Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854, znane jako Data Act (DA), wprowadza kompleksowe zasady dotyczące dostępu do danych i ich wykorzystywania w gospodarce cyfrowej.
Jednym z istotnych fragmentów tego aktu jest rozdział VI, który określa obowiązki dostawców usług przetwarzania danych, w tym obowiązek zapewnienia interoperacyjności, łatwej zmiany dostawcy oraz otwartych interfejsów.
Jednak nie wszystkie usługi przetwarzania danych podlegają tym samym wymogom.
Art. 31 Data Act przewiduje bowiem dwa typy wyłączeń – częściowe i całkowite – które mają kluczowe znaczenie dla dostawców usług IT, zwłaszcza firm oferujących usługi chmurowe, integracyjne i przetwarzania danych.
1. Ogólna charakterystyka art. 31 Data Act
Celem komentowanego przepisu jest doprecyzowanie, w jakich sytuacjach przepisy rozdziału VI nie będą miały pełnego zastosowania. Artykuł ten wprowadza:
- częściowe zwolnienie – gdy dostawca nie musi wykonywać tylko niektórych obowiązków,
- całkowite zwolnienie – gdy wszystkie obowiązki z rozdziału VI zostają wyłączone.
Warto podkreślić, że nawet jeśli przepis formalnie zwalnia usługę z pewnych obowiązków, strony mogą umownie postanowić inaczej.
Oznacza to, że dostawca i klient mogą wspólnie uzgodnić, iż dostawca – mimo ustawowego zwolnienia – będzie realizował wszystkie lub niektóre obowiązki wynikające z Data Act.
To istotny element praktyczny: zwolnienie nie oznacza zakazu spełniania obowiązków, a jedynie brak ich obligatoryjnego charakteru.
Kryteria zwolnienia – inny charakter niż w pozostałych częściach Data Act
W Data Act występuje kilka mechanizmów zwolnień, np. w art. 7 ust. 1, art. 15 ust. 2 czy art. 20 ust. 1 DA, które odnoszą się do mikro- i małych przedsiębiorstw – zależnych od liczby pracowników i wyników finansowych.
Jednak art. 31 DA wprowadza zupełnie inne kryterium: nie opiera się ono na wskaźnikach ekonomicznych, lecz na ocenie dostępności usługi na rynku.
W praktyce oznacza to, że nawet duża firma może korzystać z wyłączenia, o ile jej usługa spełnia przesłanki określone w tym przepisie – np. jest opracowana indywidualnie dla jednego klienta i nie jest publicznie oferowana.
2. Częściowe zwolnienie z obowiązków przewidzianych w rozdziale VI Data Act
2.1 Zakres usług objętych częściowym wyłączeniem
Zgodnie z art. 31 ust. 1 DA, częściowe zwolnienie dotyczy dwóch grup usług przetwarzania danych.
Każda z nich jest zwolniona z realizacji części obowiązków przewidzianych w rozdziale VI.
Pierwsza grupa usług
Pierwszą grupę stanowią usługi przetwarzania danych:
- w przypadku których większość głównych cech została opracowana na zamówienie, aby dostosować usługę do konkretnych potrzeb indywidualnego klienta, oraz
- które nie są oferowane komercyjnie na szeroką skalę poprzez katalog usług danego dostawcy.
Takie usługi określa się potocznie jako „szyte na miarę”.
Ich najważniejsze funkcjonalności są projektowane i wdrażane w odpowiedzi na specyficzne wymagania klienta – a nie jako gotowy produkt rynkowy.
Oznacza to, że nie chodzi o usługę typu SaaS dostępną dla wszystkich klientów (np. CRM w abonamencie), ale o rozwiązanie zaprojektowane wyłącznie dla konkretnego odbiorcy.
📌 Przykład praktyczny
Firma DataCraft Systems Sp. z o.o. z Krakowa tworzy system analizy danych produkcyjnych dla zakładu przemysłowego TechFlow SA.
System wykorzystuje autorski model sztucznej inteligencji, który analizuje dane z czujników w czasie rzeczywistym.
Rozwiązanie nie jest dostępne w katalogu usług DataCraft – powstało na wyłączność TechFlow.
W takim przypadku DataCraft może korzystać z częściowego zwolnienia z obowiązków przewidzianych w rozdziale VI Data Act.
Druga grupa usług
Do drugiej grupy należą usługi:
- w przypadku których wszystkie komponenty zostały opracowane na potrzeby indywidualnego klienta, oraz
- które nie są oferowane komercyjnie na szeroką skalę poprzez katalog dostawcy.
Różnica między pierwszą a drugą grupą polega na stopniu indywidualizacji:
w pierwszym przypadku wystarczy, że „większość głównych cech” została opracowana na zamówienie;
w drugim – każdy komponent usługi musi być stworzony dla konkretnego klienta.
Warunek utraty zwolnienia
Jeżeli dostawca wprowadzi usługę pierwotnie opracowaną na zamówienie indywidualnego klienta do swojego katalogu ofertowego, to w momencie rozpoczęcia jej komercyjnej sprzedaży zwolnienie traci moc.
Od tej chwili dostawca musi spełniać pełny zestaw obowiązków z rozdziału VI DA.
Tym samym Data Act zapobiega nadużyciom – dostawca nie może traktować popularnej, powielanej usługi jako „indywidualnej” tylko po to, by uniknąć obowiązków interoperacyjności.
2.2 Zakres obowiązków, z których zwolniono niektórych dostawców
Zwolnienie określone w art. 31 ust. 1 DA dotyczy tylko wybranych obowiązków rozdziału VI.
Dostawcy takich usług są zwolnieni z czterech konkretnych wymagań:
- Zakaz utrudniania uzyskania równoważności funkcjonalnej w ramach korzystania z nowej usługi u innego dostawcy (art. 23 lit. d DA).
- Obowiązek ułatwiania osiągnięcia równoważności funkcjonalnej przy migracji usług w modelu IaaS (art. 30 ust. 1 DA).
- Obowiązek zapewnienia zgodności ze wspólnymi specyfikacjami lub normami interoperacyjności w przypadku usług innych niż IaaS (art. 30 ust. 3 DA).
- Obowiązek wycofania opłat z tytułu zmiany dostawcy (art. 29 DA).
Co to oznacza w praktyce?
Dostawca usługi objętej częściowym zwolnieniem:
- może pobierać opłaty za migrację danych do innego środowiska,
- nie musi gwarantować interoperacyjności z systemami innych dostawców,
- nie ma obowiązku wdrażania wspólnych specyfikacji technicznych,
- ale wciąż musi realizować inne obowiązki wynikające z Data Act.
Innymi słowy, wyłączenie jest ograniczone tylko do czterech wymienionych przypadków – pozostałe wymogi rozdziału VI nadal obowiązują.
2.3 Obowiązki, które nadal mają zastosowanie
Warto zauważyć, że z katalogu obowiązków technicznych nie wszystkie zostały objęte zwolnieniem.
Szczególnie wątpliwy był zakres stosowania art. 30 ust. 2 DA, który dotyczy usług IaaS i nakłada obowiązek udostępniania otwartych interfejsów oraz możliwości eksportu danych w ustrukturyzowanym, maszynowo odczytywalnym formacie.
Literalna interpretacja mogłaby sugerować, że usługodawcy IaaS korzystający ze zwolnienia z art. 31 DA nie muszą spełniać również tego obowiązku.
Jednak analiza celowościowa prowadzi do odmiennego wniosku:
celem przepisu nie jest zwolnienie dostawców IaaS ze wszystkich obowiązków technicznych, lecz jedynie ograniczenie zakresu ich odpowiedzialności.
Dlatego dostawcy usług infrastrukturalnych (IaaS) – nawet korzystający ze zwolnienia – muszą realizować wymogi art. 30 ust. 2 DA, czyli:
- udostępniać otwarte interfejsy,
- zapewniać eksport danych w formacie maszynowym,
- umożliwiać klientom przenoszenie danych w sposób technicznie wykonalny.
3. Całkowite zwolnienie z obowiązków przewidzianych w rozdziale VI Data Act
Art. 31 Data Act przewiduje nie tylko częściowe, ale także całkowite zwolnienie z obowiązków nałożonych na dostawców usług przetwarzania danych.
Oznacza to sytuację, w której dany dostawca nie musi wykonywać żadnych obowiązków określonych w rozdziale VI.
Zgodnie z przepisem, wymogi rozdziału VI nie mają zastosowania do usług przetwarzania danych, które:
- są świadczone przez ograniczony czas,
- stanowią wersję nieprzeznaczoną do produkcji,
- oraz są przeznaczone wyłącznie do celów testowania i oceny.
3.1 Jak interpretować przesłanki całkowitego zwolnienia
Zanim dostawca uzna, że jego usługa korzysta z całkowitego zwolnienia, musi ustalić, czy:
- usługa ma charakter tymczasowy,
- jej przeznaczeniem nie jest użycie produkcyjne,
- celem świadczenia jest wyłącznie testowanie lub ocena funkcjonalności.
Warunki te są kumulatywne — wszystkie muszą być spełnione.
Zwolnienie nie obejmuje więc usług oferowanych w wersji komercyjnej, nawet jeśli klient wykorzystuje je jedynie w celach próbnych.
3.2 Wersja testowa a wersja demonstracyjna – istotna różnica
W praktyce należy odróżnić wersję testową od wersji demonstracyjnej (demo):
- Wersja testowa – to produkt będący nadal w fazie rozwoju lub oceny; dostawca analizuje jego działanie, stabilność, wydajność, bezpieczeństwo czy interoperacyjność. Nie jest on jeszcze przeznaczony do sprzedaży ani do produkcyjnego zastosowania.
- Wersja demonstracyjna (demo) – to produkt pełnoprawny, który został czasowo udostępniony klientom w celach promocyjnych lub marketingowych. Choć pozwala użytkownikom przetestować funkcje, jej celem jest reklama i sprzedaż, a nie testowanie technologii.
Z tego względu wersja demonstracyjna nie korzysta z całkowitego zwolnienia przewidzianego w art. 31 DA.
Wersja testowa może natomiast być zwolniona z obowiązków tylko wtedy, gdy rzeczywiście służy celom ewaluacyjnym i rozwojowym.
📌 Przykład praktyczny
Spółka NeuralEdge Labs prowadzi prace nad nową platformą analityczną typu PaaS wykorzystującą algorytmy sztucznej inteligencji.
Wersja testowa systemu jest udostępniana ograniczonej liczbie partnerów biznesowych w celu sprawdzenia poprawności modeli i bezpieczeństwa środowiska.
Usługa nie jest sprzedawana, a jej celem jest ocena i udoskonalenie funkcjonalności – spełnia zatem warunki całkowitego zwolnienia z rozdziału VI Data Act.
Z kolei wersja „demo” tej samej platformy, dostępna na stronie internetowej firmy, nie spełnia przesłanek zwolnienia, ponieważ służy promocji gotowego produktu.
3.3 Czas trwania zwolnienia – brak sztywnego terminu
Data Act nie precyzuje, jak długo może trwać okres testowy.
W motywach rozporządzenia również nie wskazano żadnych sztywnych ram czasowych.
Zgodnie z zasadą racjonalnej proporcjonalności, okres ten powinien być:
- ograniczony do czasu niezbędnego do przeprowadzenia testów i oceny,
- zależny od charakteru, złożoności i innowacyjności usługi.
Dla większości usług IT faza testów będzie zapewne trwała kilka miesięcy, jednak w przypadku rozwiązań bardziej złożonych (np. systemów o znaczeniu krytycznym lub infrastrukturalnym) może być dłuższa.
⚠️ Po zakończeniu okresu testów i wprowadzeniu usługi na rynek, wszystkie obowiązki Data Act zaczynają mieć zastosowanie.
Zwolnienie ma zatem charakter czasowy i warunkowy.
4. Obowiązek informacyjny dostawcy usług
Art. 31 DA nie ogranicza się do określenia przesłanek zwolnienia – wprowadza również obowiązek informacyjny wobec klientów.
To jedno z kluczowych wymagań, które ma zapewnić transparentność relacji między dostawcą a użytkownikiem.
4.1 Na czym polega obowiązek informacyjny
Zgodnie z art. 31 ust. 4 DA, jeżeli dana usługa przetwarzania danych korzysta ze zwolnienia z obowiązków rozdziału VI, dostawca musi:
- poinformować o tym przyszłego klienta,
- zrobić to przed zawarciem umowy,
- oraz wskazać, które obowiązki nie mają zastosowania do danej usługi.
Informacja powinna być przedstawiona jasno, zrozumiale i precyzyjnie, tak aby klient mógł ocenić, czy mimo ograniczeń chce zawrzeć umowę na daną usługę.
4.2 Dlaczego to ważne
Brak takiej informacji mógłby doprowadzić klienta do błędnego przekonania, że ma pełnię uprawnień wynikających z Data Act – np. prawo do zmiany dostawcy bez opłat czy do przeniesienia danych w pełni interoperacyjny sposób.
Dzięki obowiązkowi informacyjnemu klient:
- zna zakres zwolnień,
- rozumie ich konsekwencje (np. brak gwarancji równoważności funkcjonalnej),
- może świadomie zdecydować, czy akceptuje warunki usługi.
4.3 Forma przekazania informacji i obowiązek dowodowy
Przepis nie określa formy, w jakiej informacja ma zostać przekazana, ale z punktu widzenia dowodowego najbezpieczniejsze jest przekazanie jej w formie pisemnej lub elektronicznej (np. jako załącznik do umowy lub element oferty handlowej).
Dostawca powinien:
- posiadać potwierdzenie przekazania informacji,
- móc wykazać w razie kontroli lub sporu, że obowiązek został wykonany.
Brak takiego potwierdzenia może skutkować uznaniem, że dostawca naruszył przepisy rozporządzenia.
📄 Przykład praktyczny
Firma SkyCluster Cloud Solutions oferuje usługę przetwarzania danych typu IaaS opracowaną na zamówienie konkretnego klienta – instytutu badawczego.
Zanim podpisze umowę, SkyCluster przekazuje klientowi pisemną informację, że:
- usługa nie podlega niektórym obowiązkom z rozdziału VI Data Act,
- w szczególności nie stosuje się art. 23 lit. d DA, art. 29 DA oraz art. 30 ust. 1 i 3 DA,
- a dostawca może pobierać opłatę za ewentualną zmianę dostawcy.
Klient potwierdza otrzymanie informacji, co zabezpiecza SkyCluster dowodowo w razie ewentualnych roszczeń.
4.4 Charakter praktyczny obowiązku informacyjnego
W praktyce oznacza to konieczność opracowania w firmach IT standardowego wzoru komunikatu o zakresie stosowanych zwolnień.
Powinien on:
- wskazywać konkretne przepisy,
- opisywać przyczyny zastosowania zwolnienia (np. usługa „customowa”, „testowa”),
- i określać skutki dla klienta (np. ograniczenie prawa do migracji danych).
5. Znaczenie praktyczne art. 31 Data Act dla dostawców usług IT
5.1 Wymóg analizy i dokumentowania
Dostawcy usług przetwarzania danych powinni przeprowadzić szczegółową analizę swoich ofert i świadczonych usług.
Konieczne jest ustalenie, które z nich mogą korzystać ze zwolnień z art. 31 DA, a które nie.
Każde zastosowanie zwolnienia powinno być udokumentowane – wraz z uzasadnieniem technicznym i biznesowym.
Dobrą praktyką jest stworzenie wewnętrznego rejestru usług zwolnionych, który wskazuje podstawę prawną i okres obowiązywania zwolnienia.
5.2 Relacja z klientem
Transparentne poinformowanie klienta o zakresie zwolnienia może również stanowić element budowania zaufania i wiarygodności.
Zamiast postrzegać zwolnienie jako sposób uniknięcia obowiązków, dostawca może je przedstawić jako narzędzie elastyczności – np. umożliwiające dostosowanie rozwiązania do indywidualnych potrzeb klienta.
5.3 Ryzyka nadużyć i słabsza pozycja klienta
Autorzy komentarza do art. 31 DA wskazują na ryzyko, że w praktyce dostawcy mogą nadużywać zwolnień, zwłaszcza wobec klientów o słabszej pozycji negocjacyjnej.
Brak precyzyjnych definicji w rozporządzeniu (np. pojęć „większość głównych cech”, „ograniczony czas”) może prowadzić do niejednoznacznych interpretacji.
Dlatego tak istotne jest, by:
- stosować zwolnienia tylko w uzasadnionych przypadkach,
- dokumentować przyczyny ich użycia,
- i przekazywać klientowi pełną informację o skutkach zwolnienia.
5.4 Ocena regulacji
Rozwiązania przyjęte w art. 31 DA zasługują generalnie na aprobatę – sprzyjają rozwojowi innowacyjnych i spersonalizowanych usług IT.
Z drugiej jednak strony, brak szczegółowych wytycznych może powodować niepewność prawną.
Ustawodawca unijny pozostawił dużą swobodę interpretacyjną, co w dłuższej perspektywie może wymagać doprecyzowania przez akty wykonawcze lub orzecznictwo.
6. Wnioski końcowe i praktyczne wskazówki dla dostawców usług IT
6.1 Znaczenie art. 31 Data Act w praktyce gospodarczej
Art. 31 Data Act jest jednym z najbardziej praktycznych i jednocześnie najbardziej elastycznych przepisów rozporządzenia.
Pozwala dostawcom usług przetwarzania danych:
- dostosować zakres obowiązków do charakteru konkretnej usługi,
- unikać nadmiernych obciążeń przy usługach w fazie rozwoju lub spersonalizowanych,
- a jednocześnie utrzymać przejrzystość i zaufanie w relacjach z klientami.
Jest to szczególnie ważne dla:
- software house’ów tworzących rozwiązania na zamówienie,
- dostawców infrastruktury chmurowej (IaaS, PaaS, SaaS),
- integratorów systemów danych,
- oraz firm wdrażających usługi w fazie pilotażu lub testów.
6.2 Dobre praktyki w zakresie stosowania zwolnień
Aby stosowanie zwolnień z art. 31 DA było bezpieczne i zgodne z prawem, warto wdrożyć w organizacji następujące rozwiązania:
✔ 1. Procedura kwalifikacji usług
Każda nowa lub istniejąca usługa powinna zostać oceniona pod kątem:
- stopnia indywidualizacji,
- obecności w katalogu ofertowym,
- celu świadczenia (komercyjny vs testowy).
Na tej podstawie zespół prawny lub compliance decyduje, czy usługa może korzystać z częściowego lub całkowitego zwolnienia.
✔ 2. Dokumentacja decyzji
Dla każdej usługi zwolnionej należy prowadzić dokumentację uzasadniającą zastosowanie art. 31 DA – najlepiej w formie arkusza lub rejestru, zawierającego:
- nazwę usługi,
- datę rozpoczęcia i zakończenia fazy testowej (jeśli dotyczy),
- podstawę prawną zwolnienia,
- wskazanie, z których obowiązków dostawca jest zwolniony,
- podpis osoby zatwierdzającej decyzję.
✔ 3. Klauzula informacyjna w umowie
W umowie z klientem powinna znaleźć się wyraźna klauzula, np.:
„Dostawca informuje, że niniejsza usługa przetwarzania danych korzysta ze zwolnienia na podstawie art. 31 ust. 1 Data Act. W związku z tym nie mają zastosowania obowiązki określone w art. 23 lit. d, art. 29 oraz art. 30 ust. 1 i 3 Data Act.”
Dzięki temu klient jest poinformowany, a dostawca posiada dowód spełnienia obowiązku informacyjnego.
✔ 4. Audyt okresowy
Raz w roku lub przy wprowadzeniu nowej oferty warto przeprowadzać audyt wewnętrzny, weryfikujący:
- czy przesłanki zwolnień nadal istnieją,
- czy dana usługa nie została już wprowadzona do katalogu komercyjnego,
- oraz czy obowiązek informacyjny był realizowany prawidłowo.
6.3 Korzyści i ryzyka stosowania zwolnień
Korzyści:
- elastyczność regulacyjna,
- zmniejszenie kosztów wdrożenia obowiązków interoperacyjności,
- szybsze uruchamianie innowacyjnych rozwiązań,
- możliwość indywidualnego dostosowania modelu współpracy z klientem.
Ryzyka:
- błędna kwalifikacja usługi (np. jako testowej),
- brak dokumentacji dowodowej,
- nieprzekazanie informacji klientowi przed zawarciem umowy,
- potencjalne zarzuty obejścia przepisów Data Act.
Dlatego stosowanie zwolnień wymaga ścisłej dyscypliny organizacyjnej i świadomego zarządzania zgodnością.
6.4 Ostateczna ocena przepisów
Z perspektywy praktyki rynkowej rozwiązania przyjęte w art. 31 DA zasługują na ostrożną aprobatę.
Umożliwiają dostawcom IT działanie w ramach prawa przy zachowaniu efektywności i innowacyjności.
Jednocześnie brak doprecyzowanych definicji i wytycznych w rozporządzeniu oraz w jego motywach powoduje, że każdy przypadek należy analizować indywidualnie.
W dłuższej perspektywie można oczekiwać, że Komisja Europejska lub krajowe organy nadzoru opracują dodatkowe wyjaśnienia interpretacyjne, ułatwiające jednolite stosowanie przepisów w całej Unii Europejskiej.
Podstawa prawna
- art. 7 ust. 1 – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
- art. 15 ust. 2 – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
- art. 20 ust. 1 – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
- art. 23 lit. d – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
- art. 29 – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
- art. 30 ust. 1–3 – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
- art. 31 – Rozporządzenie (UE) 2023/2854 w sprawie danych (Data Act)
Tematy zawarte w poradniku
- zwolnienia dostawców usług przetwarzania danych z obowiązków Data Act,
- częściowe i całkowite wyłączenie z rozdziału VI Data Act,
- obowiązek informacyjny wobec klientów przy usługach chmurowych,
- wersje testowe i customowe usług przetwarzania danych,
- praktyczne zastosowanie art. 31 Data Act przez firmy IT,
- ryzyka i dobre praktyki w dokumentowaniu zwolnień.
Linki do źródeł
- https://eur-lex.europa.eu – pełny tekst Rozporządzenia (UE) 2023/2854 (Data Act)
- https://sejm.gov.pl – oficjalne publikacje aktów prawnych