«Затрагивает ли нас Закон ЕС о данных?» — этот вопрос теперь попадает в повестку компаний, которые продают в Европу умные устройства, машины или подключённое оборудование, уже с конкретными датами. По данным Европейской комиссии, Закон о данных (Data Act) вступил в силу 11 января 2024 года и применяется с 12 сентября 2025 года. Более того, обе ключевые вехи графика уже совсем рядом: обязанность, касающаяся проектирования подключённых продуктов, применяется к продуктам, выведенным на рынок после 12 сентября 2026 года. Плата же за смену поставщика облачных услуг с 12 января 2027 года отменяется полностью.
В этой статье мы, опираясь на страницу Комиссии и текст регламента в EUR-Lex, кратко рассматриваем, по каким направлениям регламент может затронуть турецкие компании, и предлагаем практический чек-лист.
Что регулирует Закон о данных?
Статья 1 Регламента (ЕС) 2023/2854 перечисляет сферы регулирования: предоставление пользователю данных подключённых продуктов и связанных услуг, обмен данными между компаниями, предоставление данных государственным органам в исключительных ситуациях, облегчение перехода между услугами по обработке данных, гарантии против незаконного доступа к неперсональным данным из-за рубежа и стандарты функциональной совместимости.
Для турецких компаний решающее значение имеет положение о сфере применения. Регламент применяется к производителям подключённых продуктов, выводимых на рынок ЕС, и к поставщикам связанных услуг независимо от того, где они учреждены. Такой же подход действует и для поставщиков услуг по обработке данных (облачных услуг), которые обслуживают клиентов в ЕС. Иными словами, если производитель или компания-разработчик программного обеспечения с головным офисом в Турции предлагает свой продукт или услугу на рынке ЕС, ей необходимо оценить, подпадает ли она под действие регламента.
Согласно определению в регламенте, подключённый продукт — это вещь, которая создаёт или собирает данные о своём использовании или окружающей среде и способна передавать эти данные через услугу связи, физическое соединение или доступ через устройство. Связанная услуга — это цифровая услуга, включая программное обеспечение, которая связана с продуктом таким образом, что без неё продукт не мог бы выполнять одну из своих функций. Это определение может охватывать широкий круг продуктов — от промышленных машин до бытовой техники, от автомобильного оборудования до сельскохозяйственных датчиков.
Обязанности для экспортёров подключённых продуктов
Обязанность по проектированию. Подключённые продукты должны быть спроектированы так, чтобы пользователь по умолчанию мог легко, безопасно, бесплатно и в машиночитаемом формате получать доступ к данным продукта и связанной услуги вместе с метаданными, необходимыми для их интерпретации. Согласно статье 50, эта обязанность действует в отношении продуктов, выведенных на рынок после 12 сентября 2026 года. Поэтому новые модели, выходящие на рынок ЕС после этой даты, должны отвечать этому требованию уже на этапе проектирования.
Информирование до продажи. Продавец, арендодатель или производитель обязан до заключения договора ясно сообщить тип, формат и ориентировочный объём данных, которые может создавать продукт, создаются ли они непрерывно и в реальном времени, где хранятся и как пользователь сможет получить к ним доступ.
Доступ и передача третьей стороне. Если прямой доступ к данным невозможен, держатель данных обязан по запросу пользователя без промедления и бесплатно предоставить имеющиеся у него данные; по просьбе пользователя или действующей от его имени стороны те же данные должны передаваться и третьей стороне. Меры по защите коммерческой тайны и — в исключительных случаях — возможность мотивированного отказа отдельно предусмотрены в регламенте.
Ограничения на ваше собственное использование. Держатель данных может использовать имеющиеся у него неперсональные данные только на основании договора с пользователем и не вправе делать из них выводы об экономическом положении пользователя или его методах производства, которые ослабили бы его коммерческую позицию.
Исключение для малых предприятий. Обязанности этого раздела не распространяются на подключённые продукты, произведённые микро- и малыми предприятиями; однако для этого у предприятия не должно быть партнёра или связанной компании, превышающих этот масштаб, и оно не должно заниматься контрактным производством по заказу другой компании. Поэтому для небольшого турецкого поставщика, выполняющего контрактное производство для крупного бренда, это исключение не действует автоматически.
Договоры между компаниями. Условия доступа к данным и их использования, которые одна компания в одностороннем порядке навязывает другой и которые серьёзно отклоняются от надлежащей коммерческой практики, не имеют обязательной силы. Эти правила применяются к договорам, заключённым после 12 сентября 2025 года; для заключённых ранее бессрочных или долгосрочных договоров датой начала применения является 12 сентября 2027 года.
Для пользователей облака и поставщиков облачных услуг
Глава VI регламента нацелена на устранение коммерческих, технических и договорных барьеров, которые мешают клиенту перейти на услугу того же типа, к другому поставщику или на собственную инфраструктуру. Согласно статье 25, в договоре должно быть предусмотрено как минимум следующее:
- Максимальный срок уведомления о начале перехода — два месяца.
- После окончания срока уведомления — переходный период не более 30 календарных дней; если это технически невозможно, поставщик может в течение 14 рабочих дней направить обоснование и предложить альтернативный срок не более семи месяцев.
- Полный перечень данных и цифровых активов, которые можно перенести, период извлечения данных не менее 30 дней и последующая гарантия полного удаления.
Что касается платы, статья 29 устанавливает поэтапный график: до 12 января 2027 года поставщики могут взимать сниженную плату, не превышающую расходов, непосредственно связанных с переходом; после этой даты плата за переход не взимается. Кроме того, поставщики обязаны публиковать на своих сайтах сведения о юрисдикции, которой подчиняется их инфраструктура, и о мерах, принятых ими для защиты от доступа иностранных государственных органов.
Поскольку эти права определены для клиентов в ЕС, вопрос о том, входит ли облачный договор компании из Турции в эту сферу, нужно оценивать отдельно — исходя из стороны договора и места предоставления услуги. Группы компаний, имеющие в ЕС аффилированные структуры, и турецкие компании-разработчики ПО, предоставляющие клиентам в ЕС услуги SaaS или хостинга, напротив, могут быть непосредственными адресатами этой главы. Для услуг, разработанных специально для клиента и не предлагаемых в широком масштабе, некоторые технические обязательства и правило о плате не применяются. Общую схему миграции в облако можно изучить в нашей статье о том, с чего начинать миграцию в облако.
Санкции и повестка изменений
Санкции определяют государства-члены; за нарушения некоторых разделов, например касающихся данных подключённых продуктов, органы по защите данных могут налагать административные штрафы вплоть до самой высокой ступени штрафов, предусмотренных Общим регламентом по защите данных (GDPR).
В пакете Digital Omnibus («Цифровой омнибус»), представленном в ноябре 2025 года, Комиссия предложила точечные исключения из правил о переходе между облачными услугами для МСП, малых компаний среднего размера и услуг, разработанных специально для клиента. Однако это лишь предложение: в карточке документа в EUR-Lex по состоянию на 5 октября 2026 года виден не акт, вносящий изменения в регламент, а лишь тексты исправлений. Планировать следует по действующему на сегодня тексту, а процесс внесения изменений — отслеживать отдельно.
Чек-лист
Приведённые ниже шаги — общая схема, выведенная из текста регламента; её необходимо адаптировать к структуре вашего продукта и договоров на основе юридической оценки.
- Инвентаризация продуктов: составьте перечень того, какие из продаваемых в ЕС продуктов создают и способны передавать данные и какие приложения или программное обеспечение могут считаться «связанной услугой».
- Разделение по датам: отдельно отметьте модели, выведенные на рынок после 12 сентября 2026 года; обязанность по проектированию распространяется на них.
- Карта данных: по каждому продукту задокументируйте, какие данные создаются, где хранятся, в каком формате их можно экспортировать и достаточно ли метаданных.
- Текст предпродажной информации: убедитесь, что в руководстве по эксплуатации, договоре и на веб-страницах в полном объёме представлены сведения, указанные в статье 3.
- Процесс обработки запросов: определите, кто, по какому каналу и в какой срок будет отвечать на запросы о доступе к данным от пользователя или третьей стороны; заранее выделите данные, содержащие коммерческую тайну.
- Проверка масштаба и контрактного производства: если вы рассчитываете на исключение для малых предприятий, задокументируйте условия, связанные с партнёрами, связанными компаниями и контрактным производством.
- Анализ договоров: пересмотрите условия о доступе к данным и об ответственности в договорах с партнёрами из ЕС с точки зрения правил о несправедливых условиях.
- Облачные договоры: уточните у вашего поставщика положения о сроке уведомления, переходном периоде, перечне данных, извлечении и удалении данных, а также порядок платы за переход после 12 января 2027 года.
- Персональные данные: если данные продукта содержат персональные данные, оцените вместе приоритет GDPR и обязанности по KVKK (турецкий закон о защите персональных данных).
Выводы
Для турецких компаний, предлагающих на рынке ЕС подключённые продукты или облачные услуги, Закон о данных — это не только юридическая тема, а вопрос цифровизации, затрагивающий одновременно проектирование продуктов, инфраструктуру данных и управление договорами. Если инвентаризацию и карту данных составить уже сегодня, юридическая оценка и адаптация к возможным изменениям пройдут значительно легче. Ещё один аспект регуляторного графика ЕС можно также изучить в материале о новых сроках в Законе ЕС об ИИ.
Эта статья носит общий информационный характер и не заменяет юридическую консультацию.
#interimmanagement #forwarddeployedengineering