Akt w sprawie danych: prawo do zmiany dostawcy usług chmurowych, a nie przenoszenie danych na mocy GDPR

Akt w sprawie danych (rozporządzenie 2023/2854) ma przeciwdziałać uzależnieniu od jednego dostawcy, przyznając prawo do zmiany dostawcy usług przetwarzania danych, takich jak usługi chmurowe. Zobowiązuje dostawców do ułatwienia zmiany, w tym przeniesienia danych i metadanych w określonym terminie. Kluczowe jest odróżnienie go od GDPR: wynikające z GDPR prawo do przenoszenia danych obejmuje dane osobowe przekazane administratorowi, natomiast Akt w sprawie danych obejmuje wszelkie dane generowane lub przetwarzane w chmurze, w tym dane nieosobowe i metadane. Jeśli więc pytanie dotyczy zmiany dostawcy usług chmurowych, należy pomyśleć o Akcie w sprawie danych; jeśli dotyczy przeniesienia danych osobowych z platformy społecznościowej, należy pomyśleć o GDPR.

Aby uniknąć tej pułapki, należy pamiętać, że Akt w sprawie danych ma zastosowanie do wszystkich danych w usłudze chmurowej, a nie tylko do danych osobowych. Szybka metoda eliminacji: jeśli scenariusz dotyczy przedsiębiorstwa przenoszącego całą bazę danych lub aplikację z jednej chmury do innej, jest to obszar regulowany Aktem w sprawie danych. Jeśli osoba fizyczna eksportuje swoje zdjęcia lub kontakty z usługi, zastosowanie ma GDPR. Należy również pamiętać, że Akt w sprawie danych ustanawia konkretne limity opłat za zmianę dostawcy i zobowiązuje dostawców do zapewnienia technicznej wykonalności zmiany w ciągu 30 dni. Jeśli jedna z odpowiedzi egzaminacyjnych wspomina o „bezpłatnej zmianie” lub „natychmiastowym przeniesieniu”, należy uważnie sprawdzić kontekst.

Aby dobrze to zapamiętać, warto przyjąć zasadę: „Zmiana chmury? Akt w sprawie danych. Przeniesienie danych osobowych? GDPR”. Dla sprawdzenia pamięci należy zadać sobie pytanie: które przepisy miałyby zastosowanie do przedsiębiorstwa przenoszącego bazę danych swoich klientów z AWS do Azure? Jest to Akt w sprawie danych, ponieważ chodzi o usługę, a nie wyłącznie o dane osobowe.