Data Act: kiedy producent musi udostępnić dane niezależnemu serwisowi?

Producent nie może odmówić udostępnienia danych serwisowi wybranemu przez użytkownika wyłącznie dlatego, że konkuruje on z jego własną ofertą. Data Act pozwala wykorzystywać dane do diagnostyki, konserwacji i napraw, również w konkurencji z producentem. Zakazuje natomiast użycia ich do opracowania produktu konkurującego z urządzeniem, z którego pochodzą.

Dostęp do danych eksploatacyjnych może przesądzać o możliwości zmiany dostawcy usług serwisowych. Niezależny wykonawca może dysponować odpowiednim personelem, doświadczeniem i częściami zamiennymi, a mimo to nie przeprowadzić diagnostyki bez informacji dostępnych na platformie producenta.

Data Act pozwala użytkownikowi przełamać tę zależność. Nie daje jednak prawa do wszystkich informacji związanych z urządzeniem. Producent nadal może chronić tajemnicę przedsiębiorstwa, wymagać odpowiednich zabezpieczeń i przeciwdziałać niedozwolonemu wykorzystaniu danych. Musi przy tym odróżnić ochronę tych interesów od ograniczania konkurencji na rynku usług.

BPPZ – Biuro Porad Prawnych Zacharski

Zadzwoń Napisz wiadomość

Dostęp do danych poza autoryzowaną siecią

Przyjmijmy, że polska spółka korzysta ze sprężarki przemysłowej połączonej z platformą producenta. Urządzenie przekazuje odczyty ciśnienia i temperatury, informacje o czasie pracy oraz historię alarmów. Producent wykorzystuje je do zdalnej diagnostyki i planowania przeglądów.

Spółka chce powierzyć obsługę niezależnej firmie serwisowej w Polsce. Występuje więc o przekazywanie jej danych potrzebnych do diagnozowania usterek i konserwacji urządzenia. Producent odmawia, wskazując, że dostęp przysługuje wyłącznie jego autoryzowanym partnerom.

Sama polityka współpracy z serwisami nie rozstrzyga o zasadności odmowy. Na podstawie art. 5 ust. 1 Data Act użytkownik lub podmiot działający w jego imieniu może żądać przekazania wskazanej osobie trzeciej danych objętych tym przepisem. Uprawnienie wynika z rozporządzenia, a nie z przystąpienia serwisu do sieci producenta. Art. 5 Data Act.

Adresatem obowiązku jest jednak posiadacz danych, którym nie zawsze będzie producent. Znaczenie mają jego uprawnienia do wykorzystywania i udostępniania danych oraz umowy dotyczące produktu i powiązanej usługi. Sam fakt wyprodukowania urządzenia lub technicznego przechowywania informacji nie przesądza o tej roli.

Również klient musi mieć status użytkownika, na przykład jako właściciel lub leasingobiorca urządzenia. Trzeba ponadto uwzględnić wyłączenia przewidziane w rozporządzeniu, w tym warunkowe wyjątki dotyczące mikro- i małych przedsiębiorstw oraz czasowe wyłączenia dotyczące przedsiębiorstw średnich. Dalsze rozważania dotyczą sytuacji, w której producent jest posiadaczem danych, a relacja podlega obowiązkom udostępniania. Art. 2 i 7 Data Act.

Udostępnienie klientowi panelu do samodzielnego pobierania danych nie wyczerpuje automatycznie obowiązków producenta. Jeżeli dane pozostają dla niego łatwo dostępne, użytkownik może nadal żądać przekazania ich bezpośrednio wskazanemu serwisowi. Komisja Europejska wyraźnie odróżnia prawo użytkownika do własnego dostępu od prawa do zlecenia takiego przekazania. FAQ Komisji Europejskiej, pytanie 31.

Dane eksploatacyjne to nie to samo co gotowa diagnoza

Na platformie producenta mogą znajdować się zarówno odczyty z czujników, jak i wyniki zaawansowanych analiz. Wspólne miejsce przechowywania nie oznacza, że wszystkie te informacje podlegają udostępnieniu.

Artykuł 5 obejmuje dane z produktu i usługi powiązanej, które są dla posiadacza łatwo dostępne. Chodzi o informacje, które zgodnie z prawem pozyskuje lub może pozyskać bez nieproporcjonalnego wysiłku wykraczającego poza prostą czynność. Obowiązek obejmuje również metadane niezbędne do interpretacji i wykorzystania tych informacji.

W tym zakresie mieszczą się zasadniczo dane surowe i wstępnie przetworzone. Poza nim mogą pozostawać informacje wywnioskowane lub pochodne, będące wynikiem dodatkowych inwestycji w analizę, w szczególności z użyciem własnych, złożonych algorytmów. Samo przetworzenie danych nie wystarcza jednak do wyłączenia ich spod obowiązku. Motyw 15, art. 2 pkt 17 i art. 5 ust. 1 Data Act.

W przypadku sprężarki różnice przedstawiają się następująco:

Informacja	Ocena na potrzeby udostępnienia
Zarejestrowane odczyty ciśnienia, temperatury i czasu pracy	Mogą podlegać udostępnieniu jako łatwo dostępne dane z produktu.
Znaczniki czasu, jednostki pomiaru i objaśnienia kodów zdarzeń	Mogą stanowić metadane niezbędne do zrozumienia i wykorzystania odczytów.
Prognoza awarii przygotowana przez własny, zaawansowany model producenta	Może pozostawać poza obowiązkiem jako wynik dodatkowej analizy.
Kod źródłowy oprogramowania lub dokumentacja konstrukcyjna	Prawo dostępu do danych nie daje samo w sobie ogólnego prawa do ich otrzymania.

Brak obowiązku przekazania gotowej prognozy awarii nie uzasadnia sam w sobie odmowy udostępnienia odczytów, na których ją oparto. Niezależny serwis może potrzebować właśnie tych informacji, aby przygotować własną diagnozę.

Producent musi zadbać także o jakość i sposób przekazania danych. Rozporządzenie wymaga m.in. jakości dostępnej posiadaczowi oraz ustrukturyzowanego, powszechnie używanego formatu nadającego się do odczytu maszynowego. W odpowiednich przypadkach, gdy jest to technicznie możliwe, dane należy udostępniać w sposób ciągły i w czasie rzeczywistym.

Okresowy raport PDF nie musi więc wystarczyć, jeżeli producent sam korzysta ze szczegółowych odczytów, których raport nie zawiera.

Konkurencja na rynku usług jest dopuszczalna

Udostępnienie danych może pomóc innej firmie rozwinąć ofertę konkurencyjną wobec usług producenta. Nie jest to skutek uboczny sprzeczny z rozporządzeniem. Data Act ma umożliwiać rozwój takich usług.

Zakaz z art. 6 ust. 2 lit. e dotyczy wykorzystania otrzymanych danych do opracowania produktu konkurującego z produktem skomunikowanym, z którego dane pochodzą, oraz przekazywania ich dalej w tym celu. Nie obejmuje ogólnego zakazu konkurencyjnej diagnostyki, konserwacji czy napraw. Rozróżnienie potwierdzają motywy 30 i 32 rozporządzenia. Art. 6 i motywy 30–32 Data Act.

Serwis może zatem analizować odczyty, aby ustalić przyczynę przegrzewania się sprężarki lub zaplanować wymianę części. Nie może wykorzystać otrzymanych danych do opracowania konkurencyjnego urządzenia.

Trudniejsza sytuacja powstaje, gdy odbiorca jednocześnie serwisuje cudze maszyny i produkuje własne. Sam profil jego działalności nie wyklucza dostępu. Wymaga jednak oceny, do czego dane mają służyć i jak ograniczyć ryzyko ich wykorzystania w pracach nad własnym produktem. Jednym z rozwiązań może być rozdzielenie dostępu między zespół serwisowy a zespół projektowy. To środek zarządzania konkretnym ryzykiem, a nie odrębny ustawowy warunek każdego udostępnienia.

Ochrony producenta nie należy również utożsamiać z zakazem badania działania urządzenia na potrzeby naprawy. Motyw 32 zachowuje możliwość zgodnej z prawem inżynierii odwrotnej, m.in. w celu naprawy i przedłużenia życia produktu. Samodzielne analizowanie otrzymanych danych nie jest więc równoznaczne z niedozwolonym wykorzystaniem technologii.

Tajemnica przedsiębiorstwa: od zabezpieczeń do wyjątkowej odmowy

Dane eksploatacyjne mogą ujawniać chronione rozwiązania techniczne. Nie każda informacja oznaczona przez producenta jako „poufna” stanowi jednak tajemnicę przedsiębiorstwa.

Ochrona zależy od spełnienia ustawowych przesłanek. Informacja musi m.in. posiadać wartość handlową ze względu na poufność, nie być powszechnie znana lub łatwo dostępna w odpowiednich kręgach oraz podlegać rozsądnym działaniom służącym zachowaniu jej w poufności. Art. 2 dyrektywy 2016/943.

Jeżeli dane spełniają te warunki, Data Act przewiduje trzy odrębne sytuacje.

Udostępnienie z zabezpieczeniami. Informacje stanowiące tajemnicę można przekazać serwisowi wyłącznie w zakresie ściśle niezbędnym do realizacji celu uzgodnionego z użytkownikiem. Należy zidentyfikować chronione dane i uzgodnić proporcjonalne środki ochrony, takie jak zobowiązania do poufności czy ograniczenie dostępu do określonych osób.

Wstrzymanie lub zawieszenie udostępniania. Jest możliwe, gdy nie uzgodniono niezbędnych zabezpieczeń, serwis ich nie wdraża lub zagraża poufności tajemnicy. Ograniczenie dotyczy danych zidentyfikowanych jako tajemnica, a nie automatycznie całego zbioru objętego wnioskiem.

Wyjątkowa odmowa mimo zabezpieczeń. Posiadacz danych, który jest jednocześnie posiadaczem tajemnicy, może odmówić dostępu do konkretnych informacji, jeżeli wykaże wysokie prawdopodobieństwo poważnej szkody ekonomicznej mimo zastosowania środków ochrony. Motyw 31 wiąże tę przesłankę z poważnymi i nieodwracalnymi stratami ekonomicznymi.

Posiadacz danych musi pisemnie uzasadnić decyzję o wstrzymaniu, zawieszeniu lub wyjątkowej odmowie i bez zbędnej zwłoki przekazać ją odbiorcy. Musi również powiadomić właściwy organ. Serwis może zakwestionować rozstrzygnięcie na zasadach przewidzianych w rozporządzeniu. Art. 5 ust. 9–12 i motyw 31 Data Act.

W naszej ocenie sam przewidywany spadek przychodów z serwisowania nie wykazuje jeszcze szkody uzasadniającej wyjątkową odmowę ujawnienia tajemnicy.

Przyjęcie odmiennego stanowiska pozwalałoby blokować konkurencyjne usługi właśnie dlatego, że mogą odebrać producentowi część zamówień.

Inaczej należy oceniać konkretne ryzyko ujawnienia chronionego rozwiązania technicznego. W takim przypadku producent powinien wykazać, jakie informacje są zagrożone, jaka szkoda może wyniknąć z ich ujawnienia i dlaczego uzgodnione zabezpieczenia nie wystarczą.

Dostęp do odczytów nie oznacza dostępu do sterowania maszyną

Bezpieczeństwo urządzenia przemysłowego jest uzasadnionym przedmiotem oceny. Nie stanowi jednak ogólnej podstawy blokowania niezależnych serwisów.

Artykuł 4 ust. 2 pozwala użytkownikowi i posiadaczowi danych umownie ograniczyć dostęp, wykorzystanie lub dalsze udostępnianie, jeżeli mogłoby to zagrozić wymaganiom bezpieczeństwa produktu określonym w prawie UE lub krajowym i mieć poważny negatywny wpływ na zdrowie, bezpieczeństwo lub ochronę osób fizycznych. Przepis nie daje producentowi swobodnego, jednostronnego prawa odmowy na podstawie jego wewnętrznej polityki bezpieczeństwa.

Serwis ma z kolei obowiązek powstrzymać się od wykorzystania danych w sposób pogarszający bezpieczeństwo produktu lub usługi powiązanej. Producent może stosować odpowiednie środki techniczne ochrony, ale nie mogą one utrudniać wykonywania praw dostępu przewidzianych w rozporządzeniu. Art. 4 ust. 2, art. 6 ust. 2 lit. f i art. 11 ust. 1 Data Act.

W przypadku sprężarki możliwość odczytania historii temperatur należy odróżnić od możliwości zmiany parametrów sterowania. Prawo do danych potrzebnych do diagnostyki nie oznacza samo w sobie prawa do dostępu administracyjnego do maszyny.

Ocena ryzyka powinna więc dotyczyć konkretnego rozwiązania: dostępu tylko do odczytu, wydzielonego interfejsu lub przekazania kopii danych. Żaden z tych sposobów nie gwarantuje bezpieczeństwa w każdej sytuacji. Pozwalają jednak sprawdzić, czy zagrożenie można ograniczyć bez uniemożliwiania wykonania usługi.

Dane urządzenia mogą ujawniać informacje o pracownikach

Rejestr pracy maszyny może zawierać identyfikator operatora, historię logowania lub informacje pozwalające ustalić, kto i kiedy obsługiwał urządzenie. Techniczny charakter zbioru nie wyłącza zatem zastosowania RODO.

Jeżeli o przekazanie takich danych występuje spółka korzystająca ze sprężarki, nie jest ona osobą, której dane dotyczą. W tej sytuacji sam wniosek złożony na podstawie Data Act nie wystarcza do udostępnienia danych pracowników. Konieczne jest ustalenie podstawy przetwarzania zgodnej z RODO oraz spełnienie pozostałych mających zastosowanie wymagań. Art. 5 ust. 7 Data Act.

W pierwszej kolejności warto ustalić, czy serwis potrzebuje tych informacji. Przy diagnozowaniu spadków ciśnienia tożsamość operatora może być zbędna. Jej usunięcie ograniczy zakres przekazywanych danych osobowych, ale nie zawsze zapewni anonimizację. Pracownik może nadal pozostawać możliwy do zidentyfikowania na podstawie innych informacji.

Przed uruchomieniem wymiany niezbędne jest także ustalenie ról stron i podstaw przetwarzania danych. Status posiadacza lub odbiorcy danych w Data Act nie przesądza automatycznie, kto jest administratorem, a kto podmiotem przetwarzającym na gruncie RODO.

Dlatego przygotowanie umowy powinno wynikać z rzeczywistego podziału decyzji i odpowiedzialności. Standardowa umowa powierzenia nie zastąpi tej oceny. Jej wynik wpływa również na konfigurację dostępu: zakres informacji przekazywanych serwisowi, dopuszczalne cele i okres ich przechowywania.

Opłaty za dostęp: kto płaci i za co?

Data Act rozróżnia sytuację użytkownika i odbiorcy danych. Przekazanie informacji wskazanemu serwisowi jest nieodpłatne dla użytkownika. W relacji między posiadaczem danych a serwisem może natomiast zostać uzgodniona rekompensata.

Nie jest ona dowolną ceną za dopuszczenie konkurenta do świadczenia usług. Musi być zasadna i niedyskryminacyjna. Na zasadach ogólnych może uwzględniać koszty udostępnienia, inwestycje w zebranie i wytworzenie danych oraz marżę. Posiadacz danych musi przedstawić podstawę obliczenia rekompensaty na tyle szczegółowo, aby odbiorca mógł ocenić jej zgodność z rozporządzeniem.

Dla serwisów będących MŚP szczególne znaczenie ma art. 9 ust. 4. Jeżeli odbiorca spełnia wskazane w nim warunki, w tym dotyczące przedsiębiorstw partnerskich i powiązanych, rekompensata nie może przekraczać kosztów udostępnienia danych. Chodzi m.in. o niezbędne formatowanie, transmisję i przechowywanie. Do tego limitu nie dolicza się marży ani odrębnie inwestycji w zebranie i wytworzenie danych. Art. 9 Data Act.

Klient porównujący oferty powinien zatem uwzględnić nie tylko cenę przeglądów i napraw, lecz także koszt uzyskania oraz wykorzystania danych. Ustawowa nieodpłatność po stronie użytkownika nie oznacza, że obsługa danych pozostanie bez wpływu na cenę usługi niezależnego serwisu.

Umowa określa sposób wykonania prawa

Użytkownik i serwis powinni uzgodnić, do czego dane będą wykorzystywane. Posiadacz danych i serwis muszą z kolei ustalić warunki ich przekazywania, zabezpieczenia oraz ewentualną rekompensatę. Ustalenia te powinny być spójne: dostęp przyznany na potrzeby diagnostyki nie stanowi upoważnienia do dowolnego wykorzystania informacji w innych projektach.

Umowy powinny regulować również zakończenie dostępu i postępowanie z otrzymanymi danymi. Zgodnie z art. 6 serwis zasadniczo usuwa je, gdy nie są już potrzebne do uzgodnionego celu; w odniesieniu do danych nieosobowych użytkownik i serwis mogą uzgodnić inaczej.

Warunki udostępniania w relacjach między przedsiębiorcami muszą być sprawiedliwe, rozsądne, niedyskryminacyjne i przejrzyste. Postanowienia ograniczające prawa użytkownika ze szkodą dla niego nie są dla niego wiążące. Art. 6–8 Data Act.

Klauzula poufności może więc chronić określone informacje, ale nie powinna wprowadzać generalnego zakazu świadczenia konkurencyjnych usług. Weryfikacja uprawnienia klienta lub zabezpieczeń serwisu nie powinna natomiast zmieniać się w uznaniową procedurę przyjmowania go do sieci partnerskiej producenta.

Wniosek wymaga oceny konkretnych danych

W przypadku sprężarki odpowiedź producenta nie musi oznaczać przekazania całej zawartości platformy. Powinna jednak osobno rozstrzygać o poszczególnych informacjach objętych żądaniem.

Odczyty ciśnienia i temperatury mogą podlegać udostępnieniu wraz z niezbędnymi metadanymi. Gotowa prognoza awarii może pozostawać poza zakresem obowiązku. Informacje stanowiące tajemnicę przedsiębiorstwa wymagają oceny niezbędności i zabezpieczeń. Dane identyfikujące pracowników – podstawy przetwarzania zgodnej z RODO. Ograniczenia ze względów bezpieczeństwa muszą odpowiadać konkretnym przesłankom prawnym.

Producent powinien zatem wskazać, jakie dane przekaże, na jakich warunkach oraz dlaczego określona część wniosku nie może zostać zrealizowana. Ogólna odmowa oparta wyłącznie na braku autoryzacji serwisu nie zastępuje tej oceny.

Data Act nie gwarantuje niezależnemu serwisowi dostępu do całej technologii producenta. Nie pozwala jednak zastrzec danych objętych obowiązkiem udostępnienia wyłącznie po to, by utrzymać klienta przy własnych usługach.

Dla producenta oznacza to potrzebę takiego ułożenia umów i zasad dostępu, aby chronić konkretne informacje i przeciwdziałać określonym zagrożeniom. Dla klienta – możliwość wyboru serwisu na podstawie jego kompetencji, ceny i odpowiedzialności za usługę, z uwzględnieniem rzeczywistych warunków dostępu do danych.

Obowiązki udostępniania danych na podstawie Data Act stosuje się zasadniczo od 12 września 2025 r. Należy odróżnić je od obowiązku projektowania dostępności danych z art. 3 ust. 1, dotyczącego produktów skomunikowanych i usług powiązanych wprowadzanych na rynek po 12 września 2026 r. Późniejszy termin nie odracza prawa użytkownika do żądania przekazania łatwo dostępnych danych niezależnemu serwisowi. Art. 50 Data Act.

Stan prawny: 10 września 2026 r.