#7 Dekodując Akt w sprawie danych

To już siódmy wpis z cyklu #Dekodując Akt w sprawie danych. Tym razem przedstawiamy prawa i obowiązki użytkownika danych zgodnie z Aktem.

Dla jasności, użytkownikiem w rozumieniu Aktu jest osoba fizyczna lub prawna, która jest właścicielem produktu skomunikowanego, lub której przekazano na podstawie umowy tymczasowe prawo do jego używania (np. na podstawie umowy najmu lub dzierżawy), lub która korzysta z usługi powiązanej.

PRAWA UŻYTKOWNIKA

Prawo dostępu do Danych oraz prawo do udostępniania ich stronom trzecim

Zgodnie z Aktem, użytkownik ma prawo do bezpośredniego, bezpłatnego i bezpiecznego dostępu do Danych generowanych przez produkt skomunikowany oraz powiązane usługi. Dane te powinny być udostępniane w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie, wraz z metadanymi niezbędnymi do ich interpretacji (art. 4 ust. 1 Aktu).

Tym samym, Akt nie zezwala na pobieranie opłat za same Dane generowane przez produkt skomunikowany, jednak nie uniemożliwia żądania zapłaty za usługi dodatkowe świadczone przez posiadacza danych. Do takich usług dodatkowych mogą należeć: dodatkowe wsparcie techniczne przy udostępnianiu Danych, przygotowanie Danych w niestandardowych formatach wykraczających poza wymagania ustrukturyzowanego, powszechnie używanego i nadającego się do odczytu maszynowego formatu, dostarczanie szczegółowych analiz lub raportów na podstawie Danych czy też zapewnienie zwiększonej częstotliwości dostępu do Danych ponad standardowe wymagania oraz usługi integracyjne z systemami użytkownika.

W przypadku danych historycznych, tj. wygenerowanych przez produkt skomunikowany przed wejściem w życie Aktu w sprawie danych, posiadacz danych NIE ma obowiązku ich udostępniania. Akt stosuje zasadę prospektywnego działania i wyraźnie ogranicza swoje zastosowanie do produktów skomunikowanych wprowadzonych na rynek po 12 września 2025 r.

Ponadto użytkownik może wskazać osobę trzecią (np. serwis, firmę leasingową), której posiadacz danych jest zobowiązany udostępnić Dane na wniosek użytkownika (art. 5 ust. 1 Aktu). W takim przypadku udostępnienie Danych może wiązać się z odpłatnością dla odbiorcy na rzecz posiadacza (jednocześnie pozostając nieodpłatne dla użytkownika). Dane powinny zostać udostępnione osobie trzeciej w stosownych przypadkach i jeśli to technicznie możliwe – w sposób ciągły i w czasie rzeczywistym.

UWAGA!

Osobą trzecią nie może być przedsiębiorstwo wyznaczone jako strażnik (gatekeeper) w rozumieniu rozporządzenia o rynkach cyfrowych (art. 5 ust. 3 Aktu).

Szczegółowe informacje na temat udostępniania Danych na podstawie Aktu można znaleźć w #4 wpisie z cyklu Dekodując Akt w sprawie danych.

Prawo do informacji

Przed zakupem produktu lub usługi sprzedawca powinien przekazać użytkownikowi jasne i zrozumiałe informacje o rodzaju Danych, sposobie ich udostępnienia, formacie, częstotliwości dostępu oraz warunkach ich wykorzystania (art. 3 Aktu).

Szczegóły dotyczące obowiązku informacyjnego posiadacza danych wobec użytkownika omawiamy w #2 wpisie z tego cyklu.

Prawo do decydowania o sposobie korzystania z Danych przez posiadacza

Użytkownik ma prawo zdecydować czy posiadacz danych będzie mógł wykorzystywać Dane, a jeśli tak, to w jakim zakresie. Bez uzyskania zgody użytkownika, posiadacz danych nie będzie mógł wykorzystywać Danych w innych celach. Więcej na temat zgody i przykładowych sposobów wykorzystania Danych przez posiadacza danych możesz zobaczyć w #2 wpisie z cyklu.

Prawo do decydowania o podmiotach, którym posiadacz może przekazywać Dane

Użytkownik ma prawo do decydowania czy posiadacz danych będzie mógł udostępniać Dane innym podmiotom, a jeśli tak, to jakim. Bez uzyskania zgody użytkownika, posiadacz danych będzie mógł udostępniać Dane podmiotom trzecim tylko w celach związanych z realizacją umowy z użytkownikiem (np. w przypadku korzystania z dostawcy usług chmurowych w której przechowuje Dane lub udostępnia aplikację w ramach usługi powiązanej). Temat zgody na udostępnianie Danych podmiotom trzecim szczegółowo omówiłyśmy w #2 wpisie z cyklu.

Prawo do złożenia skargi i rozstrzygania sporów

W przypadku odmowy dostępu do Danych lub naruszenia przepisów użytkownik może złożyć skargę do właściwego organu lub skorzystać z procedury rozstrzygania sporów (art. 10, art. 38 Aktu). Skargę wnosi się do właściwego organu lub koordynatora ds. danych, jeśli taki został wyznaczony. Organ ten jest zobowiązany do rozpatrzenia skargi, prowadzenia postępowania oraz informowania skarżącego o przebiegu i wyniku sprawy (art. 38 Aktu). Użytkownik ma także prawo do skutecznego środka sądowego w przypadku decyzji organu lub braku działania (art. 39 Aktu).

Naruszenie obowiązków określonych w Akcie podlega karom - państwa członkowskie są zobowiązane do ustanowienia skutecznych, proporcjonalnych i odstraszających kar, które mogą obejmować kary pieniężne, ostrzeżenia, nagany lub nakazy dostosowania praktyk biznesowych. Przy ustalaniu wysokości kary uwzględnia się m.in. charakter, wagę, czas trwania naruszenia, działania naprawcze oraz wcześniejsze naruszenia (art. 40 Aktu).

W wykazie prac legislacyjnych i programowych Rady Ministrów pojawił się w sierpniu projekt ustawy implementującej Akt w sprawie danych - Projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu. Planowany termin przyjęcia projektu przez RM to IV kwartał 2025 r. Funkcja właściwego organu krajowego ma być pełniona przez Prezesa Urzędu Komunikacji Elektronicznej, na tę chwilę nie ma jednak informacji o karach.

Prawo do ochrony danych osobowych zawartych w Danych

Dane osobowe wygenerowane w wyniku korzystania z produktu skomunikowanego lub usługi powiązanej są udostępniane tylko w przypadku istnienia podstawy prawnej do ich udostępnienia zgodnie z art. 6 i 9 RODO. Więcej na temat udostępniania danych osobowych napisałyśmy w #2 wpisie z cyklu.

Prawo wyboru klauzul opcjonalnych, które wynikają ze wzorów umów udostępniania Danych

Użytkownik może m.in.: (i) wybrać sposób otrzymania dostępu do Danych np. poprzez transmisję Danych lub poprzez dostęp do nich w miejscu ich przechowywania; (ii) zgodzić się na ograniczenie swojego prawa do korzystania lub udostępniania Danych np. w zamian za dodatkowe wynagrodzenie i o ile nie jest to dla niego niekorzystne; (iii) wybrać opcję dotyczącą wejścia w życie umowy (natychmiast lub od określonej daty) oraz czas trwania umowy (nieokreślony lub określony) czy też (iv) obowiązujące prawo.

OBOWIĄZKI UŻYTKOWNIKA

Zakaz wykorzystania Danych w celach konkurencyjnych

Akt wprowadza:

• zakaz wykorzystywania pozyskanych Danych do opracowania konkurencyjnego produktu skomunikowanego względem produktu, z którego pochodzą Dane, a także
• zakaz udostępniania tych Danych osobom trzecim w tym celu oraz wykorzystywania Danych do pozyskiwania informacji o sytuacji ekonomicznej, aktywach i metodach produkcji producenta lub posiadacza danych (art. 4 ust. 10, art. 6 ust. 2 lit. e Aktu).

Zakaz ten nie dotyczy jednak tworzenia konkurencyjnych usług powiązanych.

Zakaz nadużywania infrastruktury technicznej

Kolejnym ograniczeniem jest zakaz stosowania środków przymusu oraz nadużywania luk w infrastrukturze technicznej posiadacza danych, które mają na celu ochronę Danych, w celu uzyskania do nich dostępu (art. 4 ust. 11 Aktu).

Obowiązek ochrony tajemnicy przedsiębiorstwa

Użytkownik jest zobowiązany do wdrożenia uzgodnionych środków technicznych i organizacyjnych chroniących tajemnice przedsiębiorstwa posiadacza danych. W przypadku niewdrożenia tych środków posiadacz danych może wstrzymać lub zawiesić udostępnianie Danych (art. 4 ust. 6-8, art. 5 ust. 9-11 Aktu).

Szczegóły dotyczące ochrony tajemnicy przedsiębiorstwa omawiamy w #6 wpisie z tego cyklu.

Obowiązek ochrony danych osobowych

Jeśli użytkownik nie jest osobą, której Dane dotyczą, posiadacz danych może udostępnić Dane zawierające dane osobowe wyłącznie na podstawie ważnej podstawy prawnej zgodnie z art. 6 lub 9 RODO oraz, w stosownych przypadkach, na podstawie art. 5 ust. 3 dyrektywy 2002/58/WE. Oznacza to, że posiadacz danych musi każdorazowo zweryfikować podstawę prawną przy udostępnianiu danych osobowych innej osoby niż użytkownik.

Wiesz już, że kto jest użytkownikiem i jakie ma prawa i obowiązki. W kolejnym wpisie z cyklu Dekodując Akt w sprawie danych dowiesz się więcej o odbiorcy danych. Stay tuned!