Data Act: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, które części rozporządzenia Cię dotyczą i przy jakich produktach, usługach i umowach.

1. 1.1

   wypisz produkty skomunikowane i usługi powiązane

   Wypisz każdą rzecz, którą wytwarzasz, która zbiera dane o swoim użytkowaniu lub otoczeniu i potrafi je przekazać, oraz każdą aplikację lub usługę cyfrową, której produkt potrzebuje albo która zmienia jego funkcje. Zapisz datę wprowadzenia każdej pozycji na rynek.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   rejestr produktów i usług z powodem, dla którego każda pozycja jest objęta albo nie

   dowód, który zostaje

   rejestr z datą, zatwierdzony przez kierownictwo

   strona pracyzabezpieczenie: asset-inventory

   podstawa Data Act art. 1(3); Data Act art. 2(5), 2(6)

2. 1.2

   sprawdź zwolnienie dla małych firm

   Sprawdź, czy jesteś mikro lub małym przedsiębiorstwem bez większego przedsiębiorstwa partnerskiego lub powiązanego i czy wytwarzasz lub projektujesz produkt jako podwykonawca. Firma, która od niespełna roku jest średnia, oraz produkt średniej firmy w pierwszym roku na rynku też są zwolnione z obowiązków dostępu dla użytkownika.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   pisemna ocena wielkości wraz ze strukturą grupy

   dowód, który zostaje

   ocena, ponawiana przy zmianie grupy lub zatrudnienia

   podstawa Data Act art. 7(1)

3. 1.3

   wypisz świadczone usługi przetwarzania danych

   Wypisz chmurę i inne usługi obliczeniowe na żądanie, które sprzedajesz klientom w Unii. Oznacz te zbudowane głównie dla jednego klienta i nieoferowane na szeroką skalę oraz wersje testowe na ograniczony czas, bo część lub całość przepisów o zmianie dostawcy ich nie obejmuje.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   wykaz usług z przepisami o zmianie dostawcy, które dotyczą każdej

   dowód, który zostaje

   wykaz i uzasadnienie każdego zastosowanego zwolnienia

   podstawa Data Act art. 2(8); Data Act art. 31(1), 31(2)

4. 1.4

   wskaż właścicieli i zapisz terminy

   Wskaż jednego właściciela wniosków o dane od użytkowników i osób trzecich oraz jednego od zmiany dostawcy i umów o dane. Zapisz daty, które Cię dotyczą, i ustal krajowy właściwy organ oraz przepisy o karach.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   wskazani właściciele i arkusz terminów

   dowód, który zostaje

   uchwała zarządu wskazująca właścicieli i arkusz terminów ze źródłami

   podstawa Data Act art. 50; Data Act art. 37(1); Data Act art. 40(1)

Udostępnij użytkownikowi dane generowane przez Twoje produkty i usługi powiązane, a na jego wniosek także osobie trzeciej.

1. 2.1

   projektuj nowe produkty z bezpośrednim dostępem

   Produkty i usługi powiązane wprowadzane na rynek po 12 września 2026 r. projektuj tak, by użytkownik domyślnie miał dostęp do danych i metadanych: łatwo, bezpiecznie, bezpłatnie, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, a w stosownym przypadku i jeśli to technicznie możliwe, bezpośrednio.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   wymaganie projektowe dostępu do danych w specyfikacji produktu

   dowód, który zostaje

   specyfikacja i test pokazujący, że dostęp działa

   zabezpieczenie: secure-development

   podstawa Data Act art. 3(1); Data Act art. 50

2. 2.2

   przygotuj informacje przed zawarciem umowy

   Przygotuj informacje, które sprzedawca przekazuje przed sprzedażą, najmem, dzierżawą lub leasingiem, oraz dłuższą listę dostawcy usługi powiązanej: jakie dane, w jakim formacie i ilości, gdzie są przechowywane i jak długo, kto jest posiadaczem danych i jak użytkownik może je pobrać lub komuś udostępnić.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   karta informacji przedumownych dla każdego produktu i usługi

   dowód, który zostaje

   karty i dowód, że trafiają do kupujących przed podpisaniem

   podstawa Data Act art. 3(2), 3(3)

3. 2.3

   zbuduj ścieżkę wniosków dla użytkowników

   Tam, gdzie użytkownik nie ma bezpośredniego dostępu, zbuduj prosty wniosek elektroniczny, który bez zbędnej zwłoki dostarcza dane łatwo dostępne w tej samej jakości, jaką masz Ty. Nie żądaj więcej danych do weryfikacji niż potrzeba, a zapisy o dostępie trzymaj tylko tak długo, jak wymaga wniosek i bezpieczeństwo.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   ścieżka wniosków i krótka procedura do niej

   dowód, który zostaje

   rejestr wniosków z datami odpowiedzi, przechowywany nie dłużej niż trzeba

   podstawa Data Act art. 4(1), 4(4), 4(5)

4. 2.4

   ustal warunki dla osób trzecich

   Przygotuj uczciwe, rozsądne i niedyskryminacyjne warunki przekazywania danych osobie trzeciej wskazanej przez użytkownika, bezpłatnie dla użytkownika. Ustal sposób liczenia wynagrodzenia, który potrafisz wyjaśnić, ograniczony do kosztów dla MŚP i organizacji badawczych non profit, i odmawiaj strażnikom dostępu.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   standardowe warunki udostępniania danych osobom trzecim i metoda wyliczania wynagrodzenia

   dowód, który zostaje

   warunki, podstawa wyliczenia przekazana odbiorcom i rejestr wniosków

   podstawa Data Act art. 5(1), 5(3); Data Act art. 8(1), 8(3); Data Act art. 9(1), 9(4), 9(7)

5. 2.5

   oprzyj własne korzystanie z danych na umowie

   Korzystaj z danych nieosobowych z produktu tylko na podstawie umowy z użytkownikiem i zaprzestań takiego użycia, które ujawnia jego sytuację ekonomiczną, aktywa lub metody produkcji z jego szkodą. Przekazuj dane nieosobowe z produktu innym tylko w wykonaniu tej umowy i zobowiąż ich do nieprzekazywania danych dalej.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   postanowienia umowne o Twoim korzystaniu z danych

   dowód, który zostaje

   podpisane umowy i wykaz odbiorców danych z celem

   podstawa Data Act art. 4(13), 4(14)

6. 2.6

   sprawdź podstawę prawną, zanim wyjdą dane osobowe

   Gdy użytkownik lub osoba trzecia prosi o dane osobowe innej osoby, wydaj je tylko przy ważnej podstawie prawnej z RODO. Kieruj takie wnioski do osoby, która w firmie odpowiada za RODO.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   zasada postępowania z wnioskami obejmującymi dane osobowe

   dowód, który zostaje

   decyzja zapisana przy każdym takim wniosku

   strona pracy

   podstawa Data Act art. 1(5); Data Act art. 4(12), 5(7)

Zachowaj poufność tajemnic przedsiębiorstwa, nie traktując ich jako ogólnego powodu odmowy.

1. 3.1

   oznacz dane stanowiące tajemnicę przedsiębiorstwa

   Wskaż, które dane i metadane są tajemnicą przedsiębiorstwa, Twoją lub dostawcy, i oznacz je w metadanych. Wiedz, kto jest posiadaczem tajemnicy, gdy to nie Ty.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   rejestr tajemnic przedsiębiorstwa w danych z produktu

   dowód, który zostaje

   rejestr i oznaczenie w metadanych

   podstawa Data Act art. 4(6), 5(9)

2. 3.2

   uzgodnij środki poufności przed udostępnieniem

   Zanim tajemnice wyjdą na zewnątrz, uzgodnij z użytkownikiem lub osobą trzecią proporcjonalne środki techniczne i organizacyjne: wzorcowe postanowienia umowne, umowy o zachowaniu poufności, ścisłe protokoły dostępu, normy techniczne lub kodeksy postępowania.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   standardowy pakiet poufności do udostępniania danych

   dowód, który zostaje

   podpisane umowy z każdym odbiorcą

   podstawa Data Act art. 4(6), 5(9)

3. 3.3

   zastosuj techniczne środki ochrony

   Stosuj techniczne środki ochrony, takie jak szyfrowanie, by zapobiec nieuprawnionemu dostępowi, bez dyskryminowania odbiorców i bez blokowania praw samego użytkownika.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   opis środków ochrony dla każdego przepływu danych

   dowód, który zostaje

   zapisy konfiguracji i sprawdzenie, że użytkownicy nadal dostają swoje dane

   zabezpieczenie: encryption-keys

   podstawa Data Act art. 11(1)

4. 3.4

   wstrzymanie lub odmowę prowadź na piśmie

   Gdy środków nie uzgodniono lub są łamane albo gdy ujawnienie z dużym prawdopodobieństwem spowoduje poważną szkodę gospodarczą, wydaj uzasadnioną decyzję na piśmie bez zbędnej zwłoki i zgłoś ją właściwemu organowi.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   wzór decyzji i ścieżka zgłoszenia

   dowód, który zostaje

   każda decyzja, jej uzasadnienie i wysłane zgłoszenie

   podstawa Data Act art. 4(7), 4(8); Data Act art. 5(10), 5(11)

Jeśli świadczysz usługi przetwarzania danych, spraw, by zmiana dostawcy lub powrót do lokalnej infrastruktury działały tak, jak określa rozporządzenie.

1. 4.1

   wpisz warunki zmiany dostawcy do umowy

   Zapisz warunki zmiany dostawcy w umowie na piśmie, którą klient może przechować przed podpisaniem: okres wypowiedzenia najwyżej dwa miesiące, okres przejściowy najwyżej 30 dni kalendarzowych z ciągłością i pomocą, wyczerpujący wykaz danych eksportowalnych i aktywów, co najmniej 30 dni na pobranie danych, a potem pełne usunięcie.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   zaktualizowane wzory umów dla każdej usługi

   dowód, który zostaje

   wzory i wykaz umów przeniesionych na nie

   podstawa Data Act art. 25(1), 25(2), 25(3)

2. 4.2

   opublikuj metody zmiany dostawcy i formaty danych

   Powiedz klientom, jak działa zmiana dostawcy i przenoszenie danych, z metodami, formatami i znanymi ograniczeniami, i prowadź internetowy rejestr struktur i formatów danych. Udostępniaj bezpłatnie otwarte interfejsy, jeśli Twoja usługa jest powyżej warstwy infrastruktury.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   strona o zmianie dostawcy i rejestr formatów

   dowód, który zostaje

   opublikowane strony z historią zmian

   podstawa Data Act art. 26; Data Act art. 30(2), 30(5)

3. 4.3

   zlikwiduj opłaty za zmianę dostawcy

   Do 12 stycznia 2027 r. nie pobieraj więcej niż bezpośredni koszt zmiany i informuj przyszłych klientów o opłatach i karach umownych przed podpisaniem umowy. Od tej daty nie pobieraj nic za zmianę dostawcy.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja cenowa w sprawie zmiany dostawcy

   dowód, który zostaje

   cennik i informacje przedumowne

   podstawa Data Act art. 29(1), 29(2), 29(3), 29(4)

4. 4.4

   opublikuj jurysdykcję i zabezpieczenia przed dostępem

   Opublikuj, jakiej jurysdykcji podlega Twoja infrastruktura i jakie środki stosujesz przeciw bezprawnemu dostępowi administracji państw trzecich do danych nieosobowych przechowywanych w Unii, i wskaż tę stronę w umowach.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   publiczna strona o jurysdykcji i zabezpieczeniach

   dowód, który zostaje

   strona i postanowienie umowne, które do niej odsyła

   podstawa Data Act art. 28(1), 28(2); Data Act art. 32(1)

5. 4.5

   przećwicz zmianę dostawcy od początku do końca

   Przeprowadź próbny eksport danych eksportowalnych klienta w okresie przejściowym. Jeśli ten okres jest technicznie niewykonalny, rozporządzenie każe to zgłosić w ciągu 14 dni roboczych i zaproponować okres do siedmiu miesięcy, więc wiedz o tym, zanim zapyta klient.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   instrukcja zmiany dostawcy

   dowód, który zostaje

   zapis testu z czasami i usuniętymi lukami

   zabezpieczenie: backup-recovery

   podstawa Data Act art. 25(2), 25(4)

Upewnij się, że klauzule o danych, które narzucasz, są uczciwe, i korzystaj z praw, które masz jako kupujący.

1. 5.1

   przejrzyj klauzule o danych, które narzucasz

   Porównaj swoje wzorce umów o dostępie do danych, ich wykorzystywaniu i odpowiedzialności za obowiązki dotyczące danych z postanowieniami zawsze nieuczciwymi i nieuczciwymi z domniemania. Zapisuj przebieg negocjacji, bo strona, która zaproponowała postanowienie, musi udowodnić, że go nie narzuciła.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   poprawione wzory i zapis negocjacji

   dowód, który zostaje

   wzory z datą przeglądu i zapis przy każdej umowie

   podstawa Data Act art. 13(1), 13(4), 13(5), 13(6)

2. 5.2

   znajdź starsze długie umowy przed datą z 2027 r.

   Wypisz umowy zawarte do 12 września 2025 r. włącznie, które są na czas nieokreślony albo wygasają co najmniej 10 lat po 11 stycznia 2024 r. Od 12 września 2027 r. obejmują je przepisy o nieuczciwych postanowieniach.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   wykaz objętych umów z planem dla każdej

   dowód, który zostaje

   wykaz i podpisane aneksy

   podstawa Data Act art. 50; Data Act art. 13(1)

3. 5.3

   poproś dostawców chmury o warunki zmiany dostawcy

   Jako klient sprawdź, czy każda umowa na chmurę określa okres wypowiedzenia i okres przejściowy, dane eksportowalne, okres na pobranie danych i ich usunięcie. Wykorzystaj te warunki we własnych planach odejścia.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   sprawdzenie każdej umowy na chmurę względem warunków zmiany dostawcy

   dowód, który zostaje

   sprawdzone umowy i plan odejścia dla każdej krytycznej usługi

   strona pracyzabezpieczenie: supplier-management

   podstawa Data Act art. 25(1), 25(2); Data Act art. 29(1)

4. 5.4

   upomnij się o dane z produktów, których używasz

   Jako użytkownik produktów skomunikowanych żądaj informacji przedumownych przy zakupie i występuj o dane z maszyn, pojazdów lub urządzeń, gdy pomagają w utrzymaniu albo zmianie dostawcy.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   lista kontrolna zakupu i pierwszy wniosek o dane

   dowód, który zostaje

   otrzymane informacje i dostarczone dane

   podstawa Data Act art. 3(2); Data Act art. 4(1)

5. 5.5

   raz w roku przejrzyj całość

   Raz w roku przejrzyj rejestr produktów, usług i umów, obsłużone wnioski, odmowy i testy zmiany dostawcy oraz sprawdź nowe wytyczne, wzorcowe postanowienia umowne i zmiany rozporządzenia.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   roczna notatka z przeglądu

   dowód, który zostaje

   notatka z działaniami i właścicielami

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2023/2854 (akt w sprawie danych, Data Act) (EUR-Lex)