Data Act – czyli masz prawo wiedzieć, jakie dane zbierają Twoje urządzenia
Czym jest Data Act?
Data Act to rozporządzenie UE nr 2023/2854 z dnia 13 grudnia 2023 r., które weszło w życie 11 stycznia 2024 r.
Większość przepisów Data Act stosuje się od 12 września 2025 r. (niektóre obowiązki zostaną wprowadzone w 2026 i 2027 roku),
Data Act reguluje przede wszystkim zasady dostępu i sposób wykorzystania danych zbieranych przez inteligentne urządzenia (tzw. "produkty skomunikowane") oraz powiązane z nimi oprogramowanie ("usługi powiązane") - np. smartfony, tablety, inteligentne RTV i AGD, urządzenia smart home, nowsze samochody - takie z łącznością z siecią producenta),
Data Act posiada także regulacje ułatwiające zmianę dostawców usług chmurowych oraz regulujące przekazywanie danych nie tylko do użytkownika urządzenia (B2C), ale także między przedsiębiorcami (B2B) i niekiedy na potrzeby publiczne (B2G).
Jakie masz prawa dzięki Data Act jako użytkownik?
Dzięki Data Act masz prawo do dostępu do danych generowanych przez Twoje inteligentne urządzenie oraz masz prawo udostępnić te dane wybranym przez ciebie podmiotom (np. serwisowi samochodowemu, ubezpieczycielowi).
Jeżeli producent posiada już system, który pozwala przekazać użytkownikowi dane z inteligentnego urządzenia, to prawa te przysługują już od 12 września 2025 r.
Jeżeli producent nie posiada jeszcze takiego systemu, to jest zobowiązany go stworzyć do 12 września 2026 r. System musi zapewniać, aby dane były dostępne dla użytkownika urządzenia łatwo, bezpiecznie, bezpłatne, w przystępnym formacie i czytelnej strukturze.
Jakie informacje powinien otrzymać nabywca w związku z nabyciem inteligentnego urządzenia?
Już od 12 września 2025 r. każdy sprzedawca, wynajmujący czy leasingodawca inteligentnego urządzenia jest zobowiązany przekazać użytkownikowi przed zawarciem umowy, w sposób jasny i zrozumiały, następujące informacje:
rodzaj, format i szacunkową ilość danych, które generuje inteligentne urządzenie,
czy dane są generowane ciągle i w czasie rzeczywistym?
gdzie są przechowywane dane (urządzenie/chmura) i jaki jest okres przechowywania?
w jaki sposób użytkownik może uzyskać dostęp do danych, pobrać je lub usunąć?
O czym informują nas teraz sprzedawcy?
Obowiązek przekazania informacji zgodnie z Data Act spoczywa na sprzedawcy (czy najemcy) urządzenia – którzy powinni polegać na informacjach dostarczanych przez producentów.
Okazuje się, że najwięksi producenci opublikowali już na swoich portalach informacje wymagane przez Data Act o specyfice danych zbieranych przez ich urządzenia. Natomiast bardzo ciężko jest odszukać sklep internetowy, który te informacje wprowadził już do swoich ofert.
Może to wynikać z faktu, że polska ustawa, która wprowadzi organ nadzorczy i kary za nieprzestrzeganie Data Act, wejdzie w życie prawdopodobnie dopiero za kilka miesięcy. Jest więc jeszcze trochę czasu, aby branża e-commerce zaktualizowała treść załączników do swoich ofert.
Jakie informacje przekazali dotychczas producenci?
Stosunkowo dużo informacji w sprawie danych zbieranych przez inteligentne urządzenia można znaleźć na stronach sklepu T-Mobile:
https://www.t-mobile.pl/c/data-act
Na stronie "różowego" telecomu możemy znaleźć linki do stron producentów, na których zamieszczono informacje wymagane przez Data Act. Oto najciekawsze linki dotyczące smartfonów:
Jak widać, producenci poinformowali o zbieranych danych w bardzo różny sposób - inaczej podchodząc do kwestii szczegółowości informacji a także do obowiązku zachowania jasności i zrozumiałości, np.:
Apple opublikowało bardzo krótki dokument, z którego nie wynikają w zasadzie żadne konkrety,
Google również "zmieściło się" na jednej stronie, ale dostaliśmy nieco konkretów (np. wielkości danych, okres przechowywania – 55 dni, zbierane dane – stan baterii, temperatura urządzenia), ale wszystko jest określone "szacunkowo" i "w szczególności"
z kolei na stronie Honor czy Xiaomi możemy odnaleźć obszerne tabele zawierające sporą ilość szczegółów i bardzo dobrze obrazujące, jakie dane o urządzeniu są zbierane.
Wygląda na to, że upłynie jeszcze sporo czasu, zanim wykształci się jednolity standard, jakie informacje nabywca powinien otrzymać w związku z Data Act.
Co ciekawe – udało mi się także znaleźć stronę (Sony), która nie tylko informuje o zbieranych danych, ale także umożliwia ich pobranie przez użytkownika – czyli realizuje już przepis, który stanie się obowiązkowy dopiero w 2026 roku:
Sony - formularz dostępu danych do urządzenia
Wnioski:
Data Act weszło w życie, ale jest jeszcze mocno "w powijakach",
Od 12.09 powinniśmy od sprzedawców inteligentnych urządzeń otrzymywać informacje o danych zbieranych przez urządzenia, ale trudno odszukać takie oferty (sprzedawcy mają tu sporo do nadrobienia)
czołowi producenci opublikowali informacje na ten temat, ale tylko niewielu z nich wykonało ten obowiązek w sposób szczegółowy – zapewne zmieni się to, gdy zostaną nałożone pierwsze kary.
P.s. Pamiętajmy, że Data Act koncentruje się na samych urządzeniach i danych przez nie (i o nich) zbieranych. Rozporządzenie nie uchyla ani nie modyfikuje zasad wynikających z RODO (np. dotyczących prawa dostępu do danych osobowych). Te dwa akty prawne działają równolegle i w przypadku urządzeń inteligentnych przetwarzających dane osobowe konieczne jest spełnianie obowiązków wynikających z obu regulacji.