data act

Ta strona opisuje Data Act na poziomie UE. Nie czytano w źródle polskiej ustawy wykonawczej, wskazania polskiego właściwego organu ani polskich przepisów o karach, więc ich tu nie ma. Sprawdź je w prawie krajowym.

Data Act (urzędowo akt w sprawie danych) to prawo o danych z wątkiem bezpieczeństwa. Głównie rozstrzyga, kto dostaje dane, na jakich warunkach i jak odejść od dostawcy. Firma licząca od 50 do 1000 osób zwykle spotyka go w jednej lub kilku z pięciu ról.

• Producent produktu skomunikowanego. Produkt skomunikowany to rzecz, która zbiera dane o swoim użytkowaniu lub otoczeniu i potrafi je przekazać przez sieć, łącze fizyczne albo na samym urządzeniu. Jej podstawową funkcją nie jest przechowywanie ani przetwarzanie danych dla kogoś innego niż użytkownik.
• Dostawca usługi powiązanej. Usługa cyfrowa, często aplikacja lub oprogramowanie, bez której produkt nie wykona którejś funkcji, albo dodana później, by funkcje produktu uaktualnić lub zmienić.
• Posiadacz danych. Ten, kto ma prawo lub obowiązek dane wykorzystywać i udostępniać. Często producent, czasem dostawca usługi powiązanej.
• Dostawca usług przetwarzania danych. Chmura i podobne usługi obliczeniowe na żądanie świadczone klientom w Unii, bez względu na to, gdzie ma siedzibę dostawca.
• Użytkownik albo klient. Ten, kto jest właścicielem produktu skomunikowanego, najmuje go, dzierżawi lub leasinguje, korzysta z usługi powiązanej albo kupuje usługę przetwarzania danych. W tej roli Data Act daje Ci prawa.

Rozporządzenie pozwala też organom publicznym żądać danych w razie wyjątkowej potrzeby, na przykład w sytuacji nadzwyczajnej. Ten rozdział nie jest tu omawiany.

Od 12 września 2026 r. produkty skomunikowane i usługi powiązane wprowadzane na rynek muszą być zaprojektowane tak, by użytkownik mógł sięgnąć po generowane przez nie dane. Domyślnie dane i metadane potrzebne do ich odczytania mają być dostępne łatwo, bezpiecznie, bezpłatnie, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, a w stosownym przypadku i jeśli to technicznie możliwe, bezpośrednio.

Gdy użytkownik nie ma bezpośredniego dostępu, posiadacz danych udostępnia mu dane łatwo dostępne na prosty wniosek, bez zbędnej zwłoki, w tej samej jakości, jaką ma sam, a w stosownym przypadku i jeśli to technicznie możliwe, w sposób ciągły i w czasie rzeczywistym. Posiadacz danych nie może utrudniać tego projektem interfejsu, żądać więcej danych do weryfikacji niż potrzeba ani przechowywać zapisów o dostępie użytkownika dłużej, niż wymaga obsługa wniosku i bezpieczeństwo.

Przed sprzedażą, najmem, dzierżawą lub leasingiem sprzedawca informuje użytkownika, jakie dane produkt może generować, w jakim formacie i ilości, gdzie są przechowywane i jak długo oraz jak je pobrać. Dostawca usługi powiązanej ma dłuższą listę, w tym kto jest posiadaczem danych, czy sam będzie z nich korzystał i jak użytkownik może złożyć skargę.

Mikro i małe przedsiębiorstwa nie mają tych obowiązków przy własnych produktach, chyba że wytwarzają lub projektują je jako podwykonawcy albo mają większe przedsiębiorstwo partnerskie lub powiązane. Przedsiębiorstwo, które od niespełna roku jest średnie, dostaje rok, podobnie jak każdy produkt przez rok od wprowadzenia go na rynek przez średnie przedsiębiorstwo. Postanowienie umowne, które ogranicza prawa użytkownika w tym zakresie, nie wiąże użytkownika.

Na wniosek użytkownika posiadacz danych udostępnia dane łatwo dostępne wskazanej przez niego osobie trzeciej, bezpłatnie dla użytkownika, w tej samej jakości i formacie. Przedsiębiorstwo wskazane jako strażnik dostępu na podstawie rozporządzenia (UE) 2022/1925 nie może być taką osobą trzecią.

Między firmami posiadacz danych uzgadnia warunki z odbiorcą danych. Mają być uczciwe, rozsądne i niedyskryminacyjne. Wynagrodzenie ma być rozsądne i niedyskryminacyjne i może obejmować marżę. Gdy odbiorcą jest MŚP albo organizacja badawcza non profit, wynagrodzenie nie może przekraczać kosztów udostępnienia danych. Posiadacz danych wyjaśnia, jak wyliczył cenę.

Posiadacz danych może wykorzystywać dane nieosobowe z produktu tylko na podstawie umowy z użytkownikiem i nie może ich używać, by poznać sytuację ekonomiczną, aktywa lub metody produkcji użytkownika w sposób, który mógłby osłabić jego pozycję rynkową. Nie może przekazywać danych nieosobowych z produktu innym, chyba że w wykonaniu umowy z użytkownikiem. Użytkownikowi z kolei nie wolno użyć tych danych do opracowania konkurencyjnego produktu.

Tajemnica przedsiębiorstwa nie jest ogólnym powodem odmowy. Posiadacz danych, albo posiadacz tajemnicy przedsiębiorstwa, jeśli to ktoś inny, wskazuje, które dane są tajemnicą, także w metadanych, i uzgadnia z użytkownikiem lub osobą trzecią środki zachowania poufności: wzorcowe postanowienia umowne, umowy o zachowaniu poufności, ścisłe protokoły dostępu, normy techniczne lub kodeksy postępowania.

Jeśli środków nie uzgodniono albo druga strona ich nie stosuje, posiadacz danych może wstrzymać lub zawiesić udostępnianie danych oznaczonych jako tajemnica. W wyjątkowych przypadkach może odmówić konkretnego wniosku, ale tylko gdy wykaże, że mimo tych środków z dużym prawdopodobieństwem poniesie poważną szkodę gospodarczą. Każda taka decyzja musi być uzasadniona, przekazana na piśmie bez zbędnej zwłoki i zgłoszona właściwemu organowi. Użytkownik lub osoba trzecia może złożyć skargę do tego organu albo skierować sprawę do organu rozstrzygania sporów.

Posiadacz danych może też stosować techniczne środki ochrony, w tym szyfrowanie, by zapobiec nieuprawnionemu dostępowi. Nie mogą one dyskryminować odbiorców ani blokować praw użytkownika.

Dostawca usuwa przeszkody handlowe, techniczne, umowne i organizacyjne, które powstrzymują klienta przed odejściem: przed rozwiązaniem umowy, zawarciem umowy z innym dostawcą, przeniesieniem danych eksportowalnych i aktywów cyfrowych gdzie indziej lub do lokalnej infrastruktury ICT, a przy usługach infrastrukturalnych przed osiągnięciem równoważności funkcjonalnej.

Umowa zawarta na piśmie określa warunki zmiany dostawcy, w tym:

• maksymalny okres wypowiedzenia na rozpoczęcie zmiany, nie dłuższy niż dwa miesiące
• okres przejściowy najwyżej 30 dni kalendarzowych, w którym dostawca utrzymuje usługę, pomaga, informuje o znanych zagrożeniach dla ciągłości i dba o bezpieczeństwo danych; jeśli to technicznie niewykonalne, dostawca informuje o tym w ciągu 14 dni roboczych i proponuje okres do siedmiu miesięcy
• wyczerpujący wykaz danych i aktywów cyfrowych, które można przenieść, obejmujący co najmniej wszystkie dane eksportowalne
• co najmniej 30 dni kalendarzowych na pobranie danych, a potem pełne usunięcie
• wsparcie strategii odejścia klienta

Od 12 stycznia 2027 r. dostawca nie może pobierać opłat z tytułu zmiany dostawcy. Do tego dnia obniżone opłaty nie mogą przekraczać jego kosztów bezpośrednio związanych ze zmianą. Dostawcy publikują też, jakiej jurysdykcji podlega ich infrastruktura i co robią, by zapobiec bezprawnemu dostępowi administracji państw trzecich do danych nieosobowych przechowywanych w Unii. Usługi zbudowane głównie dla jednego klienta i nieoferowane na szeroką skalę są zwolnione z części tych przepisów, a wersje testowe na ograniczony czas ze wszystkich.

Postanowienie o dostępie do danych i ich wykorzystywaniu albo o odpowiedzialności i środkach ochrony prawnej przy obowiązkach dotyczących danych nie wiąże firmy, jeśli druga strona narzuciła je jednostronnie i jest ono nieuczciwe. Postanowienie uważa się za narzucone, gdy zaproponowała je jedna strona, a druga nie mogła wpłynąć na jego treść mimo próby negocjacji. Ciężar dowodu spoczywa na stronie, która je zaproponowała.

Niektóre postanowienia są zawsze nieuczciwe, na przykład wyłączenie odpowiedzialności za winę umyślną lub rażące niedbalstwo. Inne uznaje się za nieuczciwe z domniemania, na przykład uniemożliwienie drugiej stronie uzyskania kopii danych, które dostarczyła lub wygenerowała, albo pozwolenie silniejszej stronie na korzystanie z danych drugiej w sposób dla niej znacznie szkodliwy. Ceny i głównego przedmiotu umowy w ten sposób się nie ocenia.

Te przepisy stosuje się do umów zawartych po 12 września 2025 r. Od 12 września 2027 r. obejmują też starsze umowy zawarte na czas nieokreślony albo wygasające co najmniej 10 lat po 11 stycznia 2024 r.

RODO. Data Act obejmuje dane osobowe i nieosobowe i nie zmienia prawa o ochronie danych. W razie kolizji pierwszeństwo ma prawo o ochronie danych osobowych. Gdy użytkownik jest osobą, której dane dotyczą, prawa dostępu z Data Act uzupełniają prawo dostępu i prawo do przenoszenia danych z RODO. Gdy użytkownikiem jest firma, która prosi o dane innych osób, na przykład pracowników jeżdżących służbowym pojazdem, posiadacz danych może wydać dane osobowe tylko przy ważnej podstawie prawnej z RODO. Motywy rozporządzenia traktują takiego użytkownika jako administratora. Organy ochrony danych nadzorują Data Act w zakresie danych osobowych. W praktyce każdy wniosek o dane przepuść przez osobę, która w firmie odpowiada za RODO.

CRA. Oba akty obejmują produkty podłączane do sieci. CRA ustala wymagania bezpieczeństwa produktu. Data Act ustala, kto może wyciągnąć z niego dane. Rozsądne odczytanie: ścieżka dostępu, którą budujesz dla użytkowników, jest częścią produktu, więc od 11 grudnia 2027 r., gdy zaczną obowiązywać wymagania produktowe CRA, musi je także spełniać.

• 11 stycznia 2024 r. Rozporządzenie wchodzi w życie.
• 12 września 2025 r. Stosuje się większość przepisów, w tym o zmianie dostawcy i o nieuczciwych postanowieniach w nowych umowach.
• 12 września 2026 r. Obowiązek projektowania obejmuje produkty i usługi powiązane wprowadzone na rynek po tej dacie.
• 12 stycznia 2027 r. Koniec opłat z tytułu zmiany dostawcy.
• 12 września 2027 r. Przepisy o nieuczciwych postanowieniach obejmują starsze długie umowy.

Każde państwo członkowskie wyznacza co najmniej jeden właściwy organ i ustala własne kary, które mają być skuteczne, proporcjonalne i odstraszające. Rozporządzenie nie ustala własnego pułapu kar. Za naruszenia rozdziału o dostępie użytkownika i udostępnianiu, rozdziału o obowiązkowym udostępnianiu i rozdziału o wyjątkowej potrzebie organy ochrony danych mogą nakładać kary na podstawie RODO do jego najwyższego pułapu. Organ i przepisy o karach sprawdź w prawie krajowym. Komisja udostępnia też wytyczne, FAQ i projekt zalecenia w sprawie niewiążących wzorcowych postanowień umownych.