Data Act, czyli rozporządzenie Unii Europejskiej 2023/2854, zmienia sposób myślenia o danych generowanych przez produkty połączone, powiązane usługi oraz usługi przetwarzania danych, w tym chmurę. Znaczenie tych przepisów wykracza poza relacje z konsumentami. Przedsiębiorstwo również może być użytkownikiem urządzenia połączonego i korzystać z praw dotyczących dostępu do danych.
Dla firmy oznacza to potrzebę uporządkowania kilku obszarów: danych z urządzeń IoT, zasad ich udostępniania innym podmiotom, treści umów B2B oraz możliwości przeniesienia usług do innego dostawcy chmury. Poniżej omawiam najważniejsze reguły i praktyczne działania organizacyjne. Artykuł nie stanowi indywidualnej porady prawnej, podatkowej ani technicznej. Przed wdrożeniem opisanych rozwiązań konieczna może być analiza konkretnej umowy, dostawcy i architektury IT.
Data Act dla przedsiębiorcy — co reguluje i kogo dotyczy
Data Act ustanawia zasady dostępu do danych generowanych podczas korzystania z produktów połączonych i powiązanych usług oraz ich udostępniania. Obejmuje także wybrane zasady dotyczące umów między przedsiębiorstwami i zmiany dostawcy usług przetwarzania danych. Nie jest więc regulacją dotyczącą wyłącznie użytkowników indywidualnych.
Kogo obejmuje prawo dostępu do danych
Użytkownikiem produktu połączonego może być osoba prawna, w tym przedsiębiorstwo, która posiada produkt, korzysta z niego na podstawie najmu lub leasingu albo korzysta z powiązanej usługi. Taki użytkownik powinien mieć możliwość uzyskania dostępu do danych wygenerowanych przez produkt lub usługę, o ile dane mieszczą się w zakresie rozporządzenia i są dostępne w jego rozumieniu.
Terminy stosowania i polski nadzór
Data Act zaczął być stosowany 12 września 2025 r., ale poszczególne obowiązki mogą mieć różne terminy zastosowania. Według informacji Ministerstwa Cyfryzacji obowiązki dotyczące projektowania produktów w sposób ułatwiający dostęp do danych mają dotyczyć produktów wprowadzonych na rynek po 12 września 2026 r. W Polsce przedstawiono również projekt krajowych zasad nadzoru, w którym wskazano Prezesa Urzędu Komunikacji Elektronicznej jako planowany organ odpowiedzialny między innymi za skargi, postępowania nadzorcze i kary. Projektu nie należy utożsamiać z obowiązującą ustawą krajową.
Jakie dane z urządzeń IoT może uzyskać firma
Prawo dostępu dotyczy danych wygenerowanych podczas korzystania z produktu połączonego lub powiązanej usługi. W praktyce przedsiębiorstwo powinno najpierw ustalić, jakie urządzenia wykorzystuje, jakie usługi są z nimi powiązane oraz jakie informacje rzeczywiście powstają podczas ich używania. Sam fakt, że informacja znajduje się w systemie dostawcy, nie oznacza jeszcze automatycznie, że każda jej część jest objęta prawem dostępu.
Przykładowe kategorie danych objętych dostępem
Zakres może obejmować dane generowane automatycznie przez czujniki, informacje dotyczące użycia produktu, status sprzętu oraz informacje o usterkach. Istotne mogą być także inne dane wynikające z korzystania z produktu połączonego lub powiązanej usługi, jeżeli są dostępne w rozumieniu rozporządzenia.
- Dane z czujników generowane w związku z działaniem urządzenia.
- Dane o użyciu produktu, pokazujące sposób korzystania z rozwiązania.
- Status sprzętu i informacje o usterkach, które mogą być istotne przy serwisie lub organizacji pracy.
Granice dostępu i dalszego wykorzystania
Data Act nie daje przedsiębiorcy nieograniczonego prawa do wszystkich informacji znajdujących się w systemie. Trzeba uwzględnić między innymi dane osobowe, tajemnice przedsiębiorstwa, poufność, bezpieczeństwo informacji oraz prawa własności intelektualnej. Rozporządzenie nie tworzy samodzielnej podstawy prawnej do udostępniania danych osobowych osobie trzeciej, jeżeli użytkownik nie jest osobą, której dane dotyczą. Przetwarzanie takich danych nadal musi być zgodne z unijnymi przepisami o ochronie danych.
Dlatego przed wystąpieniem o dane warto sporządzić katalog konkretnych kategorii, wskazać cel ich wykorzystania i sprawdzić, czy przekazanie nie naruszy praw innych podmiotów. Dostęp do danych nie powinien być utożsamiany z prawem do dowolnego kopiowania, publikowania lub odsprzedaży informacji.
Udostępnianie danych B2B i wybór zewnętrznego usługodawcy
Przedsiębiorstwo będące użytkownikiem produktu połączonego może udostępnić dane osobie trzeciej, na przykład dostawcy usług serwisowych. Może to ułatwić korzystanie z zewnętrznego wsparcia, analizę działania urządzeń albo realizację dodatkowej usługi. Uprawnienie powinno być jednak wykonywane w sposób uporządkowany, z uwzględnieniem celu, zakresu i warunków przekazania.
W relacjach B2B strony mogą zawierać zgodne z prawem postanowienia ograniczające dalsze udostępnianie lub określające warunki wykorzystania danych. Oznacza to, że dostęp do informacji nie jest automatyczną zgodą na ich dalsze rozpowszechnianie. Szczególnej oceny wymagają dane osobowe, informacje poufne oraz dane mogące obejmować tajemnicę przedsiębiorstwa.
Jak opisać udostępnienie danych
Przed przekazaniem danych zewnętrznemu usługodawcy warto jasno określić:
- podmiot otrzymujący dane oraz jego rolę w procesie;
- cel i zakres udostępnienia;
- zasady dalszego udostępniania, poufności i bezpieczeństwa;
- sposób postępowania z danymi po zakończeniu współpracy.
Taki opis jest działaniem organizacyjnym, a nie uniwersalnym wzorem umowy. Konkretne rozwiązanie zależy od rodzaju danych, relacji stron i warunków współpracy.
Data Act a umowy między przedsiębiorstwami
Rozporządzenie odnosi się także do nieuczciwych warunków umownych w relacjach B2B. Chodzi między innymi o postanowienia dotyczące dostępu do danych, ich wykorzystania, odpowiedzialności, środków ochrony oraz zakończenia obowiązków związanych z danymi.
Klauzule jednostronnie narzucone
Jednostronnie narzucone postanowienie może być niewiążące, jeżeli jest nieuczciwe i rażąco odbiega od dobrej praktyki handlowej, zasad dobrej wiary i uczciwego obrotu. Ocena dotyczy przede wszystkim zapisów narzuconych bez realnej możliwości negocjacji. Nie każda niekorzystna klauzula w umowie B2B jest jednak automatycznie niewiążąca. Znaczenie ma między innymi to, czy strony rzeczywiście mogły negocjować jej treść.
Co uporządkować w umowie
Przegląd umów i wzorców warto skoncentrować na jasnym opisaniu:
- zakresu danych oraz formy i sposobu dostępu;
- celów wykorzystania danych;
- zasad dalszego udostępniania;
- poufności, bezpieczeństwa i odpowiedzialności stron;
- zakończenia dostępu oraz dalszego postępowania z danymi.
Takie uporządkowanie ułatwia identyfikację ryzyk, ale nie zastępuje analizy prawnej konkretnej umowy.
Zmiana dostawcy chmury — co sprawdzić przed migracją
Data Act ma ułatwiać zmianę dostawcy usług przetwarzania danych, w tym usług chmurowych, a także korzystanie z usług kilku dostawców. Dostawcy powinni informować o wymaganiach i ograniczeniach migracji oraz wspierać proces przeniesienia usługi. Dla przedsiębiorstwa oznacza to potrzebę sprawdzenia nie tylko samego prawa do zmiany, lecz także technicznych warunków wykonania migracji.
Informacje i wsparcie dostawcy
Przed podpisaniem umowy lub rozpoczęciem migracji warto ustalić, czy dokumentacja jasno opisuje procedurę eksportu danych, dostępne formaty, wymagania techniczne i ograniczenia przeniesienia. Znaczenie mogą mieć także zależności od usług własnościowych, zakres wsparcia dostawcy, możliwość korzystania z kilku dostawców oraz sposób zakończenia usługi.
Firma powinna również uwzględnić testy, integracje i ryzyko przerw w działaniu. Są to kwestie zależne od konkretnego środowiska IT i nie wynikają automatycznie z samego prawa dostępu lub zmiany dostawcy.
Opłaty a rzeczywiste koszty migracji
Według informacji Ministerstwa Cyfryzacji od 12 stycznia 2027 r. mają zostać zniesione opłaty związane ze zmianą dostawcy usług chmurowych. Nie należy jednak przedstawiać tego jako gwarancji migracji całego środowiska bez kosztów. Czym innym są opłaty związane ze zmianą dostawcy, a czym innym koszty własnych prac projektowych, testów, rekonfiguracji, integracji lub usług dodatkowych.
Przedsiębiorstwo powinno więc osobno ocenić koszty organizacyjne i techniczne, zależności od konkretnej architektury oraz zakres wsparcia oferowanego przy przeniesieniu.
Lista kontrolna dla firmy: umowy, dane i procedury
Przygotowanie do stosowania Data Act warto rozpocząć od uporządkowania informacji, które już znajdują się w firmie. Celem nie jest stworzenie jednego uniwersalnego dokumentu, lecz zbudowanie procedury dopasowanej do używanych urządzeń, usług, umów i rodzajów danych.
Sześć obszarów do uporządkowania
- Inwentaryzacja urządzeń połączonych, powiązanych usług, dostawców danych i usług chmurowych.
- Katalog danych obejmujący źródło, kategorię, zakres, częstotliwość i format informacji.
- Cel wykorzystania danych oraz wskazanie, kto w organizacji może żądać dostępu.
- Przegląd umów dotyczących dostępu, udostępniania, odpowiedzialności i bezpieczeństwa.
- Procedura udostępniania uwzględniająca dane osobowe, poufność, tajemnice przedsiębiorstwa i prawa własności intelektualnej.
- Plan zakończenia dostępu obejmujący zwrot, retencję lub usuwanie danych, jeżeli wynika to z umowy i właściwych zasad.
Lista ma charakter organizacyjny. Nie przesądza, że każdy punkt będzie wyglądał tak samo w każdej firmie.
Przygotowanie na zmianę dostawcy
W przypadku chmury warto sprawdzić możliwość eksportu danych, dostępne formaty, zależności od usług własnościowych oraz zakres wsparcia dostawcy. Należy również opisać testy, rekonfigurację, integracje, retencję i usuwanie danych po zakończeniu usługi. Przydatne może być wcześniejsze ustalenie odpowiedzialności za przerwy w działaniu oraz sposobu komunikacji podczas migracji.
Takie działania nie gwarantują bezproblemowego przeniesienia, ale pozwalają wcześniej zidentyfikować zależności techniczne i organizacyjne.
Najważniejsze ograniczenia i zastrzeżenia
Data Act wzmacnia pozycję przedsiębiorstw korzystających z produktów połączonych i powiązanych usług, ale nie daje nieograniczonego prawa do wszystkich informacji znajdujących się w systemie. Zakres dostępu i dalszego udostępniania zależy między innymi od charakteru danych, ich dostępności, ochrony danych osobowych, tajemnicy przedsiębiorstwa, poufności, bezpieczeństwa i praw własności intelektualnej.
Co sprawdzić przed wdrożeniem
Przed zastosowaniem opisanych rozwiązań w konkretnej organizacji należy sprawdzić zakres danych objętych rozporządzeniem, role stron, podstawy przetwarzania danych osobowych, treść umowy oraz warunki techniczne dostawcy. Warto także zweryfikować aktualny status polskich przepisów nadzorczych, ponieważ komunikat o projekcie ustawy nie jest równoznaczny z obowiązującym prawem.
Data Act może stać się impulsem do uporządkowania danych IoT, umów B2B i planów migracji chmurowej. Najważniejsze jest jednak oddzielenie prawa dostępu od prawa do dowolnego wykorzystania danych oraz rozdzielenie regulowanych opłat od pozostałych kosztów migracji. Materiał ma charakter edukacyjny i powinien zostać dodatkowo zweryfikowany przed wdrożeniem w konkretnej firmie. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
