Data Governance Act, czyli rozporządzenie (UE) 2022/868, tworzy ramy dla usług, które ułatwiają firmom i innym uczestnikom dzielenie się danymi. Dla przedsiębiorcy oznacza to konieczność sprawdzenia, czy platforma, baza danych albo infrastruktura łącząca niezależne podmioty nie pełni funkcji pośrednika danych w rozumieniu DGA.
W Polsce od 23 lipca 2026 r. obowiązuje ustawa z 27 marca 2026 r. o zarządzaniu danymi, a organem właściwym w sprawach usług pośrednictwa danych jest Prezes UODO. Poniżej wyjaśniamy, kiedy może powstać obowiązek zgłoszenia, jakie modele są wyłączone oraz jakie obszary prawne, techniczne i organizacyjne warto przeanalizować. Jest to materiał edukacyjny, a nie indywidualna porada prawna lub regulacyjna.
Data Governance Act i polska ustawa o zarządzaniu danymi — co zmieniło się dla firm
Zakres artykułu i znaczenie daty 23 lipca 2026 r.
Data Governance Act reguluje między innymi usługi, których celem jest ustanawianie relacji handlowych dotyczących dzielenia się danymi. Chodzi o relacje między nieokreśloną liczbą posiadaczy danych lub osób, których dane dotyczą, a użytkownikami danych. Firma może więc podlegać DGA nie dlatego, że używa w nazwie słowa „dane”, lecz ze względu na rzeczywisty sposób działania usługi.
Ustawa o zarządzaniu danymi weszła w życie 23 lipca 2026 r. i służy stosowaniu unijnego DGA w Polsce. Wskazuje Prezesa UODO jako organ właściwy w sprawach usług pośrednictwa danych. Dostawca zamierzający świadczyć taką usługę musi dokonać zgłoszenia. Nie jest to jednak klasyczne zezwolenie ani potwierdzenie pełnej zgodności z DGA, RODO czy innymi przepisami. Praktyka organu i dokumenty wykonawcze mogą się rozwijać, dlatego przed uruchomieniem usługi trzeba sprawdzić aktualny stan prawny.
Czym jest pośrednictwo danych w rozumieniu DGA
Od połączenia stron do relacji handlowej
Usługa pośrednictwa danych polega na ustanawianiu, za pomocą środków technicznych, prawnych lub innych, relacji handlowych dotyczących dzielenia się danymi. Po jednej stronie może występować posiadacz danych albo osoba, której dane dotyczą, a po drugiej użytkownik danych. Istotne jest także to, że usługa jest przeznaczona dla nieokreślonej liczby potencjalnych uczestników.
Przy analizie modelu biznesowego warto zadać kilka podstawowych pytań:
- Kto przekazuje dane, a kto ma z nich korzystać?
- Czy firma łączy niezależnych posiadaczy danych z użytkownikami danych?
- Czy usługa ustanawia relację o charakterze handlowym?
- Czy platforma lub infrastruktura umożliwia wymianę albo wspólne wykorzystywanie danych?
- Czy usługa jest dostępna dla nieokreślonej liczby uczestników?
Odpowiedzi należy odnosić do faktycznego przepływu danych, funkcji platformy, umów i sposobu monetyzacji. Nazwa marketingowa produktu nie przesądza o kwalifikacji. Ten praktyczny test pomaga uporządkować analizę, ale nie jest wiążącą interpretacją organu.
Modele działalności objęte regulacją
Platforma, baza danych i spółdzielnia danych
Do przykładów usług pośrednictwa danych zaliczają się platformy lub bazy danych umożliwiające wymianę albo wspólne wykorzystywanie danych. W zakresie DGA może mieścić się także infrastruktura łącząca posiadaczy danych z użytkownikami danych, w tym rozwiązanie wykorzystywane w modelu B2B. Liczy się jednak faktyczna funkcja pośredniczenia, a nie samo techniczne udostępnienie narzędzia.
Regulacja obejmuje również usługi dotyczące udostępniania danych przez osoby fizyczne oraz spółdzielnie danych. Model może być dwu- albo wielostronny, jeżeli spełnia elementy definicji. Nie oznacza to, że każdy marketplace, system wymiany lub program współdzielenia danych automatycznie podlega DGA. Przedsiębiorca powinien ustalić, czy usługa rzeczywiście łączy niezależne strony i służy ustanawianiu relacji handlowych dotyczących danych.
Co nie jest usługą pośrednictwa danych
Komercjalizacja wzbogaconych danych a pośrednictwo
DGA przewiduje wyłączenia, które są szczególnie ważne przy analizie przypadków granicznych. Poza definicją mogą pozostawać usługi, które pobierają, agregują, wzbogacają lub przekształcają dane w celu dodania znaczącej wartości, a następnie licencjonują powstały produkt bez ustanawiania relacji handlowej między pierwotnymi posiadaczami danych a użytkownikami.
Poza zakresem mogą pozostawać również:
- usługi skoncentrowane na pośrednictwie treści chronionych prawem autorskim;
- usługi używane wyłącznie przez jednego posiadacza danych;
- usługi działające w zamkniętej grupie podmiotów, w tym określone rozwiązania IoT o głównym celu funkcjonalnym;
- usługi dzielenia się danymi oferowane przez podmioty sektora publicznego, jeżeli nie mają celu ustanawiania relacji handlowych.
Wyłączenie trzeba oceniać na podstawie rzeczywistego modelu działania, relacji umownych i przepływu danych. Sama deklaracja, że firma sprzedaje „produkt danych”, nie wystarcza do rozstrzygnięcia. Znaczenie ma między innymi to, czy powstaje produkt o znaczącej wartości oraz czy pierwotne strony zostają połączone w relacji handlowej.
Zgłoszenie do Prezesa UODO — co firma powinna ustalić
Informacje do przygotowania przed zgłoszeniem
Dostawca zamierzający świadczyć usługę pośrednictwa danych powinien złożyć zgłoszenie do Prezesa UODO. Zgłoszenie musi obejmować elementy wskazane w art. 11 ust. 6 DGA, w tym informacje identyfikujące dostawcę, opis planowanej usługi oraz jej kategorię. Research nie obejmuje kompletnego wzoru zgłoszenia ani zamkniętej instrukcji wszystkich dokumentów, dlatego tej sekcji nie należy traktować jako formalnego poradnika krok po kroku.
Przed przygotowaniem zgłoszenia firma powinna uporządkować co najmniej:
- dane identyfikujące dostawcę;
- opis planowanej usługi i jej rzeczywistych funkcji;
- kategorię usługi pośrednictwa danych;
- procedurę aktualizacji przekazanych informacji;
- sposób zawiadomienia o zakończeniu działalności.
Po dokonaniu zgłoszenia dostawca może rozpocząć działalność z zastrzeżeniem warunków określonych w DGA. Zgłoszenie nie jest klasyczną licencją i nie zastępuje analizy zgodności z innymi przepisami. Na odrębny wniosek Prezes UODO może potwierdzić przestrzeganie art. 11 i 12 DGA. Po uzyskaniu potwierdzenia dostawca może posługiwać się oznaczeniem uznanego w Unii dostawcy usług pośrednictwa danych oraz wspólnym logo. Nie jest to obowiązkowy warunek rozpoczęcia działalności ani gwarancja bezpieczeństwa usługi.
Checklist przed uruchomieniem usługi
Od mapy danych do planu ciągłości działania
Przygotowanie powinno rozpocząć się od kwalifikacji modelu i mapy przepływu danych. Firma powinna opisać, kto przekazuje dane, kto ich używa, jakie funkcje wykonuje dostawca oraz gdzie przebiega granica między pośrednictwem a innymi usługami. Następnie warto przeanalizować następujące obszary:
- Rola firmy i neutralność. Należy rozdzielić funkcję pośrednictwa od innych usług oraz własnych interesów firmy. Trzeba sprawdzić, czy dane pośredniczone nie będą wykorzystywane do innych celów niż udostępnianie ich użytkownikom.
- Dostęp i przeciwdziałanie nadużyciom. Warto opisać zasady uczciwego, przejrzystego i niedyskryminacyjnego dostępu, a także procedury weryfikacji użytkowników i reagowania na nadużycia.
- Bezpieczeństwo i interoperacyjność. Należy przeanalizować środki bezpieczeństwa przechowywania, przetwarzania i transmisji danych oraz możliwość współdziałania usługi z innymi rozwiązaniami.
- Rejestry i incydenty. DGA przewiduje prowadzenie rejestru aktywności pośrednictwa oraz informowanie o nieuprawnionym dostępie. Procedury powinny określać odpowiedzialność i sposób dokumentowania zdarzeń.
- Ciągłość działania. Firma powinna uwzględnić niewypłacalność, odzyskanie lub przeniesienie danych, ciągłość usług oraz plan wycofania rozwiązania.
Ta lista jest praktyczną syntezą obowiązków i ryzyk wskazanych w DGA, a nie zamkniętym katalogiem wymogów ustawowych. Nie można zakładać, że samo wdrożenie checklisty zapewni zgodność albo bezpieczeństwo.
Najważniejsze ryzyka i ograniczenia
Granice ogólnego poradnika
DGA nie uchyla RODO. Jeżeli usługa obejmuje dane osobowe, firma nadal musi ustalić role administratora lub podmiotu przetwarzającego, podstawy prawne oraz zakres odpowiedzialności. Trzeba również uwzględnić prawo konkurencji, tajemnicę przedsiębiorstwa, cyberbezpieczeństwo i przepisy sektorowe.
Odrębnej analizy mogą wymagać transfery danych, tajemnice prawnie chronione oraz dane szczególnie wrażliwe. Zgłoszenie do Prezesa UODO nie oznacza automatycznie, że firma może działać w każdym sektorze lub wobec każdego rodzaju danych. Nie przesądza też o pełnej zgodności z DGA, RODO i innymi regulacjami.
Rzeczywista kwalifikacja może zależeć od funkcji platformy, modelu umownego, sposobu monetyzacji i przepływu danych. Przed rozpoczęciem działalności warto ponownie sprawdzić aktualny tekst DGA, polskiej ustawy i informacje UODO, a konkretny produkt, umowę oraz zabezpieczenia poddać odrębnej analizie prawnej, ochrony danych i cyberbezpieczeństwa.
Najważniejsze przygotowanie zaczyna się od oceny rzeczywistego modelu usługi, a nie od jej nazwy. Jeżeli firma łączy niezależnych posiadaczy danych z użytkownikami, powinna przeanalizować definicję DGA, wyłączenia i obowiązek zgłoszenia do Prezesa UODO. Następny etap obejmuje rozdzielenie funkcji pośrednictwa, neutralny dostęp, ograniczenie wykorzystywania danych, bezpieczeństwo, interoperacyjność, rejestry oraz ciągłość działania. DGA współistnieje z RODO i innymi przepisami, dlatego samo zgłoszenie nie przesądza o pełnej zgodności. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
