Data & datadelning

Vem äger data som genereras i ett affärsförhållande?

Svensk och EU-rättslig reglering av äganderätt och andra rättigheter till data är komplicerad. Ett övergripande regelverk saknas och rättigheterna avgörs i stället av avtal, upphovsrätt, databasskydd och vad som följer av ett flertal tillämpliga regelverk. Det innebär att den som inte reglerar dataåtkomst och nyttjanderätt i avtal riskerar att sakna rätten att använda data som genererats i det egna systemet eller i ett samarbete med en annan part. Data Act har förändrat delar av detta, bland annat genom att ge användare av uppkopplade produkter och tillhörande tjänster rätt att få tillgång till data som genererats vid deras användning, en skyldighet som börjar gälla fullt ut från september 2026.

Hur påverkar Data Act uppkopplade produkter?

Data Act är tillämplig från september 2025, men vissa skyldigheter träder i kraft successivt. Förordningen ställer krav på tillverkare och leverantörer av uppkopplade produkter och relaterade tjänster, exempelvis IoT-enheter, uppkopplade maskiner och tillhörande appar. Användare av sådana produkter ska ges tillgång till den data som genereras vid deras användning och ska kunna dela denna data med tredje part. Skyldigheten att tillgängliggöra data till användare gäller fullt ut från september 2026 och påverkar bland annat produktdesign, interna processer och avtal. Verksamheter som tillhandahåller uppkopplade produkter och tillhörande tjänster på unionsmarknaden behöver säkerställa att dessa krav är uppfyllda.

Hur bör ett datadelningsavtal utformas?

Ett datadelningsavtal bör bland annat reglera vilken data som omfattas och hur den avgränsas från annan data, ändamålen med datadelningen och tillåten användning, utformning och kvalitet av data samt säkerhetsåtgärder och ansvarsfrågor. Avtalet behöver också reglera vad som gäller vid avtalets upphörande och rätten att radera eller återlämna data, samt hantering av personuppgifter i enlighet med GDPR. Avtal som reglerar datadelning i reglerade sektorer, exempelvis finansiella tjänster, hälso- och sjukvård och energi, behöver därutöver beakta sektorsspecifika krav.

Vad är skillnaden mellan Data Act och Data Governance Act?

Data Act reglerar rätten till och tillgången till data som genereras av uppkopplade produkter och tillhörande tjänster, samt skyldigheter för datahållare gentemot användare och tredje parter. Data Governance Act reglerar vidareutnyttjande av data som innehas av offentliga myndigheter och skapar strukturer för dataförmedlingstjänster och dataaltruism. De två förordningarna är separata regelverk som styr olika områden av den europeiska dataekonomin. En organisation kan behöva förhålla sig till båda förordningarna parallellt.

Hur förhåller sig datadelning till GDPR när personuppgifter ingår?

Datadelning som innefattar personuppgifter måste uppfylla GDPR:s krav parallellt med de krav som följer av Data Act och andra datadelningsregelverk. Regelverken reglerar olika saker: GDPR styr om och hur personuppgifter får behandlas, medan Data Act reglerar tillgång till och delning av data. Som utgångspunkt har reglerna i GDPR företräde vid en direkt konflikt. I praktiken behöver datadelningsavtal och dataskyddsreglering utformas på ett samordnat sätt för att undvika att de motverkar varandra.

Vad gäller för offentlig sektors tillgång till och delning av data?

Offentliga aktörer omfattas av ett flertal regelverk som reglerar datadelning, däribland Data Governance Act, Öppna data-direktivet (som implementerats i Sverige genom den öppna datalagen) och offentlighets- och sekretesslagstiftningen, som reglerar i vilken utsträckning allmänheten och privata aktörer har rätt att ta del av och återanvända offentliga uppgifter, samt GDPR och annan verksamhetsspecifik dataskyddslagstiftning. Vidare innehåller Data Act en mekanism som under vissa förutsättningar ger offentliga organ rätt att begära tillgång till data som innehas av privata aktörer, exempelvis vid nödsituationer eller för specifika allmänna intressen. Tillämpningen av dessa och andra relevanta regler i offentlig-privata datasamarbeten kräver en samlad juridisk bedömning i det enskilda fallet.