Nowe inteligentne urządzenia mają ułatwiać dostęp do danych od 12 września

Nowa lodówka, smartwatch albo samochód potrafią zbierać więcej danych, niż pokazuje codzienny ekran aplikacji. Czujniki zapisują temperaturę, zużycie energii, stan baterii, błędy, położenie lub sposób pracy. Pytanie brzmi nie tylko, co urządzenie wie, lecz także czy jego użytkownik może te dane dostać i przekazać komuś innemu.

12 września 2026 r. zacznie działać kolejny etap unijnego Data Act. Nie będzie to jednak dzień, w którym każdy starszy sprzęt nagle otrzyma identyczny przycisk eksportu. Rozporządzenie stosuje się już od 12 września 2025 r. Nowa data dotyczy obowiązku projektowego dla produktów skomunikowanych i usług powiązanych wprowadzanych na rynek po 12 września 2026 r.

Co dokładnie zmienia data 12 września

Art. 3 ust. 1 wymaga, aby produkt skomunikowany i powiązana usługa były projektowane tak, by dane z produktu oraz usługi, wraz z metadanymi potrzebnymi do ich zrozumienia, były domyślnie dostępne łatwo, bezpiecznie i bez opłaty. Format ma być kompleksowy, ustrukturyzowany, powszechnie używany i nadający się do odczytu maszynowego.

Bezpośredni dostęp z urządzenia nie jest bezwarunkową obietnicą dla każdego przypadku. Tekst dodaje granicę: ma on działać tam, gdzie jest to istotne i technicznie wykonalne. Art. 50 przesuwa właśnie obowiązek wynikający z art. 3 ust. 1 na produkty i usługi wprowadzane na rynek po wskazanej dacie.

To rozróżnienie chroni przed dwoma błędnymi skrótami. Pierwszy głosi, że Data Act zaczyna obowiązywać dopiero we wrześniu 2026 r. Drugi, że wszystkie urządzenia kupione wcześniej muszą zostać tego dnia przeprojektowane. Żaden z nich nie odpowiada tekstowi rozporządzenia.

Prawo do danych działa już teraz

Komisja Europejska wyjaśnia, że użytkownikiem może być osoba lub firma, która produkt posiada, wynajmuje albo leasinguje. Może ona uzyskać dostęp do surowych i wstępnie przetworzonych danych, które powstają podczas używania produktu lub usługi i są łatwo dostępne posiadaczowi danych.

Jeżeli danych nie da się pobrać bezpośrednio z produktu lub usługi, art. 4 nakazuje posiadaczowi danych udostępnić łatwo dostępne dane oraz niezbędne metadane bez zbędnej zwłoki. Użytkownik nie powinien za to płacić, a prosty elektroniczny wniosek ma wystarczyć tam, gdzie jest technicznie wykonalny.

Użytkownik może też poprosić o przekazanie danych wybranej osobie trzeciej. W praktyce może chodzić o niezależny serwis, dostawcę usługi optymalizującej energię albo narzędzie analizujące pracę maszyny. Nie oznacza to automatycznie, że każda firma musi otrzymać wszystko. Rozporządzenie określa role, warunki i wyłącza z tej ścieżki przedsiębiorstwa wyznaczone jako strażnicy dostępu na podstawie aktu o rynkach cyfrowych.

Jakie dane są w zakresie, a jakich nie obiecuje ustawa

Strona wyjaśniająca Komisji podaje przykłady danych z czujników: temperaturę, ciśnienie, przepływ, dźwięk, poziom cieczy, położenie, przyspieszenie lub prędkość. W sprzęcie domowym równie praktyczne mogą być kody błędów, stan podzespołu albo dane o cyklu pracy, jeżeli producent ma do nich łatwy dostęp.

Granica pojawia się przy informacjach wywnioskowanych lub wyprowadzonych przez dodatkowe, złożone przetwarzanie. Data Act nie zamienia automatycznie każdej analizy producenta, algorytmu ani utworu chronionego prawem autorskim w plik do pobrania. Komisja podaje prosty przykład: podczas oglądania filmu na telewizorze dane o jasności ekranu mogą mieścić się w zakresie, ale sam film nie.

Dostęp nie usuwa także ochrony tajemnicy przedsiębiorstwa. W określonych sytuacjach strony mogą uzgodnić środki poufności, a posiadacz danych może zawiesić lub odmówić udostępnienia konkretnych informacji, jeżeli spełnione są warunki rozporządzenia. To wyjątek wymagający uzasadnienia, nie ogólna etykieta pozwalająca zamknąć wszystkie dane.

Dostęp do danych nie znosi RODO ani zasad bezpieczeństwa

Dane urządzenia mogą opisywać nie tylko maszynę. Lokalizacja samochodu, rytm używania sprzętu albo pomiary urządzenia zdrowotnego mogą odnosić się do konkretnej osoby. Rozporządzenie nie tworzy nowej podstawy do dowolnego przetwarzania danych osobowych i nie ogranicza praw wynikających z RODO.

Jeżeli użytkownik produktu nie jest osobą, której dotyczą żądane dane osobowe, potrzebna jest ważna podstawa prawna. Osobno działa wyjątek bezpieczeństwa: dostęp, użycie lub dalsze udostępnianie można ograniczyć, gdy mogłoby to naruszyć wymagania bezpieczeństwa ustanowione w prawie i spowodować poważny negatywny skutek dla zdrowia, bezpieczeństwa lub ochrony ludzi.

Dlatego hasło „moje urządzenie, moje wszystkie dane” jest zbyt szerokie. Użytkownik zyskuje konkretne prawa, ale nie otrzymuje automatycznej zgody na dane innych osób, tajemnice przedsiębiorstwa ani obchodzenie zabezpieczeń technicznych.

Co powinno być jasne przed zakupem

Art. 3 wymaga przekazania przed zawarciem umowy jasnych informacji o typie, formacie i szacowanej ilości danych, które może generować produkt. Sprzedawca ma też wyjaśnić, czy dane powstają stale i w czasie rzeczywistym, czy są przechowywane w urządzeniu lub na zdalnym serwerze oraz jak użytkownik może je pobrać lub, gdy ma to zastosowanie, usunąć.

Dla kupującego to użyteczniejszy test niż samo hasło „smart”. Warto szukać odpowiedzi na sześć pytań: jakie dane powstają, gdzie trafiają, jak długo są przechowywane, w jakim formacie można je pobrać, czy można je przekazać wybranemu serwisowi i co stanie się po zakończeniu abonamentu lub wsparcia aplikacji.

Jeżeli producent pokazuje tylko wykres w aplikacji, nie wynika z tego jeszcze, że oferuje dane w użytecznym formacie. Z drugiej strony brak bezpośredniego eksportu na ekranie nie dowodzi automatycznie naruszenia, bo może działać ścieżka wniosku do posiadacza danych. Liczy się cały proces, nie pojedyncza ikona.

Co warto sprawdzić po 12 września

Przy nowym urządzeniu wprowadzonym na rynek po 12 września warto zachować stronę produktu, warunki usługi i opis dostępu do danych. Gdy sprzęt trafia do naprawy, można zapytać, czy użytkownik otrzyma kody diagnostyczne lub dane pracy i czy może bezpiecznie przekazać je wybranemu serwisowi.

Firma kupująca maszyny powinna dodać te pytania do zamówienia i umowy, zanim dane zostaną zamknięte w jednym panelu dostawcy. Samo rozporządzenie nie naprawi złej dokumentacji, nie zagwarantuje pełnej interoperacyjności każdego systemu i nie usunie kosztu analizy danych. Może jednak sprawić, że sposób ich wydania przestanie być dodatkiem odkładanym na koniec projektu.

Najuczciwiej czytać wrześniową datę jako granicę projektową, nie konsumencki alarm. Data Act już działa. Od 12 września 2026 r. nowe produkty objęte art. 3 ust. 1 mają być projektowane z dostępem do danych jako częścią produktu, a nie awaryjną prośbą rozpatrywaną dopiero wtedy, gdy użytkownik chce zmienić serwis.