Unijny Data Act porządkuje zasady dostępu do danych generowanych przez urządzenia, oprogramowanie i usługi cyfrowe. W praktyce nie chodzi o teorię, lecz o realny wpływ na umowy B2B, modele przychodów, migrację do chmury i kontrolę nad danymi z maszyn, sensorów czy aplikacji. W 2026 traktuję go już nie jako zapowiedź, ale jako obowiązujący reżim, bo przepisy stosuje się od 12 września 2025 r.
Jak przypomina UODO, ten akt nie wyłącza RODO. To ważne, bo wiele firm myli dostęp do danych z prawem do swobodnego przetwarzania wszystkiego, co da się wyciągnąć z urządzenia. Tak nie działa ani ta regulacja, ani praktyka kontraktowa, na której opiera się biznes.
Najważniejsze skutki dla firm i spółek
- Regulacja dotyczy nie tylko producentów sprzętu, ale też spółek korzystających z urządzeń IoT, usług chmurowych i platform danych.
- Najmocniej odczują ją firmy, które sprzedają urządzenia połączone z siecią, świadczą usługi cyfrowe albo blokują migrację klienta do innego dostawcy.
- Użytkownik ma szersze prawo dostępu do danych, ale nie dostaje automatycznie prawa do wszystkiego, a tajemnica przedsiębiorstwa nadal podlega ochronie.
- W chmurze kluczowe są zasady zmiany dostawcy, koszty migracji i obowiązek jasnej informacji przed podpisaniem umowy.
- W 2026 firmy powinny już mieć audyt danych, przegląd umów i plan wyjścia z usług, z których korzystają.
Czym jest unijne rozporządzenie o danych i dlaczego interesuje przedsiębiorców
W skrócie: to unijne rozporządzenie ma ułatwić sprawiedliwy dostęp do danych i ich wykorzystywanie, zwłaszcza wtedy, gdy dane powstają przy korzystaniu z urządzeń połączonych z siecią albo usług cyfrowych. Komisja Europejska opisuje ten akt jako narzędzie do budowy bardziej konkurencyjnego rynku danych, a nie jako kolejny dokument „o IT” dla wąskiej grupy specjalistów.
Najprościej rozumiem jego sens tak: jeżeli firma zarabia na danych, to musi jaśniej pokazać, kto może z nich korzystać, na jakich zasadach i za jaką rekompensatę. Jeżeli firma z tych danych korzysta jako klient, dostaje silniejszą pozycję negocjacyjną wobec dostawcy, ale nie dostaje prawa do naruszania cudzych tajemnic czy cudzej własności intelektualnej.
Rozporządzenie weszło w życie 11 stycznia 2024 r., a stosuje się je bezpośrednio od 12 września 2025 r.. To oznacza, że w 2026 nie pytamy już, czy przepisy „wejdą”, tylko jak działają w codziennej umowie, procedurze i modelu usługowym. Żeby ocenić skalę zmian, trzeba najpierw ustalić, kto w firmie w ogóle wpada w ten reżim.
Kogo dotyczy w spółce i gdzie najczęściej pojawia się ryzyko
W mojej ocenie największy błąd przedsiębiorców polega na tym, że traktują ten akt jak problem wyłącznie dla producentów elektroniki. To zbyt wąskie podejście. Przepisy dotykają także firm, które kupują urządzenia generujące dane, korzystają z chmury albo same pośredniczą w ich udostępnianiu.
| Rola w firmie | Kiedy przepisy mają znaczenie | Co sprawdzić teraz |
|---|---|---|
| Producent lub marka urządzeń połączonych z siecią | Gdy urządzenie zbiera dane z użytkowania, serwisu lub działania maszyny | Czy umowy i dokumentacja wyjaśniają, jakie dane są dostępne, kto je otrzymuje i w jakim zakresie |
| Dostawca usługi powiązanej z produktem | Gdy aplikacja, platforma lub system serwisowy generuje dane razem z urządzeniem | Czy zasady dostępu, udostępniania i ochrony tajemnicy są opisane precyzyjnie |
| Spółka korzystająca z maszyn, pojazdów lub sensorów | Gdy dane z eksploatacji pomagają w serwisie, analityce lub optymalizacji procesów | Czy firma ma realny dostęp do danych potrzebnych do obsługi, audytu i zmiany dostawcy |
| Dostawca chmury, SaaS lub platformy danych | Gdy klient chce przenieść dane, zakończyć umowę lub korzystać z kilku dostawców równolegle | Czy są gotowe procedury eksportu, harmonogram migracji i jasne informacje o kosztach |
| Silniejszy kontrahent w relacji B2B | Gdy umowa była dotąd jednostronna i blokowała dostęp do danych albo zmianę usługodawcy | Czy klauzule nie są nadmiernie restrykcyjne i czy da się je obronić w świetle nowych reguł |
W praktyce najczęściej chodzi o branże takie jak produkcja, logistyka, transport, rolnictwo, facility management, automotive, medtech i szeroko rozumiane usługi cyfrowe. Nawet zwykła spółka handlowa może wejść w ten obszar, jeśli działa na systemach SaaS, korzysta z monitoringu urządzeń albo kupuje sprzęt z funkcją zdalnej diagnostyki. Gdy już wiadomo, kto jest w grze, przechodzę do tego, jakie konkretne prawa i obowiązki z tego wynikają.
Jakie prawa i obowiązki tworzy w relacjach B2B
Najważniejsza zmiana polega na tym, że użytkownik danych może uzyskać dostęp do danych wytwarzanych przez korzystanie z urządzenia lub usługi, a następnie przekazać je dalej, jeśli prawo na to pozwala. W praktyce chodzi o odejście od modelu, w którym wyłącznie właściciel systemu decyduje, co zobaczy klient i w jakiej formie.
To jednak nie jest prawo do wszystkiego. Zasady mają być fair, reasonable and non-discriminatory, czyli uczciwe, rozsądne i niedyskryminujące. Data holder może też żądać rozsądnego wynagrodzenia za udostępnienie danych. Innymi słowy: nie chodzi o darmowy transfer, tylko o równowagę interesów.
- Dostęp do danych z użycia produktu obejmuje przede wszystkim dane generowane przy normalnym korzystaniu z urządzenia lub usługi powiązanej.
- Udostępnienie osobie trzeciej jest możliwe, jeżeli użytkownik chce zlecić serwis, analitykę albo dalsze wykorzystanie danych.
- Tajemnica przedsiębiorstwa nadal jest chroniona, ale nie może być używana jako automatyczny pretekst do całkowitej odmowy bez analizy konkretnej sytuacji.
- Wyjątki są możliwe, gdy udostępnienie bardzo prawdopodobnie wyrządziłoby poważną i nieodwracalną szkodę ekonomiczną.
- Spór nie musi kończyć się od razu procesem, bo regulacja przewiduje mechanizmy rozstrzygania sporów i wzorce klauzul kontraktowych.
To właśnie na tym etapie ujawnia się praktyka, którą widzę w firmach najczęściej: umowy są pisane tak, jakby dane były wyłącznie dodatkiem do produktu, a nie jednym z jego głównych składników wartości. Taki model coraz trudniej utrzymać, zwłaszcza gdy kontrahent jest silniejszy albo działa na rynku o wysokiej koncentracji. Największa zmiana operacyjna pojawia się jednak przy usługach chmurowych, bo tam przywiązanie do jednego dostawcy bywa najdroższe.
Co zmienia w chmurze, SaaS i migracji systemów
Najbardziej praktyczny efekt widać w obszarze cloud i SaaS, bo regulacja uderza w vendor lock-in, czyli sztuczne przywiązanie klienta do jednego dostawcy. Komisja Europejska wprost wskazuje, że celem jest szybsze, tańsze i technicznie płynniejsze przechodzenie między dostawcami usług przetwarzania danych.
W 2026 warto patrzeć na to tak: migracja nie ma być heroizmem działu IT, tylko przewidywalnym procesem umownym i technicznym. Dostawca powinien jasno pokazać formaty eksportu, ograniczenia, czas potrzebny na przeniesienie usług oraz ewentualne opłaty za wcześniejsze rozwiązanie umowy. Standardowa opłata za samą usługę to co innego niż opłata za switching.
| Element | W 2026 | Od 12 stycznia 2027 r. |
|---|---|---|
| Opłaty za zmianę dostawcy | Mogą być naliczane tylko w ograniczonym zakresie i nie wyżej niż rzeczywisty koszt bezpośrednio związany z migracją | Nie powinny być już naliczane |
| Informacja przed podpisaniem umowy | Dostawca musi wskazać m.in. procedurę zmiany, formaty eksportu, ograniczenia techniczne i czas migracji | Obowiązek informacyjny nadal pozostaje |
| Współpraca stron | Strony mają działać w dobrej wierze, aby zapewnić ciągłość usługi | Bez zmiany, ale praktycznie coraz ważniejsza przy większych migracjach |
| Opłaty standardowe za usługę | Są dozwolone i nie są opłatą za switching | Te zasady pozostają aktualne |
Jeśli spółka ma dziś choćby jeden krytyczny system w chmurze, powinna już mieć plan wyjścia z usługi. Nie chodzi o to, by zmieniać dostawcę co kwartał, tylko by wiedzieć, ile trwa migracja, co dokładnie da się przenieść i gdzie pojawi się koszt. Sama znajomość reguł nie wystarczy, dlatego poniżej rozpisuję plan wdrożenia, który da się wykonać bez paraliżu organizacji.
Jak przygotować spółkę do zgodności bez chaosu
Ja zwykle zaczynam od prostego audytu. Nie od przerabiania wszystkich umów naraz, tylko od zmapowania tego, gdzie w firmie faktycznie powstają dane i kto z nich korzysta. To oszczędza czas, bo od razu pokazuje, które obszary są krytyczne, a które tylko pozornie ryzykowne.
- Zrób mapę urządzeń i usług - spisz sprzęt, platformy i systemy, które generują dane, nawet jeśli nie są uznawane za „kluczowe” przez zarząd.
- Ustal role - kto jest dostawcą, kto użytkownikiem, kto może być data holderem, a kto potencjalnym odbiorcą danych.
- Oznacz typy danych - osobowe, handlowe, techniczne, eksportowalne, objęte tajemnicą przedsiębiorstwa.
- Przejrzyj umowy - zwłaszcza zapisy o dostępie do danych, zakazie transferu, opłatach za wyjście i ograniczeniach technicznych.
- Ustal procedurę odpowiedzi na żądanie - kto odpowiada, w jakim terminie, jakie informacje są potrzebne i kiedy trzeba włączyć prawników.
- Przygotuj plan migracji - zakres eksportu, format danych, testy techniczne, kopie zapasowe i odpowiedzialność po stronie dostawcy.
- Przeszkol sprzedaż, procurement i IT - bo to nie jest wyłącznie temat prawny; większość błędów rodzi się na etapie negocjacji albo wdrożenia.
Najwięcej sporów widzę nie w samym przepisie, tylko w rozjazdach między działami. Sprzedaż obiecuje elastyczność, IT mówi o ograniczeniach technicznych, a dział prawny dostaje umowę dopiero na końcu. Jeśli firma uporządkuje te trzy poziomy razem, ryzyko sporu spada szybciej, niż sugeruje to pierwszy kontakt z regulacją. Trzeba to jeszcze osadzić w innych przepisach, bo właśnie tam najczęściej pojawia się konflikt interpretacyjny.
Jak ten reżim łączy się z RODO, tajemnicą przedsiębiorstwa i innymi przepisami
Tu nie ma prostego przełącznika „albo jedno, albo drugie”. Jeśli dane są osobowe, nadal obowiązuje RODO wraz z całą jego logiką: podstawą przetwarzania, obowiązkiem informacyjnym, minimalizacją danych i zabezpieczeniami. Sam dostęp do danych na gruncie aktu o danych nie oznacza jeszcze legalności ich dalszego przetwarzania w dowolnym celu.
Podobnie działa ochrona tajemnicy przedsiębiorstwa. Regulacja wymaga, by dane objęte tajemnicą były identyfikowane i chronione środkami technicznymi oraz organizacyjnymi. W praktyce oznacza to m.in. odpowiednie klauzule poufności, kontrolę dostępu, ograniczenie eksportu i procedury, które pozwolą wykazać, że firma rzeczywiście chroniła wrażliwe informacje, a nie tylko wpisała to do umowy.
Nie znika też ochrona własności intelektualnej ani znaczenie przepisów sektorowych. W szczególnych sytuacjach publiczny organ może żądać dostępu do danych prywatnych podmiotów, ale to wyjątek związany z publicznym zagrożeniem, a nie codzienny mechanizm prowadzenia biznesu. W praktyce najbardziej liczy się to, żeby nie mylić prawa do dostępu z prawem do dowolnego użycia. To dwie różne rzeczy i firmy, które ich nie rozróżniają, zwykle mają potem drogie problemy.
To prowadzi do pytania praktycznego: co zrobić teraz, aby za kilka miesięcy nie nadrabiać zaległości pod presją kontrahenta albo audytu.
Co zrobić teraz, zanim spór pokaże słabe miejsce w umowie
W Polsce równolegle trwa wdrożenie przepisów krajowych. W wykazie prac rządu figuruje projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu, a planowany termin przyjęcia przez Radę Ministrów wskazywano na III kwartał 2026 r. To nie jest jednak powód, żeby czekać. Rozporządzenie już obowiązuje, więc firmy powinny działać na podstawie reguł unijnych, a krajowe doprecyzowanie traktować jako etap porządkowania systemu, nie jako warunek startu.
Jeśli miałbym wskazać trzy najrozsądniejsze ruchy na teraz, byłyby to:
- przegląd umów z dostawcami sprzętu, platform i chmury pod kątem dostępu do danych i wyjścia z usługi,
- audyt danych pod kątem osobowych, poufnych i eksportowalnych zbiorów,
- ustalenie wewnętrznego właściciela tematu, który spina prawników, IT i biznes w jednym procesie.
Jeśli mam wskazać jedną zasadę, która najczęściej robi różnicę, brzmi ona tak: im bardziej firma zarabia na danych albo zależy od cudzej platformy, tym wcześniej powinna uporządkować prawa do dostępu, eksportu i poufności. Właśnie tam powstają spory, których można uniknąć prostym audytem umów i architektury systemów.
