EU Data Act: кой има право на вашите данни

Ако продуктът ви има сензор, а услугата ви събира телеметрия, някой друг вече има законово право да поиска тези данни. Не регулатор, не конкурент - вашият собствен клиент. И вие сте длъжни да ги предоставите безплатно.

Регламент (ЕС) 2023/2854 - Законодателният акт за данните, или просто Data Act - влезе в сила на 11 януари 2024 г., а основната част от правилата му се прилага от 12 септември 2025 г. Логиката му е обратната на тази на GDPR: GDPR ограничава кой може да ползва данни, а Data Act задължава кой трябва да ги сподели.

За български стартъп това не е абстрактна брюкселска тема. Ако правите IoT хардуер, свързан SaaS, кухненска техника с приложение, телематика за автопаркове или медицинско устройство с облачен дашборд - вие сте „държател на данни” по смисъла на регламента. А това вече не е бъдещ проблем: „достъпът по проект” се прилага за продуктите, пуснати на пазара след 12 септември 2026 г.

Графикът: къде сме и какво предстои

Първите пет реда вече са минали. „Достъпът по проект” се прилага от 12 септември 2026 г. и е единственото задължение, което изисква промяна в самия продукт, а не в договор или в Общи условия. Следващата дата е 12 януари 2027 г.

Кой попада в обхвата

Регламентът борави с четири понятия, дефинирани в Член 2, и си струва да проверите в кои от тях се разпознавате:

• Свързан продукт (Чл. 2, т. 5) - всяко изделие, което получава, генерира или събира данни за собствената си употреба или за средата около себе си и ги предава чрез мрежа, физическа връзка или достъп на място. Сензорът за качество на въздуха, кафемашината с Wi-Fi, електросамокатът, индустриалната помпа.
• Свързана услуга (Чл. 2, т. 6) - цифрова услуга, включително софтуер, без която продуктът не би могъл да изпълнява функциите си, или която е добавена след това, за да ги разшири. Мобилното приложение към устройството, облачният дашборд, абонаментът за анализи.
• Държател на данни (Чл. 2, т. 13) - лицето, което има правото или задължението да ползва и да предоставя тези данни въз основа на фактически и технически контрол върху тях. В типичния стартъп това сте вие, дори данните да се съхраняват при AWS.
• Ползвател (Чл. 2, т. 12) - физическо или юридическо лице, което притежава, наело е или ползва по лизинг продукта, или получава свързаната услуга. Тоест вашият клиент, а не непременно човекът, който физически борави с устройството.

Териториалният обхват е широк: според Член 1, параграф 3 регламентът важи за всеки, който предлага свързани продукти или услуги на ползватели в ЕС, независимо къде е регистрирано дружеството и къде са сървърите му. Регистрация в Делауеър не ви изважда от обхвата.

Прототипите са изрично изключени - модели на нови продукти, които не са пуснати на пазара и се ползват само за изпитвания или за развойна дейност. Пилотното ви устройство при трима бета клиенти обаче трудно ще мине за прототип, ако вече сте му издали фактура.

Изключението за малки предприятия - и границите му

Член 7 освобождава микро и малките предприятия - под 50 служители и под 10 млн. евро оборот или балансово число - от задълженията за споделяне на данни по Членове 3, 4 и 5. За голяма част от българските стартъпи това е реално облекчение и означава, че „достъп по проект” от септември 2026 г. не е вашият спешен проблем.

Внимавайте обаче къде свършва изключението. То не покрива:

• Член 13 и нищожните клаузи в B2B договорите ви;
• правилата за смяна на облачен доставчик, ако вие сте доставчикът на SaaS;
• задълженията ви като получател на чужди данни, ако строите продукт върху данни на трета страна.

И най-важното: изключението не е безсрочно. След като прекрачите праговете, то важи още най-много една година. Компания, която расте от 40 на 60 души за година, се събужда със задължение за продуктов интерфейс, който не е проектирала.

Кои данни дължите - и кои не

Тук е основната разделителна линия, около която ще се въртят всички ваши разговори с клиенти и юристи.

Дължите суровите данни. Автоматично записаните сензорни отчети, работните параметри, съответните метаданни - това е материалът, който регламентът иска да излезе от затворените екосистеми.

Не дължите деривативните данни. Резултатите от вашите патентовани алгоритми, сензорната фузия, изчислените индекси и прогнози са продукт на вашата инвестиция, а не на устройството, и не подлежат на задължително разкриване по Глава II.

Границата между двете обаче не е чиста. При сложна IoT или SaaS платформа въпросът къде свършва „суровият поток” и къде започва „обработеният резултат” е техническа преценка, по която все още няма практика на Съда на ЕС. Практическият извод: направете това разграничение сами, документирайте го в архитектурата си и бъдете готови да го обосновете. Стартъп, който днес не знае кои свои полета са сурови, утре ще преговаря от много по-слаба позиция.

Отпада и един защитен рефлекс, на който мнозина разчитаха: Член 43 предвижда, че sui generis правото върху бази данни не се прилага, когато данните са получени или генерирани от свързан продукт или свързана услуга. Не можете да спрете достъпа до сурови машинни данни с аргумента, че сте инвестирали в базата.

Какво точно може да поиска клиентът

Достъп за самия ползвател (Член 4). Данните се предоставят безплатно, без ненужно забавяне и в същото качество, с което разполагате вие. Няма „премиум план за експорт”.

Прехвърляне към трета страна (Член 5). По искане на клиента сте длъжни да изпратите данните на избран от него получател - включително на ваш конкурент по услуги - при справедливи, разумни и недискриминационни условия (FRAND). От клиента не можете да искате нищо; с третата страна можете да договорите компенсация по Член 9, но когато получателят е МСП, тя се ограничава до преките разходи по предоставянето.

Двете ограничения, които ви пазят:

• Забрана за конкурентен продукт. Член 4, параграф 10 забранява на ползвателя да разработва с получените данни свързан продукт, който се конкурира с вашия, а Член 6, параграф 2, буква „д” забранява на третата страна да разработва с тях какъвто и да е продукт, който се конкурира с него.
• Забрана към gatekeepers. По Член 6, параграф 2, буква „г” данните не могат да бъдат насочвани към компании, определени като „пазачи на входни врати” по Регламент (ЕС) 2022/1925 (DMA), когато искането е по реда на Член 5.

„Достъп по проект”: срокът, който изисква инженерна работа

За свързани продукти, пуснати на пазара след 12 септември 2026 г., Член 3, параграф 1 изисква данните да са достъпни за ползвателя по подразбиране - лесно, сигурно, безплатно и в структуриран, машинно-читаем формат. На практика: продуктовият интерфейс за експорт трябва да е част от спецификацията, не функция, която ще добавите „при поискване”.

Отделно, Член 3, параграф 2 изисква преддоговорна прозрачност - още преди подписа клиентът трябва да знае какъв вид данни ще генерира продуктът, в какъв обем, с каква честота и как ще ги достъпва. Мястото на тази информация са Общите условия и продуктовата документация.

Търговската тайна не е стоп-кран

Най-честото недоразумение: „нашите данни са ноу-хау, значи не ги даваме”. Регламентът не приема това като общо основание. Механизмът работи на три стъпки:

1. Предварително идентифициране. Посочвате кои конкретни елементи представляват търговска тайна - преди искането, не след него.
2. Защитни мерки. Имате право да поставите условия: NDA, криптиране, ограничен достъп, технически и организационни мерки. Ако насрещната страна откаже да ги приеме, отказът ви да споделите е законосъобразен.
3. Пълен отказ - по изключение. Член 4, параграф 8 позволява спиране на достъпа само ако докажете висока вероятност от сериозни и необратими икономически щети въпреки приложените мерки.

Какъв е точният доказателствен праг за „сериозни и необратими щети” все още никой не знае - практика на СЕС липсва. Затова единственото разумно поведение е процесно: писмена оценка на риска, документирани мотиви и следа от предложените мерки за конфиденциалност. Отказ без досие е отказ, който няма да издържи при проверка.

Data Act срещу GDPR: четирите точки на сблъсък

Член 1, параграф 5 подрежда йерархията: Data Act се прилага, без да засяга GDPR и Директива 2002/58/ЕО. Тоест при конфликт печели защитата на личните данни.

Най-опасният сценарий в практиката: ползвателят, който иска данните, не е субектът на личните данни. Класически пример - работодател иска телематиката от служебен автомобил, каран от служител. Data Act ви задължава да предоставите данните, но не ви дава основание по Член 6 от GDPR да разкриете личната им част. Трябва ви отделно основание, например изрично съгласие на служителя.

Помнете и разликата между псевдонимизация и анонимизация. Псевдонимизираните данни остават лични данни по Член 4(5) от GDPR и изискват основание. Само пълната и необратима анонимизация ги изважда от обхвата.

Член 13: клаузите, които стават нищожни

Ако продавате B2B, това е разделът с най-висок и най-подценяван риск. Член 13 обявява за недействителни едностранно наложените клаузи за достъп и ползване на данни.

Черна листа (Чл. 13, ал. 4) - абсолютно нищожни:

• изключване или ограничаване на отговорността за умисъл или груба небрежност;
• пълно изключване на правните средства за защита на насрещната страна.

Сива листа (Чл. 13, ал. 5) - предполагат се за неравноправни:

• ограничаване на правата на другата страна да ползва данни, които сама е генерирала;
• прекомерно кратки срокове за прекратяване.

Санкцията не е глоба - тя е по-неприятна: клаузата просто не съществува. Ограничението на отговорността, върху което е построен целият ви ценови модел, изчезва точно в момента, в който ви трябва.

За договори, сключени след 12 септември 2025 г., правилото важи от самото начало. От 12 септември 2027 г. то обхваща и договорите, сключени на или преди 12 септември 2025 г., но само ако са безсрочни или изтичат най-малко 10 години от 11 януари 2024 г. (тоест не по-рано от 11 януари 2034 г.). Прегледайте заварените си договори по този критерий.

На 2 април 2025 г. експертна група към Европейската комисия публикува окончателния си доклад с моделни договорни клаузи (MCTs) за споделяне на данни и стандартни клаузи (SCCs) за облачни договори. След това Комисията ги публикува като проект на препоръка. Те са необвързващи и не са safe harbour - използването им не гарантира съответствие, но дава добра отправна точка при преговори и полезен аргумент, когато отсрещният юрист настоява за нещо очевидно извън рамката.

Облак: краят на таксата „заключване”

Ако предлагате IaaS, PaaS или SaaS, Глава VI ви задължава да премахнете търговските и техническите пречки пред напускането на клиент. Практическият график:

• от 12 септември 2025 г. - таксите за смяна на доставчика, включително таксите за изход (egress fees), могат да покриват само преките разходи по смяната;
• от 12 януари 2027 г. - таксите за смяна на доставчика отпадат напълно (Чл. 29). Таксите за изход при паралелно използване на услуги остават допустими, но само до реалните разходи (Чл. 34, пар. 2).

Ако сте от другата страна - купувач на облачни услуги - това е лост при преговори за подновяване, който преди нямахте.

Един детайл за екипите, работещи с блокчейн: Член 36 налага технически изисквания към смарт договорите, включително механизъм за прекратяване. В пакета Digital Omnibus (Работен документ SWD(2025) 836) Комисията предложи пълното отпадане на Член 36 заради несъвместимост на изискването за „kill switch” с децентрализираните мрежи. Докато реформата не бъде приета, Член 36 остава в сила - не строете архитектура около него, но и не го отписвайте.

Ако строите AI върху чужди данни

Data Act отваря достъп до сурови машинни данни, което е добра новина за всеки, който обучава модели - включително с оглед на изискванията за качество на данните по Акта за изкуствения интелект.

Границите са ясни:

• Подлежи на споделяне: суровите сензорни данни.
• Не подлежи: теглата на модела, вътрешните параметри и деривативните модели - те са ваши.
• Разрешено е да обучите модел върху получени данни, стига крайният продукт да не се конкурира с оригиналния: ползвателят не може да създава конкуриращ свързан продукт (Чл. 4, параграф 10), а третата страна - какъвто и да е конкуриращ продукт (Чл. 6, параграф 2, буква „д”).
• Задължително е да имате валидно основание по GDPR за всички лични данни в обучителния набор. Data Act не ви го осигурява.

Публичният сектор: кога държавата може да поиска данни

Глава V позволява на публични органи да изискват данни при доказана „извънредна необходимост”. Обхватът е тесен и си струва да се знае, за да не се приема всяко писмо от институция за задължение:

• при обществено извънредно положение (бедствие, пандемия) данните се предоставят безплатно;
• при други задачи от обществен интерес имате право на компенсация - разходи плюс надценка;
• по Член 18 можете да възразите в срок от 5 работни дни при извънредно положение и 30 работни дни в останалите случаи, ако не разполагате с данните или искането е непълно.

Санкции и приоритет на риска

Санкционната рамка е двуслойна. За нарушения на Глави II, III и V Член 40, параграф 4 позволява на органите по GDPR, в рамките на компетентността им, да налагат глоби по Член 83 от GDPR - до 20 млн. евро или 4% от световния годишен оборот. За останалите нарушения санкциите се определят от националното право.

България: правилата ги има, органът - още не

Регламентът се прилага пряко и няма нужда от национален закон, за да ви задължава. Но изпълнителната рамка у нас все още не е готова.

В Портала за обществени консултации премина консултационен процес по подготовката на изпълнително законодателство (документ с ID 10803-K). Специализиран български закон за прилагане на Регламента за данните или съответни изменения в Закона за електронните съобщения все още не са приети и обнародвани в Държавен вестник.

Не е определен и националният координатор по данните. Обсъжда се разпределение на правомощията между Комисията за защита на личните данни (КЗЛД), Комисията за регулиране на съобщенията (КРС) и Министерството на електронното управление. Всички институционални назначения и конкретните административнонаказателни производства остават висящи до обнародване на националния закон.

Практическият прочит: липсата на назначен орган забавя проверките, но не отменя задълженията ви - още повече че за Глави II, III и V глобите могат да минат и през вече работещата структура на КЗЛД.

Чеклист по типове стартъп

Правя IoT или свързан хардуер

• Инвентаризирайте данните и отделете суровите сензорни записи от алгоритмично изчислените показатели.
• Имате ли механизъм (API или портал) за експорт на сурови данни при поискване? Срокът мина на 12.09.2025 г.
• Продуктите, които пускате след 12.09.2026 г., проектирани ли са с директен достъп от самото устройство?
• Подготвен ли е протокол за защита на търговска тайна по Чл. 4(8) - с писмена оценка на риска, не с имейл?

Правя SaaS платформа

• Прегледани ли са B2B договорите за клаузи от черната листа по Чл. 13?
• Съдържат ли Общите ви условия информацията по Чл. 3(2) - вид, обем и честота на генерираните данни?
• Заварените безсрочни или много дългосрочни договори в график ли са за ревизия до 12.09.2027 г.?

Предоставям облачна инфраструктура или managed services

• Премахнати ли са клаузите, ограничаващи миграцията към друг доставчик?
• Таксите за изход сведени ли са до реалните преки разходи?
• Има ли план за нулеви такси за смяна от 12.01.2027 г.?

Строя AI върху данни от трети страни

• Договорно ли е гарантирано, че продуктът ви не е конкуриращ продукт по Чл. 4(10) или Чл. 6(2)(д)?
• Има ли валидно основание по GDPR за всички лични данни в обучителните набори?

Data Act не е поредната административна тежест, която се решава с политика в PDF. Той променя кой контролира данните, генерирани от вашия продукт - и следователно кой може да строи бизнес върху тях. Стартъпите, които днес знаят точно кои свои полета са сурови и кои са тяхна интелектуална собственост, ще преговарят от позиция на сила. Останалите ще научат разликата от първото сериозно искане за достъп.

Всички регламенти на ЕС и ключовите им дати на едно място: регулациите на ЕС за стартъпи.