O Regulamento dos Dados explicado: texto integral e o que significa para as universidades

(1) Nos últimos anos, as tecnologias baseadas em dados têm tido efeitos transformadores em todos os setores da economia. A proliferação de produtos conectados à Internet, em particular, aumentou o volume e o valor potencial dos dados para os consumidores, as empresas e a sociedade. Dados interoperáveis e de elevada qualidade provenientes de diferentes domínios aumentam a competitividade e a inovação e asseguram um crescimento económico sustentável. Os mesmos dados podem ser utilizados e reutilizados para diversos fins e a um nível ilimitado, sem prejudicar a sua qualidade ou quantidade.

(2) Os obstáculos à partilha de dados impedem uma distribuição otimizada dos dados em benefício da sociedade. Esses obstáculos incluem a ausência de incentivos para que os detentores dos dados celebrem voluntariamente acordos de partilha de dados, a incerteza quanto aos direitos e obrigações relacionados com os dados, os custos da contratação e da execução de interfaces técnicas, o elevado nível de fragmentação da informação em silos de dados, a má gestão dos metadados, a ausência de normas para a interoperabilidade semântica e técnica, os estrangulamentos que impedem o acesso aos dados, a ausência de práticas comuns de partilha de dados e os abusos de desequilíbrios contratuais no que respeita ao acesso aos dados e à sua utilização.

(3) Nos setores que se caracterizam pela presença de microempresas, pequenas empresas e médias empresas (PME) na aceção do artigo 2.^o do anexo da Recomendação 2003/361/CE da Comissão, verifica-se muitas vezes a ausência de capacidades e competências digitais para recolher, analisar e utilizar dados, sendo o acesso frequentemente limitado caso um único interveniente os detenha no sistema ou devido à falta de interoperabilidade entre dados, entre serviços de dados ou a nível transfronteiriço.

(4) A fim de responder às necessidades da economia digital e de eliminar os obstáculos ao bom funcionamento do mercado interno dos dados, é necessário estabelecer um regime harmonizado que especifique quem tem direito a utilizar os dados relativos a um produto ou os relativos a serviços conexos, em que condições e com que fundamento. Por conseguinte, os Estados-Membros não deverão adotar ou manter requisitos nacionais adicionais relativos às matérias abrangidas pelo presente regulamento, salvo se explicitamente previsto no mesmo, uma vez que tal afetaria a sua aplicação direta e uniforme. Além disso, a ação ao nível da União deverá ter lugar sem prejuízo das obrigações e compromissos estabelecidos nos acordos comerciais internacionais celebrados pela União.

(5) O presente regulamento garante que os utilizadores de um produto conectado ou serviço conexo na União podem aceder, em tempo útil, aos dados gerados pela utilização desse produto ou serviço conexo, e que podem utilizar esses dados, nomeadamente partilhando-os com terceiros da sua escolha. Impõe aos detentores dos dados a obrigação de disponibilizarem dados aos utilizadores e a terceiros escolhidos pelo utilizador em determinadas circunstâncias. Garante também que os detentores dos dados disponibilizam os dados aos destinatários dos dados na União ao abrigo de cláusulas e condições equitativas, razoáveis e não discriminatórias e de forma transparente. As regras do direito privado são fundamentais no regime global da partilha de dados. Por conseguinte, o presente regulamento adapta as regras do direito contratual e impede a exploração dos desequilíbrios contratuais que dificultam o acesso equitativo aos dados e a sua utilização. O presente regulamento garante também que, em caso de necessidade excecional, os detentores dos dados disponibilizam aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União os dados necessários para o desempenho de uma função específica de interesse público. Além disso, visa facilitar a mudança entre serviços de tratamento de dados e reforçar a interoperabilidade dos dados e dos mecanismos e serviços de partilha de dados na União. O presente regulamento não deverá ser interpretado como reconhecendo ou como conferindo aos detentores dos dados qualquer novo direito de utilizar os dados gerados pela utilização de um produto conectado ou serviço conexo.

(6) A geração de dados é o resultado das ações de, pelo menos, dois intervenientes, nomeadamente o projetista ou o fabricante de um produto conectado, que, em muitos casos, pode ser também um prestador de serviços conexos, e o utilizador do produto conectado ou serviço conexo. Suscita questões de equidade na economia digital, uma vez que os dados registados por produtos conectados ou serviços conexos constituem um contributo importante para os serviços pós-venda, complementares e outros. A fim de tirar partido dos importantes benefícios económicos dos dados, nomeadamente através da partilha de dados com base em acordos voluntários e o desenvolvimento da criação de valor baseada em dados por parte das empresas da União, é preferível adotar uma abordagem geral que confira direitos no que respeita ao acesso aos dados e à utilização dos mesmos do que uma que conceda direitos exclusivos de acesso e utilização. O presente regulamento prevê regras horizontais que poderão posteriormente ser complementadas pelo direito da União ou nacional que dê resposta a situações específicas dos setores pertinentes.

(7) O direito fundamental à proteção dos dados pessoais é salvaguardado, em particular, através dos Regulamentos (UE) 2016/679 e (UE) 2018/1725 do Parlamento Europeu e do Conselho. Além disso, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho protege a vida privada e a confidencialidade das comunicações, nomeadamente através de condições colocadas ao armazenamento de dados pessoais e não pessoais em equipamentos terminais e a qualquer acesso a partir dos mesmos. Esses atos legislativos da União constituem a base para um tratamento de dados sustentável e responsável, nomeadamente quando os conjuntos de dados incluem uma combinação de dados pessoais e não pessoais. O presente regulamento complementa e não prejudica o direito da União em matéria de proteção de dados pessoais e privacidade, nomeadamente os Regulamentos (UE) 2016/679 e (UE) 2018/1725 e a Diretiva 2002/58/CE. Nenhuma disposição do presente regulamento deverá ser aplicada ou interpretada de forma a diminuir ou limitar o direito à proteção dos dados pessoais ou o direito à privacidade e à confidencialidade das comunicações. Qualquer tratamento de dados pessoais nos termos do presente regulamento deverá cumprir o direito da União em matéria de proteção de dados, incluindo o requisito de que haja um fundamento jurídico válido para o tratamento nos termos do artigo 6.^o do Regulamento (UE) 2016/679 e, se pertinente, as condições previstas no artigo 9.^o desse regulamento e no artigo 5.^o, n.^o 3, da Diretiva 2002/58/CE. O presente regulamento não constitui um fundamento jurídico para a recolha ou a geração de dados pessoais por parte do detentor dos dados. O presente regulamento impõe aos detentores dos dados a obrigação de disponibilizar os dados pessoais aos utilizadores ou a terceiros escolhidos pelo utilizador, mediante pedido deste último. Esse acesso deverá ser facultado em relação aos dados pessoais que são objeto de tratamento pelo detentor dos dados com base em qualquer um dos fundamentos jurídicos a que se refere o artigo 6.^o do Regulamento (UE) 2016/679. Se o utilizador não for o titular dos dados, o presente regulamento não cria um fundamento jurídico para facultar o acesso aos dados pessoais ou para os disponibilizar a terceiros, e não deverá ser entendido como conferindo ao detentor dos dados qualquer novo direito de utilizar os dados pessoais gerados pela utilização de um produto conectado ou serviço conexo. Nesses casos, poderá ser do interesse do utilizador promover o cumprimento dos requisitos do artigo 6.^o do Regulamento (UE) 2016/679. Uma vez que o presente regulamento não deverá afetar negativamente os direitos dos titulares de dados em matéria de proteção de dados, o detentor dos dados poderá nesses casos satisfazer os pedidos, nomeadamente através da anonimização dos dados pessoais ou, caso os dados prontamente disponíveis contenham dados pessoais de vários titulares dos dados, através da transmissão apenas dos dados pessoais relativos ao utilizador.

(8) Os princípios da minimização dos dados e da proteção dos dados desde a conceção e por defeito são essenciais quando o tratamento implica riscos significativos para os direitos fundamentais das pessoas. Tendo em conta as técnicas mais avançadas, todas as partes envolvidas na partilha de dados, incluindo a partilha de dados abrangida pelo presente regulamento, deverão aplicar medidas técnicas e organizativas para proteger esses direitos. Tais medidas incluem não só a pseudonimização e a cifragem, mas também a utilização de tecnologias cada vez mais disponíveis que permitem a introdução de algoritmos nos dados e a obtenção de informações valiosas sem a transmissão entre as partes ou a cópia desnecessária dos próprios dados, em bruto ou estruturados.

(9) Salvo disposição em contrário no presente regulamento, este não afeta o direito nacional em matéria de contratos, nomeadamente as regras relativas à formação, à validade ou ao efeito dos contratos ou às consequências da rescisão de um contrato. O presente regulamento complementa e não prejudica o direito da União que visa promover os interesses dos consumidores e assegurar um elevado nível de defesa dos consumidores, e proteger a sua saúde, segurança e interesses económicos, nomeadamente a Diretivas 93/13/CEE do Conselho e as Diretivas 2005/29/CE e 2011/83/UE do Parlamento Europeu e do Conselho.

(10) O presente regulamento não prejudica os atos jurídicos da União e nacionais que preveem a partilha, o acesso e a utilização de dados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, ou para efeitos aduaneiros e fiscais, independentemente da base jurídica do Tratado sobre o Funcionamento da União Europeia (TFUE) com que tenham sido adotados, nem a cooperação internacional neste domínio, em particular com base na Convenção do Conselho da Europa sobre o Cibercrime (STE n.^o 185), adotada em Budapeste em 23 de novembro de 2001. Tais atos incluem os Regulamentos (UE) 2021/784, (UE) 2022/2065 e (UE) 2023/1543 do Parlamento Europeu e do Conselho e a Diretiva (UE) 2023/1544 do Parlamento Europeu e do Conselho. O presente regulamento não se aplica à recolha, partilha ou utilização de dados nem ao acesso aos mesmos ao abrigo do Regulamento (UE) 2015/847 do Parlamento Europeu e do Conselho e da Diretiva (UE) 2015/849 do Parlamento Europeu e do Conselho. O presente regulamento não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União e não afeta, em caso algum, as competências dos Estados-Membros em matéria de segurança pública, defesa, segurança nacional, administração aduaneira e fiscal ou saúde e segurança dos cidadãos, independentemente do tipo de entidade incumbida pelos Estados-Membros de desempenhar funções relacionadas com essas competências.

(11) O direito da União que estabelece requisitos em matéria de desenho do produto e de dados dos produtos a colocar no mercado da União não deverá ser afetado, salvo se especificamente previsto no presente regulamento.

(12) O presente regulamento complementa e não prejudica o direito da União que visa estabelecer requisitos de acessibilidade de determinados produtos e serviços, em especial a Diretiva (UE) 2019/882 do Parlamento Europeu e do Conselho.

(13) O presente regulamento não prejudica os atos jurídicos da União e os atos jurídicos nacionais que preveem a proteção de direitos de propriedade intelectual, incluindo as Diretivas 2001/29/CE, 2004/48/CE e (UE) 2019/790 do Parlamento Europeu e do Conselho.

(14) Os produtos conectados que obtêm, geram ou recolhem, através dos seus componentes ou sistemas operativos, dados relativos ao seu desempenho, utilização ou ambiente, e que são capazes de comunicar esses dados através de um serviço de comunicações eletrónicas, uma conexão física ou acesso no dispositivo, frequentemente designados por Internet das coisas, deverão ser abrangidos pelo presente regulamento, com exceção dos protótipos. São exemplos desses serviços de comunicações eletrónicas, em especial, as redes telefónicas terrestres, as redes de televisão por cabo, as redes por satélite e as redes de comunicação de campo próximo. Os produtos conectados estão presentes em todos os aspetos da economia e da sociedade, inclusive nas infraestruturas privadas, civis ou comerciais, nos veículos, nos equipamentos de saúde e estilo de vida, nos navios, nas aeronaves, nos equipamentos domésticos e bens de consumo, nos dispositivos médicos e sanitários ou nas máquinas agrícolas e industriais. As escolhas dos fabricantes em termos de conceção e, se pertinente, o direito da União ou nacional destinado a dar resposta a necessidades e objetivos específicos de um setor, ou as decisões pertinentes das autoridades competentes, deverão determinar quais os dados que um produto conectado é capaz de disponibilizar.

(15) Os dados representam a digitalização das ações e eventos do utilizador e, por conseguinte, deverão ser acessíveis ao mesmo. As regras relativas ao acesso aos dados provenientes de produtos conectados e serviços conexos e à sua utilização, nos termos do presente regulamento, dizem respeito tanto aos dados relativos a um produto como aos dados relativos a um serviço conexo. Os dados relativos a um produto referem-se aos dados gerados pela utilização de um produto conectado concebido pelo fabricante para que os mesmos sejam recuperáveis a partir do produto conectado por parte de um utilizador, de um detentor dos dados ou de terceiros, incluindo, se for caso disso, o fabricante. Os dados relativos a um serviço conexo referem-se aos dados que também representam a digitalização das ações ou eventos do utilizador relacionados com o produto conectado, gerados durante a prestação de um serviço conexo pelo prestador de serviços. Os dados gerados pela utilização de um produto conectado ou serviço conexo deverão ser entendidos como abrangendo os dados registados intencionalmente ou os dados que resultem indiretamente da ação do utilizador, como os dados sobre o ambiente ou as interações do produto conectado. Tal deverá incluir os dados relativos à utilização de um produto conectado gerados por uma interface de utilizador ou por meio de um serviço conexo e não deverá limitar-se à informação de que essa utilização ocorreu, devendo antes incluir todos os dados gerados pelo produto conectado em resultado dessa utilização, como os dados gerados automaticamente por sensores e os dados registados por aplicações incorporadas, incluindo as aplicações que indicam o estado do hardware e as anomalias de funcionamento. Deverá incluir ainda os dados gerados pelo produto conectado ou serviço conexo em períodos de inação por parte do utilizador, designadamente momentos em que o utilizador opte por não utilizar um produto conectado durante um determinado período de tempo, optando em vez disso por manter o produto conectado em modo de baixo consumo ou mesmo desligado, uma vez que o estado de um produto conectado ou dos seus componentes – por exemplo, as baterias – pode variar quando o produto está em modo de baixo consumo ou desligado. Os dados que não sejam substancialmente alterados, ou seja, dados em bruto – também designados por dados de origem ou primários – que se referem a pontos de informação gerados automaticamente sem qualquer outra forma de tratamento, e dados que foram objeto de pré-tratamento no intuito de os tornar compreensíveis e utilizáveis antes do tratamento e análise posteriores estão dentro do âmbito de aplicação do presente regulamento. Esses dados incluem dados recolhidos a partir de um único sensor ou de um grupo conectado de sensores, no intuito de tornar os dados recolhidos compreensíveis para casos de utilização mais amplos, através da determinação de uma quantidade ou qualidade física ou de alterações numa quantidade física, como a temperatura, a pressão, o caudal, o áudio, o pH, o nível de líquido, a posição, a aceleração ou a velocidade. O termo «dados objeto de pré-tratamento» não deverá ser interpretado de modo a impor ao detentor dos dados a obrigação de fazer investimentos substanciais na limpeza e transformação dos dados. Os dados a disponibilizar deverão incluir os metadados pertinentes, nomeadamente o seu contexto básico e carimbo temporal, a fim de tornar os dados utilizáveis, em combinação com outros dados, como os dados separados e classificados com outros pontos de informação que lhes digam respeito, ou reformatados num formato de uso corrente. Tais dados são potencialmente valiosos para o utilizador e apoiam a inovação e o desenvolvimento de serviços digitais e de outros serviços que protegem o ambiente, a saúde e a economia circular, nomeadamente por facilitarem a manutenção e a reparação dos produtos conectados em questão. Em contrapartida, não se deverão considerar abrangidas pelo âmbito de aplicação do presente regulamento as informações inferidas a partir desses dados ou deles derivadas que sejam o resultado de investimentos adicionais na atribuição de valores ou informações a partir dos dados, nomeadamente por meio de algoritmos complexos e exclusivos, incluindo os que façam parte de software abrangido por direitos de propriedade; por conseguinte, essas informações não deverão estar sujeitas à obrigação de o detentor dos dados as disponibilizar a um utilizador ou destinatário dos dados, salvo acordo em contrário entre o utilizador e o detentor dos dados. Esses dados poderão incluir, em especial, informações derivadas por meio da fusão de sensores, que infere ou obtém dados a partir de múltiplos sensores, recolhidas no produto conectado com recurso a algoritmos complexos exclusivos, e que poderão estar sujeitos a direitos de propriedade intelectual.

(16) O presente regulamento permite que os utilizadores de produtos conectados beneficiem de serviços pós-venda, complementares e outros, baseados em dados recolhidos por sensores incorporados nesses produtos, já que a recolha desses dados poderá ter potencial valor para a melhoria do desempenho dos produtos conectados. É importante fazer uma distinção entre, por um lado, os mercados de fornecimento desses produtos conectados equipados com sensores e dos serviços conexos e, por outro, os mercados de software e conteúdos não relacionados com estes, nomeadamente conteúdos de texto, de áudio ou audiovisuais, que muitas vezes são abrangidos por direitos de propriedade intelectual. Consequentemente, os dados gerados por esses produtos equipados com sensores conectados, quando o utilizador grava, transmite, apresenta ou reproduz conteúdos, bem como os conteúdos em si, que estão muitas vezes abrangidos por direitos de propriedade intelectual, nomeadamente para utilização por um serviço em linha, não deverão ser abrangidos pelo presente regulamento. O presente regulamento também não deverá abranger dados que tenham sido obtidos, gerados ou acedidos a partir do produto conectado, ou que tenham sido transmitidos a este, para efeitos de conservação ou outras operações de tratamento em nome de outras partes que não o utilizador, como poderá ser o caso no que respeita a servidores ou infraestruturas de computação em nuvem operados pelos seus proprietários inteiramente em nome de terceiros, nomeadamente para utilização por um serviço em linha.

(17) É necessário estabelecer regras relativas aos produtos conectados a um serviço conexo no momento da aquisição ou locação, de tal maneira que a sua ausência impediria o produto conectado de desempenhar uma ou mais das suas funções, ou que seja posteriormente conectado ao serviço pelo fabricante ou por um terceiro a fim de complementar ou adaptar a funcionalidade do produto conectado. Esses serviços conexos implicam o intercâmbio de dados entre o produto conectado e o prestador de serviços, e deverá considerar-se que estão explicitamente ligados ao funcionamento das funções do produto conectado, designadamente os serviços que, se aplicável, transmitem comandos ao produto conectado que possam ter impacto nas ações ou no comportamento do mesmo. Não deverão ser considerados serviços conexos os serviços que não tenham impacto no funcionamento do produto conectado e que não envolvem a transmissão de dados ou comandos ao produto conectado por parte do prestador de serviços. Esses serviços poderão incluir, por exemplo, serviços complementares de consultoria, de análise ou serviços financeiros, ou a reparação e manutenção regulares. Os serviços conexos poderão ser oferecidos no âmbito do contrato de aquisição ou locação. Os serviços conexos poderão também ser prestados para produtos conectados do mesmo tipo, podendo os utilizadores razoavelmente esperar que sejam prestados, tendo em conta a natureza do produto e declarações públicas feitas pelo vendedor, locador ou outras pessoas, ou em nome dos mesmos, em estádios anteriores da cadeia contratual, nomeadamente pelo fabricante. Esses serviços conexos podem, por sua vez, gerar dados de valor para o utilizador, independentemente das capacidades de recolha de dados do produto conectado com o qual estão interligados. O presente regulamento deverá também aplicar-se a um serviço conexo que não seja prestado pelo próprio vendedor ou locador, mas que seja prestado por um terceiro. Em caso de dúvida sobre se o serviço é prestado no âmbito do contrato de aquisição ou locação o presente regulamento deverá ser aplicável. Nem o fornecimento de energia nem o fornecimento da conectividade deverão ser interpretados como serviços conexos na aceção do presente regulamento.

(18) O utilizador de um produto conectado deverá ser entendido como uma pessoa singular ou coletiva, como é o caso de uma empresa, um consumidor ou um organismo do setor público, que seja o proprietário de um produto conectado ou que tenha recebido determinados direitos temporários, por exemplo por meio de um contrato de locação, para aceder a dados obtidos a partir do produto conectado ou para utilizar esses dados, ou que receba serviços conexos para o produto conectado. Esses direitos de acesso não deverão alterar nem interferir de modo algum com os direitos dos titulares dos dados que possam estar a interagir com um produto conectado ou um serviço conexo em matéria de dados pessoais gerados pelo produto conectado ou durante a prestação do serviço conexo. O utilizador suporta os riscos e usufrui dos benefícios da utilização do produto conectado, devendo também beneficiar do acesso aos dados que esse produto gera. Por conseguinte, o utilizador deverá ter o direito de retirar benefícios dos dados gerados por esse produto conectado e por qualquer serviço conexo. Os proprietários ou locatários deverão também ser considerados utilizadores, inclusive quando várias entidades podem ser consideradas utilizadores. No contexto de múltiplos utilizadores, cada utilizador pode contribuir de forma diferente para a geração de dados e ter interesse em várias formas de utilização, como a gestão de frotas para uma empresa de locação financeira ou soluções de mobilidade para pessoas que utilizem um serviço de partilha de automóveis.

(19) A literacia de dados refere-se às competências, aos conhecimentos e à compreensão que permitem aos utilizadores, consumidores e empresas, em particular as PME abrangidas pelo âmbito de aplicação do presente regulamento, tomar consciência do valor potencial dos dados que gerem, produzem e partilham, e estar motivados para oferecer e facultar o acesso aos seus dados em conformidade com as regras jurídicas pertinentes. A literacia de dados deverá ir além da aprendizagem de ferramentas e tecnologias e ter como objetivo equipar e capacitar cidadãos e empresas de modo a que possam beneficiar de um mercado de dados inclusivo e justo. A disseminação de medidas de literacia de dados e a introdução de medidas de seguimento adequadas poderá contribuir para melhorar as condições de trabalho e, em última análise, sustentar a consolidação e a trajetória de inovação da economia dos dados na União. As autoridades competentes deverão promover instrumentos e adotar medidas com vista a incrementar a literacia de dados dos utilizadores e das entidades abrangidas pelo âmbito de aplicação do presente regulamento, bem como a tomada de consciência dos seus direitos e obrigações ao abrigo do mesmo.

(20) Na prática, nem todos os dados gerados por produtos conectados ou serviços conexos são facilmente acessíveis aos seus utilizadores, e as possibilidades relativas à portabilidade dos dados gerados por produtos conectados à Internet são, muitas vezes, limitadas. Os utilizadores não conseguem obter os dados necessários para recorrer a prestadores de serviços de reparação e outros, e as empresas não conseguem lançar serviços inovadores, convenientes e mais eficientes. Em muitos setores, os fabricantes são capazes de determinar, através do controlo que têm sobre a conceção técnica dos produtos conectados ou dos serviços conexos, quais os dados gerados e a forma de lhes aceder, apesar de não terem qualquer direito legal a esses dados. Por conseguinte, é necessário assegurar que os produtos conectados são concebidos e fabricados, e que os serviços conexos são concebidos e prestados, de modo a que os dados relativos a um produto e os dados relativos a um serviço conexo, nomeadamente os metadados pertinentes necessários para interpretar e utilizar esses dados, incluindo para efeitos de recuperação, utilização ou partilha dos mesmos, sejam sempre acessíveis aos utilizadores de forma fácil e segura, a título gratuito e num formato abrangente, estruturado, de uso corrente e de leitura automática. Os dados relativos a um produto e os dados relativos a um serviço conexo legalmente obtidos por um detentor dos dados ou suscetíveis de por ele serem legalmente obtidos a partir do produto conectado ou serviço conexo, designadamente através da conceção dos produtos conectados, do contrato entre o titular dos dados e o utilizador para a prestação de serviços conexos e dos meios técnicos de acesso aos dados, sem esforço desproporcionado, são designados por «dados prontamente disponíveis». Os dados prontamente disponíveis não incluem os dados gerados pela utilização de um produto conectado cuja conceção não preveja a conservação ou a transmissão desses dados fora do componente em que são gerados ou do produto conectado no seu conjunto. Por conseguinte, o presente regulamento não deverá ser entendido como impondo a obrigação de conservar os dados na unidade de processamento central de um produto conectado. A ausência de tal obrigação não deverá impedir o fabricante ou o detentor dos dados de acordarem voluntariamente com o utilizador a realização dessas adaptações. As obrigações em matéria de conceção previstas no presente regulamento também não prejudicam o princípio da minimização dos dados vertido no artigo 5.^o, n.^o 1, alínea c), do Regulamento (UE) 2016/679, nem deverão ser entendidas como impondo a obrigação de conceber produtos conectados e serviços conexos de modo a que conservem ou por qualquer forma tratem dados pessoais que não os dados pessoais necessários relativamente às finalidades para as quais são tratados. O direito da União ou nacional poderá ser introduzido para definir outras especificidades, como os dados relativos a um produto que deverão ser acessíveis a partir de produtos conectados ou serviços conexos, uma vez que esses dados poderão ser essenciais para o funcionamento, a reparação ou a manutenção eficientes desses produtos conectados ou serviços conexos. Caso as atualizações ou alterações a um produto conectado ou a um serviço conexo, subsequentemente efetuadas pelo fabricante ou por terceiros, levem a que fiquem acessíveis mais dados ou conduzam à restrição dos dados inicialmente acessíveis, tais mudanças deverão ser comunicadas ao utilizador no contexto da atualização ou alteração.

(21) Caso várias pessoas ou entidades sejam consideradas utilizadores, por exemplo, num cenário de copropriedade ou em que um proprietário ou locatário partilhe direitos de acesso ou utilização dos dados, a conceção do produto conectado ou serviço conexo, ou da interface pertinente, deverão permitir que cada utilizador tenha acesso aos dados que gera. A utilização de produtos conectados que geram dados exige normalmente a criação de uma conta de utilizador. Tal conta permite que o utilizador seja identificado pelo titular dos dados, que pode ser o fabricante. Também pode ser utilizado como meio de comunicação e para apresentar e tratar pedidos de acesso a dados. Caso vários fabricantes ou prestadores de serviços conexos tenham vendido ou dado em locação produtos conectados ou prestado serviços conexos agrupados ao mesmo utilizador, esse utilizador deverá dirigir-se a cada uma das partes com as quais tenha celebrado um contrato. Os fabricantes ou projetistas de um produto conectado que seja normalmente utilizado por várias pessoas deverão criar os mecanismos necessários para possibilitar a existência de contas de utilizador separadas para pessoas individuais, se for caso disso, ou para permitir que várias pessoas utilizem a mesma conta de utilizador. As soluções relativas às contas deverão permitir que os utilizadores apaguem as suas contas e os dados com elas relacionados, e poderão permitir que os utilizadores ponham termo ao acesso aos dados, à utilização ou à partilha dos mesmos, ou apresentem pedidos nesse sentido, tendo nomeadamente em conta situações em que a propriedade ou a utilização do produto conectado se altere. O acesso deverá ser concedido ao utilizador com base num mecanismo de pedido simples que garanta a execução automática e que não exija uma análise ou autorização por parte do fabricante ou do detentor dos dados. Tal significa que esses dados só deverão ser disponibilizados caso o utilizador efetivamente deseje ter-lhes acesso. Se a execução automática do pedido de acesso aos dados não for possível, por exemplo através de uma conta de utilizador ou de uma aplicação móvel de acompanhamento fornecida com o produto conectado ou serviço conexo, o fabricante deverá informar o utilizador sobre a forma de aceder aos dados.

(22) Os produtos conectados podem ser concebidos para tornar determinados dados diretamente acessíveis a partir de um armazenamento de dados no dispositivo ou de um servidor remoto ao qual se comuniquem os dados. O acesso ao armazenamento de dados no dispositivo pode realizar-se por meio de redes locais por cabo ou sem fios ligadas a um serviço de comunicações eletrónicas acessível ao público ou a uma rede móvel. O servidor poderá ser a capacidade do servidor local do próprio fabricante ou a capacidade de um terceiro ou de um prestador de serviços de computação em nuvem. Os subcontratantes, na aceção do artigo 4.^o, ponto 8, do Regulamento (UE) 2016/679, não são considerados detentores dos dados. No entanto, eles podem ser especificamente incumbidos, pelo responsável pelo tratamento dos dados na aceção do artigo 24.^o, ponto 7, do referido regulamento, de disponibilizar os dados. Os produtos conectados podem ser concebidos de forma a permitir que o utilizador ou um terceiro trate os dados no produto conectado ou num ambiente informático escolhido pelo utilizador ou pelo terceiro.

(23) Os assistentes virtuais desempenham um papel cada vez mais importante na digitalização dos ambientes de consumo e dos ambientes profissionais e funcionam como uma interface de fácil utilização para reproduzir conteúdos, obter informações ou ativar produtos conectados à Internet. Podem funcionar como um portal único, por exemplo, num ambiente doméstico inteligente e registar quantidades significativas de dados pertinentes sobre a forma como os utilizadores interagem com os produtos ligados à internet, incluindo os fabricados por outras partes, podendo também substituir a utilização de interfaces fornecidas pelos fabricantes, como ecrãs táteis ou aplicações para telemóveis inteligentes. O utilizador pode querer disponibilizar esses dados a fabricantes terceiros e permitir novos serviços inteligentes. Os assistentes virtuais deverão ser abrangidos pelos direitos de acesso aos dados previstos no presente regulamento. Os dados gerados quando um utilizador interage com um produto conectado através de um assistente virtual fornecido por uma entidade que não o fabricante do produto conectado deverão igualmente ser abrangidos pelos direitos de acesso aos dados previstos no presente regulamento. No entanto, apenas os dados resultantes da interação entre o utilizador e um produto conectado ou serviço conexo através do assistente virtual deverão estar abrangidos pelo presente regulamento. Os dados produzidos pelo assistente virtual não relacionados com a utilização de um produto conectado ou serviço conexo não estão abrangidos pelo presente regulamento.

(24) Antes da celebração de um contrato destinado à aquisição ou locação de um produto conectado, o vendedor ou locador, que poderá ser o fabricante, deverá facultar ao utilizador, de uma forma clara e compreensível, informação sobre os dados relativos a um produto que o produto conectado é capaz de gerar, incluindo o tipo, o formato e o volume estimado desses dados. Tal pode incluir informações sobre as estruturas de dados, os formatos dos dados, os vocabulários, os sistemas de classificação, as taxonomias e as listas de códigos, se disponíveis, bem como informações claras e suficientes que sejam pertinentes para o exercício dos direitos do utilizador sobre a forma de conservar, recuperar ou aceder aos dados, incluindo as condições de utilização e a qualidade do serviço das interfaces de programação de aplicações ou, se aplicável, a disponibilização de conjuntos de desenvolvimento de software. Essa obrigação proporciona transparência quanto à geração de dados relativos a um produto e reforça a facilidade de acesso do utilizador. A obrigação de facultar informações poderá ser cumprida, por exemplo, mantendo um localizador uniforme de recursos (endereço URL) estável na Web, o qual poderá ser distribuído como uma hiperligação Web ou um código QR que conduza às informações pertinentes e que poderá ser fornecido pelo vendedor ou locador, que pode ser o fabricante, ao utilizador antes da celebração do contrato de aquisição ou locação de um produto conectado. Em todo o caso, é necessário que o utilizador possa conservar as informações de uma forma acessível para consulta futura e que permita a reprodução inalterada das informações conservadas. Não é expectável que o detentor dos dados os conserve por tempo indeterminado para dar resposta às necessidades do utilizador do produto conectado; no entanto, deverá aplicar uma política de conservação de dados razoável, se for caso disso, em conformidade com o princípio da limitação da conservação nos termos do artigo 5.^o, n.^o 1, alínea e), do Regulamento (UE) 2016/679, que permita a aplicação efetiva dos direitos de acesso aos dados previstos no presente regulamento. A obrigação de facultar informações não afeta a obrigação de o responsável prestar informações ao titular dos dados nos termos dos artigos 12.^o, 13.^o e 14.^o do Regulamento (UE) 2016/679. A obrigação de facultar informações antes da celebração de um contrato para a prestação de um serviço conexo deverá caber ao detentor prospetivo dos dados, independentemente de o detentor dos dados celebrar um contrato destinado à aquisição ou à locação de um produto conectado. Sempre que as informações mudem durante o tempo de vida do produto conectado ou durante o período de vigência do contrato para o serviço conexo, nomeadamente quando a finalidade da utilização desses dados se alterar em relação à finalidade inicialmente especificada, essas informações deverão também ser facultadas ao utilizador.

(25) O presente regulamento não deverá ser entendido como conferindo aos detentores dos dados qualquer novo direito de utilizar os dados relativos a um produto ou os relativos a um serviço conexo. Se o fabricante de um produto conectado for um detentor dos dados, o fundamento para o fabricante utilizar dados não pessoais deverá ser um contrato entre o fabricante e o utilizador. Esse contrato poderá fazer parte de um acordo de prestação do serviço conexo, que poderá ser celebrado juntamente com o acordo de aquisição ou locação relativo ao produto conectado. Qualquer cláusula contratual que estipule que o detentor dos dados pode utilizar os dados relativos a um produto ou os relativos a um serviço conexo deverá ser transparente para o utilizador, nomeadamente no que respeita às finalidades para as quais o detentor dos dados tenciona utilizá-los. Essas finalidades podem incluir a melhoria do funcionamento do produto conectado ou dos serviços conexos, o desenvolvimento de novos produtos ou serviços, ou a agregação de dados com o objetivo de disponibilizar a terceiros os dados derivados resultantes, desde que esses dados derivados não permitam a identificação de dados específicos transmitidos ao detentor dos dados a partir do produto conectado e não permitam que um terceiro derive esses dados a partir do conjunto de dados. Quaisquer alterações do contrato deverão estar sujeitas ao acordo informado do utilizador. O presente regulamento não impede as partes de imporem cláusulas contratuais que tenham por efeito excluir ou limitar a utilização dos dados não pessoais, ou de determinadas categorias de dados não pessoais, por um detentor dos dados. Também não impede as partes de acordarem em disponibilizar os dados relativos a um produto ou os relativos a um serviço conexo, quer direta quer indiretamente, a terceiros, nomeadamente, quando aplicável, por intermédio de outro detentor dos dados. Além disso, o presente regulamento não deverá impedir o estabelecimento de requisitos regulamentares setoriais ao abrigo do direito da União, ou do direito nacional compatível com o direito da União, que excluam ou limitem a utilização de determinados dados pelo detentor dos dados por razões de ordem pública bem definidas. O presente regulamento não impede que, no âmbito das relações entre empresas, os utilizadores disponibilizem dados a terceiros ou a detentores dos dados ao abrigo de condições contratuais lícitas, o que inclui chegarem a acordo no sentido de limitar ou restringir a partilha ulterior desses dados, ou que sejam compensados de forma proporcionada, por exemplo, pela sua renúncia ao direito de utilizarem ou partilharem esses dados. Embora, de um modo geral, o conceito de «detentor dos dados» não inclua os organismos do setor público, poderá incluir empresas públicas.

(26) Para fomentar o surgimento de mercados líquidos, equitativos e eficientes de dados não pessoais, os utilizadores de produtos conectados deverão poder partilhar dados com terceiros, incluindo para fins comerciais, sem terem de envidar grandes esforços jurídicos ou técnicos. Atualmente, para as empresas é muitas vezes difícil justificar os custos de computação ou os custos de pessoal inerentes à preparação de conjuntos de dados não pessoais ou de produtos de dados, bem como oferecê-los a potenciais contrapartes através de serviços de intermediação de dados, incluindo mercados de dados. Por conseguinte, a falta de previsibilidade dos benefícios económicos associados ao investimento na curadoria e disponibilização de conjuntos de dados ou produtos de dados representa um obstáculo considerável à partilha de dados não pessoais pelas empresas. A fim de possibilitar o surgimento, na União, de mercados líquidos, equitativos e eficientes de dados não pessoais, importa esclarecer que parte é que tem o direito de oferecer tais dados num mercado de dados. Por conseguinte, os utilizadores deverão ter o direito de partilhar dados não pessoais com destinatários dos dados para fins comerciais e não comerciais. Essa partilha de dados poderá ser efetuada ou diretamente pelo utilizador, ou, mediante pedido do utilizador, por intermédio de um detentor dos dados, ou através de serviços de intermediação de dados. Os serviços de intermediação de dados, regulados pelo Regulamento (UE) 2022/868 do Parlamento Europeu e do Conselho, poderão contribuir para uma economia dos dados, ao criarem relações comerciais entre os utilizadores, os destinatários dos dados e terceiros, e poderão ajudar os utilizadores no exercício do seu direito à utilização dos dados, designadamente através da garantia da anonimização dos dados pessoais ou da agregação do acesso aos dados por parte de vários utilizadores individuais. Sempre que os dados não estejam abrangidos pela obrigação do detentor dos dados de os disponibilizar a utilizadores ou a terceiros, o âmbito desses dados poderá ser especificado no contrato celebrado entre o utilizador e o detentor dos dados para a prestação de um serviço conexo, de forma a que os utilizadores possam determinar facilmente quais os dados cuja partilha com destinatários dos dados ou com terceiros está disponível. Os detentores dos dados não deverão disponibilizar a terceiros dados não pessoais relativos a um produto para fins, comerciais ou não comerciais, que não o cumprimento do seu contrato com o utilizador, sem prejuízo dos requisitos legais, nos termos do direito da União ou do direito nacional, de disponibilização de dados por parte dos detentores dos dados. Se pertinente, os detentores dos dados deverão vincular contratualmente terceiros a não partilhar os dados de si recebidos.

(27) Nos setores que se caracterizam pela concentração de um pequeno número de fabricantes que fornecem produtos conectados a utilizadores finais, os utilizadores poderão dispor apenas de opções limitadas de acesso aos dados e de utilização e partilha dos mesmos. Nessas circunstâncias, os contratos poderão ser insuficientes para atingir o objetivo de capacitação dos utilizadores, tornando difícil que os utilizadores obtenham valor a partir dos dados gerados pelos produtos conectados que adquirem ou de que são locatários. Consequentemente, o potencial para as pequenas empresas inovadoras oferecerem soluções baseadas em dados de forma competitiva e para uma economia de dados diversificada na União é limitado. Por conseguinte, o presente regulamento deverá basear-se na evolução recente em setores específicos, como o Código de Conduta sobre a partilha de dados agrícolas através de um contrato. Podem ser adotadas disposições de direito da União ou nacional para dar resposta a necessidades e objetivos setoriais específicos. Além disso, os detentores dos dados não deverão utilizar quaisquer dados prontamente disponíveis que sejam dados não pessoais para obter informações sobre a situação económica do utilizador, os seus ativos ou métodos de produção, nem utilizar dados sobre uma utilização por parte do utilizador de qualquer forma que possa prejudicar a posição comercial desse utilizador nos mercados em que tem atividade. Tal poderia incluir a utilização de conhecimentos sobre o desempenho global de uma empresa ou de uma exploração agrícola em negociações contratuais com o utilizador sobre a potencial aquisição dos produtos ou produtos agrícolas do utilizador em detrimento do mesmo, ou a utilização dessa informação para alimentar bases de dados maiores em certos mercados no agregado, por exemplo, bases de dados sobre os rendimentos das colheitas para a época de colheita seguinte, uma vez que tal utilização poderia afetar negativamente o utilizador de uma forma indireta. O utilizador deverá dispor da interface técnica necessária para gerir as autorizações, de preferência com opções de autorização granulares como «permitir uma vez» ou «permitir durante a utilização desta aplicação ou serviço», incluindo a opção de retirar as autorizações.

(28) Nos contratos entre um detentor dos dados e um consumidor na qualidade de utilizador de um produto conectado ou serviço conexo que gera dados, é aplicável o direito da União em matéria de defesa do consumidor, nomeadamente as Diretivas 93/13/CEE e 2005/29/CE, a fim de garantir que o consumidor não está sujeito a cláusulas contratuais abusivas. Para efeitos do presente regulamento, cláusulas contratuais abusivas impostas unilateralmente a uma empresa não deverão ser vinculativas para essa empresa.

(29) Os detentores dos dados poderão exigir que o utilizador se identifique de forma adequada para verificar o seu direito de acesso aos dados. No caso de dados pessoais tratados por um subcontratante em nome do responsável pelo tratamento, os detentores dos dados deverão assegurar que o pedido de acesso é recebido e tratado pelo subcontratante.

(30) O utilizador deverá ser livre de utilizar os dados para qualquer finalidade lícita, o que inclui o fornecimento dos dados que o utilizador recebeu, no exercício dos seus direitos nos termos do presente regulamento, a um terceiro que preste um serviço pós-venda que possa estar em concorrência com um serviço prestado por um detentor dos dados, ou dar instruções ao detentor dos dados para o fazer. O pedido deverá ser apresentado pelo utilizador ou por um terceiro autorizado que atue em nome deste, incluindo um prestador do serviço de intermediação de dados. Os detentores dos dados deverão assegurar que os dados disponibilizados ao terceiro são tão exatos, completos, fiáveis, pertinentes e atualizados como os dados aos quais o próprio detentor pode ou tem direito a aceder a partir da utilização do produto conectado ou serviço conexo. O manuseamento dos dados deverá respeitar os direitos de propriedade intelectual. É importante preservar os incentivos ao investimento em produtos com funcionalidades baseadas na utilização de dados provenientes de sensores incorporados nesses produtos.

(31) A Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho prevê que a aquisição, utilização ou divulgação de um segredo comercial é considerada legal, nomeadamente caso tal aquisição, utilização ou divulgação seja imposta ou permitida pelo direito da União ou pelo direito nacional. Embora o presente regulamento exija que os detentores dos dados divulguem determinados dados aos utilizadores, ou a terceiros escolhidos por um utilizador, mesmo se esses dados forem suscetíveis de ser protegidos como segredos comerciais, o mesmo deverá ser interpretado de forma a preservar a proteção concedida aos segredos comerciais nos termos da Diretiva (UE) 2016/943. Neste contexto, os detentores dos dados deverão poder solicitar aos utilizadores, ou a terceiros à escolha de um utilizador, que preservem a confidencialidade dos dados considerados como segredos comerciais. Para o efeito, os detentores dos dados deverão identificar os segredos comerciais antes da divulgação e deverão ter a possibilidade de chegar a acordo com os utilizadores, ou com terceiros escolhidos por um utilizador, sobre medidas necessárias para preservar a sua confidencialidade, nomeadamente utilizando modelos de cláusulas contratuais, acordos de confidencialidade, protocolos de acesso rigorosos, normas técnicas e a aplicação de códigos de conduta. Para além da utilização de modelos de cláusulas contratuais a desenvolver e a recomendar pela Comissão, o estabelecimento de códigos de conduta e de normas técnicas relacionados com a proteção dos segredos comerciais no tratamento dos dados poderá contribuir para a realização do objetivo do presente regulamento e deverá ser incentivado. Nos casos em que não haja acordo sobre as medidas necessárias ou em que o utilizador, ou os terceiros escolhidos pelo utilizador, não apliquem as medidas acordadas ou comprometam a confidencialidade dos segredos comerciais, o detentor dos dados deverá poder suster ou suspender a partilha dos dados identificados como segredos comerciais. Nesses casos, o detentor dos dados deverá fornecer a decisão por escrito ao utilizador ou ao terceiro e notificar sem demora injustificada a autoridade competente do Estado-Membro em que está estabelecido o detentor dos dados de que susteve ou suspendeu a partilha de dados, e deverá identificar as medidas que não foram acordadas ou aplicadas e, se pertinente, os segredos comerciais cuja confidencialidade foi comprometida. Os detentores dos dados não poderão, em princípio, recusar um pedido de acesso a dados ao abrigo do presente regulamento apenas com base na alegação de que determinados dados são considerados segredos comerciais, uma vez que tal condicionaria os efeitos pretendidos pelo presente regulamento. No entanto, em circunstâncias excecionais, um detentor dos dados que seja titular de um segredo comercial deverá poder, numa base casuística, recusar um pedido para os específicos dados em causa se conseguir demonstrar ao utilizador ou aos terceiros que, não obstante as medidas técnicas e organizativas adotadas pelo utilizador ou pelo terceiro, é altamente provável que resultem prejuízos económicos graves da divulgação desse segredo comercial. Os prejuízos económicos graves implicam que haja perdas económicas graves e irreparáveis. O detentor dos dados deverá fundamentar devidamente a sua recusa por escrito, sem demora injustificada, junto do utilizador ou do terceiro, e deverá notificar a autoridade competente. A referida fundamentação deverá basear-se em elementos objetivos que demonstrem o risco concreto de prejuízos económicos graves suscetíveis de resultar de uma divulgação de dados específica, bem como os motivos por que se considera que as medidas tomadas para salvaguardar os dados solicitados não são suficientes. Nesse contexto, poderá ser tido em conta um eventual impacto negativo na cibersegurança. Sem prejuízo do direito de obter reparação perante um órgão jurisdicional de um Estado-Membro, se um utilizador ou um terceiro pretender contestar a decisão do detentor dos dados de recusar ou de suster ou suspender a partilha de dados, o utilizador ou o terceiro poderá apresentar uma reclamação à autoridade competente, que deverá decidir, sem demora injustificada, se a partilha de dados deverá iniciar-se ou ser retomada e em que condições, ou poderá acordar com o detentor dos dados em submeter a questão à apreciação de um organismo de resolução de litígios. As exceções aos direitos de acesso aos dados previstas no presente regulamento não deverão limitar, em caso algum, o direito de acesso e direito à portabilidade dos dados dos titulares dos dados nos termos do Regulamento (UE) 2016/679.

(32) O objetivo do presente regulamento não consiste apenas em promover o desenvolvimento de produtos conectados ou de serviços conexos novos e inovadores e em estimular a inovação nos mercados pós-venda, mas também em estimular o desenvolvimento de serviços inteiramente novos que utilizem os dados em causa, nomeadamente com base em dados provenientes de vários produtos conectados ou serviços conexos. Ao mesmo tempo, o presente regulamento pretende evitar comprometer os incentivos ao investimento para o tipo de produto conectado a partir do qual os dados são obtidos, por exemplo, através da utilização de dados para o desenvolvimento de um produto conectado concorrente que os utilizadores considerem permutável ou substituível, em especial com base nas características, no preço e na utilização pretendida do produto conectado. O presente regulamento não prevê a proibição do desenvolvimento de um serviço conexo que utilize dados obtidos ao abrigo do mesmo regulamento, uma vez que tal teria um efeito dissuasor indesejável na inovação. A proibição da utilização dos dados a que se tenha acedido ao abrigo do presente regulamento para desenvolver um produto conectado concorrente protege os esforços de inovação dos detentores dos dados. A possibilidade de um produto conectado concorrer com o produto conectado de origem dos dados depende do facto de os dois produtos conectados estarem em concorrência no mesmo mercado de produto. Esta situação deverá ser determinada com base nos princípios estabelecidos no direito da concorrência da União para definir o mercado de produto pertinente. No entanto, as finalidades lícitas para a utilização dos dados poderão incluir a engenharia inversa, desde que cumpra os requisitos previstos no presente regulamento e no direito da União ou no direito nacional. Poderá ser este o caso quando se trate da reparação ou do prolongamento do tempo de vida de um produto conectado ou da prestação de serviços pós-venda para produtos conectados.

(33) Um terceiro a quem sejam disponibilizados dados poderá ser uma pessoa singular ou coletiva, como um consumidor, uma empresa, um organismo de investigação, uma organização sem fins lucrativos ou uma entidade que atue a título profissional. Ao disponibilizar os dados a terceiros, os detentores dos dados não deverão abusar da sua posição para procurar obter uma vantagem concorrencial nos mercados em que o detentor dos dados e o terceiro possam estar em concorrência direta. Por conseguinte, o detentor dos dados não deverá utilizar quaisquer dados prontamente disponíveis para obter informações sobre a situação económica do terceiro ou dos seus ativos ou métodos de produção, ou sobre a utilização de qualquer outra forma que possa prejudicar a posição comercial do terceiro nos mercados em que tem atividade. O utilizador deverá ter a possibilidade de partilhar dados não pessoais com terceiros para fins comerciais. Mediante acordo com o utilizador, e sob reserva do disposto no presente regulamento, os terceiros deverão poder transferir para outros terceiros os direitos de acesso aos dados concedidos pelo utilizador, incluindo em troca de uma compensação. Os intermediários de dados entre empresas e os sistemas de gestão de informações pessoais (SGIP), referidos como serviços de intermediação de dados no Regulamento (UE) 2022/868, poderão apoiar os utilizadores ou os terceiros no estabelecimento de relações comerciais com um número indeterminado de potenciais contrapartes para quaisquer finalidades lícitas abrangidas pelo âmbito de aplicação do presente regulamento. Esses serviços poderão desempenhar um papel vital na agregação do acesso aos dados, de modo a facilitar as análises de megadados ou a aprendizagem automática, desde que os utilizadores mantenham total controlo sobre a decisão de disponibilizar os seus dados para essa agregação, bem como sobre os termos comerciais ao abrigo dos quais os seus dados deverão ser utilizados.

(34) A utilização de um produto conectado ou serviço conexo poderá gerar dados relativos ao titular dos dados, especialmente quando o utilizador é uma pessoa singular. O tratamento desses dados está sujeito às regras estabelecidas no Regulamento (UE) 2016/679, nomeadamente quando os dados pessoais e não pessoais de um conjunto de dados estejam indissociavelmente ligados. O titular dos dados poderá ser o utilizador ou outra pessoa singular. Os dados pessoais só poderão ser solicitados por um responsável pelo tratamento ou por um titular dos dados. Um utilizador que seja o titular dos dados tem direito, em determinadas circunstâncias, nos termos do Regulamento (UE) 2016/679, a aceder aos dados pessoais que digam respeito a esse utilizador, não sendo esse direito afetado pelo presente regulamento. Nos termos do presente regulamento, o utilizador que seja uma pessoa singular tem ainda o direito de aceder a todos os dados, pessoais e não pessoais, gerados pela utilização de um produto conectado. Se o utilizador não for o titular dos dados, mas uma empresa, incluindo um comerciante individual, mas não no caso de utilização doméstica conjunta do produto conectado, o utilizador deverá ser considerado responsável pelo tratamento. Por conseguinte, um utilizador que, na qualidade de responsável pelo tratamento, pretenda solicitar dados pessoais gerados pela utilização de um produto conectado ou serviço conexo deverá ter um fundamento jurídico para o tratamento dos dados, conforme exigido pelo artigo 6.^o, n.^o 1, do Regulamento (UE) 2016/679, como o consentimento do titular dos dados ou a execução de um contrato no qual o titular dos dados seja parte. Esse utilizador deverá assegurar que o titular dos dados seja devidamente informado das finalidades específicas, explícitas e legítimas do tratamento desses dados e da forma como o titular dos dados poderá exercer efetivamente os seus direitos. Caso o detentor dos dados e o utilizador sejam responsáveis conjuntos pelo tratamento na aceção do artigo 26.^o do Regulamento (UE) 2016/679, deverão determinar, de um modo transparente, por meio de um acordo entre si, as respetivas responsabilidades pelo cumprimento do referido regulamento. Deverá entender-se que esse utilizador, depois da disponibilização dos dados, poderá, por sua vez, tornar-se detentor dos dados, se o mesmo satisfizer os critérios do presente regulamento e, assim, ficar sujeito às obrigações de disponibilização de dados nos termos do presente regulamento.

(35) Os dados relativos a um produto ou os dados relativos a um serviço conexo só deverão ser disponibilizados a terceiros mediante pedido do utilizador. O presente regulamento complementa, em conformidade, o direito, previsto no artigo 20.^o do Regulamento (UE) 2016/679, de os titulares dos dados receberem os dados pessoais que lhes digam respeito num formato estruturado, de uso corrente e de leitura automática, bem como de os transferirem para outro responsável pelo tratamento, se esses dados forem tratados por meios automatizados com base no artigo 6.^o, n.^o 1, alínea a), ou no artigo 9.^o, n.^o 2, alínea a), ou num contrato nos termos do artigo 6.^o, n.^o 1, alínea b) desse regulamento. Os titulares dos dados têm igualmente direito a que os dados pessoais sejam transmitidos diretamente entre os responsáveis pelo tratamento, mas unicamente se tal for tecnicamente viável. O artigo 20.^o do Regulamento (UE) 2016/679 especifica que diz respeito aos dados fornecidos pelo titular, mas não especifica se tal exige um comportamento ativo por parte do titular dos dados ou se também é aplicável a situações em que um produto conectado ou serviço conexo, pela sua conceção, regista de forma passiva o comportamento de um titular dos dados ou outras informações relativas a um titular dos dados. O direito previsto no presente regulamento complementa, de várias formas, o direito de receber e transferir dados pessoais ao abrigo do artigo 20.^o do Regulamento (UE) 2016/679. O presente regulamento concede aos utilizadores o direito de acesso e disponibilização a terceiros de quaisquer dados relativos a um produto ou dados relativos a um serviço conexo, independentemente da sua natureza enquanto dados pessoais, da distinção entre dados fornecidos ativamente ou registados de forma passiva e independentemente do fundamento jurídico do tratamento. Ao contrário do disposto no artigo 20.^o do Regulamento (UE) 2016/679, o presente regulamento impõe e garante a viabilidade técnica do acesso de terceiros a todos os tipos de dados abrangidos pelo seu âmbito, sejam dados pessoais ou não, garantindo assim que os obstáculos técnicos deixam de dificultar ou impedir o acesso a esses dados. Possibilita igualmente aos detentores dos dados fixar uma compensação razoável a suportar por terceiros, mas não pelo utilizador, pelos custos incorridos com a disponibilização de acesso direto aos dados gerados pelo produto conectado do utilizador. Se um detentor dos dados e um terceiro não conseguirem chegar a acordo sobre as condições desse acesso direto, o titular dos dados não deverá, de modo algum, ser impedido de exercer os direitos previstos no Regulamento (UE) 2016/679, incluindo o direito à portabilidade dos dados, através de vias de recurso nos termos do referido regulamento. Neste contexto, deve entender-se que, em conformidade com o Regulamento (UE) 2016/679, um contrato não permite o tratamento de categorias especiais de dados pessoais pelo detentor dos dados ou pelo terceiro.

(36) O acesso aos dados armazenados em equipamentos terminais, e acedidos a partir dos mesmos, está sujeito ao disposto na Diretiva 2002/58/CE e requer o consentimento do assinante ou utilizador, na aceção da referida diretiva, a menos que seja estritamente necessário para a prestação de um serviço da sociedade da informação explicitamente solicitado pelo utilizador ou pelo assinante ou exclusivamente para efeitos de transmissão de uma comunicação. A Diretiva 2002/58/CE protege a integridade do equipamento terminal de um utilizador relativamente à utilização das capacidades de tratamento e armazenamento e à recolha de informações. Os equipamentos da Internet das coisas são considerados equipamentos terminais se estiverem direta ou indiretamente ligados a uma rede pública de comunicações.

(37) A fim de impedir a exploração dos utilizadores, os terceiros a quem os dados tenham sido disponibilizados mediante pedido do utilizador só deverão proceder ao tratamento desses dados para os fins acordados com o utilizador, e só deverão partilhá-los com outro terceiro com o acordo do utilizador em relação a essa partilha de dados.

(38) Em consonância com o princípio da minimização dos dados, os terceiros só deverão ter acesso às informações necessárias para a prestação do serviço solicitado pelo utilizador. Tendo obtido acesso aos dados, o terceiro deverá proceder ao seu tratamento para as finalidades acordadas com o utilizador sem interferência do detentor dos dados. Para o utilizador, deverá ser tão fácil recusar ou interromper o acesso aos dados por parte do terceiro como autorizar o acesso. Nem os terceiros nem os detentores dos dados poderão dificultar excessivamente o exercício das escolhas ou dos direitos dos utilizadores, nomeadamente oferecendo escolhas aos utilizadores de forma não neutra, ou ao coagir, enganar ou manipular o utilizador, ou ao condicionar ou prejudicar a autonomia, a tomada de decisões ou as escolhas do utilizador, inclusive por meio de uma interface digital com o utilizador, ou parte dela. Nesse contexto, os terceiros ou detentores dos dados não deverão recorrer aos chamados «padrões obscuros» para a conceção das suas interfaces digitais. Os padrões obscuros consistem em técnicas de conceção que enganam ou induzem os consumidores em decisões que acarretam consequências negativas para os mesmos. Essas técnicas manipuladoras podem ser utilizadas para persuadir os utilizadores, em especial os consumidores vulneráveis, a adotar comportamentos indesejados, enganar os utilizadores incentivando-os a tomar decisões sobre operações de divulgação de dados ou distorcer indevidamente a tomada de decisões dos utilizadores do serviço, de uma forma que condiciona ou prejudica a sua autonomia, a tomada de decisões e a escolha. As práticas comerciais comuns e legítimas que cumprem o direito da União não deverão, por si só, ser consideradas padrões obscuros. Os terceiros e os detentores dos dados deverão cumprir as obrigações que lhes incumbem por força do direito da União aplicável, em especial os requisitos previstos nas Diretivas 98/6/CE e 2000/31/CE do Parlamento Europeu e do Conselho e nas Diretivas 2005/29/CE e 2011/83/UE.

(39) Os terceiros deverão igualmente abster-se de utilizar os dados abrangidos pelo âmbito de aplicação do presente regulamento para traçar o perfil de pessoas, a menos que essas atividades de tratamento sejam estritamente necessárias para a prestação do serviço solicitado pelo utilizador, inclusive no contexto de tomadas de decisões automatizadas. O requisito de apagar os dados que já não sejam necessários para a finalidade acordada com o utilizador, salvo acordo em contrário relativamente aos dados não pessoais, complementa o direito do titular dos dados ao apagamento, nos termos do artigo 17.^o do Regulamento (UE) 2016/679. Caso um terceiro seja prestador de um serviço de intermediação de dados, são aplicáveis as salvaguardas em relação ao titular dos dados previstas no Regulamento (UE) 2022/868. O terceiro pode utilizar os dados para desenvolver um produto conectado ou um serviço conexo novo e inovador, mas não para desenvolver um produto conectado concorrente.

(40) As empresas em fase de arranque, as pequenas empresas, as empresas consideradas médias empresas nos termos do artigo 2.^o do anexo da Recomendação 2003/361/CE e as empresas dos setores tradicionais com capacidades digitais menos desenvolvidas têm dificuldade em obter acesso a dados pertinentes. O presente regulamento visa facilitar o acesso dessas entidades aos dados, assegurando simultaneamente que as obrigações que lhes correspondem sejam o mais proporcionadas possível, a fim de evitar o excesso de regulamentação. Ao mesmo tempo, surgiu um pequeno número de empresas de muito grande dimensão com um poder económico considerável na economia digital através da acumulação e da agregação de grandes volumes de dados e da infraestrutura tecnológica para os monetizar. Incluem-se nestas empresas de muito grande dimensão as que prestam serviços essenciais de plataforma que controlam ecossistemas de plataforma completos na economia digital, e que os operadores de mercado, existentes ou novos, são incapazes de desafiar ou contestar. O Regulamento (UE) 2022/1925 do Parlamento Europeu e do Conselho visa corrigir estas ineficiências e desequilíbrios, conferindo à Comissão o poder de designar uma empresa na qualidade de «controlador de acesso», e impõe uma série de obrigações aos controladores de acesso assim designados, incluindo a proibição de combinar determinados dados sem consentimento e a obrigação de assegurar direitos efetivos de portabilidade dos dados nos termos do artigo 20.^o do Regulamento (UE) 2016/679. Em conformidade com o Regulamento (UE) 2022/1925, e tendo em conta a capacidade indisputada dessas empresas para a obtenção de dados, a inclusão desses controladores de acesso como beneficiários do direito de acesso aos dados não seria necessária para alcançar o objetivo do presente regulamento e, por conseguinte, seria desproporcionada para os detentores dos dados sujeitos a essas obrigações. É igualmente provável que essa inclusão limitasse os benefícios do presente regulamento para as PME, que estão associados à equidade da distribuição do valor dos dados entre os diversos intervenientes no mercado. Tal significa que uma empresa que preste serviços essenciais de plataforma e que tenha sido designada como controladora de acesso não poderá solicitar nem obter acesso aos dados dos utilizadores gerados pela utilização de um produto conectado ou serviço conexo ou por um assistente virtual nos termos do presente regulamento. Além disso, os terceiros a quem se disponibilizam dados a pedido do utilizador não poderão disponibilizar os dados a um controlador de acesso. Por exemplo, o terceiro não poderá subcontratar a prestação de serviços a um controlador de acesso. Contudo, isso não impede que os terceiros utilizem serviços de tratamento de dados prestados por um controlador de acesso. De igual modo, tal não deverá impedir essas empresas de obterem e utilizarem os mesmos dados por outros meios lícitos. Os direitos de acesso previstos no presente regulamento contribuem para uma escolha mais alargada de serviços para os consumidores. Uma vez que os acordos voluntários entre controladores de acesso e detentores dos dados não são afetados, a limitação da concessão de acesso aos controladores de acesso não os excluiria do mercado nem os impediria de oferecer os seus serviços.

(41) Tendo em conta o estado atual da tecnologia, seria demasiado oneroso impor a microempresas e pequenas empresas novas obrigações de conceção relativamente aos produtos conectados por si fabricados ou concebidos, ou aos serviços conexos por elas prestados. Todavia, tal não é o caso quando uma microempresa ou pequena empresa tem uma empresa parceira ou associada, na aceção do artigo 3.^o do anexo da Recomendação 2003/361/CE, que não seja considerada microempresa ou pequena empresa, e quando é subcontratada para fabricar ou conceber um produto conectado ou prestar um serviço conexo. Nessas situações, a empresa que subcontratou o fabrico ou a conceção a uma microempresa ou pequena empresa está em condições de compensar adequadamente o subcontratante. Ainda assim, uma microempresa ou pequena empresa poderá estar sujeita aos requisitos estabelecidos no presente regulamento na qualidade de detentor dos dados, caso não seja o fabricante do produto conectado nem um prestador de serviços conexos. Deverá aplicar-se um período de transição às empresas que tenham sido consideradas médias empresas durante menos de um ano e aos produtos conectados durante um ano após a data em que tenham sido colocados no mercado por empresas médias. Esse período, de um ano, permite a essas empresas médias adaptarem-se e prepararem-se antes de enfrentarem a concorrência no mercado de serviços para os produtos conectados que essas empresas produzem, que se baseie nos direitos de acesso previstos no presente regulamento. O referido período de transição não se aplica quando uma empresa média tem empresas parceiras ou associadas que não sejam consideradas microempresas ou pequenas empresas ou quando essa empresa média não foi subcontratada para fabricar ou conceber um produto conectado ou prestar um serviço conexo.

(42) Tendo em conta a multiplicidade de produtos conectados produzindo dados de natureza, volume e frequência diferentes, apresentando níveis diferentes de dados e de riscos de cibersegurança e proporcionando oportunidades económicas de valor diferente, e a fim de assegurar a coerência das práticas de partilha de dados no mercado interno, nomeadamente entre setores, e de incentivar e promover práticas equitativas de partilha de dados, mesmo em domínios em que esse direito de acesso aos dados não está previsto, o presente regulamento prevê regras horizontais sobre as disposições de acesso aos dados sempre que um detentor dos dados seja obrigado pelo direito da União ou pela legislação nacional adotada em conformidade com o direito da União a disponibilizar os dados a um destinatário dos dados. Esse acesso deverá basear-se em cláusulas e condições justos, razoáveis, não discriminatórias e transparentes. Essas regras gerais de acesso não são aplicáveis às obrigações de disponibilização de dados nos termos do Regulamento (UE) 2016/679. A partilha voluntária de dados não é afetada por essas regras. Os modelos de cláusulas contratuais não vinculativos para a partilha de dados entre empresas, a desenvolver e a recomendar pela Comissão, poderão ajudar as partes a celebrar contratos que incluam cláusulas e condições justas, razoáveis e não discriminatórias e que sejam aplicados de forma transparente. A celebração de contratos que possam incluir cláusulas contratuais de um modelo não vinculativo não deverá implicar que o direito de partilhar dados com terceiros esteja de modo algum sujeito à existência de um contrato desse tipo. Se as partes não conseguirem celebrar um contrato sobre a partilha de dados, inclusive com o apoio de organismos de resolução de litígios, poderão fazer valer perante os órgãos jurisdicionais nacionais o direito de partilhar dados com terceiros.

(43) Com base no princípio da liberdade contratual, as partes deverão continuar a ser livres de negociar nos seus contratos as condições exatas para a disponibilização dos dados, no quadro das regras gerais de acesso para a disponibilização dos dados. As cláusulas desses contratos poderão incluir medidas técnicas e organizativas, nomeadamente no que toca à segurança dos dados.

(44) A fim de assegurar que as condições de acesso obrigatório aos dados sejam equitativas para ambas as partes num contrato, as regras gerais em matéria de direitos de acesso aos dados deverão referir-se à regra destinada a evitar cláusulas contratuais abusivas.

(45) Os acordos celebrados no âmbito de relações entre empresas com vista à disponibilização de dados não deverão ser discriminatórios em relação a categorias comparáveis de destinatários dos dados, independentemente de as partes serem grandes empresas ou PME. A fim de compensar a ausência de informações sobre as condições constantes de diferentes contratos, o que torna difícil para o destinatário dos dados avaliar se as condições de disponibilização dos dados são não discriminatórias, os detentores dos dados deverão ser responsáveis por demonstrar que uma cláusula contratual não é discriminatória. Não constitui discriminação ilícita o facto de um detentor dos dados utilizar diferentes cláusulas contratuais para disponibilizar dados, desde que essas diferenças sejam justificadas por razões objetivas. Essas obrigações são aplicáveis sem prejuízo do disposto no Regulamento (UE) 2016/679.

(46) A fim de promover a continuação do investimento na geração e na disponibilização de dados valiosos, incluindo investimentos em ferramentas técnicas pertinentes, evitando simultaneamente encargos excessivos relacionados com o acesso aos dados e com a sua utilização que levem a que a partilha de dados deixe de ser comercialmente viável, o presente regulamento contém o princípio de que, no âmbito de relações entre empresas, os detentores dos dados podem solicitar uma compensação razoável quando forem obrigados, nos termos do direito da União ou da legislação nacional adotada em conformidade com o direito da União, a disponibilizar os dados a um destinatário dos dados. Essa compensação não deverá ser entendida como um pagamento pelos próprios dados. A Comissão deverá adotar orientações relativas ao cálculo de uma compensação razoável na economia dos dados.

(47) Em primeiro lugar, a compensação razoável por cumprir a obrigação nos termos do direito da União ou da legislação nacional adotada em conformidade com o direito da União de cumprir um pedido de disponibilização de dados poderá incluir uma compensação pelos custos incorridos na disponibilização dos dados. Esses custos poderão ser custos técnicos, como os custos necessários para a reprodução, a difusão por meios eletrónicos e a conservação dos dados, mas não para a sua recolha ou geração. Esses custos técnicos poderão ainda incluir os custos do tratamento necessário para a disponibilização dos dados, incluindo os custos associados à formatação dos dados. Os custos relacionados com a disponibilização dos dados também poderão incluir os custos associados à facilitação de pedidos concretos de partilha de dados. Podem também variar em função do volume dos dados, bem como das disposições tomadas para a disponibilização dos dados. Os acordos a longo prazo entre os detentores e os destinatários dos dados, por exemplo através de um modelo de subscrição ou do recurso a contratos inteligentes, poderão reduzir os custos associados a operações periódicas ou repetitivas numa relação comercial. Os custos relacionados com a disponibilização dos dados poderão estar relacionados com um pedido específico ou ser partilhados entre pedidos. Se forem partilhados entre pedidos, o custo total da disponibilização dos dados não deverá recair sobre um único destinatário dos dados. Em segundo lugar, a compensação razoável poderá também incluir uma margem, exceto no que diz respeito às PME e às organizações de investigação sem fins lucrativos. A margem poderá variar em função de fatores relacionados com os próprios dados, como o seu volume, formato ou natureza. Poderá ter em conta os custos incorridos com a recolha dos dados. Por conseguinte, a margem poderá diminuir caso o detentor dos dados tenha recolhido os dados para efeitos da sua própria atividade, sem realizar investimentos consideráveis, ou poderá aumentar, caso, no âmbito da sua atividade, o detentor dos dados tenha realizado investimentos elevados na recolha de dados. A margem poderá ser limitada ou até inexistente em situações em que a utilização dos dados pelo destinatário dos dados não afete as atividades do detentor dos dados. O facto de os dados serem cogerados por um produto conectado de que o utilizador é proprietário ou locatário também poderá resultar numa redução da compensação, em comparação com outras situações em que os dados sejam gerados pelo detentor dos dados, por exemplo durante a prestação de um serviço conexo.

(48) Não é necessário intervir em caso de partilha de dados entre grandes empresas, ou quando o detentor dos dados for uma pequena ou média empresa e o destinatário dos dados for uma grande empresa. Nesses casos, considera-se que as empresas são capazes de negociar a compensação, dentro dos limites do que é razoável e não discriminatório.

(49) A fim de proteger as PME de encargos económicos excessivos que tornem demasiado difícil, do ponto de vista comercial, o desenvolvimento e a gestão de modelos empresariais inovadores, a compensação razoável que têm de pagar pela disponibilização dos dados não deverá exceder os custos diretamente relacionados com a disponibilização dos dados. Os custos diretamente relacionados são os custos imputáveis aos pedidos individuais, tendo em conta que as interfaces técnicas necessárias ou o respetivo software e conectividade são estabelecidos de forma permanente pelo detentor dos dados. Este regime deverá também aplicar-se às organizações de investigação sem fins lucrativos.

(50) Em casos devidamente justificados, inclusive quando houver necessidade de salvaguardar a participação dos consumidores e a concorrência ou de promover a inovação em determinados mercados, pode ser prevista no direito da União ou na legislação nacional adotada em conformidade com o direito da União uma compensação regulamentada pela disponibilização de tipos de dados específicos.

(51) A transparência é um princípio importante para garantir que a compensação solicitada por um detentor dos dados é razoável ou, se o destinatário dos dados for uma PME ou uma organização de investigação sem fins lucrativos, que a compensação não exceda os custos diretamente relacionados com a disponibilização dos dados ao seu destinatário e seja imputável ao pedido individual em causa. A fim de colocar os destinatários dos dados em condições de avaliar e verificar se a compensação cumpre os requisitos do presente regulamento, o detentor dos dados deverá facultar ao destinatário dos dados informações suficientemente pormenorizadas para o cálculo da compensação.

(52) Assegurar o acesso a formas alternativas de resolução de litígios nacionais e transfronteiriços relacionados com a disponibilização de dados deverá beneficiar os detentores e os destinatários dos dados e, por conseguinte, reforçar a confiança na partilha de dados. Caso as partes não cheguem a acordo quanto a cláusulas e condições justas, razoáveis e não discriminatórias para a disponibilização de dados, os organismos de resolução de litígios deverão proporcionar às partes uma solução simples, rápida e de baixo custo. Embora o presente regulamento estabeleça apenas as condições que os organismos de resolução de litígios têm de cumprir para serem certificados, os Estados-Membros são livres de adotar quaisquer regras específicas para o procedimento de certificação, incluindo a caducidade ou a revogação da certificação. As disposições do presente regulamento em matéria de resolução de litígios não deverão exigir que os Estados-Membros criem organismos de resolução de litígios.

(53) O procedimento de resolução de litígios previsto no presente regulamento é um procedimento voluntário que permite que os utilizadores, os detentores dos dados e os destinatários dos dados acordem em submeter os seus litígios à apreciação de organismos de resolução de litígios. Por conseguinte, as partes deverão ter a liberdade de se dirigirem a um organismo de resolução de litígios à sua escolha, dentro ou fora dos Estados-Membros em que estiverem estabelecidas.

(54) A fim de evitar casos em que dois ou mais organismos de resolução de litígios sejam chamados a pronunciar-se sobre o mesmo litígio, em especial num contexto transfronteiriço, um organismo de resolução de litígios deverá poder recusar lidar com um pedido de resolução de um litígio que já tenha sido submetido a outro organismo de resolução de litígios ou a um órgão jurisdicional de um Estado-Membro.

(55) A fim de assegurar a aplicação uniforme do presente regulamento, os organismos de resolução de litígios deverão ter em conta os modelos de cláusulas contratuais não vinculativos a desenvolver e a recomendar pela Comissão, bem como o direito da União ou nacional que especificam as obrigações de partilha de dados ou as orientações emitidas pelas autoridades setoriais para a aplicação desse direito.

(56) As partes em processos de resolução de litígios não deverão ser impedidas de exercer os seus direitos fundamentais a vias de recurso efetivas e a um processo equitativo. Por conseguinte, a decisão de submeter um litígio a um organismo de resolução de litígios não deverá privar essas partes do seu direito de obter reparação perante um órgão jurisdicional de um Estado-Membro. Os organismos de resolução de litígios deverão tornar públicos os relatórios anuais de atividades.

(57) Os detentores dos dados poderão aplicar medidas técnicas apropriadas de proteção a fim de impedir a divulgação ilícita dos dados ou o acesso ilícito aos mesmos. No entanto, essas medidas não deverão discriminar entre destinatários dos dados nem dificultar o acesso aos dados ou a sua utilização por parte dos utilizadores ou dos destinatários dos dados. Em caso de práticas abusivas por parte de um destinatário dos dados, como induzir o detentor dos dados em erro através da prestação de informações falsas com a intenção de utilizar os dados para fins ilícitos, incluindo o desenvolvimento de um produto conectado concorrente com base nos dados, o detentor dos dados e, se aplicável e caso não sejam a mesma pessoa, o titular do segredo comercial ou o utilizador poderão solicitar ao terceiro ou ao destinatário dos dados que aplique medidas corretivas sem demora injustificada. Esses pedidos, em especial os pedidos que visem pôr termo à produção, oferta ou colocação no mercado de bens, dados derivados ou serviços, bem como os que visem pôr termo à importação, exportação ou conservação de bens em infração ou a sua destruição, deverão ser avaliados à luz da sua proporcionalidade em relação aos interesses do detentor dos dados, do titular do segredo comercial ou do utilizador.

(58) Quando uma parte se encontra numa posição negocial mais forte, existe o risco de essa parte poder tirar partido dessa posição em detrimento da outra parte contratante ao negociar o acesso aos dados, o que resulta num acesso aos dados menos viável do ponto de vista comercial e, por vezes, economicamente proibitivo. Esses desequilíbrios contratuais prejudicam todas as empresas que não dispõem de uma capacidade significativa para negociar as condições de acesso aos dados e que podem não ter outra alternativa senão aceitar cláusulas contratuais do tipo «pegar ou largar». Por conseguinte, as cláusulas contratuais abusivas que regulem o acesso e a utilização de dados, ou a responsabilidade e as vias de recurso pela violação ou cessação de obrigações relacionadas com dados, não deverão ser vinculativas para as empresas quando essas cláusulas tenham sido impostas unilateralmente a essas empresas.

(59) As regras relativas às cláusulas contratuais deverão ter em conta o princípio da liberdade contratual enquanto conceito essencial nas relações entre empresas. Por conseguinte, nem todas as cláusulas contratuais deverão ser sujeitas a um teste do caráter abusivo, mas apenas as cláusulas impostas unilateralmente. Trata-se de situações do tipo «pegar ou largar», em que uma parte fornece uma determinada cláusula contratual e a outra empresa não pode influenciar o teor dessa cláusula, apesar de tentar negociá-la. Uma cláusula contratual simplesmente fornecida por uma das partes e aceite pela outra empresa ou uma cláusula negociada e subsequentemente acordada de forma alterada entre as partes contratantes não deverá considerar-se como tendo sido imposta unilateralmente.

(60) Além disso, as regras relativas às cláusulas contratuais abusivas só deverão ser aplicáveis aos elementos de um contrato relacionados com a disponibilização de dados, ou seja, as cláusulas contratuais relativas ao acesso aos dados e à sua utilização, bem como à responsabilidade ou às vias de recurso em caso de violação e cessação de obrigações relacionadas com dados. As outras partes do mesmo contrato, não relacionadas com a disponibilização dos dados, não deverão ser sujeitas ao teste do caráter abusivo previsto no presente regulamento.

(61) Os critérios de identificação das cláusulas contratuais abusivas só deverão ser aplicados a cláusulas contratuais excessivas em caso de abuso de uma posição negocial mais forte. A grande maioria das cláusulas contratuais que são comercialmente mais favoráveis para uma parte do que para a outra, incluindo as que são normais nos contratos entre empresas, constituem uma expressão normal do princípio da liberdade contratual e continuam a ser aplicáveis. Para efeitos do presente regulamento, um desvio manifesto das boas práticas comerciais inclui, nomeadamente, prejuízo objetivo da capacidade da parte à qual a cláusula foi imposta unilateralmente para proteger o seu interesse comercial legítimo nos dados em questão.

(62) A fim de garantir a segurança jurídica, o presente regulamento estabelece uma lista de cláusulas que são sempre consideradas abusivas e uma lista de cláusulas que se presume serem abusivas. Neste último caso, a empresa que impõe a cláusula contratual deverá poder ilidir a presunção de caráter abusivo demonstrando que a cláusula contratual enumerada no presente regulamento não é abusiva no caso concreto em questão. Se uma cláusula contratual não constar da lista de cláusulas do presente regulamento que são sempre consideradas abusivas ou que se presume serem abusivas, aplica-se a disposição geral relativa ao caráter abusivo. A esse respeito, as cláusulas enumeradas como cláusulas contratuais abusivas no presente regulamento deverão servir de termo de comparação para a interpretação da disposição geral relativa ao caráter abusivo. Por último, os modelos de cláusulas contratuais não vinculativos para os contratos de partilha de dados entre empresas a desenvolver e a recomendar pela Comissão poderão também ser úteis para a negociação de contratos pelas partes comerciais. Se uma cláusula contratual for declarada abusiva, o contrato em causa deverá continuar a ser aplicável sem essa cláusula, salvo se a cláusula contratual abusiva não for dissociável das outras cláusulas do contrato.

(63) Em situações de necessidade excecional, poderá ser necessário que os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União utilizem, no exercício das suas atribuições legais de interesse público, dados existentes, incluindo, se pertinente, metadados que os acompanhem, para dar resposta a emergências públicas ou noutros casos excecionais. As situações de necessidade excecional são circunstâncias imprevisíveis e limitadas no tempo, ao contrário de outras circunstâncias que podem ser planeadas, programadas, periódicas ou frequentes. Embora o conceito de «detentor dos dados» não inclua, de um modo geral, os organismos do setor público, poderá incluir as empresas públicas. Os organismos que realizam investigação e os organismos financiadores de investigação também poderão estar organizados como organismos do setor público ou como organismos de direito público. A fim de limitar os encargos para as empresas, as microempresas e pequenas empresas só deverão ser sujeitas à obrigação de fornecer dados aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União em situações de necessidade excecional quando tais dados são necessários para dar resposta a uma emergência pública e o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União não consigam obter esses dados por meios alternativos, de forma atempada e eficaz, em condições equivalentes.

(64) No caso de emergências públicas, como emergências de saúde pública, emergências resultantes de catástrofes naturais, incluindo as agravadas pelas alterações climáticas e pela degradação ambiental, bem como catástrofes de grandes proporções de origem humana, como incidentes graves de cibersegurança, o interesse público resultante da utilização dos dados prevalecerá sobre o interesse dos detentores dos dados de disporem livremente dos dados que detêm. Nesse caso, os detentores dos dados deverão ser obrigados a disponibilizá-los aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União, a pedido destes. A existência de uma emergência pública deverá ser determinada ou declarada em conformidade com o direito da União ou nacional e com base nos procedimentos relevantes, incluindo os das organizações internacionais pertinentes. Nesses casos, o organismo do setor público deverá demonstrar que os dados abrangidos pelo pedido não poderiam ser obtidos de forma atempada e eficaz e em condições equivalentes por outra via, por exemplo, através do fornecimento voluntário de dados por outra empresa ou da consulta de uma base de dados pública.

(65) Uma necessidade excecional poderá também resultar de situações que não sejam de emergência. Nesses casos, um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União deverão poder solicitar apenas dados não pessoais. O organismo do setor público deverá demonstrar que os dados são necessários para o cumprimento de uma função específica de interesse público explicitamente prevista por lei, como a produção de estatísticas oficiais ou a atenuação ou recuperação de uma emergência pública. Além disso, um tal pedido só poderá ser apresentado caso o organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União tenha identificado dados específicos que não poderiam ser obtidos de forma atempada e eficaz e em condições equivalentes por outra via, e apenas se tiver esgotado todos os outros meios à sua disposição para obter esses dados, como obter os dados através de acordos voluntários, nomeadamente adquirindo dados não pessoais no mercado às taxas de mercado, ou recorrendo às obrigações existentes de disponibilização de dados ou à adoção de novas medidas legislativas que pudessem assegurar a disponibilidade atempada dos dados. Deverão também aplicar-se as condições e os princípios aplicáveis aos pedidos, nomeadamente os que estão relacionados com a limitação das finalidades, a proporcionalidade, a transparência e os limites temporais. No caso de pedidos de dados necessários para a produção de estatísticas oficiais, o organismo do setor público requerente deverá igualmente demonstrar se o direito nacional lhe permite adquirir dados não pessoais no mercado.

(66) O presente regulamento não deverá ser aplicável a acordos voluntários de intercâmbio de dados entre entidades privadas e públicas, incluindo o fornecimento de dados por PME, nem prejudicar esses acordos, e não prejudica os atos jurídicos da União que preveem pedidos de informação obrigatórios apresentados por entidades públicas a entidades privadas. O presente regulamento não deverá afetar as obrigações de fornecimento de dados impostas aos detentores dos dados por motivos de necessidade não excecional, nomeadamente nos casos em que a gama dos dados e dos detentores dos dados é conhecida ou em que a utilização dos dados pode ser efetuada periodicamente, como no caso das obrigações de comunicação de informações e das obrigações relativas ao mercado interno. O presente regulamento também não deverá afetar os requisitos de acesso aos dados para a verificação do cumprimento das regras aplicáveis, inclusive nos casos em que os organismos do setor público atribuem a função de verificação da conformidade a entidades que não são organismos do setor público.

(67) O presente regulamento complementa e não prejudica o direito da União e o direito nacional que preveem o acesso a dados e a sua utilização para fins estatísticos, em especial o Regulamento (CE) n.^o 223/2009 do Parlamento Europeu e do Conselho, bem como os atos jurídicos nacionais relacionados com estatísticas oficiais.

(68) No exercício das suas funções nos domínios da prevenção, investigação, deteção ou repressão de infrações penais ou administrativas ou da execução de sanções penais e administrativas, bem como da recolha de dados para fins fiscais ou aduaneiros, os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União deverão recorrer às competências que lhes são conferidas pelo direito da União ou nacional. Por conseguinte, o presente regulamento não afeta atos legislativos de partilha, acesso e utilização de dados nesses domínios.

(69) Em conformidade com o artigo 6.^o, n.^os 1 e 3, do Regulamento (UE) 2016/679, importa estabelecer um regime proporcional, limitado e previsível a nível da União aquando do estabelecimento do fundamento jurídico para a disponibilização de dados pelos seus detentores, em casos de necessidades excecionais, aos organismos do setor público, à Comissão, ao Banco Central Europeu ou a órgãos da União, a fim de garantir a segurança jurídica e de minimizar os encargos administrativos que recaem sobre as empresas. Para o efeito, os pedidos de dados apresentados pelos organismos do setor público, a Comissão, o Banco Central Europeu ou órgãos da União aos detentores dos dados deverão ser específicos, transparentes e proporcionados em termos do seu âmbito e da sua granularidade. A finalidade do pedido e a utilização prevista dos dados solicitados deverão ser específicas e claramente explicadas, permitindo simultaneamente a flexibilidade adequada para que a entidade requerente desempenhe as suas funções de interesse público. O pedido deverá igualmente respeitar os interesses legítimos dos detentores dos dados aos quais é apresentado. Os encargos para os detentores dos dados deverão ser minimizados, obrigando-se as entidades requerentes a respeitar o princípio da declaração única, que impede que os mesmos dados sejam solicitados várias vezes por mais do que um organismo do setor público ou pela Comissão, pelo Banco Central Europeu ou por órgãos da União. A fim de assegurar a transparência, os pedidos de dados apresentados pela Comissão, pelo Banco Central Europeu ou pelos órgãos da União deverão ser tornados públicos sem demora injustificada pela entidade que solicita os dados. O Banco Central Europeu e os órgãos da União deverão informar a Comissão dos seus pedidos. Se o pedido de dados tiver sido feito por um organismo do sector público, esse organismo deverá igualmente notificar o coordenador de dados do Estado-Membro em que o organismo do setor público está estabelecido. Deverá ser assegurada a disponibilização pública em linha de todos os pedidos. Uma vez recebida uma notificação do pedido de dados, a autoridade competente poderá decidir avaliar a legalidade do pedido e exercer as suas funções no que toca à execução e aplicação do presente regulamento. O coordenador de dados deverá assegurar a disponibilização pública em linha de todos os pedidos apresentados por organismos do setor público.

(70) O objetivo da obrigação de fornecer os dados consiste em assegurar que os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União dispõem dos conhecimentos necessários para responder, prevenir ou recuperar de emergências públicas ou para manter a capacidade de desempenhar funções específicas expressamente previstas por lei. Os dados obtidos por essas entidades poderão ser comercialmente sensíveis. Por conseguinte, nem o Regulamento (UE) 2022/868 nem a Diretiva (UE) 2019/1024 do Parlamento Europeu e do Conselho deverão ser aplicáveis aos dados disponibilizados nos termos do presente regulamento, nem estes deverão ser considerados como dados abertos disponíveis para reutilização por terceiros. Todavia, isso não deverá afetar a aplicabilidade da Diretiva (UE) 2019/1024 à reutilização de estatísticas oficiais para cuja elaboração tenham sido utilizados dados obtidos nos termos do presente regulamento, desde que a reutilização não inclua os dados subjacentes. Além disso, desde que sejam observadas as condições estabelecidas no presente regulamento, a possibilidade de partilhar os dados para a realização de investigação ou para o desenvolvimento, a produção e a divulgação de estatísticas oficiais não deverá ser afetada. Os organismos do setor público deverão também ser autorizados a proceder ao intercâmbio de dados obtidos nos termos do presente regulamento com outros organismos do setor público, a Comissão, o Banco Central Europeu ou órgãos da União, a fim de dar resposta às necessidades excecionais para as quais os dados tenham sido solicitados.

(71) Os detentores dos dados deverão ter a possibilidade de recusar um pedido apresentado por um organismo do setor público, pela Comissão, pelo Banco Central Europeu ou por um órgão da União, ou solicitar a sua alteração, sem demora injustificada e, em qualquer caso, o mais tardar num período de cinco ou 30 dias úteis, em função da natureza da necessidade excecional invocada no pedido. Se for caso disso, o detentor dos dados deverá ter esta possibilidade se não tiver controlo sobre os dados solicitados, nomeadamente se não tiver acesso imediato aos dados e não puder determinar a sua disponibilidade. Deverá existir uma razão válida para a não disponibilização dos dados, se for possível demonstrar que o pedido é semelhante a um pedido apresentado anteriormente para o mesmo efeito por outro organismo do setor público, pela Comissão, pelo Banco Central Europeu ou por um órgão da União e o titular dos dados não tiver sido notificado do apagamento dos dados nos termos do presente regulamento. Um detentor dos dados que recuse o pedido ou solicite a sua alteração deverá comunicar a justificação subjacente ao organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União que solicita os dados. Caso os direitos sui generis das bases de dados ao abrigo da Diretiva 96/9/CE do Parlamento Europeu e do Conselho sejam aplicáveis aos conjuntos de dados solicitados, os detentores dos dados deverão exercer os seus direitos de forma a não impedir o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União de obter os dados ou de os partilhar, em conformidade com o presente regulamento.

(72) Em caso de necessidade excecional relacionada com uma resposta a uma emergência pública, os organismos do setor público deverão, sempre que possível, utilizar dados não pessoais. No caso de pedidos com base numa necessidade excecional não relacionada com uma emergência pública, não poderão ser solicitados dados pessoais. Caso o âmbito do pedido abranja dados pessoais, o detentor dos dados deverá anonimizá-los. Caso seja estritamente necessário incluir dados pessoais nos dados a disponibilizar a um organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União, ou caso a anonimização se revele impossível, a entidade que solicita os dados deverá demonstrar a estrita necessidade e as finalidades específicas e limitadas do tratamento. Deverão ser cumpridas as regras aplicáveis em matéria de proteção de dados pessoais. A disponibilização dos dados e a sua subsequente utilização deverão ser acompanhadas de salvaguardas dos direitos e interesses das pessoas a quem esses dados dizem respeito.

(73) Os dados disponibilizados aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União com base numa necessidade excecional só deverão ser utilizados para as finalidades para as quais foram solicitados, salvo se o detentor dos dados que os disponibilizou tenha concordado expressamente que sejam utilizados para outras finalidades. Os dados deverão ser apagados quando deixarem de ser necessários para as finalidades indicadas no pedido, salvo acordo em contrário, devendo o detentor dos dados ser informado desse facto. O presente regulamento baseia-se nos regimes de acesso existentes na União e nos Estados-Membros e não altera o direito nacional relativo ao acesso do público aos documentos no contexto das obrigações de transparência. Os dados deverão ser apagados quando deixarem de ser necessários para o cumprimento das referidas obrigações de transparência.

(74) Ao reutilizar dados fornecidos pelos seus detentores, os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União deverão respeitar o direito da União ou o direito nacional aplicável em vigor e as obrigações contratuais às quais o detentor dos dados está sujeito. Deverão abster-se de desenvolver ou melhorar um produto conectado ou serviço conexo que concorra com o produto conectado ou serviço conexo do detentor dos dados, bem como de partilhar os dados com terceiros para esses fins. Deverão igualmente proporcionar reconhecimento público aos detentores dos dados, a pedido destes, e ser responsáveis por manter os dados recebidos em segurança. Caso a divulgação de segredos comerciais do detentor dos dados a organismos do setor público, à Comissão, ao Banco Central Europeu ou a órgãos da União seja estritamente necessária para satisfazer a finalidade para a qual se solicitaram os dados, a confidencialidade dessa divulgação deverá ser garantida antes da divulgação dos dados.

(75) Quando está em causa a salvaguarda de um bem público significativo, como é o caso da resposta a emergências públicas, não se deverá esperar que o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União em causa compense as empresas pelos dados obtidos. As emergências públicas são acontecimentos raros e nem todas essas emergências exigem a utilização de dados na posse das empresas. Ao mesmo tempo, a obrigação de fornecer dados poderá constituir um encargo considerável para as microempresas e pequenas empresas. Por conseguinte, estas deverão ser autorizadas a solicitar uma compensação mesmo no contexto de uma resposta a uma emergência pública. Por conseguinte, não é provável que as atividades comerciais dos detentores dos dados sejam afetadas negativamente em consequência do recurso ao presente regulamento pelos organismos do setor público, pela Comissão, pelo Banco Central Europeu ou pelos órgãos da União. Todavia, uma vez que os casos de necessidade excecional que não sejam a resposta a emergências públicas poderão ser mais frequentes, os detentores dos dados deverão, nesses casos, ter direito a uma compensação razoável, que não deverá exceder os custos técnicos e organizativos incorridos para satisfazer o pedido e a margem razoável necessária para disponibilizar os dados ao organismo do setor público, à Comissão, ao Banco Central Europeu ou ao órgão da União. A compensação não deverá ser entendida como um pagamento pelos próprios dados nem como sendo obrigatória. Os detentores dos dados não deverão poder solicitar uma compensação caso o direito nacional impeça os institutos nacionais de estatística ou outras autoridades nacionais responsáveis pela produção de estatísticas de compensar os detentores dos dados pela disponibilização dos mesmos. O organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União em causa deverão poder contestar o nível de compensação solicitado pelo detentor dos dados submetendo a questão à autoridade competente do Estado-Membro em que o detentor dos dados está estabelecido.

(76) Um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União deverá ter direito a partilhar os dados que obteve na sequência do pedido com outras entidades ou pessoas, sempre que tal seja necessário para realizar atividades analíticas ou de investigação científica que não possa realizar por si próprio, desde que tais atividades sejam compatíveis com a finalidade para a qual os dados foram solicitados. Deverá informar atempadamente o detentor dos dados sobre essa partilha. Esses dados poderão também ser partilhados, nas mesmas circunstâncias, com os institutos nacionais de estatística e o Eurostat para o desenvolvimento, a produção e a divulgação de estatísticas oficiais. Essas atividades de investigação deverão, no entanto, ser compatíveis com a finalidade para a qual os dados foram solicitados, e o detentor dos dados deverá ser informado sobre a partilha posterior dos dados que forneceu. As pessoas singulares que realizam atividades de investigação ou as organizações de investigação com as quais estes dados sejam partilhados deverão prosseguir fins não lucrativos ou agir no contexto de uma missão de interesse público reconhecida pelo Estado. Para efeitos do presente regulamento, não deverão ser consideradas organizações de investigação as organizações sobre as quais empresas comerciais tenham uma influência significativa que lhes possibilite exercer controlo devido a situações estruturais que possam resultar num acesso preferencial aos resultados da investigação.

(77) A fim de lidar com uma emergência pública transfronteiriça ou a outra necessidade excecional, os pedidos de dados poderão ser dirigidos a detentores dos dados em Estados-Membros que não o do organismo do setor público requerente. Nesse caso, o organismo do setor público requerente deverá notificar a autoridade competente do Estado-Membro em que o detentor dos dados está estabelecido, a fim de lhe permitir analisar o pedido à luz dos critérios estabelecidos no presente regulamento. Tal deverá ser igualmente aplicável aos pedidos apresentados pela Comissão, pelo Banco Central Europeu ou por um órgão da União. Caso sejam solicitados dados pessoais, o organismo do setor público deverá notificar a autoridade de controlo responsável pela fiscalização da aplicação do Regulamento (UE) 2016/679 no Estado-Membro em que o organismo do setor público está estabelecido. A autoridade competente em causa deverá estar habilitada a aconselhar o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União a cooperar com o organismo do setor público do Estado-Membro em que o detentor dos dados está estabelecido no que respeita à necessidade de assegurar a minimização dos encargos administrativos para o detentor dos dados. Quando a autoridade competente tenha objeções fundamentadas quanto à conformidade do pedido com o presente regulamento, deverá rejeitar o pedido do organismo do setor público, da Comissão, do Banco Central Europeu ou do órgão da União, que deverá ter em conta essas objeções antes de tomar iniciativas adicionais, incluindo voltar a apresentar o pedido.

(78) A capacidade dos clientes de serviços de tratamento de dados, incluindo serviços de computação em nuvem e periféricos, de mudarem de um serviço de tratamento de dados para outro, mantendo ao mesmo tempo uma funcionalidade mínima do serviço e sem interrupções nos serviços, ou de utilizarem os serviços de vários prestadores em simultâneo sem obstáculos e custos de transferência dos dados indevidos, é uma condição fundamental para um mercado mais competitivo, com menos obstáculos à entrada de novos prestadores de serviços de tratamento de dados, bem como para assegurar uma maior resiliência para os utilizadores desses serviços. Os clientes que beneficiam de ofertas de serviços gratuitos deverão também beneficiar das disposições relativas à mudança de prestador de serviços estabelecidas no presente regulamento, de modo a que essas ofertas não resultem numa situação de vinculação para os clientes.

(79) O Regulamento (UE) 2018/1807 do Parlamento Europeu e do Conselho incentiva os prestadores de serviços de tratamento de dados a desenvolverem e aplicarem eficazmente códigos de conduta de autorregulação que abranjam as melhores práticas para, nomeadamente, facilitar a mudança de prestador de serviços de tratamento de dados e a portabilidade dos dados. Dada a limitada adesão aos quadros de autorregulação desenvolvidos em resposta a essas disposições e a indisponibilidade geral de normas e interfaces abertas, importa adotar um conjunto de obrigações regulamentares mínimas para os prestadores de serviços de tratamento de dados, a fim de eliminar os obstáculos pré-comerciais, comerciais, técnicos, contratuais e organizativos, os quais não se limitam à redução da velocidade da transferência de dados aquando da saída do cliente, que impedem uma mudança eficaz entre serviços de tratamento de dados.

(80) Os serviços de tratamento de dados deverão abranger serviços que possibilitem um acesso em rede, ubíquo e a pedido, a um conjunto partilhado de recursos de computação configuráveis, moduláveis e adaptáveis, de natureza distribuída. Esses recursos de computação incluem recursos como redes, servidores ou outras infraestruturas virtuais ou físicas, software, incluindo ferramentas de desenvolvimento de software, armazenamento, aplicações e serviços. A capacidade do cliente do serviço de tratamento de dados para gerir autónoma e unilateralmente as capacidades de computação, como o tempo de acesso ao servidor ou o armazenamento em rede, sem qualquer interação humana por parte do prestador de serviços de tratamento de dados poderá descrever-se como exigindo um nível mínimo de esforço de gestão e como implicando um nível mínimo de interação entre o prestador e o cliente. O termo «ubíquo» utiliza-se para descrever as capacidades de computação que são disponibilizadas por meio da rede e a que se acede mediante mecanismos que promovem a utilização de diferentes plataformas para clientes «magros» (thin client) ou «gordos» (thick client) (desde navegadores Web a dispositivos móveis e estações de trabalho). O termo «modulável» refere-se a recursos de computação atribuídos de forma flexível pelo prestador de serviços de tratamento de dados, independentemente da localização geográfica dos recursos, a fim de fazer face às flutuações da procura. O termo «adaptável» utiliza-se para descrever os recursos de computação disponibilizados e libertados em função da procura, a fim de aumentar ou diminuir rapidamente os recursos disponíveis, consoante o volume de trabalho. O termo «conjunto partilhado» utiliza-se para descrever os recursos de computação fornecidos a múltiplos utilizadores que partilham um acesso comum ao serviço, mas cujo processamento é efetuado separadamente para cada utilizador, embora o serviço seja prestado a partir do mesmo equipamento eletrónico. O termo «distribuído» utiliza-se para descrever os recursos de computação localizados em diferentes computadores ou dispositivos ligados em rede, que comunicam e se coordenam entre si por via da transmissão de mensagens. O termo «altamente distribuído» utiliza-se para descrever os serviços de tratamento de dados que implicam o tratamento de dados mais próximo do local onde os dados são gerados ou recolhidos, por exemplo, num dispositivo conectado de tratamento de dados. Prevê-se que a computação periférica, uma forma de tratamento altamente distribuído de dados, gere novos modelos empresariais e de prestação de serviços em nuvem, que deverão ser abertos e interoperáveis desde o início.

(81) O conceito genérico de «serviços de tratamento de dados» abrange um número substancial de serviços com uma vasta gama de diferentes finalidades, funcionalidades e configurações técnicas. Tal como normalmente entendidos pelos fornecedores e utilizadores e em consonância com normas amplamente utilizadas, os serviços de tratamento de dados inserem-se num ou mais dos seguintes três modelos de prestação de serviços de tratamento de dados, a saber, infraestrutura como serviço (IaaS, do inglês infrastructure as a service), plataforma como serviço (PaaS, do inglês platform as a service) e software como serviço (SaaS, do inglês software as a service). Esses modelos de prestação de serviços representam uma combinação específica e pré-estruturada de recursos informáticos oferecidos por um prestador de serviços de tratamento de dados. Esses três modelos fundamentais de prestação de serviços de tratamento de dados são ainda complementados por variações emergentes, cada uma compreendendo uma combinação distinta de recursos informáticos, como a conservação como serviço (Storage-as-a-Service) e a base de dados como serviço (Database-as-a-Service). Os serviços de tratamento de dados podem ser categorizados de forma mais granular e divididos numa lista não exaustiva de conjuntos de serviços de tratamento de dados que partilham o mesmo objetivo principal e as mesmas funcionalidades principais, bem como o mesmo tipo de modelos de tratamento de dados, que não estão relacionados com as características operacionais do serviço (mesmo tipo de serviço). Os serviços que se enquadram no mesmo tipo de serviço podem partilhar o mesmo modelo de prestação de serviços de tratamento de dados, no entanto, duas bases de dados que pareçam partilhar o mesmo objetivo principal podem, uma vez tido em conta o seu modelo de tratamento de dados, o seu modelo de distribuição e os casos de utilização a que se destinam, ser abrangidas por uma subcategoria mais granular de serviços semelhantes. Os serviços que se enquadram no mesmo tipo de serviço podem ter características diferentes e concorrentes, nomeadamente em termos de desempenho, segurança, resiliência e qualidade do serviço.

(82) Comprometer a extração dos dados exportáveis que pertencem ao cliente a partir do prestador de serviços de tratamento de dados de origem poderá impedir o restabelecimento das funcionalidades do serviço na infraestrutura do prestador de tratamento de dados de serviços de destino. A fim de facilitar a estratégia de saída do cliente, evitar tarefas desnecessárias e pesadas e assegurar que o cliente não perde nenhum dos seus dados em consequência do processo de mudança, o prestador dos serviços de tratamento de dados de origem deverá informar antecipadamente o cliente sobre o âmbito dos dados que poderão ser exportados caso o cliente decida mudar para um serviço diferente prestado por um prestador de serviços de tratamento de dados diferente ou para uma infraestrutura informática local. O âmbito dos dados exportáveis deverá incluir, no mínimo, os dados de entrada e de saída, incluindo metadados, direta ou indiretamente gerados ou cogerados pela utilização do serviço de tratamento de dados por parte do cliente, excluindo quaisquer ativos ou dados do prestador de serviços de tratamento de dados ou de terceiros. Os dados exportáveis deverão excluir quaisquer ativos ou dados do prestador de serviços de tratamento de dados ou de terceiro protegidos por direitos de propriedade intelectual ou que constituam segredos comerciais desse prestador ou desse terceiro, ou dados relacionados com a integridade e a segurança do serviço cuja exportação exponha o prestador de serviços de tratamento de dados a vulnerabilidades de cibersegurança. Essas isenções não deverão impedir nem atrasar o processo de mudança.

(83) Os ativos digitais referem-se a elementos em formato digital para os quais o cliente tem o direito de utilização, incluindo aplicações e metadados relacionados com a configuração de parâmetros, a segurança e a gestão dos direitos de acesso e de controlo, bem como a outros elementos, como manifestações de tecnologias de virtualização, incluindo máquinas virtuais e contentores. Os ativos digitais poderão ser transferidos se o cliente tiver o direito de utilização, independentemente da relação contratual com o serviço de tratamento de dados do qual o cliente se pretende mudar. Esses outros elementos são essenciais para a utilização eficaz dos dados e das aplicações do cliente no ambiente do prestador de serviços de tratamento de dados de destino.

(84) O presente regulamento visa facilitar a mudança entre serviços de tratamento de dados, o que abrange as condições e ações necessárias para que um cliente rescinda um contrato de um serviço de tratamento de dados, celebre um ou mais novos contratos com diferentes prestadores de serviços de tratamento de dados, transfira os seus dados exportáveis e ativos digitais e, quando aplicável, beneficie de equivalência funcional.

(85) A mudança é uma operação centrada no cliente que consiste em várias etapas, incluindo a extração de dados, que se refere ao descarregamento de dados do ecossistema de um prestador de serviços de tratamento de dados de origem; a transformação, caso os dados sejam estruturados de uma forma que não corresponda ao esquema do local de destino; e o carregamento dos dados num novo local de destino. Numa situação específica prevista no presente regulamento, a desagregação de um determinado serviço do contrato e a sua transferência para um prestador diferente deverá igualmente ser considerada uma mudança. O processo de mudança é, por vezes, gerido em nome do cliente por uma entidade terceira. Por conseguinte, todos os direitos e obrigações do cliente previstos pelo presente regulamento, incluindo a obrigação de cooperar de boa fé, deverão ser entendidos como aplicáveis a uma tal entidade terceira nessas circunstâncias. Os prestadores e os clientes de serviços de tratamento de dados têm diferentes níveis de responsabilidades, em função das etapas do processo referido. Por exemplo, o prestador de serviços de tratamento de dados de origem é responsável pela extração dos dados para um formato de leitura automática, mas são o cliente e o prestador de serviços de tratamento de dados de destino que carregam os dados para o novo ambiente, a menos que tenha sido obtido um serviço profissional específico de transição. Um cliente que pretenda exercer direitos relacionados com a mudança, previstos no presente regulamento, deverá informar o prestador de serviços de tratamento de dados de origem da decisão de mudar para um prestador de serviços de tratamento de dados diferente, de mudar para uma infraestrutura informática local ou de apagar os seus ativos e dados exportáveis.

(86) Por equivalência funcional entende-se o restabelecimento, com base nos dados exportáveis e nos ativos digitais do cliente, de um nível mínimo de funcionalidade no ambiente de um novo serviço de tratamento de dados do mesmo tipo de serviço após a mudança, em que o serviço de tratamento de dados de destino produz um resultado materialmente comparável em resposta à mesma entrada de características partilhadas fornecida ao cliente ao abrigo do contrato. Só se poderá esperar que os prestadores de serviços de tratamento de dados facilitem a equivalência funcional para as características que tanto o serviço de origem como o serviço de tratamento de dados de destino ofereçam de forma independente. O presente regulamento não constitui uma obrigação para os prestadores de serviços de tratamento de dados de facilitar a equivalência funcional de prestadores de serviços de tratamento de dados, a não ser para os que oferecem serviços do modelo de prestação IaaS.

(87) Os serviços de tratamento de dados são utilizados entre setores e variam em complexidade e tipo de serviço. Esta é uma consideração importante no que diz respeito ao processo de transferência e aos prazos. Não obstante, a prorrogação do período de transição por motivos de inviabilidade técnica, para permitir a conclusão do processo de mudança no prazo determinado, só poderá ser invocada em casos devidamente justificados. O ónus da prova a esse respeito deverá recair inteiramente sobre o prestador do serviço de tratamento de dados em causa. Tal não prejudica o direito exclusivo do cliente de prorrogar o período de transição, uma vez, por um período que o cliente considere mais adequado para os seus próprios fins. O cliente poderá invocar esse direito a uma prorrogação antes ou durante o período de transição, tendo em conta que o contrato continua a ser aplicável durante o período de transição.

(88) Os encargos decorrentes da mudança são encargos impostos pelos prestadores de serviços de tratamento de dados aos clientes pelo processo de mudança. Normalmente, esses encargos destinam-se a transferir os custos em que o prestador de serviços de tratamento de dados de origem pode incorrer devido ao processo de mudança para o cliente que deseja mudar. Os custos relacionados com o trânsito dos dados de um prestador de serviços de tratamento de dados para outro ou para uma infraestrutura informática local («encargos decorrentes da saída de dados») ou os custos incorridos por ações de apoio específicas durante o processo de mudança são exemplos comuns de encargos decorrentes da mudança. Encargos decorrentes da saída de dados desnecessariamente elevados e outros encargos injustificados não relacionados com os reais encargos decorrentes da mudança impedem a mudança dos clientes, restringem o livre fluxo dos dados, têm o potencial de limitar a concorrência e causam efeitos de vinculação para os clientes, reduzindo os incentivos à escolha de um prestador de serviços diferente ou adicional. Por conseguinte, os encargos de mudança deverão ser abolidos três anos após a data de entrada em vigor do presente regulamento. Os prestadores de serviços de tratamento de dados deverão poder impor encargos decorrentes da mudança reduzidos até essa data.

(89) Um prestador de serviços de tratamento de dados de origem deverá poder subcontratar determinadas tarefas e compensar entidades terceiras a fim de cumprir as obrigações previstas no presente regulamento. O cliente não deverá suportar os custos decorrentes da subcontratação de serviços levada a cabo pelo prestador de serviços de tratamento de dados de origem durante o processo de mudança, devendo esses custos ser considerados injustificados, a menos que cubram o trabalho realizado pelo prestador de serviços de tratamento de dados, a pedido do cliente, para prestar apoio adicional no processo de mudança que vá para além das obrigações do prestador relativamente à mudança expressamente previstas no presente regulamento. Nenhuma disposição do presente regulamento impede um cliente de compensar entidades terceiras pelo apoio no processo de migração ou as partes de acordarem contratos para a prestação de serviços de tratamento de dados de duração fixa, incluindo sanções proporcionadas de rescisão antecipada para cobrir a rescisão antecipada dos referidos contratos, em conformidade com o direito da União ou o direito nacional. A fim de incentivar a concorrência, a supressão gradual dos encargos associados à mudança entre diferentes prestadores de serviços de tratamento de dados deverá incluir especificamente os encargos decorrentes da saída de dados impostas por um prestador de serviços de tratamento de dados a um cliente. As taxas de serviço habituais para a prestação dos próprios serviços de tratamento de dados não constituem encargos decorrentes da mudança. Essas taxas de serviço habituais não estão sujeitas a supressão e continuam a ser aplicáveis até que o contrato de prestação dos serviços pertinentes deixe de ser aplicável. O presente regulamento permite ao cliente solicitar a prestação de serviços adicionais que vão para além das obrigações do prestador relativamente à mudança nos termos do presente regulamento. Esses serviços adicionais poderão ser prestados e cobrados pelo prestador quando são prestados a pedido do cliente e este aceita antecipadamente o preço desses serviços.

(90) É necessária uma abordagem regulamentar à interoperabilidade que seja ambiciosa e promova a inovação, a fim de ultrapassar a vinculação a um prestador, que prejudica a concorrência e o desenvolvimento de novos serviços. A interoperabilidade entre serviços de tratamento de dados implica múltiplas interfaces e camadas de infraestruturas e de software, e raramente se limita a um teste binário relacionado com o facto de ser ou não ser viável. Ao invés, o desenvolvimento dessa interoperabilidade é alvo de uma análise de custo-benefício que se revela necessária para determinar se vale a pena procurar alcançar resultados razoavelmente previsíveis. A norma ISO/IEC 19941:2017 é um importante padrão internacional que constitui uma referência para a realização dos objetivos do presente regulamento, uma vez que contém considerações técnicas que esclarecem a complexidade de tal processo.

(91) Caso os prestadores de serviços de tratamento de dados sejam, por sua vez, clientes de serviços de tratamento de dados prestados por um terceiro, beneficiarão eles próprios de uma mudança mais eficaz, mantendo-se simultaneamente vinculados às obrigações do presente regulamento no que se refere às suas próprias ofertas de serviços.

(92) Os prestadores de serviços de tratamento de dados deverão ser obrigados a disponibilizar toda a assistência e apoio, no limite das suas capacidades e de forma proporcional às suas respetivas obrigações, que sejam necessários para que o processo de mudança para o serviço de outro prestador de serviços de tratamento de dados seja bem-sucedido, eficaz e seguro. O presente regulamento não exige que os prestadores de serviços de tratamento de dados desenvolvam novas categorias de serviços de tratamento de dados, nomeadamente na infraestrutura informática, ou com base na mesma, de diferentes prestadores de serviços de tratamento de dados, a fim de garantir a equivalência funcional num ambiente diferente dos seus próprios sistemas. Um prestador de serviços de tratamento de dados de origem não tem acesso ao ambiente do prestador de serviços de tratamento de dados de destino, nem tem informações sobre o mesmo. A equivalência funcional não deverá ser entendida como uma obrigação do prestador de serviços de tratamento de dados de origem de replicar o serviço em questão na infraestrutura do prestador de serviços de tratamento de dados de destino. Em vez disso, o prestador de origem deverá tomar todas as medidas razoáveis ao seu alcance para facilitar o processo de obtenção da equivalência funcional através do fornecimento de capacidades, de informações adequadas, de documentação, de apoio técnico e, se for caso disso, das ferramentas necessárias.

(93) Os prestadores de serviços de tratamento de dados deverão também ser obrigados a eliminar os obstáculos existentes e a não impor novos obstáculos, inclusive aos clientes que pretendam mudar para uma infraestrutura informática local. Os obstáculos poderão, nomeadamente, ser de natureza pré-comercial, comercial, técnica, contratual ou organizativa. Os prestadores de serviços de tratamento de dados deverão também ser obrigados a eliminar os obstáculos à desagregação de um serviço individual específico de outros serviços de tratamento de dados prestados ao abrigo de um contrato e, na ausência de obstáculos técnicos importantes e comprovados que impeçam essa desagregação, a tornar o serviço pertinente disponível para a mudança.

(94) Deverá ser mantido um elevado nível de segurança ao longo de todo o processo de mudança. Isto significa que o prestador de serviços de tratamento de dados de origem deverá alargar o nível de segurança a que se comprometeu para o serviço a todas as disposições técnicas pelas quais é responsável durante o processo de mudança, tais como as ligações de rede ou os dispositivos físicos. Não deverão ser afetados os direitos vigentes relativos à rescisão de contratos, incluindo os introduzidos pelo Regulamento (UE) 2016/679 e pela Diretiva (UE) 2019/770 do Parlamento Europeu e do Conselho. O presente regulamento não deverá ser entendido no sentido de impedir um prestador de serviços de tratamento de dados de disponibilizar aos clientes serviços, características e funcionalidades novos e melhorados, ou de competir com outros prestadores de serviços de tratamento de dados nessa base.

(95) As informações a facultar pelos prestadores de serviços de tratamento de dados ao cliente poderão apoiar a estratégia de saída do cliente. Essas informações deverão incluir os procedimentos para dar início à mudança de serviço de tratamento de dados; os formatos de leitura automática para os quais podem ser exportados os dados do utilizador; as ferramentas destinadas a exportar os dados, incluindo interfaces abertas bem como informações sobre a compatibilidade com normas harmonizadas ou com especificações comuns baseadas em especificações de interoperabilidade aberta; informações sobre restrições e limitações técnicas conhecidas suscetíveis de afetar o processo de mudança; e uma estimativa do tempo necessário para concluir o processo de mudança.

(96) A fim de facilitar a interoperabilidade e a mudança entre serviços de tratamento de dados, utilizadores e prestadores desses serviços deverão ponderar a utilização de ferramentas de execução e de conformidade, em particular as publicadas pela Comissão sob a forma de um conjunto de regras da UE para a computação em nuvem e um guia de orientação sobre contratos públicos de serviços de processamento de dados. Em especial, as cláusulas contratuais-tipo são benéficas porque aumentam a confiança nos serviços de tratamento de dados, criam uma relação mais equilibrada entre os utilizadores e os prestadores de serviços de tratamento de dados, e melhoram a segurança jurídica quanto às condições aplicáveis à mudança para outros serviços de tratamento de dados. Nesse contexto, os utilizadores e os prestadores de serviços de tratamento de dados deverão ponderar a utilização de cláusulas contratuais-tipo ou de outros instrumentos autorreguladores de conformidade, desde que cumpram plenamente o presente regulamento, elaborados por organismos ou grupos de peritos pertinentes criados ao abrigo do direito da União.

(97) A fim de facilitar a mudança entre serviços de tratamento de dados, todas as partes envolvidas, incluindo os prestadores de serviços de tratamento de dados, tanto de origem como de destino, deverão cooperar de boa-fé para tornar o processo de mudança eficaz, e para permitir e assegurar a transferência segura e atempada dos dados necessários, num formato de uso corrente e de leitura automática, através de interfaces abertas, evitando simultaneamente perturbações do serviço e mantendo a continuidade do serviço.

(98) Os serviços de tratamento de dados que digam respeito a serviços em que a maioria das características principais tenha sido personalizada para dar resposta às exigências específicas de um cliente individual ou em que todos os componentes tenham sido desenvolvidos para os fins solicitados por um cliente individual deverão ser isentos de algumas das obrigações aplicáveis à mudança de serviço de tratamento de dados. Tal não deverá incluir os serviços que o prestador de serviços de tratamento de dados oferece em larga escala comercial através do seu catálogo de serviços. Uma das obrigações do prestador de serviços de tratamento de dados é informar devidamente os potenciais clientes desses serviços, antes da celebração de um contrato, das obrigações previstas no presente regulamento que não se aplicam aos serviços em causa. Nada impede o prestador de serviços de tratamento de dados de, no futuro, implantar esses serviços em escala, caso em que esse prestador terá de cumprir todas as obrigações relativas à mudança previstas no presente regulamento.

(99) Em consonância com o requisito mínimo de permitir a mudança de prestador de serviços de tratamento de dados, o presente regulamento visa igualmente melhorar a interoperabilidade para a utilização em paralelo de vários serviços de tratamento de dados com funcionalidades complementares. Trata-se de situações em que os clientes não rescindem um contrato para mudar para outro prestador de serviços de tratamento de dados, mas em que vários serviços de diferentes prestadores de serviços de tratamento de dados são utilizados em paralelo, de forma interoperável, para beneficiar das funcionalidades complementares dos diferentes serviços na configuração do sistema do cliente. No entanto, reconhece-se que a saída de dados de um prestador de serviços de tratamento de dados para outro para facilitar a utilização de serviços em paralelo poderá ser uma atividade contínua, ao contrário da saída única necessária no âmbito do processo de mudança. Por conseguinte, os prestadores de serviços de tratamento de dados deverão poder continuar a impor encargos decorrentes da saída de dados, sem exceder os custos incorridos, para efeitos de utilização em paralelo depois de um período de três anos a contar da data de entrada em vigor do presente regulamento. Tal é importante, nomeadamente, para a aplicação bem sucedida de estratégias multinuvem, que permitem aos clientes implementar estratégias informáticas capazes de perdurar no futuro e que diminuem a dependência de prestadores individuais de serviços de tratamento de dados. Facilitar uma abordagem multinuvem para os clientes de serviços de tratamento de dados poderá também contribuir para aumentar a sua resiliência operacional digital, tal como reconhecido pelo Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho em relação às instituições de serviços financeiros.

(100) Prevê-se que as especificações e normas de interoperabilidade aberta elaboradas em conformidade com o anexo II do Regulamento (UE) n.^o 1025/2012 do Parlamento Europeu e do Conselho no domínio da interoperabilidade e da portabilidade favoreçam a emergência de um ambiente de computação em nuvem entre vários prestadores, um requisito fundamental para a inovação aberta na economia europeia dos dados. Uma vez que a adoção pelo mercado das normas identificadas no âmbito da iniciativa de coordenação da normalização em nuvem, concluída em 2016, foi limitada, é também necessário que a Comissão conte com as partes presentes no mercado para desenvolver especificações pertinentes de interoperabilidade aberta, a fim de acompanhar o ritmo acelerado do desenvolvimento tecnológico neste setor. Essas especificações de interoperabilidade aberta poderão então ser adotadas pela Comissão sob a forma de especificações comuns. Além disso, nos casos em que os processos impulsionados pelo mercado não tenham mostrado capacidade para estabelecer especificações ou normas comuns que facilitem uma interoperabilidade efetiva da computação em nuvem aos níveis da PaaS e do SaaS, a Comissão deverá ter a possibilidade, com base no presente regulamento e em conformidade com o Regulamento (UE) n.^o 1025/2012, de solicitar aos organismos europeus de normalização que elaborem essas normas para tipos de serviço específicos, caso ainda não existam. Além disso, a Comissão incentivará as partes no mercado a elaborarem especificações pertinentes de interoperabilidade aberta. Após consulta das partes interessadas, a Comissão deverá poder impor, por meio de atos de execução, a utilização de normas harmonizadas para a interoperabilidade ou de especificações comuns para tipos de serviços específicos, através de uma referência num repositório central da União de normas relativas à interoperabilidade dos serviços de tratamento de dados. Os prestadores de serviços de tratamento de dados deverão assegurar a compatibilidade com essas normas harmonizadas e especificações comuns baseadas em especificações de interoperabilidade aberta, que não deverão ter um impacto negativo na segurança ou na integridade dos dados. As normas harmonizadas para a interoperabilidade dos serviços de tratamento de dados e as especificações comuns baseadas em especificações de interoperabilidade aberta só serão referenciadas se cumprirem os critérios especificados no presente regulamento, que têm o mesmo significado que os requisitos estabelecidos no anexo II do Regulamento (UE) n.^o 1025/2012 e as facetas de interoperabilidade definidas nos termos da norma internacional ISO/IEC 19941:2017. Além disso, a normalização deverá ter em conta as necessidades das PME.

(101) Os países terceiros poderão aprovar leis, regulamentos e outros atos normativos que visem a transferência direta de dados não pessoais localizados para além das fronteiras desses países, incluindo na União, ou conceder acesso governamental aos referidos dados. As decisões de órgãos jurisdicionais ou de outras autoridades judiciais ou administrativas, incluindo as autoridades de fiscalização e garantia do cumprimento de países terceiros, que exijam tal transferência ou acesso a dados não pessoais deverão ser executórias com base num acordo internacional, como um acordo de assistência judiciária mútua, em vigor entre o país terceiro em causa e a União ou um dos Estados-Membros. Noutros casos, poderão surgir situações em que um pedido de transferência de dados não pessoais ou de concessão de acesso a dados não pessoais decorrente da legislação de um país terceiro colida com a obrigação de proteção desses dados por força do direito da União ou do direito nacional do Estado-Membro pertinente, em especial no que diz respeito à proteção dos direitos fundamentais das pessoas singulares, como o direito à segurança e o direito a vias de recurso efetivas, ou dos interesses fundamentais de um Estado-Membro relacionados com a segurança nacional ou a defesa, bem como de proteção de dados comercialmente sensíveis, incluindo a proteção de segredos comerciais, e de proteção dos direitos de propriedade intelectual, incluindo os compromissos contratuais em matéria de confidencialidade nos termos dessa legislação. Na ausência de acordos internacionais que regulem essas matérias, a transferência ou o acesso a dados não pessoais só deverão ser permitidos caso se tenha verificado que a ordem jurídica do país terceiro exige que a decisão seja fundamentada, proporcionada e de caráter específico, e que as objeções fundamentadas do destinatário estejam sujeitas a controlo jurisdicional por um órgão jurisdicional competente de um país terceiro habilitado a ter em devida conta os interesses jurídicos relevantes do fornecedor desses dados. Sempre que possível, nos termos do pedido de acesso aos dados da autoridade do país terceiro, o prestador de serviços de tratamento de dados deverá poder informar o cliente cujos dados são solicitados antes de conceder acesso aos mesmos, a fim de verificar a existência de um potencial conflito desse acesso com o direito da União ou o direito nacional, como o relativo à proteção de dados comercialmente sensíveis, incluindo a proteção dos segredos comerciais e dos direitos de propriedade intelectual, bem como dos compromissos contratuais em matéria de confidencialidade.

(102) A fim de promover uma maior confiança nos dados, é importante que as salvaguardas para assegurar o controlo dos dados pelos cidadãos, os organismos do setor público e as empresas da União sejam aplicadas na medida do possível. Além disso, importa respeitar o direito, os valores e as normas da União em matéria de segurança, proteção de dados e privacidade, e proteção dos consumidores, entre outras. A fim de impedir o acesso governamental ilícito a dados não pessoais por parte de autoridades de países terceiros, os prestadores de serviços de tratamento de dados abrangidos pelo presente regulamento, como os serviços de computação em nuvem e periféricos, deverão tomar todas as medidas razoáveis para impedir o acesso aos sistemas onde são conservados os dados não pessoais, incluindo, se pertinente, através da cifragem dos dados, da sujeição frequente a auditorias, da adesão verificada a sistemas pertinentes de certificação da fiabilidade da segurança e da alteração das políticas empresariais.

(103) A normalização e a interoperabilidade semântica deverão desempenhar um papel fundamental na disponibilização de soluções técnicas que garantam a interoperabilidade nos espaços comuns europeus de dados e entre esses espaços, que constituem quadros interoperáveis de normas e práticas comuns, específicos a determinado fim, a determinado setor ou a vários setores e destinados a partilhar ou tratar conjuntamente os dados, nomeadamente para o desenvolvimento de novos produtos e serviços, a investigação científica ou iniciativas da sociedade civil. O presente regulamento prevê determinados requisitos essenciais para a interoperabilidade. Os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes que sejam entidades que facilitam ou participam na partilha de dados nos espaços comuns europeus de dados, incluindo os detentores dos dados, deverão cumprir esses requisitos no que diz respeito aos elementos sob o seu controlo. O cumprimento dessas regras poderá ser assegurado pela observância dos requisitos essenciais estabelecidos no presente regulamento, ou presumido pelo cumprimento de normas harmonizadas ou especificações comuns através de uma presunção de conformidade. A fim de facilitar a conformidade com os requisitos de interoperabilidade, há que conferir uma presunção de conformidade às soluções de interoperabilidade que cumprem as normas harmonizadas, ou partes das mesmas, nos termos do Regulamento (UE) n.^o 1025/2012, que constitui o quadro por defeito para elaborar normas que prevejam tais presunções. A Comissão deverá avaliar os obstáculos à interoperabilidade e dar prioridade às necessidades de normalização, com base nas quais poderá solicitar a uma ou mais organizações europeias de normalização, nos termos do Regulamento (UE) n.^o 1025/2012, que elaborem normas harmonizadas que satisfaçam os requisitos essenciais estabelecidos no presente regulamento. Se esses pedidos não resultarem em normas harmonizadas ou se essas normas harmonizadas forem insuficientes para garantir a conformidade com os requisitos essenciais do presente regulamento, a Comissão deverá poder adotar especificações comuns nesses domínios, desde que, ao fazê-lo, respeite devidamente o papel e as funções das organizações de normalização. As especificações comuns só deverão ser adotadas como solução de recurso excecional para facilitar o cumprimento dos requisitos essenciais do presente regulamento, ou em caso de bloqueio do processo de normalização ou em caso de atrasos no estabelecimento de normas harmonizadas adequadas. Caso o atraso se deva à complexidade técnica da norma em questão, a Comissão deverá tomar esse facto em consideração antes de ponderar o estabelecimento de especificações comuns. As especificações comuns deverão ser desenvolvidas de forma aberta e inclusiva e ter em conta, se pertinente, o aconselhamento prestado pelo Comité Europeu da Inovação de Dados criado pelo Regulamento (UE) 2022/868. Além disso, poderão ser adotadas especificações comuns em diferentes setores, em conformidade com ao direito da União ou nacional, com base nas necessidades específicas desses setores. Além disso, a Comissão deverá ter a possibilidade de impor o desenvolvimento de normas harmonizadas para a interoperabilidade dos serviços de tratamento de dados.

(104) A fim de promover a interoperabilidade dos instrumentos para a execução automatizada dos acordos de partilha de dados, há que estabelecer requisitos essenciais para os contratos inteligentes que os profissionais criem para terceiros ou integrem em aplicações que apoiem a execução de acordos de partilha de dados. A fim de facilitar a conformidade desses contratos inteligentes com os referidos requisitos essenciais, há que conferir uma presunção de conformidade aos contratos inteligentes que cumprem as normas harmonizadas, ou partes das mesmas, nos termos do Regulamento (UE) n.^o 1025/2012. A aceção de «contrato inteligente» no presente regulamento é tecnologicamente neutra. Os contratos inteligentes poderão, por exemplo, estar ligados a um livro-razão eletrónico. Os requisitos essenciais deverão aplicar-se apenas aos vendedores de contratos inteligentes, exceto nos casos em que estes desenvolvam internamente contratos inteligentes exclusivamente para uso interno. O requisito essencial de assegurar que os contratos inteligentes possam ser interrompidos e rescindidos implica o consentimento mútuo das partes no acordo de partilha de dados. A aplicabilidade das regras pertinentes do direito civil, contratual e de proteção dos consumidores aos acordos de partilha de dados não é, ou não deverá ser, afetada pela utilização de contratos inteligentes para a execução automatizada de tais acordos.

(105) Para demonstrar o cumprimento dos requisitos essenciais estabelecidos no presente regulamento, o vendedor de um contrato inteligente ou, na sua ausência, a pessoa cuja atividade comercial, empresarial ou profissional implique a implantação de contratos inteligentes para terceiros no contexto da execução de um acordo, ou parte dele, de disponibilização de dados no contexto do presente regulamento deverá realizar uma avaliação da conformidade e emitir uma declaração de conformidade UE. Essa avaliação da conformidade deverá estar sujeita aos princípios gerais estabelecidos no Regulamento (CE) n.^o 765/2008 do Parlamento Europeu e do Conselho e na Decisão n.^o 768/2008/CE do Parlamento Europeu e do Conselho.

(106) Para além da obrigação dos profissionais que criam contratos inteligentes de cumprirem os requisitos essenciais, é igualmente importante incentivar os participantes em espaços de dados que oferecem dados ou serviços baseados em dados a outros participantes nos espaços comuns europeus de dados e entre estes a apoiarem a interoperabilidade dos instrumentos de partilha de dados, incluindo os contratos inteligentes.

(107) A fim de assegurar a execução e a aplicação efetiva do presente regulamento, os Estados-Membros deverão designar uma ou várias autoridades competentes. Se um Estado-Membro designar mais do que uma autoridade competente, deverá designar igualmente uma delas como coordenador de dados. As autoridades competentes deverão colaborar entre si. Através do exercício dos seus poderes de investigação em conformidade com os procedimentos nacionais aplicáveis, as autoridades competentes deverão poder procurar e obter informações, em especial sobre as atividades de uma entidade abrangida pela sua competência e, inclusive no contexto de investigações conjuntas, tendo devidamente em conta o facto de as medidas de supervisão e aplicação efetiva relativas a uma entidade sob a competência de outro Estado-Membro deverem ser adotadas pela autoridade competente desse outro Estado-Membro, se for caso disso, em conformidade com os procedimentos relativos à cooperação transfronteiriça. As autoridades competentes deverão assistir-se mutuamente em tempo útil, em especial quando uma autoridade competente de um Estado-Membro detenha informações pertinentes para uma investigação realizada pelas autoridades competentes de outros Estados-Membros ou possa obter essas informações a que as autoridades competentes do Estado-Membro em que a entidade está estabelecida não tenham acesso. As autoridades competentes e os coordenadores de dados deverão estar identificados num registo público assegurado pela Comissão. O coordenador de dados poderá constituir um meio adicional para facilitar a cooperação em situações transfronteiriças, por exemplo quando uma autoridade competente de um determinado Estado-Membro não saiba a que autoridade se deve dirigir no Estado-Membro do coordenador de dados, nomeadamente quando o caso esteja relacionado com mais do que uma autoridade competente ou setor. O coordenador de dados deverá atuar, nomeadamente, como ponto de contacto único para todas as questões relacionadas com a aplicação do presente regulamento. Caso não tenha sido designado um coordenador de dados, a autoridade competente deverá assumir as funções atribuídas ao coordenador de dados nos termos do presente regulamento. As autoridades responsáveis pelo controlo do cumprimento do direito em matéria de proteção de dados e as autoridades competentes designadas ao abrigo do direito da União ou nacional deverão ser responsáveis pela execução do presente regulamento nos domínios da sua competência. A fim de evitar conflitos de interesses, as autoridades competentes responsáveis pela execução e pela fiscalização do cumprimento do presente regulamento no domínio da disponibilização de dados na sequência de um pedido com base em necessidades excecionais não deverão beneficiar do direito de apresentar um tal pedido.

(108) A fim de fazer valer os seus direitos nos termos do presente regulamento, as pessoas singulares e coletivas deverão ter o direito de obter reparação pelas violações dos seus direitos ao abrigo do presente regulamento, mediante a apresentação de reclamações. Mediante pedido, o coordenador de dados deverá facultar todas as informações necessárias às pessoas singulares e coletivas para que apresentem as suas reclamações à autoridade competente adequada. Essas autoridades deverão ser obrigadas a cooperar para assegurar que a reclamação é tratada adequadamente e resolvida de forma eficaz e em tempo útil. A fim de utilizar o mecanismo da rede de cooperação de defesa do consumidor e possibilitar ações coletivas, o presente regulamento altera os anexos do Regulamento (UE) 2017/2394 do Parlamento Europeu e do Conselho e da Diretiva (UE) 2020/1828 do Parlamento Europeu e do Conselho.

(109) As autoridades competentes deverão garantir que os casos de infração às obrigações estabelecidas no presente regulamento são sujeitos a sanções. Tais sanções poderão incluir sanções financeiras, advertências, repreensões ou ordens para tornar as práticas comerciais conformes com as obrigações impostas pelo presente regulamento. As sanções estabelecidas pelos Estados-Membros deverão ser efetivas, proporcionadas e dissuasivas e deverão ter em conta as recomendações do Comité Europeu da Inovação de Dados contribuindo assim para alcançar o mais elevado nível possível de coerência no estabelecimento e na aplicação de sanções. Se for caso disso, as autoridades competentes deverão recorrer a medidas provisórias para limitar os efeitos de uma alegada infração enquanto a investigação dessa infração estiver em curso. Ao fazê-lo, deverão considerar nomeadamente a natureza, a gravidade, a dimensão e a duração da infração, tendo em conta o interesse público em causa, o âmbito e o tipo de atividades exercidas e a capacidade económica da parte infratora. Deverão ter igualmente em conta se a parte infratora não cumpre, de forma sistemática ou recorrente, as obrigações que lhe incumbem por força do presente regulamento. A fim de assegurar o respeito do princípio ne bis in idem e, em especial, para evitar que a mesma infração às obrigações previstas no presente regulamento seja sancionada mais do que uma vez, um Estado-Membro que tencione exercer a sua competência em relação a uma parte infratora que não está estabelecida e não designou um representante legal na União deverá informar, sem demora injustificada, todas as autoridades coordenadoras de dados, bem como a Comissão.

(110) O Comité Europeu da Inovação de Dados deverá aconselhar e assistir a Comissão na coordenação das práticas e políticas nacionais sobre os domínios abrangidos pelo presente regulamento, bem como na realização dos seus objetivos em matéria de normalização técnica para reforçar a interoperabilidade. Deverá também desempenhar um papel fundamental na facilitação de debates abrangentes entre as autoridades competentes sobre a aplicação do presente regulamento e a fiscalização do seu cumprimento. Esse intercâmbio de informações destina-se a aumentar o acesso efetivo à justiça, bem como a cooperação policial e judiciária em toda a União. Entre outras funções, as autoridades competentes deverão utilizar o Comité Europeu da Inovação de Dados como plataforma para avaliar, coordenar e adotar recomendações sobre a fixação de sanções por infrações ao presente regulamento. Deverá permitir que as autoridades competentes, com a assistência da Comissão, coordenem a melhor abordagem para estabelecer e impor essas sanções. Essa abordagem evita a fragmentação, proporcionando simultaneamente flexibilidade aos Estados-Membros, e deverá conduzir a recomendações eficazes que apoiem a aplicação coerente do presente regulamento. O Comité Europeu da Inovação de Dados deverá também desempenhar um papel consultivo nos processos de normalização e na adoção de especificações comuns através de atos de execução, na adoção de atos delegados destinados a criar um mecanismo de controlo dos encargos decorrentes da mudança de prestador impostos pelos prestadores de serviços de tratamento de dados e a especificar mais pormenorizadamente os requisitos essenciais para a interoperabilidade dos dados, os mecanismos e serviços de partilha de dados bem como os espaços comuns europeus de dados. Deverá igualmente aconselhar e assistir a Comissão na adoção de diretrizes que estabeleçam especificações de interoperabilidade para o funcionamento dos espaços comuns europeus de dados.

(111) A fim de ajudar as empresas a elaborar e negociar contratos, a Comissão deverá desenvolver e recomendar modelos de cláusulas contratuais não vinculativos para os contratos de partilha de dados entre empresas, tendo em conta, se necessário, as condições em setores específicos e as práticas existentes com mecanismos voluntários de partilha de dados. Esses modelos de cláusulas contratuais deverão constituir, antes de mais, um instrumento prático para ajudar, em especial, as PME a celebrar um contrato. Caso sejam utilizados de forma ampla e integral, esses modelos de cláusulas contratuais deverão também ter o efeito benéfico de influenciar a conceção dos contratos relativos ao acesso e a utilização de dados e, por conseguinte, de um modo mais geral, conduzir a relações contratuais mais justas no acesso e na partilha de dados.

(112) A fim de eliminar o risco de os detentores dos dados incluídos em bases de dados, que foram obtidos ou gerados por meio de componentes físicos, por exemplo sensores, de um produto conectado e de um serviço conexo, ou de outros tipos de dados gerados por máquinas, reivindicarem o direito sui generis nos termos do artigo 7.^o da Diretiva 96/9/CE, prejudicando assim, em particular, o exercício efetivo do direito dos utilizadores de acederem aos dados e os utilizarem, e o direito de partilharem dados com terceiros ao abrigo do presente regulamento, importa clarificar que o direito sui generis não é aplicável a essas bases de dados. Tal não afeta a eventual aplicação do direito sui generis nos termos do artigo 7.^o da Diretiva 96/9/CE às bases de dados que contenham dados não abrangidos pelo âmbito de aplicação do presente regulamento, desde que sejam cumpridos os requisitos de proteção nos termos do n.^o 1 do referido artigo.

(113) A fim de ter em conta os aspetos técnicos dos serviços de tratamento de dados, o poder de adotar atos nos termos do artigo 290.^o do TFUE deverá ser delegado na Comissão para complementar o presente regulamento, a fim de ciar um mecanismo de controlo dos encargos decorrentes da mudança impostos pelos prestadores de serviços de tratamento de dados no mercado e de especificar mais pormenorizadamente os requisitos essenciais em matéria de interoperabilidade para os participantes em espaços de dados que oferecem dados ou serviços de dados a outros participantes. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor. Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da elaboração dos atos delegados.

(114) A fim de assegurar condições uniformes para a execução do presente regulamento, deverão ser atribuídas competências de execução à Comissão para a adoção de especificações comuns destinadas a assegurar a interoperabilidade dos dados, de mecanismos de partilha de dados e serviços, bem como de espaços comuns europeus de dados, de especificações comuns para a interoperabilidade dos serviços de processamento de dados, e de especificações comuns para a interoperabilidade de contratos inteligentes. Deverão também ser atribuídas competências de execução à Comissão para efeitos de publicação das referências das normas harmonizadas e das especificações comuns para a interoperabilidade dos serviços de processamento de dados num repositório central da União de normas relativas à interoperabilidade dos serviços de tratamento de dados. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.^o 182/2011 do Parlamento Europeu e do Conselho.

(115) O presente regulamento não deverá prejudicar as regras relativas a necessidades específicas de setores ou domínios de interesse público individuais. Essas regras poderão incluir requisitos adicionais sobre os aspetos técnicos do acesso aos dados, como interfaces de acesso aos dados, ou a forma como o acesso aos dados poderá ser facultado, por exemplo, diretamente a partir do produto ou através de serviços de intermediação de dados. Essas regras poderão também incluir limites aos direitos dos detentores dos dados no que se refere ao acesso aos dados dos utilizadores e à sua utilização, ou outros aspetos para além do acesso aos dados e da sua utilização, por exemplo em matéria de governação ou de requisitos de segurança, incluindo requisitos de cibersegurança. O presente regulamento também não deverá prejudicar regras mais específicas no contexto do desenvolvimento de espaços comuns europeus de dados ou, sujeito às exceções previstas no presente regulamento, o direito da União e o direito nacional que preveem o acesso aos dados e a autorização da sua utilização para fins de investigação científica.

(116) O presente regulamento não deverá afetar a aplicação das regras da concorrência, nomeadamente os artigos 101.^o e 102.^o do TFUE. As medidas previstas no presente regulamento não deverão ser utilizadas para restringir a concorrência de forma contrária ao TFUE.

(117) A fim de permitir que os agentes abrangidos pelo âmbito do presente regulamento se adaptem às novas regras nele previstas e tomem as medidas técnicas necessárias, essas regras deverão ser aplicáveis a partir de 12 de setembro de 2025.

(118) A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.^o, n.^os 1 e 2, do Regulamento (UE) 2018/1725 e emitiram o seu parecer em 4 de maio de 2022.

(119) Atendendo a que os objetivos do presente regulamento, a saber, assegurar a equidade na repartição do valor dos dados entre os intervenientes na economia dos dados e promover o acesso e a utilização equitativos dos dados a fim de contribuir para a criação de um verdadeiro mercado interno dos dados, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à dimensão ou aos efeitos da ação e ao uso transfronteiriço dos dados, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.^o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos,