अनुचित हुन सक्छ?
• के तपाईं दुई महिनाको सूचना भित्र क्लाउड प्रदायक परिवर्तन गर्न सक्नुहुन्छ, र सम्झौताले कति स्विचिङ शुल्कहरू अनुमति दिन्छ?
• के तपाईंले प्राप्त गर्ने वा हस्तान्तरण गर्ने प्रत्येक व्यक्तिगत डेटाको प्रवाहको लागि GDPR कानूनी आधार छ?
• के तपाईंले आफ्ना अनुरोधहरू कागजात गर्नुभएको छ, ताकि तपाईं ACM मा उजुरी दर्ता गर्न सक्नुहुन्छ वा पहुँच अस्वीकार गरिएको खण्डमा अदालत जान सक्नुहुन्छ?

डेटा ऐनसँग हामी तपाईंको लागि के गर्न सक्छौं?

हाम्रा IT वकिलहरूले व्यवसायहरूलाई डेटा सम्झौता, क्लाउड सम्झौता र डेटा ऐन र GDPR को अनुपालनको बारेमा सल्लाह दिन्छन्।

• हामी तपाईंका कुन उत्पादन, सेवा र सम्झौताहरू डेटा ऐनको दायरा भित्र पर्छन् भनेर नक्साङ्कन गर्छौं।
• हामी धारा १३ को अनुचित-सर्त सूचीहरू विरुद्ध तपाईंका मानक सर्तहरू र आपूर्तिकर्ता सम्झौताहरूको समीक्षा गर्छौं।
• हामी व्यापार गोप्यताको लागि गोपनीयता उपायहरू सहित डेटा साझेदारी सम्झौताहरूको मस्यौदा वा परिमार्जन गर्छौं।
• हामी तपाईंको क्लाउड सम्झौताहरूमा सूचना अवधि, स्थानान्तरण अवधि र स्विचिङ शुल्कहरूको जाँच गर्छौं।
• हामी तपाईंको डेटा ऐन प्रक्रियाहरूलाई तपाईंको GDPR दायित्वहरूसँग मिलाउँछौं।
• हामी ACM, AP वा सिभिल अदालतहरू समक्ष हुने कार्यवाहीमा तपाईंको प्रतिनिधित्व गर्छौं।

सारांश

• डेटा ऐन १२ सेप्टेम्बर २०२५ देखि लागू भएको छ; जडान गरिएका उत्पादनहरूको लागि डिजाइन दायित्व १२ सेप्टेम्बर २०२६ पछि बजारमा राखिएका उत्पादनहरूमा लागू हुन्छ।
• प्रयोगकर्ताहरूले आफ्ना जडान गरिएका उत्पादनहरूले उत्पन्न गर्ने डेटा पहुँच गर्न सक्छन् र व्यापार गोप्यताको सुरक्षाको अधीनमा रहेर तेस्रो पक्षहरूसँग साझेदारी गर्न सक्छन्।
• डेटा पहुँच, प्रयोग र दायित्वमा एकतर्फी रूपमा लगाइएका अनुचित सर्तहरूले अर्को व्यवसायलाई बाँध्दैनन्।
• क्लाउड प्रदायकहरूले स्विचिङलाई सहज बनाउनु पर्छ र १२ जनवरी २०२७ देखि स्विचिङ शुल्क लिन सक्ने छैनन्।
• नेदरल्याण्ड्समा, ACM र AP ले अनुपालनको सुपरिवेक्षण गर्छन् र जरिवाना लगाउन सक्छन्।

बारम्बार सोधिने प्रश्नहरू