11 stycznia 2024 r., dwadzieścia dni po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej, weszło w życie unijne rozporządzenie o ochronie danych (UE) 2023/2854. Rozporządzenie stosuje się od 12 września 2025 r. Przepisy te nakładają fundamentalne nowe obowiązki na producentów produktów sieciowych i dostawców powiązanych usług, wpływając na szeroki wachlarz sektorów: od przemysłu wytwórczego i energetycznego po opiekę zdrowotną i przemysł motoryzacyjny. Każdy, kto generuje, przetwarza lub wykorzystuje dane w kontekście biznesowym, powinien z odpowiednim wyprzedzeniem zapoznać się z zakresem tych przepisów.
Co reguluje ustawa o danych?
Ustawa o danych stanowi część europejskiej strategii w zakresie danych, której celem jest wzmocnienie pozycji konkurencyjnej Europy w gospodarce opartej na danych. Rozporządzenie określa zasady dostępu do danych generowanych w wyniku korzystania z produktów lub usług oraz warunki, na jakich dane te muszą być udostępniane. Nie dotyczy to ogólnego prawa do wszystkich danych, lecz raczej ram obejmujących sześć szczegółowych obszarów: dostęp użytkowników do danych o produktach i usługach, udostępnianie danych B2B na uczciwych zasadach, dostęp publiczny w przypadkach wyjątkowej potrzeby, przełączanie między usługami przetwarzania danych, ochrona przed międzynarodowym dostępem rządowym do danych nieosobowych oraz interoperacyjność.
Obowiązki przedsiębiorstw: projektowanie produktów
Produkty podłączone do sieci muszą być projektowane i wytwarzane w taki sposób, aby generowane dane były domyślnie łatwo, bezpiecznie, bezpłatnie i w formacie nadającym się do odczytu maszynowego, bezpośrednio dostępne dla użytkownika. Użytkownicy produktów podłączonych do sieci – takich jak inteligentne urządzenia domowe, maszyny przemysłowe czy pojazdy – nabywają w ten sposób prawo dostępu do danych generowanych podczas korzystania z produktu. Producenci i dostawcy usług nie mogą już przechowywać tych danych wyłącznie dla siebie.
Co ważne, obowiązek ten wchodzi w życie etapami. Chociaż ustawa o danych jako całość obowiązuje od 12 września 2025 r., obowiązek projektowania i produkcji produktów podłączonych do sieci dotyczy wyłącznie produktów wprowadzonych do obrotu po 12 września 2026 r. W związku z tym istniejące produkty nie są jeszcze objęte tym obowiązkiem.
Uczciwe warunki udostępniania danych B2B
Rozporządzenie zawiera szczegółowe przepisy dotyczące postanowień umownych w umowach o świadczenie usług transmisji danych B2B . Postanowienie jednostronnie narzucone przez jedną ze stron drugiej nie wiąże drugiej strony, jeśli jest nieuczciwe. Postanowienie uznaje się za narzucone jednostronnie, jeżeli pomimo prób negocjacji druga strona nie była w stanie wpłynąć na jego treść. Ciężar udowodnienia tego spoczywa na stronie, która je wprowadziła.
Postanowienie jest nieuczciwe, jeżeli jego stosowanie rażąco odbiega od dobrych obyczajów handlowych i jest sprzeczne z dobrą wiarą i uczciwym obrotem. Rozporządzenie podaje przykładowo postanowienia, które wyłączają odpowiedzialność za umyślne działanie lub rażące niedbalstwo, uniemożliwiają drugiej stronie korzystanie z własnych danych, zezwalają na jednostronne rozwiązanie umowy w nierozsądnie krótkim terminie lub pozwalają na jednostronne wprowadzenie istotnych zmian cen lub innych istotnych zmian. Konsekwencją prawną jest to, że nieuczciwe postanowienie nie wiąże drugiej strony, podczas gdy pozostałe postanowienia umowne pozostają w mocy, o ile jest ono rozdzielne.
Współdziałanie z RODO
Ustawa o ochronie danych osobowych (Data Act) obowiązuje równolegle z ogólnym rozporządzeniem o ochronie danych (RODO), ale istnieje między nimi istotna współzależność. Rozporządzenie obejmuje również dane osobowe, ale nie oddziela ich od przepisów o ochronie danych. Jeżeli użytkownik nie jest osobą, której dane osobowe są żądane, dane te mogą zostać udostępnione wyłącznie w przypadku istnienia ważnej podstawy prawnej w rozumieniu art. 6 RODO. Ustawa o ochronie danych osobowych nie tworzy zatem samodzielnego wyjątku od RODO: dostęp do danych na mocy ustawy o ochronie danych osobowych nie zwalnia stron z ich obowiązków wynikających z RODO ani nie stanowi podstawy do dalszego przechowywania lub ponownego wykorzystywania udostępnionych danych poza celem, dla którego zostały uzyskane.
Przenośność i przełączanie w chmurze
Odrębny rozdział nakłada na dostawców usług przetwarzania danych obowiązek ułatwienia przejścia na innego dostawcę. Nie mogą oni narzucać klientom żadnych przeszkód przedkomercyjnych, handlowych, technicznych, umownych ani organizacyjnych, które utrudniałyby im przejście. Od 12 stycznia 2027 r. dostawcy usług przetwarzania danych nie będą mogli pobierać od klientów żadnych opłat za przejście. Faktyczne przeniesienie danych i konfiguracji musi nastąpić bez zbędnej zwłoki, a w żadnym wypadku nie po upływie obowiązkowego okresu przejściowego wynoszącego maksymalnie trzydzieści dni. Dla organizacji silnie zależnych od jednego dostawcy usług w chmurze daje to nową siłę negocjacyjną przy odnawianiu lub renegocjacji umów.
Dostęp publiczny w przypadkach wyjątkowej potrzeby
Rozporządzenie daje organom sektora publicznego możliwość, pod ściśle określonymi warunkami, żądania dostępu do danych prywatnych w przypadkach wyjątkowej potrzeby – takich jak stan wyjątkowy. W takim przypadku podmioty, które nie są mikroprzedsiębiorstwami ani małymi przedsiębiorstwami, są zobowiązane do bezpłatnego udostępnienia niezbędnych danych. W innych przypadkach wyjątkowej potrzeby podmiotowi, któremu przysługują prawa do godziwej rekompensaty, przysługuje prawo do godziwej rekompensaty. Uprawnienie to podlega zasadom proporcjonalności i pomocniczości określonym w rozporządzeniu.
Egzekwowanie prawa w Holandii
W Holandii egzekwowanie przepisów zostało wpisane do prawa poprzez Ustawę o wdrażaniu ustawy o danych (Uitvoeringswet dataverordening). Holenderski Urząd ds. Konsumentów i Rynków (ACM) jest organem właściwym w zakresie większości przepisów Rozporządzenia, w tym rozdziałów dotyczących danych produktowych, udostępniania danych B2B i przenoszenia danych w chmurze. Holenderski Urząd Ochrony Danych (AP) jest właściwy w zakresie elementów wrażliwych pod względem prywatności oraz przetwarzania danych osobowych w ramach niektórych artykułów i Rozdziału V. Oba organy mogą podejmować działania egzekucyjne w swojej dziedzinie, wydając nakaz podlegający karze pieniężnej lub grzywnie administracyjnej. Ustawa o wdrażaniu przewiduje również porozumienie w sprawie współpracy i wymiany informacji między ACM a AP, tak aby oba organy nadzoru mogły działać w skoordynowany sposób w kwestiach, które się pokrywają.
Co to oznacza w praktyce?
Firmy opracowujące, importujące lub dystrybuujące produkty sieciowe powinny już teraz dokonać przeglądu projektu i struktury umownej swoich produktów pod kątem zgodności z Ustawą o Danych. W przypadku produktów wprowadzanych na rynek po 12 września 2026 r. obowiązek zapewnienia projektu i dostępności ma pełne zastosowanie. Dostawcy usług przetwarzający dane w imieniu użytkowników powinni przeanalizować, które obowiązki dotyczące udostępniania danych ich dotyczą i czy istniejące umowy – w tym jednostronnie sporządzone klauzule dotyczące danych – są z nimi zgodne.
Ci, którzy czekają na rozpoczęcie egzekwowania przepisów, ryzykują pozostanie w tyle. Dostosowanie produktów, usług i umów do nowych przepisów z odpowiednim wyprzedzeniem to nie tylko kwestia zgodności , ale także szansa: firmy oferujące swoim klientom przejrzystość i dostęp do danych wyróżniają się na rynku, który coraz bardziej krytycznie podchodzi do sposobu, w jaki firmy przetwarzają dane.
Masz pytania dotyczące wpływu unijnej ustawy o ochronie danych na Twoją firmę lub umowy? Prawnicy z Law & More Z przyjemnością Ci pomożemy.
Najczęściej zadawane pytania
Czy ustawa o ochronie danych ma już zastosowanie do moich istniejących podłączonych produktów?
Rozporządzenie wchodzi w życie z dniem 12 września 2025 r., ale obowiązek projektowania produktów podłączonych do sieci w taki sposób, aby dane były dostępne dla użytkowników, dotyczy wyłącznie produktów wprowadzonych do obrotu po 12 września 2026 r. Produkty, które pojawiły się na rynku przed tą datą, nie są jeszcze objęte rozporządzeniem. Producenci i importerzy powinni jednak dostosować swoje produkty do nowych wymogów już teraz, aby przyszłe produkty były zgodne z przepisami po wprowadzeniu ich na rynek.
Co powinienem zrobić, jeśli moja umowa dotycząca danych zawiera klauzule ograniczające dostęp do danych?
Zgodnie z Ustawą o ochronie danych, postanowienia umowne narzucone jednostronnie i uniemożliwiające drugiej stronie korzystanie z jej własnych danych mogą zostać uznane za nieuczciwe, a zatem niewiążące. Wskazane jest sprawdzenie istniejących umów dotyczących danych pod kątem takich klauzul. Ciężar udowodnienia, że warunek nie został narzucony jednostronnie, spoczywa na stronie, która go uwzględniła. Wczesna renegocjacja jest zazwyczaj skuteczniejsza niż czekanie, aż druga strona powoła się na przepisy Rozporządzenia.
Czy mogę udostępniać dane osobowe na mocy Ustawy o ochronie danych bez podstawy prawnej RODO?
Nie. Ustawa o ochronie danych osobowych nie stanowi samodzielnej podstawy do ujawniania danych osobowych. Jeżeli użytkownik nie jest osobą, której dane osobowe są żądane, dane te mogą zostać udostępnione wyłącznie w przypadku istnienia ważnej podstawy prawnej wynikającej z art. 6 RODO. Ponadto dostęp do danych na mocy Ustawy o ochronie danych osobowych nie stanowi podstawy do dalszego przechowywania lub ponownego wykorzystywania ujawnionych danych osobowych poza pierwotnym celem. Zgodność z RODO i Ustawą o ochronie danych osobowych musi zatem być zapewniona jednocześnie.
Czy jako dostawca usług w chmurze nadal mogę pobierać opłaty za przełączanie?
Od 12 stycznia 2027 r. dostawcy usług przetwarzania danych nie mogą pobierać od klientów opłat za przeniesienie. Ponadto, od 12 września 2025 r. nie mogą być nakładane żadne przeszkody techniczne, umowne ani organizacyjne utrudniające przeniesienie. Faktyczne przeniesienie danych po przeniesieniu musi również nastąpić bez zbędnej zwłoki i zostać zakończone najpóźniej w ciągu trzydziestodniowego okresu przejściowego. Obowiązujące umowy przewidujące dłuższe okresy obowiązywania lub opłaty za przeniesienie wymagają weryfikacji.
Który organ nadzorczy jest właściwy do egzekwowania ustawy o ochronie danych w Holandii?
Egzekwowanie przepisów jest podzielone między holenderski Urząd ds. Konsumentów i Rynków (ACM) a holenderski Urząd Ochrony Danych Osobowych (AP). ACM jest właściwy w zakresie większości przepisów Rozporządzenia, w tym przepisów dotyczących danych produktowych, udostępniania danych B2B i przenoszenia danych w chmurze. AP jest właściwy w zakresie elementów wrażliwych pod względem prywatności oraz przetwarzania danych osobowych w określonych artykułach i rozdziale V. Oba organy mogą nałożyć nakaz podlegający karze pieniężnej lub grzywnie administracyjnej. Od takich decyzji przysługują standardowe środki odwoławcze przewidziane w prawie administracyjnym, w tym sprzeciw, odwołanie i środki tymczasowe.
Czy ustawa o danych ma zastosowanie również do małych przedsiębiorstw?
Rozporządzenie wprowadza rozróżnienie w zależności od wielkości przedsiębiorstwa w kilku kwestiach. Na przykład, mikroprzedsiębiorstwa i małe przedsiębiorstwa są zwolnione z obowiązku bezpłatnego udostępniania danych w przypadku wniosków o udostępnienie danych w sytuacjach kryzysowych; w takich przypadkach przysługuje im godziwe wynagrodzenie. W przypadku pozostałych obowiązków – w tym obowiązku dostępności produktów sieciowych i testu uczciwości warunków B2B – nie ma ogólnego zwolnienia dla małych i średnich przedsiębiorstw. W związku z tym również mniejsi dostawcy produktów sieciowych lub usług w chmurze muszą odpowiednio wcześnie dostosować swoją działalność do Rozporządzenia.
