Data Act daje użytkownikom dostęp do danych z urządzeń Co zmienia się na rynku IoT

Urządzenia połączone wprowadzane na rynek Unii Europejskiej po 12 września 2026 roku mają być projektowane tak, aby użytkownik mógł łatwo i bezpiecznie korzystać z generowanych danych. Dostęp powinien być bezpłatny, a dane przekazywane w ustrukturyzowanym formacie nadającym się do odczytu maszynowego. Zasada obejmuje między innymi samochody, sprzęt medyczny, falowniki fotowoltaiczne oraz maszyny rolnicze i przemysłowe, lecz nie nakazuje urządzeniom tworzenia nowych informacji.

Unijny Data Act jest stosowany od 12 września 2025 roku. Artykuł 3 ustęp 1 otrzymał dodatkowy okres przejściowy. Jego wymagania projektowe obejmują produkty połączone i powiązane usługi wprowadzane na rynek po 12 września 2026 roku. Data wprowadzenia produktu do obrotu ma więc znaczenie dla bezpośredniego obowiązku konstrukcyjnego.

Regulacja nie ogranicza się do urządzeń smart home. Produktem połączonym może być przedmiot, który uzyskuje, generuje lub zbiera dane o swoim użyciu albo otoczeniu i potrafi je przekazać przez sieć, złącze fizyczne lub lokalny interfejs. Katalog obejmuje pojazdy, maszyny, sprzęt medyczny i treningowy, infrastrukturę oraz elektronikę konsumencką.

Produkt i powiązana usługa mają udostępniać dane wraz z metadanymi potrzebnymi do ich zrozumienia i użycia. Informacje powinny być kompletne w zakresie objętym regulacją, ustrukturyzowane, powszechnie używane i czytelne maszynowo. Dostęp ma być łatwy, bezpieczny oraz bezpłatny. Gdy jest to odpowiednie i technicznie wykonalne, użytkownik powinien pobierać dane bezpośrednio z produktu.

Bezpośredni dostęp nie jest jedyną dopuszczalną metodą. Jeżeli konstrukcja go nie zapewnia, posiadacz danych musi na żądanie udostępnić dane łatwo dostępne, czyli takie, które sam legalnie uzyskuje lub może uzyskać bez wysiłku wykraczającego poza prostą operację. Jakość informacji przekazanych użytkownikowi powinna odpowiadać jakości dostępnej posiadaczowi danych.

Przed zawarciem umowy sprzedaży, najmu lub leasingu klient powinien otrzymać jasną informację o rodzaju, formacie i szacowanej ilości danych wytwarzanych przez produkt. Opis ma także obejmować częstotliwość zbierania, możliwość tworzenia danych w czasie rzeczywistym, sposób ich przechowywania oraz warunki dostępu i pobierania. Informacja powinna być dostępna do zachowania i późniejszego odtworzenia.

Obowiązek zmienia sposób opisywania urządzenia w sklepie i umowie. Sama deklaracja, że produkt zbiera dane eksploatacyjne, nie wystarczy, gdy klient nie zna formatu ani sposobu pobrania. Sprzedawca może wskazać dokumentację producenta, ale użytkownik musi dostać ją przed decyzją. Aktualizacja usługi, która zmienia zakres lub cel wykorzystania danych, wymaga przekazania nowej informacji.

Falownik fotowoltaiczny może rejestrować produkcję, napięcia, temperaturę, kody błędów i historię pracy. Jeżeli dane są objęte zakresem Data Act, użytkownik może wykorzystać je do oceny uzysku albo poprosić o przekazanie wybranemu instalatorowi. Serwis niezależny od producenta zyskuje wtedy materiał potrzebny do diagnozy bez uzależnienia od zamkniętego panelu jednej marki.

Podobny mechanizm działa przy samochodzie i maszynie rolniczej. Dane o przebiegu, zużyciu, stanie podzespołów lub błędach mogą wspierać naprawę, ubezpieczenie albo analizę wykorzystania floty. Zakres zależy od tego, jakie dane produkt faktycznie tworzy i zachowuje. Prawo dostępu nie daje automatycznie prawa do algorytmu producenta ani informacji wyprowadzonych w wyniku zaawansowanej analizy.

Osoba lub firma korzystająca z produktu może sama pobrać dane albo zażądać przekazania ich wybranej stronie trzeciej. Może to być warsztat, firma analityczna, dostawca zarządzania energią lub konkurencyjny serwis. Posiadacz danych nie powinien tworzyć nieuzasadnionych barier technicznych ani proceduralnych. Dostęp może mieć charakter ciągły i odbywać się w czasie rzeczywistym, gdy odpowiada sposobowi generowania danych.

Data Act wyłącza z roli odbiorcy wskazanego przez użytkownika przedsiębiorstwa uznane za strażników dostępu na podstawie Aktu o rynkach cyfrowych. Ma to ograniczać dalsze wzmacnianie największych platform. Strona trzecia może używać danych w celu uzgodnionym z użytkownikiem i musi przestrzegać warunków ochrony. Nie otrzymuje prawa do dowolnego wykorzystania informacji poza zleconą usługą.

Dane z urządzenia mogą zawierać informacje osobowe, na przykład lokalizację samochodu albo parametry zdrowotne. Data Act nie zastępuje RODO. Udostępnienie wymaga podstawy prawnej, ograniczenia celu i odpowiednich zabezpieczeń. Użytkownik urządzenia nie zawsze jest jedyną osobą, której dane dotyczą. Operator floty musi więc uwzględnić prawa kierowcy, a właściciel sprzętu medycznego ochronę pacjenta.

Tajemnica przedsiębiorstwa także podlega ochronie. Posiadacz danych może wymagać proporcjonalnych środków poufności, a w wyjątkowej sytuacji wstrzymać przekazanie określonych informacji, jeżeli potrafi wykazać wysokie prawdopodobieństwo poważnej szkody gospodarczej. Taki wyjątek nie powinien stawać się ogólną odmową. Regulacja przewiduje dokumentowanie decyzji i udział właściwego organu.

Regulacja obejmuje dane surowe i wstępnie przetworzone, które produkt lub usługa już generują i które są zaprojektowane jako możliwe do pozyskania. Nie nakazuje dodawania czujników, tworzenia nowych kategorii informacji ani zapisywania wszystkiego w chmurze. Dane chwilowo przetwarzane wewnątrz układu i natychmiast usuwane mogą pozostawać poza zakresem łatwo dostępnych danych.

To rozróżnienie chroni producenta przed nieograniczonym obowiązkiem przebudowy architektury. Nie może on jednak projektować interfejsu tak, aby użytkownik dostawał dane gorszej jakości niż te, które sam wykorzystuje. Jeżeli firma zachowuje dokładną historię pracy urządzenia, nie powinna zastępować jej ubogim raportem pozbawionym metadanych potrzebnych do interpretacji.

Producent powinien zinwentaryzować dane generowane przez każdą linię produktów, wskazać posiadacza informacji i opisać podstawy ich użycia. Następnie musi ocenić możliwość dostępu bezpośredniego, przygotować proces obsługi żądań oraz mechanizm przekazywania danych stronie trzeciej. Umowy sprzedaży i usług powiązanych powinny jasno określać prawa stron bez klauzul, które odbierają użytkownikowi uprawnienia ustawowe.

Mikroprzedsiębiorstwa i małe firmy korzystają z wyjątku od części obowiązków projektowych, jeśli nie są powiązane z większym przedsiębiorstwem i nie wykonują dla niego projektu jako podwykonawca. Dla niektórych średnich przedsiębiorstw przewidziano dodatkowy okres przejściowy. Wyjątek trzeba oceniać na podstawie struktury grupy i roli w łańcuchu dostaw, a nie samej liczby pracowników.

Data Act przesuwa dane z urządzenia z zamkniętego panelu producenta do relacji, w której użytkownik może je pobrać i przekazać wybranej usłudze. Od 13 września 2026 roku nowe produkty objęte przepisem powinny uwzględniać ten dostęp już w konstrukcji. Największa praktyczna zmiana dotyczy serwisu, analityki i możliwości zmiany dostawcy usług bez utraty historii urządzenia.

Prawo ma wyraźne granice. Nie wymaga generowania nowych danych, nie uchyla RODO i chroni tajemnice przedsiębiorstwa. Dla kupującego ważna staje się informacja przed zawarciem umowy, a dla producenta jakość interfejsu, umów i procesu obsługi żądań. Firmy, które potraktują dostęp jako funkcję produktu, mogą ograniczyć koszt późniejszych poprawek i sporów.