Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 roku, powszechnie nazywane Data Act lub aktem w sprawie danych, stanowi jeden z najważniejszych aktów prawnych kształtujących europejski rynek danych. Weszło w życie 11 stycznia 2024 roku, a jego przepisy stosuje się co do zasady od 12 września 2025 roku. Rozporządzenie to ustanawia zharmonizowane ramy określające, kto jest uprawniony do wykorzystywania danych z produktu lub z usługi powiązanej, na jakich warunkach i na jakiej podstawie. Przeczytaj poniższy artykuł i dowiedz się więcej o tym, jak przebiega dzielenie się danymi zgodnie z Data Act w obrocie gospodarczym.
Kluczowe pojęcia a dzielenie się danymi zgodnie z Data Act
Data Act posługuje się precyzyjnie zdefiniowanymi pojęciami, których właściwe rozumienie jest warunkiem koniecznym do prawidłowego stosowania rozporządzenia. Centralną kategorią jest produkt skomunikowany, przez który rozumie się rzecz pozyskującą, generującą lub zbierającą dane dotyczące swojego działania, wykorzystywania lub środowiska i mogącą komunikować te dane za pomocą usługi łączności elektronicznej, łącza fizycznego lub dostępu na urządzeniu, i której podstawową funkcją nie jest przechowywanie, przetwarzanie ani przesyłanie danych w imieniu strony innej niż użytkownik.
Z produktem skomunikowanym nierozerwalnie związana jest usługa powiązana, czyli usługa cyfrowa, w tym oprogramowanie, ale z wyłączeniem usług łączności elektronicznej, która podczas zakupu, najmu, dzierżawy lub leasingu jest skomunikowana z produktem w taki sposób, że jej brak uniemożliwiałby produktowi skomunikowanemu wykonywanie co najmniej jednej z jego funkcji, lub która zostaje skomunikowana z produktem przez producenta lub osobę trzecią później, aby dodać, uaktualnić lub zmodyfikować funkcje produktu skomunikowanego.
Posiadaczem danych w rozumieniu Data Act jest osoba fizyczna lub prawna, która ma prawo lub obowiązek – zgodnie z rozporządzeniem, mającym zastosowanie prawem Unii lub prawem krajowym przyjętym zgodnie z prawem Unii – wykorzystywać i udostępniać dane, w tym dane z produktu lub dane z usługi powiązanej pobrane lub wygenerowane przez nią podczas świadczenia usługi powiązanej.
Użytkownikiem jest natomiast osoba fizyczna lub prawna będąca właścicielem produktu skomunikowanego lub mająca na podstawie umowy tymczasowe prawa do korzystania z tego produktu skomunikowanego, lub korzystająca z usług powiązanych.
Odbiorcą danych jest osoba fizyczna lub prawna działająca w celach związanych z jej działalnością handlową, gospodarczą, rzemieślniczą lub zawodową, inna niż użytkownik produktu skomunikowanego lub usługi powiązanej, której posiadacz danych udostępnia dane, w tym osoba trzecia na wniosek użytkownika skierowany do posiadacza danych lub zgodnie z obowiązkiem prawnym wynikającym z prawa Unii lub prawem krajowym przyjętym zgodnie z prawem Unii.
Szczególnie ważne jest pojęcie danych łatwo dostępnych, przez które rozumie się dane z produktu i dane z usługi powiązanej, które posiadacz danych zgodnie z prawem pozyskuje lub może zgodnie z prawem pozyskać z produktu skomunikowanego lub z usługi powiązanej bez nieproporcjonalnie dużego wysiłku wykraczającego poza prostą czynność. To właśnie te dane są przedmiotem obowiązków dzielenia się danymi wynikających z Data Act.
Obowiązek udostępnienia danych użytkownikowi
Data Act nakłada na producentów produktów skomunikowanych i dostawców usług powiązanych obowiązek projektowania i wytwarzania tych produktów i usług w taki sposób, aby dane z produktu i z usługi powiązanej, w tym stosowne metadane niezbędne do interpretacji i wykorzystania danych, były domyślnie łatwo, bezpiecznie, bezpłatnie, w całościowym, ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie oraz, w stosownym przypadku i jeśli jest to technicznie możliwe, bezpośrednio dostępne dla użytkownika.
Udostępnienie ma nastąpić w całościowym, ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego formacie oraz, w stosownym przypadku i jeżeli jest to technicznie wykonalne, w sposób ciągły i w czasie rzeczywistym. Odbywa się to na podstawie zwykłego wniosku złożonego drogą elektroniczną, jeżeli jest to technicznie możliwe.
Prawo użytkownika a dzielenie się danymi zgodnie z Data Act z podmiotami trzecimi
Jednym z kluczowych uprawnień przewidzianych w Data Act jest prawo użytkownika do żądania, by posiadacz danych udostępnił dane łatwo dostępne wybranej przez użytkownika osobie trzeciej. Na wniosek użytkownika lub strony działającej w jego imieniu posiadacz danych bez zbędnej zwłoki, w sposób łatwy i bezpieczny oraz nieodpłatnie dla użytkownika, udostępnia osobie trzeciej dane łatwo dostępne wraz z odpowiednimi metadanymi. Dane te muszą cechować się taką samą jakością, jaka jest dostępna dla posiadacza danych.
To uprawnienie ma doniosłe znaczenie gospodarcze – pozwala użytkownikom korzystać z usług świadczonych na rynkach posprzedażowych przez podmioty inne niż producent lub dostawca usługi powiązanej, co sprzyja konkurencji i innowacyjności. Użytkownik może np. zlecić obsługę lub naprawę produktu skomunikowanego podmiotowi niezwiązanemu z producentem, a posiadacz danych – producent – będzie zobowiązany udostępnić temu podmiotowi dane z produktu niezbędne do wykonania usługi.
Ważnym ograniczeniem jest wykluczenie strażników dostępu z kręgu podmiotów mogących korzystać z tego uprawnienia. Przedsiębiorstwo wskazane jako strażnik dostępu na mocy art. 3 rozporządzenia (UE) 2022/1925 nie kwalifikuje się jako osoba trzecia w rozumieniu Data Act. Strażnik dostępu nie może w żaden sposób nakłaniać ani komercyjnie zachęcać użytkownika, w tym przez zapewnienie rekompensaty pieniężnej lub jakiejkolwiek innej, do udostępnienia danych na potrzeby jednej ze swoich usług. Nie może również nakłaniać ani komercyjnie zachęcać użytkownika do zwrócenia się do posiadacza danych z wnioskiem o udostępnienie danych na potrzeby jednej ze swoich usług, ani otrzymywać danych od użytkownika, które użytkownik pozyskał na podstawie wniosku złożonego zgodnie z art. 4 ust. 1 Data Act. Wyłączenie to ma zapobiec dalszej koncentracji danych w rękach największych podmiotów cyfrowych.
Przykład 1.
Producent inteligentnych kombajnów rolniczych wprowadza na rynek produkt skomunikowany, który podczas pracy zbiera dane dotyczące wydajności zbiorów, zużycia paliwa, parametrów gleby oraz warunków atmosferycznych. Rolnik, który wziął kombajn w leasing, zwraca się do producenta z wnioskiem o udostępnienie tych danych niezależnemu serwisowi rolniczemu, który oferuje usługi optymalizacji plonów na podstawie danych zebranych przez maszyny różnych producentów. Producent odmawia, twierdząc, że dane stanowią jego własność i są objęte tajemnicą przedsiębiorstwa. Odmowa producenta jest niezgodna z Data Act. Rolnik jest użytkownikiem produktu skomunikowanego – jako leasingobiorca ma tymczasowe prawa do korzystania z produktu skomunikowanego. Dane zbierane przez kombajn stanowią dane z produktu, a producent pełni funkcję posiadacza danych. Posiadacz danych jest obowiązany udostępnić dane łatwo dostępne wybranej przez użytkownika osobie trzeciej – w tym przypadku niezależnemu serwisowi rolniczemu – bez zbędnej zwłoki, w sposób łatwy i bezpieczny oraz nieodpłatnie dla użytkownika. Sam fakt, że dane mogą zawierać informacje cenne dla producenta, nie jest wystarczającą podstawą do odmowy. Producent może co prawda chronić tajemnice przedsiębiorstwa, jednak warunki skorzystania z tej ochrony są ściśle określone – musi on zidentyfikować konkretne dane stanowiące tajemnicę przedsiębiorstwa, uzgodnić odpowiednie środki techniczne i organizacyjne chroniące poufność, a odrzucenie wniosku jest możliwe wyłącznie w wyjątkowych okolicznościach, gdy mimo środków zastosowanych przez osobę trzecią ujawnienie z dużym prawdopodobieństwem poskutkuje poważną szkodą ekonomiczną. Posiadacz danych jest obowiązany należycie uzasadnić odmowę na podstawie obiektywnych elementów i przedstawić ją na piśmie bez zbędnej zwłoki, a o odmowie powiadomić właściwy organ wyznaczony zgodnie z art. 37 Data Act.
Obowiązki osoby trzeciej otrzymującej dane
Data Act nie ogranicza się do uregulowania obowiązków posiadacza danych – nakłada również istotne ograniczenia na osoby trzecie, którym dane zostają udostępnione na wniosek użytkownika. Osoba trzecia przetwarza dane wyłącznie do celów i na warunkach uzgodnionych z użytkownikiem. Kluczowym zakazem jest zakaz wykorzystywania danych do opracowania produktu skomunikowanego konkurującego z produktem skomunikowanym, z którego dane pochodzą, ani dzielenia się nimi w tym celu z inną osobą trzecią. Osoba trzecia nie może również udostępniać otrzymanych danych przedsiębiorstwu wskazanemu jako strażnik dostępu, a co do zasady nie może ich udostępniać innej osobie trzeciej bez zawarcia umowy z użytkownikiem i pod warunkiem, że ta inna osoba trzecia zastosuje wszystkie niezbędne środki uzgodnione między posiadaczem danych a osobą trzecią w celu ochrony poufności tajemnic przedsiębiorstwa.
Osoba trzecia nie może wykorzystywać danych do profilowania osób fizycznych, chyba że jest to niezbędne do świadczenia usługi żądanej przez użytkownika. Jest zobowiązana usunąć dane, gdy nie są one już niezbędne do uzgodnionego celu, chyba że co innego uzgodniono z użytkownikiem w odniesieniu do danych nieosobowych. Data Act zakazuje także stosowania przez osoby trzecie zwodniczych interfejsów – technik projektowych służących do wymuszania na konsumentach decyzji mających dla nich negatywne skutki lub wprowadzania konsumentów w błąd. Osoba trzecia nie może również bezzasadnie utrudniać użytkownikom dokonywania wyborów i wykonywania praw, w tym poprzez oferowanie wyboru w sposób nieneutralny lub zmuszanie, wprowadzanie w błąd użytkownika lub manipulowanie nim, bądź podważanie lub ograniczanie autonomii, zdolności decyzyjnych lub wyborów użytkowników. Te szczegółowe ograniczenia mają chronić użytkowników przed nadużyciami ze strony podmiotów, którym w dobrej wierze powierzyli swoje dane.
Polecamy:
