Data access for vetted researchers

Dataleverantörer och forskare som vill delta i processen för dataåtkomst bör skapa ett konto för detta ändamål på DSA-dataåtkomstportalen. För att säkerställa att samordnarna för digitala tjänster kan få åtkomst till information som lämnas via DSA-dataåtkomstportalen utan att behöva skapa ett separat konto på portalen, bör DSA-dataåtkomstportalen vara interoperabel med systemet för informationsutbyte Agora som inrättades genom kommissionens genomförandeförordning (EU) 2024/607(²).

För att säkerställa insyn i processen för dataåtkomst för alla berörda parter och för att övervaka ändamålsenligheten och effektiviteten i processen för dataåtkomst samt efterlevnaden av artikel 40.4 i förordning (EU) 2022/2065 och denna förordning bör DSA-dataåtkomstportalen generera automatiska meddelanden om processens olika steg och uppdateringar.

För att ge forskare konsekvent information om processen för dataåtkomst bör samordnare för digitala tjänster via sina onlinegränssnitt se till att information om processen för dataåtkomst är tillgänglig och lätt åtkomlig, och bland annat har länkar till DSA-dataåtkomstportalen. För att undvika att skapa onödiga administrativa bördor, öka effektiviteten och underlätta kommunikationen mellan alla parter som deltar i processen för dataåtkomst uppmanas samordnare för digitala tjänster att underlätta hanteringen av information som rör processen för dataåtkomst, även ur ett språkligt perspektiv.

För att forskare ska kunna identifiera relevanta data för de ändamål som anges i artikel 40.4 i förordning (EU) 2022/2065 bör dataleverantörer tillgängliggöra datakataloger enligt förordningen om digitala tjänster (DSA-datakataloger) för sina tjänster. Sådana kataloger bör vara lätta att hitta och åtkomliga i dataleverantörernas onlinegränssnitt och de bör beskriva de tillgängliga datatillgångar, till vilka åtkomst kan begäras i enlighet med artikel 40.4 i förordning (EU) 2022/2065, samt deras datastruktur och metadata. När dataleverantörer tillgängliggör DSA-datakataloger bör de ta hänsyn till de risker för konfidentialitet, datasäkerhet eller skydd av personuppgifter som kan uppstå till följd av att sådan information offentliggörs.

För att bidra till utvecklingen av relevanta forskningsprojekt för de ändamål som anges i artikel 40.4 i förordning (EU) 2022/2065 bör DSA-datakatalogerna särskilt innehålla uppgifter om de systemrisker i unionen som dataleverantörerna har identifierat i sina årliga riskbedömningar i enlighet med artikel 34 i den förordningen samt de data om eventuella riskbegränsningsåtgärder som avses i artikel 35 i den förordningen. För att säkerställa att DSA-datakatalogerna är relevanta och aktuella bör dessa kataloger regelbundet uppdateras med vederbörlig hänsyn till nyligen identifierade systemrisker och utvecklingen av systemrisker. De bör till exempel återspegla nya risker som identifierats efter en specifik riskbedömning enligt artikel 34 i förordning (EU) 2022/2065 eller efter en revisionsrapport i enlighet med artikel 37 i den förordningen. För att minimera den processuella bördan för dataleverantörerna kan sådana kataloger, när så är lämpligt, förlita sig på befintliga datadokumentationsresurser som används för andra ändamål och målgrupper, såsom reklam, innehållsskapande eller utveckling av appar från tredje part. Det bör inte krävas att DSA-datakatalogerna ska vara uttömmande och de bör därför inte binda eller begränsa sökande forskare i deras ansökningar om dataåtkomst.

För att samordnaren för digitala tjänster i etableringslandet lättare ska kunna fastställa åtkomstsätten och minska den totala bördan när det gäller processen för dataåtkomst för alla berörda aktörer bör dataleverantörerna offentliggöra sina föreslagna åtkomstsätt för de data som anges i DSA-datakatalogerna. Dessa föreslagna åtkomstsätt bör stå i proportion till hur känsliga uppgifterna är samt omfatta information om möjliga tekniska, organisatoriska och rättsliga villkor som dataleverantörerna anser vara lämpliga för att uppgifterna ska kunna tillhandahållas. De åtkomstsätt som dataleverantörerna föreslår bör inte vara bindande för samordnarna för digitala tjänster i etableringslandet, som bör vara fortsatt behöriga att fastställa lämpliga åtkomstsätt.

För att säkerställa att ansökningar om dataåtkomst behandlas lika, oberoende av den samordnare för digitala tjänster till vilken ansökan om dataåtkomst lämnas in eller från vilken den motiverade begäran härrör, bör tidsramen för formuleringen av motiverade begäranden specificeras för att säkerställa samstämmighet mellan alla samordnare för digitala tjänster. Om formuleringen av den motiverade begäran kräver ytterligare tid bör samordnaren för digitala tjänster i etableringslandet underrätta huvudforskaren och ange skälen till förseningen. Sådana skäl kan inbegripa att samordnaren för digitala tjänster behöver göra ytterligare kontroller av forskningsorganisationen eller i etableringslandet, till exempel om ansökningar om dataåtkomst innebär internationella dataöverföringar eller om samordnaren för digitala tjänster i etableringslandet har identifierat potentiella risker för unionens säkerhet om data skulle delas. I syfte att anpassa även de steg i processen för dataåtkomst som föregår formuleringen av motiverade begäranden, inbegripet bedömning av ansökningar om dataåtkomst och beviljande av status som utvald forskare, uppmanas samordnarna för digitala tjänster att utveckla ett konsekvent och samordnat arbetssätt, inbegripet gemensamma operativa kriterier, inom ramen för den europeiska nämnden för digitala tjänster.

För att effektivisera förfarandena för att formulera motiverade begäranden bör alla samordnare för digitala tjänster i etableringslandet vara skyldiga att kontrollera att vissa gemensamma delar av processen för dataåtkomst vederbörligen omfattas av ansökningarna om dataåtkomst. I detta syfte bör samordnarna för digitala tjänster i etableringslandet kontrollera att alla sökande forskare som nämns i ansökan om dataåtkomst visar att de är knutna till en forskningsorganisation, till exempel genom att tillhandahålla skriftliga bevis på anställningsavtal eller någon annan form av rättslig anslutning till forskningsorganisationen. Samordnarna för digitala tjänster i etableringslandet bör också kontrollera att de sökande forskarna har visat att de är fristående från kommersiella intressen, till exempel genom en förklaring om detta.

Samordnaren för digitala tjänster i etableringslandet bör kontrollera att finansieringen av det forskningsprojekt för vilket data begärs anges i ansökan om dataåtkomst. Den information som lämnas av de sökande forskarna bör innehålla uppgifter om bidragen, såsom finansieringsenheten, bidragsbeloppet, bidragets art och varaktighet, inklusive huruvida finansieringen redan har beviljats eller huruvida en ansökan om finansiering fortfarande utvärderas, samt, i tillämpliga fall, relevanta hänvisningar till unionsfinansierade projekt. I förekommande fall bör ansökan om dataåtkomst också innehålla resultaten av utvärderingar som genomförts av den enhet eller de enheter som tillhandahåller finansieringen.

Samordnaren för digitala tjänster i etableringslandet bör kontrollera att det i ansökan om dataåtkomst anges hur data och dataformat väljs, med hänvisning till kraven på nödvändighet och proportionalitet, i förhållande till den planerade forskningens syfte. Om de begärda uppgifterna också är tillgängliga genom andra källor bör samordnaren för digitala tjänster i etableringslandet bedöma huruvida begäran om sådana data i ansökan om dataåtkomst är vederbörligen motiverad, med beaktande av informationen i ansökan om dataåtkomst. Möjliga motiveringar kan inbegripa bevis på dålig kvalitet eller bristande tillförlitlighet hos sådana data som härrör från andra källor eller att det format i vilket sådana uppgifter kan hämtas från andra källor för forskningsprojektets syften är olämpligt, vilket skulle hindra forskningsprojektets genomförande. Data som kan begäras för att studera systemrisker eller begränsa sådana i unionen kan komma att utvecklas i framtiden. Aktuella exempel på sådana data omfattar data som rör användare av tjänsterna, såsom profilinformation, kontaktnät, exponering av innehåll på individnivå och engagemangshistorik; uppgifter om interaktioner, t.ex. kommentarer eller andra engagemang; uppgifter som rör innehållsrekommendationer, bland annat uppgifter som används för att individanpassa rekommendationerna; uppgifter om inriktning av annonser och profilering, inbegripet kostnad per klickdata och andra mått avseende reklampriser; uppgifter om testning av nya funktioner innan de tas i bruk, bland annat resultaten av A/B-tester; data som rör innehållsmoderering och innehållsstyrning, såsom data om algoritmiska eller andra system och processer för innehållsmoderering, inbegripet ändringsloggar, arkiv eller databaser som dokumenterar modererat innehåll, inklusive konton samt data om priser, kvantiteter och egenskaper hos varor eller tjänster som tillhandahålls eller förmedlas av dataleverantören.

Samordnaren för digitala tjänster i etableringslandet bör kontrollera om ansökan om dataåtkomst innehåller tillräcklig information som visar att forskaren kan uppfylla de särskilda kraven på konfidentialitet, säkerhet och skydd av personuppgifter med avseende på de begärda uppgifterna, kan identifiera eventuella risker som härrör från åtkomst till och behandling av sådana data för forskningsändamål samt dokumentera alla föreslagna åtkomstsätt, inbegripet de rättsliga, organisatoriska och tekniska villkor som kommer att införas för att minimera identifierade risker, till exempel genom ett skriftligt åtagande från forskningsorganisationen som bekräftar tillgång till medel som kan utgöra relevanta skyddsåtgärder, eller andra handlingar som styrker detta.

Om personuppgifter begärs bör samordnaren för digitala tjänster i etableringslandet kontrollera att ansökan om dataåtkomst innehåller information om den rättsliga grunden för behandling av personuppgifter, inbegripet särskilda kategorier av personuppgifter, i tillämpliga fall, och huruvida en sådan rättslig grund är förenlig med artikel 6.1 e eller 6.1 f och, i tillämpliga fall, artikel 9.2 g eller 9.2 j i Europaparlamentets och rådets förordning (EU) 2016/679(³). Samordnaren för digitala tjänster i etableringslandet bör dessutom kontrollera att ansökan om dataåtkomst innehåller tillräckliga indikationer på att forskarna har bedömt riskerna för skyddet av personuppgifter. Detta kan till exempel påvisas genom en konsekvensbedömning avseende dataskydd i den mening som avses i artikel 35 i den förordningen. För att säkerställa åtkomst till personuppgifter i enlighet med förordning (EU) 2016/679 bör samordnare för digitala tjänster ha rätt att samråda med de relevanta tillsynsmyndigheter som inrättats i enlighet med artikel 51 i den förordningen, vilka alltjämt är behöriga att bedöma efterlevnaden av förordning (EU) 2016/679.

För att underlätta formuleringen av den motiverade begäran och bevara integriteten hos den information som ingår i ansökan om dataåtkomst bör samordnaren för digitala tjänster i etableringslandet kontrollera om ansökan om dataåtkomst innehåller en sammanfattning. En sådan sammanfattning bör innehålla en översikt över den information som kommer att ingå i den motiverade begäran som offentliggörs i DSA-dataåtkomstportalen, i de fall när bedömningen av ansökan om dataåtkomst leder till att en motiverad begäran formuleras.

För att säkerställa att de åtkomstsätt som samordnaren för digitala tjänster i etableringslandet fastställer är lämpliga för att hantera känsligheten hos de specifika data som begärs i en ansökan om dataåtkomst bör samordnaren för digitala tjänster i etableringslandet göra en bedömning från fall till fall, på grundval av den information som tillhandahålls i ansökan om dataåtkomst. De åtkomstsätt som fastställs i den motiverade begäran bör vara lämpliga för att uppfylla kraven på datasäkerhet, datasekretess och skydd av personuppgifter, och samtidigt göra det möjligt att uppnå forskningsprojektets forskningsmål. Åtkomst till data kan till exempel ske genom dataöverföring till utvalda forskare via ett lämpligt gränssnitt och lämplig datalagring; överföring av data till och lagring i en säker behandlingsmiljö som drivs av dataleverantören eller av en tredjepartsleverantör som utvalda forskare har åtkomst till men där ingen dataöverföring till de utvalda forskarna äger rum, eller andra åtkomstsätt som ska fastställas eller underlättas av dataleverantören. När åtkomstsätten specificeras bör samordnaren för digitala tjänster i etableringslandet också förteckna alla rättsliga, tekniska eller organisatoriska villkor som åtkomsten ska omfattas av. I fall där tillhandahållandet av åtkomst inbegriper en överföring av personuppgifter till tredjeländer eller internationella organisationer i den mening som avses i kapitel V i förordning (EU) 2016/679 bör åtkomstsätten även omfatta information om behovet av att inrätta en lämplig överföringsmekanism för att säkerställa att dataleverantören vidtar nödvändiga åtgärder för att följa den förordningen.

För att säkerställa att sätten för dataåtkomst är lämpliga för att hantera särskilda känsliga frågor om dataskydd, datasäkerhet eller konfidentialitet bör samordnaren för digitala tjänster i etableringslandet, på grundval av den information som mottas i ansökan om dataåtkomst, kunna kräva att dataåtkomsten tillhandahålls via säkra behandlingsmiljöer. I sådana fall bör samordnaren för digitala tjänster i etableringslandet säkerställa att den valda miljön fungerar i linje med den lämpligaste tekniken och gör det möjligt för utvalda forskare att uppnå målen för sin forskning.

För att säkerställa att den information som samordnarna för digitala tjänster i etableringslandet överför till dataleverantörerna är konsekvent är det nödvändigt att specificera innehållet i motiverade begäranden.

För att skydda dataleverantörernas intressen och minska frekvensen av begäranden om ändring över tid samt underlätta för forskare att formulera relevanta ansökningar om dataåtkomst, bör en översikt över varje motiverad begäran, inbegripet eventuella ändringar och uppdateringar av den, göras tillgänglig för allmänheten i DSA-dataåtkomstportalen av den samordnare för digitala tjänster i etableringslandet som utfärdade respektive motiverade begäran.

För att säkerställa att samordnaren för digitala tjänster i etableringslandet har relevant information för att utvärdera en begäran om ändring och för att underlätta en enhetlig strategi vid utvärderingen av begäranden om ändring bör dataleverantören vara skyldig att ange skälen till en sådan begäran, i enlighet med artikel 40.5 i förordning (EU) 2022/2065. Mer specifikt bör samordnaren för digitala tjänster i etableringslandet, vid bedömningen av en begäran om ändring som lämnas in på grundval av att en dataleverantör inte kan ge åtkomst till data, kunna undersöka om den påstådda omöjligheten är vederbörligen motiverad, till exempel av att de begärda uppgifterna saknas eller av tekniska begränsningar såsom kryptering, och samordnaren bör ha den information som krävs för att överväga huruvida bristen på åtkomst är permanent eller tillfällig. Det bör i detta avseende stå klart att kommersiella överväganden inte bör anses som ett skäl för att automatiskt vägra åtkomst till begärda uppgifter, utan snarare som en grund för att ändra sättet att ge åtkomst till uppgifterna, vilket kan leda till ytterligare krav på datasäkerhet och konfidentialitet.

För att säkerställa en effektiv tvistlösning och uppmuntra till identifieringen av en ömsesidigt godtagbar lösning, efter en begäran om ändring, bör dataleverantörer kunna uppmana samordnarna för digitala tjänster i etableringslandet att delta i medling. Ett sådant deltagande bör vara frivilligt under hela medlingsprocessen och bör inte leda till något bindande resultat för samordnaren för digitala tjänster i etableringslandet, som förblir behörig att besluta om begäranden om ändring. Alla parter som deltar i medlingsprocessen bör engagera sig i god tro och sträva efter att nå en rättvis och ömsesidigt godtagbar överenskommelse.

För att förhindra att medlingen förlänger processen för dataåtkomst på obestämd tid bör överföringen av den skriftliga begäran om medling, valet av medlare och själva medlingsprocessen ske inom angivna tidsramar. Samordnarna för digitala tjänster i etableringslandet bör fastställa en tidsfrist för medlingsprocessen i samband med en viss motiverad begäran, och medlaren bör ha befogenhet att avsluta medlingsprocessen under särskilda omständigheter.

För att upprätthålla ömsesidigt förtroende mellan de parter som deltar i medlingen bör samordnaren för digitala tjänster i etableringslandet säkerställa att den föreslagna medlaren uppfyller kraven på opartiskhet och oberoende samt har relevant sakkunskap i ämnet för medlingen.

För att underlätta ett välgrundat och effektivt beslutsfattande i samband med processen för dataåtkomst bör samordnare för digitala tjänster ha möjlighet att inhämta expertutlåtanden om specifika delar av processen för dataåtkomst, såsom fastställandet av åtkomstsätten, inbegripet lämpliga gränssnitt, formuleringen av den motiverade begäran och eventuella begäranden om ändring från dataleverantören. De experter som rådfrågas bör ha beprövad sakkunskap i den fråga som de rådfrågas om och bör vara oberoende. De bör i synnerhet inte ha någon intressekonflikt, till exempel på grund av eventuella band till de sökande forskarna eller till dataleverantören.

För att öka insynen och göra det möjligt för samordnare för digitala tjänster att bygga vidare på sin sakkunskap som förvärvats över tid bör varje begäran om samråd med expert och den uppföljning som genereras av dessa samråd registreras i Agora.

För att underlätta en effektiv tillsyn av efterlevnaden av de villkor som anges i den motiverade begäran bör dataleverantören underrätta samordnaren för digitala tjänster i etableringslandet inom tre arbetsdagar från den dag då de utvalda forskarna får åtkomst och om den dag då åtkomsten upphör.

För att göra det möjligt för utvalda forskare att använda begärda data för forskningsändamål och för att tillhandahålla relevant kontextinformation bör dataleverantörerna förse utvalda forskare med relevanta metadata och dokumentation som beskriver de data som gjorts åtkomliga, såsom kodböcker, ändringsloggar och dokumentarkitektur.

För att underlätta utvalda forskares meningsfulla forskning, även genom att göra det möjligt att kombinera begärda data med data som finns tillgängliga via andra källor, bör dataleverantörer inte införa några begränsningar för de analysverktyg som används av utvalda forskare, inbegripet relevanta programvarubibliotek, och de bör inte införa krav på arkivering, lagring, uppdatering och radering, såvida detta inte uttryckligen nämns i de åtkomstsätt som anges i den motiverade begäran.

Om de uppgifter som lämnas till de utvalda forskarna omfattar personuppgifter i den mening som avses i artikel 4 i förordning (EU) 2016/679, bör dataleverantören följa reglerna i den förordningen. I synnerhet inför artikel 40.4 i förordning (EU) 2022/2065 en rättslig skyldighet i den mening som avses i artikel 6.1 c i förordning (EU) 2016/679 för all behandling av personuppgifter som är nödvändig för att dataleverantören ska ge åtkomst till de uppgifter som anges i den motiverade begäran. Om särskilda kategorier av personuppgifter i den mening som avses i artikel 9 i förordning (EU) 2016/679 ska behandlas, uppfyller denna förordning kravet i artikel 9.2 g i förordning (EU) 2016/679.

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725(⁴) och avgav ett yttrande den 4 december 2024.

Den europeiska nämnden för digitala tjänster har hörts i enlighet med artikel 40.13 i förordning (EU) 2022/2065 och uttryckte sitt godkännande.