Rozporządzenie Data Act (DA) reguluje zasady udostępniania i wykorzystywania danych przez organy sektora publicznego, Komisję Europejską, Europejski Bank Centralny oraz inne instytucje Unii Europejskiej. Zgodnie z art. 19 DA, instytucje te, po otrzymaniu danych w związku z wyjątkową potrzebą określoną w art. 14 DA, są zobowiązane do przestrzegania określonych obowiązków. Przepisy te stanowią realizację zasady równoważenia interesów: konieczności dostępu do danych z jednej strony, a ochrony praw podmiotów prywatnych – w szczególności poufności i tajemnicy przedsiębiorstwa – z drugiej.
Ograniczenie celu wykorzystania danych i obowiązek wdrożenia zabezpieczeń
Wykorzystanie danych wyłącznie w określonym celu
Najważniejszym ograniczeniem jest zakaz używania danych w innym celu niż ten, dla którego zostały one udostępnione. Instytucja publiczna nie może więc swobodnie korzystać z danych tylko dlatego, że je posiada – musi ściśle powiązać ich wykorzystanie z celem wniosku.
👉 Wyjątek od tej zasady przewiduje motyw 73 preambuły DA. Jeśli posiadacz danych wyrazi wyraźną zgodę, możliwe jest ich użycie także w innych celach. Podstawą prawną takiego wykorzystania są wówczas dobrowolne uzgodnieniamiędzy stronami – mogą one obejmować np. odpłatność za dodatkowe użycie danych.
Obowiązek ochrony danych
Organy uprawnione do otrzymania danych mają obowiązek wdrożyć odpowiednie środki techniczne i organizacyjne, zapewniające:
- poufność i integralność danych,
- bezpieczeństwo ich przekazywania,
- poszanowanie praw i wolności osób, których dane dotyczą.
Środki ochrony muszą być proporcjonalne do rodzaju i zakresu danych.
Jeśli dane mają charakter danych osobowych, ich ochrona odbywa się zgodnie z RODO. W art. 19 ust. 4 DA wskazano wprost, że za bezpieczeństwo danych odpowiada instytucja, która je otrzymała. Jednakże odpowiedzialność posiadacza danych za ich zabezpieczenie w momencie udostępniania nie jest w ten sposób wyłączona.
Usuwanie danych
Kolejnym obowiązkiem organu publicznego jest usunięcie danych, gdy przestają być potrzebne do określonego celu. O tym fakcie należy bez zbędnej zwłoki poinformować:
- posiadacza danych,
- osoby fizyczne lub organizacje, które otrzymały dane na podstawie art. 21 ust. 1 DA.
Wyjątek dotyczy sytuacji, gdy przepisy prawa unijnego lub krajowego wymagają przechowywania danych w ramach obowiązków przejrzystości (np. archiwizacji dokumentów urzędowych). W takim przypadku dane mogą być przechowywane dłużej, ale wyłącznie w tym celu, a po wygaśnięciu obowiązku muszą zostać usunięte.
📌 Przykład:
Firma „GreenTech Solutions” z Poznania została zobowiązana do udostępnienia Ministerstwu Klimatu danych z systemów monitorujących emisje przemysłowe. Po zakończeniu działań związanych z raportowaniem kryzysowym resort musi dane usunąć. Jeśli jednak prawo krajowe nakłada obowiązek archiwizacji dokumentów związanych z działalnością publiczną, dane mogą być przechowywane w archiwum, ale nie mogą być wykorzystywane do innych celów.
Zakaz konkurencyjnego wykorzystania danych
Drugim istotnym obowiązkiem wynikającym z art. 19 DA jest zakaz wykorzystywania danych w sposób, który mógłby prowadzić do stworzenia konkurencyjnych produktów lub usług wobec przedsiębiorcy, który je udostępnił.
Ochrona przed nadużyciami ze strony organów publicznych
Zgodnie z art. 19 ust. 2 DA oraz motywem 74 preambuły, organy publiczne, które otrzymują dane na podstawie rozdziału V DA:
- nie mogą wykorzystywać danych ani informacji o sytuacji ekonomicznej, aktywach, metodach produkcji czy działalności posiadacza danych w celu opracowania lub udoskonalenia własnych produktów lub usług konkurujących z ofertą przedsiębiorcy,
- nie mogą przekazywać danych osobom trzecim, które mogłyby je wykorzystać do stworzenia konkurencyjnych rozwiązań.
Oznacza to, że dane pozyskane w związku z wyjątkową potrzebą muszą być użyte wyłącznie w interesie publicznym, a nie w sposób naruszający interesy rynkowe przedsiębiorcy.
Przykład praktyczny
📌 Przykład:
Spółka „AgroData” z Lublina prowadzi platformę cyfrową dla rolników, gromadzącą informacje o stanie upraw i pogodzie. W sytuacji kryzysowej musiała przekazać dane ministerstwu rolnictwa. Resort nie może wykorzystać tych danych do zbudowania własnej platformy dla rolników ani udostępnić ich innemu podmiotowi, który mógłby stworzyć konkurencyjne rozwiązanie.
Zabezpieczenie tajemnicy przedsiębiorstwa
Komentowany przepis pełni również rolę ochronną wobec tajemnicy przedsiębiorstwa. Zgodnie z art. 19 DA:
- ujawnienie tajemnicy przedsiębiorstwa jest dopuszczalne tylko w takim zakresie, w jakim jest to absolutnie konieczne do realizacji celu określonego we wniosku,
- posiadacz danych (lub posiadacz tajemnicy przedsiębiorstwa, jeśli jest inny niż posiadacz danych) ma prawo zidentyfikować i oznaczyć informacje chronione, w tym metadane,
- organy publiczne są zobowiązane do zastosowania odpowiednich środków ochrony, takich jak:
- modelowe postanowienia umowne,
- normy techniczne,
- kodeksy postępowania.
Takie rozwiązania mają zagwarantować, że tajemnice przedsiębiorstwa nie zostaną wykorzystane w sposób zagrażający pozycji rynkowej podmiotu, który musiał udostępnić dane.
📌 Przykład:
Firma „MediSoft” z Krakowa opracowała unikalny algorytm analizy obrazów medycznych, który został uznany za tajemnicę przedsiębiorstwa. W przypadku, gdy dane z tego systemu muszą zostać udostępnione na wniosek Komisji Europejskiej w ramach działań zdrowotnych, Komisja może je wykorzystać jedynie w niezbędnym zakresie. Musi także wdrożyć odpowiednie zabezpieczenia, aby tajemnica przedsiębiorstwa nie została ujawniona ani wykorzystana w sposób, który mógłby zaszkodzić spółce.
Podstawa prawna
- art. 19 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie zasad sprawiedliwego dostępu do danych i ich wykorzystania (Data Act)
- art. 21 ust. 1 – Data Act
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO)
Tematy porad zawartych w poradniku
- obowiązki organów publicznych wynikające z art. 19 Data Act
- zakaz konkurencyjnego wykorzystania danych udostępnionych organom publicznym
- ochrona tajemnicy przedsiębiorstwa w ramach Data Act
- obowiązek usuwania danych przez instytucje publiczne po ustaniu celu ich przetwarzania