Rozporządzenie Data Act: wszystko, co musisz wiedzieć o nowych przepisach UE

Unijne rozporządzenie Data Act może całkowicie zmienić sposób, w jaki firmy i użytkownicy korzystają z informacji w cyfrowym świecie. Regulacja ta to znacznie więcej niż kolejny zbiór przepisów – chodzi o stworzenie bardziej otwartego i przejrzystego rynku danych w UE. W praktyce oznacza to, że zarówno przedsiębiorstwa, jak i konsumenci zyskają większą kontrolę nad tym, co generują ich urządzenia, aplikacje i usługi.

Dlaczego nie możemy tego zignorować? Po pierwsze, od września 2025 r. nowe wymogi wchodzą w życie i stają się rzeczywistością dla wszystkich podmiotów działających w cyfrowym ekosystemie. Po drugie, Data Act niesie ze sobą nie tylko szereg obowiązków, ale także ogromne szanse – od tworzenia innowacyjnych modeli biznesowych po budowanie przewagi konkurencyjnej na rynku opartym na danych. Dla zespołów IT oznacza to konieczność przygotowania na nowe wymagania techniczne, dla działów compliance aktualizację procedur i umów, a dla zarządów przemyślenie strategii w zarządzaniu zasobami informacyjnymi

Czym jest Data Act?

Data Act (Akt w sprawie danych) to rozporządzenie Parlamentu Europejskiego i Rady UE 2023/2854, które wprowadza jednolite zasady dotyczące sprawiedliwego dostępu do informacji cyfrowych i ich wykorzystania. To element szerszej unijnej strategii na rzecz gospodarki opartej na danych oraz ważny krok w budowie jednolitego rynku cyfrowego.

Nowe przepisy mają regulować kwestie związane z udostępnianiem informacji wytwarzanych przez urządzenia sieciowe, zapewniając ich właścicielom możliwość przekazywania tych danych odbiorcom w UE w sposób uczciwy, rozsądny, przejrzysty i niedyskryminujący. Dotyczy to m.in. treści pochodzących z urządzeń IoT, aplikacji czy usług chmurowych.

Kogo obejmują nowe przepisy?

Akt w sprawie danych dotyczy szerokiego grona podmiotów funkcjonujących w środowisku cyfrowym. Przepisy obejmują zarówno producentów urządzeń podłączonych do Internetu, jak i dostawców usług cyfrowych, które gromadzą i przetwarzają dane. W praktyce oznacza to, że obowiązki wynikające z rozporządzenia Data Act będą miały zastosowanie do:

• • producentów sprzętu IoT – urządzeń generujących dane podczas codziennego użytkowania (np. inteligentne czujniki, samochody, urządzenia medyczne),
  • dostawców aplikacji i oprogramowania – platform, które zbierają lub analizują dane użytkowników,
  • firm świadczących usługi chmurowe i przetwarzania danych – zobowiązanych do zapewnienia interoperacyjności i ułatwienia zmiany dostawcy,
  • organizacji korzystających z danych stron trzecich – które muszą zadbać o zgodność z nowymi zasadami udostępniania i ochrony informacji.

Data Act ma zastosowanie zarówno do dużych przedsiębiorstw technologicznych, jak i małych firm, które tworzą rozwiązania cyfrowe lub wykorzystują dane w swojej działalności. W rozporządzeniu mowa także o organach publicznych, które w sytuacjach nadzwyczajnych będą mogły uzyskać dostęp do danych od sektora prywatnego.

Przeczytaj również: AI Act – czym jest, kogo dotyczy i jak przygotować organizację na nowe obowiązki?

Może Cię zainteresować: Cyber Resilience Act – czym są nowe wymogi dla urządzeń łączących się z Internetem?

Najważniejsze założenia Data Act

Przepisy wprowadzają szereg zasad, które mają ułatwić dostęp do danych i zapewnić ich sprawiedliwe wykorzystanie w gospodarce cyfrowej. Najważniejsze z nich to:

• • prawo użytkownika do dostępu do danych – użytkownicy końcowi (zarówno konsumenci, jak i przedsiębiorcy) zyskują prawo do dostępu do danych wytwarzanych przez urządzenia, z których korzystają oraz możliwość przekazywania ich wybranemu przez siebie podmiotowi, np. innej firmie świadczącej usługi,
  • obowiązki producentów i dostawców usług – podmioty oferujące sprzęty lub usługi gromadzące dane będą zobowiązane do zapewnienia łatwego, szybkiego i bezpiecznego udostępnienia ich użytkownikowi (dotyczy to m.in. konieczności stosowania przejrzystych interfejsów i dokumentacji),
  • zasada uczciwego udostępniania danych – informacje mają być udostępniane na warunkach sprawiedliwych, rozsądnych i niedyskryminujących, co oznacza, że firmy nie będą mogły wykorzystywać swojej pozycji rynkowej, by ograniczać dostęp do danych lub narzucać niekorzystne warunki korzystania ze swoich rozwiązań,
  • ochrona tajemnic handlowych i prywatności – udostępnianie danych musi odbywać się z poszanowaniem obowiązujących przepisów dotyczących ochrony danych osobowych i informacji poufnych,
  • obowiązki dotyczące przetwarzania danych – dostawcy usług przetwarzania danych (w tym chmurowych) będą zobowiązani do ułatwienia klientom zmiany usługodawcy oraz zapewnienia interoperacyjności usług, co ma przeciwdziałać zjawisku vendor lock-in,
  • dostęp do danych w sytuacjach wyjątkowych – w określonych sytuacjach nadzwyczajnych (np. kryzysy zdrowotne, klęski żywiołowe), organy publiczne będą mogły żądać od przedsiębiorstw dostępu do posiadanych danych.

Ważne terminy

• • 22 grudnia 2023 – publikacja rozporządzenia w Dzienniku Urzędowym UE
  • 11 stycznia 2024 – wejście Data Act w życie
  • 12 września 2025 – rozpoczęcie stosowania przepisów.

Jakie wyzwania stawia przed biznesem Data Act?

Wejście w życie Data Act to dla przedsiębiorstw nie tylko szanse, ale też konkretne obowiązki. Firmy muszą dokładnie przeanalizować swoje praktyki w zakresie zarządzania danymi i przygotować się na istotne zmiany.

• • Audyt danych i procesów – kluczowe jest zidentyfikowanie, jakie zasoby są gromadzone, w jaki sposób przetwarzane oraz kto ma do nich dostęp. Pozwoli to określić, które dane podlegają udostępnieniu na podstawie rozporządzenia i jakie mechanizmy ochrony należy wprowadzić.
  • Zarządzanie zgodami – organizacje będą musiały opracować procedury pozyskiwania i dokumentowania zgód użytkowników końcowych na przekazywanie danych wskazanym przez nich podmiotom trzecim. Dodatkowym obowiązkiem będzie zapewnienie technicznych możliwości realizacji takich żądań (np. poprzez API lub dedykowane portale dla użytkowników).
  • Nowe obowiązki kontraktowe – firmy powinny dostosować swoje umowy z klientami, partnerami i dostawcami tak, aby uwzględniały nowe prawa i obowiązki związane z udostępnianiem danych. Dotyczy to m.in. zapisów o interoperacyjności usług, ochronie poufnych informacji czy przenoszeniu danych do innych dostawców.

Pozytywny wpływ na działalność przedsiębiorstw

Chociaż Data Act stawia wysokie wymagania, daje też firmom wiele możliwości:

• • nowe modele biznesowe – otwartość dostępu do danych umożliwi tworzenie innowacyjnych usług i produktów
  • lepsza współpraca między firmami – standaryzacja zasad ułatwi wymianę informacji i budowanie partnerstw
  • większa swoboda wyboru dostawców (przeciwdziałanie zjawisku vendor lock-in) – nowe reguły zmniejszą ryzyko uzależnienia od jednego dostawcy

Przeczytaj również: Unijne wytyczne dla bezpieczeństwa cyfrowego. Co musisz wiedzieć o dyrektywnie NIS2?

Może Cię zainteresować: Czym jest rozporządzenie DORA i jakie ma znaczenie dla sektora finansowego?

Jak przygotować się do Data Act?

Rozporządzenie Data Act obowiązywać będzie od 12 września 2025 roku, tak więc czasu na przygotowanie jest niewiele. Doświadczenia z wdrażania innych unijnych regulacji pokazują, że zwlekanie z implementacją często kończy się kosztownym pośpiechem i ryzykiem niezgodności. Dlatego warto już teraz zaplanować odpowiednie działania.

1. 1. Przeprowadź audyt danych i infrastruktury – pierwszym krokiem powinno być zidentyfikowanie jakie dane i zasoby informacyjne generują Twoje systemy, gdzie są przechowywane i kto ma do nich dostęp. Taki przegląd pozwoli zidentyfikować luki i ocenić skalę procesów wdrożeniowych.
   2. Dostosuj polityki i procedury wewnętrzne – zaktualizuj zasady dotyczące zarządzania danymi, uwzględniając nowe obowiązki w zakresie udostępniania i ochrony danych.
   3. Zaktualizuj umowy – przejrzyj kontrakty z dostawcami, klientami i partnerami biznesowymi. Sprawdź, czy uwzględniają nowe prawa użytkowników i obowiązki dotyczące interoperacyjności usług.
   4. Zaangażuj działy IT, compliance i zarząd – wdrożenie nowych wymogów pociąga za sobą konieczność współpracy różnych działów organizacji. Działy IT powinny zadbać o techniczne aspekty realizacji wymagań (API, interfejsy użytkownika, zabezpieczenia), compliance o zgodność procedur z przepisami, a zarząd o strategiczne podejście do zarządzania danymi jako kluczowym zasobem firmy.
   5. Przeszkol pracowników – zorganizuj szkolenia, które przygotują zespoły do realizacji nowych procedur i reagowania na żądania udostępnienia danych.

Nie zwlekaj z wdrożeniem!

Data Act to regulacja, która wymaga od firm strategicznego podejścia do zarządzania danymi. Dla wielu organizacji to ostatni moment, aby przygotować się na nowe przepisy i uniknąć kosztownych błędów. Ci, którzy podejdą do tego proaktywnie, nie tylko spełnią wymogi prawne, ale również zyskają przewagę konkurencyjną.

Chcesz przygotować swoją firmę do Data Act? Skontaktuj się z nami!

Przeprowadzimy szczegółowy audyt, opracujemy kompleksowy plan wdrożenia i zabezpieczymy Twoją organizację przed ryzykiem niezgodności.

Dostosuj się z nami do Data Act

Napisz do nas na [email protected] lub skorzystaj z formularza w stopce strony.