Rozporządzenie (UE) 2023/2854, powszechnie zwane EU Data Act lub Aktem o Danych, obowiązuje w Polsce od 12 września 2025 roku. Nie wymaga osobnej polskiej ustawy wdrażającej — jak większość rozporządzeń unijnych, działa bezpośrednio. Żaden właściciel firmy nie może powiedzieć: „nie dotyczy mnie, bo polskie przepisy tego jeszcze nie zatwierdziły”.
To, co zmienia Data Act, jest konkretne: dostajesz prawa do danych, które generuje Twój sprzęt. Możesz zażądać od Google, Microsoft czy dowolnego innego dostawcy chmury ułatwienia Ci wyjścia z ich usług. A jeśli Twoja firma produkuje lub sprzedaje podłączone urządzenia — masz nowe obowiązki wobec własnych klientów. Poniżej omawiamy, co to oznacza w praktyce dla typowego MŚP.
Co to jest EU Data Act i czego dotyczy
EU Data Act to rozporządzenie dotyczące dostępu do danych i ich udostępniania. Nie chodzi w nim o dane osobowe — te nadal reguluje RODO i zasady są takie same jak dotychczas. Data Act dotyczy danych nieosobowych: odczytów czujników, logów urządzeń, danych z systemów telematycznych w samochodach firmowych, zapisów z maszyn produkcyjnych, danych ze smartfonów i tabletów firmowych, statystyk z systemów ERP czy platform SaaS.
Rozporządzenie obejmuje trzy główne grupy podmiotów:
- Producenci urządzeń połączonych — każda firma, która wprowadza na rynek produkt zbierający i przesyłający dane: urządzenia smart home, maszyny przemysłowe, pojazdy, urządzenia medyczne, sprzęt AGD, terminale POS, wagi, czytniki kart.
- Dostawcy powiązanych usług cyfrowych — aplikacje i platformy niezbędne do obsługi takich urządzeń (np. aplikacja zarządzająca flotą pojazdów, dashboard do maszyny produkcyjnej).
- Dostawcy usług przetwarzania danych — wszystkie firmy świadczące usługi chmurowe: SaaS, PaaS, IaaS. Google Workspace, Microsoft 365, Salesforce, Comarch ERP, dowolne oprogramowanie dostępne przez internet.
Jeśli Twoja firma cokolwiek z tej listy używa — nawet jako odbiorca końcowy — Data Act przyznaje Ci nowe prawa. Jeśli cokolwiek z tej listy dostarcza — nakłada nowe obowiązki.
Harmonogram: trzy daty, które musisz znać
Przepisy wdrażane są stopniowo. Nie wszystko zaczęło obowiązywać jednocześnie.
12 września 2025 — główna fala przepisów. W życie weszły: prawo dostępu użytkowników do danych z urządzeń IoT, obowiązki informacyjne przed zawarciem umowy (producent musi z góry opisać, jakie dane zbiera sprzęt i jak je udostępni), pierwsza faza przepisów cloud (dostawcy muszą informować o kosztach eksportu danych i usunąć bariery kontraktowe blokujące zmianę), zakaz nieuczciwych klauzul umownych w kontraktach B2B dotyczących danych.
12 września 2026 — wymogi techniczne dla chmury i nowych produktów IoT. Od tej daty dostawcy usług chmurowych muszą udostępniać standardowe API umożliwiające automatyczne transfery danych między dostawcami. Nowe produkty IoT wprowadzane na rynek po 12 września 2026 roku muszą być projektowane tak, by użytkownik miał bezpośredni dostęp do danych z urządzenia — bez pośrednictwa producenta.
12 września 2027 — pełne standardy przenoszalności. Docelowy etap: pełna interoperacyjność i standardy techniczne dla przenoszenia całych zbiorów danych między dostawcami chmury. Od tego momentu opłaty za zmianę dostawcy mają być praktycznie zerowe.
Twoje prawa jako użytkownik urządzeń IoT
Jeśli Twoja firma korzysta z jakiegokolwiek podłączonego sprzętu — kasy fiskalnej online, inteligentnej wagi, terminalu płatniczego zbierającego dane, czujników w magazynie, systemu telematyki w samochodach służbowych — dane z tych urządzeń należą do Ciebie.
Konkretne uprawnienia z rozporządzenia:
Prawo dostępu bez opłat. Możesz żądać udostępnienia surowych danych z urządzenia w formacie maszynowo czytelnym. Producent nie może pobierać za to opłat. Może co najwyżej obciążyć uzasadnionymi kosztami odbiorcę, któremu te dane faktycznie przekazujesz — ale nie Ciebie jako użytkownika.
Prawo do udostępnienia danych podmiotom trzecim. Możesz wskazać dowolną firmę, której producent ma obowiązek przekazać dane z Twojego urządzenia. Może to być firma serwisowa, analityczna, integrator, a nawet bezpośredni konkurent producenta. Producent nie może odmówić wyłącznie dlatego, że nie podoba mu się wybór odbiorcy.
Praktyczny przykład. Typowy scenariusz: firma ma flotę samochodów firmowych z systemem telematyki dostarczanym przez jednego producenta. Dane o trasach, czasie pracy kierowców i zużyciu paliwa do tej pory były dostępne wyłącznie przez panel producenta, na jego warunkach, po jego cenach. Od Data Act możesz żądać tych danych w formacie CSV lub API i przekazać je do dowolnego oprogramowania — własnej platformy BI, alternatywnego dostawcy ubezpieczeń flotowych albo zewnętrznego analityka.
Producent może odmówić wyłącznie w wyjątkowych przypadkach: gdy istnieje „wysokie ryzyko poważnych strat gospodarczych” lub zagrożona jest tajemnica przedsiębiorstwa. Musi to być udowodnione — blanket odmowa bez uzasadnienia narusza Data Act. Co więcej, ochrona tajemnicy przedsiębiorstwa powinna być realizowana przez redakcję danych, tokenizację lub kontrolę dostępu, a nie przez całkowitą odmowę ich udostępnienia.
Jak Akt o Danych zmienia relację z dostawcą chmury
To jest ten fragment, który dotyczy dosłownie każdej firmy — bo każda firma korzysta z jakiegoś SaaS-u.
Vendor lock-in staje się nielegalny w formie, jaką znamy. Przez lata dostawcy chmury stosowali trzy mechanizmy utrzymywania klientów: skomplikowany eksport danych, wysokie opłaty za migrację i brak standardowych formatów. Data Act zakazuje każdego z tych mechanizmów.
Dwumiesięczne wypowiedzenie. Każda umowa na usługi chmurowe — Google Workspace, Microsoft 365, Salesforce, ClickUp, HubSpot, dowolna inna — musi uwzględniać możliwość wypowiedzenia z dwumiesięcznym okresem. Klauzule wymuszające 12- lub 24-miesięczne okresy wypowiedzenia bez możliwości wcześniejszego wyjścia są sprzeczne z Data Act.
Declining exit fees — malejące opłaty za wyjście. Do 12 września 2027 roku opłaty za migrację do innego dostawcy muszą zostać stopniowo wyeliminowane. W podziale fazowym: od września 2025 nie mogą przekraczać uzasadnionych kosztów faktycznego transferu danych; od września 2027 zmiana dostawcy jest praktycznie bezkosztowa.
API do automatycznych transferów danych. Od 12 września 2026 każdy dostawca usług chmurowych musi udostępniać standardowe API umożliwiające automatyczny transfer danych do konkurencyjnej platformy. Nie ma już prawa do formatu „tylko naszego”.
Co to oznacza w praktyce dla właściciela małej firmy? Jeśli dzisiaj rozważasz zmianę oprogramowania i blokuje Cię wysokie „opłata za eksport danych” lub brak możliwości pobrania historycznych rekordów — masz podstawę prawną, żeby tej opłaty odmówić lub wymóc wsparcie techniczne przy migracji.
Warto przejrzeć aktualne umowy z kluczowymi dostawcami SaaS i sprawdzić, czy zawierają klauzule niezgodne z Data Act. Przepisy obowiązują bezpośrednio — nawet jeśli dostawca ich nie zaktualizował, Ty możesz się na nie powołać.
W związku z tym, że oba akty — AI Act i Data Act — regulują cyfrową stronę Twojego biznesu, warto je czytać razem: jeśli korzystasz z systemów opartych na AI wbudowanym w SaaS, prawa do danych z Data Act nakładają się na obowiązki z AI Act. Więcej o samym AI Act dla właściciela firmy opisaliśmy w tym artykule.
Kogo zwalnia Akt o Danych — wyłączenia dla małych firm
Data Act zawiera wyłączenia dla mikro i małych przedsiębiorstw — ale dotyczą one konkretnej sytuacji i nie są tak szerokie, jak mogłoby się wydawać.
Wyłączenie dotyczy danych z Twoich własnych produktów. Jeśli prowadzisz małą firmę i sprzedajesz podłączone urządzenia, które sam produkujesz lub importujesz — jesteś zwolniony z obowiązku udostępniania danych z tych urządzeń klientom. Status MŚP jest określany według kryteriów z zalecenia Komisji Europejskiej 2003/361/WE:
| Kategoria | Zatrudnienie | Obrót roczny |
|---|---|---|
| Mikro | do 9 osób | do 2 mln EUR |
| Mały | do 49 osób | do 10 mln EUR |
| Średni | do 249 osób | do 50 mln EUR |
Oba kryteria — zatrudnienie i obrót — muszą być spełnione łącznie przez dwa kolejne lata obrotowe.
Wyłączenie NIE dotyczy danych, które otrzymujesz od większych dostawców. Jeśli używasz oprogramowania dużej firmy (Google, Microsoft, dowolny SaaS z setkami pracowników) i to oprogramowanie generuje dane o Twojej firmie — prawo dostępu do tych danych Cię chroni, ale jako użytkownika, nie jako podmiot zwolniony z obowiązków.
Wyłączenie NIE dotyczy firm z grupy kapitałowej. Jeśli Twoja mała firma jest częścią grupy, gdzie spółka-matka lub powiązana firma ma ponad 25% udziałów i sama jest podmiotem większym niż MŚP — wyłączenie odpada.
Wyłączenie NIE dotyczy podwykonawców. Jeśli projektujesz lub produkujesz urządzenie na zlecenie większej firmy — nie możesz się zasłaniać statusem MŚP.
Średnie firmy mają wyłączenie czasowe. Rok od daty uzyskania statusu średniego przedsiębiorcy lub rok od wprowadzenia konkretnego produktu na rynek — po tym czasie obowiązki w pełni obowiązują.
Praktyczna konsekwencja: nawet jako mała firma musisz wiedzieć, jakie obowiązki Data Act nakłada na Twoich dostawców. To Ty egzekwujesz ich przestrzeganie jako użytkownik i kupujący.
Kary i egzekucja — co grozi za naruszenie Data Act
Data Act przewiduje dwa organy nadzorcze w Polsce, właściwe dla różnych naruszeń:
UOKiK — nadzoruje nieuczciwe warunki umowne w kontraktach B2B dotyczących danych. Jeśli Twój dostawca SaaS stosuje klauzulę umowną naruszającą Data Act (np. prohibicja zmiany dostawcy bez uzasadnienia ekonomicznego, nadmierne opłaty za eksport danych), możesz złożyć skargę do UOKiK. Urząd może nakazać zaniechanie praktyki i nałożyć karę na dostawcę.
UODO — właściwy gdy dane nieosobowe z IoT lub chmury nakładają się na dane osobowe (np. trasy kierowców jako dane osobowe, dane z urządzeń medycznych). UODO może prowadzić postępowanie zarówno z RODO, jak i z Data Act.
Kary dla podmiotów naruszających przepisy. Rozporządzenie przewiduje sankcje do 4% globalnego obrotu rocznego lub 20 mln EUR — co jest wyższe. Dla małej firmy celem sankcji jest głównie przymuszenie do dostosowania, a nie wyniszczające kary finansowe. Praktyczne ryzyko dla MŚP jako użytkownika (a nie dostawcy) to raczej spory z dostawcami niż bezpośrednie kary administracyjne.
Warto mieć udokumentowane żądania. Jeśli zwróciłeś się do producenta lub dostawcy chmury o dostęp do danych i spotkałeś się z odmową, dokumentuj całą korespondencję. W razie sporu przed UOKiK lub sądem jest to Twój główny dowód.
Ewidencja danych a rejestr RODO — co je łączy
Data Act i RODO działają równolegle, ale dotyczą różnych kategorii danych. Akt o Danych koncentruje się na danych nieosobowych — logach urządzeń, odczytach czujników, danych produkcyjnych. Gdy te same dane identyfikują osobę fizyczną (np. dane z wearable urządzenia pracownika, trasy konkretnego kierowcy, nagrania z monitoringu pracowniczego), wchodzi RODO i jego zasady mają pierwszeństwo.
Granica bywa nieoczywista. Dane o zużyciu energii przez maszynę w fabryce są danymi nieosobowymi — chyba że z godzin pracy i wzorca zużycia można jednoznacznie zidentyfikować konkretnego operatora maszyny. Wówczas ta sama dana staje się daną osobową i podlega RODO.
Praktyczne pytanie do sprawdzenia w swojej firmie: czy w Twoim rejestrze czynności przetwarzania danych opisujesz przepływy danych z urządzeń IoT? Jeśli masz kamery CCTV z chmurowym nagrywaniem, system telematyki w samochodach służbowych albo czytniki wejść pracowniczych — te urządzenia generują zarówno dane nieosobowe (objęte Data Act) jak i dane osobowe (objęte RODO). Oba reżimy stosują się jednocześnie.
Jak prawidłowo prowadzić rejestr czynności przetwarzania, w tym dla przepływów z urządzeń IoT, opisaliśmy w artykule o rejestrze RODO dla MŚP.
Co zrobić teraz — lista kroków dla właściciela firmy
Data Act obowiązuje od ponad roku. Jeśli jeszcze nie reagowałeś — to dobry moment, żeby poświęcić temu dwie godziny.
1. Zrób inwentarz urządzeń IoT w firmie. Co zbiera dane i przesyła je do chmury producenta? Typowe urządzenia w MŚP: kasy fiskalne online, terminale płatnicze, wagi elektroniczne, czytniki kart lojalnościowych, sprzęt AGD w biurze z aplikacją zarządzającą (np. ekspres do kawy z telemetrią), routery biznesowe, kamery CCTV z chmurowym nagrywaniem, klimatyzatory i systemy HVAC z panelem online, auta służbowe z telematyką.
2. Sprawdź, czy masz dostęp do danych z tych urządzeń. Zaloguj się do panelu zarządzania każdego urządzenia i sprawdź, czy możesz pobrać surowe dane — log aktywności, odczyty czujników, historię transakcji. Jeśli nie możesz lub producent wymaga za to dodatkowej płatności — masz podstawę, żeby zgłosić to dostawcy i powołać się na art. 4 i 5 rozporządzenia (UE) 2023/2854.
3. Przejrzyj umowy z kluczowymi dostawcami SaaS. Sprawdź sekcje dotyczące: eksportu danych przy zakończeniu umowy, opłat za migrację, okresu wypowiedzenia. Klauzule niezgodne z Data Act są nieważne z mocy prawa — ale dostawca nie usunie ich sam z siebie. Polskie firmy mogą zgłaszać nieuczciwe klauzule do UOKiK lub — w przypadku nakładania się z danymi osobowymi — do UODO.
4. Zaplanuj przegląd umów pod kątem API i standardów. Od 12 września 2026 dostawcy chmury muszą zapewniać standardowe API do transferu danych. Jeśli używasz oprogramowania, które nie ma takiej funkcji, i umowa kończy się przed 2027 rokiem — masz argument do renegocjacji warunków.
5. Jeśli jesteś producentem urządzeń — sprawdź swoją sytuację. Dotyczy też importerów, dystrybutorów i firm działających jako podwykonawca przy projektowaniu sprzętu. Zwolnienie dla MŚP jest ograniczone — sprawdź z prawnikiem, czy produkt, który sprzedajesz lub importujesz, podlega obowiązkom projektowym z września 2026.
Podsumowanie
EU Data Act to jedno z tych rozporządzeń UE, które faktycznie zmienia codzienny biznes — nie po kilku latach, nie po polskim wdrożeniu, ale teraz. Od września 2025 masz konkretne prawa: do danych ze swoich urządzeń, do zmiany dostawcy chmury bez kary i do ochrony przed nieuczciwymi klauzulami umownymi.
Wskazówka: zacznij od jednego działania — przejrzyj umowę z Twoim największym dostawcą SaaS i sprawdź, co mówi o eksporcie danych i opłatach za zakończenie usługi. To zajmie godzinę, a może otworzyć negocjację, która zwróci się przy kolejnej zmianie oprogramowania.
Jeśli rozważasz audyt umów cyfrowych swojej firmy pod kątem Data Act lub chcesz wiedzieć, jak wygląda migracja danych między systemami w praktyce — chętnie porozmawiamy.