Przyznanie statusu zweryfikowanego badacza nie oznacza jeszcze automatycznego dostępu do danych
Uzyskanie statusu zweryfikowanego badacza jest ważnym etapem procedury, ale nie oznacza jeszcze, że badacz automatycznie uzyskuje dostęp do danych VLOP lub VLOSE.
Po przyznaniu statusu konieczne jest przejście do kolejnego etapu, w którym właściwy Koordynator ds. usług cyfrowych ocenia wnioskowany dostęp do danych i – jeżeli spełnione są wymagane warunki – formułuje uzasadniony wniosek o dostęp do danych, o którym mowa w art. 40 ust. 4 rozporządzenia DSA. Wniosek ten określa dostęp do danych potrzebnych do realizacji konkretnego projektu badawczego i jest kierowany do dostawcy VLOP lub VLOSE, którego danych dotyczy badanie.
W Polsce art. 22zc ustawy o świadczeniu usług drogą elektroniczną przewiduje, że Prezes UKE przekazuje taki wniosek dostawcy VLOP lub VLOSE za pośrednictwem pojedynczego punktu kontaktowego, o którym mowa w art. 11 ust. 1 rozporządzenia DSA.
Ile trwa ten etap?
Szczegółowe zasady prowadzenia procedury dostępu do danych określa rozporządzenie delegowane Komisji (UE) 2025/2050. Koordynator właściwy dla miejsca siedziby dostawcy VLOP lub VLOSE powinien, co do zasady, w ciągu 80 dni roboczych od dnia złożenia wniosku o dostęp do danych ustalić, czy na jego podstawie może zostać sformułowany uzasadniony wniosek skierowany do dostawcy.
Termin ten służy więc ocenie wniosku i przygotowaniu uzasadnionego wniosku o dostęp do danych – nie jest terminem, po którego upływie badacz automatycznie otrzymuje dane.
Jeżeli w należycie uzasadnionym przypadku przeprowadzenie oceny wymaga więcej czasu, właściwy Koordynator informuje głównego badacza, zdefiniowanego w rozporządzeniu delegowanym, o przyczynach opóźnienia oraz wskazuje nowy termin zakończenia tego etapu procedury.
Co dzieje się dalej?
Sformułowanie i przekazanie uzasadnionego wniosku rozpoczyna kolejny etap – dotyczący zapewnienia dostępu do wskazanych danych przez dostawcę VLOP lub VLOSE.
Również na tym etapie rozporządzenie DSA przewiduje określoną procedurę. Dostawca może w szczególności, w przypadkach przewidzianych w art. 40 ust. 5 rozporządzenia DSA, wystąpić o zmianę wniosku dotyczącą sposobu lub zakresu dostępu do danych. Nie oznacza to jednak swobody odmowy udostępnienia danych – możliwość wystąpienia o zmianę jest ograniczona do przesłanek określonych w rozporządzeniu DSA.
Dopiero po przejściu tych etapów badacz uzyskuje dostęp do danych w zakresie, na warunkach i w sposób określony w ramach procedury.
W praktyce ścieżka wygląda więc następująco:
projekt badawczy → wniosek → weryfikacja badacza → status zweryfikowanego badacza → ocena wnioskowanego dostępu → uzasadniony wniosek Koordynatora → zapewnienie dostępu do danych przez VLOP/VLOSE.
Co może zrobić dostawca VLOP lub VLOSE?
Po otrzymaniu uzasadnionego wniosku właściwego Koordynatora dostawca VLOP lub VLOSE powinien zapewnić zweryfikowanemu badaczowi dostęp do danych na warunkach określonych w tym wniosku.
Rozporządzenie DSA uwzględnia jednak sytuacje, w których zapewnienie dostępu dokładnie w żądanym zakresie lub w określony sposób może nie być możliwe. Dlatego art. 40 ust. 5 rozporządzenia DSA pozwala dostawcy wystąpić do właściwego Koordynatora z wnioskiem o zmianę uzasadnionego wniosku o dostęp do danych.
Kiedy dostawca może wystąpić o zmianę?
Nie jest to możliwość dowolnego zakwestionowania wniosku o dostęp do danych. Dostawca musi wykazać wystąpienie jednej z przesłanek przewidzianych w rozporządzeniu DSA. Może wystąpić o zmianę, jeżeli:
- nie ma dostępu do danych, których dotyczy uzasadniony wniosek, albo
- zapewnienie dostępu do danych doprowadziłoby do znacznych luk w zakresie bezpieczeństwa jego usługi lub ochrony informacji poufnych, w szczególności tajemnic przedsiębiorstwa.
Wniosek dostawcy powinien więc odnosić się do konkretnej przeszkody w zapewnieniu dostępu i odpowiednio ją uzasadniać.
Kto decyduje o zmianie?
Samo wystąpienie przez dostawcę z takim wnioskiem nie prowadzi automatycznie do zmiany zakresu lub warunków dostępu. Ocena przedstawionych przez niego argumentów należy do właściwego Koordynatora ds. usług cyfrowych.
Jeżeli właściwym Koordynatorem jest Prezes UKE, rozstrzyga on, czy istnieją podstawy do zmiany uzasadnionego wniosku. Prezes UKE wyraża zgodę albo odmawia zgody na jego zmianę w drodze decyzji podlegającej natychmiastowemu wykonaniu.
Mechanizm ten ma pozwolić na uwzględnienie rzeczywistych przeszkód technicznych lub zagrożeń dla bezpieczeństwa i poufności danych, bez pozbawiania badacza dostępu niezbędnego do realizacji projektu badawczego.
Jak ustalane są zmienione warunki dostępu?
Szczegółowe zasady postępowania po zgłoszeniu przez dostawcę potrzeby zmiany uzasadnionego wniosku określa również rozporządzenie delegowane Komisji (UE) 2025/2050. Przewiduje ono mechanizmy komunikacji pomiędzy właściwym Koordynatorem, dostawcą VLOP lub VLOSE oraz badaczem, służące wypracowaniu odpowiednich warunków dostępu do danych. W określonych przypadkach procedura może obejmować również mediację.
Celem jest takie określenie dostępu, aby z jednej strony umożliwić realizację zatwierdzonego projektu badawczego, a z drugiej uwzględnić uzasadnione ograniczenia wynikające z przesłanek określonych w art. 40 ust. 5 rozporządzenia DSA.
Ważne: możliwość wystąpienia o zmianę uzasadnionego wniosku nie stanowi ogólnego prawa dostawcy VLOP lub VLOSE do odmowy udostępnienia danych. Dostawca może powołać się wyłącznie na przesłanki przewidziane w rozporządzeniu DSA, a ich zasadność podlega ocenie właściwego Koordynatora.
Jak może wyglądać dostęp do danych?
Dostęp do danych VLOP lub VLOSE nie musi w każdym przypadku wyglądać tak samo. Sposób udostępnienia danych jest dostosowywany do konkretnego projektu badawczego, rodzaju i zakresu potrzebnych danych oraz ryzyk związanych z ich udostępnieniem. Znaczenie ma zatem nie tylko to, do jakich danych badacz ma uzyskać dostęp, ale również w jaki sposób dostęp ten zostanie zapewniony i na jakich warunkach będzie można z danych korzystać.
W jaki sposób mogą zostać udostępnione dane?
Warunki dostępu powinny odpowiadać charakterowi konkretnego projektu oraz danych, których dotyczy uzasadniony wniosek. Przy ich określaniu uwzględnia się w szczególności potrzebę:
- zapewnienia bezpieczeństwa danych;
- ochrony danych osobowych;
- ochrony informacji poufnych, w tym tajemnic przedsiębiorstwa;
- zapewnienia bezpieczeństwa VLOP lub VLOSE;
- ograniczenia dostępu do danych rzeczywiście potrzebnych do realizacji projektu badawczego.
W zależności od tych okoliczności dane mogą być udostępniane przy wykorzystaniu różnych metod dostępu, odpowiednio dobranych do konkretnego przypadku. Warunki dostępu mogą określać m.in. sposób technicznego udostępnienia danych, osoby uprawnione do korzystania z nich oraz środki bezpieczeństwa, które muszą być stosowane podczas realizacji projektu.
Bezpieczne środowisko przetwarzania
W przypadku danych wymagających szczególnej ochrony dostęp może zostać zapewniony w bezpiecznym środowisku przetwarzania. Oznacza to, że badacz może pracować z udostępnionymi danymi w odpowiednio zabezpieczonym środowisku, w którym stosowane są rozwiązania ograniczające ryzyko nieuprawnionego dostępu do danych, ich wykorzystania lub ujawnienia.
Szczegółowe wymagania dotyczące organizacji takiego dostępu określa rozporządzenie delegowane Komisji (UE) 2025/2050. Obejmują one m.in. rozwiązania dotyczące kontroli dostępu do danych oraz rejestrowania operacji wykonywanych w środowisku przetwarzania.
Zakres zabezpieczeń zależy od danych i projektu
Nie każdy projekt będzie wymagał zastosowania takich samych środków. Zakres zabezpieczeń powinien odpowiadać rodzajowi danych, sposobowi dostępu oraz ryzykom związanym z ich wykorzystaniem.
Innych warunków może wymagać dostęp do danych o wysokim poziomie agregacji, a innych dostęp do bardziej szczegółowych informacji, których wykorzystanie może wiązać się z większym ryzykiem dla prywatności użytkowników, poufności informacji lub bezpieczeństwa usługi.
Celem jest więc takie zorganizowanie dostępu, aby badacz mógł korzystać z danych potrzebnych do realizacji zatwierdzonego projektu, przy jednoczesnym zapewnieniu odpowiedniego poziomu bezpieczeństwa i ochrony praw oraz interesów, których dane dotyczą.
Obowiązki podmiotu, który uzyskał status zweryfikowanego badacza i dostęp do danych
Uzyskanie statusu zweryfikowanego badacza nie kończy obowiązków związanych z dostępem do danych. Warunki, które były podstawą przyznania statusu, muszą być spełniane również podczas realizacji projektu badawczego i korzystania z udostępnionych danych.
Dotyczy to w szczególności zachowania niezależności od interesów handlowych, przestrzegania wymogów dotyczących bezpieczeństwa i poufności danych oraz ochrony danych osobowych, a także wykorzystywania dostępu zgodnie z celem i warunkami konkretnego projektu badawczego.
Spełnianie warunków, o których mowa w art. 40 ust. 8 rozporządzenia DSA może zostać ponownie zweryfikowane. Prezes UKE może przeprowadzić czynności sprawdzające nie tylko na etapie rozpatrywania wniosku o przyznanie statusu, ale również wobec osoby lub podmiotu, który uzyskał już status zweryfikowanego badacza.
Celem takich czynności jest zweryfikowanie, czy badacz nadal spełnia warunki wymagane do korzystania ze szczególnego mechanizmu dostępu do danych przewidzianego w rozporządzeniu DSA. Samo wszczęcie czynności sprawdzających nie oznacza, że badacz naruszył przepisy. Jest to instrument umożliwiający Prezesowi UKE zweryfikowanie, czy warunki będące podstawą przyznania statusu są nadal spełniane.
Badacz może przedstawić swoje stanowisko
Stwierdzenie w toku czynności sprawdzających okoliczności, które mogą prowadzić do zakończenia dostępu do danych, nie oznacza, że dostęp zostanie zakończony bez umożliwienia badaczowi odniesienia się do dokonanych ustaleń.
Przed wydaniem decyzji Prezes UKE umożliwia zweryfikowanemu badaczowi ustosunkowanie się do wyników czynności sprawdzających oraz do zamiaru zakończenia dostępu do danych. Badacz ma zatem możliwość zapoznania się z ustaleniami, które mogą mieć wpływ na dalsze korzystanie z danych, i przedstawienia swojego stanowiska przed podjęciem rozstrzygnięcia.
W ramach swojego stanowiska badacz może w szczególności przedstawić wyjaśnienia dotyczące okoliczności ustalonych w toku czynności sprawdzających, odnieść się do oceny spełniania warunków wymaganych przez rozporządzenie DSA oraz przekazać informacje i dokumenty mające znaczenie dla rozstrzygnięcia sprawy.
Pozwala to uwzględnić nie tylko ustalenia dokonane w ramach czynności sprawdzających, ale również argumenty i wyjaśnienia samego badacza. Dopiero po przeanalizowaniu zgromadzonych informacji oraz stanowiska badacza Prezes UKE rozstrzyga, czy istnieją podstawy do zakończenia dostępu do danych.
Możliwość przedstawienia stanowiska ma szczególne znaczenie, ponieważ decyzja o zakończeniu dostępu bezpośrednio wpływa na możliwość dalszego korzystania z danych VLOP lub VLOSE w ramach prowadzonego projektu badawczego.
Zakończenie dostępu do danych
Jeżeli w wyniku przeprowadzonych czynności zostanie stwierdzone, że zweryfikowany badacz przestał spełniać warunki określone w art. 40 ust. 8 rozporządzenia DSA albo naruszył przepisy ustawy o świadczeniu drogą elektroniczną, może to prowadzić do zakończenia dostępu do danych.
Jeżeli Prezes UKE jest właściwym Koordynatorem ds. usług cyfrowych (Koordynator właściwy dla miejsca siedziby), wydaje w takim przypadku decyzję o zakończeniu dostępu do danych. Decyzja ta podlega natychmiastowemu wykonaniu. O zakończeniu dostępu Prezes UKE informuje również dostawcę VLOP lub VLOSE, którego danych dotyczył dostęp.