newtech.law - prawne aspekty nowych technologii

Wydaje się, że rok to długo, ale 12 miesięcy to naprawdę niewiele na przebudowę procesów zdalnej identyfikacji i weryfikacji tożsamości klienta z punktu widzenia przepisów o praniu pieniędzy. W 2027 r. instytucje obowiązane będą się musiały zmierzyć z dwiema powiązanymi reformami. Po pierwsze zacznie obowiązywać bezpośrednio stosowane rozporządzenie 2024/1624 (AMLR) z towarzyszącymi mu regulacyjnymi standardami technicznymi (RTS) dotyczącymi należytej staranności wobec klienta. Po drugie rok 2027 będzie kluczowy z punktu widzenia stosowania zmian wynikających z rozporządzenia 2024/1183 (eIDAS 2.0) wdrażającego Europejski Portfel Tożsamości Cyfrowej (EUDIW). Co to zmienia dla instytucji obowiązanych?

W wyroku z 16 lipca 2026 r. w sprawie Betaal Garant Trybunał Sprawiedliwości Unii Europejskiej pochylił się nad rozumieniem pojęcia „usługi płatniczej” na gruncie dyrektywy o usługach płatniczych (PSD2). Interpretacja tego pojęcia przyjęta przez Trybunał zmierza do ograniczenia zakresu usług uznawanych za regulowane usługi płatnicze. Otwarte pozostaje jednak pytanie, czy rozstrzygnięcie wydane na tle konkretnej, specyficznej usługi można będzie traktować jako zasadę ogólną.

Data Act wprowadza istotne regulacje dotyczące świadczenia tzw. usług przetwarzania danych. Zakres tych regulacji – ze względu na ich znaczenie dla biznesu – zasługuje na omówienie w odrębnym artykule. W tym opracowaniu przyjrzymy się natomiast bliżej samej definicji usług przetwarzania danych zawartej w Data Act. Spróbujemy określić, jakie rodzaje usług w praktyce mogą być objęte nowymi przepisami oraz w jaki sposób badać, czy dana usługa stanowi usługę przetwarzania danych w rozumieniu Data Act. 

Definicja legalna

Zgodnie z Data Act „usługa przetwarzania danych” to:

świadczona na rzecz klienta usługa cyfrowa umożliwiająca wszechobecny sieciowy dostęp na żądanie do wspólnego zbioru konfigurowalnych, skalowalnych i elastycznych zasobów obliczeniowych o charakterze scentralizowanym, rozproszonym lub wysoce rozproszonym, które mogą być szybko przydzielone i uwolnione przy minimalnym wysiłku pod względem zarządzania lub interakcji z dostawcą usług.

Jedną z głównych nowych instytucji wprowadzonych przez Data Act jest prawo użytkownika do dostępu do danych (w tym stosownych metadanych niezbędnych do ich interpretacji i wykorzystania) pochodzących z używanego produktu skomunikowanego lub usługi powiązanej z produktem skomunikowanym.

Dane, do których użytkownik może uzyskać dostęp, mogą mieć istotną wartość handlową dla posiadacza danych (np. producenta produktu skomunikowanego). Dlatego kluczowe z punktu widzenia posiadacza danych może być to, aby dane te pozostały nieujawnione lub aby korzystanie z takich danych było ograniczone.

Branża IoT i usług powiązanych jest jednym z głównych adresatów przepisów Data Act. Przedsiębiorcy z tej branży mogą być zmuszeni do podjęcia działań operacyjnych, aby dostosować swoją działalność do nowych wymogów. W artykule przybliżamy kluczowe obowiązki wynikające z Data Act dla przedsiębiorców z branży IoT oraz ich operacyjne implikacje.

Przedumowne obowiązki informacyjne

Czego dotyczą nowe obowiązki?

Podmioty, które sprzedają, oddają w najem, dzierżawę lub leasing produkt skomunikowany, jeszcze przed zawarciem umowy z użytkownikami mają obowiązek przedstawić im co najmniej następujące informacje:

• jakie dane może wygenerować produkt skomunikowany (rodzaj, format i szacunkowa ilość danych),
• czy produkt skomunikowany może generować dane w sposób ciągły i w czasie rzeczywistym,
• czy produkt skomunikowany może przechowywać dane na urządzeniu lub na zdalnym serwerze, a w stosownym przypadku – jaki jest zamierzony okres zatrzymywania danych,
• w jaki sposób użytkownik może uzyskać dostęp do tych danych, pobrać je lub w stosownym przypadku usunąć, jakie środki techniczne są stosowane w tym celu, a także jakie są warunki ich wykorzystywania i jakość usługi.

12 września 2025 r. był pierwszym dniem stosowania Data Act (czyli rozporządzenia (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania oraz w sprawie zmiany rozporządzenia (UE) 2017/2394 i dyrektywy (UE) 2020/1828). Na co powinni zwrócić uwagę przedsiębiorcy?

Charakter i cel Data Act

Data Act jest rozporządzeniem unijnym i jako takie jest bezpośrednio stosowany w Polsce i wszystkich innych państwach członkowskich UE. Na poziomie krajowym Data Act będzie wprawdzie uzupełniony przez przepisy lokalne – będą one jednak zasadniczo regulować kwestie formalne (np. dotyczące postępowań w sprawie naruszenia Data Act), a nie materialne. Innymi słowy w całej UE Data Act będzie obowiązywał w tej samej treści.