(1)

Člen 40 Uredbe (EU) 2022/2065 določa pravila o dostopu do podatkov, ki ga odobrijo ponudniki zelo velikih spletnih platform in zelo velikih spletnih iskalnikov. Zlasti omogoča raziskovalcem, ki so zaključili proces, da dokažejo, da izpolnjujejo pogoje iz odstavka 8 navedenega člena („preverjeni raziskovalci“), da se jim zagotovi tak dostop.

(2)

V skladu s členom 40(4) Uredbe (EU) 2022/2065 se preverjenim raziskovalcem zagotovi dostop do podatkov, ki jim pomagajo pri preučevanju sistemskih tveganj v Uniji in ocenjevanju učinkovitosti ukrepov za zmanjšanje navedenih tveganj. Njihove ugotovitve so lahko dragocen prispevek k izvrševanju Uredbe (EU) 2022/2065 ter spodbujajo odgovornost ponudnikov zelo velikih spletnih platform in zelo velikih spletnih iskalnikov. Namen te uredbe je določiti tehnične pogoje in postopke, potrebne za omogočanje takega dostopa, na varen in učinkovit način, ki je dosleden za vse koordinatorje digitalnih storitev, ter na način, ki zagotavlja enako obravnavo raziskovalcev in ponudnikov podatkov.

(3)

Za zagotovitev, da je proces dostopa do podatkov dosleden pri vseh koordinatorjih digitalnih storitev ter jasen in pregleden za vse, je treba vzpostaviti namensko digitalno infrastrukturo (v nadaljnjem besedilu: portal za dostop do podatkov na podlagi akta o digitalnih storitvah). Portal za dostop do podatkov na podlagi akta o digitalnih storitvah bi moral raziskovalcem, ponudnikom podatkov in koordinatorjem digitalnih storitev omogočiti sodelovanje v procesu dostopa do podatkov, dostop do ustreznih informacij, kot so podrobnosti o namenskih kontaktnih točkah, in njihovo razširjanje ter medsebojno komunikacijo. Portal za dostop do podatkov na podlagi akta o digitalnih storitvah se ne bi smel šteti za enega od načinov dostopa, ki se uporabljajo za zagotavljanje dostopa do podatkov na podlagi obrazložene zahteve.

(4)

Ponudniki podatkov in raziskovalci, ki želijo sodelovati v procesu dostopa do podatkov, bi morali v ta namen ustvariti račun na portalu za dostop do podatkov na podlagi akta o digitalnih storitvah. Za zagotovitev, da lahko koordinatorji digitalnih storitev dostopajo do informacij, predloženih prek portala za dostop do podatkov na podlagi akta o digitalnih storitvah, ne da bi morali na portalu ustvariti ločen račun, bi moral biti portal za dostop do podatkov iz akta o digitalnih storitvah interoperabilen s sistemom za izmenjavo informacij AGORA, vzpostavljenim z Izvedbeno uredbo Komisije (EU) 2024/607 (2).

(5)

Za zagotovitev preglednosti procesa dostopa do podatkov za vse udeležene strani, spremljanje njegove učinkovitosti in uspešnosti ter skladnosti s členom 40(4) Uredbe (EU) 2022/2065 in to uredbo bi moral portal za dostop do podatkov na podlagi akta o digitalnih storitvah ustvarjati samodejna obvestila v zvezi z različnimi koraki in posodobitvami postopka.

(6)

Da bi raziskovalcem zagotovili dosledne informacije o procesu dostopa do podatkov, bi morali koordinatorji digitalnih storitev na svojih spletnih vmesnikih dati na voljo informacije o procesu, vključno s povezavami do portala za dostop do podatkov na podlagi akta o digitalnih storitvah, in zagotoviti njihovo enostavno dostopnost. Da bi se preprečilo ustvarjanje nepotrebnega upravnega bremena, povečala učinkovitost in olajšala komunikacija med vsemi stranmi, vključenimi v proces dostopa do podatkov, se koordinatorje digitalnih storitev spodbuja, naj olajšajo upravljanje informacij, povezanih s procesom, tudi z jezikovnega vidika.

(7)

Da bi lahko raziskovalci prepoznali ustrezne podatke za namene iz člena 40(4) Uredbe (EU) 2022/2065, bi morali ponudniki podatkov za svoje storitve dati na voljo kataloge podatkov na podlagi akta o digitalnih storitvah. Taki katalogi bi morali biti zlahka najdljivi in dostopni na spletnih vmesnikih ponudnikov podatkov ter bi morali opisovati razpoložljiva podatkovna sredstva, njihovo podatkovno strukturo in metapodatke, do katerih je mogoče zahtevati dostop v skladu s členom 40(4) Uredbe (EU) 2022/2065. Pri dajanju katalogov podatkov na podlagi akta o digitalnih storitvah na voljo, bi morali ponudniki podatkov upoštevati tveganja za zaupnost, varnost podatkov ali varstvo osebnih podatkov, ki bi lahko izhajala iz objave takih informacij.

(8)

Da bi katalogi podatkov na podlagi akta o digitalnih storitvah prispevali k razvoju ustreznih raziskovalnih projektov za namene iz člena 40(4) Uredbe (EU) 2022/2065, bi morali vključevati zlasti podatke v zvezi s sistemskimi tveganji v Uniji, ki so jih ponudniki podatkov opredelili v svojih letnih ocenah tveganja v skladu s členom 34 navedene uredbe, ter podatke v zvezi z morebitnimi ukrepi za zmanjševanje tveganj iz člena 35 navedene uredbe. Za zagotovitev ustreznosti in pravočasnosti katalogov podatkov na podlagi akta o digitalnih storitvah bi bilo treba te kataloge redno posodabljati ob ustreznem upoštevanju na novo prepoznanih sistemskih tveganj in razvoja sistemskih tveganj. Odražati bi morali na primer nastajajoča tveganja, prepoznana na podlagi ad hoc ocene tveganja v skladu s členom 34 Uredbe (EU) 2022/2065 ali na podlagi revizijskega poročila v skladu s členom 37 navedene uredbe. Da bi se zmanjšalo postopkovno breme za ponudnike podatkov, lahko taki katalogi po potrebi temeljijo na obstoječih virih podatkovne dokumentacije, ki se uporabljajo za druge namene in ciljne skupine, kot so oglaševanje, ustvarjanje vsebin ali razvoj aplikacij tretjih oseb. Katalogi podatkov na podlagi akta o digitalnih storitvah ne bi smeli biti izčrpni in zato ne bi smeli zavezovati ali omejevati raziskovalcev prosilcev v njihovih vlogah za dostop do podatkov.

(9)

Da bi se koordinatorju digitalnih storitev v državi sedeža olajšala določitev načinov dostopa in zmanjšalo splošno breme procesa dostopa do podatkov za vse udeležene akterje, bi morali ponudniki podatkov objaviti predlagane načine dostopa do podatkov, opisane v katalogih podatkov na podlagi akta o digitalnih storitvah. Ti predlagani načini dostopa bi morali biti sorazmerni z občutljivostjo podatkov ter vključevati informacije o morebitnih tehničnih, organizacijskih in pravnih pogojih, za katere ponudniki podatkov menijo, da so ustrezni za zagotavljanje podatkov. Načini dostopa, ki jih predlagajo ponudniki podatkov, ne bi smeli zavezovati koordinatorjev digitalnih storitev v državi sedeža, ki bi morali ostati pristojni za določitev ustreznih načinov dostopa.

(10)

Za zagotovitev, da se vloge za dostop do podatkov obravnavajo enako, ne glede na to, kateremu koordinatorju digitalnih storitev je vloga predložena ali od kod izvira obrazložena zahteva, bi bilo treba določiti časovni okvir za pripravo obrazloženih zahtev, da se zagotovi usklajeno delovanje vseh koordinatorjev digitalnih storitev. Če je za oblikovanje obrazložene zahteve potreben dodaten čas, bi moral koordinator digitalnih storitev v državi sedeža o tem obvestiti glavnega raziskovalca in navesti razloge za zamudo. Taki razlogi lahko vključujejo potrebo po dodatnih preverjanjih s strani koordinatorja digitalnih storitev raziskovalne organizacije ali države sedeža, na primer kadar vloge za dostop do podatkov vključujejo mednarodne prenose podatkov ali kadar koordinator digitalnih storitev v državi sedeža ugotovi morebitna tveganja za varnost Unije v primeru izmenjave podatkov. Da bi se uskladili tudi koraki v procesu dostopa do podatkov pred oblikovanjem obrazloženih zahtev, vključno z oceno vlog za dostop do podatkov in dodelitvijo statusa preverjenega raziskovalca, se koordinatorje digitalnih storitev spodbuja, naj v okviru Evropskega odbora za digitalne storitve razvijejo dosleden in usklajen način dela, vključno s skupnimi operativnimi merili.

(11)

Za racionalizacijo postopkov za oblikovanje obrazloženih zahtev bi bilo treba od vseh koordinatorjev digitalnih storitev v državi sedeža zahtevati, naj preverijo, ali so bili nekateri skupni elementi procesa dostopa do podatkov ustrezno zajeti v vlogah za dostop do podatkov. V ta namen bi morali koordinatorji digitalnih storitev v državi sedeža preveriti, ali so vsi raziskovalci prosilci, navedeni v vlogi za dostop do podatkov, dokazali svojo pripadnost raziskovalni organizaciji, na primer s predložitvijo dokumentarnih dokazil o pogodbah o zaposlitvi ali kateri koli drugi obliki pravne povezave z raziskovalno organizacijo. Koordinatorji digitalnih storitev v državi sedeža bi morali tudi preveriti, ali so raziskovalci prosilci dokazali svojo neodvisnost od poslovnih interesov, na primer z izjavo v zvezi s tem.

(12)

Koordinator digitalnih storitev v državi sedeža bi moral preveriti, ali je financiranje raziskovalnega projekta, za katerega se zahtevajo podatki, razkrito v vlogi za dostop do podatkov. Informacije, ki jih predložijo raziskovalci prosilci, bi morale vključevati podrobnosti o prispevkih, kot so subjekt financiranja, znesek, vrsta in trajanje prispevka, vključno s tem, ali so bila sredstva že dodeljena in ali je vloga za financiranje še vedno v postopku ocenjevanja, ter po potrebi ustrezna sklicevanja na projekte, ki jih financira Unija. Kadar so na voljo, bi morala vloga za dostop do podatkov vključevati tudi rezultate ocen, ki jih je izvedel subjekt ali subjekti, ki zagotavljajo financiranje.

(13)

Koordinator digitalnih storitev v državi sedeža bi moral preveriti, ali je v vlogi za dostop do podatkov opisano, kako se izberejo podatki in oblika zapisa podatkov, s sklicevanjem na zahteve glede nujnosti in sorazmernosti za namen predvidene raziskave. Kadar so zahtevani podatki na voljo tudi prek drugih virov, bi moral koordinator digitalnih storitev v državi sedeža oceniti, ali je zahteva za take podatke v vlogi za dostop do podatkov ustrezno utemeljena, ob upoštevanju informacij v vlogi za dostop do podatkov. Možne utemeljitve lahko vključujejo dokaze o slabi kakovosti ali nezanesljivosti takih podatkov, ki izhajajo iz drugih virov, ali o neustreznosti oblike, v kateri se taki podatki lahko pridobijo iz drugih virov za namene raziskovalnega projekta, kar bi oviralo izvajanje raziskovalnega projekta. Podatki, ki se lahko zahtevajo za preučitev sistemskih tveganj ali njihovo zmanjševanje v Uniji, se lahko v prihodnosti spremenijo. Trenutni primeri takih podatkov vključujejo podatke, povezane z uporabniki storitev, kot so informacije o profilu, omrežja odnosov, izpostavljenost vsebini na individualni ravni in zgodovina sodelovanja; podatke o interakciji, kot so komentarji ali druge oblike angažiranosti; podatke, povezane s priporočili glede vsebine, vključno s podatki, ki se uporabljajo za personalizacijo priporočil; podatke, povezane s ciljnim usmerjanjem oglasov in profiliranjem, vključno s podatki o stroških na klik in drugimi merili cen oglaševanja; podatke, povezane s preskušanjem novih funkcij pred njihovo uvedbo, vključno z rezultati preskusov A/B; podatke v zvezi z moderiranjem in upravljanjem vsebin, kot so podatki o algoritemskih ali drugih sistemih in procesih za moderiranje vsebin, vključno z dnevniki sprememb, arhivi ali odložišči, ki dokumentirajo moderirane vsebine, vključno z računi, ter podatki v zvezi s cenami, količinami in značilnostmi blaga ali storitev, ki jih zagotavlja ali posreduje ponudnik podatkov.

(14)

Koordinator digitalnih storitev v državi sedeža bi moral preveriti, ali vloga za dostop do podatkov vsebuje dovolj informacij, ki dokazujejo, da je raziskovalec sposoben izpolnjevati posebne zahteve glede zaupnosti, varnosti in varstva osebnih podatkov v zvezi z zahtevanimi podatki, ali so v njej opredeljena morebitna tveganja, ki izhajajo iz dostopa do takih podatkov in njihove obdelave za namene raziskave, ter ali so v njej dokumentirani vsi predlagani načini dostopa, vključno s pravnimi, organizacijskimi in tehničnimi pogoji, ki bodo vzpostavljeni za zmanjšanje ugotovljenih tveganj, na primer s pismom raziskovalne organizacije o zavezi, ki potrjuje dostop do sredstev, ki lahko pomenijo ustrezne zaščitne ukrepe, ali drugimi dokazili.

(15)

Kadar se zahtevajo osebni podatki, bi moral koordinator digitalnih storitev v državi sedeža preveriti, ali vloga za dostop do podatkov vključuje informacije o pravni podlagi za obdelavo osebnih podatkov, po potrebi vključno s posebnimi vrstami osebnih podatkov, in ali je taka pravna podlaga v skladu s členom 6(1), točka (e) ali (f), ter po potrebi členom 9(2), točka (g) ali (j), Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (3). Poleg tega bi moral koordinator digitalnih storitev v državi sedeža preveriti, ali vloga za dostop do podatkov vsebuje dovolj dokazov, da so raziskovalci ocenili tveganja za varstvo osebnih podatkov. To bi bilo na primer mogoče dokazati z oceno učinka v zvezi z varstvom podatkov v smislu člena 35 navedene uredbe. Za zagotovitev dostopa do osebnih podatkov v skladu z Uredbo (EU) 2016/679 bi bilo treba koordinatorjem digitalnih storitev omogočiti, da se posvetujejo z ustreznimi nadzornimi organi, ustanovljenimi v skladu s členom 51 navedene uredbe, ki so še naprej pristojni za ocenjevanje skladnosti z Uredbo (EU) 2016/679.

(16)

Za lažjo pripravo obrazložene zahteve in ohranitev celovitosti informacij, vključenih v vlogo za dostop do podatkov, bi moral koordinator digitalnih storitev v državi sedeža preveriti, ali vloga za dostop do podatkov vključuje povzetek. Tak povzetek bi moral vsebovati pregled informacij, ki bodo del obrazložene zahteve, objavljene na portalu za dostop do podatkov na podlagi akta o digitalnih storitvah, kadar se na podlagi ocene vloge za dostop do podatkov oblikuje obrazložena zahteva.

(17)

Za zagotovitev, da so načini dostopa, ki jih določi koordinator digitalnih storitev v državi sedeža, ustrezni za obravnavanje občutljivosti specifičnih podatkov, ki se zahtevajo v vlogi za dostop do podatkov, bi moral koordinator digitalnih storitev v državi sedeža izvesti oceno za vsak primer posebej na podlagi informacij iz vloge za dostop do podatkov. Načini dostopa, določeni v obrazloženi zahtevi, bi morali biti primerni za izpolnitev zahtev glede varnosti in zaupnosti podatkov ter varstva osebnih podatkov, hkrati pa bi morali omogočati doseganje raziskovalnih ciljev raziskovalnega projekta. Dostop do podatkov se lahko izvede na primer s posredovanjem podatkov preverjenim raziskovalcem prek ustreznega vmesnika in ustreznega pomnilnika podatkov; prenosom podatkov v varno okolje za obdelavo in njihovim shranjevanjem v njem, pri čemer to okolje upravlja ponudnik podatkov ali tretji ponudnik in imajo dostop do njega preverjeni raziskovalci, vendar se podatki preverjenim raziskovalcem ne posredujejo, ali drugimi načini dostopa, ki jih vzpostavi ali omogoča ponudnik podatkov. Koordinator digitalnih storitev v državi sedeža bi moral pri določanju načinov dostopa navesti tudi vse pravne, tehnične ali organizacijske pogoje, ki bodo veljali za dostop. Kadar zagotavljanje dostopa vključuje prenos osebnih podatkov v tretje države ali mednarodne organizacije v smislu poglavja V Uredbe (EU) 2016/679, bi morali načini dostopa vključevati tudi informacije o potrebi po vzpostavitvi ustreznega mehanizma za prenos, da se zagotovi, da ponudnik podatkov sprejme potrebne ukrepe za zagotovitev skladnosti z navedeno uredbo.

(18)

Za zagotovitev, da so načini dostopa do podatkov ustrezni za obravnavo določenih občutljivosti v smislu varstva podatkov, varnosti podatkov ali zaupnosti, bi moral imeti koordinator digitalnih storitev v državi sedeža na podlagi informacij, prejetih v vlogi za dostop do podatkov, možnost zahtevati, da se dostop do podatkov zagotovi prek varnih okolij za obdelavo. V takih primerih bi moral koordinator digitalnih storitev v državi sedeža zagotoviti, da izbrano okolje deluje v skladu z najustreznejšo tehnologijo in preverjenim raziskovalcem omogoča, da dosežejo cilje svojih raziskav.

(19)

Za zagotovitev doslednosti informacij, ki jih koordinatorji digitalnih storitev v državi sedeža posredujejo ponudnikom podatkov, je treba določiti vsebino obrazloženih zahtev.

(20)

Da bi se zaščitili interesi ponudnikov podatkov in sčasoma zmanjšala pogostost zahtev za spremembe ter raziskovalcem olajšalo oblikovanje ustreznih vlog za dostop do podatkov, bi moral koordinator digitalnih storitev v državi sedeža, ki je izdal zadevne obrazložene zahteve, na portalu za dostop do podatkov na podlagi akta o digitalnih storitvah javno objaviti pregled vsake obrazložene zahteve, vključno z njenimi morebitnimi spremembami in posodobitvami.

(21)

Za zagotovitev, da ima koordinator digitalnih storitev v državi sedeža ustrezne informacije za oceno zahteve za spremembo, in za olajšanje enotnega pristopa k oceni zahtev za spremembo, bi bilo treba od ponudnika podatkov zahtevati, da navede razloge za tako zahtevo, kot je navedeno v členu 40(5) Uredbe (EU) 2022/2065. Natančneje, koordinator digitalnih storitev v državi sedeža bi moral imeti pri ocenjevanju zahteve za spremembo, vložene na podlagi pomanjkanja dostopa ponudnika podatkov do podatkov, možnost preučiti, ali je domnevna nezmožnost ustrezno utemeljena, na primer z neobstojem zahtevanih podatkov ali tehničnimi omejitvami, kot je šifriranje, in bi moral imeti informacije, potrebne za preučitev, ali je pomanjkanje dostopa trajno ali začasno. V zvezi s tem bi moralo biti jasno, da se poslovni vidiki ne bi smeli obravnavati kot razlog za samodejno zavrnitev dostopa do zahtevanih podatkov, temveč kot razlog za spremembo načinov zagotavljanja dostopa do podatkov, kar lahko privede do uvedbe dodatnih zahtev glede varnosti in zaupnosti podatkov.

(22)

Da bi se zagotovilo učinkovito reševanje sporov in spodbudila opredelitev vzajemno sprejemljive rešitve, bi moralo biti ponudnikom podatkov omogočeno, da koordinatorje digitalnih storitev v državi sedeža zaprosijo za sodelovanje v mediaciji. Tako sodelovanje bi moralo biti prostovoljno v celotnem postopku mediacije in ne bi smelo zavezujoče vplivati na koordinatorja digitalnih storitev v državi sedeža, ki je še naprej pristojen za odločanje o zahtevah za spremembo. Vse strani, vključene v postopek mediacije, bi morale delovati v dobri veri ter si prizadevati za pravičen in vzajemno sprejemljiv dogovor.

(23)

Da se prepreči, da bi mediacija za nedoločen čas podaljšala proces dostopa do podatkov, bi bilo treba posredovanje pisne zahteve za mediacijo, izbiro mediatorja in sam postopek mediacije izvesti v določenih rokih. Koordinatorji digitalnih storitev v državi sedeža bi morali določiti rok za postopek mediacije v zvezi z določeno obrazloženo zahtevo, mediator pa bi moral biti pooblaščen, da v določenih okoliščinah prekine postopek mediacije.

(24)

Za ohranitev medsebojnega zaupanja med stranmi, vključenimi v mediacijo, bi moral koordinator digitalnih storitev v državi sedeža zagotoviti, da predlagani mediator izpolnjuje zahteve glede nepristranskosti, neodvisnosti in ima ustrezno strokovno znanje o predmetu mediacije.

(25)

Za olajšanje informiranega in učinkovitega odločanja v zvezi s procesom dostopa do podatkov bi moralo biti koordinatorjem digitalnih storitev omogočeno, da zahtevajo strokovna mnenja o določenih elementih postopka dostopa do podatkov, kot so določitev načinov dostopa, vključno z ustreznimi vmesniki, oblikovanje obrazložene zahteve in morebitne zahteve ponudnika podatkov za spremembo. Strokovnjaki, s katerimi potekajo posvetovanja, bi morali imeti dokazano strokovno znanje o zadevi, o kateri se zahteva njihovo mnenje, in bi morali biti neodvisni. Zlasti ne bi smeli biti v nikakršnem navzkrižju interesov, ki bi na primer izhajalo iz kakršnih koli vezi z raziskovalci prosilci ali ponudnikom podatkov.

(26)

Da bi se povečala preglednost in koordinatorjem digitalnih storitev omogočilo, da nadgrajujejo svoje strokovno znanje, pridobljeno skozi čas, bi bilo treba vsako zahtevo za posvetovanje s strokovnjaki in nadaljnje ukrepe, ki izhajajo iz nje, registrirati v sistemu AGORA.

(27)

Da bi se olajšal učinkovit nadzor nad izpolnjevanjem pogojev iz obrazložene zahteve, bi moral ponudnik podatkov koordinatorja digitalnih storitev v državi sedeža v treh delovnih dneh obvestiti o datumu zagotovitve dostopa preverjenim raziskovalcem in datumu prekinitve dostopa.

(28)

Da bi preverjenim raziskovalcem omogočili uporabo zahtevanih podatkov za namene raziskav in zagotovili ustrezne informacije o kontekstu, bi morali ponudniki podatkov preverjenim raziskovalcem zagotoviti ustrezne metapodatke in dokumentacijo z opisom podatkov, ki so dani na voljo, kot so šifranti, dnevniki sprememb in dokumentacija o arhitekturi.

(29)

Da bi preverjenim raziskovalcem olajšali smiselne raziskave, tudi z omogočanjem kombiniranja zahtevanih podatkov s podatki, ki so na voljo iz drugih virov, ponudniki podatkov ne bi smeli nalagati nobenih omejitev za analitična orodja, ki jih uporabljajo preverjeni raziskovalci, vključno z ustreznimi knjižnicami programske opreme, ter ne bi smeli nalagati zahtev glede arhiviranja, shranjevanja, osveževanja in brisanja, razen če so izrecno navedene v načinih dostopa, opredeljenih v obrazloženi zahtevi.

(30)

Kadar podatki, zagotovljeni preverjenim raziskovalcem, vključujejo osebne podatke v smislu člena 4 Uredbe (EU) 2016/679, bi moral ponudnik podatkov upoštevati pravila iz navedene uredbe. Zlasti člen 40(4) Uredbe (EU) 2022/2065 določa pravno obveznost v smislu člena 6(1), točka (c), Uredbe (EU) 2016/679 za vsako obdelavo osebnih podatkov, ki je potrebna, da ponudnik podatkov zagotovi dostop do podatkov, navedenih v obrazloženi zahtevi. Kadar se obdelujejo posebne vrste osebnih podatkov v smislu člena 9 Uredbe (EU) 2016/679, ta uredba izpolnjuje zahtevo iz člena 9(2), točka (g), Uredbe (EU) 2016/679.

(31)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (4) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 4. decembra 2024.

(32)

Po posvetovanju z Evropskim odborom za digitalne storitve v skladu s členom 40(13) Uredbe (EU) 2022/2065 in po njegovi potrditvi –