EU Data Act – co firmy muszą ustalić w umowach dotyczących danych i usług w chmurze?
Udostępnij
Krótka odpowiedź: Akt o danych (EU Data Act) wprowadza zasady dotyczące dostępu do danych z produktów połączonych i usług powiązanych oraz ich wykorzystywania, a także zmiany dostawcy usług przetwarzania danych. Dla przedsiębiorstw oznacza to konieczność dostosowania warunków produktów, umów o udostępnianiu danych oraz umów cloud/SaaS.
Czym jest EU Data Act?
Akt o danych to rozporządzenie (UE) 2023/2854. Większość przepisów zaczęła być stosowana 12 września 2025 r. Celem regulacji jest m.in. zwiększenie dostępności danych generowanych przez produkty połączone oraz usuwanie technicznych i umownych przeszkód w zmianie dostawcy usług przetwarzania danych.
Które firmy mogą zostać objęte przepisami?
- producenci i dostawcy produktów połączonych
- dostawcy powiązanych usług cyfrowych
- posiadacze danych sprawujący kontrolę nad odpowiednimi danymi o produktach lub usługach
- podmioty otrzymujące dane od użytkowników lub posiadaczy danych
- dostawcy usług IaaS, PaaS, SaaS i innych usług przetwarzania danych
Dostęp do danych i udostępnianie danych
Kluczowym założeniem jest to, aby użytkownik miał możliwość uzyskania dostępu do określonych danych generowanych w wyniku korzystania z produktu połączonego lub powiązanej usługi, a w niektórych przypadkach żądania udostępnienia danych stronie trzeciej. Umowy muszą zatem jasno określać, jakie dane podlegają regulacji, w jaki sposób uzyskuje się do nich dostęp oraz jakie techniczne i zabezpieczające warunki mają zastosowanie.
Tajemnice przedsiębiorstwa i bezpieczeństwo
Akt o danych nie oznacza, że wszystkie informacje muszą być ujawniane bez ochrony. Tajemnice przedsiębiorstwa, ryzyka dla bezpieczeństwa oraz uprawnienia muszą być zarządzane w ustrukturyzowany sposób. Umowa powinna rozróżniać dostęp do danych od prawa do wykorzystywania, przekazywania dalej lub eksploatacji tych informacji.
Cloud switching – zmiana dostawcy chmury
W odniesieniu do usług przetwarzania danych rozporządzenie zawiera szczególne przepisy mające na celu ograniczenie barier handlowych, technicznych, umownych i organizacyjnych przy zmianie dostawcy lub przejściu na infrastrukturę lokalną. Dobra umowa musi więc regulować kwestie eksportu, formatów, okresu przejściowego, współpracy, usuwania danych oraz ewentualnego dalszego dostępu po migracji.
Co firmy powinny zweryfikować w swoich umowach?
- definicję danych i role
- mechanizmy dostępu i interfejsy API
- dozwolone cele wykorzystania
- poufność i tajemnice przedsiębiorstwa
- wymogi bezpieczeństwa i uwierzytelnianie
- odpowiedzialność za błędne lub nieuprawnione użycie
- warunki udostępniania stronom trzecim
- przełączanie (switching), eksport, migrację i usuwanie
- podwykonawców i interoperacyjność
Akt o danych a RODO to różne akty prawne
Akt o danych może dotyczyć zarówno danych osobowych, jak i innych danych, jednak jeśli materiał zawiera dane osobowe, nadal należy przestrzegać RODO. Akt o danych sam w sobie nie tworzy ogólnej podstawy prawnej do przetwarzania danych osobowych. Role i uprawnienia muszą być zatem analizowane równolegle.
Zobacz pakiet Data Act w Mallbutiken, obejmujący wzory umów, udostępniania danych i cloud switching.
FAQ
Czy Akt o danych to to samo co RODO?
Nie. RODO dotyczy przede wszystkim ochrony danych osobowych, podczas gdy Akt o danych reguluje szersze kwestie dostępu do danych i ich wykorzystywania oraz zmiany usług przetwarzania danych.
Czy firmy świadczące czysty SaaS są objęte regulacją?
Mogą być, zwłaszcza poprzez przepisy dotyczące usług przetwarzania danych i zmiany dostawcy (switching). Dokładny zakres zastosowania zależy od struktury usługi i pełnionej roli.
Czy stare umowy wymagają przeglądu?
Tak, firmy powinny przeprowadzić inwentaryzację umów obowiązujących w okresie stosowania przepisów i ocenić, które klauzule wymagają zmiany lub uzupełnienia.
Źródło prawa: rozporządzenie (UE) 2023/2854 w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania.
Artykuł stanowi ogólną informację i nie zastępuje porady prawnej.
