Data Act 2023/2854 – przewodnik dla przedsiębiorców o nowych regulacjach UE

Cyfrowa gospodarka rozwija się szybciej niż kiedykolwiek wcześniej, a dane stały się jej najcenniejszym zasobem. Instytucje Unii Europejskiej zauważyły jednak, że bez jasno zdefiniowanych zasad dotyczących gromadzenia, wykorzystywania i udostępniania informacji potencjał ten nie zostanie w pełni wykorzystany. Odpowiedzią jest Data Act – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854. Akt ten, opublikowany w Dzienniku Urzędowym UE 22 grudnia 2023 r. i stosowany od 12 września 2025 r., ma na celu wprowadzenie harmonijnych przepisów dotyczących sprawiedliwego dostępu do danych oraz ich wykorzystywania. Oznacza to, że już za chwilę wszyscy producenci, usługodawcy i użytkownicy urządzeń podłączonych do internetu będą musieli dostosować się do nowych reguł gry.

W niniejszym artykule, przygotowanym z myślą o przedsiębiorcach i osobach odpowiedzialnych za compliance, wyjaśniamy najważniejsze założenia rozporządzenia Data Act w prostym języku. Pokazujemy, jakie obowiązki wynikają z przepisów, czego można oczekiwać od kontrahentów oraz jak przygotować się na wejście regulacji w życie. Pamiętaj jednak, że artykuł ma charakter informacyjny i nie stanowi porady prawnej – w razie wątpliwości warto skonsultować się ze specjalistą.

Podstawowe pojęcia – co kryje się w Data Act?

Zanim przejdziemy do omówienia obowiązków i uprawnień, warto uporządkować słowniczek pojęć stosowanych w rozporządzeniu. Ustawodawca nawiązuje do znanych nam z RODO definicji danych osobowych, przetwarzania danych czy osoby, której dane dotyczą. Wprowadza jednak także zupełnie nowe określenia, aby doprecyzować, jakiego rodzaju informacje oraz urządzenia obejmuje Data Act.

Dane i metadane

Według aktu dane to wszelkie cyfrowe odwzorowania działań, faktów lub informacji – obejmują nie tylko liczby czy teksty, ale również nagrania dźwiękowe, wizualne oraz audiowizualne. Metadane to z kolei opis tego zbioru, ułatwiający odkrywanie i korzystanie z danych. W praktyce metadane mogą określać, z jakiego czujnika pochodzi informacja, kiedy została zebrana czy w jakim formacie jest zapisana.

Produkty skomunikowane i usługi powiązane

Centralnym elementem nowych przepisów są urządzenia połączone z internetem, których głównym zadaniem nie jest przechowywanie ani przetwarzanie danych, lecz świadczenie konkretnej funkcji. Rozporządzenie nazywa je produktami skomunikowanymi. Mogą to być samochody z systemem telematycznym, inteligentne lodówki czy maszyny przemysłowe – każde urządzenie generujące dane na temat swojego działania bądź otoczenia.

Z produktami tymi ściśle związane są usługi powiązane, czyli aplikacje lub oprogramowanie umożliwiające korzystanie z funkcji urządzenia. Przykładem jest aplikacja do pralki, która mierzy zużycie wody i energii w poszczególnych programach. Usługa powiązana musi zapewniać dwukierunkową wymianę informacji między urządzeniem a dostawcą usługi oraz wpływać na działanie produktu.

Użytkownik, posiadacz danych i odbiorca danych

Użytkownik to każda osoba (fizyczna lub prawna) posiadająca urządzenie lub korzystająca z niego na podstawie umowy, na przykład wynajmu bądź leasingu. Posiadacz danych to podmiot, który w ramach świadczenia usługi uzyskuje lub wykorzystuje dane z urządzenia i może je przekazywać dalej. Odbiorca danych to natomiast inna firma lub osoba prowadząca działalność gospodarczą, która otrzymuje dane od posiadacza w określonym celu.

Usługa przetwarzania danych

Data Act definiuje również usługi przetwarzania danych – potocznie chmurę obliczeniową. Chodzi o cyfrowe usługi pozwalające na dostęp do skalowalnych i elastycznych zasobów obliczeniowych, które można w razie potrzeby szybko uruchamiać i wyłączać. Dostawcami takich usług są operatorzy chmur publicznych, prywatnych czy hybrydowych.

Zakres stosowania Data Act

Nowe przepisy mają szerokie zastosowanie. Obejmują zarówno dane osobowe, jak i nieosobowe – w tym metadane – które powstają podczas korzystania z urządzeń skomunikowanych. Kluczowe jest to, że regulacje odnoszą się do kilku typów relacji:

1. Urządzenie a użytkownik – chodzi o udostępnianie danych wytworzonych przez produkt skomunikowany właścicielowi bądź osobie korzystającej z urządzenia.

2. Przedsiębiorca a przedsiębiorca – posiadacz danych może zostać zobowiązany do udostępnienia informacji innej firmie na określonych warunkach.

3. Przedsiębiorca a sektor publiczny – organy publiczne mogą w wyjątkowych sytuacjach żądać dostępu do niektórych danych, np. w razie zagrożenia publicznego.

4. Zmiana dostawcy usług przetwarzania – Data Act przewiduje ułatwienia w przenoszeniu danych pomiędzy dostawcami chmur, aby zapewnić konkurencję i uniknąć blokady u jednego operatora.

Przepisy dotyczą producentów urządzeń skomunikowanych wprowadzanych na rynek UE, dostawców usług powiązanych, użytkowników produktów, posiadaczy i odbiorców danych oraz dostawców usług przetwarzania. Dotyczą również uczestników przestrzeni danych, dostawców aplikacji wykorzystujących inteligentne umowy oraz osób wdrażających takie umowy. Warto podkreślić, że Data Act nie zastępuje RODO – w przypadku konfliktu pierwszeństwo mają przepisy o ochronie danych osobowych.

Dzielenie się danymi – prawa i obowiązki

Jednym z najważniejszych elementów Data Act jest zasada, że dane generowane przez produkt skomunikowany należą do użytkownika. Ustawodawca uznaje, że skoro urządzenie tworzy informacje dzięki działaniom właściciela lub najemcy, to ta osoba powinna mieć prawo do nich. Producent musi zatem zaprojektować urządzenie i usługę w taki sposób, aby użytkownik mógł łatwo, bezpłatnie i bezpiecznie pobrać wszystkie zebrane dane w czytelnym formacie. Jeżeli nie jest to możliwe, posiadacz danych ma obowiązek udostępnić je na wniosek użytkownika w rozsądnym terminie. Forma żądania jest prosta – wystarczy elektroniczny wniosek.

Rozporządzenie dopuszcza jednak możliwość ograniczenia dostępu, gdy udostępnienie danych mogłoby zagrażać bezpieczeństwu produktu lub ludzi. Takie ograniczenia powinny wynikać z umowy między posiadaczem a użytkownikiem i muszą być uzasadnione. Użytkownik może złożyć skargę do właściwego organu nadzoru, jeśli uzna, że odmowa dostępu jest nieuzasadniona.

Tajemnica przedsiębiorstwa a udostępnianie danych

Dane gromadzone przez urządzenia często zawierają informacje stanowiące tajemnicę przedsiębiorstwa. Data Act jasno wskazuje, że posiadacz danych może ograniczyć dostęp do tej części informacji, jeśli ich przekazanie naruszałoby tajemnicę firmy. Musi on jednak wcześniej zidentyfikować, które dane podlegają ochronie, i poinformować o tym użytkownika na piśmie. Ponadto powinien stosować odpowiednie zabezpieczenia – np. klauzule poufności w umowach, techniczne ograniczenia dostępu, normy bezpieczeństwa czy kodeksy postępowania. Jeżeli takie zabezpieczenia zawiodą, posiadacz danych jest zobowiązany powiadomić organ nadzoru.

Obowiązki posiadaczy danych w relacji B2B

W relacjach między przedsiębiorstwami udostępnianie danych powinno odbywać się na sprawiedliwych, rozsądnych i niedyskryminujących warunkach. Strony ustalają je w umowie. Data Act pozwala posiadaczowi danych żądać rekompensaty finansowej, obejmującej m.in. koszty przygotowania i transferu danych, a nawet marżę. Taka opłata nie może jednak uniemożliwiać dostępu do danych ani być nadmierna w stosunku do wartości informacji.

Rozporządzenie promuje również polubowne rozwiązywanie sporów – oprócz drogi sądowej przewiduje możliwość korzystania z certyfikowanych organów rozstrzygających. Posiadacz danych powinien stosować środki techniczne chroniące przed nieuprawnionym dostępem, takie jak inteligentne umowy czy szyfrowanie. Warto w tym miejscu zaznaczyć, że dane osobowe nadal podlegają RODO, dlatego posiadacz danych musi zadbać o ich anonimizację bądź pseudonimizację przed przekazaniem.

Udostępnianie danych sektorowi publicznemu

Data Act wprowadza szczególne zasady udostępniania danych organom publicznym, w tym Komisji Europejskiej i Europejskiemu Bankowi Centralnemu. Jest to możliwe tylko w sytuacjach wyjątkowej potrzeby – np. przy zagrożeniu publicznym czy wtedy, gdy organ nie może w inny sposób uzyskać niezbędnych danych. Instytucja publiczna musi złożyć uzasadniony wniosek, w którym wskaże dokładny zakres żądanych danych, cel i planowane wykorzystanie, okres przechowywania oraz powody wyboru konkretnego posiadacza danych.

Posiadacz danych ma obowiązek udostępnić dane bez zbędnej zwłoki, ale może złożyć sprzeciw w określonych sytuacjach – np. gdy nie ma kontroli nad żądanymi informacjami, podobny wniosek złożył inny organ albo wniosek nie spełnia wymogów formalnych. W przypadku niebezpieczeństwa publicznego posiadacz ma na sprzeciw 5 dni roboczych, a w pozostałych przypadkach 30 dni. Co ważne, dane osobowe powinny być zanonimizowane, a gdy to niemożliwe – przynajmniej z pseudonimizowane. Ustawodawca przewiduje również prawo do odpowiedniego wynagrodzenia za udostępnienie danych, chyba że wniosek dotyczy sytuacji nagłego zagrożenia.

Dostawcy usług przetwarzania danych – prawa klientów i obowiązki dostawców

Rozdział VI Data Act wprowadza szereg wymogów dla dostawców usług przetwarzania danych, czyli firm oferujących chmurowe zasoby obliczeniowe. Jego celem jest ułatwienie klientom zmiany dostawcy i zapobieganie tzw. vendor lock‑in. Dostawca powinien usuwać przeszkody prawne, techniczne, handlowe i organizacyjne uniemożliwiające klientowi rozwiązanie umowy, podpisanie nowej oraz przeniesienie danych do innej chmury lub własnej infrastruktury ICT.

Ustawodawca przewiduje również maksymalny czas przejściowy na przeniesienie danych – 30 dni kalendarzowych po okresie wypowiedzenia (który nie może przekraczać dwóch miesięcy). W tym czasie dotychczasowy dostawca ma zapewnić wsparcie techniczne i nie może żądać wygórowanych opłat. Po upływie tego okresu usługa powinna zostać w pełni wyłączona i dane usunięte, o ile klient nie postanowi inaczej.

Umowy z dostawcami i proces zmiany dostawcy

Umowa zawierana z dostawcą chmury powinna być przejrzysta i dostępna w formie pisemnej jeszcze przed podpisaniem. Powinna określać:

• Czas przenoszenia danych – ile trwa przekazanie informacji do innego dostawcy lub infrastruktury lokalnej (nie dłużej niż 30 dni).

• Zakres wsparcia technicznego – w jaki sposób dostawca pomaga klientowi w migracji, jakie narzędzia udostępnia, kto odpowiada za konfigurację.

• Potencjalne ryzyka – np. możliwość utraty części danych podczas transferu, przerwa w dostępie do usług, różnice w funkcjonalności.

• Kategorie przenoszonych danych – szczegółowe wyszczególnienie rodzajów informacji i aktywów cyfrowych podlegających migracji.

• Działania po zakończeniu umowy – możliwości wyboru: zmiana dostawcy, migracja do własnej chmury, usunięcie danych.

• Procedura w razie problemów technicznych – jeśli przeniesienie w terminie jest niemożliwe, dostawca powinien uzasadnić opóźnienie i wskazać alternatywny termin (maksymalnie 7 miesięcy), zapewniając ciągłość usług.

Z perspektywy przedsiębiorców szczególnie istotna jest kwestia przejrzystości. Dostawcy muszą informować klientów o metodach i formatach przenoszenia danych, stosowanych standardach oraz ograniczeniach technicznych. Dotyczy to także informacji o tym, w jakiej jurysdykcji znajduje się infrastruktura chmurowa i jakie środki są stosowane w celu ochrony przed nieuprawnionym dostępem zagranicznych organów administracji.

Aspekty techniczne i interoperacyjność

Dostawcy usług przetwarzania danych obsługujący infrastrukturę (np. centra danych) powinni umożliwiać klientom zachowanie funkcjonalności w trakcie zmiany dostawcy poprzez dostarczenie niezbędnych zasobów, dokumentacji i narzędzi. Pozostali dostawcy (np. oferujący oprogramowanie jako usługę) mają obowiązek udostępniać otwarte interfejsy i stosować otwarte standardy, które umożliwią interoperacyjność.

Ustawodawca przewidział pewne wyjątki: jeżeli usługa została stworzona na indywidualne zamówienie klienta i nie jest oferowana na szeroką skalę, bądź ma charakter testowy, obowiązki interoperacyjności nie stosują się w pełnym zakresie. Dostawca musi jednak poinformować o takich wyłączeniach przed zawarciem umowy.

Międzynarodowy dostęp administracji i przekazywanie danych poza UE

Dostawcy chmur muszą stosować odpowiednie środki, aby chronić dane przed nieuprawnionym dostępem zagranicznych władz. Dostęp do informacji może być uznany za zgodny z prawem tylko wtedy, gdy istnieje odpowiednie porozumienie międzynarodowe między UE a państwem trzecim albo gdy dostawca otrzyma prawidłowo uzasadnione żądanie, spełniające wymogi unijne. W przypadku otrzymania wniosku spoza UE dostawca powinien powiadomić klienta (o ile nie jest to zakazane przez przepisy dotyczące ścigania przestępstw) i ograniczyć zakres przekazywanych danych do niezbędnego minimum. Klient ma prawo zasięgnąć opinii organu krajowego, aby ocenić, czy przekazanie jest zgodne z warunkami umowy, w szczególności jeśli dotyczy tajemnicy przedsiębiorstwa, danych handlowych lub własności intelektualnej. W razie wątpliwości może odmówić przekazania danych.

Interoperacyjność danych i inteligentne umowy

Jednym z celów Data Act jest stworzenie jednolitego rynku danych, na którym informacje będą swobodnie przepływać między branżami i państwami. Aby było to możliwe, uczestnicy przestrzeni danych – czyli podmioty oferujące dane lub usługi oparte na danych – muszą spełniać wymogi interoperacyjności. Oznacza to m.in. obowiązek szczegółowego opisywania zestawów danych: podmioty powinny wskazać zawartość, licencje i ograniczenia wykorzystania, metody zbierania, jakość oraz strukturę informacji. Takie opisy pomagają innym zrozumieć, jak można wykorzystać dane i w jakim kontekście powstały.

Drugim ważnym elementem są inteligentne umowy (smart contracts), stosowane m.in. w systemach łańcucha bloków. Data Act nakłada na dostawców aplikacji oraz osoby wdrażające takie rozwiązania kilka wymagań, m.in.:

• Odporność i kontrola dostępu – kod inteligentnej umowy powinien być zabezpieczony przed błędami i manipulacjami oraz umożliwiać identyfikację uprawnionych użytkowników.

• Bezpieczne zakończenie – system powinien umożliwiać przerwanie działania w razie potrzeby, np. gdy wystąpi błąd lub zaktualizowane warunki umowy uniemożliwiają dalsze wykonywanie kodu.

• Archiwizacja i ciągłość danych – należy zapewnić, że zapisy transakcji i kodu będą przechowywane w sposób umożliwiający audyt oraz odtworzenie historii w razie sporu.

• Spójność z umową o udostępnianiu danych – inteligentna umowa nie może zawierać postanowień sprzecznych z warunkami uzgodnionymi między posiadaczem a odbiorcą danych.

Wdrażając inteligentne kontrakty, przedsiębiorcy powinni ściśle współpracować z prawnikami i ekspertami od bezpieczeństwa, aby uniknąć ryzyka błędów w kodzie czy niezgodności z przepisami.

Organy nadzorcze i koordynatorzy danych

Data Act nakłada na państwa członkowskie obowiązek wyznaczenia organów odpowiedzialnych za egzekwowanie nowych przepisów. Państwo może powołać kilka instytucji, ale wówczas musi wskazać koordynatora danych – centralny punkt kontaktowy dla przedsiębiorców, użytkowników oraz innych organów administracji.

Zadania organów obejmują monitorowanie przestrzegania przepisów, rozpatrywanie skarg, prowadzenie postępowań oraz nakładanie kar finansowych. Organ powinien również upowszechniać wiedzę o prawach i obowiązkach wynikających z Data Act, monitorować postęp technologiczny i oceniać wpływ przepisów na gospodarkę. Ma też prawo żądać od przedsiębiorców informacji potrzebnych do weryfikacji, czy stosują się do regulacji, jednak takie żądania muszą być proporcjonalne i uzasadnione.

Koordynator danych będzie udostępniać wnioski organów publicznych dotyczące dostępu do danych oraz promować dobrowolne porozumienia między posiadaczami danych a organami. Ponadto będzie składać coroczne sprawozdania Komisji Europejskiej na temat odmów udzielenia dostępu do danych.

Prawo do wniesienia skargi

Rozporządzenie Data Act zapewnia każdemu – zarówno osobom fizycznym, jak i przedsiębiorcom – prawo do złożenia skargi, jeżeli jego prawa zostaną naruszone. Skargi można kierować do właściwych organów nadzoru, które mają obowiązek informować składającego o przebiegu postępowania i podjętych decyzjach. Jeśli osoba składająca skargę nie będzie zadowolona z rozstrzygnięcia, może wystąpić do sądu. Prawo odwołania się do sądu pozostaje niezależne od rozstrzygnięć organów administracji.

Kary i sankcje

Każde państwo członkowskie jest zobowiązane do określenia sankcji za naruszenia Data Act do 12 września 2025 r. Kary mają być skuteczne, proporcjonalne i odstraszające. Ustalając ich wysokość, organy będą brały pod uwagę skalę i powagę naruszenia, działania naprawcze podjęte przez przedsiębiorcę, powtarzalność naruszeń, uzyskane korzyści finansowe oraz roczny obrót.

Na poziomie unijnym Data Act odsyła do przepisów RODO dotyczących kar administracyjnych – w przypadku naruszeń związanych z danymi osobowymi maksymalna kara może wynosić do 20 mln euro lub do 4 % globalnego obrotu przedsiębiorstwa. Przykładowo, kary mogą zostać nałożone za:

• Nieudzielenie użytkownikowi dostępu do danych generowanych przez urządzenie skomunikowane.

• Naruszenie obowiązków dotyczących udostępniania danych innym przedsiębiorcom lub organom publicznym.

• Uniemożliwienie zmiany dostawcy usług przetwarzania i blokowanie przenoszenia danych.

Państwa członkowskie mają informować Komisję Europejską o swoich przepisach dotyczących sankcji i ich aktualizacjach, aby zagwarantować spójne stosowanie rozporządzenia w całej Unii.

Implikacje dla przedsiębiorców – jak przygotować się na Data Act?

Wprowadzenie Data Act to krok milowy w europejskim porządku prawnym, który może przynieść liczne korzyści, ale też nakłada sporo obowiązków. Oto kilka praktycznych wskazówek dla firm, które chcą się przygotować na nadchodzące zmiany:

1. Przeanalizuj swoje produkty i usługi – sprawdź, czy oferowane przez twoją firmę urządzenia lub aplikacje spełniają definicję produktu skomunikowanego bądź usługi powiązanej. Warto zastanowić się, jakie dane generują oraz które z nich mogą stanowić tajemnicę przedsiębiorstwa.

2. Zaprojektuj dostęp do danych – upewnij się, że urządzenia umożliwiają użytkownikom łatwe pobieranie wszystkich informacji w formacie nadającym się do odczytu maszynowego. Zadbaj o przejrzyste procedury udostępniania danych na wniosek.

3. Przygotuj się na żądania organów publicznych – opracuj procedury umożliwiające szybką odpowiedź na wnioski instytucji publicznych. Zastanów się, które dane można zanonimizować, a w przypadku danych osobowych – jak skutecznie zastosować pseudonimizację.

4. Ustal zasady udostępniania danych innym firmom – przygotuj wzorcowe umowy, określające uczciwe i niedyskryminujące warunki udostępniania danych. Zastanów się nad wysokością rekompensaty, która będzie pokrywała koszty, ale nie odstraszy potencjalnych partnerów.

5. Zweryfikuj umowy z dostawcami chmur – sprawdź, czy obecne umowy zawierają klauzule umożliwiające przeniesienie danych. Jeśli nie, rozpocznij rozmowy z dostawcą na temat otwartych interfejsów, standardów interoperacyjności i harmonogramu migracji.

6. Szkol pracowników – wprowadzenie Data Act wiąże się z nowymi procedurami oraz koniecznością rozumienia pojęć takich jak „produkt skomunikowany”, „posiadacz danych” czy „udostępnianie danych”. Pracownicy powinni wiedzieć, jak reagować na wnioski użytkowników i organów, oraz kiedy należy zachować tajemnicę przedsiębiorstwa.

7. Współpracuj z ekspertami – nowe regulacje łączą prawo technologii, ochrony danych i prawa umów. Warto więc skorzystać z pomocy prawników oraz specjalistów ds. bezpieczeństwa informacji, aby opracować kompleksową strategię zgodności.

Podsumowanie

Data Act to kolejny element europejskiej strategii danych, który ma na celu zwiększenie dostępności informacji, wzmocnienie innowacyjności i uczciwości na rynku cyfrowym oraz ochronę interesów użytkowników. Regulacje te wprowadzają jasne definicje, przyznają użytkownikom prawo do danych generowanych przez urządzenia, określają zasady udostępniania informacji innym firmom i organom publicznym oraz ustanawiają wymogi dla dostawców usług przetwarzania. Choć nowe przepisy nakładają liczne obowiązki, oferują również korzyści – lepszą interoperacyjność, większą konkurencję w sektorze chmurowym, a przede wszystkim możliwość czerpania wartości z danych w sposób bardziej sprawiedliwy i przejrzysty.

Przedsiębiorcy powinni już teraz przygotować się na wejście w życie Data Act, analizując swoje produkty i usługi, weryfikując umowy z dostawcami, tworząc procedury udostępniania danych i szkoląc pracowników. Dzięki temu 12 września 2025 r. nie będzie zaskoczeniem, lecz szansą na rozwój w nowym, bardziej transparentnym środowisku biznesowym.