Data Act tworzy unijne ramy dotyczące dostępu do danych generowanych przez produkty połączone i powiązane usługi, a także ułatwiania zmiany dostawcy usług przetwarzania danych, w tym chmury i usług edge. Dla małej firmy znaczenie tej regulacji widać przede wszystkim w dwóch obszarach: możliwości lepszego wykorzystania danych z urządzeń oraz ograniczania barier przy eksporcie danych i migracji do innego dostawcy.
Regulacja zaczęła być stosowana 12 września 2025 r., jednak przy publikacji lub aktualizacji materiału trzeba sprawdzić aktualny stan prawny. Data Act nie oznacza automatycznego dostępu do każdej informacji generowanej przez urządzenie ani bezproblemowej migracji całego środowiska. Szczegóły zależą od rodzaju produktu, usługi, umowy, architektury technicznej i charakteru danych. Poniższy materiał ma charakter edukacyjny i nie zastępuje indywidualnej porady prawnej ani technicznej.
Data Act dla małej firmy — co zmienia w praktyce?
Data Act obejmuje między innymi zasady udostępniania danych z produktów połączonych i powiązanych usług oraz ułatwianie zmiany dostawcy usług przetwarzania danych. Produkt połączony może generować lub zbierać informacje o swoim działaniu, wykorzystaniu albo otoczeniu i komunikować je przez połączenie elektroniczne, fizyczne lub dostęp bezpośrednio na urządzeniu.
W praktyce przedsiębiorca powinien spojrzeć na regulację nie tylko jako na prawo do uzyskania określonych danych, lecz także jako na impuls do uporządkowania umów i zależności technologicznych. W przypadku urządzeń warto ustalić, jakie informacje powstają, kto może uzyskać do nich dostęp i w jakim formacie. W przypadku chmury trzeba sprawdzić, czy dane, aplikacje i metadane można realnie przenieść do innego środowiska.
Co do zasady dane powinny być dostępne w sposób łatwy, bezpieczny i bezpłatny, w kompleksowym, ustrukturyzowanym, powszechnie używanym i maszynowo odczytywalnym formacie, jeżeli przepisy przewidują ich dostępność. Nie gwarantuje to jednak zachowania każdej funkcji po zmianie dostawcy ani dostępu do elementów chronionych prawem dostawcy lub osoby trzeciej.
Jakie dane z urządzeń połączonych może wykorzystywać firma?
Zakres danych może obejmować dane produktowe, dane powiązanej usługi oraz metadane potrzebne do ich interpretacji i wykorzystania. W zależności od urządzenia mogą to być informacje o użyciu, stanie, działaniu, awariach, otoczeniu lub pracy sensorów. Możliwe scenariusze biznesowe obejmują między innymi analizę pracy maszyn, serwis lub utrzymanie ruchu, ale należy traktować je jako przykłady zastosowań, a nie gwarantowane uprawnienia w każdej sytuacji.
Firma może uzyskać dostęp do danych współgenerowanych przez korzystanie z produktu połączonego, używać ich i przenosić je, z uwzględnieniem ograniczeń wynikających z przepisów oraz praw innych podmiotów. Przedsiębiorca powinien więc odróżnić sam fakt, że urządzenie coś rejestruje, od oceny, czy dana informacja mieści się w zakresie Data Act i może zostać udostępniona.
Co sprawdzić przed uznaniem danych za dostępne?
Najpierw trzeba ustalić, czy dane pochodzą z produktu połączonego lub powiązanej usługi. Następnie warto zweryfikować ich format, metadane, częstotliwość generowania oraz sposób dostępu. Istotne jest również sprawdzenie, czy dane zawierają informacje o osobach, tajemnice przedsiębiorstwa, elementy chronione prawami własności intelektualnej albo dane należące do osoby trzeciej.
Prawo dostępu wynikające z Data Act nie zastępuje podstaw przetwarzania danych osobowych ani obowiązków administratora lub procesora wynikających z RODO i innych przepisów. Nie należy również zakładać, że wszystkie dane są dostępne bez ograniczeń ze względu na bezpieczeństwo produktu, prawa własności intelektualnej lub ochronę tajemnicy przedsiębiorstwa.
Checklista przed zakupem urządzenia lub usługi IoT
Informacje o danych warto zebrać jeszcze przed zakupem, wynajmem albo leasingiem urządzenia. Pozwala to ocenić nie tylko jego funkcje operacyjne, lecz także przydatność danych dla procesów firmy i możliwość późniejszego wykorzystania ich w innym systemie.
- Rodzaj i format danych: ustal, jakie informacje generuje urządzenie lub powiązana usługa, w jakim formacie są udostępniane i jaka jest ich szacowana objętość.
- Częstotliwość: sprawdź, czy dane powstają w sposób ciągły lub w czasie rzeczywistym oraz jak często można je pobierać.
- Przechowywanie: ustal miejsce przechowywania danych i okres ich retencji.
- Dostęp i eksport: zapytaj o sposób dostępu, pobrania, eksportu oraz usunięcia danych.
- Dokumentacja: zachowaj odpowiedzi dostawcy i zestaw je z treścią umowy, ponieważ sama deklaracja dostępności nie musi oznaczać łatwego eksportu do dowolnego systemu.
Taka checklista jest narzędziem organizacyjnym, a nie kompletną oceną prawną. Warto także sprawdzić, czy dane można przekazać innemu usługodawcy bez naruszenia praw osób trzecich lub ograniczeń dotyczących bezpieczeństwa.
Umowa cloud computing: co sprawdzić przed podpisaniem?
W umowie chmurowej warto opisać nie tylko bieżące korzystanie z usługi, lecz także jej zakończenie. Data Act ustanawia wymagania dotyczące przełączania dostawcy, eksportu danych, ograniczania przeszkód i interoperacyjności, ale nie zastępuje analizy konkretnego kontraktu ani architektury rozwiązania.
- Zakres danych eksportowalnych, w tym danych wejściowych, wyjściowych i metadanych wygenerowanych bezpośrednio lub pośrednio przez korzystanie z usługi.
- Formaty eksportu, dostępność otwartych interfejsów oraz sposób i termin realizacji żądania eksportu.
- Zakres pomocy dotychczasowego dostawcy przy migracji oraz odpowiedzialność obu dostawców za poszczególne działania.
- Dostęp do kopii, zasady ciągłości działania i zależności między usługą chmurową a aplikacjami firmy.
- Zasady usunięcia lub zachowania danych po zakończeniu umowy.
- Opłaty, kary i inne warunki związane z zakończeniem współpracy.
Eksport danych to nie tylko same pliki
Przeniesienie plików może nie wystarczyć do odtworzenia działania usługi. Znaczenie mają także metadane, konfiguracje, zależności aplikacyjne, uprawnienia i interfejsy. Przepisy dotyczące przełączania obejmują dane wejściowe i wyjściowe, w tym metadane, ale przewidują ograniczenia między innymi dla aktywów lub danych chronionych prawami własności intelektualnej albo stanowiących tajemnicę przedsiębiorstwa dostawcy lub osoby trzeciej.
Komisja Europejska wskazuje modelowe warunki umowne i standardowe klauzule jako narzędzia pomocne zwłaszcza dla MŚP. Nie są one obowiązkowym wzorem umowy i sama obecność zapisu o eksporcie nie zapewnia technicznej interoperacyjności. W każdym przypadku trzeba skonfrontować postanowienia kontraktu z rzeczywistymi możliwościami usługi.
Plan zmiany dostawcy chmury krok po kroku
Plan migracji powinien uwzględniać dane, aplikacje, integracje, uprawnienia i wymagania dotyczące ciągłości działania. Nie istnieje jeden proces właściwy dla każdej usługi SaaS, PaaS i IaaS, dlatego poniższe kroki należy dopasować do konkretnego środowiska.
- Zrób inwentaryzację: spisz dane, aplikacje, usługi, integracje, kopie zapasowe i uprawnienia.
- Określ zakres eksportu: ustal, które dane i aktywa można przenieść oraz w jakich formatach.
- Przeanalizuj nowe środowisko: sprawdź wymagania nowego dostawcy i możliwość zachowania funkcjonalności, w tym funkcjonalnej równoważności dla określonych wspólnych funkcji usług infrastrukturalnych.
- Podziel odpowiedzialność: uzgodnij, które czynności wykonuje dotychczasowy dostawca, które nowy, a które pozostają po stronie firmy.
- Wykonaj próbny transfer: przeprowadź eksport i import na kopii danych.
- Przygotuj przełączenie: zaplanuj okno migracyjne, komunikację z użytkownikami, ciągłość działania, odtworzenie i możliwość powrotu do poprzedniego środowiska.
Test przed właściwym przełączeniem
Test migracji powinien objąć integralność danych, działanie aplikacji, integracje, wydajność, bezpieczeństwo i uprawnienia. Warto sprawdzić, czy użytkownicy zachowują właściwy dostęp oraz czy dane po imporcie mają kompletne metadane i poprawne powiązania.
Okres równoległego działania usług może ułatwić wykrycie problemów, ale jego zastosowanie zależy od architektury, kosztów i wymagań ciągłości działania. Test, plan odtworzenia i możliwość powrotu do poprzedniego środowiska są dobrymi praktykami organizacyjnymi, a nie uniwersalnym procesem narzuconym każdej firmie.
Koszty, ograniczenia i ryzyka migracji
Przedsiębiorca powinien uwzględnić zarówno koszty regulowane umową, jak i koszty własnego projektu. Opłaty za przełączanie, w tym opłaty za transfer danych z infrastruktury dotychczasowego dostawcy, mają zostać całkowicie zniesione od 12 stycznia 2027 r. Do tej daty, w okresie przejściowym, dostawcy mogą pobierać opłaty odpowiadające kosztom związanym z przełączaniem i transferem danych. Umowę oraz stan prawny trzeba sprawdzić na dzień publikacji lub aktualizacji materiału.
Zniesienie określonych opłat regulacyjnych nie oznacza braku wszystkich kosztów. W projekcie mogą pojawić się wydatki na prace wdrożeniowe, testy, rekonfigurację aplikacji, szkolenia oraz usługi nowego dostawcy. Data Act nie eliminuje również ryzyka niezgodności formatów, utraty części funkcjonalności, błędnych uprawnień, przerw w działaniu, problemów z integracjami ani niepełnego usunięcia danych.
Ograniczenia mogą wynikać z tajemnicy przedsiębiorstwa, praw własności intelektualnej, bezpieczeństwa produktu, ochrony danych osobowych i przepisów sektorowych. Dlatego eksportowanych danych nie należy automatycznie utożsamiać z własnością klienta. Przy złożonych wdrożeniach zasadne może być odrębne przeanalizowanie umowy przez prawnika, specjalistę ochrony danych lub architekta chmury.
Podsumowanie: jak przygotować firmę na większą kontrolę nad danymi?
Data Act może wzmocnić kontrolę firmy nad określonymi danymi z urządzeń połączonych i ograniczyć bariery przy zmianie dostawcy chmury. Najlepiej zacząć od mapy urządzeń, danych, aplikacji i usług. Następnie warto przejrzeć umowy pod kątem zakresu eksportu, formatów, interfejsów, odpowiedzialności, kosztów oraz usunięcia danych.
Przed migracją należy ustalić procedurę żądania eksportu, wykonać test na kopii danych, sprawdzić integralność i uprawnienia oraz przygotować plan awaryjny. Szczegółowa ocena zawsze zależy od kontraktu, technologii, rodzaju danych i aktualnego stanu prawnego. Data Act ułatwia dostęp do określonych informacji i zmianę dostawcy, ale nie usuwa wszystkich ograniczeń ani ryzyk. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
