Dyrektor IT firmy produkcyjnej przegląda umowę z dostawcą chmury przed odnowieniem: trzy miesiące wypowiedzenia, eksport danych „na warunkach uzgodnionych”, opłata za transfer liczona od gigabajta. W tym samym tygodniu kierownik utrzymania ruchu prosi o surowe dane z czujników sprężarek, bo chce sam przewidywać awarie. Producent odpowiada, że dane są dostępne wyłącznie w jego portalu.
Obie sytuacje opisuje jedno rozporządzenie. Data Act, czyli akt w sprawie danych, daje użytkownikom urządzeń skomunikowanych prawo do danych, które te urządzenia wytwarzają, a klientom chmury prawo do zmiany dostawcy w określonym czasie. Dla CISO to nie tylko temat dla prawników: każde prawo do danych otwiera nowy interfejs, a każda migracja zmienia mapę ryzyka, więc akt dotyka także cyberbezpieczeństwa.
Czym jest Data Act i od kiedy obowiązuje?
Data Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z 13 grudnia 2023 r. o sprawiedliwym dostępie do danych i ich wykorzystywaniu. Opublikowano je w Dzienniku Urzędowym UE 22 grudnia 2023 r., a weszło w życie dwudziestego dnia po publikacji, czyli 11 stycznia 2024 r. Jako rozporządzenie stosuje się bezpośrednio, bez ustawy wdrażającej.
Stan na 13 września 2026 r. Harmonogram z art. 50 ma cztery daty:
- 12 września 2025 r. — rozporządzenie stosuje się w całości, w tym przepisy o zmianie dostawcy chmury;
- 12 września 2026 r. — obowiązek projektowania z art. 3 ust. 1 obejmuje produkty skomunikowane wprowadzone na rynek po tym dniu;
- 12 stycznia 2027 r. — koniec opłat za samą procedurę zmiany dostawcy (art. 29 ust. 1);
- 12 września 2027 r. — przepisy o nieuczciwych postanowieniach umownych (rozdział IV) obejmują też umowy zawarte do 12 września 2025 r., jeśli zawarto je na czas nieokreślony albo wygasają co najmniej 10 lat po 11 stycznia 2024 r.
Tekst nie był dotąd zmieniany: baza CELLAR zawiera dla niego jedną wersję skonsolidowaną, z 22 grudnia 2023 r.
Kogo dotyczy akt w sprawie danych?
Dla firmy korzystającej z chmury i urządzeń najważniejsze są role z art. 1 ust. 3: producent produktu skomunikowanego, dostawca usługi powiązanej, posiadacz danych, użytkownik i dostawca usług przetwarzania danych, czyli chmury. Jedna organizacja występuje często w kilku naraz. Firma z przykładu jest użytkownikiem sprężarek i klientem chmury, a sprzedając własne urządzenia z telemetrią, staje się też producentem.
Produkt skomunikowany (art. 2 pkt 5) to rzecz, która generuje dane o swoim wykorzystaniu lub otoczeniu i potrafi je przekazać, a jej podstawową funkcją nie jest przechowywanie ani przesyłanie danych w cudzym imieniu. Motyw 14 podaje przykłady: pojazdy, sprzęt domowy, wyroby medyczne, maszyny rolnicze i przemysłowe, czyli urządzenia określane jako Internet rzeczy (IoT). Usługa powiązana (art. 2 pkt 6) to oprogramowanie, bez którego urządzenie nie wykonałoby którejś funkcji, na przykład aplikacja sterująca.
Usługa przetwarzania danych (art. 2 pkt 8) daje sieciowy dostęp na żądanie do skalowalnych zasobów obliczeniowych, a motyw 81 wymienia trzy modele: IaaS, PaaS i SaaS. Przepisy o zmianie dostawcy obejmują więc także aplikacje SaaS, z których firma korzysta na co dzień.
Art. 7 wyłącza obowiązki udostępniania danych z rozdziału II wobec produktów i usług powiązanych mikro- i małych przedsiębiorstw, o ile nie mają one przedsiębiorstw partnerskich ani powiązanych spoza tej kategorii. Wyjątek chroni małego producenta, a nie małego klienta.
Co Data Act zmienia dla firm korzystających z urządzeń IoT?
Dane z urządzenia przestają być wyłączną domeną producenta. Art. 3 ust. 1 wymaga, by produkty skomunikowane były projektowane tak, aby dane z produktu i usługi powiązanej, wraz z metadanymi potrzebnymi do ich interpretacji, były domyślnie łatwo, bezpiecznie i bezpłatnie dostępne dla użytkownika w formacie nadającym się do odczytu maszynowego. Obowiązek dotyczy produktów wprowadzonych na rynek po 12 września 2026 r.
Dla urządzeń, które już pracują, liczą się dwa inne przepisy. Art. 4 ust. 1 nakazuje posiadaczowi danych udostępnić użytkownikowi dane łatwo dostępne bez zbędnej zwłoki, nieodpłatnie i w tej samej jakości, jaką ma sam, gdy użytkownik nie może sięgnąć po nie bezpośrednio. Art. 5 ust. 1 pozwala zażądać przekazania tych danych wskazanej osobie trzeciej, na przykład firmie serwisowej.
Zmienia się też moment zakupu. Przed zawarciem umowy sprzedaży, najmu lub leasingu sprzedawca musi podać m.in. rodzaj, format i szacunkową ilość danych, które urządzenie wytwarza, oraz sposób ich pobrania lub usunięcia (art. 3 ust. 2). Te informacje warto dopisać do kryteriów zakupowych.
Najważniejsze:
- Data Act stosuje się od 12 września 2025 r.; zasada „dane dostępne domyślnie” obejmuje produkty wprowadzone na rynek po 12 września 2026 r.
- Użytkownik może żądać danych dla siebie (art. 4) albo dla wskazanej osoby trzeciej (art. 5).
- Przed zakupem sprzedawca opisuje, jakie dane urządzenie wytwarza i jak je pobrać (art. 3 ust. 2).
Jak wygląda zmiana dostawcy chmury według Data Act?
Zmiana dostawcy przebiega według ścieżki, którą umowa musi opisywać na piśmie (art. 25). Okres wypowiedzenia rozpoczynający proces nie może przekraczać dwóch miesięcy, po nim następuje okres przejściowy najwyżej 30 dni kalendarzowych, a potem klient ma co najmniej 30 dni na pobranie danych. Dopiero później dostawca usuwa dane eksportowalne i aktywa cyfrowe klienta.
W okresie przejściowym umowa nadal obowiązuje, a dostawca pomaga klientowi i wskazanym przez niego osobom trzecim, dba o ciągłość usługi i informuje o znanych zagrożeniach dla tej ciągłości (art. 25 ust. 2 lit. a). Jeśli 30 dni jest technicznie niewykonalne, dostawca ma 14 dni roboczych na uzasadnienie i wskazanie okresu zastępczego, nie dłuższego niż siedem miesięcy (art. 25 ust. 4). Klient może raz przedłużyć okres przejściowy według własnych potrzeb (art. 25 ust. 5).
Umowa musi też zawierać specyfikację danych i aktywów, które da się przenieść, oraz danych wyłączonych jako wewnętrzne dane dostawcy (art. 25 ust. 2 lit. e i f), a art. 26 dokłada informację o procedurach i formatach migracji. Te dokumenty są punktem wyjścia do planu wyjścia, bo pokazują, co dostawca zobowiązał się oddać. Procedura obejmuje również powrót do własnej serwerowni, którą akt nazywa lokalną infrastrukturą ICT (art. 2 pkt 33).
Czy dostawca chmury może pobierać opłaty za zmianę dostawcy?
Do 12 stycznia 2027 r. może pobierać wyłącznie obniżone opłaty, a od tego dnia nie może ich pobierać wcale. Art. 29 ust. 2 i 3 pozwalają od 11 stycznia 2024 r. pobierać opłaty z tytułu zmiany dostawcy nieprzekraczające kosztów bezpośrednio związanych z danym procesem zmiany. Art. 29 ust. 1 zakazuje takich opłat od 12 stycznia 2027 r.
Zakaz dotyczy opłat za samą procedurę zmiany. Art. 29 ust. 4 wymienia osobno trzy pozycje, o których dostawca musi poinformować przed zawarciem umowy: standardowe opłaty za usługę, kary za wcześniejsze rozwiązanie umowy i obniżone opłaty za zmianę dostawcy. Przy odnowieniu umowy warto poprosić o nie osobno.
Art. 29 ust. 5 wymaga też informacji o usługach, których zmiana jest wysoce złożona, kosztowna albo niemożliwa bez znacznej ingerencji w dane lub architekturę. Ta lista wskazuje usługi, od których firma uzależnia się najmocniej, czyli te, dla których plan wyjścia trzeba przygotować najwcześniej.
Czym jest równoważność funkcjonalna i kogo obowiązuje?
Równoważność funkcjonalna to przywrócenie w nowej usłudze tego samego typu minimalnego poziomu funkcjonalności, który daje porównywalny wynik dla tych samych danych wejściowych (art. 2 pkt 37). Obowiązek ułatwienia jej osiągnięcia mają wyłącznie dostawcy usług ograniczonych do elementów infrastruktury, takich jak serwery, sieci i zasoby wirtualne (art. 30 ust. 1). Motyw 86 mówi wprost, że nie dotyczy on dostawców innych niż IaaS.
Dostawcy PaaS i SaaS muszą nieodpłatnie udostępniać otwarte interfejsy w równym zakresie wszystkim klientom i dostawcom docelowym (art. 30 ust. 2), a dopóki nie powstaną wspólne specyfikacje interoperacyjności, na wniosek klienta eksportują dane eksportowalne w formacie nadającym się do odczytu maszynowego (art. 30 ust. 5). Eksport danych nie gwarantuje jednak, że reguły i automatyzacje zadziałają u nowego dostawcy bez przeróbek.
Dwa wyłączenia łatwo przeoczyć. Art. 31 ust. 1 zwalnia z części obowiązków, w tym z art. 29, usługi budowane na zamówienie pojedynczego klienta i nieoferowane szeroko z katalogu. Art. 31 ust. 2 wyłącza cały rozdział wobec nieprodukcyjnych wersji testowych świadczonych przez ograniczony czas.
Jak akt w sprawie danych łączy się z cyberbezpieczeństwem?
Akt wpisuje bezpieczeństwo w mechanizmy dostępu do danych i zmiany dostawcy, ale nie zdejmuje z firm obowiązku oceny ryzyka. Dane z urządzenia mają być dostępne „bezpiecznie” (art. 3 ust. 1), posiadacz może umownie ograniczyć dostęp, gdy zagrażałby on wymaganiom bezpieczeństwa produktu i mógłby poważnie wpłynąć na zdrowie lub bezpieczeństwo osób (art. 4 ust. 2), a użytkownikowi nie wolno sięgać po dane, nadużywając luk w infrastrukturze posiadacza (art. 4 ust. 11).
Przy zmianie dostawcy chmury art. 25 ust. 2 lit. a pkt iv wymaga utrzymania wysokiego poziomu bezpieczeństwa przez cały proces, w tym danych podczas przekazywania i w okresie ich zatrzymywania. Art. 30 ust. 6 dodaje, że od dostawcy nie wymaga się działań zagrażających bezpieczeństwu i integralności usług.
Z punktu widzenia CISO ważniejsze jest to, czego przepisy nie mówią. Każde prawo do danych tworzy nowy interfejs: konto w portalu producenta, klucz API dla integratora, plik eksportu zapisany na czyimś dysku. Te punkty warto dopisać do modelu zagrożeń, zanim pierwszy wniosek trafi do producenta, bo prośbę fałszywego „integratora” o dane ze sprężarek trzeba umieć odróżnić od prawdziwej. Migracja między chmurami otwiera z kolei okno, w którym te same dane leżą w dwóch miejscach, a uprawnienia administracyjne są szersze niż zwykle.
Jak Data Act ma się do RODO?
Gdy oba akty ze sobą kolidują, wygrywa RODO. Art. 1 ust. 5 aktu w sprawie danych stanowi, że w razie kolizji pierwszeństwo ma prawo Unii lub prawo krajowe dotyczące ochrony danych osobowych lub prywatności. Data Act obejmuje dane osobowe i nieosobowe, więc dane z samochodu służbowego podlegają obu reżimom naraz.
Prawo do danych z urządzenia nie tworzy podstawy prawnej do przetwarzania danych osobowych. Jeśli użytkownik nie jest osobą, której dane dotyczą, posiadacz udostępnia mu dane osobowe tylko wtedy, gdy istnieje ważna podstawa z art. 6 RODO, a przy danych szczególnych kategorii spełnione są też warunki art. 9 (art. 4 ust. 12). Dla osób, których dane dotyczą, prawa z rozdziału II uzupełniają prawo dostępu i prawo do przenoszenia danych z art. 15 i 20 RODO.
Jakie kary grożą za naruszenie Data Act?
Rodzaj i wysokość kar ustala każde państwo członkowskie (art. 40 ust. 1), a mają one być skuteczne, proporcjonalne i odstraszające. Art. 40 ust. 3 wymienia kryteria wymiaru kary, m.in. wagę naruszenia, działania naprawcze i roczny obrót naruszającego w Unii.
Jeden przypadek rozstrzyga samo rozporządzenie. Za naruszenia obowiązków z rozdziałów II, III i V organy nadzorcze właściwe dla RODO mogą w zakresie swoich kompetencji nakładać kary zgodnie z art. 83 RODO do wysokości z art. 83 ust. 5, czyli do 20 000 000 euro albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa (art. 40 ust. 4).
Uwaga na pułapkę nazewniczą. Ustawa z 27 marca 2026 r. o zarządzaniu danymi (Dz.U. 2026 poz. 548) brzmi jak polski odpowiednik Data Act, ale wykonuje inne rozporządzenie: (UE) 2022/868, czyli akt w sprawie zarządzania danymi (DGA), i nie odwołuje się do aktu w sprawie danych. Właściwy organ i sankcje za naruszenia Data Act trzeba sprawdzić w aktualnym stanie prawa krajowego.
Od czego zacząć przygotowanie firmy do Data Act?
Od ustalenia, w których rolach firma występuje, bo od roli zależą obowiązki i prawa. Tabela porządkuje pierwsze kroki dla czterech ról i wskazuje dowód, że krok wykonano.
| Rola firmy | Co sprawdzić najpierw | Przepis | Dowód wykonania |
|---|---|---|---|
| Użytkownik urządzeń skomunikowanych | Urządzenia z danymi, do których nie masz bezpośredniego dostępu, i kanał wniosków do producentów | art. 3 ust. 2, art. 4 ust. 1, art. 5 ust. 1 | Rejestr urządzeń z kolumną „dostęp do danych: bezpośredni / na wniosek / brak” |
| Producent lub dostawca usługi powiązanej | Czy produkty wprowadzane na rynek po 12 września 2026 r. udostępniają dane domyślnie i bezpiecznie; czy firma mieści się w art. 7 | art. 3 ust. 1, art. 7 | Specyfikacja interfejsu danych z modelem zagrożeń i opisem uwierzytelniania |
| Klient chmury (IaaS, PaaS, SaaS) | Okres wypowiedzenia, okres przejściowy, specyfikacja danych eksportowalnych, opłaty za zmianę dostawcy | art. 25, art. 26, art. 29 | Plan wyjścia dla każdej krytycznej usługi z formatem eksportu i właścicielem migracji |
| Klient usług szytych na miarę | Czy usługa korzysta z wyłączeń z art. 31 i co to oznacza dla opłat | art. 31 ust. 1 i 3 | Informacja dostawcy o obowiązkach, które nie mają zastosowania |
Wszystkie wiersze łączy inwentaryzacja danych i uprawnień: służy zarówno zgodności, jak i bezpieczeństwu, więc warto robić ją raz, wspólnie z zespołem ochrony danych. Plan wyjścia z chmury sprawdza się dopiero w teście: przeniesienie jednej mniej ważnej usługi pokazuje, czy specyfikacja z umowy odpowiada temu, co dostawca faktycznie eksportuje.
Jak nFlo może pomóc przygotować chmurę na zmianę dostawcy?
nFlo pomaga przełożyć prawa z Data Act na architekturę i konfigurację. Stronę umów i zgodności zostawiamy prawnikom, a po stronie infrastruktury zaczynamy od technicznego obrazu: które obciążenia, dane i uprawnienia trzeba przenieść, gdzie leżą i kto ma do nich dostęp.
W ramach usługi Hybrid Cloud prowadzimy inwentaryzację i klasyfikację obciążeń, projektujemy architekturę łączącą chmurę z infrastrukturą lokalną, łączność (VPN, Direct Connect, ExpressRoute) i migrację wybranych obciążeń. Audyt i ochrona środowisk chmurowych obejmuje przegląd uprawnień IAM, przechowywania danych, sieci i logowania według CIS Benchmarks, co przydaje się przed migracją i po niej. Więcej o zabezpieczaniu środowisk chmurowych znajdziesz w bazie wiedzy o bezpieczeństwie chmury.
Przygotowujesz odnowienie umowy z dostawcą chmury albo plan wyjścia? Porozmawiajmy o pierwszym teście migracji.
Co jeszcze warto wiedzieć o Data Act?
Czy Data Act dotyczy małych firm?
Częściowo. Art. 7 wyłącza obowiązki udostępniania danych z rozdziału II wobec produktów i usług powiązanych mikro- i małych przedsiębiorstw. Mała firma jako użytkownik urządzenia albo klient chmury ma jednak takie same prawa jak duża.
Czy po 12 stycznia 2027 r. zmiana dostawcy chmury będzie całkiem bezpłatna?
Nie do końca. Art. 29 ust. 1 zakazuje od tego dnia opłat za samą procedurę zmiany dostawcy. Standardowe opłaty za usługę i kary za wcześniejsze rozwiązanie umowy art. 29 ust. 4 wymienia osobno.
Czy Data Act obejmuje oprogramowanie SaaS?
Tak. Motyw 81 wymienia IaaS, PaaS i SaaS jako modele usług przetwarzania danych. Obowiązek ułatwienia równoważności funkcjonalnej dotyczy jednak tylko usług infrastrukturalnych (art. 30 ust. 1).
Czy producent może odmówić udostępnienia danych z urządzenia?
W ograniczonych przypadkach: ze względu na wymagania bezpieczeństwa produktu (art. 4 ust. 2) albo wyjątkowo dla ochrony tajemnicy przedsiębiorstwa (art. 4 ust. 8). O odmowie posiadacz danych powiadamia właściwy organ.
Czy ustawa o zarządzaniu danymi wdraża Data Act?
Nie. Ustawa z 27 marca 2026 r. o zarządzaniu danymi (Dz.U. 2026 poz. 548) wykonuje rozporządzenie (UE) 2022/868 (DGA) i nie odwołuje się do aktu w sprawie danych, który jako rozporządzenie stosuje się bezpośrednio.
