Podpisana przez Prezydenta ustawa o zarządzaniu danymi stanowi kluczowy krok w dostosowaniu polskiego systemu prawnego do unijnych wymogów. Nowa regulacja wprowadza krajowe ramy dla udostępniania oraz ponownego wykorzystywania danych, zapewniając skuteczne stosowanie europejskich przepisów DGA w polskich realiach biznesowych i administracyjnych. Akt ten nie zastępuje unijnego rozporządzenia, lecz precyzyjnie wskazuje krajowe organy i procedury, które pozwolą przedsiębiorcom oraz instytucjom w pełni korzystać z dobrodziejstw gospodarki opartej na danych.
Uzasadnienie wprowadzenia ustawy o zarządzaniu danymi
Uchwalenie Ustawy z 27 marca 2026 roku o zarządzaniu danymi było konieczne przede wszystkim z uwagi na obowiązek zapewnienia skutecznego stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/868 w polskim porządku prawnym. Choć samo rozporządzenie obowiązuje bezpośrednio we wszystkich państwach członkowskich już od 24 września 2023 roku, prawodawca unijny pozostawił państwom swobodę w zakresie wyznaczenia organów właściwych, stworzenia procedur administracyjnych oraz ustanowienia systemu sankcji. W praktyce bez przyjęcia krajowej ustawy wiele mechanizmów przewidzianych w DGA nie mogłoby funkcjonować w sposób efektywny.
Jak wskazano w uzasadnieniu ustawy, konieczne było stworzenie „otoczenia instytucjonalno-organizacyjnego” w przypadku trzech podstawowych obszarów regulowanych przez DGA, tj. ponownego wykorzystywania chronionych danych sektora publicznego, usług pośrednictwa danych oraz altruizmu danych.
W uzasadnieniu podkreślono również, że celem regulacji jest zwiększenie dostępności danych oraz budowa zaufania do mechanizmów ich udostępniania i ponownego wykorzystywania. Szczególne znaczenie przypisano stworzeniu bezpiecznych warunków korzystania z danych chronionych, zwłaszcza danych objętych tajemnicą przedsiębiorstwa, tajemnicą statystyczną, ochroną własności intelektualnej czy ochroną danych osobowych.
Ustawodawca wskazał, że rozwój gospodarki opartej na danych wymaga jednoczesnego zapewnienia wysokiego poziomu bezpieczeństwa prawnego oraz skutecznych mechanizmów nadzorczych. Temu właśnie służy koncentracja kompetencji nadzorczych w rękach Prezesa Urzędu Ochrony Danych Osobowych (UODO) oraz powierzenie Prezesowi Głównego Urzędu Statystycznego funkcji wyspecjalizowanego podmiotu wspierającego podmioty sektora publicznego. Nowe przepisy mają wspierać rozwój innowacyjnej gospodarki cyfrowej oraz zwiększyć możliwości wykorzystywania danych do celów badawczych, analitycznych i gospodarczych.
Ustawa o zarządzaniu danymi – zakres regulacji i kluczowe obszary
W art. 1 ustawy o zarządzaniu danymi określono jej szczegółowy zakres. Przepis wskazuje, że regulacja obejmuje między innymi:
- wyznaczenie organu prowadzącego pojedynczy punkt informacyjny;
- wyznaczenie organu właściwego do wykonywania DGA;
- procedury ponownego wykorzystywania danych chronionych;
- zasady funkcjonowania usług pośrednictwa danych;
- zasady rejestracji organizacji altruizmu danych;
- postępowania dotyczące transferu danych nieosobowych do państw trzecich;
- tryb postępowania w sprawach naruszeń;
- administracyjne kary pieniężne.
Warto również wspomnieć, że w sprawach nieuregulowanych w omawianej ustawie do postępowań administracyjnych przed Prezesem UODO stosuje się odpowiednio przepisy Ustawy z 17 listopada 1964 roku – Kodeks postępowania cywilnego.
Pojedynczy punkt informacyjny
Zgodnie z art. 3 ustawy minister właściwy do spraw informatyzacji prowadzi pojedynczy punkt informacyjny, o którym mowa w art. 8 ust. 1 DGA. Punkt działa w ramach portalu danych w rozumieniu Ustawy z 11 sierpnia 2021 roku o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego.
W praktyce oznacza to, że portal staje się centralnym miejscem:
- identyfikacji zasobów możliwych do ponownego wykorzystywania;
- składania wniosków;
- publikacji wykazów chronionych zasobów danych.
Jak wskazano w uzasadnieniu ustawy, wykaz zasobów wykorzystuje mechanizmy portalu dane.gov.pl, a informacje publikowane przez poszczególne podmioty sektora publicznego są automatycznie agregowane do jednego ogólnokrajowego wykazu.
Wykaz zasobów danych
Kolejno art. 4 ust. 1 ustawy przewiduje, że minister właściwy do spraw informatyzacji prowadzi wykaz zasobów i udostępnia go w portalu danych. Jednocześnie art. 4 ust. 2 zobowiązuje podmioty sektora publicznego do publikowania informacji o posiadanych zasobach danych chronionych.
Procedura ponownego wykorzystywania danych
Istotną częścią ustawy są przepisy regulujące dostęp do danych chronionych w celu ich ponownego wykorzystywania, określone w art. 6–16.
Przepis art. 6 ustawy szczegółowo określa elementy wniosku o ponowne wykorzystywanie danych. Wnioskodawca musi wskazać m.in.:
- podmiot sektora publicznego posiadający dane;
- dane identyfikacyjne;
- zakres danych;
- cel ponownego wykorzystywania;
- informacje o planowanym przekazywaniu danych nieosobowych do państw trzecich.
Co istotne, wnioskodawca może również proponować warunki ponownego wykorzystywania danych.
Wniosek składa się za pośrednictwem ministra właściwego do spraw informatyzacji, który następnie przekazuje go właściwemu podmiotowi sektora publicznego. Przekazanie ma nastąpić niezwłocznie, nie później niż w terminie 7 dni od dnia otrzymania wniosku.
Prezes GUS jako „właściwy podmiot”
Na mocy art. 17 Prezesowi Głównego Urzędu Statystycznego powierzono funkcję podmiotu właściwego w rozumieniu art. 7 ust. 1 DGA.
Podmiot sektora publicznego może zwrócić się do Prezesa GUS o pomoc przy rozpatrywaniu wniosku o ponowne wykorzystywanie danych.
Pomoc może obejmować m.in.:
- bezpieczne środowisko przetwarzania danych;
- wsparcie techniczne;
- pomoc przy anonimizacji;
- wsparcie przy transferach danych do państw trzecich.
Prezes GUS ma obowiązek rozpatrzyć wniosek niezwłocznie, niepóźniej niż w ciągu 21 dni od dnia otrzymania.
Usługi pośrednictwa danych
Najszersze kompetencje otrzymał jednak Prezes UODO. Jest on odpowiedzialny za usługi pośrednictwa danych, altruizm danych, przekazywanie danych nieosobowych do państw trzecich, a także nakładanie kar pieniężnych.
Przepis art. 19 ustawy ustanawia Prezesa UODO organem właściwym do spraw usług pośrednictwa danych. Do jego kompetencji w tym sektorze należy m.in.:
- wydawanie potwierdzeń i oświadczeń związanych ze zgłoszeniami dostawców usług pośrednictwa danych;
- nakładanie środków nadzorczych przewidzianych w DGA;
- publikowanie informacji o wydanych decyzjach w BIP.
Altruizm danych
Altruizm danych to dobrowolne i bezinteresowne udostępnianie danych osobowych lub nieosobowych na cele leżące w interesie ogólnym (np. rozwój medycyny, walka ze zmianami klimatu czy poprawa jakości usług publicznych).
Również w tym zakresie organem właściwym jest Prezes UODO. Przepis art. 24 ustawy przewiduje prowadzenie publicznego krajowego rejestru uznanych organizacji altruizmu danych w postaci elektronicznej. Prezes UODO prowadzi ten rejestr, przetwarza dane wskazane w DGA, publikuje część danych w BIP, a także jest administratorem rejestru.
Przekazywanie danych nieosobowych do państw trzecich
Ustawa o zarządzaniu danymi szczegółowo reguluje także kwestie przekazywania danych nieosobowych poza obszar Unii Europejskiej. Zgodnie z art. 28 ustawy postępowania dotyczące naruszeń obowiązków wynikających z art. 5 ust. 14 i art. 31 DGA prowadzi Prezes UODO. Postępowanie może zostać wszczęte z urzędu lub na wniosek podmiotu sektora publicznego.
Po przeprowadzeniu postępowania Prezes UODO:
- stwierdza naruszenie i nakłada karę, albo
- umarza postępowanie.
W uzasadnieniu ustawy podkreślono, że koncentracja wszystkich kompetencji sankcyjnych w jednym organie ma zapobiec rozproszeniu nadzoru. Wskazano również, że UODO ma największe doświadczenie w zakresie transferu danych do państw trzecich.
Administracyjne kary pieniężne
Na koniec w ustawie o zarządzaniu danymi znajdziemy rozbudowany system sankcji administracyjnych. Jak czytamy w art. 29 ustawy, Prezes UODO może nałożyć na dostawcę usług pośrednictwa danych administracyjną karę pieniężną, jeżeli dostawca:
- naruszył obowiązek dotyczący zgłoszenia, o którym mowa w art. 11 rozporządzenia 2022/868 – wysokość administracyjnej kary pieniężnej wynosi do 200 tys. zł;
- naruszył warunki świadczenia usług pośrednictwa danych, o których mowa w art. 12 rozporządzenia 2022/868 – wysokość administracyjnej kary pieniężnej wynosi do 2 mln zł.
Kolejno zgodnie z art. 30 ustawy kara dla organizacji altruizmu danych może wynieść do 20 tys. zł. Z kolei art. 31 ustawy przewiduje karę do 2 mln zł za naruszenia dotyczące przekazywania danych nieosobowych do państw trzecich.
Adresatami sankcji mogą być:
- ponowni użytkownicy danych;
- dostawcy usług pośrednictwa danych;
- organizacje altruizmu danych.
Ustawa o zarządzaniu danymi – niemal wszystkie kompetencje w rękach Prezesa UODO
Ustawa o zarządzaniu danymi stanowi kolejny z elementów budowy krajowego systemu gospodarki danymi zgodnego z unijnymi regulacjami. Tworzy ona podstawy organizacyjne dla ponownego wykorzystywania danych sektora publicznego, jak również rozbudowany system nadzoru, kontroli i sankcji dotyczących pośrednictwa danych oraz altruizmu danych.
Istotnym rozwiązaniem jest koncentracja niemal wszystkich kompetencji w rękach Prezesa UODO oraz stworzenie centralnego punktu dostępu do danych w ramach portalu dane.gov.pl.
