Data Act i dane z urządzeń IoT: prawa użytkownika, niezależny serwis i tajemnica przedsiębiorstwa

Odpowiedź w skrócie

Data Act nie ustanawia własności wszystkich danych zapisanych w urządzeniu. Przyznaje jednak użytkownikowi produktu skomunikowanego prawo dostępu do danych z produktu i usługi powiązanej oraz możliwość przekazania ich wybranemu odbiorcy. Zasadnicze przepisy stosuje się od 12 września 2025 r. Obowiązek projektowania dostępności danych wynikający z art. 3 ust. 1 obejmuje produkty i usługi wprowadzone na rynek po 12 września 2026 r. Ochrona tajemnicy przedsiębiorstwa, danych osobowych i bezpieczeństwa nadal obowiązuje, lecz nie uzasadnia dowolnego blokowania praw użytkownika.

Użytkownik, producent i posiadacz danych

Rozporządzenie (UE) 2023/2854 obejmuje między innymi producentów produktów skomunikowanych, dostawców usług powiązanych i posiadaczy danych. Użytkownikiem może być osoba fizyczna lub prawna będąca właścicielem produktu albo korzystająca z niego na podstawie umowy, w tym leasingobiorca maszyny. Użytkownikiem jest również korzystający z usługi powiązanej. Posiadaczem danych nie musi być producent: czasem jest nim operator systemu lub usługodawca. Ustalenie tych ról jest pierwszym krokiem przy konstruowaniu żądania. Umowa sprzedaży, leasingu i regulamin platformy mogą mieć znaczenie dowodowe, ale nie mogą dowolnie eliminować uprawnień wynikających z rozporządzenia.

Dane z produktu i granice obowiązku

Prawo dotyczy danych z produktu skomunikowanego i usługi powiązanej, w szczególności danych łatwo dostępnych oraz metadanych koniecznych do ich interpretacji. W praktyce chodzi o odczyty czujników, temperatury, drgań, poziomu energii, przebiegu pracy czy przestojów. Trzeba je odróżnić od wyników złożonych analiz opracowanych przez producenta, takich jak autorskie modele prognostyczne. Nie można wywodzić z Data Act automatycznego roszczenia o wydanie kodu źródłowego, algorytmów, całej dokumentacji technologicznej lub know-how. Z drugiej strony posiadacz danych nie może uznać wszystkich surowych odczytów za własność intelektualną i w ten sposób wyłączyć ustawowego dostępu. Decyduje kwalifikacja konkretnych informacji.

Dostęp bezpośredni a dostęp na wniosek

Artykuł 3 ust. 1 przewiduje projektowanie produktów i usług tak, by dane były domyślnie łatwo i bezpiecznie dostępne dla użytkownika, bezpłatnie, w formacie ustrukturyzowanym i nadającym się do odczytu maszynowego. Bezpośredni dostęp jest wymagany tam, gdzie jest to stosowne i technicznie wykonalne. Jeżeli użytkownik nie ma takiej możliwości, art. 4 ust. 1 nakazuje posiadaczowi udostępnić dane łatwo dostępne wraz z metadanymi bez zbędnej zwłoki, bezpłatnie i w jakości odpowiadającej danym dostępnym posiadaczowi. W odpowiednich przypadkach powinno to następować w sposób ciągły i w czasie rzeczywistym. Zwykłe przesłanie ogólnego raportu PDF może nie spełniać wymogu formatu.

Daty stosowania i starsze urządzenia

Rozporządzenie stosuje się zasadniczo od 12 września 2025 r. Art. 50 ustanawia jednak szczególny termin dla obowiązku projektowego z art. 3 ust. 1: dotyczy on produktów skomunikowanych i usług powiązanych wprowadzonych na rynek po 12 września 2026 r. Nie oznacza to, że użytkownicy starszych produktów są automatycznie pozbawieni praw z art. 4 i 5. W każdej sprawie należy oddzielić obowiązek zaprojektowania nowego produktu od obowiązku udostępnienia danych już posiadanych. Dodatkowe przepisy o zmianie dostawcy usług przetwarzania danych mają własne terminy. Projekty późniejszych zmian unijnego prawa cyfrowego nie są tożsame z prawem obowiązującym w listopadzie 2026 r.

Jak sformułować żądanie

Skuteczny wniosek powinien oznaczać urządzenie, numer seryjny, okres eksploatacji, rodzaje danych i pożądany sposób transferu. Można wskazać konieczność regularnego przesyłania telemetrii do systemu użytkownika. Posiadacz danych powinien ocenić każdy element żądania i przedstawić uzasadnienie ewentualnych ograniczeń. Nie musi tworzyć danych, które nie istnieją, ani ujawniać odrębnych wyników złożonej analizy tylko dlatego, że bazują na odczytach. Nie powinien jednak odmawiać wydania wszystkich informacji z powodu jednego spornego parametru. Dla celów dowodowych warto zachować opis interfejsu, potwierdzenie wniosku, korespondencję oraz zestawienie danych faktycznie przekazanych.

Przekazanie danych niezależnemu serwisowi

Artykuł 5 pozwala użytkownikowi żądać udostępnienia danych wybranej osobie trzeciej, na przykład niezależnemu serwisowi maszyn, integratorowi albo dostawcy analityki. Dane mają być przekazane bez zbędnej zwłoki, bezpiecznie i w odpowiednim formacie. Użytkownik nie ponosi opłaty za wykonanie tego prawa. W stosunkach między przedsiębiorcami posiadacz danych i odbiorca mogą jednak uzgodnić rekompensatę zgodnie z art. 8 i 9; bezpłatność dla użytkownika nie oznacza więc bezpłatności każdej relacji B2B. Przedsiębiorstwo wyznaczone jako strażnik dostępu na podstawie DMA nie kwalifikuje się jako uprawniona osoba trzecia w rozumieniu art. 5 ust. 3.

Obowiązki odbiorcy danych

Osoba trzecia nie otrzymuje nieograniczonej licencji na eksploatację informacji. Z art. 6 wynika obowiązek wykorzystania danych do celów i na warunkach uzgodnionych z użytkownikiem, przestrzegania ograniczeń dalszego przekazywania i usunięcia danych, gdy nie są już potrzebne do ustalonego celu. Odbiorca nie może wykorzystywać danych do opracowania produktu skomunikowanego konkurującego z produktem źródłowym. Musi również respektować bezpieczeństwo i ochronę tajemnic przedsiębiorstwa. Umowa z niezależnym serwisem powinna zatem wskazywać cel diagnostyczny, okres przechowywania, uprawnionych pracowników, podwykonawców, sposób usunięcia danych oraz środki ochrony. Ogólne upoważnienie do dowolnej komercjalizacji telemetrii byłoby ryzykowne.

Dane osobowe i pierwszeństwo RODO

Dane z urządzenia mogą jednocześnie dotyczyć konkretnego człowieka. Lokalizacja pojazdu służbowego pozwala niekiedy ustalić trasę kierowcy, a pomiary z urządzenia medycznego mogą ujawniać dane o zdrowiu. Data Act nie uchyla RODO i nie stanowi samodzielnego zezwolenia na dowolne ujawnienie danych osobowych. Jeżeli użytkownik nie jest osobą, której dane dotyczą, potrzebna jest właściwa podstawa przetwarzania z art. 6 RODO, a przy danych szczególnych także spełnienie warunków art. 9. Należy rozdzielić role administratora i podmiotu przetwarzającego oraz zbadać cel, retencję i minimalizację. W niektórych sytuacjach właściwe będzie ograniczenie zakresu danych lub pseudonimizacja, a nie całkowita odmowa.

Tajemnica przedsiębiorstwa i odmowa

Artykuły 4 ust. 6–9 i 5 ust. 9–12 przewidują ochronę tajemnic przedsiębiorstwa. Posiadacz danych powinien wskazać konkretne chronione informacje i uzgodnić proporcjonalne zabezpieczenia, w tym poufność i kontrolę dostępu. Brak zabezpieczeń albo ich naruszenie może uzasadniać wstrzymanie lub zawieszenie udostępniania danych chronionych. Wyjątkowa odmowa wymaga wykazania obiektywnymi dowodami wysokiego prawdopodobieństwa poważnej szkody gospodarczej pomimo środków ochronnych. Rozporządzenie wymaga uzasadnienia i powiadomienia właściwego organu. Sama pieczęć „tajemnica przedsiębiorstwa” na pliku nie przesądza o odmowie. Jednocześnie ustawowe prawo do telemetrii nie daje podstaw do wymuszania ujawnienia całej receptury lub kodu systemu.

Bezpieczeństwo i wyjątki dla mniejszych firm

Data Act dopuszcza ograniczenia związane z bezpieczeństwem produktu, jeżeli udostępnienie danych mogłoby naruszać wymagania bezpieczeństwa określone w prawie i powodować poważne negatywne skutki dla zdrowia lub bezpieczeństwa osób. Ogólne hasło o cyberzagrożeniach nie wystarcza do wykazania tych przesłanek. Artykuł 7 przewiduje szczególne wyłączenia dotyczące produktów i usług mikro- oraz małych przedsiębiorstw, pod warunkiem spełnienia dodatkowych kryteriów odnoszących się do powiązań kapitałowych i podwykonawstwa. W odniesieniu do określonych średnich przedsiębiorstw działają rozwiązania przejściowe. Dlatego przy analizie trzeba ustalić status podmiotu i relacje z większą grupą, zamiast stosować jeden model do wszystkich producentów.

Kontrola odmowy i ścieżka sporu

Spór może dotyczyć kwalifikacji danych, ich formatu, ochrony tajemnicy, podstawy przetwarzania danych osobowych albo zakresu technicznie wykonalnego dostępu. Przed wyborem środka prawnego należy zabezpieczyć wniosek, odpowiedź, regulamin, dokumentację urządzenia i informacje o faktycznie istniejących interfejsach. W przypadkach odmowy na podstawie bezpieczeństwa lub tajemnicy Data Act przewiduje kontrolę przez właściwy organ, możliwość skargi, uzgodnione rozstrzyganie sporu oraz drogę sądową. Właściwość konkretnego organu wymaga sprawdzenia krajowych regulacji organizacyjnych. Nie należy mieszać roszczenia użytkownika o udostępnienie danych z rozliczeniem finansowym między posiadaczem danych a komercyjnym odbiorcą.

Kazus: telemetria obrabiarek

Zakład produkcyjny korzysta z pięciu obrabiarek. Producent gromadzi temperatury, drgania i informacje o przestojach, a użytkownik chce udostępnić te odczyty niezależnemu serwisowi predykcyjnemu. Producent twierdzi, że wszystkie dane należą do jego własności intelektualnej. Taka odpowiedź nie rozstrzyga sprawy. Trzeba ustalić, które informacje są danymi łatwo dostępnymi, kto jest posiadaczem, czy zachodzą wyjątki z art. 7 oraz czy potrzebne są zabezpieczenia tajemnicy. Użytkownik może domagać się odpowiednich serii pomiarowych i metadanych, ale nie ma automatycznego prawa do kodu algorytmu diagnostycznego. Odbiorca powinien ograniczyć wykorzystanie danych do uzgodnionej usługi.

Checklista, typowy błąd i wniosek

Przed żądaniem należy ustalić status użytkownika i posiadacza danych, oznaczyć urządzenie i datę jego wprowadzenia na rynek, oddzielić odczyty od autorskich analiz, określić format transferu, sprawdzić RODO oraz uzgodnić poufność i bezpieczeństwo. Producent powinien posiadać procedurę obsługi wniosków i udokumentowanego rozstrzygania odmów. Typowym błędem jest utożsamienie prawa dostępu z przeniesieniem praw do oprogramowania albo traktowanie prawa autorskiego jako całkowitej blokady dostępu. Odrębnie analizujemy zmianę dostawcy chmury na podstawie Data Act i monitoring GPS w świetle RODO. W razie sporu zasadne jest zbadanie umowy, danych i architektury technicznej przed sformułowaniem roszczeń.

Podstawy prawne

Rozporządzenie (UE) 2023/2854 (Data Act), art. 1–10, 37 i 50; rozporządzenie (UE) 2016/679 (RODO), art. 6 i 9. Stan prawny: 1 listopada 2026 r.