(1)

Artikel 40 i forordning (EU) 2022/2065 fastsætter regler om adgang til oplysninger, der skal gives af udbydere af meget store onlineplatforme og af meget store onlinesøgemaskiner. Den gør det navnlig muligt for forskere, der har afsluttet en proces, hvor de har påvist, at de opfylder betingelserne i nævnte artikels stk. 8 (»kontrolunderlagte forskere«), at få en sådan adgang.

(2)

I henhold til artikel 40, stk. 4, i forordning (EU) 2022/2065 skal kontrolunderlagte forskere have adgang til oplysninger for at hjælpe dem med at undersøge systemiske risici i Unionen og vurdere effektiviteten af foranstaltninger til at afbøde disse risici. Deres resultater kan udgøre et værdifuldt input til håndhævelsen af forordning (EU) 2022/2065 og fremme ansvarligheden hos udbydere af meget store onlineplatforme og af meget store onlinesøgemaskiner. Formålet med denne forordning er at fastsætte de tekniske betingelser og procedurer, der er nødvendige for at muliggøre en sådan adgang, på en sikker og effektiv måde, der er konsekvent for alle koordinatorer for digitale tjenester, og på en måde, der sikrer ligebehandling af forskere og dataudbydere.

(3)

For at sikre, at dataadgangsprocessen er konsekvent på tværs af alle koordinatorer for digitale tjenester, og for at gøre denne proces klar og gennemsigtig for alle, er det nødvendigt at oprette en særlig digital infrastruktur, nemlig »DSA-dataadgangsportalen«. DSA-dataadgangsportalen bør give forskere, dataudbydere og koordinatorer for digitale tjenester mulighed for at deltage i dataadgangsprocessen, have adgang til og formidle relevant information såsom nærmere detaljer om de særlige kontaktpunkter og kommunikere med hinanden. DSA-dataadgangsportalen bør ikke betragtes som en af de adgangsmetoder, der kan anvendes til at give dataadgang efter en begrundet anmodning.

(4)

Dataudbydere og forskere, der ønsker at deltage i dataadgangsprocessen, skal oprette en konto på DSA-dataadgangsportalen til dette formål. For at sikre, at koordinatorerne for digitale tjenester kan få adgang til oplysninger, der er indgivet via DSA-dataadgangsportalen, uden at det er nødvendigt at oprette en særskilt konto på portalen, bør DSA-dataadgangsportalen være interoperabel med informationsudvekslingssystemet AGORA, der er oprettet ved Kommissionens gennemførelsesforordning (EU) 2024/607 (2).

(5)

For at sikre gennemsigtighed i dataadgangsprocessen for alle involverede parter og for at overvåge effektiviteten af dataadgangsprocessen og overholdelsen af artikel 40, stk. 4, i forordning (EU) 2022/2065 og nærværende forordning bør DSA-dataadgangsportalen generere automatiske meddelelser vedrørende forskellige trin i og ajourføringer af processen.

(6)

For at oplyse forskerne om dataadgangsprocessen på en sammenhængende måde, bør koordinatorerne for digitale tjenester stille information om dataadgangsprocessen til rådighed på deres onlinegrænseflader og gøre denne information let tilgængelig, herunder links til DSA-dataadgangsportalen. For at undgå at skabe unødvendige administrative byrder, øge effektiviteten og lette kommunikationen mellem alle parter, der er involveret i dataadgangsprocessen, opfordres koordinatorerne for digitale tjenester til at lette forvaltningen af information om dataadgangsprocessen, også ud fra et sprogligt perspektiv.

(7)

For at gøre det muligt for forskere at udpege de relevante oplysninger til de formål, der er fastsat i artikel 40, stk. 4, i forordning (EU) 2022/2065, bør dataudbyderne stille datakataloger med henblik på forordningen om digitale tjenester (DSA-datakataloger), over deres tjenester til rådighed. Disse kataloger bør være lette at finde og tilgængelige på dataudbydernes onlinegrænseflader og bør beskrive de tilgængelige dataaktiver, datastrukturer og metadata, hvortil der kan anmodes om adgang i henhold til artikel 40, stk. 4, i forordning (EU) 2022/2065. Når dataudbyderne stiller DSA-datakataloger til rådighed, bør de tage hensyn til de risici for fortrolighed, datasikkerhed eller beskyttelse af personoplysninger, der potentielt kan opstå som følge af, at sådanne oplysninger offentliggøres.

(8)

For at bidrage til udviklingen af relevante forskningsprojekter til de formål, der er fastsat i artikel 40, stk. 4, i forordning (EU) 2022/2065, bør DSA-datakatalogerne navnlig omfatte oplysninger, der vedrører de systemiske risici i Unionen, som dataudbyderne har identificeret i deres årlige risikovurderinger i henhold til nævnte forordnings artikel 34, samt oplysninger vedrørende eventuelle risikobegrænsende foranstaltninger som omhandlet i nævnte forordnings artikel 35. For at sikre relevansen og rettidigheden af DSA-datakatalogerne bør disse kataloger ajourføres regelmæssigt under behørig hensyntagen til nyligt identificerede systemiske risici og udviklingen i systemiske risici. De bør f.eks. afspejle nye risici, der er identificeret efter en ad hoc-risikovurdering i henhold til artikel 34 i forordning (EU) 2022/2065 eller efter en revisionsrapport i henhold til artikel 37 i nævnte forordning. For at minimere den proceduremæssige byrde for dataudbyderne kan sådanne kataloger, hvor det er relevant, baseres på eksisterende datadokumentationsressourcer, der anvendes til andre formål eller målgrupper, såsom reklame, skabelse af indhold eller udvikling af tredjepartsapplikationer. DSA-datakatalogerne bør ikke være udtømmende og bør derfor ikke binde eller begrænse ansøgende forskere i deres ansøgninger om dataadgang.

(9)

For at gøre det lettere for koordinatoren for digitale tjenester i etableringslandet at fastlægge adgangsbetingelserne og mindske den samlede byrde i forbindelse med dataadgangsprocessen for alle involverede aktører bør dataudbyderne offentliggøre deres foreslåede adgangsmetoder til de oplysninger, der er beskrevet i DSA-datakatalogerne. Disse foreslåede adgangsmetoder bør stå i et rimeligt forhold til oplysningernes følsomhed og ledsages af oplysninger om de mulige tekniske, organisatoriske og retlige betingelser, som dataudbyderne anser for passende for at muliggøre overleveringen af de ønskede oplysninger. De adgangsmetoder, som dataudbyderne foreslår, bør ikke binde koordinatorerne for digitale tjenester i etableringslandet, som fortsat bør have kompetence til at fastlægge passende adgangsmetoder.

(10)

For at sikre, at ansøgninger om dataadgang behandles ens, uanset hvilken koordinator for digitale tjenester ansøgningen om dataadgang indgives til, eller den begrundede anmodning stammer fra, bør tidsrammen for formuleringen af begrundede anmodninger fastsættes for at sikre konsekvens på tværs af alle koordinatorer for digitale tjenester. Hvis formuleringen af den begrundede anmodning kræver yderligere tid, bør koordinatoren for digitale tjenester i etableringslandet underrette hovedforskeren og angive årsagerne til forsinkelsen. Sådanne årsager kan omfatte behovet for yderligere kontrol foretaget af koordinatoren for digitale tjenester af forskningsorganisationen eller dennes etablering, f.eks. hvis ansøgninger om dataadgang indebærer internationale dataoverførsler, eller hvis koordinatoren for digitale tjenester i etableringslandet har identificeret potentielle risici for Unionens sikkerhed, hvis de pågældende oplysninger deles. Med henblik på også at tilpasse de trin i dataadgangsprocessen, der går forud for formuleringen af begrundede anmodninger, herunder vurderingen af ansøgninger om dataadgang og tildelingen af kontrolunderlagte forskeres status, opfordres koordinatorerne for digitale tjenester til at udvikle en konsekvent og koordineret arbejdsmåde, herunder fælles operationelle kriterier, inden for rammerne af Det Europæiske Råd for Digitale Tjenester.

(11)

For at strømline procedurerne for formulering af begrundede anmodninger bør alle koordinatorer for digitale tjenester i etableringslandet forpligtes til at kontrollere, at visse fælles elementer i dataadgangsprocessen er behørigt dækket i ansøgningerne om dataadgang. Med henblik herpå bør koordinatorerne for digitale tjenester i etableringslandet kontrollere, at alle ansøgende forskere, der er nævnt i ansøgningen om dataadgang, har godtgjort deres tilknytning til en forskningsorganisation, f.eks. ved at fremlægge dokumentation for ansættelseskontrakt eller enhver anden form for juridisk gyldig tilknytning til forskningsorganisationen. Koordinatorerne for digitale tjenester i etableringslandet bør også kontrollere, at de ansøgende forskere har påvist deres uafhængighed af kommercielle interesser, f.eks. ved hjælp af en erklæring herom.

(12)

Koordinatoren for digitale tjenester i etableringslandet bør kontrollere, at finansieringen af det forskningsprojekt, til hvilket der anmodes om oplysninger, angives i ansøgningen om dataadgang. De oplysninger, som de ansøgende forskere fremlægger, bør omfatte en nærmere uddybning af bidragene, f.eks. den finansierende part, finansieringens størrelse, art og varighed, herunder om finansieringen allerede er blevet tildelt, eller om en ansøgning om finansiering stadig er ved at blive evalueret, samt, hvor det er relevant, relevante henvisninger til EU-finansierede projekter. Hvis det er muligt, bør ansøgningen om dataadgang også omfatte resultaterne af evalueringer foretaget af den eller de parter eller enheder, der yder finansieringen.

(13)

Koordinatoren for digitale tjenester i etableringslandet bør kontrollere, at ansøgningen om dataadgang beskriver, hvordan oplysningerne og dataformatet for disse udvælges, med henvisning til kravene om nødvendighed og proportionalitet i forhold til formålet med den påtænkte forskning. Hvis de oplysninger, der anmodes om, også er tilgængelige via andre kilder, bør koordinatoren for digitale tjenester i etableringslandet vurdere, om anmodningen om sådanne oplysninger i ansøgningen om dataadgang er behørigt begrundet under hensyntagen til de oplysninger, der er angivet i ansøgningen om dataadgang. Mulige begrundelser kan omfatte dokumentation for, at de ønskede oplysninger er af dårlig kvalitet eller upålidelige, når de skaffes fra andre kilder, eller at det format, hvori sådanne oplysninger kan hentes fra andre kilder med henblik på forskningsprojektet, er uegnet og ville hindre gennemførelsen af forskningsprojektet. Hvilke oplysninger, der kan anmodes om for at undersøge systemiske risici eller deres afbødning i Unionen, kan ændre sig i fremtiden. Aktuelle eksempler på sådanne oplysninger omfatter oplysninger vedrørende brugere af tjenester såsom deres profiloplysninger, relationsnetværk, individuelle indholdseksponeringer og engagementshistorier, oplysninger fra interaktioner såsom kommentarer eller anden interaktion, oplysninger vedrørende indholdsanbefalinger, herunder oplysninger, der anvendes til at personalisere anbefalinger, oplysninger vedrørende målretning af reklamer og profilering, herunder omkostninger pr. klik og andre mål for reklamepriser, oplysninger vedrørende afprøvning af nye funktioner forud for deres ibrugtagning, herunder resultaterne af A/B-test, oplysninger vedrørende indholdsmoderation og -styring, såsom oplysninger om algoritmiske eller andre indholdsmoderationssystemer og -processer, herunder ændringslogs, arkiver eller arkiver, der dokumenterer modereret indhold, herunder konti samt oplysninger vedrørende priser, mængder og karakteristika for varer eller tjenester, der leveres eller formidles af dataleverandøren.

(14)

Koordinatoren for digitale tjenester i etableringslandet bør kontrollere, om ansøgningen om dataadgang på en tilstrækkelig måde godtgør, at forskeren er i stand til at opfylde de specifikke krav om fortrolighed, sikkerhed og beskyttelse af personoplysninger med hensyn til de oplysninger, der anmodes om, identificerer mulige risici som følge af adgang til og behandling af disse oplysninger med henblik på forskningen og dokumenterer alle foreslåede adgangsmetoder, herunder de retlige, organisatoriske og tekniske betingelser, der vil blive indført for at minimere identificerede risici, f.eks. ved hjælp af et tilsagnsbrev fra forskningsorganisationen, der bekræfter adgangen til finansiering, der kan udgøre relevante garantier, eller andre støttedokumenter.

(15)

Hvis der anmodes om personoplysninger, bør koordinatoren for digitale tjenester i etableringslandet kontrollere, at ansøgningen om dataadgang indeholder oplysninger om retsgrundlaget for behandling af personoplysninger, herunder særlige kategorier af personoplysninger, hvor det er relevant, og om et sådant retsgrundlag er i overensstemmelse med artikel 6, stk. 1, litra e) eller f), og, hvor det er relevant, artikel 9, stk. 2, litra g) eller j), i forordning (EU) 2016/679. Desuden bør koordinatoren for digitale tjenester i etableringslandet kontrollere, at ansøgningen om dataadgang på en tilstrækkelig måde godtgør, at forskerne har vurderet risiciene for beskyttelsen af personoplysninger. Dette kan f.eks. være påvist ved hjælp af en konsekvensanalyse vedrørende databeskyttelse som omhandlet i nævnte forordnings artikel 35. For at sikre, at personoplysninger kan tilgås i overensstemmelse med forordning (EU) 2016/679, bør koordinatorerne for digitale tjenester have mulighed for at høre de relevante tilsynsmyndigheder, der er oprettet i henhold til nævnte forordnings artikel 51, og som fortsat har kompetence til at vurdere overholdelsen af Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3).

(16)

For at lette formuleringen af den begrundede anmodning og bevare integriteten af oplysningerne i ansøgningen om dataadgang bør koordinatoren for digitale tjenester i etableringslandet kontrollere, om ansøgningen om dataadgang indeholder et resumé. Et sådant resumé bør indeholde en oversigt over de oplysninger, der vil indgå i den begrundede anmodning, og som offentliggøres på DSA-dataadgangsportalen, i tilfælde hvor vurderingen af ansøgningen om dataadgang fører til formulering af en begrundet anmodning.

(17)

For at sikre, at de adgangsbetingelser, som koordinatoren for digitale tjenester i etableringslandet fastsætter, er tilstrækkelige til at håndtere følsomheden af de specifikke data, der anmodes om i en ansøgning om dataadgang, bør koordinatoren for digitale tjenester i etableringslandet foretage en vurdering fra sag til sag på grundlag af oplysningerne i ansøgningen om dataadgang. De adgangsbetingelser, der er fastsat i den begrundede anmodning, bør opfylde kravene om datasikkerhed, datafortrolighed og beskyttelse af personoplysninger og samtidig gøre det muligt at nå forskningsprojektets forskningsmål. Dataadgang kan f.eks. ske gennem overførsel af oplysninger til kontrolunderlagte forskere via en passende grænseflade og passende lagring af oplysninger, videregivelse af oplysninger til, og lagring i, et sikkert databehandlingsmiljø, der drives af dataudbyderen eller af en tredjepartsudbyder, som de kontrolunderlagte forskere har adgang til, men hvor oplysningerne ikke overføres til de kontrolunderlagte forskere, eller andre adgangsmetoder, der skal oprettes eller stilles til rådighed af dataudbyderen. Koordinatoren for digitale tjenester i etableringslandet bør ved fastlæggelsen af adgangsbetingelserne også angive eventuelle retlige, tekniske eller organisatoriske betingelser, som adgangen skal være underlagt. I tilfælde, hvor adgangen omfatter overførsel af personoplysninger til tredjelande eller internationale organisationer som omhandlet i kapitel V i forordning (EU) 2016/679, bør adgangsbetingelserne også omfatte oplysninger om behovet for at indføre en passende overførselsmekanisme for at sikre, at dataudbyderen træffer de nødvendige foranstaltninger til at overholde nævnte forordning.

(18)

For at sikre, at betingelserne for dataadgang er egnede til at håndtere specifikke følsomheder angående databeskyttelse, datasikkerhed eller fortrolighed, bør koordinatoren for digitale tjenester i etableringslandet på grundlag af de oplysninger, der modtages i ansøgningen om dataadgang, kunne kræve, at dataadgangen gives via sikre databehandlingsmiljøer. I sådanne tilfælde bør koordinatoren for digitale tjenester i etableringslandet sikre, at det valgte miljø er kompatibelt med den mest hensigtsmæssige teknologi, og gør det muligt for kontrolunderlagte forskere at nå målene for deres forskning.

(19)

For at sikre sammenhæng i de oplysninger, som koordinatorerne for digitale tjenester i etableringslandet fremsender til dataudbyderne, er det nødvendigt at præcisere indholdet af de begrundede anmodninger.

(20)

For at beskytte dataudbydernes interesser og reducere hyppigheden af anmodninger om ændring over tid og gøre det lettere for forskere at udarbejde relevante ansøgninger om dataadgang, bør den koordinator for digitale tjenester i etableringslandet, der har fremsat de respektive begrundede anmodninger, gøre en oversigt over hver begrundet anmodning, herunder eventuelle ændringer og ajourføringer heraf, offentligt tilgængelig på DSA-dataadgangsportalen.

(21)

For at sikre, at koordinatoren for digitale tjenester i etableringslandet har de relevante oplysninger til at kunne vurdere en anmodning om ændring og for at fremme en ensartet tilgang til evalueringen af anmodninger om ændring, bør dataudbyderen pålægges at angive årsagerne til en sådan anmodning, jf. artikel 40, stk. 5, i forordning (EU) 2022/2065. Mere specifikt bør koordinatoren for digitale tjenester i etableringslandet ved vurderingen af en anmodning om ændring, der er indgivet på grundlag af en dataudbyders manglende adgang til de oplysninger, der er genstand for anmodningen, være i stand til at undersøge, om den påståede umulighed er behørigt begrundet, f.eks. fordi de oplysninger, der anmodes om, ikke findes, eller pga. tekniske begrænsninger såsom kryptering, og den bør forsynes med de oplysninger, der er nødvendige for at overveje, om den manglende adgang er permanent eller midlertidig. Det bør i denne forbindelse være klart, at kommercielle hensyn ikke bør betragtes som en grund til automatisk at nægte den ønskede dataadgang, men snarere som en grund til at ændre midlerne til at gennemføre dataadgangen, hvilket kan føre til, at der pålægges yderligere datasikkerheds- og fortrolighedskrav.

(22)

For at sikre en effektiv bilæggelse af tvister og tilskynde til, at der findes en gensidigt acceptabel løsning efter en anmodning om ændring, bør dataudbyderne kunne anmode koordinatorerne for digitale tjenester i etableringslandet om at deltage i mægling. En sådan deltagelse bør være frivillig under hele mæglingsprocessen og bør ikke føre til noget bindende resultat for koordinatoren for digitale tjenester i etableringslandet, som fortsat har kompetence til at træffe afgørelse om anmodningerne om ændring. Alle parter, der er involveret i mæglingsprocessen, bør engagere sig i god tro og bestræbe sig på at nå frem til en retfærdig og gensidigt acceptabel aftale.

(23)

For at forhindre, at denne mægling forlænger dataadgangsprocessen på ubestemt tid, bør fremsendelsen af den skriftlige anmodning om mægling, udvælgelsen af mægleren og selve mæglingsprocessen finde sted inden for nærmere fastsatte tidsfrister. Koordinatorerne for digitale tjenester i etableringslandet bør fastsætte en frist for mæglingsprocessen i forbindelse med en given begrundet anmodning, og mægleren bør have beføjelse til at afslutte mæglingsprocessen under særlige omstændigheder.

(24)

For at bevare den gensidige tillid mellem de parter, der er involveret i mæglingen, bør koordinatoren for digitale tjenester i etableringslandet sikre, at den foreslåede mægler opfylder kravene om upartiskhed, uafhængighed og besidder relevant ekspertise inden for mæglingens genstandsfelt.

(25)

Med henblik på at lette en informeret og effektiv beslutningsproces i forbindelse med dataadgangsprocessen bør koordinatorerne for digitale tjenester have mulighed for at anmode om ekspertudtalelser ang. specifikke elementer i dataadgangsprocessen såsom fastlæggelse af adgangsbetingelserne, herunder passende grænseflader, formulering af den begrundede anmodning og eventuelle anmodninger om ændring fra dataudbyderen. De hørte eksperter bør have dokumenteret ekspertise på det område, som de skal udtale sig om, og bør være uafhængige. De bør navnlig ikke have nogen interessekonflikt, f.eks. som følge af forbindelser med de ansøgende forskere eller med dataudbyderen.

(26)

For at øge gennemsigtigheden og gøre det muligt for koordinatorerne for digitale tjenester at bygge videre på deres ekspertise, der er erhvervet over tid, bør hver anmodning om eksperthøringer og den opfølgning, som den genererer, registreres i AGORA.

(27)

For at lette et effektivt tilsyn med overholdelsen af de betingelser, der er fastsat i den begrundede anmodning, bør dataudbyderen underrette koordinatoren for digitale tjenester i etableringslandet senest tre arbejdsdage efter den dato, hvor de kontrolunderlagte forskere har fået adgang, hvor der også underrettes om datoen for adgangens ophør.

(28)

For at gøre det muligt for kontrolunderlagte forskere at anvende de oplysninger, der anmodes om, til forskningsformål og for at give relevante kontekstoplysninger bør dataudbyderne give kontrolunderlagte forskere de relevante metadata og den relevante dokumentation, der beskriver de oplysninger, der stilles til rådighed, såsom kodebøger, ændringslogs og arkitekturdokumentation.

(29)

For at lette kontrolunderlagte forskeres meningsfulde forskning, også ved at gøre det muligt at kombinere de oplysninger, der anmodes om, med oplysninger, der er tilgængelige via andre kilder, bør dataleverandører ikke indføre begrænsninger for de analyseværktøjer, som kontrolunderlagte forskere anvender, herunder relevante softwarebiblioteker, og bør ikke pålægge krav om arkivering, lagring, opdatering eller sletning, medmindre disse krav udtrykkeligt er nævnt i de adgangsmetoder, der er angivet i den begrundede anmodning.

(30)

Hvis de oplysninger, der stilles til rådighed for de kontrolunderlagte forskere, omfatter personoplysninger som omhandlet i artikel 4 i forordning (EU) 2016/679, bør dataudbyderen overholde de regler, der er fastsat i nævnte forordning. Navnlig skaber artikel 40, stk. 4, i forordning (EU) 2022/2065 en retlig forpligtelse som omhandlet i artikel 6, stk. 1, litra c), i forordning (EU) 2016/679 angående enhver behandling af personoplysninger, der er nødvendig for, at dataudbyderen kan give dataadgang som angivet i den begrundede anmodning. Hvis særlige kategorier af personoplysninger som omhandlet i artikel 9 i forordning (EU) 2016/679 skal behandles, opfylder nærværende forordning kravet i artikel 9, stk. 2, litra g), i forordning (EU) 2016/679.

(31)

Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (4) og afgav udtalelse den 4. december 2024

(32)

Efter høring af Det Europæiske Råd for Digitale Tjenester i overensstemmelse med artikel 40, stk. 13, i forordning (EU) 2022/2065 og efter dets godkendelse —