EU Data Act: кой има право на вашите данни

Ако продуктът ви има сензор, а услугата ви събира телеметрия, някой друг вече има законово право да поиска тези данни. Не регулатор, не конкурент - вашият собствен клиент. И вие сте длъжни да ги предоставите безплатно.

Регламент (ЕС) 2023/2854 - Законодателният акт за данните, или просто Data Act - влезе в сила на 11 януари 2024 г., а основната част от правилата му се прилага от 12 септември 2025 г. Логиката му е обратната на тази на GDPR: GDPR ограничава кой може да ползва данни, а Data Act задължава кой трябва да ги сподели.

За български стартъп това не е абстрактна брюкселска тема. Ако правите IoT хардуер, свързан SaaS, кухненска техника с приложение, телематика за автопаркове или медицинско устройство с облачен дашборд - вие сте „държател на данни” по смисъла на регламента. А следващият твърд срок е след няколко седмици.

Графикът: къде сме и какво предстои

Дата	Какво влиза в сила	Кого засяга
11.01.2024 г.	Влизане в сила (Чл. 50)	Всички - начало на преходните срокове
02.04.2025 г.	ЕК публикува моделните договорни клаузи (MCTs) и облачните SCCs	Всички, които водят B2B преговори за данни
12.09.2025 г.	Общо прилагане: права за достъп по Чл. 4 и Чл. 5	Държатели на данни, потребители
12.09.2025 г.	Таксите за изход от облак се свеждат до преките разходи (Чл. 29)	Доставчици на IaaS/PaaS/SaaS
12.09.2026 г.	„Достъп по проект” за нови продукти (Чл. 3, ал. 1)	Хардуерни производители
12.09.2027 г.	Чл. 13 обхваща и заварените B2B договори	Страни по договори отпреди 2025 г.
12.09.2028 г.	Пълна забрана за такси при смяна на облачен доставчик (0 EUR)	Доставчици на облачни услуги

Две от тези дати вече са минали. Следващата - „достъп по проект” - е след по-малко от два месеца и е единствената, която изисква промяна в самия продукт, а не в договор или в Общи условия.

Кой попада в обхвата

Регламентът борави с четири понятия, дефинирани в Член 2, и си струва да проверите в кои от тях се разпознавате:

• Свързан продукт (Чл. 2, т. 5) - всяко изделие, което получава, генерира или събира данни за собствената си употреба или за средата около себе си и ги предава чрез мрежа, физическа връзка или достъп на място. Сензорът за качество на въздуха, кафемашината с Wi-Fi, електросамокатът, индустриалната помпа.
• Свързана услуга (Чл. 2, т. 6) - цифрова услуга, включително софтуер, без която продуктът не би могъл да изпълнява функциите си, или която е добавена след това, за да ги разшири. Мобилното приложение към устройството, облачният дашборд, абонаментът за анализи.
• Държател на данни (Чл. 2, т. 13) - лицето, което има правото или задължението да ползва и да предоставя тези данни въз основа на фактически и технически контрол върху тях. В типичния стартъп това сте вие, дори данните да се съхраняват при AWS.
• Потребител (Чл. 2, т. 12) - физическо или юридическо лице, което притежава, наело е или ползва по лизинг продукта, или получава свързаната услуга. Тоест вашият клиент, а не непременно човекът, който физически борави с устройството.

Териториалният обхват е широк: според Член 1, параграф 3 регламентът важи за всеки, който предлага свързани продукти или услуги на потребители в ЕС, независимо къде е регистрирано дружеството и къде са сървърите му. Регистрация в Делауеър не ви изважда от обхвата.

Прототипите са изрично изключени - модели на нови продукти, които не са пуснати на пазара и се ползват само за изпитвания или за развойна дейност. Пилотното ви устройство при трима бета клиенти обаче трудно ще мине за прототип, ако вече сте му издали фактура.

Изключението за малки предприятия - и границите му

Член 7 освобождава микро и малките предприятия - под 50 служители и под 10 млн. евро оборот или балансово число - от задълженията за споделяне на данни по Членове 3, 4 и 5. За голяма част от българските стартъпи това е реално облекчение и означава, че „достъп по проект” от септември 2026 г. не е вашият спешен проблем.

Внимавайте обаче къде свършва изключението. То не покрива:

• Член 13 и нищожните клаузи в B2B договорите ви;
• правилата за смяна на облачен доставчик, ако вие сте доставчикът на SaaS;
• задълженията ви като получател на чужди данни, ако строите продукт върху данни на трета страна.

И най-важното: изключението изчезва в деня, в който прекрачите праговете. Компания, която расте от 40 на 60 души за година, се събужда със задължение за продуктов интерфейс, който не е проектирала.

Кои данни дължите - и кои не

Тук е основната разделителна линия, около която ще се въртят всички ваши разговори с клиенти и юристи.

Дължите суровите данни. Автоматично записаните сензорни отчети, работните параметри, съответните метаданни - това е материалът, който регламентът иска да излезе от затворените екосистеми.

Не дължите деривативните данни. Резултатите от вашите патентовани алгоритми, сензорната фузия, изчислените индекси и прогнози са продукт на вашата инвестиция, а не на устройството, и не подлежат на задължително разкриване по Глава II.

Границата между двете обаче не е чиста. При сложна IoT или SaaS платформа въпросът къде свършва „суровият поток” и къде започва „обработеният резултат” е техническа преценка, по която все още няма практика на Съда на ЕС. Практическият извод: направете това разграничение сами, документирайте го в архитектурата си и бъдете готови да го обосновете. Стартъп, който днес не знае кои свои полета са сурови, утре ще преговаря от много по-слаба позиция.

Отпада и един защитен рефлекс, на който мнозина разчитаха: Член 35 изменя Директива 96/9/ЕО така, че sui generis правото върху бази данни не важи за бази с данни, генерирани от свързани продукти и услуги. Не можете да спрете достъпа до сурови машинни данни с аргумента, че сте инвестирали в базата.

Какво точно може да поиска клиентът

Достъп за самия потребител (Член 4). Данните се предоставят безплатно, без ненужно забавяне и в същото качество, с което разполагате вие. Няма „премиум план за експорт”.

Прехвърляне към трета страна (Член 5). По искане на клиента сте длъжни да изпратите данните на избран от него получател - включително на ваш конкурент по услуги - при справедливи, разумни и недискриминационни условия (FRAND). От клиента не можете да искате нищо; с третата страна можете да договорите компенсация по Член 9, но когато получателят е МСП, тя се ограничава до преките разходи по предоставянето.

Двете ограничения, които ви пазят:

• Забрана за конкурентен продукт. Член 4, параграф 4 и Член 6, параграф 2, буква „д” изрично забраняват на потребителя и на третата страна да ползват получените данни, за да разработят свързан продукт, който пряко конкурира вашия.
• Забрана към gatekeepers. По Член 6, параграф 2, буква „г” данните не могат да бъдат насочвани към компании, определени като „пазачи на входни врати” по Регламент (ЕС) 2022/1925 (DMA), когато искането е по реда на Член 5.

„Достъп по проект”: срокът, който изисква инженерна работа

За свързани продукти, пуснати на пазара след 12 септември 2026 г., Член 3, параграф 1 изисква данните да са достъпни за потребителя по подразбиране - лесно, сигурно, безплатно и в структуриран, машинно-читаем формат. На практика: продуктовият интерфейс за експорт трябва да е част от спецификацията, не функция, която ще добавите „при поискване”.

Отделно, Член 3, параграф 2 изисква преддоговорна прозрачност - още преди подписа клиентът трябва да знае какъв вид данни ще генерира продуктът, в какъв обем, с каква честота и как ще ги достъпва. Мястото на тази информация са Общите условия и продуктовата документация.

Търговската тайна не е стоп-кран

Най-честото недоразумение: „нашите данни са ноу-хау, значи не ги даваме”. Регламентът не приема това като общо основание. Механизмът работи на три стъпки:

1. Предварително идентифициране. Посочвате кои конкретни елементи представляват търговска тайна - преди искането, не след него.
2. Защитни мерки. Имате право да поставите условия: NDA, криптиране, ограничен достъп, технически и организационни мерки. Ако насрещната страна откаже да ги приеме, отказът ви да споделите е законосъобразен.
3. Пълен отказ - по изключение. Член 4, параграф 8 позволява спиране на достъпа само ако докажете висока вероятност от сериозни и необратими икономически щети въпреки приложените мерки.

Какъв е точният доказателствен праг за „сериозни и необратими щети” все още никой не знае - практика на СЕС липсва. Затова единственото разумно поведение е процесно: писмена оценка на риска, документирани мотиви и следа от предложените мерки за конфиденциалност. Отказ без досие е отказ, който няма да издържи при проверка.

Data Act срещу GDPR: четирите точки на сблъсък

Член 1, параграф 5 подрежда йерархията: Data Act се прилага, без да засяга GDPR и Директива 2002/58/ЕО. Тоест при конфликт печели защитата на личните данни.

Тема	Data Act иска	GDPR изисква	Какво правите
Правно основание	Да предоставите данните	Основание по Чл. 6	Data Act сам по себе си не е основание - искайте доказателство преди предаване
Смесени масиви	Целия поток от данни	Защита само на личната част	Разделяйте архитектурно и анонимизирайте
Обем	„Всички генерирани данни”	Минимизиране (Чл. 5(1)(в))	Гранулиран експорт по категории, а не един голям дъмп
Цел	Повторна употреба и иновация	Ограничение на целите (Чл. 5(1)(б))	Договорно фиксиране на целите с получателя

Най-опасният сценарий в практиката: потребителят, който иска данните, не е субектът на личните данни. Класически пример - работодател иска телематиката от служебен автомобил, каран от служител. Data Act ви задължава да предоставите данните, но не ви дава основание по Член 6 от GDPR да разкриете личната им част. Трябва ви отделно основание, например изрично съгласие на служителя.

Помнете и разликата между псевдонимизация и анонимизация. Псевдонимизираните данни остават лични данни по Член 4(5) от GDPR и изискват основание. Само пълната и необратима анонимизация ги изважда от обхвата.

Член 13: клаузите, които стават нищожни

Ако продавате B2B, това е разделът с най-висок и най-подценяван риск. Член 13 обявява за недействителни едностранно наложените клаузи за достъп и ползване на данни.

Черна листа (Чл. 13, ал. 4) - абсолютно нищожни:

• изключване или ограничаване на отговорността за умисъл или груба небрежност;
• пълно изключване на правните средства за защита на насрещната страна.

Сива листа (Чл. 13, ал. 5) - предполагат се за неравноправни:

• ограничаване на правата на другата страна да ползва данни, които сама е генерирала;
• прекомерно кратки срокове за прекратяване.

Санкцията не е глоба - тя е по-неприятна: клаузата просто не съществува. Ограничението на отговорността, върху което е построен целият ви ценови модел, изчезва точно в момента, в който ви трябва.

От 12 септември 2027 г. правилото обхваща и договорите, сключени преди 2025 г. Тоест заварените ви дългосрочни enterprise договори също трябва да бъдат ревизирани, а не само новите.

На 2 април 2025 г. Европейската комисия публикува моделни договорни клаузи (MCTs) за споделяне на данни и стандартни клаузи (SCCs) за облачни договори. Те са необвързващи и не са safe harbour - използването им не гарантира съответствие, но дава добра отправна точка при преговори и полезен аргумент, когато отсрещният юрист настоява за нещо очевидно извън рамката.

Облак: краят на таксата „заключване”

Ако предлагате IaaS, PaaS или SaaS, Глава VI ви задължава да премахнете търговските и техническите пречки пред напускането на клиент. Практическият график:

• от 12 септември 2025 г. - таксите за изход (egress fees) могат да покриват само реално направените преки разходи;
• от 12 септември 2028 г. - всякакви такси за смяна на доставчик отпадат напълно (0 EUR).

Ако сте от другата страна - купувач на облачни услуги - това е лост при преговори за подновяване, който преди нямахте.

Един детайл за екипите, работещи с блокчейн: Член 36 налага технически изисквания към смарт договорите, включително механизъм за прекратяване. В пакета Digital Omnibus (Работен документ SWD(2025) 836) Комисията предложи пълното отпадане на Член 36 заради несъвместимост на изискването за „kill switch” с децентрализираните мрежи. До приемането на реформата статусът му остава формално висящ - не строете архитектура около него, но и не го отписвайте.

Ако строите AI върху чужди данни

Data Act отваря достъп до сурови машинни данни, което е добра новина за всеки, който обучава модели - включително с оглед на изискванията за качество на данните по Акта за изкуствения интелект.

Границите са ясни:

• Подлежи на споделяне: суровите сензорни данни.
• Не подлежи: теглата на модела, вътрешните параметри и деривативните модели - те са ваши.
• Разрешено е да обучите модел върху получени данни, стига крайният продукт да не е свързан продукт, който пряко конкурира оригиналния по смисъла на Чл. 4, параграф 4.
• Задължително е да имате валидно основание по GDPR за всички лични данни в обучителния набор. Data Act не ви го осигурява.

Публичният сектор: кога държавата може да поиска данни

Глава V позволява на публични органи да изискват данни при доказана „извънредна необходимост”. Обхватът е тесен и си струва да се знае, за да не се приема всяко писмо от институция за задължение:

• при обществено извънредно положение (бедствие, пандемия) данните се предоставят безплатно;
• при други задачи от обществен интерес имате право на компенсация - разходи плюс надценка;
• по Член 18 можете да възразите в срок от 5 работни дни при извънредно положение и 15 работни дни в останалите случаи, ако не разполагате с данните или искането е непълно.

Санкции и приоритет на риска

Санкционната рамка е двуслойна. За нарушения на Глава II (Членове 3-14) Член 40 препраща към органите по GDPR и към праговете на Член 83 от GDPR - до 20 млн. евро или 4% от световния годишен оборот. За останалите нарушения санкциите се определят от националното право.

Риск	Зона	Кого засяга	Срок
Висок	Нарушение на GDPR при споделяне на смесени данни	Всички	Незабавно
Висок	Нищожни клаузи по Чл. 13 в B2B договори	Всички B2B	В сила от 12.09.2025 г.
Среден	Липса на механизъм за експорт на сурови данни	IoT и свързани услуги	В сила от 12.09.2025 г.
Среден	Несъответствие с „достъп по проект”	Хардуерни производители	12.09.2026 г.
Нисък	Такси при смяна на облачна услуга	SaaS и облачни доставчици	12.09.2028 г.

България: правилата ги има, органът - още не

Регламентът се прилага пряко и няма нужда от национален закон, за да ви задължава. Но изпълнителната рамка у нас все още не е готова.

В Портала за обществени консултации премина консултационен процес по подготовката на изпълнително законодателство (документ с ID 10803-K). Специализиран български закон за прилагане на Регламента за данните или съответни изменения в Закона за електронните съобщения все още не са приети и обнародвани в Държавен вестник.

Не е определен и националният координатор по данните. Обсъжда се разпределение на правомощията между Комисията за защита на личните данни (КЗЛД), Комисията за регулиране на съобщенията (КРС) и Министерството на електронното управление. Всички институционални назначения и конкретните административнонаказателни производства остават висящи до обнародване на националния закон.

Практическият прочит: липсата на назначен орган забавя проверките, но не отменя задълженията ви - още повече че за Глава II санкциите минават през вече работещата структура на КЗЛД.

Чеклист по типове стартъп

Правя IoT или свързан хардуер

• Инвентаризирайте данните и отделете суровите сензорни записи от алгоритмично изчислените показатели.
• Имате ли механизъм (API или портал) за експорт на сурови данни при поискване? Срокът мина на 12.09.2025 г.
• Продуктите, които пускате след 12.09.2026 г., проектирани ли са с директен достъп от самото устройство?
• Подготвен ли е протокол за защита на търговска тайна по Чл. 4(8) - с писмена оценка на риска, не с имейл?

Правя SaaS платформа

• Прегледани ли са B2B договорите за клаузи от черната листа по Чл. 13?
• Съдържат ли Общите ви условия информацията по Чл. 3(2) - вид, обем и честота на генерираните данни?
• Заварените договори отпреди 2025 г. в график ли са за ревизия до 12.09.2027 г.?

Предоставям облачна инфраструктура или managed services

• Премахнати ли са клаузите, ограничаващи миграцията към друг доставчик?
• Таксите за изход сведени ли са до реалните преки разходи?
• Има ли план за нулеви такси за смяна от 12.09.2028 г.?

Строя AI върху данни от трети страни

• Договорно ли е гарантирано, че продуктът ви не е пряко конкуриращ свързан продукт по Чл. 4(4)?
• Има ли валидно основание по GDPR за всички лични данни в обучителните набори?

Data Act не е поредната административна тежест, която се решава с политика в PDF. Той променя кой контролира данните, генерирани от вашия продукт - и следователно кой може да строи бизнес върху тях. Стартъпите, които днес знаят точно кои свои полета са сурови и кои са тяхна интелектуална собственост, ще преговарят от позиция на сила. Останалите ще научат разликата от първото сериозно искане за достъп.