Data Act, czyli co muszą wiedzieć producenci urządzeń gromadzących dane?

Od 12 września 2025 r. zacznie obowiązywać Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania (tzw. Data Act)[1]. Data Act został wprowadzony jako element unijnych ram prawnych, które mają zagwarantować przejrzysty dostęp do danych, danych generowanych przez urządzenia podłączone do internetu (tzw. produkty skomunikowane) oraz udostępniania ich stronom trzecim.

Jedną z grup najbardziej zainteresowanych i jednocześnie objętych bezpośrednimi obowiązkami wynikającymi z rozporządzenia są producenci urządzeń IoT. Urządzenia IoT czyli Internet of Things (Internet Rzeczy) są to połączone elementy sprzętowe, które mogą komunikować się ze sobą i udostępniać dane użytkownikom przez Internet.

Czym jest ów produkt skomunikowany i co to jest usługa powiązana?

Produktem skomunikowanym w rozumieniu rozporządzenia jest produkt fizyczny połączony bezpośrednio lub pośrednio z internetem, który jest zdolny do gromadzenia danych dotyczących jego działania, użytkowania lub środowiska. Tak jak zostało wspomniane wcześniej, chodzi m.in. o urządzenia wyposażone w czujniki, interfejsy użytkownika, systemy operacyjne lub aplikacje, elementy inteligentnego domu takie jak urządzenia AGD ale także pojazdy czy maszyny przemysłowe, które automatycznie generują dane. Produkty te muszą być zaprojektowane tak, by mogły przekazywać dane za pomocą łączności elektronicznej lub fizycznego połączenia (np. Wi-Fi, Bluetooth, kabel, chmura).

Natomiast usługa powiązana oznacza usługę cyfrową, w tym oprogramowanie, ale z wyłączeniem usług łączności elektronicznej, która podczas zakupu, najmu, dzierżawy lub leasingu jest skomunikowana z produktem w taki sposób, że jej brak uniemożliwiłby produktowi skomunikowanemu wykonywanie co najmniej jednej z jego funkcji, lub która zostaje skomunikowana z produktem przez producenta lub osobę trzecią później, aby dodać, uaktualnić lub zmodyfikować funkcje produktu skomunikowanego.

Kim jest producent i kto jeszcze otrzyma nowe obowiązki w ramach Data Act?

Niniejsze rozporządzenie ma zastosowanie do producentów produktów skomunikowanych wprowadzanych do obrotu w Unii i dostawców usług powiązanych, niezależnie od miejsca siedziby tych producentów i dostawców.

Producentem są zarówno małe, średnie jak i duże przedsiębiorstwa. Jednakże, duże firmy będą musiały spełnić bardziej rygorystyczne wymagania dotyczące danych. Małe i średnie przedsiębiorstwa zostaną objęte pewnymi ułatwieniami w celu wsparcia ich konkurencyjności.  Obowiązki nie dotyczą danych z produktów skomunikowanych lub usług powiązanych dostarczanych przez mikroprzedsiębiorstwa lub małe przedsiębiorstwo. To samo dotyczy średnich przedsiębiorstw – ale tylko przez rok od wprowadzenia ich do obrotu przez takie przedsiębiorstwo.

Dodatkowe obowiązki informacyjne spoczywają na sprzedawcy, wynajmującym, wydzierżawiającym, leasingodawcy lub dostawcy usługi powiązanej

Jakie są nowe obowiązki producenta?

Przed zawarciem umowy producent musi przedstawić użytkownikowi co najmniej następujące informacje:

• rodzaj, format i szacunkową ilość danych z produktu, które produkt skomunikowany jest w stanie wygenerować;
• czy produkt skomunikowany jest w stanie generować dane w sposób ciągły i w czasie rzeczywistym;
• czy produkt skomunikowany jest w stanie przechowywać dane na urządzeniu lub na zdalnym serwerze, w tym w stosownym przypadku zamierzony okres zatrzymywania danych;
• w jaki sposób użytkownik może uzyskać dostęp do tych danych, pobrać je lub w stosownym przypadku usunąć, w tym środki techniczne stosowane w tym celu, a także warunki ich wykorzystywania i jakość usługi.

Ponadto produkty skomunikowane, wprowadzane do obrotu po 12 września 2025 r., muszą być zaprojektowane w sposób umożliwiający użytkownikowi łatwy, bezpieczny i bezpośredni dostęp do danych generowanych podczas użytkowania. Dotyczy to również tzw. usług powiązanych, czyli oprogramowania towarzyszącego produktowi (np. aplikacji mobilnych, platform zarządzania urządzeniem).

Dla producentów oznacza to konieczność wprowadzenia zmian w projektowaniu oprogramowania i urządzeń takich jak wdrożenie interfejsów API, otwartych portów danych, dokumentacji umożliwiającej integrację czy aktualizacji firmware.

Kto i kiedy ma dostęp do danych?

O dostępie do danych zadecyduje użytkownik produktu, czyli osoba fizyczna lub prawna, która jest właścicielem produktu skomunikowanego lub której na podstawie umowy przekazane zostały tymczasowe prawa do korzystania z tego produktu skomunikowanego, lub która korzysta z usług powiązanych (art. 2 pkt 12 Data Act).

Ma on prawo do dostępu do danych generowanych przez urządzenie i usługę powiązaną oraz do udostępnienia tych danych stronie trzeciej. Producent lub inny posiadacz danych (np. operator chmurowy) nie może natomiast tego prawa ograniczyć.

Jeżeli jednak dane zawierają tajemnicę przedsiębiorstwa lub dane osobowe, których użytkownik nie jest osobą, której dane dotyczą, wtedy stosowane będą odpowiednie ograniczenia takie jak podpisanie umowy o poufności, czy też przetwarzanie danych zgodnie z RODO[2].

Data Act wprowadza również przepisy umożliwiające ubieganie się przez organy państwowe o udostępnienie informacji zebranych przez przedsiębiorstwa (art. 14-22). Mogą one żądać dostępu do danych  w celu zapewniania bezpieczeństwa narodowego, zdrowia publicznego lub gdy wymaga tego ochrona środowiska.

Podsumowanie

Przepisy Data Act zaczną być stosowane w Polsce od 12 września 2025 r. Od tej daty obowiązki staną się wiążące dla wszystkich producentów wprowadzających produkty skomunikowane na rynek Unii Europejskiej. W związku z tym producenci powinni podjąć kroki w celu dostosowania produktów do wymagań z niego wynikających. Warto w tym celu przeprowadzić audyt dotyczący danych generowanych przez urządzenia, przegląd umów pod kątem istnienia niedozwolonych klauzul, a także, co najważniejsze, dostosować interfejsy techniczne w celu automatycznego i bezpiecznego udostępniania danych.