Prawa z unijnego aktu w sprawie danych (Data Act) obowiązują w Polsce od 12 września 2025 roku, ale w większości spraw skargi na ich łamanie nie ma dziś gdzie złożyć. Nie wyznaczono ogólnego organu, który ją przyjmie i ukarze firmę. Wyjątkiem jest zakres danych osobowych, w którym kompetencje ma już Prezes UODO. Lukę ma zamknąć projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu (UC114), który Rada Ministrów przyjęła 13 października 2026 roku. Nadzór dostanie Prezes Urzędu Komunikacji Elektronicznej. Za naruszenia przewidziano kary do 100 tys. zł, a dla przedsiębiorcy do 4% rocznego obrotu. To wciąż projekt: musi przejść przez Sejm i Senat, a po ogłoszeniu wejdzie w życie po 3 miesiącach. Część zmian przyjdzie wcześniej z samego rozporządzenia. Przykład: 12 stycznia 2027 roku co do zasady znikną opłaty za zmianę dostawcy chmury.
Data Act – co to jest i kogo dotyczy
Data Act to rozporządzenie Unii Europejskiej 2023/2854, które ustala, kto ma dostęp do danych z urządzeń podłączonych do internetu i na jakich zasadach. Po polsku nazywa się aktem w sprawie danych. Jako rozporządzenie działa w każdym kraju UE bezpośrednio, bez ustawy krajowej. Tekst rozporządzenia obejmuje pięć głównych obszarów:
- dostęp użytkownika do danych z produktu skomunikowanego, na przykład samochodu, pralki, zegarka sportowego albo maszyny w fabryce;
- przekazywanie tych danych wybranej firmie, na przykład niezależnemu warsztatowi;
- ochronę mniejszych firm przed nieuczciwymi warunkami umów o dane;
- dostęp instytucji publicznych do danych firm w sytuacjach wyjątkowej potrzeby, takich jak klęska żywiołowa;
- łatwiejszą zmianę dostawcy chmury i innych usług przetwarzania danych.
Dotyczy to czterech grup. Pierwsza to właściciele i użytkownicy sprzętu, druga to producenci urządzeń i aplikacji do nich. Trzecia to dostawcy chmury i oprogramowania w modelu usługowym, czwarta to firmy budujące usługi na danych z cudzych urządzeń. Dla software house’u integrującego dane z urządzeń to zmiana praktyczna. Klient może zażądać od producenta danych z własnego sprzętu i przekazać je wykonawcy, zamiast zdawać się na zamknięte API producenta.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Co obowiązuje od 12 września 2025, a co dokłada polska ustawa
Prawa i obowiązki z aktu w sprawie danych wynikają wprost z rozporządzenia i już działają. Polski projekt nie tworzy nowych materialnych praw dostępu do danych. Wskazuje urząd, ustala procedurę skargi i wysokość kar, bo te sprawy unijny prawodawca zostawił państwom. Rozporządzenie kazało zgłosić Komisji Europejskiej krajowe przepisy o karach do 12 września 2025 roku. Ten termin minął ponad rok temu.
| Sprawa | Rozporządzenie 2023/2854 | Polski projekt UC114 |
|---|---|---|
| Dostęp użytkownika do danych z urządzenia | obowiązuje od 12.09.2025 (art. 4) | bez zmian |
| Przekazanie danych wybranej firmie | obowiązuje od 12.09.2025 (art. 5) | bez zmian |
| Urządzenia projektowane z dostępem do danych | produkty wprowadzone na rynek po 12.09.2026 (art. 3 ust. 1) | bez zmian |
| Nieuczciwe warunki umów o dane | umowy po 12.09.2025; starsze umowy bezterminowe lub długie od 12.09.2027 (art. 50) | bez zmian |
| Opłaty za zmianę dostawcy chmury | obniżone do kosztów, od 12.01.2027 co do zasady zakazane; wyjątki w art. 31 (art. 29) | bez zmian |
| Organ nadzoru | każde państwo musi go wyznaczyć (art. 37) | Prezes UKE, także koordynator danych |
| Skarga | prawo do skargi (art. 38) | informacja o przebiegu i decyzji w 2 miesiące, najdłużej 4 |
| Kary | państwa ustalają same (art. 40) | do 100 tys. zł albo do 4% obrotu przedsiębiorcy |
| Wejście w życie | stosowane od 12.09.2025 | 3 miesiące po ogłoszeniu ustawy |
Prawo do danych z samochodu i sprzętu: jak z niego skorzystać
Użytkownik produktu skomunikowanego może zażądać danych, które urządzenie wytwarza podczas używania. Jeśli nie widzi ich sam w urządzeniu albo aplikacji, posiadacz danych, zwykle producent, ma je udostępnić bez zbędnej zwłoki i nieodpłatnie. Dane mają przyjść w formacie do odczytu maszynowego, z metadanymi potrzebnymi do ich zrozumienia. Wystarczy zwykły wniosek elektroniczny, jeśli jest to technicznie możliwe.
Na tej samej zasadzie użytkownik może kazać przekazać dane innej firmie. Komunikat Ministerstwa Cyfryzacji podaje przykład właściciela samochodu, który udostępnia dane z pojazdu wybranemu warsztatowi. Takim odbiorcą nie może być firma uznana w UE za strażnika dostępu, czyli największe platformy cyfrowe. Producent może odmówić tylko w wąskich przypadkach, na przykład gdy ujawnienie tajemnicy przedsiębiorstwa grozi mu poważną szkodą. Musi wtedy uzasadnić decyzję na piśmie.
Przed zakupem sprzedawca musi powiedzieć, jakie dane urządzenie zbiera, czy robi to w sposób ciągły, gdzie je przechowuje i jak można je pobrać. Obowiązki z tej części rozporządzenia co do zasady nie obejmują danych z produktów i usług mikro i małych przedsiębiorstw. Warunek: firma nie ma przedsiębiorstwa partnerskiego ani powiązanego spoza tej kategorii. Nie może też być podwykonawcą, któremu zlecono zaprojektowanie lub wyprodukowanie urządzenia albo świadczenie usługi powiązanej. Jakie dane zbiera samo auto i jak to ograniczyć, opisaliśmy w tekście o danych zbieranych przez samochód.
Zmiana dostawcy chmury: opłaty znikają 12 stycznia 2027
Od 12 stycznia 2027 roku dostawca usług przetwarzania danych co do zasady nie może pobierać opłat za samą procedurę zmiany dostawcy. Dotyczy to chmury i usług w modelu usługowym. Art. 31 wyłącza z tego usługi zbudowane na zamówienie konkretnego klienta, których dostawca nie oferuje szeroko w katalogu, oraz czasowe wersje testowe nieprzeznaczone do produkcji. Do tego dnia może pobierać opłaty obniżone, nie wyższe niż jego koszty bezpośrednio związane z przeniesieniem. Ten termin wynika z art. 29 rozporządzenia, więc nie zależy od tempa prac nad polską ustawą.
Zmiana nie oznacza darmowej chmury. Abonament za usługę zostaje, a przed zawarciem umowy dostawca musi podać standardowe opłaty i kary za wcześniejsze rozwiązanie umowy. Firma, która rozważa przeprowadzkę do innej chmury, może zaplanować ją na 2027 rok. Wtedy opłata za samo przeniesienie zniknie. O tym, ile realnie znaczy europejska chmura u amerykańskiego dostawcy, pisaliśmy przy zeznaniach Microsoftu o sovereign cloud.
Skarga do Prezesa UKE: terminy i procedura
Po wejściu ustawy w życie skargę na naruszenie rozporządzenia złożysz do Prezesa UKE. Urząd ma przekazać skarżącemu informację o przebiegu sprawy i podjętej decyzji najpóźniej w ciągu 2 miesięcy od wpływu skargi. Jeśli nie zdąży, musi podać przyczynę i nowy termin, maksymalnie 4 miesiące od wpływu. Może też zawiesić sprawę, jeśli najpierw musi przeprowadzić osobne postępowanie wobec firmy.
Projekt przewiduje osobne postępowania przed Prezesem UKE w konkretnych sporach. Chodzi na przykład o odmowę udostępnienia danych przez producenta albo umowne ograniczenia dostępu z powodów bezpieczeństwa. W sprawach z danymi osobowymi UKE może poprosić o stanowisko Prezesa UODO. Ten ma na nie miesiąc, a w sprawach skomplikowanych do 3 miesięcy. Za ochronę danych osobowych nadal odpowiada UODO. Ten sam urząd, UKE, od 6 listopada przyjmie też skargi na platformy z aktu o usługach cyfrowych.
Projektowane kary do 100 tys. zł i 4% obrotu: kiedy UKE mógłby je nałożyć
Jeśli ustawa wejdzie w życie w obecnym kształcie, Prezes UKE będzie mógł nałożyć karę dopiero wtedy, gdy firma nie usunie naruszenia mimo wezwania. Procedura z art. 27-29 projektu ma trzy kroki:
- UKE wskazuje firmie naruszenia na piśmie i daje co najmniej 14 dni na stanowisko;
- jeśli wyjaśnienia nie wystarczą, wzywa do zaprzestania naruszeń w wyznaczonym terminie;
- jeśli naruszenie trwa po terminie, wydaje decyzję nakazującą jego usunięcie i nakłada karę.
Projekt przewiduje karę do 100 000 zł, a dla przedsiębiorcy do 4% obrotu z poprzedniego roku obrotowego. Może ją dostać producent, sprzedawca, posiadacz danych, dostawca chmury, a nawet użytkownik, który wykorzysta dane z urządzenia do zbudowania produktu konkurencyjnego wobec producenta. UKE może odstąpić od kary. Skarga do sądu administracyjnego wstrzymuje wykonanie decyzji. Karę płaci się 14 dni po upływie terminu na skargę albo po prawomocnym wyroku.
Przy kontaktach z firmą warto zacząć od pisemnego wniosku o dane i zachować odpowiedź. Taki ślad przyda się w skardze, gdy urząd zacznie ją przyjmować.
{ integracje systemów }Sklep, księgowość i CRM nie rozmawiają ze sobą?
Łączymy systemy, których używasz na co dzień, z KSeF, Allegro i BaseLinkerem, żeby dane przestały krążyć w arkuszach i mailach. Zaczynamy od połączenia, które dziś zabiera najwięcej czasu.
Co dalej z projektem UC114
Rząd przyjął projekt 13 października razem z autopoprawką. Autopoprawka jest techniczna i zmienia numerację przepisów dopisywanych do Prawa komunikacji elektronicznej. Powód: ustawa o usługach cyfrowych od 6 listopada zajmuje tam punkt 24. Kolejny etap to skierowanie projektu do Sejmu. Na stronie projektu w RCL 14 października nie było jeszcze numeru druku sejmowego. Projekt zakłada wydatki UKE na nowe zadania do 93,23 mln zł w latach 2027-2036.
FAQ
Czy Data Act dotyczy danych osobowych?
Tak, obejmuje dane osobowe i nieosobowe, ale nie zmienia RODO. Gdy użytkownik urządzenia nie jest osobą, której dane dotyczą, producent może przekazać mu dane osobowe tylko przy podstawie prawnej z RODO. Za ochronę danych osobowych odpowiada UODO. W granicach swoich kompetencji może stosować kary z RODO za naruszenia obowiązków z rozdziałów II, III i V rozporządzenia.
Czy firma może dziś złożyć skargę na producenta, który nie daje danych?
Prawo do danych obowiązuje, ale ogólny polski organ do przyjmowania takich skarg nie został jeszcze wyznaczony. Rozporządzenie wprost zachowuje drogę sądową między innymi w sporach o ograniczenia z powodów bezpieczeństwa i o odmowę udostępnienia danych chronionych jako tajemnica przedsiębiorstwa. W zakresie przetwarzania danych osobowych właściwy jest już Prezes UODO.
Podsumowanie
Data Act obowiązuje w Polsce od 12 września 2025 roku: właściciel samochodu, pralki czy maszyny może żądać danych z urządzenia i przekazać je wybranej firmie. Poza zakresem danych osobowych brakuje urzędu, który przyjmie skargę i ukarze firmę. Projekt UC114, przyjęty przez rząd 13 października 2026 roku, wskazuje Prezesa UKE. Daje mu 2 miesiące, najwyżej 4, na informację o przebiegu skargi i decyzji oraz prawo do kar do 100 tys. zł, a dla przedsiębiorcy do 4% obrotu. Kara przychodzi dopiero po wezwaniu do usunięcia naruszenia. Ustawa wejdzie w życie 3 miesiące po ogłoszeniu, a numeru druku w Sejmie jeszcze nie ma. Niezależnie od tego 12 stycznia 2027 roku dostawcy chmury co do zasady tracą prawo do opłat za samą zmianę dostawcy. Użytkownik urządzenia może już dziś żądać danych od producenta na podstawie samego rozporządzenia.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
