Pośrednictwo danych staje się jednym z najważniejszych elementów europejskiej gospodarki cyfrowej. Przez wiele lat przedsiębiorcy funkcjonowali w otoczeniu prawnym, które regulowało przede wszystkim ochronę danych osobowych, prawa własności intelektualnej czy zasady cyberbezpieczeństwa. Brakowało natomiast kompleksowych przepisów dotyczących organizacji rynku wymiany danych, w szczególności mechanizmów umożliwiających bezpieczne i zaufane udostępnianie danych pomiędzy przedsiębiorcami, osobami fizycznymi i podmiotami publicznymi.
Odpowiedzią na tę potrzebę stało się Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/868 z 30 maja 2022 roku w sprawie europejskiego zarządzania danymi, określane jako Data Governance Act (DGA). Rozporządzenie obowiązuje bezpośrednio we wszystkich państwach członkowskich od 24 września 2023 roku. Jednocześnie w Polsce przyjęto Ustawę z 27 marca 2026 r. o zarządzaniu danymi, która ustanawia krajowe mechanizmy nadzoru i egzekwowania przepisów DGA.
DGA – co oznacza dla polskich przedsiębiorców?
Dla polskich przedsiębiorców szczególne znaczenie mają przepisy dotyczące usług pośrednictwa danych. Rozporządzenie to tworzy bowiem całkowicie nową kategorię regulowanych usług cyfrowych, których zadaniem jest budowanie zaufania pomiędzy podmiotami przekazującymi dane a podmiotami chcącymi z nich korzystać.
W praktyce regulacje te mogą objąć operatorów platform wymiany danych, dostawców rozwiązań umożliwiających udostępnianie danych przemysłowych, operatorów przestrzeni danych, spółdzielnie danych, a także przedsiębiorstwa rozwijające modele biznesowe oparte na pośredniczeniu w dostępie do danych.
Dlaczego Unia Europejska zdecydowała się uregulować pośrednictwo danych?
Punktem wyjścia dla DGA było założenie, że gospodarka cyfrowa wymaga znacznie szerszego wykorzystania danych niż dotychczas. W wielu sektorach ogromne zasoby danych pozostają niewykorzystane z powodu braku zaufania pomiędzy podmiotami posiadającymi dane a potencjalnymi użytkownikami.
Przedsiębiorcy często obawiają się utraty kontroli nad swoimi zasobami informacyjnymi, ujawnienia tajemnic przedsiębiorstwa lub wykorzystania danych przez podmioty konkurencyjne. Z kolei użytkownicy danych niejednokrotnie napotykają bariery techniczne, organizacyjne lub prawne uniemożliwiające legalny dostęp do wartościowych zbiorów danych.
Regulacja wpisuje się również w szerszą strategię tworzenia europejskich przestrzeni danych w takich sektorach jak zdrowie, energetyka, transport, przemysł, administracja publiczna czy rolnictwo. Motywy rozporządzenia wskazują, że usługi pośrednictwa danych mają odgrywać istotną rolę przy budowie wspólnych europejskich przestrzeni danych służących rozwojowi nowych produktów, usług i badań naukowych.
Czym są usługi pośrednictwa danych?
Kluczowe znaczenie ma art. 10 DGA, który określa zakres usług pośrednictwa danych. Zgodnie z tym przepisem świadczenie takich usług podlega szczególnym wymogom oraz procedurze zgłoszeniowej.
Za usługi pośrednictwa danych należy uznać:
usługi pośrednictwa między posiadaczami danych a potencjalnymi użytkownikami danych, w tym udostępnianie środków technicznych lub innych umożliwiających świadczenie takich usług; usługi te mogą obejmować dwustronną lub wielostronną wymianę danych, tworzenie platform lub baz danych umożliwiających wymianę, wspólne wykorzystywanie danych, a także tworzenie innej specjalnej infrastruktury do stworzenia powiązań między posiadaczami danych a użytkownikami danych;
usługi pośrednictwa między osobami, których dane dotyczą, zamierzającymi udostępnić swoje dane osobowe lub osobami fizycznymi zamierzającymi udostępnić dane nieosobowe a potencjalnymi użytkownikami danych, w tym udostępnianie środków technicznych lub innych umożliwiających świadczenie takich usług, w szczególności umożliwiających wykonywanie ustanowionych w unijnym Rozporządzeniu 2016/679 (RODO) praw osób, których dane dotyczą;
usługi świadczone przez spółdzielnie danych.
W praktyce pośrednikiem danych może być np. podmiot prowadzący platformę umożliwiającą producentom maszyn przemysłowych udostępnianie danych eksploatacyjnych podmiotom tworzącym rozwiązania predictive maintenance, operator przestrzeni danych dla sektora energetycznego czy platforma umożliwiająca pacjentom kontrolowane udostępnianie danych medycznych do celów badawczych.
Jakie podmioty nie są uznawane za dostawców usług pośrednictwa danych?
Nie każda działalność związana z danymi jest objęta przepisami DGA. Ustawodawca europejski wyraźnie wskazuje, że sam fakt dostarczania technologii wykorzystywanej do wymiany danych nie oznacza jeszcze świadczenia usługi pośrednictwa danych.
W motywie 28 rozporządzenia podkreślono, że poza zakresem regulacji pozostają między innymi usługi przechowywania danych w chmurze, usługi analityczne, dostawcy oprogramowania do wymiany danych, przeglądarki internetowe, wtyczki do przeglądarek czy usługi poczty elektronicznej, jeżeli podmioty te dostarczają jedynie narzędzia techniczne i nie pełnią funkcji zaufanego pośrednika pomiędzy stronami wymiany danych.
Rozróżnienie to ma ogromne znaczenie praktyczne. Typowy dostawca usług chmurowych nie staje się automatycznie dostawcą usług pośrednictwa danych. Sytuacja zmienia się jednak wtedy, gdy przedsiębiorca zaczyna organizować relacje pomiędzy posiadaczami danych i użytkownikami danych, kreując rynek wymiany informacji.
Obowiązek zgłoszenia działalności
Każdy podmiot zamierzający świadczyć usługi objęte art. 10 DGA ma obowiązek dokonać zgłoszenia właściwemu organowi nadzorczemu.
[alert-info]W Polsce funkcję organu właściwego do spraw usług pośrednictwa danych powierzono Prezesowi Urzędu Ochrony Danych Osobowych (UODO). Wynika to z ustawy o zarządzaniu danymi, która wskazuje Prezesa UODO jako organ właściwy w sprawach usług pośrednictwa danych oraz określa procedury nadzorcze dotyczące dostawców tych usług.
W praktyce oznacza to, że przedsiębiorca planujący działalność jako pośrednik danych powinien uwzględnić wymogi regulacyjne już na etapie projektowania modelu biznesowego. Brak zgłoszenia może skutkować zastosowaniem środków nadzorczych i sankcji przewidzianych zarówno przez DGA, jak i polskie przepisy wykonawcze.
Zasada neutralności pośrednika danych
Zgodnie z art. 12 DGA dostawca nie może wykorzystywać danych będących przedmiotem pośrednictwa do innych celów niż udostępnienie ich użytkownikom danych. Jednocześnie działalność pośrednictwa powinna być prowadzona przez odrębną osobę prawną. Oznacza to, że pośrednik nie może jednocześnie pełnić funkcji neutralnego organizatora rynku wymiany danych i wykorzystywać tych samych danych do własnych celów biznesowych.
W praktyce regulacja ta wymusza istotne zmiany organizacyjne w wielu grupach kapitałowych. Przedsiębiorstwo prowadzące platformę wymiany danych i równocześnie rozwijające własne produkty analityczne może być zmuszone do wyodrębnienia działalności pośrednictwa do osobnego podmiotu.
Celem tych regulacji jest wyeliminowanie konfliktów interesów i stworzenie warunków, w których uczestnicy rynku będą mieli pewność, że pośrednik nie uzyskuje przewagi konkurencyjnej dzięki dostępowi do danych klientów.
Przykład 1.
Spółka technologiczna stworzyła platformę umożliwiającą producentom maszyn przemysłowych sprzedaż danych eksploatacyjnych firmom, które opracowują algorytmy predykcyjnego utrzymania ruchu. Jednocześnie ta sama spółka wykorzystywała wszystkie pozyskiwane dane do rozwijania własnych modeli sztucznej inteligencji, których jest producentem. Czy model ten jest zgodny z zasadą neutralności pośrednika danych? Nie, w tym wypadku występuje konflikt interesów, a spółka uzyskuje przewagę konkurencyjną, wykorzystując rolę pośrednika danych. Rozwiązaniem jest wydzielenie działalności pośrednictwa do odrębnej spółki oraz rezygnacja z wykorzystywania danych objętych pośrednictwem do własnych celów komercyjnych. Dzięki temu przedsiębiorca może kontynuować działalność zgodnie z wymogami rozdziału III DGA.
Polski model nadzoru nad DGA
W 2026 roku Polska przyjęła ustawę o zarządzaniu danymi, która ma zapewnić stosowanie DGA na poziomie krajowym. Ustawa określa między innymi organ właściwy do spraw usług pośrednictwa danych, procedury nadzorcze oraz zasady nakładania administracyjnych kar pieniężnych.
Przepisy przewidują również postępowania prowadzone przez Prezesa UODO w sprawach dotyczących dostawców usług pośrednictwa danych oraz naruszeń przepisów rozdziału III DGA.
