Data Act, czyli unijny Akt w sprawie danych, jest stosowany od 12 września 2025 r. Jednak 12 września 2026 r. nastąpił kolejny ważny etap jego stosowania. Od tej daty obowiązek wynikający z art. 3 ust. 1 Data Act ma zastosowanie do produktów skomunikowanych i usług powiązanych wprowadzanych na rynek po 12 września 2026 r.
W praktyce oznacza to, że producent urządzenia IoT lub dostawca powiązanej z nim usługi powinien już na etapie projektowania produktu lub usługi uwzględnić dostęp użytkownika do generowanych danych.
Dane powinny być co do zasady dostępne łatwo, bezpiecznie, bezpłatnie, w całościowym, ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie, a tam, gdzie jest to właściwe i technicznie możliwe – bezpośrednio dla użytkownika.
Data Act nie dotyczy przy tym wyłącznie producentów inteligentnych zegarków czy urządzeń smart home. Regulacja może mieć znaczenie dla producentów maszyn przemysłowych, pojazdów, czujników, urządzeń medycznych i fitness, dostawców aplikacji współpracujących z urządzeniami, firm korzystających z Internetu rzeczy oraz dostawców niektórych usług chmurowych i przetwarzania danych.
Dla przedsiębiorców działających w obszarze nowych technologii Data Act staje się więc kolejnym – obok AI Act, RODO, NIS2 czy DORA – elementem szerszego systemu regulacji cyfrowych.
Jeżeli firma tworzy lub wdraża rozwiązania technologiczne, warto spojrzeć na Data Act równolegle z dokumentacją dotyczącą umów IT oraz szerszym obszarem IT, software i e-commerce.
Data Act 2026 – co dokładnie zmieniło się 12 września 2026 r.?
Najważniejsze jest rozróżnienie dwóch dat.
12 września 2025 r. Data Act zaczął być zasadniczo stosowany w Unii Europejskiej.
12 września 2026 r. zaczął być stosowany art. 3 ust. 1 Data Act wobec produktów skomunikowanych i związanych z nimi usług wprowadzonych na rynek po tej dacie.
Nie oznacza to zatem, że Data Act „wszedł w życie dopiero w 2026 r.”. Większość regulacji była stosowana wcześniej. Data 12 września 2026 r. jest jednak szczególnie istotna dla producentów i dostawców rozwijających nowe produkty connected oraz usługi współpracujące z takimi produktami.
Co wymaga art. 3 ust. 1 Data Act?
Produkt skomunikowany powinien być zaprojektowany i wyprodukowany, a usługa powiązana zaprojektowana i świadczona w taki sposób, aby określone dane z produktu lub usługi – wraz z metadanymi potrzebnymi do ich interpretacji – były domyślnie dostępne dla użytkownika.
To zmienia podejście do compliance.
Dostęp do danych nie powinien być problemem rozwiązywanym dopiero po otrzymaniu pierwszego żądania klienta. W wielu przypadkach należy uwzględnić go już podczas:
- projektowania architektury systemu,
- określania sposobu zapisywania danych,
- tworzenia API,
- projektowania panelu użytkownika,
- przygotowywania funkcji eksportu,
- opracowywania regulaminu,
- tworzenia dokumentacji produktu,
- konstruowania umów z dostawcami technologii.
W projekcie technologicznym może to wymagać odpowiedniego ułożenia współpracy z software house’em. Szczególnie istotne może być określenie własności danych, dostępu do API, dokumentacji, funkcji eksportu oraz obowiązków wykonawcy po uruchomieniu produktu. Więcej o zabezpieczaniu takich projektów piszemy w obszarze umowy z software house’em.
Kogo dotyczy Data Act?
Data Act jest regulacją horyzontalną. Oznacza to, że nie został przygotowany wyłącznie dla jednej branży.
Może dotyczyć zarówno relacji przedsiębiorca–konsument, jak również relacji B2B, producentów urządzeń, dostawców usług cyfrowych, użytkowników biznesowych oraz dostawców usług przetwarzania danych.
Producenci urządzeń IoT i produktów skomunikowanych
Jedną z najważniejszych grup są przedsiębiorcy produkujący tzw. produkty skomunikowane.
Data Act definiuje taki produkt jako rzecz, która pozyskuje, generuje lub zbiera dostępne dane dotyczące jej używania albo otoczenia, potrafi komunikować takie dane i której podstawową funkcją nie jest przechowywanie, przetwarzanie ani przesyłanie danych w imieniu innej strony.
W praktyce mogą to być między innymi:
- samochody skomunikowane,
- inteligentne maszyny produkcyjne,
- urządzenia rolnicze,
- roboty,
- urządzenia smart home,
- inteligentne AGD,
- urządzenia fitness,
- niektóre urządzenia medyczne,
- czujniki przemysłowe,
- systemy pomiarowe.
Komisja Europejska jako przykłady wskazuje m.in. connected cars, urządzenia monitorujące zdrowie, smart home, samoloty, roboty oraz maszyny przemysłowe.
Dostawcy usług powiązanych
Data Act obejmuje także określone usługi cyfrowe związane z produktem.
Usługa powiązana może obejmować oprogramowanie, bez którego produkt nie mógłby wykonywać co najmniej jednej ze swoich funkcji albo które zostaje później połączone z produktem, aby dodawać lub modyfikować jego funkcje.
Przykładem może być aplikacja sterująca urządzeniem smart home albo aplikacja współpracująca z określonym urządzeniem.
Dlatego ocena zgodności z Data Act nie powinna ograniczać się do fizycznego producenta urządzenia. Należy przeanalizować cały ekosystem: hardware, software, aplikacje, dostawców, API, przepływy danych oraz umowy.
Firmy korzystające z urządzeń IoT
Data Act może być dla przedsiębiorcy nie tylko źródłem obowiązków.
Może również przyznawać mu konkretne prawa.
Firma korzystająca z maszyn przemysłowych, urządzeń pomiarowych, floty pojazdów czy innych produktów skomunikowanych może być użytkownikiem w rozumieniu Data Act i uzyskiwać dostęp do danych generowanych przez urządzenia.
Takie dane mogą mieć wartość przy:
- analizie wykorzystania maszyn,
- optymalizacji produkcji,
- predykcyjnym utrzymaniu,
- serwisowaniu urządzeń,
- wyborze niezależnego dostawcy usług,
- analizie kosztów,
- tworzeniu nowych usług opartych na danych.
Czy małe firmy również podlegają Data Act?
Nie zawsze w takim samym zakresie.
Data Act przewiduje szczególne rozwiązania dotyczące mikroprzedsiębiorstw i małych przedsiębiorstw. W określonych warunkach obowiązki rozdziału II nie mają zastosowania do danych generowanych przez produkty zaprojektowane lub wyprodukowane przez takie podmioty albo przez świadczone przez nie usługi powiązane.
Wyjątek nie powinien być jednak stosowany automatycznie. Znaczenie mają m.in. przedsiębiorstwa partnerskie i powiązane oraz to, czy mały podmiot działa jako podwykonawca większego przedsiębiorstwa.
Dlatego samo stwierdzenie „jesteśmy małą spółką, więc Data Act nas nie dotyczy” może być zbyt daleko idące.
Jakie dane trzeba udostępniać na podstawie Data Act?
Data Act nie oznacza obowiązku przekazania użytkownikowi każdej informacji znajdującej się w systemach producenta.
Kluczowe znaczenie ma ustalenie, jakiego rodzaju dane powstają w wyniku korzystania z produktu lub usługi i które z nich znajdują się w zakresie regulacji.
Dane surowe i dane wstępnie przetworzone
Komisja Europejska wskazuje, że regulacja dotycząca produktów skomunikowanych obejmuje przede wszystkim dane surowe oraz wstępnie przetworzone, które są łatwo dostępne dla posiadacza danych.
Przykładami mogą być informacje dotyczące:
- temperatury,
- ciśnienia,
- przepływu,
- poziomu cieczy,
- położenia,
- przyspieszenia,
- prędkości,
- parametrów pracy maszyny.
Zakres może obejmować także metadane potrzebne do prawidłowego zrozumienia i wykorzystania takich danych.
Czy trzeba udostępniać dane wywnioskowane i analitykę?
Nie każdy rezultat dalszego przetwarzania danych musi zostać udostępniony.
Komisja wskazuje, że dane wywnioskowane lub pochodne, w szczególności dane istotnie wzbogacone w wyniku dalszej analizy, mogą znajdować się poza zakresem obowiązku wynikającego z rozdziału II Data Act.
W praktyce trzeba więc rozdzielić:
dane generowane przez urządzenie od własnych wyników analiz, modeli, algorytmów i know-how przedsiębiorcy.
To rozróżnienie może mieć duże znaczenie również dla ochrony własności intelektualnej. W projektach technologicznych warto równolegle uporządkować prawa do kodu, IP, API i dokumentacji.
Jak użytkownik powinien uzyskać dostęp do danych?
Samo teoretyczne prawo do danych nie jest wystarczające.
W przypadku obowiązku przewidzianego w art. 3 ust. 1 dane powinny być domyślnie:
- łatwo dostępne,
- dostępne bezpiecznie,
- bezpłatne,
- kompletne,
- ustrukturyzowane,
- w powszechnie używanym formacie,
- nadające się do odczytu maszynowego.
Jeżeli jest to właściwe i technicznie możliwe, dane powinny być bezpośrednio dostępne użytkownikowi.
W praktyce mogą więc pojawić się rozwiązania takie jak panel klienta, API, funkcja eksportu danych lub inny techniczny mechanizm dostępu.
Nie istnieje natomiast jeden uniwersalny sposób, który będzie prawidłowy dla każdego produktu.
Dostęp do kilku parametrów inteligentnego termostatu będzie wyglądał inaczej niż dostęp do danych generowanych przez flotę maszyn przemysłowych.
Czy użytkownik może przekazać dane innej firmie?
Jednym z najważniejszych celów Data Act jest umożliwienie użytkownikowi szerszego korzystania z danych generowanych podczas używania produktu.
W określonych sytuacjach użytkownik może zażądać, aby posiadacz danych udostępnił je wskazanej osobie trzeciej.
Może mieć to istotne znaczenie dla rynku usług posprzedażowych.
Przykładowo właściciel urządzenia może chcieć wykorzystać dane u niezależnego serwisanta, dostawcy analityki lub innego usługodawcy zamiast pozostawać wyłącznie w ekosystemie producenta.
Data Act ma w tym zakresie zwiększać możliwość wykorzystania danych i konkurencję na rynku usług powiązanych.
Nie oznacza to jednak pełnej dowolności. Regulacja przewiduje ograniczenia dotyczące m.in. wykorzystania danych do rozwijania konkurencyjnego produktu skomunikowanego oraz mechanizmy ochrony tajemnicy przedsiębiorstwa.
Data Act a RODO – co z danymi osobowymi?
Data Act nie zastępuje RODO.
To jedna z najważniejszych zasad dla przedsiębiorców wdrażających nowe obowiązki.
Dane generowane przez produkt mogą obejmować zarówno dane nieosobowe, jak i dane osobowe. W przypadku danych osobowych należy nadal przestrzegać RODO, w tym wymogów dotyczących podstawy prawnej przetwarzania.
Jeżeli użytkownik produktu nie jest osobą, której dotyczą określone dane osobowe, samo powołanie się na Data Act nie pozwala automatycznie pominąć zasad ochrony danych.
Komisja Europejska podkreśla, że jeżeli użytkownik nie jest osobą, której dotyczą żądane dane, dane osobowe mogą być udostępnione tylko wtedy, gdy istnieje odpowiednia podstawa prawna.
Urząd Ochrony Danych Osobowych również zwraca uwagę, że Data Act nie wyłącza ani nie zastępuje RODO.
Dla firmy oznacza to konieczność spojrzenia na dwa poziomy jednocześnie:
- czy Data Act nakazuje lub umożliwia dostęp do danych,
- czy sposób przetwarzania danych osobowych jest zgodny z RODO.
Podobne nakładanie się regulacji występuje w innych projektach technologicznych. Przykładowo przy wdrażaniu sztucznej inteligencji należy analizować równolegle AI Act, RODO, cyberbezpieczeństwo, tajemnicę przedsiębiorstwa oraz umowy z dostawcami. Więcej na ten temat opisujemy w artykule dotyczącym polityki AI w firmie.
Data Act a tajemnica przedsiębiorstwa – czy trzeba ujawnić know-how?
Data Act przewiduje mechanizmy ochrony tajemnicy przedsiębiorstwa.
Nie oznacza jednak, że samo oznaczenie danych jako „poufne” lub „tajemnica przedsiębiorstwa” zawsze pozwoli odmówić dostępu.
Posiadacz danych oraz użytkownik lub osoba trzecia mogą uzgodnić środki mające chronić poufność tajemnicy przedsiębiorstwa. W określonych przypadkach możliwe jest wstrzymanie lub zawieszenie udostępniania danych.
Według wyjaśnień Komisji całkowita odmowa ze względu na tajemnicę przedsiębiorstwa wymaga jednak wykazania wysokiego prawdopodobieństwa poważnej szkody gospodarczej wynikającej z ujawnienia tajemnicy.
Dla przedsiębiorców oznacza to, że ochrona know-how powinna zostać zaprojektowana wcześniej.
Znaczenie mogą mieć:
- klasyfikacja danych,
- oznaczanie informacji poufnych,
- umowy NDA,
- ograniczenia dalszego wykorzystywania danych,
- środki techniczne,
- zasady dostępu,
- dokumentowanie, które informacje stanowią tajemnicę przedsiębiorstwa.
Data Act a SaaS i cloud – czy przepisy dotyczą usług chmurowych?
Tak. Data Act wykracza poza urządzenia IoT.
Istotna część regulacji dotyczy zmiany dostawcy usług przetwarzania danych, w tym usług cloud i edge.
Celem jest ograniczenie barier utrudniających migrację od jednego dostawcy do drugiego.
Dostawcy objęci regulacją powinni m.in. usuwać określone przeszkody w zmianie dostawcy oraz umożliwiać przenoszenie danych i zasobów w sposób odpowiadający wymogom Data Act. Komisja wskazuje również obowiązki dotyczące otwartych interfejsów i eksportu danych w powszechnie używanym, maszynowo czytelnym formacie w odniesieniu do określonych usług PaaS i SaaS.
Co stanie się z opłatami za zmianę dostawcy?
Data Act przewiduje stopniowe eliminowanie opłat związanych ze zmianą dostawcy usług przetwarzania danych.
Od 12 stycznia 2027 r. opłaty za operacje niezbędne do zmiany dostawcy oraz opłaty za transfer danych mają zostać całkowicie usunięte. Do tej daty obowiązuje okres przejściowy.
Dla dostawców SaaS, cloud i innych usług technologicznych to dobry moment na przegląd:
- Terms of Service,
- warunków zakończenia współpracy,
- zasad eksportu danych,
- opłat migracyjnych,
- zakresu wsparcia przy migracji,
- formatu wydawanych danych,
- interfejsów i API,
- odpowiedzialności za proces przeniesienia.
W przypadku usług świadczonych w modelu subskrypcyjnym warto równolegle przeanalizować dokumentację dotyczącą umowy SaaS.
Czy przez Data Act trzeba zmienić umowy i regulaminy?
W wielu firmach sama zmiana technologiczna nie wystarczy.
Data Act wpływa również na warstwę kontraktową.
W zależności od modelu biznesowego warto przeanalizować przede wszystkim:
- umowę sprzedaży produktu,
- regulamin usługi,
- Terms of Service,
- umowę SaaS,
- umowę licencyjną,
- umowę z software house’em,
- SLA,
- umowy serwisowe,
- zasady korzystania z API,
- politykę danych,
- umowy z partnerami, którym dane mogą być udostępniane,
- obowiązki informacyjne wobec użytkownika.
Przed zawarciem umowy dotyczącej produktu skomunikowanego Data Act wymaga przekazania użytkownikowi określonych informacji dotyczących m.in. rodzaju, formatu i szacowanej ilości danych generowanych przez produkt oraz sposobu dostępu do nich.
Dlatego dokumentacja prawna powinna odpowiadać temu, jak produkt faktycznie działa.
Nie warto tworzyć warunków dostępu do danych w oderwaniu od zespołu IT. Jeżeli regulamin obiecuje eksport danych w sposób, którego system technicznie nie umożliwia, firma tworzy kolejne ryzyko zamiast je ograniczać.
Przy bardziej złożonych projektach technologicznych pomocny może być szerszy przegląd kontraktów biznesowych i technologicznych.
Data Act w Polsce – kto będzie nadzorował przestrzeganie przepisów?
Data Act jest rozporządzeniem unijnym, więc jest bezpośrednio stosowany. Jednocześnie część zagadnień wymaga uzupełnienia w prawie krajowym, w szczególności w zakresie właściwych organów, procedur i administracyjnych kar pieniężnych.
Na dzień 16 września 2026 r. należy odróżnić obowiązujący Data Act od trwających prac nad polską ustawą uzupełniającą.
Projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu ma numer UC114. W wykazie prac legislacyjnych znajduje się jako projekt ustawy, a aktualnie dostępna w wykazie wersja projektu została opublikowana 6 lipca 2026 r.
Czy organem właściwym będzie Prezes UKE?
Według projektu UC114 funkcję głównego właściwego organu ma pełnić Prezes Urzędu Komunikacji Elektronicznej.
Projekt przewiduje dla niego m.in. kompetencje dotyczące:
- rozpatrywania skarg,
- prowadzenia postępowań,
- nadzorowania stosowania Data Act,
- nakładania administracyjnych kar pieniężnych,
- wykonywania funkcji koordynatora danych.
Należy jednak pamiętać, że jest to rozwiązanie wynikające z projektowanej ustawy krajowej i do czasu zakończenia procesu legislacyjnego treść regulacji może jeszcze ulec zmianie.
W zakresie danych osobowych istotne pozostają jednocześnie kompetencje organu ochrony danych osobowych. UODO zwracał uwagę na potrzebę jednoznacznego uwzględnienia tych kompetencji w krajowym modelu nadzoru.
Jakie kary przewiduje Data Act?
Data Act wymaga ustanowienia skutecznych, proporcjonalnych i odstraszających sankcji.
Szczegóły krajowego systemu kar w Polsce są elementem prac nad ustawą uzupełniającą. Z tego powodu wysokość potencjalnej sankcji warto oceniać na podstawie aktualnej wersji projektu lub – po zakończeniu procesu legislacyjnego – ostatecznego tekstu ustawy, a nie na podstawie nieaktualnych projektów.
Dla przedsiębiorcy ważniejszym pytaniem na obecnym etapie jest więc nie tylko „ile wyniesie kara?”, ale przede wszystkim:
czy firma podlega Data Act i czy potrafi wykazać, w jaki sposób spełnia konkretne obowiązki dotyczące danych.
Jak przygotować firmę do Data Act? Praktyczna checklista
Nie każda organizacja potrzebuje rozbudowanego projektu compliance. Pierwszym krokiem powinna być kwalifikacja działalności i mapowanie danych.
1. Ustal, jaką rolę pełni firma
Sprawdź, czy przedsiębiorca jest:
- producentem produktu skomunikowanego,
- sprzedawcą lub wynajmującym,
- dostawcą usługi powiązanej,
- posiadaczem danych,
- użytkownikiem biznesowym,
- odbiorcą danych,
- dostawcą usług przetwarzania danych.
Jedna organizacja może pełnić kilka ról jednocześnie.
2. Zidentyfikuj produkty i usługi objęte regulacją
Należy ustalić, które urządzenia:
- generują dane,
- zbierają informacje dotyczące wykorzystania lub otoczenia,
- komunikują dane na zewnątrz,
- współpracują z aplikacją lub inną usługą cyfrową.
Nie należy ograniczać analizy wyłącznie do produktów określanych marketingowo jako „IoT”.
3. Zrób mapę danych
Dla każdego produktu warto odpowiedzieć:
- jakie dane są generowane,
- gdzie są zapisywane,
- kto ma do nich dostęp,
- które dane są surowe,
- które są wstępnie przetworzone,
- które są danymi pochodnymi,
- które mogą stanowić dane osobowe,
- które mogą stanowić tajemnicę przedsiębiorstwa.
4. Sprawdź techniczny dostęp użytkownika
Należy przeanalizować, czy użytkownik rzeczywiście może uzyskać wymagane dane.
W zależności od systemu rozwiązaniem może być:
- bezpośredni dostęp,
- panel użytkownika,
- eksport,
- API,
- procedura obsługi żądania.
5. Przeanalizuj dokumentację i umowy
Technologia i dokumenty powinny być ze sobą spójne.
Warto sprawdzić m.in. regulaminy, umowy z klientami, SLA, umowy z dostawcami IT, umowy licencyjne, polityki danych oraz dokumentację produktu.
6. Połącz Data Act z RODO, cyberbezpieczeństwem i IP
Dostępu do danych nie można projektować w oderwaniu od bezpieczeństwa.
Jeżeli firma przetwarza dane osobowe, wdraża rozwiązania AI albo podlega regulacjom cyberbezpieczeństwa, analiza może wymagać połączenia kilku reżimów prawnych.
Przykładowo firmy objęte nową ustawą o KSC powinny równolegle oceniać swoje obowiązki cyberbezpieczeństwa. Więcej o kwalifikacji przedsiębiorcy opisujemy w artykule NIS2 w Polsce 2026 – czy Twoja firma podlega KSC?.
7. Ustal procedurę obsługi żądań
Firma powinna wiedzieć:
- kto przyjmuje żądanie,
- kto weryfikuje użytkownika,
- kto ustala zakres danych,
- jak chronione są dane innych osób,
- kiedy mogą pojawić się ograniczenia,
- kto dokumentuje sposób realizacji żądania.
Dobrze zaprojektowana procedura jest szczególnie ważna tam, gdzie dostęp do danych może dotyczyć jednocześnie danych osobowych, tajemnicy przedsiębiorstwa oraz bezpieczeństwa produktu.
Data Act 2026 – pięć pytań, które powinien zadać zarząd
Jeżeli firma tworzy albo wykorzystuje produkty skomunikowane, zarząd powinien znać odpowiedź przynajmniej na pięć pytań:
1. Czy mamy produkty lub usługi, które wchodzą w zakres Data Act?
2. Jakie dane generują nasze produkty i kto ma obecnie do nich dostęp?
3. Czy użytkownik może otrzymać wymagane dane w odpowiednim formacie?
4. Czy nasze umowy i regulaminy odpowiadają rzeczywistemu sposobowi przepływu danych?
5. Czy potrafimy rozdzielić dane podlegające udostępnieniu od danych osobowych, know-how, tajemnicy przedsiębiorstwa i własnej analityki?
Jeżeli odpowiedź na któreś z tych pytań brzmi „nie wiemy”, pierwszym etapem nie powinno być tworzenie kolejnej polityki.
Najpierw potrzebna jest mapa produktu, danych, ról oraz obowiązków.
FAQ – najczęstsze pytania o Data Act
Od kiedy obowiązuje Data Act?
Data Act wszedł w życie 11 stycznia 2024 r. i jest zasadniczo stosowany od 12 września 2025 r.
Od 12 września 2026 r. obowiązek z art. 3 ust. 1 stosuje się do produktów skomunikowanych i usług z nimi powiązanych wprowadzanych na rynek po 12 września 2026 r.
Co zmieniło się 12 września 2026 r.?
Od tej daty do nowych produktów skomunikowanych i powiązanych usług zaczęto stosować obowiązek projektowania ich w taki sposób, aby określone dane były domyślnie łatwo, bezpiecznie i bezpłatnie dostępne użytkownikowi w odpowiednim formacie.
Czy Data Act obowiązuje w Polsce?
Tak. Data Act jest rozporządzeniem Unii Europejskiej i jest bezpośrednio stosowany również w Polsce.
Równolegle prowadzone są prace nad polską ustawą uzupełniającą regulację o kwestie krajowe dotyczące m.in. organu nadzoru, postępowań i kar.
Czy Data Act dotyczy tylko producentów IoT?
Nie. Producent urządzenia IoT jest jednym z najbardziej oczywistych przykładów, ale Data Act obejmuje również inne role, m.in. dostawców usług powiązanych, posiadaczy danych, użytkowników produktów, odbiorców danych oraz dostawców usług przetwarzania danych.
Czy Data Act dotyczy SaaS?
Może dotyczyć.
Data Act zawiera przepisy dotyczące usług przetwarzania danych oraz zmiany ich dostawcy. To, czy konkretny SaaS znajduje się w zakresie określonych obowiązków, wymaga analizy sposobu świadczenia usługi i jej funkcjonalności.
Czy użytkownik musi płacić za dostęp do danych z urządzenia?
Dane udostępniane użytkownikowi na podstawie odpowiednich przepisów rozdziału II powinny być udostępniane bezpłatnie.
Inne zasady mogą dotyczyć relacji związanych z dalszym udostępnianiem danych określonym odbiorcom.
Czy Data Act zastępuje RODO?
Nie.
Jeżeli dane generowane przez urządzenie są danymi osobowymi, nadal należy przestrzegać RODO. Data Act i RODO należy stosować równolegle.
Czy producent może odmówić przekazania danych z powodu tajemnicy przedsiębiorstwa?
Ochrona tajemnicy przedsiębiorstwa jest przewidziana w Data Act, jednak sama deklaracja, że informacje są poufne, nie oznacza automatycznie prawa do odmowy.
Rozporządzenie przewiduje mechanizmy ochronne, uzgadnianie odpowiednich środków oraz szczególne warunki ewentualnego ograniczenia lub odmowy udostępniania.
Czy firma powinna przeprowadzić audyt Data Act?
Audyt nie jest obowiązkowym dokumentem nazwanym w Data Act, ale w przypadku firm tworzących urządzenia skomunikowane, aplikacje powiązane, usługi SaaS lub rozwiązania cloud analiza zgodności może pozwolić ustalić role przedsiębiorcy, zakres danych, niezbędne zmiany technologiczne oraz wymagane zmiany w dokumentacji.
Data Act w firmie – od czego zacząć?
Data Act nie powinien być traktowany wyłącznie jako kolejna regulacja do opisania w procedurze.
W firmach technologicznych jego wdrożenie może wymagać współpracy zespołów prawnych, IT, product, security, compliance i zarządu.
Dobrym punktem wyjścia jest analiza czterech elementów:
produkt → dane → umowy → sposób udostępniania.
Dopiero po ich zmapowaniu można ustalić, czy potrzebna jest zmiana architektury produktu, regulaminu, umowy SaaS, dokumentacji dla klienta, zasad eksportu danych albo umów z dostawcami technologii.
W Pasternak Business Law wspieramy przedsiębiorców i firmy technologiczne w analizie regulacji cyfrowych, przygotowywaniu i negocjowaniu umów IT oraz porządkowaniu modeli prawnych dotyczących produktów technologicznych, danych i dostawców.
Jeżeli nie masz pewności, czy Data Act dotyczy Twojego produktu lub usługi, pierwszym krokiem może być analiza kwalifikacyjna: ustalenie roli firmy, produktów objętych regulacją, rodzaju generowanych danych i dokumentów, które wymagają weryfikacji.
Podstawy prawne i źródła zewnętrzne:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 – Data Act / Akt w sprawie danych
- Komisja Europejska – Data Act explained
- Komisja Europejska – Data Act
- Ministerstwo Cyfryzacji – Akt w sprawie danych – nowe zasady wymiany danych
- Projekt UC114 – ustawa o sprawiedliwym dostępie do danych i ich wykorzystywaniu
- Urząd Ochrony Danych Osobowych – Akt w sprawie danych
Materiał ma charakter ogólny i edukacyjny i nie stanowi indywidualnej porady prawnej. Zakres obowiązków zależy m.in. od roli przedsiębiorcy, charakteru produktu lub usługi, rodzaju generowanych danych, struktury grupy kapitałowej oraz zawartych umów.
Stan prawny: 16 września 2026 r.