Czym jest Data Act i kogo dotyczy?
Od września 2025 roku firmy działające w sektorze technologicznym oraz ich klienci będą musieli dostosować się do nowych przepisów europejskich. Rozporządzenie (UE) 2023/2854 w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania, potocznie nazywane Data Act, wprowadza rewolucyjne zmiany w sposobie zarządzania danymi generowanymi przez urządzenia połączone z internetem.
To pierwszy artykuł z naszej serii, w której szczegółowo omówimy najważniejsze aspekty tej regulacji. Dziś skupimy się na fundamentalnych pytaniach: czym jest Data Act, jakie produkty i podmioty obejmuje oraz dlaczego te przepisy są tak istotne dla przyszłości gospodarki cyfrowej.
Cel i znaczenie Data Act
Data Act powstał w odpowiedzi na rosnące znaczenie danych w gospodarce cyfrowej oraz potrzebę demokratyzacji dostępu do informacji generowanych przez urządzenia IoT – Internetu Rzeczy. Głównym celem regulacji jest stworzenie jednolitych ram prawnych w Unii Europejskiej, które zapewnią użytkownikom sprawiedliwy i terminowy dostęp do danych pochodzących z produktów i usług, z których korzystają.
Przepisy mają przyczynić się do zniesienia barier w przepływie danych między podmiotami oraz zapobiegania monopolizacji dostępu do danych przez duże przedsiębiorstwa technologiczne. Regulacja ma również ułatwić współpracę między różnymi uczestnikami rynku poprzez umożliwienie transparentnej zmiany dostawców usług oraz poprawę interoperacyjności danych i usług. Wszystko to przy jednoczesnej ochronie danych osobowych i nieosobowych użytkowników oraz tajemnic przedsiębiorstwa.
W praktyce oznacza to, że użytkownicy zyskają większą kontrolę nad swoimi danymi, a rynek stanie się bardziej konkurencyjny dzięki łatwiejszemu dostępowi do alternatywnych dostawców usług. Podmioty świadczące usługi zamienne do tych oferowanych przez producentów urządzeń IoT zyskają liczne udogodnienia biznesowe, a konsumenci będą mieli możliwość szerszego wyboru dostawców usług po korzystniejszych cenach.
Produkty skomunikowane i usługi powiązane
Aby zrozumieć zakres Data Act, kluczowe jest poznanie dwóch podstawowych pojęć: produktów skomunikowanych i usług powiązanych. Zarówno jedne, jak i drugie należą do urządzeń tzw. Internetu Rzeczy (IoT) – sieci połączonych urządzeń, które pozyskują, generują lub zbierają dane dotyczące swojego działania, wykorzystywania lub środowiska.
Produktami skomunikowanymi są rzeczy fizyczne, które zostały połączone z internetem lub inną siecią cyfrową, gromadzą lub generują dane oraz mogą przesyłać te dane do użytkownika, producenta lub innych usług. Mogą to być urządzenia domowe jak inteligentne lodówki czy termostaty, urządzenia noszone jak smartwatche, pojazdy elektryczne z systemami nawigacji, czy też przemysłowe linie produkcyjne wyposażone w sensory IoT.
Usługami powiązanymi są natomiast usługi cyfrowe, które wykorzystują dane generowane i przesyłane przez produkty skomunikowane oraz współdziałają z nimi w celu zapewnienia pełnego funkcjonowania urządzenia. Przykładem może być aplikacja mobilna analizująca dane zdrowotne ze smartwatcha, platforma zarządzająca inteligentnym domem czy system predykcyjnej konserwacji maszyn przemysłowych.
Istotne jest jednak podkreślenie, że Data Act nie obejmuje produktów, których podstawową cechą jest przetwarzanie danych osobowych, takich jak smartfony, tablety, laptopy czy komputery osobiste. Te urządzenia, choć często połączone z internetem i generujące dane, nie są traktowane jako produkty skomunikowane w rozumieniu rozporządzenia, ponieważ ich główną funkcją jest właśnie przetwarzanie informacji, a nie ich automatyczne zbieranie w tle podczas korzystania z urządzenia.
Przykładami produktów, co do których Data Act będzie miał zastosowanie to:
- Smartwatch z platformą zdrowotną analizującą aktywność fizyczną i sen
- Inteligentna lodówka z aplikacją mobilną informującą o stanie zapasów
- Samochód elektryczny z systemem nawigacji i zdalnego sterowania
- Inteligentny licznik energii z aplikacją pokazującą zużycie w czasie rzeczywistym
- Oczyszczacz powietrza z systemem monitorowania jakości powietrza
- Termostat inteligentny z aplikacją do zdalnego zarządzania temperaturą
- Rower elektryczny z inteligentnym licznikiem kilometrów
A w sektorze przemysłowym:
- Linie produkcyjne z IoT z platformami optymalizacji i predykcyjnej konserwacji
- Drony rolnicze z usługami analizy zdjęć i danych o uprawach
- Inteligentne latarnie miejskie z systemami zarządzania oświetleniem
- Czujniki jakości powietrza z usługami raportowania dla mieszkańców
- Systemy monitorowania magazynów z aplikacjami kontroli zasobów
Podmioty objęte regulacją
Data Act ma szerokie zastosowanie terytorialne i obejmuje różnorodne kategorie podmiotów. Regulacja dotyczy producentów produktów skomunikowanych i dostawców usług powiązanych, jeżeli produkty i usługi zostały wprowadzone do obrotu w Unii, niezależnie od miejsca siedziby tych podmiotów. Przepisy obejmują również użytkowników produktów skomunikowanych lub usług powiązanych znajdujących się w UE oraz posiadaczy danych mających prawo lub obowiązek wykorzystywać i udostępniać dane z produktów lub usług.
Do grona podmiotów objętych Data Act należą także odbiorcy danych w Unii, którym dane są udostępniane, dostawcy usług przetwarzania danych świadczący takie usługi klientom w UE oraz organy sektora publicznego, Komisja Europejska, Europejski Bank Centralny i organy Unii występujące o dostęp do danych w interesie publicznym. Regulacja obejmuje również uczestników przestrzeni danych, sprzedawców aplikacji korzystających z inteligentnych umów oraz podmioty wdrażające takie umowy w ramach działalności gospodarczej.
Warto podkreślić, że Data Act ma zastosowanie również do podmiotów spoza Unii Europejskiej, jeśli oferują produkty lub usługi na rynku wewnętrznym UE, ich użytkownicy znajdują się na terenie Unii, lub monitorują zachowania użytkowników w UE. Ta zasada ekstraterytorialności sprawia, że regulacja będzie miała globalny wpływ na przemysł technologiczny, podobnie jak wcześniej RODO.
Rodzaje danych objętych regulacją
Data Act reguluje przetwarzanie zarówno danych osobowych, jak i nieosobowych, które dzielą się na dwie główne kategorie. Pierwszą stanowią dane z produktu, czyli dane wygenerowane w wyniku korzystania z produktu skomunikowanego, zaprojektowanego tak, aby dane mogły być pobierane za pomocą usługi łączności elektronicznej, łącza fizycznego lub dostępu na urządzeniu.
Drugą kategorię stanowią dane z usługi powiązanej, czyli dane stanowiące cyfrowe odwzorowanie czynności lub zdarzeń z udziałem użytkownika związanych z produktem skomunikowanym. Mogą to być dane utrwalane przez użytkownika celowo lub generowane jako produkt uboczny jego czynności podczas świadczenia usługi powiązanej przez dostawcę. Wszystkie te dane muszą być dostępne wraz z odpowiednimi metadanymi, takimi jak znaczniki czasu czy kontekst, które są niezbędne do ich właściwej interpretacji i wykorzystania.
Potrzebujesz wsparcia?
Przygotowanie do wejścia w życie Data Act wymaga przemyślanej strategii i dostosowania wewnętrznych procesów. Nasza kancelaria oferuje kompleksowe wsparcie we wdrażaniu obowiązków wynikających z nowych przepisów, w tym przygotowanie stosownej dokumentacji, klauzul umownych oraz rozwiązań organizacyjnych dostosowanych do specyfiki Państwa działalności. Zapraszamy do kontaktu!
AUTOR WPISU
E: kamil.koziol@pl.Andersen.com
T: +48 668 690 891