(EU) 2025/2050Nařízení Komise v přenesené pravomoci (EU) 2025/2050 ze dne 1. července 2025, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2065 stanovením technických podmínek a postupů, za nichž mají poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů sdílet údaje s prověřenými výzkumnými pracovníky

(1)

Článek 40 nařízení (EU) 2022/2065 stanoví pravidla týkající se přístupu k údajům, který mají poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů poskytnout. Umožňuje zejména, aby výzkumným pracovníkům, kteří prošli procesem prokazujícím, že splňují podmínky stanovené v odstavci 8 uvedeného článku („prověření výzkumní pracovníci“), byl takový přístup poskytnut.

(2)

Podle čl. 40 odst. 4 nařízení (EU) 2022/2065 mají mít prověření výzkumní pracovníci přístup k údajům, které jim pomohou studovat systémová rizika v Unii a posuzovat účinnost opatření pro jejich zmírnění. Jejich zjištění mohou být cenným přínosem pro prosazování nařízení (EU) 2022/2065 a mohou posílit odpovědnost poskytovatelů velmi velkých online platforem a velmi velkých internetových vyhledávačů. Účelem tohoto nařízení je stanovit technické podmínky a postupy nezbytné pro umožnění takového přístupu bezpečným a účinným způsobem, který bude jednotný pro všechny koordinátory digitálních služeb, a způsobem, který zajistí rovné zacházení s výzkumnými pracovníky a poskytovateli údajů.

(3)

Aby byl proces přístupu k údajům jednotný pro všechny koordinátory digitálních služeb a aby byl pro všechny jasný a transparentní, je nutné vytvořit specializovanou digitální infrastrukturu (dále jen „portál pro přístup k údajům dle nařízení o digitálních službách“). Portál pro přístup k údajům dle nařízení o digitálních službách by měl umožnit výzkumným pracovníkům, poskytovatelům údajů a koordinátorům digitálních služeb účastnit se procesu přístupu k údajům, mít přístup k příslušným informacím, jako jsou podrobnosti o vyhrazených kontaktních místech, a šířit je a vzájemně komunikovat. Portál pro přístup k údajům dle nařízení o digitálních službách by neměl být považován za jeden ze způsobů přístupu, který má být použit pro poskytnutí přístupu k údajům na základě odůvodněné žádosti.

(4)

Poskytovatelé údajů a výzkumní pracovníci, kteří se chtějí účastnit procesu přístupu k údajům, by si měli za tímto účelem vytvořit účet na portálu pro přístup k údajům dle nařízení o digitálních službách. Aby bylo zajištěno, že koordinátoři digitálních služeb budou mít přístup k informacím předloženým prostřednictvím portálu pro přístup k údajům dle nařízení o digitálních službách, aniž si musí na portálu vytvářet samostatný účet, měl by tento portál být interoperabilní se systémem pro sdílení informací AGORA zřízeným prováděcím nařízením Komise (EU) 2024/607 (2).

(5)

Aby byla zajištěna transparentnost procesu přístupu k údajům pro všechny zúčastněné strany a aby bylo možné sledovat účinnost a efektivitu procesu přístupu k údajům a soulad s čl. 40 odst. 4 nařízení (EU) 2022/2065 a tímto nařízením, měl by portál pro přístup k údajům dle nařízení o digitálních službách generovat automatická oznámení týkající se různých kroků a aktualizací procesu.

(6)

Aby byly výzkumným pracovníkům poskytovány konzistentní informace o procesu přístupu k údajům, měli by koordinátoři digitálních služeb na svých online rozhraních zpřístupnit informace týkající se procesu přístupu k údajům a usnadnit přístup k nim, včetně odkazů na portál pro přístup k údajům dle nařízení o digitálních službách. Aby se předešlo zbytečné administrativní zátěži, zvýšila se efektivita a usnadnila se komunikace mezi všemi stranami zapojenými do procesu přístupu k údajům, jsou koordinátoři digitálních služeb vyzýváni, aby usnadnili správu informací souvisejících s procesem přístupu k údajům, a to i z jazykového hlediska.

(7)

Aby mohli výzkumní pracovníci identifikovat příslušné údaje pro účely stanovené v čl. 40 odst. 4 nařízení (EU) 2022/2065, měli by poskytovatelé údajů pro své služby zpřístupnit datové katalogy dle nařízení o digitálních službách. Tyto katalogy by měly být snadno vyhledatelné a přístupné na online rozhraních poskytovatelů údajů a měly by popisovat dostupná datová aktiva, jejich strukturu a metadata, o jejichž zpřístupnění lze požádat podle čl. 40 odst. 4 nařízení (EU) 2022/2065. Při zpřístupňování datových katalogů dle nařízení o digitálních službách by poskytovatelé údajů měli brát ohled na rizika pro důvěrnost, zabezpečení údajů nebo ochranu osobních údajů, která by mohla vyplynout ze zveřejnění těchto informací.

(8)

S cílem přispět k rozvoji příslušných výzkumných projektů pro účely stanovené v čl. 40 odst. 4 nařízení (EU) 2022/2065 by datové katalogy dle nařízení o digitálních službách měly obsahovat zejména údaje týkající se systémových rizik v Unii, která poskytovatelé údajů identifikovali ve svých ročních posouzeních rizik podle článku 34 uvedeného nařízení, jakož i údaje týkající se všech opatření ke zmírnění rizik uvedených v článku 35 uvedeného nařízení. Aby byla zajištěna relevance a aktuálnost datových katalogů dle nařízení o digitálních službách, měly by být tyto katalogy pravidelně aktualizovány s náležitým ohledem na nově zjištěná systémová rizika a vývoj systémových rizik. Měly by například odrážet nově vznikající rizika zjištěná na základě posouzení rizik ad hoc podle článku 34 nařízení (EU) 2022/2065 nebo na základě zprávy o auditu podle článku 37 uvedeného nařízení. Aby se minimalizovala procesní zátěž pro poskytovatele údajů, mohou tyto katalogy případně vycházet ze stávajících zdrojů dokumentace údajů používaných pro jiné účely a publikum, jako je reklama, tvorba obsahu nebo vývoj aplikací třetích stran. Datové katalogy dle nařízení o digitálních službách by neměly být vyčerpávající, a proto by neměly žádající výzkumné pracovníky v jejich žádostech o přístup k údajům zavazovat ani omezovat.

(9)

Aby se usnadnilo určování způsobů přístupu koordinátorem digitálních služeb v zemi usazení a snížila se celková zátěž procesu přístupu k údajům pro všechny zúčastněné subjekty, měli by poskytovatelé údajů zveřejnit své navrhované způsoby přístupu k údajům popsaným v datových katalozích dle nařízení o digitálních službách. Tyto navrhované způsoby přístupu by měly být přiměřené citlivosti údajů a měly by zahrnovat informace o možných technických, organizačních a právních podmínkách, které poskytovatelé údajů považují za vhodné pro umožnění poskytnutí údajů. Způsoby přístupu navržené poskytovateli údajů by neměly být závazné pro koordinátory digitálních služeb v zemi usazení, kteří by měli mít i nadále pravomoc určit vhodné způsoby přístupu.

(10)

Aby se zajistilo, že se s žádostmi o přístup k údajům zachází stejně, nezávisle na tom, kterému koordinátorovi digitálních služeb je žádost o přístup k údajům předložena nebo od kterého pochází odůvodněná žádost, měl by být stanoven časový rámec pro formulování odůvodněných žádostí, aby se zajistila jednotnost u všech koordinátorů digitálních služeb. Pokud formulace odůvodněné žádosti vyžaduje dodatečný čas, měl by koordinátor digitálních služeb v zemi usazení informovat vedoucího výzkumného pracovníka a uvést důvody zpoždění. Mezi tyto důvody může patřit potřeba dodatečného ověření ze strany koordinátora digitálních služeb výzkumné organizace nebo v zemi usazení, například pokud žádosti o přístup k údajům znamenají přeshraniční tok údajů nebo pokud koordinátor digitálních služeb v zemi usazení zjistil potenciální rizika pro bezpečnost Unie, pokud by údaje měly být sdíleny. S cílem sladit také kroky v procesu přístupu k údajům, které předcházejí formulování odůvodněných žádostí, včetně posuzování žádostí o přístup k údajům a udělování statusu prověřeného výzkumného pracovníka, se koordinátoři digitálních služeb vyzývají, aby v rámci Evropského sboru pro digitální služby vypracovali konzistentní a koordinovaný způsob práce, včetně společných provozních kritérií.

(11)

V zájmu zefektivnění postupů pro formulaci odůvodněných žádostí by všichni koordinátoři digitálních služeb v zemi usazení měli být povinni ověřit, zda byly v žádostech o přístup k údajům řádně zahrnuty určité společné prvky procesu přístupu k údajům. Za tímto účelem by měli koordinátoři digitálních služeb v zemi usazení ověřit, zda všichni žádající výzkumní pracovníci, kteří jsou uvedeni v žádosti o přístup k údajům, prokázali své přidružení k výzkumné organizaci, například předložením dokladů o pracovní smlouvě nebo jiné formě právního spojení s výzkumnou organizací. Koordinátoři digitálních služeb v zemi usazení by měli rovněž ověřit, zda žádající výzkumní pracovníci prokázali svou nezávislost na komerčních zájmech, například prostřednictvím příslušného prohlášení.

(12)

Koordinátor digitálních služeb v zemi usazení by měl ověřit, zda je v žádosti o přístup k údajům uvedeno financování výzkumného projektu, pro který jsou údaje požadovány. Informace poskytnuté žádajícími výzkumnými pracovníky by měly obsahovat podrobnosti o příspěvcích, jako je financující subjekt, částka, povaha a doba trvání příspěvku, včetně toho, zda již bylo financování poskytnuto nebo zda je žádost o financování stále v procesu hodnocení, a v příslušných případech také příslušné odkazy na projekty financované Unií. Pokud je to možné, měla by žádost o přístup k údajům obsahovat také výsledky hodnocení provedených subjektem nebo subjekty poskytujícími financování.

(13)

Koordinátor digitálních služeb v zemi usazení by měl ověřit, zda žádost o přístup k údajům popisuje způsob výběru údajů a formátu údajů s ohledem na požadavky na nezbytnost a přiměřenost účelu plánovaného výzkumu. Pokud jsou požadované údaje k dispozici i z jiných zdrojů, měl by koordinátor digitálních služeb v zemi usazení posoudit, zda je žádost o tyto údaje v žádosti o přístup k údajům řádně odůvodněná, a to s ohledem na informace v žádosti o přístup k údajům. Mezi možná odůvodnění může patřit důkaz o špatné kvalitě nebo nespolehlivosti takových údajů pocházejících z jiných zdrojů nebo o nevhodnosti formátu, v němž mohou být takové údaje získány z jiných zdrojů pro účely výzkumného projektu, což by bránilo provádění výzkumného projektu. Údaje, které lze požadovat za účelem studia systémových rizik nebo jejich zmírňování v Unii, se mohou v budoucnu vyvíjet. Mezi současné příklady takových údajů patří údaje týkající se uživatelů služeb, jako jsou informace o profilu, sítě vztahů, vystavení vůči obsahu na individuální úrovni a historie zapojení; údaje o interakcích, jako jsou komentáře nebo jiné aktivity; údaje související s doporučováním obsahu, včetně údajů používaných k personalizaci doporučení; údaje související se zacílením reklam a profilováním, včetně údajů o ceně za kliknutí a dalších ukazatelů cen reklamy; údaje týkající se testování nových funkcí před jejich zavedením, včetně výsledků A/B testů; údaje související s moderováním a správou obsahu, jako jsou údaje o algoritmických nebo jiných systémech a procesech moderování obsahu, včetně chronologických seznamů změn, archivů nebo úložišť dokumentujících moderovaný obsah, včetně účtů, jakož i údaje týkající se cen, množství a vlastností zboží nebo služeb poskytovaných nebo zprostředkovaných poskytovatelem údajů.

(14)

Koordinátor digitálních služeb v zemi usazení by měl ověřit, zda žádost o přístup k údajům obsahuje dostatečné informace, které prokazují, že výzkumný pracovník je schopen splnit zvláštní požadavky na důvěrnost, bezpečnost a ochranu osobních údajů, pokud jde o požadované údaje, identifikuje možná rizika vyplývající z přístupu k těmto údajům a jejich zpracování pro účely výzkumu a doloží veškeré navrhované způsoby přístupu, včetně právních, organizačních a technických podmínek, které budou zavedeny za účelem minimalizace zjištěných rizik, například prostřednictvím dopisu se závazkem výzkumné organizace, který potvrzuje přístup k prostředkům, jež mohou představovat příslušná ochranná opatření, nebo jiných podpůrných dokumentů.

(15)

Pokud jsou požadovány osobní údaje, měl by koordinátor digitálních služeb v zemi usazení ověřit, zda žádost o přístup k údajům obsahuje informace o právním základu pro zpracování osobních údajů, případně včetně zvláštních kategorií osobních údajů, a zda je tento právní základ v souladu s čl. 6 odst. 1 písm. e) nebo f) a v příslušných případech čl. 9 odst. 2 písm. g) nebo j) nařízení Evropského parlamentu a Rady (EU) 2016/679 (3). Kromě toho by měl koordinátor digitálních služeb v zemi usazení ověřit, zda žádost o přístup k údajům obsahuje dostatečné údaje o tom, že výzkumní pracovníci posoudili rizika pro ochranu osobních údajů. To lze prokázat například posouzením vlivu na ochranu osobních údajů ve smyslu článku 35 uvedeného nařízení. Aby byl zajištěn přístup k osobním údajům v souladu s nařízením (EU) 2016/679, měli by mít koordinátoři digitálních služeb možnost konzultovat příslušné dozorové úřady zřízené podle článku 51 uvedeného nařízení, které jsou i nadále příslušné k posuzování souladu s nařízením (EU) 2016/679.

(16)

Pro usnadnění formulace odůvodněné žádosti a zachování integrity informací obsažených v žádosti o přístup k údajům by měl koordinátor digitálních služeb v zemi usazení ověřit, zda žádost o přístup k údajům obsahuje shrnutí. Toto shrnutí by mělo obsahovat přehled informací, které budou součástí odůvodněné žádosti zveřejněné na portálu pro přístup k údajům dle nařízení o digitálních službách v případech, kdy posouzení žádosti o přístup k údajům vede k formulaci odůvodněné žádosti.

(17)

Aby bylo zajištěno, že způsoby přístupu, které určí koordinátor digitálních služeb v zemi usazení, jsou přiměřené citlivosti konkrétních údajů požadovaných v žádosti o přístup k údajům, měl by koordinátor digitálních služeb v zemi usazení provést posouzení každého jednotlivého případu na základě informací uvedených v žádosti o přístup k údajům. Způsoby přístupu stanovené v odůvodněné žádosti by měly být vhodné pro splnění požadavků na zabezpečení údajů, důvěrnost údajů a ochranu osobních údajů a zároveň by měly umožňovat dosažení výzkumných cílů výzkumného projektu. Přístup k údajům se může uskutečnit například prostřednictvím přenosu údajů prověřeným výzkumným pracovníkům prostřednictvím vhodného rozhraní a za využití vhodného způsobu uchovávání údajů; předáváním údajů do bezpečného zpracovatelského prostředí provozovaného poskytovatelem údajů nebo poskytovatelem, který je třetí stranou, k němuž mají prověření výzkumní pracovníci přístup, a uchováváním údajů v tomto prostředí, kde ale nedochází k předávání údajů prověřeným výzkumným pracovníkům, nebo jinými způsoby přístupu, které zřídí nebo zprostředkuje poskytovatel údajů. Při specifikaci způsobů přístupu by měl koordinátor digitálních služeb v zemi usazení uvést také všechny právní, technické nebo organizační podmínky, kterým má přístup podléhat. V případech, kdy poskytování přístupu zahrnuje předávání osobních údajů třetím zemím nebo mezinárodním organizacím ve smyslu kapitoly V nařízení (EU) 2016/679, by způsoby přístupu měly rovněž zahrnovat informace o potřebě zavést vhodný mechanismus předávání, aby bylo zajištěno, že poskytovatel údajů přijme nezbytná opatření k dosažení souladu s uvedeným nařízením.

(18)

Aby bylo zajištěno, že způsoby přístupu k údajům jsou vhodné pro řešení specifických citlivých otázek z hlediska ochrany údajů, zabezpečení údajů nebo důvěrnosti, měl by mít koordinátor digitálních služeb v zemi usazení na základě informací obdržených v žádosti o přístup k údajům možnost požadovat, aby byl přístup k údajům zajištěn prostřednictvím bezpečného zpracovatelského prostředí. V takových případech by měl koordinátor digitálních služeb v zemi usazení zajistit, aby zvolené prostředí fungovalo v souladu s nejvhodnější technologií a umožňovalo prověřeným výzkumným pracovníkům dosáhnout cílů jejich výzkumu.

(19)

Aby byla zajištěna konzistentnost informací předávaných koordinátory digitálních služeb v zemi usazení poskytovatelům údajů, je nutné upřesnit obsah odůvodněných žádostí.

(20)

V zájmu ochrany zájmů poskytovatelů údajů a snížení četnosti žádostí o změnu v průběhu času a usnadnění formulování příslušných žádostí o přístup k údajům ze strany výzkumných pracovníků by měl být přehled každé odůvodněné žádosti, včetně všech jejích změn a aktualizací, zveřejněn na portálu pro přístup k údajům dle nařízení o digitálních službách koordinátorem digitálních služeb v zemi usazení, který příslušné odůvodněné žádosti vydal.

(21)

Aby se zajistilo, že koordinátor digitálních služeb v zemi usazení bude mít k dispozici relevantní informace pro posouzení žádosti o změnu, a aby se usnadnil jednotný přístup při posuzování žádostí o změnu, mělo by se od poskytovatele údajů vyžadovat, aby uvedl důvody takové žádosti, jak je uvedeno v čl. 40 odst. 5 nařízení (EU) 2022/2065. Konkrétněji řečeno, při posuzování žádosti o změnu předložené na základě toho, že poskytovatel údajů nemá přístup k údajům, by měl být koordinátor digitálních služeb v zemi usazení schopen přezkoumat, zda je údajná nemožnost řádně odůvodněna, například tím, že požadované údaje neexistují, nebo technickými omezeními, jako je šifrování, a měl by mít k dispozici informace nezbytné k posouzení, zda je nemožnost přístupu trvalá nebo dočasná. V tomto ohledu by mělo být zřejmé, že obchodní důvody by neměly být považovány za důvod k automatickému odmítnutí přístupu k požadovaným údajům, ale spíše za důvod k úpravě způsobu poskytování přístupu k údajům, což může vést k předložení dalších požadavků na zabezpečení a důvěrnost údajů.

(22)

V zájmu zajištění účinného řešení sporů a podpory nalezení oboustranně přijatelného řešení by poskytovatelé údajů měli mít možnost po podání žádosti o změnu požádat koordinátory digitálních služeb v zemi usazení o účast na mediaci. Tato účast by měla být dobrovolná po celou dobu mediačního řízení a neměla by vést k žádnému závaznému výsledku pro koordinátora digitálních služeb v zemi usazení, který je nadále příslušný k rozhodování o žádostech o změnu. Všechny strany zapojené do mediačního řízení by měly jednat v dobré víře a usilovat o dosažení spravedlivé a oboustranně přijatelné dohody.

(23)

Aby se zabránilo tomu, že mediace prodlouží proces přístupu k údajům na neurčito, měly by se předání písemné žádosti o mediaci, výběr mediátora a samotný proces mediace uskutečnit ve stanovených lhůtách. Koordinátoři digitálních služeb v zemi usazení by měli stanovit lhůtu pro mediační řízení ve vztahu k dané odůvodněné žádosti a mediátor by měl mít pravomoc mediační řízení za určitých okolností ukončit.

(24)

V zájmu zachování vzájemné důvěry mezi stranami zapojenými do mediace by měl koordinátor digitálních služeb v zemi usazení zajistit, aby navrhovaný mediátor splňoval požadavky nestrannosti a nezávislosti a měl příslušné odborné znalosti v oblasti předmětu mediace.

(25)

Pro účely usnadnění informovaného a účinného rozhodování v souvislosti s procesem přístupu k údajům by koordinátoři digitálních služeb měli mít možnost vyžádat si odborná stanoviska ke konkrétním prvkům procesu přístupu k údajům, jako je stanovení způsobů přístupu, včetně vhodných rozhraní, formulace odůvodněné žádosti a případných žádostí o změnu ze strany poskytovatele údajů. Konzultovaní odborníci by měli mít prokazatelné odborné znalosti v oblasti, ke které je požadováno jejich stanovisko, a měli by být nezávislí. Zejména by neměli být ve střetu zájmů, například v důsledku vazeb na žádající výzkumné pracovníky nebo na poskytovatele údajů.

(26)

Aby se zvýšila transparentnost a koordinátoři digitálních služeb mohli stavět na svých odborných znalostech získaných v průběhu času, měla by být každá žádost o odbornou konzultaci a následné kroky, které z ní vyplynou, zaznamenány v systému AGORA.

(27)

Aby se usnadnil účinný dohled nad dodržováním podmínek stanovených v odůvodněné žádosti, měl by poskytovatel údajů koordinátorovi digitálních služeb v zemi usazení do tří pracovních dnů oznámit datum, kdy byl prověřeným výzkumným pracovníkům poskytnut přístup, a datum ukončení přístupu.

(28)

Aby mohli prověření výzkumní pracovníci použít požadované údaje pro účely výzkumu a poskytnout relevantní kontextové informace, měli by poskytovatelé údajů poskytnout prověřeným výzkumným pracovníkům příslušná metadata a dokumentaci popisující zpřístupněné údaje, jako jsou kódovací knihy, chronologické seznamy změn a dokumentace architektury dat.

(29)

V zájmu usnadnění smysluplného výzkumu ze strany prověřených výzkumných pracovníků, a to i tím, že umožní kombinaci požadovaných údajů s údaji dostupnými z jiných zdrojů, by poskytovatelé údajů neměli ukládat žádná omezení analytickým nástrojům používaným prověřenými výzkumnými pracovníky, včetně příslušných softwarových knihoven, a neměli by předkládat požadavky na archivaci, ukládání, obnovování a mazání, pokud nejsou výslovně uvedeny ve způsobech přístupu uvedených v odůvodněné žádosti.

(30)

Pokud údaje poskytnuté prověřeným výzkumným pracovníkům zahrnují osobní údaje ve smyslu článku 4 nařízení (EU) 2016/679, měl by poskytovatel údajů dodržovat pravidla stanovená v uvedeném nařízení. Zejména čl. 40 odst. 4 nařízení (EU) 2022/2065 zakládá právní povinnost ve smyslu čl. 6 odst. 1 písm. c) nařízení (EU) 2016/679 pro jakékoli zpracování osobních údajů, které je nezbytné k tomu, aby poskytovatel údajů poskytl přístup k údajům uvedeným v odůvodněné žádosti. Pokud mají být zpracovávány zvláštní kategorie osobních údajů ve smyslu článku 9 nařízení (EU) 2016/679, splňuje toto nařízení požadavek čl. 9 odst. 2 písm. g) nařízení (EU) 2016/679.

(31)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (4) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 4. prosince 2024.

(32)

Po konzultaci s Evropským sborem pro digitální služby v souladu s čl. 40 odst. 13 nařízení (EU) 2022/2065 a po získání jeho souhlasu,