Nowe przepisy unijnego Data Act (DA) przewidują opracowanie przez Komisję Europejską modelowych postanowień umownych ułatwiających dostęp do danych, ich udostępnianie i przetwarzanie, a także standardowych klauzul dla usług chmurowych. Choć ich stosowanie jest dobrowolne, mogą one w praktyce stać się kluczowym narzędziem dla firm – zwłaszcza MŚP – w budowaniu przejrzystych i uczciwych relacji kontraktowych w gospodarce opartej na danych.
W poradniku wyjaśniamy, czym są modelowe klauzule umowne w rozumieniu art. 41 DA, jaki mają cel, jak można je stosować, jakie przynoszą korzyści i jakie wiążą się z nimi ryzyka.
Cel regulacji i znaczenie modelowych postanowień
Artykuł 41 DA zapowiada przygotowanie przez Komisję Europejską niewiążących wzorców umownych dotyczących:
- zasad dostępu do danych i ich wykorzystywania,
- zasad naliczania rekompensaty,
- ochrony tajemnicy przedsiębiorstwa,
- oraz standardowych klauzul umownych dla przetwarzania danych w chmurze.
Ich celem nie jest narzucanie nowych obowiązków, lecz ułatwienie stronom – zwłaszcza mniejszym podmiotom – zawierania umów zgodnych z wymogami Data Act. Klauzule mają wspierać transparentność, proporcjonalność i uczciwość w relacjach pomiędzy przedsiębiorcami (B2B), ale również w kontaktach z konsumentami (B2C), gdzie często występuje asymetria sił negocjacyjnych.
📄 Przykład praktyczny:
Start-up energetyczny „EnerByte”, który udostępnia dane z inteligentnych liczników energii dużemu koncernowi przemysłowemu, często nie ma siły negocjacyjnej, by narzucić własne warunki umowy. Dzięki modelowym klauzulom DA może powołać się na uznany wzorzec, który wzmacnia jego pozycję i ogranicza ryzyko nieuczciwych postanowień.
Modelowe postanowienia mają więc charakter pomocniczy – nie są obowiązkowe, ale mogą znacząco obniżyć koszty transakcyjne i ułatwić tworzenie przejrzystych umów. Z tego względu są szczególnie cenne dla małych i średnich przedsiębiorstw (MŚP), które często nie dysponują własnym zapleczem prawnym.
W kwietniu 2025 r. Komisja Europejska opublikowała wzorce takich klauzul w raporcie Final Report of the Expert Group on B2B Data Sharing and Cloud Computing Contracts (2.04.2025). Dokument ten stanowi praktyczny punkt odniesienia dla firm działających w ramach Data Act.
Zakres i potencjalna treść modelowych klauzul
Modelowe klauzule umowne dotyczące dostępu do danych obejmują szereg kluczowych kwestii, które w praktyce często rodzą spory pomiędzy stronami. Wzorce odnoszą się m.in. do:
- warunków udzielania dostępu do danych użytkownikom oraz wskazanym przez nich podmiotom trzecim,
- sposobu ustalania i naliczania rekompensaty za udostępnienie danych,
- środków ochrony tajemnic przedsiębiorstwa i informacji poufnych,
- obowiązków dotyczących bezpieczeństwa, przechowywania i usuwania danych po zakończeniu przetwarzania,
- zakazu wykorzystywania danych do tworzenia produktów lub usług konkurencyjnych wobec dostawcy.
📌 Praktyczny przykład:
Operator platformy wymiany danych „GeoLink” udostępnia dane geolokalizacyjne pojazdów firmie zewnętrznej tworzącej aplikację transportową. Dzięki wzorcowej klauzuli DA może zastrzec, że dane nie mogą być wykorzystane do stworzenia konkurencyjnej aplikacji, co chroni jego interesy gospodarcze.
Choć stosowanie tych klauzul jest dobrowolne, Komisja Europejska liczy, że ich upowszechnienie doprowadzi do powstania standardu rynkowego. W praktyce mogą one być stosowane jako punkt odniesienia przy ocenie, czy dana umowa jest uczciwa i proporcjonalna.
Standardowe postanowienia w umowach o chmurę i portowalność danych
Drugą grupę wzorców opracowanych przez Komisję stanowią klauzule dla umów z dostawcami usług chmurowych. Mają one wspierać realizację zasad przewidzianych w Data Act, w tym:
- możliwość zmiany dostawcy usług chmurowych (portowalność danych),
- interoperacyjność systemów,
- oraz zakaz pobierania opłat za wyjście z usługi (tzw. exit fees).
Standardowe postanowienia obejmują m.in.:
- procedury techniczne i organizacyjne zmiany dostawcy,
- warunki i terminy przekazania danych użytkownikowi lub nowemu dostawcy,
- zakres i formę wsparcia technicznego,
- wymagania dotyczące kompatybilności formatów danych,
- środki przeciwdziałania barierom technologicznym i kontraktowym.
📄 Przykład:
Średnie przedsiębiorstwo produkcyjne „MetalPro”, korzystające z chmurowych narzędzi analitycznych typu SaaS, planuje zmianę dostawcy. Dzięki modelowym klauzulom DA może bezpiecznie i bez przestoju przenieść swoje dane do innej platformy, unikając utraty danych historycznych.
Takie klauzule mają w praktyce ułatwić mobilność danych w UE, a także ograniczyć uzależnienie od jednego dostawcy usług chmurowych (vendor lock-in).
Znaczenie praktyczne i strategiczne
Wprowadzenie modelowych klauzul ma strategiczny cel – zmniejszenie liczby sporów i zwiększenie przejrzystości rynku danych. Dzięki nim strony umów mogą łatwiej ustalić wspólne ramy współpracy i uniknąć praktyk uznawanych za dyskryminujące lub nieuczciwe.
W gospodarce opartej na danych kluczowe znaczenie mają zaufanie i przewidywalność. Nawet niewiążące wzorce mogą zatem pełnić rolę stabilizującą, stanowiąc punkt odniesienia zarówno w praktyce negocjacyjnej, jak i w postępowaniach sądowych czy mediacyjnych.
Sąd lub arbiter może potraktować klauzule modelowe jako narzędzie interpretacyjne, pomocne przy ocenie, czy dane postanowienie umowy spełnia zasady uczciwości, proporcjonalności i niedyskryminacji.
📌 Oznacza to, że nawet jeśli strony umowy zdecydują się na inne rozwiązania niż te przewidziane przez Komisję, odchylenie od wzorca powinno być uzasadnione i pozostawać w zgodzie z celami Data Act.
Nawiązanie do znanych mechanizmów kontraktowych UE
Modelowe klauzule DA nawiązują do Standardowych Klauzul Umownych (SKU) stosowanych na gruncie RODO przy transferze danych osobowych poza Europejski Obszar Gospodarczy.
Jednak istnieje zasadnicza różnica w ich charakterze prawnym:
- SKU RODO – są przyjmowane w formie decyzji wykonawczej Komisji Europejskiej (na podstawie art. 46 ust. 2 lit. c RODO) i mają charakter wiążący, jeśli strony zdecydują się na ich stosowanie. Nie można dowolnie zmieniać ich treści, chyba że nie narusza to istoty ochrony danych.
- Klauzule DA – mają charakter wyłącznie rekomendacyjny, nie są przyjmowane w formie aktu prawnego i ich stosowanie pozostaje całkowicie dobrowolne.
Oznacza to, że klauzule DA pełnią raczej funkcję harmonizacyjną niż regulacyjną. Mają tworzyć wspólną płaszczyznę kontraktową i ułatwiać zgodność z Data Act, ale nie wprowadzają sankcji za ich niestosowanie.
Dla mniejszych firm jest to narzędzie gotowe do użycia – mogą one kopiować wzorce Komisji i stosować je jako bezpieczną podstawę umowną, bez konieczności tworzenia skomplikowanych postanowień od zera. Jednak skuteczność tych klauzul będzie zależeć od akceptacji rynkowej i praktyki branżowej.
Praktyczne ryzyka i luki przy wdrażaniu klauzul modelowych
Choć cel regulacji jest pozytywny, wdrożenie modelowych klauzul w praktyce napotyka szereg wyzwań. Najważniejsze z nich to:
1. Niewiążący charakter klauzul
Klauzule DA są dobrowolne, co oznacza, że żadne przedsiębiorstwo nie ma obowiązku ich stosowania. W praktyce może to prowadzić do sytuacji, w której silniejsi kontraktowo gracze (np. duże koncerny technologiczne) całkowicie je zignorują lub zastosują tylko wybiórczo.
Takie podejście osłabia funkcję ochronną klauzul i utrwala nierównowagę kontraktową pomiędzy dużymi dostawcami danych a mniejszymi użytkownikami, zwłaszcza w sektorach opartych na danych IoT czy chmurze obliczeniowej.
📄 Przykład:
Dostawca platformy IoT „TechSense” wymaga od mniejszych partnerów podpisania umowy opartej na jego własnych warunkach, pomijając klauzule modelowe DA. W efekcie mali użytkownicy nie mają realnego wpływu na sposób naliczania opłat czy ograniczania dostępu do danych.
2. Brak jednolitej praktyki rynkowej
Z uwagi na dobrowolność stosowania, nie ma gwarancji, że klauzule będą wykorzystywane w jednolity sposób w całej UE. Firmy mogą je modyfikować, tworzyć własne wersje lub stosować tylko fragmenty, co utrudni budowanie spójnej praktyki kontraktowej.
Niektóre branże mogą opracować swoje sektorowe standardy oparte luźno na klauzulach Komisji, ale różniące się w istotnych szczegółach. Z czasem może to prowadzić do rozbieżności interpretacyjnych i ograniczenia skuteczności harmonizacyjnej DA.
3. Zbyt ogólny charakter wzorców
Modelowe klauzule mają charakter uniwersalny, co oznacza, że nie zawsze pasują do specyfiki poszczególnych sektorów gospodarki. W szczególności mogą być trudne do zastosowania w obszarach:
- finansów i ubezpieczeń (silnie regulowane sektory),
- ochrony zdrowia (wysokie wymogi poufności),
- transportu i przemysłu (duże zróżnicowanie danych technicznych).
📌 W takich branżach przedsiębiorcy mogą uznać klauzule za zbyt ogólne lub wymagające głębokich modyfikacji. W efekcie ich funkcja harmonizacyjna zostanie ograniczona, a klauzule będą miały raczej charakter edukacyjny niż praktyczny.
4. Wyzwania w relacjach międzynarodowych
Modelowe klauzule DA są tworzone z myślą o jednolitym rynku danych w UE. Jednak wiele firm prowadzi działalność globalną i współpracuje z partnerami spoza Unii.
W takich przypadkach pojawia się problem nieuznawania unijnych standardów przez kontrahentów z państw trzecich, np. z Azji czy Ameryki Północnej.
📄 Przykład:
Europejski producent oprogramowania przemysłowego „InduSoft” korzysta z usług chmurowych dostawcy z Korei Południowej. Dostawca ten nie akceptuje unijnych klauzul dotyczących interoperacyjności i portowalności danych, przez co przeniesienie danych do innego usługodawcy staje się niemożliwe.
W rezultacie modelowe klauzule mogą być skutecznie stosowane głównie w relacjach wewnątrzunijnych, co ogranicza ich globalny zasięg i praktyczne znaczenie.
5. Kolizja z ochroną tajemnicy przedsiębiorstwa
Data Act przewiduje, że przedsiębiorstwo nie może odmówić udostępnienia danych wyłącznie z powodu ich poufności, o ile druga strona zapewnia odpowiednie środki bezpieczeństwa.
W praktyce jednak granica między „danymi technicznymi” a „informacjami strategicznymi” jest bardzo cienka.
Propozycja, aby firmy jawnie identyfikowały tajemnice przedsiębiorstwa w załącznikach do umowy, może być ryzykowna – wskazanie takich informacji wielu odbiorcom może prowadzić do ich de facto ujawnienia, a w konsekwencji utraty ochrony.
⚠️ Dlatego przedsiębiorstwa mogą być zniechęcone do udostępniania wrażliwych danych, co ograniczy faktyczną skuteczność Data Act w obszarze wymiany danych międzysektorowej.
6. Brak mechanizmów nadzoru i egzekwowania
Kolejną luką jest brak instytucji odpowiedzialnej za monitorowanie stosowania modelowych klauzul.
Nie przewidziano żadnego organu, który mógłby egzekwować ich przestrzeganie, kontrolować zgodność z duchem Data Act ani wydawać interpretacje w przypadku sporów.
To oznacza, że klauzule mogą być nadużywane przez silniejsze strony umowy – np. poprzez pozorne ich stosowanie w formie zmodyfikowanej, która osłabia ich funkcję ochronną.
📌 W dłuższej perspektywie brak takiego nadzoru może doprowadzić do erozji spójności regulacyjnej między państwami członkowskimi.
7. Brak kryteriów oceny zgodności klauzul zmodyfikowanych
Ponieważ klauzule DA można dowolnie modyfikować, powstaje pytanie, kiedy taka zmiana nadal pozostaje zgodna z celem Data Act.
Nie istnieje żaden test zgodności funkcjonalnej – nie wiadomo, czy zmodyfikowana klauzula, która formalnie przypomina wzorzec, wciąż spełnia jego funkcję ochronną.
To z kolei prowadzi do ryzyka nadużyć w relacjach asymetrycznych, np. gdy duży dostawca narzuca wersję „własną” klauzul, pozbawioną faktycznych zabezpieczeń dla słabszej strony.
8. Problemy interpretacyjne i różnice krajowe
Ponieważ klauzule są formułowane ogólnie, mogą wymagać reinterpretacji w kontekście prawa krajowego.
Każde państwo członkowskie może w praktyce różnie oceniać zgodność danych postanowień z zasadami uczciwości czy proporcjonalności, co z czasem może prowadzić do rozbieżności interpretacyjnych.
W efekcie utracony zostanie cel spójności regulacyjnej na poziomie całej Unii.
9. Niejasność w relacjach B2C
Data Act koncentruje się głównie na relacjach B2B (business-to-business), natomiast stosowanie klauzul w relacjach B2C (business-to-consumer) pozostaje niejasne.
Brakuje wytycznych, w jakim zakresie można je adaptować do umów z konsumentami – np. gdy użytkownik końcowy żąda przeniesienia swoich danych do innego usługodawcy.
⚠️ W konsekwencji poziom ochrony użytkowników indywidualnych może zależeć wyłącznie od dobrej woli dostawców usług cyfrowych, co stoi w sprzeczności z celem jednolitego rynku danych.
10. Brak mechanizmu aktualizacji klauzul
Technologia rozwija się bardzo dynamicznie – szczególnie w obszarach sztucznej inteligencji, automatyzacji przemysłowej, IoT czy edge computing.
Modelowe klauzule DA nie zawierają jednak żadnego mechanizmu aktualizacji w odpowiedzi na zmiany prawne czy technologiczne.
Brak procedury rewizji (np. w formie konsultacji technicznych lub aktów delegowanych Komisji) oznacza, że wzorce mogą się szybko zdezaktualizować i utracić swoją przydatność praktyczną.
11. Relacja z RODO
Data Act nie zastępuje przepisów o ochronie danych osobowych.
W razie kolizji pierwszeństwo mają przepisy RODO, co oznacza, że przedsiębiorstwa muszą jednocześnie spełniać oba zestawy obowiązków.
Samo stosowanie modelowych klauzul DA nie zwalnia z obowiązków wynikających z RODO, w szczególności:
- zapewnienia legalności przetwarzania,
- minimalizacji danych,
- zabezpieczenia informacji,
- zawarcia umowy powierzenia przetwarzania danych,
- oraz stosowania klauzul transferowych przy przekazywaniu danych poza EOG.
⚠️ Brak zgodności z RODO mimo zastosowania klauzul DA może prowadzić do ryzyk regulacyjnych i odpowiedzialności prawnej.
12. Ograniczona skuteczność bez wsparcia instytucji UE
Skuteczność modelowych klauzul zależy od tego, czy instytucje unijne stworzą mechanizmy nadzoru i rewizji.
Bez takich narzędzi istnieje ryzyko, że klauzule pozostaną „martwym instrumentem” – rekomendacją teoretyczną, a nie realnym narzędziem ułatwiającym życie przedsiębiorcom.
Dopiero wprowadzenie możliwości regularnej aktualizacji, interpretacji urzędowej i konsultacji sektorowych może zapewnić ich trwałą funkcjonalność w gospodarce opartej na danych.
Skuteczność i znaczenie modelowych klauzul w długim horyzoncie
Modelowe postanowienia umowne przewidziane w art. 41 Data Act stanowią ważny krok w stronę ujednolicenia praktyk kontraktowych w europejskiej gospodarce opartej na danych. Nie są jednak narzędziem bez wad. Ich skuteczność w praktyce zależy od:
- gotowości rynku do ich rzeczywistego stosowania,
- akceptacji branżowej i tworzenia jednolitej praktyki kontraktowej,
- dostępności interpretacji wykonawczej i aktualizacji,
- wsparcia ze strony instytucji unijnych, które mogłyby nadzorować zgodność klauzul z celem Data Act.
Bez tych elementów wzorce pozostaną raczej rekomendacją dobrych praktyk, a nie realnym narzędziem ochrony stron umowy.
Klauzule modelowe jako narzędzie harmonizacji
Z punktu widzenia polityki unijnej, art. 41 DA wpisuje się w szerszy trend polegający na łącznym stosowaniu regulacji i narzędzi miękkich (soft law). Komisja Europejska, oprócz wprowadzania obowiązków prawnych, tworzy instrumenty, które mają ułatwić ich wdrażanie — jak właśnie klauzule modelowe.
Ich funkcja jest zatem pomocnicza i prewencyjna: mają ułatwiać zgodność z prawem, zmniejszać ryzyko sporów i budować wspólne standardy uczciwego traktowania w obrocie danymi.
Inspiracja innymi aktami prawa UE
Podobne rozwiązania – w postaci wzorcowych lub standardowych klauzul – pojawiają się również w innych aktach prawa unijnego.
W szczególności:
- Dyrektywa 2024/1760 – przewiduje opracowanie wzorcowych klauzul umownych w celu zapewnienia należytej staranności w łańcuchach dostaw (due diligence).
- Rozporządzenie DORA (Digital Operational Resilience Act) – dopuszcza stosowanie standardowych klauzul w umowach ICT w sektorze finansowym.
W każdym z tych przypadków celem jest zwiększenie przejrzystości i przewidywalności kontraktowej, a także wzmocnienie pozycji słabszych uczestników rynku.
Data Act idzie tym samym tropem – wspiera tworzenie równych warunków w gospodarce danych, nawet jeśli jego instrumenty mają charakter fakultatywny.
Zasada komplementarności z RODO
Kluczowym aspektem stosowania modelowych klauzul DA jest ich komplementarność z RODO.
Data Act nie ingeruje w przepisy o ochronie danych osobowych.
W przypadku kolizji między przepisami – pierwszeństwo zawsze ma RODO.
Dlatego przedsiębiorcy muszą pamiętać, że każda umowa obejmująca dane osobowe powinna zawierać również postanowienia zgodne z RODO, w tym m.in.:
- podstawę prawną przetwarzania danych,
- określenie ról stron (administrator/podmiot przetwarzający),
- zasady transferu danych poza EOG,
- środki bezpieczeństwa i kontrolę zgodności.
W praktyce oznacza to, że zastosowanie klauzuli modelowej DA nie wystarczy do zapewnienia pełnej zgodności z prawem ochrony danych.
📚 Przedsiębiorcy powinni więc traktować modelowe klauzule DA jako dodatek do, a nie substytut RODO.
Znaczenie dla MŚP i konkurencyjności rynku
Z punktu widzenia polityki gospodarczej Unii Europejskiej, art. 41 Data Act ma szczególne znaczenie dla małych i średnich przedsiębiorstw (MŚP).
Dzięki modelowym postanowieniom:
- mogą one ograniczyć koszty prawne,
- szybciej zawierać zgodne z prawem umowy,
- oraz skuteczniej negocjować z większymi partnerami biznesowymi.
To właśnie dla MŚP klauzule te mogą pełnić funkcję edukacyjną i ochronną, stanowiąc gotowy wzorzec, który wzmacnia ich pozycję na rynku danych.
Potrzeba rozwoju instrumentów uzupełniających
Aby modelowe klauzule DA były faktycznie użyteczne, konieczne jest stworzenie dodatkowych mechanizmów, takich jak:
- publiczny rejestr wzorców sektorowych, zatwierdzonych przez Komisję Europejską,
- okresowe przeglądy i aktualizacje w odpowiedzi na rozwój technologii,
- wytyczne interpretacyjne pomagające w ocenie zgodności umów z zasadami DA,
- kanały zgłaszania nadużyć lub nierównych praktyk kontraktowych.
Bez takich narzędzi wzorce mogą stać się jedynie dokumentem teoretycznym, a ich wartość praktyczna z czasem spadnie.
Wnioski końcowe
Art. 41 Data Act stanowi ważny instrument wspierający transparentność, zaufanie i uczciwość w obrocie danymi, zwłaszcza w relacjach B2B.
Choć modelowe postanowienia umowne mają charakter niewiążący, ich rola w praktyce może być istotna – jako punkt odniesienia, narzędzie negocjacyjne i mechanizm edukacyjny.
Ich największy potencjał tkwi w tym, że mogą wyrównać szanse kontraktowe pomiędzy dużymi a małymi uczestnikami rynku, a jednocześnie zmniejszyć koszty wdrażania Data Act.
Ostatecznie jednak skuteczność tych klauzul zależy od:
- poziomu ich przyjęcia przez rynek,
- zaangażowania Komisji Europejskiej w ich aktualizację,
- oraz zdolności instytucji UE do zapewnienia spójnej interpretacji i nadzoru nad ich stosowaniem.
Bez tych elementów klauzule mogą pozostać jedynie symbolem „dobrych intencji”, a nie realnym instrumentem ułatwiającym prowadzenie działalności gospodarczej w erze danych.
Podstawa prawna
- art. 41 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie sprawiedliwego dostępu do danych i ich wykorzystania (Data Act)
- art. 46 ust. 2 lit. c – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1760 z dnia 17 czerwca 2024 r. w sprawie należytej staranności przedsiębiorstw w zakresie zrównoważonego rozwoju
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA)
Tematy zawarte w poradniku
- modelowe postanowienia umowne Data Act
- klauzule standardowe w umowach o chmurę
- portowalność danych i interoperacyjność w UE
- relacja Data Act – RODO
- ochrona tajemnicy przedsiębiorstwa a udostępnianie danych