Data Act po zakupie urządzenia IoT – czy właściciel może zażądać danych generowanych przez sprzęt i przekazać je niezależnemu serwisowi?

Kupno inteligentnego urządzenia nie oznacza już, że dane z jego czujników pozostają wyłącznie w zamkniętym systemie producenta. Jeżeli samochód rejestruje parametry pracy podzespołów, pompa ciepła zapisuje temperatury i błędy, robot przemysłowy raportuje przeciążenia, a inteligentna pralka gromadzi dane o cyklach pracy, użytkownik może mieć prawo zażądać tych danych i skierować je do wybranego serwisu. Nie musi to być autoryzowany punkt producenta.

Tak działa unijny Data Act, czyli rozporządzenie (UE) 2023/2854, stosowane od 12 września 2025 r. Przepisy są szczególnie istotne na rynku napraw i utrzymania sprzętu, ponieważ dostęp do danych diagnostycznych często decyduje o tym, czy niezależny serwis w ogóle jest w stanie znaleźć usterkę bez wymiany kolejnych części metodą prób i błędów.

Nie oznacza to jednak prawa do pełnego archiwum producenta, kodu źródłowego urządzenia czy każdego wyniku jego wewnętrznych analiz. Zakres danych jest konkretnie ograniczony, a przy danych osobowych, tajemnicy przedsiębiorstwa i wymaganiach bezpieczeństwa pojawiają się dodatkowe warunki.

Właściciel może żądać danych, ale Data Act mówi szerzej o „użytkowniku”

Pierwsza praktyczna rzecz: uprawnienie nie jest zarezerwowane wyłącznie dla osoby, która ma fakturę zakupu na swoje nazwisko. Data Act posługuje się pojęciem użytkownika produktu skomunikowanego. Może nim być osoba fizyczna albo firma, która:

• jest właścicielem urządzenia,

• korzysta z niego na podstawie najmu, dzierżawy lub leasingu i otrzymała odpowiednie prawa do korzystania,

• korzysta z usługi powiązanej z urządzeniem.

Ma to duże znaczenie w przypadku leasingowanych samochodów, flot pojazdów, maszyn produkcyjnych, sprzętu rolniczego czy wynajmowanych urządzeń specjalistycznych. Formalny właściciel nie zawsze jest jedynym podmiotem mogącym korzystać z praw przewidzianych w Data Act.

Samo urządzenie musi natomiast mieścić się w definicji produktu skomunikowanego. W uproszczeniu chodzi o rzecz, która zbiera, generuje lub pozyskuje dane dotyczące swojego używania albo otoczenia i potrafi je komunikować przez sieć, połączenie fizyczne albo bezpośredni dostęp na urządzeniu. Typowe przykłady to samochody połączone z siecią, sprzęt smart home, urządzenia medyczne i fitness, maszyny przemysłowe, sprzęt rolniczy czy systemy energetyczne.

Istotne są dwie daty.

Od 12 września 2025 r. Data Act jest stosowany, a więc działają m.in. przepisy dotyczące dostępu użytkownika do danych oraz przekazywania ich osobom trzecim.

Osobna data dotyczy konstrukcji nowych produktów. Obowiązek wynikający z art. 3 ust. 1, zgodnie z którym produkty mają być projektowane tak, aby dane były domyślnie łatwo, bezpiecznie i bezpłatnie dostępne w odpowiednim formacie, stosuje się do produktów skomunikowanych i usług powiązanych wprowadzonych na rynek po 12 września 2026 r.

To rozróżnienie jest ważne. Przy starszej maszynie nie można automatycznie powiedzieć: „nie ma wygodnego portalu z eksportem CSV, więc Data Act nie obowiązuje”. Prawo użytkownika do otrzymania danych od posiadacza danych jest odrębną kwestią od obowiązku takiego zaprojektowania nowych urządzeń, aby dostęp był możliwie prosty już na poziomie produktu.

Jeżeli użytkownik nie ma bezpośredniego dostępu do danych, posiadacz danych ma udostępnić dane łatwo dostępne bez zbędnej zwłoki, w sposób łatwy, bezpieczny i bez opłaty pobieranej od użytkownika. Dane mają mieć taką samą jakość jak dane dostępne posiadaczowi i powinny zostać przekazane w formacie całościowym, ustrukturyzowanym, powszechnie używanym oraz nadającym się do odczytu maszynowego. Jeżeli ma to znaczenie i jest technicznie wykonalne, dostęp może obejmować również dane ciągłe lub przekazywane w czasie rzeczywistym.

Data Act nie wskazuje tutaj prostego terminu typu „14 dni” albo „30 dni”. Posługuje się standardem „bez zbędnej zwłoki”. Producent nie powinien więc automatycznie przenosić na taki wniosek miesięcznego terminu znanego z niektórych procedur dotyczących danych osobowych.

Jakich danych można zażądać i czego producent nie musi tworzyć specjalnie dla klienta

Najczęstszy błąd polega na żądaniu „wszystkich danych dotyczących urządzenia”. Taki wniosek jest za szeroki i daje producentowi pole do sporu o zakres. Lepiej wskazać dane potrzebne do konkretnego celu, na przykład diagnostyki usterki układu chłodzenia, oceny stanu akumulatora albo analizy nieprawidłowych zatrzymań maszyny.

Data Act obejmuje przede wszystkim dane z produktu oraz dane z usługi powiązanej, w tym odpowiednie metadane konieczne do ich interpretacji. Mogą to być przykładowo:

• temperatury i ciśnienia z czujników,

• prędkość, pozycja, przyspieszenia i parametry pracy,

• informacje o stanie podzespołów,

• kody i dane opisujące nieprawidłowe działanie,

• poziomy zużycia lub przepływu,

• dane o stanie baterii,

• dane powstające w trybie czuwania,

• informacje generowane przez aplikację powiązaną z urządzeniem,

• metadane potrzebne do ustalenia, co oznaczają poszczególne pola, jednostki i znaczniki czasu.

To właśnie metadane mogą okazać się dla niezależnego serwisu równie ważne jak same liczby. Plik zawierający kolumny „P104”, „S17” i „V4” bez dokumentacji jednostek, czasu pomiaru i znaczenia parametrów może być technicznie udostępniony, a praktycznie pozostawać prawie bezużyteczny.

Granica przebiega przy danych, które posiadacz danych rzeczywiście pozyskuje albo może pozyskać bez nieproporcjonalnego wysiłku wykraczającego poza prostą czynność. Data Act nazywa je danymi łatwo dostępnymi.

Producent nie ma więc obowiązku budowania od zera dodatkowego systemu pomiarowego tylko dlatego, że klient chciałby otrzymać parametr, którego urządzenie nigdy nie zapisuje ani nie przekazuje. Jeżeli czujnik generuje wartość wyłącznie lokalnie, a konstrukcja sprzętu nie przewiduje jej zapisania ani przesłania poza konkretny komponent, Data Act nie tworzy automatycznie obowiązku rozpoczęcia takiej archiwizacji.

Poza podstawowym zakresem pozostają również dane wywnioskowane lub wyprowadzone, powstałe wskutek dodatkowych, istotnych nakładów producenta. Innymi słowy: użytkownik może mieć prawo do surowych lub wstępnie przetworzonych pomiarów, ale nie oznacza to automatycznego prawa do każdego autorskiego wyniku zaawansowanej analityki producenta.

Dobry wniosek powinien identyfikować sprzęt i dane wystarczająco precyzyjnie. W praktyce należy podać:

• model urządzenia i numer seryjny, VIN albo inny jednoznaczny identyfikator,

• podstawę korzystania ze sprzętu, jeśli nie wynika ona z konta użytkownika,

• interesujący okres, np. od 1 do 20 sierpnia 2026 r.,

• konkretne grupy danych potrzebne do diagnostyki,

• prośbę o dołączenie odpowiednich metadanych,

• żądanie przekazania danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego,

• informację, czy dane mają trafić do użytkownika, czy bezpośrednio do wskazanego serwisu.

Nie trzeba wysyłać producentowi całej teczki dokumentów „na wszelki wypadek”. Przy weryfikowaniu, czy dana osoba jest użytkownikiem albo uprawnionym odbiorcą, posiadacz danych nie powinien żądać informacji wykraczających poza to, co jest niezbędne do przeprowadzenia takiej kontroli.

Niezależny serwis może dostać dane bezpośrednio, ale nie otrzymuje prawa do dowolnego ich używania

To najbardziej praktyczna część Data Act. Użytkownik może zażądać, aby posiadacz danych przekazał dane bezpośrednio wybranej osobie trzeciej, np. niezależnemu warsztatowi samochodowemu, firmie serwisującej linię produkcyjną, specjaliście od pomp ciepła albo przedsiębiorstwu analizującemu stan maszyny.

Producent nie może sprowadzić tego prawa do odpowiedzi: „możemy wykonać diagnostykę wyłącznie w naszym autoryzowanym serwisie”. Rynek napraw i usług posprzedażowych jest wręcz jednym z obszarów, w których możliwość przekazywania danych ma mieć realne znaczenie konkurencyjne.

Użytkownik może więc wybrać jedną z dwóch dróg. Może najpierw odebrać dane samodzielnie i następnie przekazać je serwisowi albo może wystąpić o bezpośrednie udostępnienie ich serwisowi przez posiadacza danych.

W drugim wariancie producent przekazuje łatwo dostępne dane wraz z potrzebnymi metadanymi, bez zbędnej zwłoki, w jakości odpowiadającej jakości dostępnej samemu posiadaczowi danych. Dla użytkownika takie udostępnienie ma być bezpłatne.

Tu pojawia się jednak niuans, który często ginie w prostych opisach Data Act: brak opłaty dla właściciela nie oznacza, że relacja pomiędzy producentem a profesjonalnym odbiorcą danych zawsze musi być bezpłatna.

W relacji B2B posiadacz danych może uzgodnić z odbiorcą rozsądną rekompensatę za udostępnienie danych. Przy jej ustalaniu bierze się pod uwagę m.in. koszty formatowania, elektronicznego przekazania i przechowywania danych oraz, w określonych przypadkach, inwestycje w ich zebranie i wytworzenie.

Dla małego niezależnego warsztatu szczególnie ważna jest preferencja dotycząca MŚP. Jeżeli odbiorca kwalifikuje się jako MŚP i nie jest poprzez odpowiednie powiązania częścią większej struktury, rekompensata nie może przekroczyć kosztów poniesionych na udostępnienie danych, takich jak niezbędne formatowanie, elektroniczne przesłanie i przechowywanie. Producent powinien też przedstawić wystarczająco szczegółową podstawę wyliczenia rekompensaty.

To nie oznacza, że sama naprawa będzie dla klienta bezpłatna. Serwis nadal może policzyć normalną stawkę za diagnozę, roboczogodzinę, analizę danych czy naprawę. Data Act reguluje dostęp do danych, a nie cennik usług warsztatowych.

Druga granica to cel używania danych. Serwis otrzymujący dane na podstawie Data Act może wykorzystywać je do celu i na warunkach uzgodnionych z użytkownikiem. Po osiągnięciu celu powinien dane usunąć, chyba że w odniesieniu do danych nieosobowych uzgodniono z użytkownikiem inaczej.

Serwis nie może też wykorzystać otrzymanych informacji do skonstruowania produktu konkurującego z urządzeniem, z którego dane pochodzą. To ograniczenie nie blokuje jednak konkurencji na rynku napraw, konserwacji, diagnostyki i innych usług posprzedażowych.

Kolejnym problemem są tajemnice przedsiębiorstwa. Producent nie może używać hasła „tajemnica przedsiębiorstwa” jak uniwersalnego przycisku blokującego każdy eksport danych. Jeżeli w żądanym zestawie rzeczywiście występują informacje chronione, w pierwszej kolejności powinny zostać zastosowane proporcjonalne środki ochrony poufności, np. umowa NDA, ograniczenie dostępu, odpowiedni protokół techniczny albo inne zabezpieczenia organizacyjne.

Dopiero w wyjątkowej sytuacji, gdy mimo takich zabezpieczeń producent będący posiadaczem tajemnicy przedsiębiorstwa potrafi wykazać wysokie prawdopodobieństwo poważnej szkody ekonomicznej, może odmówić udostępnienia konkretnych chronionych danych. Odmowa powinna dotyczyć konkretnego przypadku i konkretnych informacji, a nie całej kategorii danych tylko dlatego, że znajdują się w tym samym pliku.

Podobna ostrożność dotyczy bezpieczeństwa. Dostęp lub dalsze przekazanie może zostać ograniczone, gdy rzeczywiście mogłoby naruszyć wymagania bezpieczeństwa produktu wynikające z prawa i spowodować poważne negatywne skutki dla zdrowia lub bezpieczeństwa ludzi. Sam argument „nasz zamknięty system jest bezpieczniejszy” nie jest tym samym co wykazanie przesłanki przewidzianej w rozporządzeniu.

Najwięcej komplikacji pojawia się jednak przy danych osobowych. Przykład: firma posiada samochód służbowy, ale dane telematyczne pokazują dokładną lokalizację konkretnego pracownika. Albo właściciel urządzenia medycznego chce przekazać do zewnętrznej firmy zestaw zawierający dane zdrowotne innej osoby.

Data Act nie zastępuje RODO i sam w sobie nie daje dowolnej podstawy do przekazywania cudzych danych osobowych. Jeżeli użytkownik urządzenia nie jest osobą, której dane dotyczą, potrzebna jest właściwa podstawa prawna przetwarzania zgodna z RODO, a przy danych szczególnych kategorii – np. dotyczących zdrowia – również spełnienie dodatkowych warunków.

Jest jeszcze jedno wyłączenie, które może zaskoczyć klienta kupującego sprzęt od niewielkiego producenta. Obowiązki rozdziału II Data Act nie dotyczą w określonych warunkach danych generowanych przez produkty zaprojektowane lub wyprodukowane przez mikroprzedsiębiorstwa i małe przedsiębiorstwa albo usług powiązanych świadczonych przez takie firmy. Wyłączenie odpada jednak m.in. w określonych przypadkach powiązania z większą firmą lub wykonywania produkcji czy projektu jako podwykonawca większego podmiotu. Dla przedsiębiorstw, które dopiero uzyskały status średnich, przewidziano dodatkowy okres przejściowy.

Dlatego przy mało znanej marce pierwszym pytaniem nie powinno być „gdzie jest przycisk eksportu danych?”, lecz kto faktycznie zaprojektował i wyprodukował produkt, kto jest posiadaczem danych i czy nie działa ustawowe wyłączenie.

FAQ: dostęp do danych z urządzenia IoT i niezależny serwis

Czy po zakupie inteligentnego urządzenia automatycznie jestem właścicielem wszystkich generowanych przez nie danych?
Nie. Data Act nie ustanawia prostego prawa własności do wszystkich danych. Daje użytkownikowi konkretne prawa dostępu, używania oraz przekazywania określonych danych z produktu i usługi powiązanej.

Czy producent może kazać mi korzystać wyłącznie z autoryzowanego serwisu, jeżeli potrzebne są dane diagnostyczne?
Nie może w ten sposób generalnie wyłączyć praw użytkownika wynikających z Data Act. Użytkownik może zażądać przekazania objętych rozporządzeniem danych wybranemu niezależnemu serwisowi, jeśli spełnione są warunki przewidziane w przepisach.

Czy za pobranie danych producent może wystawić mi rachunek?
Dostęp użytkownika do łatwo dostępnych danych oraz przekazanie ich osobie trzeciej na żądanie użytkownika mają być dla użytkownika bezpłatne. Osobną kwestią jest rekompensata uzgadniana w relacji pomiędzy posiadaczem danych a profesjonalnym odbiorcą danych.

Czy niezależny serwis może dostać dane bezpośrednio od producenta?
Tak. Art. 5 Data Act przewiduje właśnie możliwość zażądania, aby posiadacz danych przekazał dane wskazanej przez użytkownika osobie trzeciej.

Czy producent musi przekazać dane w Excelu lub CSV?
Rozporządzenie nie narzuca jednego konkretnego rozszerzenia pliku. Wymaga natomiast formatu całościowego, ustrukturyzowanego, powszechnie używanego i nadającego się do odczytu maszynowego. Format powinien pozwalać na rzeczywiste wykorzystanie danych wraz z potrzebnymi metadanymi.

Czy można żądać danych w czasie rzeczywistym?
Tak, jeżeli jest to właściwe dla danego przypadku i technicznie wykonalne. Nie każde urządzenie ani każdy rodzaj danych będzie jednak pozwalał na ciągły dostęp w czasie rzeczywistym.

Czy Data Act obejmuje również dane o awariach i stanie urządzenia?
Tak, jeżeli są to objęte rozporządzeniem dane generowane przez korzystanie z produktu i zaprojektowane jako możliwe do pobrania. W praktyce zakres może obejmować dane z czujników oraz informacje zapisane przez wbudowane aplikacje dotyczące stanu sprzętu i jego nieprawidłowego działania.

Czy producent może odmówić, powołując się na tajemnicę przedsiębiorstwa?
Nie automatycznie. Najpierw powinien dążyć do ochrony tajemnicy poprzez proporcjonalne środki techniczne i organizacyjne. Odmowa dotycząca konkretnych danych jest rozwiązaniem wyjątkowym i wymaga wykazania przesłanek przewidzianych w Data Act.

Czy Data Act działa również wtedy, gdy dane zawierają informacje o konkretnej osobie?
Tak, ale równolegle obowiązuje RODO. Jeżeli użytkownik żądający danych nie jest osobą, której dane osobowe dotyczą, udostępnienie wymaga odpowiedniej podstawy prawnej. Data Act nie legalizuje automatycznie przekazywania cudzych danych osobowych.

Co zrobić, gdy producent odpowiada tylko: „dane są własnością producenta” albo „dostęp ma wyłącznie autoryzowany serwis”?
Poprosić o wskazanie konkretnej podstawy odmowy oraz określenie, które żądane dane nie są danymi łatwo dostępnymi albo jaka konkretna przesłanka Data Act uniemożliwia ich udostępnienie. Ogólna odpowiedź handlowa nie zastępuje analizy obowiązków wynikających z rozporządzenia.

Od czego zacząć: najpierw ustal kto jest posiadaczem danych, a następnie wyślij precyzyjny wniosek obejmujący model i identyfikator urządzenia, okres, konkretne kategorie danych, metadane, format maszynowy oraz dane niezależnego serwisu, jeśli informacje mają trafić bezpośrednio do niego. Największym błędem jest zaczynanie od żądania „wszystkich danych” bez określenia, czego serwis rzeczywiście potrzebuje do diagnozy. Więcej informacji na: https://takieprawo.pl