Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854, znane jako Data Act (DA), wprowadza szczegółowe przepisy dotyczące dostępu do danych i ich wykorzystywania w relacjach gospodarczych. Artykuł 8 tego aktu prawnego określa obowiązki i zasady związane z udostępnianiem danych przez przedsiębiorców innym przedsiębiorcom, a więc reguluje relacje typu business-to-business (B2B).
Co ważne – przepisy te nie dotyczą użytkowników końcowych (np. właścicieli urządzeń czy osób korzystających z usług powiązanych), którzy nie muszą posiadać statusu przedsiębiorcy. Użytkownik jest jednak kluczową postacią w procesie udostępniania danych, ponieważ to właśnie on inicjuje procedurę, składając wniosek o udostępnienie danych wybranemu odbiorcy.
Zakres regulacji z art. 8 DA
Artykuł 8 określa przede wszystkim:
- Zasady umowy o udostępnienie danych między posiadaczem a odbiorcą danych.
- Konsekwencje stosowania nieuczciwych postanowień umownych oraz wyłączania praw użytkownika przewidzianych w rozdziale II DA.
- Zakaz dyskryminacji – czyli zakaz różnicowania warunków w zależności od osoby odbiorcy danych.
- Zasadę minimalizacji – strony mogą żądać tylko niezbędnych informacji w związku z umową.
- Ochronę tajemnicy przedsiębiorstwa – dane i informacje poufne mogą być udostępniane tylko w wyjątkowych przypadkach i przy zachowaniu zabezpieczeń.
1. Obowiązek udostępniania danych
Artykuł 8 ust. 1 DA rozwija przepisy art. 5 i następnych, które dotyczą wniosku użytkownika o przekazanie danych osobie trzeciej.
W praktyce oznacza to:
- Zawsze konieczny jest wniosek użytkownika. Nawet jeżeli przepisy krajowe lub unijne nakładają na posiadacza danych obowiązek ich przekazania, musi to nastąpić w związku z aktywnością użytkownika.
- Wyjątek stanowią przepisy rozdziału V DA, które mogą przewidywać inne zasady.
- Jeżeli prawo krajowe nakładałoby obowiązek udostępniania danych z pominięciem wniosku użytkownika, takie przepisy byłyby sprzeczne z DA i należałoby stosować w pierwszej kolejności przepisy unijne.
Decydentem w procesie jest zawsze użytkownik, który wybiera, czy udostępnienie danych ma być:
- wyłączne – tylko dla jednego odbiorcy,
- niewyłączne – dane mogą być udostępniane także innym podmiotom wskazanym przez użytkownika.
Co istotne – umowa o udostępnienie danych zawierana jest zawsze pomiędzy posiadaczem a odbiorcą danych, ale charakter udostępnienia (wyłączny lub nie) zależy od decyzji użytkownika, a nie stron umowy.
📌 W praktyce użytkownik może nawet upoważnić odbiorcę danych do podejmowania decyzji w jego imieniu w zakresie wyłączności – np. poprzez udzielenie mu pełnomocnictwa.
Przykład:
Pani Anna kupiła inteligentną pralkę firmy WashSmart, która gromadzi dane o zużyciu energii i wody. Na jej wniosek producent udostępnia te dane firmie EcoHome Sp. z o.o., zajmującej się analizą zużycia mediów. Anna decyduje, czy EcoHome ma wyłączny dostęp do danych, czy też mogą one być jednocześnie udostępniane innym podmiotom, np. lokalnemu dostawcy energii.
2. Umowa o udostępnienie danych
Zgodnie z art. 8 ust. 1 DA, posiadacz danych jest zobowiązany do zawarcia z odbiorcą danych umowy regulującej warunki udostępnienia.
Charakterystyczne cechy takiej umowy:
- Brak formalizmu – może być zawarta w dowolnej formie:
- tradycyjnej (podpisany dokument),
- elektronicznej (akceptacja regulaminu, kliknięcie w checkbox),
- poprzez wymianę e-maili,
- a nawet ustnie.
- Podstawowe zasady umowy:
- Sprawiedliwość,
- Rozsądność,
- Niedyskryminacja,
- Przejrzystość.
Umowa może obejmować np. kwestie bezpieczeństwa, technicznych formatów danych, metod zabezpieczenia czy zakresu udostępniania. Strony mają swobodę ustalania warunków, ale muszą respektować zasady wynikające z DA.
3. Zasada sprawiedliwego udostępniania danych
Motyw 44 preambuły DA podkreśla, że warunki obowiązkowego dostępu do danych muszą być sprawiedliwe dla obu stron. W tym kontekście kluczowe znaczenie ma art. 13 DA, który definiuje nieuczciwe postanowienia umowne.
👉 Umowa jest sprawiedliwa, jeśli:
- nie zawiera postanowień uznanych za bezwzględnie nieuczciwe (art. 13 ust. 4 DA),
- nie zawiera postanowień uznawanych za nieuczciwe w określonych okolicznościach (art. 13 ust. 5 DA),
- respektuje zasady rozsądku i braku dyskryminacji.
Skutki wprowadzenia nieuczciwych postanowień:
- są one niewiążące, tzn. nie mają skutku prawnego,
- przepisy chronią zarówno posiadacza, jak i odbiorcę danych,
- dodatkowo chroniony jest użytkownik – jeżeli postanowienia umowy ograniczają jego prawa z rozdziału II DA w sposób dla niego niekorzystny, również są nieważne.
⚠️ Warto zwrócić uwagę, że pojęcie „szkody” w DA należy rozumieć szeroko – nie tylko jako stratę finansową, ale również każdą inną niekorzyść (np. utrudnienie w korzystaniu z urządzenia).
Przykład:
Firma SmartAgro zbiera dane z czujników w gospodarstwach rolnych. W umowie z odbiorcą – firmą CropData Analytics – pojawia się zapis, że użytkownik (rolnik) nie może udostępniać swoich danych żadnemu innemu podmiotowi przez 5 lat. Taki zapis byłby sprzeczny z DA, bo ogranicza prawa użytkownika, i dlatego nie miałby mocy wiążącej.
4. Zasada rozsądnego udostępniania danych
Choć DA nie definiuje pojęcia „rozsądnych zasad”, z kontekstu wynika, że chodzi o warunki, które są typowe i możliwe do zaakceptowania w normalnych relacjach gospodarczych.
✔ Przykłady rozsądnych warunków:
- dane są udostępniane w popularnym formacie (np. CSV, JSON, XML),
- stosuje się standardowe procedury autoryzacji i szyfrowania,
- nie nakłada się nadmiernych kosztów związanych z transferem danych.
✖ Przykłady warunków nierozsądnych:
- posiadacz danych żąda od odbiorcy zakupu specjalistycznego, rzadko używanego oprogramowania tylko do odczytu danych,
- procedura udostępnienia wymaga wykonywania skomplikowanych i czasochłonnych operacji, które nie mają uzasadnienia technicznego.
W praktyce „rozsądność” oznacza więc proporcjonalność wymagań – żadna ze stron nie może być obciążona obowiązkami, które są nadmierne w stosunku do celu umowy.
Przykład:
Producent inteligentnych lodówek CoolTech udostępnia dane o zużyciu energii dostawcy usług energetycznych GreenPower. Rozsądnym wymogiem będzie przekazywanie danych raz dziennie w pliku CSV. Natomiast żądanie, by GreenPower instalował kosztowny, specjalistyczny system kompatybilny tylko z produktami CoolTech, byłoby nierozsądne i niezgodne z DA.
5. Zakaz dyskryminacji odbiorców danych
Art. 8 ust. 3 DA wprowadza zakaz różnicowania warunków udostępniania danych wobec porównywalnych kategorii odbiorców danych.
Oznacza to, że posiadacz danych nie może stosować subiektywnych kryteriów, takich jak:
- wielkość przedsiębiorstwa (mała, średnia, duża firma),
- powiązania kapitałowe lub osobowe,
- potencjał biznesowy czy prestiż marki.
Zamiast tego kategorie odbiorców muszą być określone obiektywnie, np. ze względu na branżę lub rodzaj działalności.
Uprawnienia odbiorcy danych
Odbiorca, który uzna, że został potraktowany dyskryminująco, może złożyć do posiadacza uzasadniony wniosek o przedstawienie informacji potwierdzających, że nie doszło do dyskryminacji.
- Samo subiektywne odczucie odbiorcy nie wystarczy – wątpliwości muszą być racjonalne i obiektywne.
- Obowiązek udowodnienia braku dyskryminacji spoczywa na posiadaczu danych.
⚠️ To rozwiązanie ma chronić mniejszych przedsiębiorców, którzy nie znają warunków umów zawieranych z innymi podmiotami i w praktyce mają ograniczoną możliwość oceny, czy traktowani są sprawiedliwie.
Przykład dopuszczalnego różnicowania
Firma DataMachines gromadzi dane z urządzeń przemysłowych. Może różnicować warunki udostępniania danych np. ze względu na rodzaj branży – inne zasady dla firm motoryzacyjnych, a inne dla producentów farmaceutycznych, jeśli różnice wynikają z realnych uwarunkowań technicznych czy regulacyjnych.
Przykład dyskryminacji niedozwolonej
Jeżeli DataMachines udostępnia dane dużym korporacjom na bardziej korzystnych warunkach niż lokalnym firmom, wyłącznie ze względu na skalę działalności, to mamy do czynienia z dyskryminacją sprzeczną z DA.
6. Zasada przejrzystości
Przejrzystość (transparentność) w kontekście art. 8 DA oznacza, że warunki umowy muszą być jednoznaczne i zrozumiałe dla stron.
W praktyce:
- postanowienia umowy nie mogą pozostawiać pola do sprzecznych interpretacji,
- sposób określania np. rekompensaty czy zasad bezpieczeństwa musi być jasny i precyzyjny,
- strony powinny posługiwać się spójnymi i zdefiniowanymi pojęciami.
📌 Dobrym rozwiązaniem jest stosowanie wzorcowych postanowień umownych opracowanych przez Komisję Europejską (o których mowa w motywie 42 preambuły DA).
7. Minimalizacja udostępnianych informacji
Art. 8 ust. 5 DA przewiduje, że strony umowy – posiadacz i odbiorca danych – nie są zobowiązane do ujawniania żadnych informacji poza tymi, które są niezbędne do:
- weryfikacji przestrzegania postanowień umowy,
- realizacji obowiązków wynikających z DA,
- przestrzegania prawa unijnego lub krajowego.
Przykłady informacji, których można żądać:
- standardy bezpieczeństwa stosowane przy udostępnianiu danych,
- jakość i zakres udostępnianych danych (wraz z metadanymi),
- formaty danych,
- możliwości techniczne posiadacza danych dotyczące ciągłego dostępu.
Przykłady informacji wykraczających poza minimum:
- przetworzone dane, które mogłyby zastąpić usługi powiązane,
- szczegółowe know-how niezwiązane bezpośrednio z weryfikacją obowiązków umownych.
Przykład:
Firma MediTrack gromadzi dane z urządzeń medycznych i udostępnia je firmie HealthData Analytics. MediTrack może żądać od odbiorcy informacji o zabezpieczeniach stosowanych przy przetwarzaniu danych, ale nie może żądać np. ujawnienia wszystkich algorytmów analitycznych HealthData, jeśli nie są one konieczne do weryfikacji zgodności z umową.
8. Ochrona tajemnicy przedsiębiorstwa
Art. 8 ust. 6 DA ustanawia ogólną zasadę, że posiadacz danych nie ma obowiązku ujawniania informacji stanowiących tajemnicę przedsiębiorstwa. Wyjątki przewidziane są jedynie w samym Data Act oraz w innych przepisach prawa.
Kiedy tajemnica przedsiębiorstwa może być ujawniona?
DA dopuszcza ujawnienie danych i metadanych będących tajemnicą przedsiębiorstwa jedynie wtedy, gdy:
- jest to konieczne,
- a użytkownik lub odbiorca danych wdrożą odpowiednie środki techniczne i organizacyjne w celu zapewnienia poufności.
Takie wyjątki przewidują np.:
- art. 4 ust. 6 DA – w kontekście udostępniania danych użytkownikowi,
- art. 5 ust. 9 DA – w kontekście udostępniania danych osobie trzeciej wskazanej przez użytkownika.
W praktyce oznacza to konieczność stosowania rozwiązań takich jak:
- umowy o zachowanie poufności (NDA),
- kary umowne za naruszenie poufności,
- uprawnienia audytowe posiadacza danych – pozwalające mu sprawdzić, czy odbiorca przestrzega obowiązków ochrony poufnych informacji.
Informacje a dane
Warto zauważyć, że pojęcie „informacji” jest szersze niż pojęcie „danych”. Tajemnica przedsiębiorstwa może obejmować zarówno dane i metadane, jak i inne informacje (np. dokumentację techniczną, know-how, modele biznesowe).
- Zasada minimalizacji (ust. 5 DA) pozwala odmówić udostępnienia informacji, które nie są niezbędne do kontroli przestrzegania umowy i przepisów.
- Zasada ochrony tajemnicy (ust. 6 DA) dodatkowo pozwala odmówić ujawnienia informacji poufnych, chyba że istnieje wyraźny obowiązek ich przekazania i zostaną spełnione warunki ochrony poufności.
Przykład:
Firma AutoConnect produkuje inteligentne systemy samochodowe i gromadzi dane o stylu jazdy kierowców. Dane te zawierają także elementy stanowiące tajemnicę przedsiębiorstwa, np. algorytmy optymalizujące zużycie paliwa. Gdy użytkownik wnosi o udostępnienie danych firmie ubezpieczeniowej SafeDrive, AutoConnect może odmówić przekazania algorytmów, ale musi udostępnić surowe dane o prędkości czy spalaniu – pod warunkiem, że SafeDrive zapewni odpowiednie zabezpieczenia poufności.
Podstawa prawna
- art. 8, art. 5, art. 13, art. 4 ust. 6, art. 5 ust. 9 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie harmonizacji przepisów dotyczących dostępu do danych i ich wykorzystywania (Data Act)
Tematy porad zawartych w poradniku
- „umowa o udostępnianie danych w Data Act”
- „zakaz dyskryminacji odbiorców danych”
- „ochrona tajemnicy przedsiębiorstwa w DA”
- „obowiązki posiadacza danych w relacjach B2B”