Data Act w praktyce: czym jest akt w sprawie danych, kogo dotyczy i jak wpływa na zamówienia publiczne

• Czym jest Data Act i jaki jest cel aktu w sprawie danych?
• Kogo dotyczy Data Act?
• Produkty skomunikowane, usługi powiązane i usługi chmurowe
• Data Act a dostęp do danych — jakie prawa ma użytkownik?
• Obowiązki informacyjne przed zawarciem umowy
• Data Act w zamówieniach publicznych — status zamawiającego i wykonawcy
• Wykorzystywanie danych przez wykonawcę — co musi znaleźć się w umowie?
• Ograniczenia dostępu do danych i ochrona bezpieczeństwa
• Data Act a ochrona know-how i tajemnicy przedsiębiorstwa
• Data Act a RODO — dane osobowe i dane nieosobowe
• Wyłączenia z obowiązków ułatwiających dostęp do danych
• Praktyczna lista kontrolna dla zamawiających i wykonawców
• Podsumowanie: Data Act zmienia zasady gry w gospodarce danych

W praktyce Data Act porządkuje rynek danych w Unii Europejskiej i wzmacnia pozycję użytkowników, którzy dotychczas często nie mieli realnej kontroli nad informacjami generowanymi przez używane urządzenia lub usługi cyfrowe. Artykuł wyjaśnia, czym jest Data Act, kogo dotyczy, jakie obowiązki nakłada na przedsiębiorstwa oraz jak stosować nowe przepisy w kontekście zamówień publicznych. Szczególną uwagę poświęcamy produktom skomunikowanym, usługom powiązanym, usługom chmurowym, ochronie danych osobowych, tajemnicy przedsiębiorstwa i praktycznym ryzykom dla zamawiających oraz wykonawców.

Czym jest Data Act i jaki jest cel aktu w sprawie danych?

Data Act to rozporządzenie unijne ustanawiające zharmonizowane zasady sprawiedliwego dostępu do danych i ich wykorzystywania. Jego głównym celem jest zapewnienie użytkownikom produktów skomunikowanych oraz usług powiązanych możliwości terminowego dostępu do danych generowanych podczas korzystania z tych produktów i usług. Regulacja obejmuje relacje między przedsiębiorcami, relacje z konsumentami oraz relacje z sektorem publicznym, dlatego ma znaczenie zarówno w modelach B2B, B2C, jak i B2G.

Akt w sprawie danych ma wspierać rozwój gospodarki opartej na danych, innowacje oraz konkurencyjność rynku cyfrowego. Zamiast pozostawiać dane wyłącznie w rękach producentów urządzeń lub dostawców usług, Data Act daje użytkownikowi większą kontrolę nad informacjami powstającymi w wyniku korzystania z technologii. Dotyczy to zwłaszcza danych generowanych przez urządzenia Internetu Rzeczy, pojazdy, maszyny przemysłowe, urządzenia medyczne czy inteligentne systemy domowe.

Najważniejsze założenia Data Act

Data Act nie sprowadza się wyłącznie do prawa pobrania danych z urządzenia. Regulacja tworzy cały system zasad obejmujący dostęp, wykorzystywanie, udostępnianie, ochronę oraz przenoszenie danych między dostawcami usług przetwarzania danych. W praktyce oznacza to konieczność uporządkowania umów, procedur technicznych i obowiązków informacyjnych jeszcze przed sprzedażą, najmem, leasingiem lub wdrożeniem produktu skomunikowanego.

• Użytkownik może żądać dostępu do danych generowanych przez produkt skomunikowany lub usługę powiązaną.
• Posiadacz danych ma obowiązek udostępniać dane w określonych przypadkach użytkownikowi lub wskazanej przez niego osobie trzeciej.
• Dostawcy usług przetwarzania danych, w tym usług chmurowych, muszą ułatwiać zmianę dostawcy i przenoszenie danych.
• Przedsiębiorstwa muszą dostosować modele biznesowe, umowy i polityki zarządzania danymi.
• Zamawiający publiczni mogą występować jako użytkownicy i korzystać z praw przewidzianych przez Data Act.

Kogo dotyczy Data Act?

Zakres Data Act jest szeroki, ponieważ regulacja obejmuje wiele podmiotów uczestniczących w gospodarce cyfrowej. Dotyczy użytkowników, posiadaczy danych, producentów produktów skomunikowanych, dostawców usług powiązanych, dostawców usług chmurowych oraz podmiotów publicznych. W praktyce nowe przepisy powinny interesować każdego, kto wytwarza, sprzedaje, kupuje, wykorzystuje lub analizuje dane generowane przez nowoczesne urządzenia i usługi cyfrowe.

Beneficjentem nowych zasad jest przede wszystkim użytkownik, czyli podmiot korzystający z produktu skomunikowanego albo usługi powiązanej. Może nim być osoba fizyczna, przedsiębiorstwo, konsument, ale także organ sektora publicznego. Po drugiej stronie znajduje się posiadacz danych, czyli najczęściej producent produktu, dostawca usługi powiązanej albo inny podmiot, który ma faktyczną możliwość dostępu do danych, ich wykorzystywania i udostępniania.

Użytkownik i posiadacz danych — kluczowe role

W Data Act podstawowe znaczenie ma relacja między użytkownikiem a posiadaczem danych. Użytkownikiem jest podmiot, który jest właścicielem produktu skomunikowanego, ma czasowe prawo do korzystania z niego, na przykład na podstawie najmu, dzierżawy lub leasingu, albo korzysta z usługi powiązanej. Posiadaczem danych jest natomiast podmiot, który ma prawo lub obowiązek wykorzystywać i udostępniać dane, o ile faktycznie kontroluje dostęp do danych z produktu lub usługi.

W zamówieniach publicznych zamawiający najczęściej będzie występował jako użytkownik. Wykonawca może być posiadaczem danych, jeżeli jako producent lub dostawca usługi ma możliwość dostępu do danych generowanych przez dostarczone rozwiązanie. Nie zawsze jednak wykonawca będzie posiadaczem danych — jeżeli dane są przechowywane wyłącznie lokalnie u zamawiającego i wykonawca nie ma do nich dostępu, jego status na gruncie Data Act może być inny.

Produkty skomunikowane, usługi powiązane i usługi chmurowe

Data Act ma szczególne znaczenie dla zamówień oraz umów dotyczących produktów skomunikowanych, usług powiązanych i usług przetwarzania danych. To właśnie te obszary generują najwięcej pytań praktycznych, ponieważ często łączą sprzęt, oprogramowanie, transmisję danych, usługi serwisowe oraz rozwiązania chmurowe. Prawidłowa kwalifikacja przedmiotu umowy jest pierwszym krokiem do ustalenia, jakie obowiązki wynikają z aktu w sprawie danych.

Produkt skomunikowany to rzecz, która pozyskuje, generuje lub zbiera dane dotyczące jej używania albo otoczenia i może komunikować te dane przez usługę łączności, łącze fizyczne lub dostęp na urządzeniu. W praktyce są to urządzenia określane często jako Internet Rzeczy, czyli IoT. Do tej kategorii mogą należeć inteligentne urządzenia domowe, połączone samochody, maszyny przemysłowe i rolnicze, wyroby medyczne, smartfony, smartwatche czy telewizory Smart TV.

Czym jest usługa powiązana?

Usługa powiązana to usługa cyfrowa, w tym oprogramowanie, która jest połączona z produktem skomunikowanym w taki sposób, że bez niej produkt nie mógłby wykonywać co najmniej jednej ze swoich funkcji. Może to być również usługa dodana później przez producenta lub osobę trzecią w celu uaktualnienia, zmodyfikowania albo rozszerzenia działania produktu. Typowym przykładem są aplikacje i systemy cyfrowe sterujące funkcjami inteligentnych urządzeń.

Nie każda usługa związana z urządzeniem jest usługą powiązaną w rozumieniu Data Act. Usługi doradcze, analityczne, finansowe, zwykła konserwacja, naprawa, zasilanie energią czy zapewnianie łączności co do zasady nie będą usługami powiązanymi, jeżeli nie wpływają na funkcje, zachowanie lub działanie produktu skomunikowanego. W praktyce pomocne jest sprawdzenie, czy istnieje dwukierunkowa wymiana danych między produktem a dostawcą usługi oraz czy usługa realnie wpływa na pracę urządzenia.

Usługi chmurowe i zmiana dostawcy usług przetwarzania danych

Data Act obejmuje również usługi przetwarzania danych, w tym usługi chmurowe oraz przetwarzanie brzegowe. Jednym z celów regulacji jest ułatwienie zmiany dostawcy takich usług, aby ograniczyć uzależnienie użytkownika od jednego operatora technologicznego. Dla przedsiębiorstw i instytucji publicznych oznacza to większą elastyczność przy wyborze infrastruktury cyfrowej, ale także konieczność dokładniejszego opisania zasad przenoszenia danych w umowach.

W praktyce dostawcy usług przetwarzania danych powinni przygotować rozwiązania pozwalające na łatwiejsze przeniesienie danych do innego dostawcy. Ma to znaczenie zwłaszcza przy długoterminowych kontraktach IT, wdrożeniach systemów publicznych i zamówieniach na rozwiązania chmurowe. Zamawiający powinni już na etapie postępowania przetargowego zadbać o zapisy dotyczące formatów danych, ciągłości dostępu, bezpieczeństwa oraz ograniczenia ryzyka technologicznego uzależnienia od jednego wykonawcy.

Data Act a dostęp do danych — jakie prawa ma użytkownik?

Najważniejszą zmianą wprowadzaną przez Data Act jest wzmocnienie prawa użytkownika do dostępu do danych generowanych przez produkty skomunikowane i usługi powiązane. Użytkownik może otrzymać dane bezpośrednio z produktu lub usługi, a jeżeli nie jest to możliwe, może żądać ich udostępnienia przez posiadacza danych. Dostęp powinien być łatwy, bezpieczny, bez zbędnej zwłoki i w formacie umożliwiającym dalsze wykorzystanie.

Regulacja obejmuje zarówno dane osobowe, jak i dane nieosobowe. W przypadku danych nieosobowych szczególne znaczenie ma zasada, że posiadacz danych może wykorzystywać łatwo dostępne dane nieosobowe wyłącznie na podstawie umowy z użytkownikiem. Oznacza to, że producent lub dostawca usługi nie powinien swobodnie wykorzystywać danych generowanych przez użytkownika bez przejrzystego uzgodnienia celów i zasad ich użycia.

Dwa tryby dostępu do danych

Data Act przewiduje dwa podstawowe sposoby dostępu do danych. Pierwszy to dostęp bezpośredni, czyli możliwość pobrania lub odczytania danych z produktu skomunikowanego albo usługi powiązanej, na przykład przez interfejs cyfrowy. Drugi to dostęp pośredni, który polega na złożeniu wniosku do posiadacza danych o udostępnienie danych łatwo dostępnych.

• Dostęp bezpośredni — użytkownik sam uzyskuje dane z produktu lub usługi, jeżeli rozwiązanie techniczne to umożliwia.
• Dostęp pośredni — użytkownik zwraca się do posiadacza danych, gdy nie może samodzielnie uzyskać danych.
• Dzielenie się danymi — użytkownik może wskazać osobę trzecią, której dane mają zostać udostępnione.

W praktyce dostęp do danych może przybrać różne formy, takie jak panel użytkownika, portal internetowy, interfejs API, eksport plików lub ciągły dostęp w czasie rzeczywistym. Ważne jest, aby sposób udostępniania danych był opisany z góry i nie prowadził do nieuzasadnionych barier technicznych. Dobrze przygotowana dokumentacja i przejrzyste postanowienia umowne zmniejszają ryzyko sporów między użytkownikiem a posiadaczem danych.

Obowiązki informacyjne przed zawarciem umowy

Jednym z praktycznie najważniejszych elementów Data Act są obowiązki informacyjne realizowane przed zawarciem umowy. Sprzedawca produktu skomunikowanego, wynajmujący, leasingodawca, wydzierżawiający oraz dostawca usługi powiązanej powinni przekazać użytkownikowi informacje o danych generowanych przez produkt lub usługę. W zamówieniach publicznych oznacza to, że wykonawca powinien przygotować jasny opis danych już na etapie poprzedzającym zawarcie umowy.

Informacje powinny obejmować między innymi rodzaj danych, zakres ich generowania, sposób przechowywania, przewidywany dostęp oraz zasady korzystania z danych. Dla zamawiającego publicznego jest to istotne, ponieważ pozwala ocenić, czy przedmiot zamówienia spełnia wymagania organizacyjne, techniczne i prawne. Dla wykonawcy jest to z kolei obszar, w którym należy szczególnie zadbać o spójność oferty, dokumentacji technicznej i projektu umowy.

Co warto opisać w dokumentach przetargowych?

W zamówieniach na produkty skomunikowane i usługi powiązane warto już w dokumentacji postępowania przewidzieć, jak będą traktowane dane generowane przez dostarczone rozwiązanie. Nie chodzi wyłącznie o zgodność z Data Act, ale także o uniknięcie problemów eksploatacyjnych po wdrożeniu systemu. Im bardziej precyzyjnie zostaną opisane zasady dostępu do danych, tym mniejsze ryzyko nieporozumień przy realizacji umowy.

• jakie dane będzie generować produkt skomunikowany lub usługa powiązana,
• czy dane będą przechowywane lokalnie, w infrastrukturze zamawiającego, czy po stronie wykonawcy,
• czy wykonawca będzie miał faktyczny dostęp do danych,
• w jaki sposób zamawiający uzyska dostęp do danych,
• czy dane będą mogły być udostępniane osobom trzecim wskazanym przez zamawiającego,
• jakie środki ochrony poufności i bezpieczeństwa zostaną zastosowane,
• czy dane mogą obejmować dane osobowe lub tajemnicę przedsiębiorstwa.

Data Act w zamówieniach publicznych — status zamawiającego i wykonawcy

Stosowanie Data Act w zamówieniach publicznych wymaga prawidłowego ustalenia, kto jest użytkownikiem, a kto posiadaczem danych. Zamawiający publiczny, który kupuje, leasinguje lub korzysta z produktu skomunikowanego, najczęściej będzie użytkownikiem. Oznacza to, że może korzystać z prawa dostępu do danych oraz z prawa dzielenia się nimi z wybranymi osobami trzecimi.

Wykonawca najczęściej będzie posiadaczem danych wtedy, gdy jest producentem produktu skomunikowanego lub dostawcą usługi powiązanej i ma faktyczną możliwość dostępu do danych. Może jednak wystąpić sytuacja, w której wykonawca dostarcza urządzenie, ale nie ma dostępu do danych, ponieważ dane są zapisywane wyłącznie w urządzeniu lub infrastrukturze zamawiającego. Wtedy wykonawca niekoniecznie będzie posiadaczem danych, mimo że dostarczył przedmiot zamówienia.

Przykłady zastosowania w przetargach

Data Act może mieć znaczenie w wielu postępowaniach publicznych, nawet jeśli zamawiający nie określa ich wprost jako zamówień dotyczących danych. Wystarczy, że przedmiotem zamówienia są urządzenia lub usługi cyfrowe generujące informacje o użytkowaniu, wydajności, lokalizacji, zużyciu energii lub stanie technicznym. Dotyczy to zwłaszcza sektorów transportu, medycyny, energetyki, infrastruktury komunalnej, rolnictwa, przemysłu i administracji cyfrowej.

• dostawa floty pojazdów generujących dane telemetryczne,
• zakup urządzeń medycznych zbierających dane eksploatacyjne lub dane dotyczące zdrowia,
• wdrożenie inteligentnego systemu zarządzania budynkiem,
• dostawa maszyn przemysłowych lub rolniczych z modułami IoT,
• zamówienie systemu monitoringu miejskiego,
• zakup usług chmurowych lub systemów przetwarzania danych.

Wykorzystywanie danych przez wykonawcę — co musi znaleźć się w umowie?

Jedną z kluczowych zasad Data Act jest to, że posiadacz danych może wykorzystywać łatwo dostępne dane nieosobowe wyłącznie na podstawie umowy z użytkownikiem. W relacji zamawiający–wykonawca oznacza to potrzebę jasnego uregulowania, czy wykonawca może korzystać z danych generowanych przez produkt lub usługę, a jeśli tak, to w jakich celach. Takie postanowienia mogą znaleźć się w głównej umowie o zamówienie publiczne albo w odrębnym załączniku dotyczącym danych.

Postanowienia umowne powinny być przejrzyste i zrozumiałe. Jeżeli wykonawca chce wykorzystywać dane do poprawy działania produktu, rozwijania usług, agregacji danych lub tworzenia nowych rozwiązań, powinno to zostać wyraźnie opisane. Jednocześnie wykonawca nie może wykorzystywać danych w sposób, który pozwalałby pozyskać informacje o sytuacji ekonomicznej, aktywach, metodach działania lub sposobie korzystania z produktu przez użytkownika, jeżeli mogłoby to osłabić pozycję użytkownika.

Udostępnianie danych osobom trzecim

Data Act pozwala użytkownikowi dzielić się danymi z wybranymi osobami trzecimi, ale jednocześnie ogranicza swobodę posiadacza danych w przekazywaniu danych dalej. Posiadacz danych nie powinien udostępniać danych nieosobowych osobom trzecim w celach innych niż realizacja umowy z użytkownikiem, jeżeli nie zostało to odpowiednio uzgodnione. W praktyce warto doprecyzować, kto może otrzymać dane, w jakim celu i na jakich warunkach.

W umowie można przewidzieć obowiązek zobowiązania osób trzecich do zachowania poufności i zakazu dalszego udostępniania otrzymanych danych. Takie rozwiązanie jest szczególnie ważne w zamówieniach dotyczących infrastruktury krytycznej, systemów publicznych, medycyny, transportu i rozwiązań przemysłowych. Pozwala ono godzić prawo dostępu do danych z potrzebą ochrony know-how, bezpieczeństwa i interesów organizacyjnych zamawiającego.

Ograniczenia dostępu do danych i ochrona bezpieczeństwa

Prawo dostępu do danych nie ma charakteru absolutnego. Data Act dopuszcza ograniczenia lub zakaz dostępu, wykorzystywania albo dalszego dzielenia się danymi, jeżeli mogłoby to zagrozić wymaganiom bezpieczeństwa produktu skomunikowanego i wywołać poważny negatywny wpływ na zdrowie, bezpieczeństwo lub ochronę osób fizycznych. Takie ograniczenia powinny być jednak stosowane ostrożnie i proporcjonalnie.

Użytkownik również ma określone obowiązki. Nie może wykorzystywać danych uzyskanych na podstawie żądania dostępu do opracowania produktu skomunikowanego konkurującego z produktem, z którego dane pochodzą. Nie powinien też wykorzystywać tych danych do pozyskania informacji o sytuacji ekonomicznej, aktywach lub metodach produkcji producenta albo posiadacza danych.

Innowacje a zakaz nieuczciwego wykorzystania danych

Warto podkreślić, że Data Act nie blokuje innowacji ani tworzenia usług powiązanych z wykorzystaniem danych uzyskanych zgodnie z regulacją. Celem aktu w sprawie danych jest właśnie pobudzanie konkurencyjności, rozwój nowych usług i lepsze wykorzystanie informacji generowanych przez urządzenia. Granicą jest jednak wykorzystywanie danych do nieuczciwego przejmowania przewagi konkurencyjnej lub obchodzenia zasad ochrony poufności.

Dobrą praktyką jest opisanie w umowie dozwolonych i zakazanych sposobów wykorzystania danych. Dotyczy to zarówno zamawiającego, jak i wykonawcy oraz ewentualnych osób trzecich. Jasne zasady ograniczają ryzyko, że dane wygenerowane przez produkt skomunikowany staną się źródłem sporu zamiast narzędziem poprawy jakości usług.

Data Act a ochrona know-how i tajemnicy przedsiębiorstwa

Dane udostępniane na podstawie Data Act mogą obejmować informacje mające wartość gospodarczą, technologiczną lub organizacyjną. W praktyce mogą one stanowić know-how albo tajemnicę przedsiębiorstwa. Dlatego akt w sprawie danych przewiduje mechanizmy pozwalające chronić poufność informacji, ale nie pozwala używać tajemnicy przedsiębiorstwa jako automatycznego argumentu przeciwko każdemu udostępnieniu danych.

Posiadacz danych lub posiadacz tajemnicy przedsiębiorstwa powinien zidentyfikować dane chronione oraz uzgodnić z użytkownikiem proporcjonalne środki techniczne i organizacyjne. Mogą to być umowy o poufności, ograniczenia dostępu, modelowe klauzule umowne, normy techniczne, protokoły bezpiecznego dostępu czy kodeksy postępowania. Jeżeli środki ochronne nie zostaną uzgodnione lub wdrożone, posiadacz danych może w określonych sytuacjach wstrzymać albo zawiesić dzielenie się danymi.

Kiedy możliwa jest odmowa udostępnienia danych?

Odmowa udostępnienia danych powinna być wyjątkiem, a nie regułą. Może być uzasadniona wtedy, gdy mimo zastosowanych środków ochronnych ujawnienie tajemnicy przedsiębiorstwa z dużym prawdopodobieństwem spowodowałoby poważną szkodę ekonomiczną. Taka odmowa powinna być wyrażona na piśmie i oparta na konkretnych, obiektywnych argumentach.

• dostęp może dotyczyć wyłącznie danych nieobjętych tajemnicą przedsiębiorstwa,
• dostęp może zostać ograniczony ze względów bezpieczeństwa,
• dane objęte tajemnicą mogą zostać udostępnione po wdrożeniu środków ochronnych,
• dzielenie się danymi może zostać wstrzymane lub zawieszone, jeżeli brak odpowiednich zabezpieczeń,
• odmowa udostępnienia danych powinna dotyczyć wyjątkowych przypadków i wymagać uzasadnienia.

Data Act a RODO — dane osobowe i dane nieosobowe

Data Act dotyczy zarówno danych osobowych, jak i nieosobowych, ale w przypadku danych osobowych nie zastępuje RODO. Jeżeli dane generowane przez produkt skomunikowany lub usługę powiązaną pozwalają zidentyfikować osobę fizyczną, ich przetwarzanie musi być zgodne z zasadami ochrony danych osobowych. W razie kolizji między Data Act a przepisami o ochronie danych osobowych pierwszeństwo mają przepisy dotyczące prywatności i ochrony danych.

W praktyce wiele zestawów danych będzie miało charakter mieszany. Przykładem mogą być dane eksploatacyjne pojazdu, które pozornie mają charakter techniczny, ale mogą pozwalać na identyfikację kierowcy lub pasażerów. W zamówieniach medycznych dane generowane przez urządzenia mogą dodatkowo obejmować dane wrażliwe, takie jak dane dotyczące zdrowia, dane biometryczne lub genetyczne.

Dlaczego kategoryzacja danych jest kluczowa?

Przed udostępnieniem danych należy ustalić, czy mają one charakter osobowy, nieosobowy czy mieszany. Od tej kwalifikacji zależy podstawa prawna przetwarzania, role stron oraz zakres wymaganych zabezpieczeń. Zamawiający, który żąda dostępu do danych osobowych wygenerowanych przez produkt lub usługę, może być traktowany jako administrator danych w zakresie tego żądania.

Wykonawca może natomiast występować jako administrator, podmiot przetwarzający albo w określonych momentach współadministrować danymi z zamawiającym. Dlatego w umowach dotyczących produktów skomunikowanych i usług powiązanych warto oddzielić postanowienia dotyczące Data Act od postanowień dotyczących RODO, ale zadbać o ich pełną spójność. Udostępnianie danych na podstawie Data Act nie może osłabiać ochrony osób, których dane dotyczą.

Wyłączenia z obowiązków ułatwiających dostęp do danych

Data Act przewiduje określone wyłączenia z części obowiązków dotyczących dostępu do danych i ich wykorzystania. Mają one znaczenie zwłaszcza dla mikroprzedsiębiorstw, małych przedsiębiorstw oraz niektórych średnich przedsiębiorstw. Nie oznacza to jednak, że każdy mniejszy wykonawca automatycznie nie musi stosować nowych zasad.

Wyłączenia zależą od konkretnego statusu przedsiębiorstwa, relacji z podmiotami powiązanymi oraz czasu, jaki upłynął od wprowadzenia produktu do obrotu lub rozpoczęcia dostarczania usługi. W praktyce wykonawca, który chce powołać się na wyłączenie, powinien być gotowy wykazać, że spełnia odpowiednie warunki. Zamawiający publiczny powinien natomiast uwzględnić możliwość takich wyłączeń przy ocenie zakresu obowiązków wykonawcy.

Ochrona praw użytkownika w umowie

Przepisy Data Act chronią użytkownika przed postanowieniami umownymi, które ze szkodą dla niego wyłączają lub ograniczają prawa przewidziane w regulacji. Oznacza to, że nie każde postanowienie wpisane do umowy będzie skuteczne, jeżeli prowadzi do obejścia zasad aktu w sprawie danych. Szczególne znaczenie ma to w zamówieniach publicznych, gdzie treść umowy często jest przygotowywana z dużym wyprzedzeniem.

Dobrą praktyką jest przegląd wzorów umów, regulaminów, dokumentacji technicznej i klauzul dotyczących danych. Warto sprawdzić, czy nie zawierają zapisów nadmiernie ograniczających dostęp zamawiającego do danych, prawo dzielenia się danymi z osobami trzecimi albo możliwość korzystania z danych w sposób przewidziany przez Data Act. Przejrzystość umowy staje się jednym z najważniejszych elementów zgodności z nowymi przepisami.

Praktyczna lista kontrolna dla zamawiających i wykonawców

Stosowanie Data Act w praktyce wymaga nie tylko znajomości pojęć prawnych, ale także dobrej organizacji procesu zakupowego i wdrożeniowego. Zamawiający powinni analizować temat danych już na etapie planowania postępowania, a wykonawcy powinni przygotować informacje o danych, sposobach dostępu i zabezpieczeniach. Poniższa lista może pomóc w uporządkowaniu najważniejszych pytań przed zawarciem umowy.

• Ustal, czy przedmiot zamówienia jest produktem skomunikowanym, usługą powiązaną albo usługą chmurową.
• Określ role stron: kto jest użytkownikiem, kto posiadaczem danych, a kto ewentualną osobą trzecią.
• Opisz rodzaje danych: dane techniczne, eksploatacyjne, telemetryczne, osobowe, nieosobowe lub mieszane.
• Wskaż sposób dostępu: interfejs, portal, eksport danych, API, dostęp ciągły lub dostęp na wniosek.
• Ureguluj wykorzystanie danych przez wykonawcę: cele, zakres, ograniczenia i zakaz nieuczciwego użycia.
• Zadbaj o RODO: ustal podstawy przetwarzania, role stron i środki bezpieczeństwa.
• Chroń know-how: zidentyfikuj tajemnice przedsiębiorstwa i wprowadź proporcjonalne zabezpieczenia.
• Uwzględnij zmianę dostawcy usług chmurowych: formaty danych, procedury migracji i ciągłość działania.
• Sprawdź wyłączenia: oceń, czy wykonawca może korzystać z wyłączeń przewidzianych dla określonych przedsiębiorstw.
• Unikaj klauzul sprzecznych z prawami użytkownika: zapisy ograniczające prawa zamawiającego mogą być nieskuteczne.

Podsumowanie: Data Act zmienia zasady gry w gospodarce danych

Data Act to jedna z najważniejszych regulacji unijnych dla przedsiębiorstw, sektora publicznego i rynku nowych technologii. Wprowadza nowe zasady dostępu do danych, wzmacnia pozycję użytkowników produktów skomunikowanych i usług powiązanych oraz ułatwia dzielenie się danymi z wybranymi podmiotami. Jednocześnie nakłada na producentów, dostawców usług cyfrowych i wykonawców obowiązki informacyjne, organizacyjne i techniczne.

W zamówieniach publicznych akt w sprawie danych ma szczególne znaczenie, ponieważ zamawiający mogą występować jako użytkownicy i korzystać z prawa dostępu do danych generowanych przez zamawiane rozwiązania. Wykonawcy powinni natomiast jasno określać, jakie dane są generowane, kto ma do nich dostęp, jak są chronione i w jakim zakresie mogą być wykorzystywane. Największe wyzwania będą dotyczyć danych mieszanych, tajemnicy przedsiębiorstwa, usług chmurowych oraz precyzyjnego opisania praw i obowiązków w umowie.

Najlepszym podejściem jest traktowanie Data Act nie jako formalnego dodatku do dokumentacji, ale jako elementu strategii zarządzania danymi. Dobrze przygotowane postanowienia umowne, jasny opis dostępu do danych i przemyślane zabezpieczenia mogą ograniczyć ryzyko sporów, a jednocześnie ułatwić tworzenie innowacyjnych usług. Jeśli Twoja organizacja przygotowuje postępowanie, ofertę lub wdrożenie obejmujące produkty skomunikowane, usługi powiązane albo usługi chmurowe, warto już teraz sprawdzić, czy dokumentacja odpowiada aktualnym wymaganiom Data Act.

Autor: Mikoła Grelewicz - CEO firmy Mimira