Data Act wymusza inne podejście do przetwarzania danych

Już 12 września zacznie obowiązywać rozporządzenie Parlamentu Europejskiego i Rady UE 2023/2854, które zmienia zasady dostępu, przenoszenia i udostępniania danych. Firmy IoT, dostawcy usług chmurowych i pośrednicy będą musieli zapewnić interoperacyjność, transparentne umowy oraz swobodny transfer danych. Kto nie przygotuje się na czas, ryzykuje sankcjami i utratą przewagi rynkowej.

Data Act (czyli unijny akt o danych) to nie kolejny dokument z Brukseli, który można odłożyć na później. Jego przepisy już od 12 września br. diametralnie zmieniają zasady obowiązujące firmy operujące danymi – zarówno osobowymi, jak i nieosobowymi. Mają ułatwić dostęp do danych, wspierać konkurencję i innowacje. Ale jednocześnie oznaczają dla firm nowe obowiązki, m.in. konieczność:

• zawierania przejrzystych umów,
• wprowadzenia nowych procedur,
• udostępniania danych na żądanie użytkownika czy
• zapewnienia bezpieczeństwa.

W skrócie - kto nie wdroży Data Act, może mieć problem.

Rozporządzenie będzie działać bezpośrednio

Data Act to rozporządzenie, a nie dyrektywa. Nie trzeba więc wprowadzać do polskiego porządku prawnego żadnej dodatkowej ustawy, żeby unijne regulacje zaczęły obowiązywać – działają one wprost w wersji zapisanej w Brukseli. W praktyce: 12 września rozporządzenie to musi respektować każda firma (wyjątki wymieniamy niżej), która przetwarza dane użytkowników, klientów czy partnerów.

Doprecyzowanie przepisów

Ważne jest to, że nie będzie okresu przejściowego dotyczącego wdrożenia przepisów. I choć Polska może (i powinna) wprowadzić regulacje doprecyzowujące, np. to, kto ma nakładać kary, to obecnie nikt nad nimi nie pracuje. Rada Ministrów zapowiedziała przygotowanie projektu ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu, który ma zostać przyjęty w IV kwartale bieżącego roku. Jego główne cele to wyrównanie dostępu do danych dla użytkowników urządzeń IoT oraz małych i średnich przedsiębiorstw, zwiększenie interoperacyjności oraz ułatwienie przenoszenia danych w chmurze, a także wyznaczenie kompetentnego organu nadzorującego.