A skoro jakiś czas temu naszło mnie napisać coś ex cathedra o zakresie podmiotowym DSA, a później zacząłem (się) mieszać… — dziś czas na rozwinięcie tematu do dyskusji: kogo właściwie dotyczy (a kogo nie dotyczy) akt o usługach cyfrowych? Czy „informacjami” w rozumieniu DSA są także dane osobowe klientów sklepu internetowego, a sprzedający, który siłą rzeczy przetwarza jakieś informacje o kupujących, podlega pod DSA?
Zaczynając od oczywistości i zmierzając ku spekulacjom:
- akt o usługach cyfrowych dotyczy tylko i wyłącznie podmiotów świadczących usługi pośrednie, tj. hostingu (przechowywania informacji przekazanych przez usługobiorcę i na jego żądanie), zwykłego przekazu (transmisji informacji) oraz cachingu (krótkotrwałego przechowywania transmitowanych informacji, art. 3 lit. g) DSA);
- prawodawca był tak łaskaw, że w motywach DSA wyjaśnił część tych pojęć na dość łopatologicznych przykładach: transmisja informacji to m.in. „punkty dostępu bezprzewodowego, wirtualne sieci prywatne, rejestratorzy, organy certyfikacji wydające certyfikaty cyfrowe, telefonia internetowa” — ogólnie rzecz ujmując „usługi łączności interpersonalnej”;
- natomiast caching to m.in. „zapewnianie sieci dostarczania treści, odwrotnych serwerów proxy” — są to usługi, które mają „kluczowe znaczenie dla zapewnienia sprawnej i efektywnej transmisji informacji dostarczanych w internecie”;
- zaś hosting danych, zdefiniowany jako „przechowywaniu informacji przekazanych przez odbiorcę usługi oraz na jego żądanie”, objaśniony został na następujących przykładach:
motyw 29 rozporządzenia 2022/2065 w/s jednolitego rynku usług cyfrowych
(…) Przykładowe „usługi hostingu” obejmują kategorie usług takie, jak przetwarzanie w chmurze, web hosting, odpłatne usługi odsyłania czy usługi umożliwiające wymianę informacji i treści online, w tym przechowywanie i udostępnianie plików. Usługi pośrednie mogą być świadczone oddzielnie, jako część innego rodzaju usługi pośredniej, lub równocześnie z innymi usługami pośrednimi. (…)
- ta wyliczanka jest o tyle istotna, że do zastosowania przepisów rozporządzenia nie może wskutek dojść przypadku lub incydentalnie: hosting to konkretny rodzaj działalności polegający na przechowywaniu danych dostarczanych przez użytkowników, zaś DSA stosuje się wyłącznie do świadczenia określonych usług pośrednich — i nie można tych przepisów rozciągać na inne usługi, choćby były świadczone za pośrednictwem usługi pośredniej;
art. 1 ust. 2 DSA
Niniejsze rozporządzenie nie ma zastosowania do usługi, która nie jest usługą pośrednią, ani do wymogów nakładanych w odniesieniu do takiej usługi, niezależnie od tego, czy taka usługa jest świadczona za pośrednictwem korzystania z usługi pośredniej.
- dla spróbowania podkręcenia jasności obrazu: usługa hostingu nie wyklucza udostępniania / publikowania / rozpowszechniania przechowywanych danych, jednak te czynności składają się już na definicję platformy internetowej, toteż tutaj wykładnia zaserwowana w motywach aktu wydaje się nieco myląca („udostępnianie plików” to specyficzna odmiana hostingu, nieprawdaż?);
art. 3 lit. i) DSA
„platforma internetowa” oznacza usługę hostingu, która na żądanie odbiorcy usługi przechowuje i rozpowszechnia publicznie informacje, chyba że takie działanie jest nieznaczną lub wyłącznie poboczną cechą innej usługi lub nieznaczną funkcją głównej usługi, i ze względów obiektywnych i technicznych nie można z niej skorzystać bez takiej innej usługi, a włączenie takiej cechy lub funkcji w taką inną usługę nie jest sposobem na obejście stosowania niniejszego rozporządzenia;
- (o platformach internetowych będzie więcej za czas jakiś);
- zmierzając zatem do brzegu: czy przechowywanie danych osobowych klientów sklepu internetowego lub danych o transakcjach (faktur, informacji o dostawach, etc.) będzie podlegało pod akt o usługach cyfrowych?
- moim zdaniem oczywiście, że nie, ponieważ e-sklep nie świadczy na rzecz swych użytkowników usług przechowywania informacji (i raczej żadnej innej usługi pośredniej też nie): sprzedawca korzysta ze świadczonej na jego rzecz usługi hostingowej i jest użytkownikiem („odbiorcą danych”) swego hostingodawcy, ale korzystanie z usługi, która jest „świadczona za pośrednictwem korzystania z usługi pośredniej” nie tworzy usługi pośredniej”, zatem sam hostingodawcą nie jest;
- wyłączenie to dotyczy wszystkich usługodawców, którzy przechowują dane niejako przy okazji świadczenia innej usługi „głównej”, ale nie odnosi się do serwisów, których istotą działalności jest przechowywanie danych dostarczanych ich użytkowników — zatem podmiot świadczący usługę pośrednią, niezależnie od tego, czy dostarcza ją za pośrednictwem innej usługi pośredniej (prosty przykład: kolokacja serwerów);
- a wirtualne biuro księgowe? gdzie klient wpisuje informacje o swych klientach, działalności, transakcjach, a system to wszystko gromadzi, przetwarza i wytwarza na tej podstawie odpowiednie dokumenty? DSA murowane, bo przecież to nie tylko hosting, ale — niech no umożliwi wysyłanie JPK albo faktur do kontrahentów — chyba także transmisja informacji.
Reasumując: wiele wyjdzie w praniu, w tym sensie, że na wiele pytań nie da się udzielić jednoznacznej odpowiedzi, nie jest też przecież dziwne, że jakaś firma świadczy cały wachlarz usług i tylko w małej części określonej regulacji podlega — niemniej w przypadku wątpliwości zalecana jest szczególna ostrożność (zgodnie z zasadą in dubio pro święty spokój).