zmiany w prawie - prawne aspekty nowych technologii

Branża IoT i usług powiązanych jest jednym z głównych adresatów przepisów Data Act. Przedsiębiorcy z tej branży mogą być zmuszeni do podjęcia działań operacyjnych, aby dostosować swoją działalność do nowych wymogów. W artykule przybliżamy kluczowe obowiązki wynikające z Data Act dla przedsiębiorców z branży IoT oraz ich operacyjne implikacje.

Przedumowne obowiązki informacyjne

Czego dotyczą nowe obowiązki?

Podmioty, które sprzedają, oddają w najem, dzierżawę lub leasing produkt skomunikowany, jeszcze przed zawarciem umowy z użytkownikami mają obowiązek przedstawić im co najmniej następujące informacje:

• jakie dane może wygenerować produkt skomunikowany (rodzaj, format i szacunkowa ilość danych),
• czy produkt skomunikowany może generować dane w sposób ciągły i w czasie rzeczywistym,
• czy produkt skomunikowany może przechowywać dane na urządzeniu lub na zdalnym serwerze, a w stosownym przypadku – jaki jest zamierzony okres zatrzymywania danych,
• w jaki sposób użytkownik może uzyskać dostęp do tych danych, pobrać je lub w stosownym przypadku usunąć, jakie środki techniczne są stosowane w tym celu, a także jakie są warunki ich wykorzystywania i jakość usługi.

12 września 2025 r. był pierwszym dniem stosowania Data Act (czyli rozporządzenia (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania oraz w sprawie zmiany rozporządzenia (UE) 2017/2394 i dyrektywy (UE) 2020/1828). Na co powinni zwrócić uwagę przedsiębiorcy?

Charakter i cel Data Act

Data Act jest rozporządzeniem unijnym i jako takie jest bezpośrednio stosowany w Polsce i wszystkich innych państwach członkowskich UE. Na poziomie krajowym Data Act będzie wprawdzie uzupełniony przez przepisy lokalne – będą one jednak zasadniczo regulować kwestie formalne (np. dotyczące postępowań w sprawie naruszenia Data Act), a nie materialne. Innymi słowy w całej UE Data Act będzie obowiązywał w tej samej treści.

Ostatnio przyjrzeliśmy się definicji systemów sztucznej inteligencji oraz podmiotowemu i terytorialnemu zakresowi projektowanego aktu w sprawie SI, z uwzględnieniem listopadowych propozycji zmian Rady do tego projektu. W tym artykule omówimy poziomy ryzyka, od których unijny prawodawca unijny uzależnia zakres nakładanych obowiązków i ograniczeń.

Na całym świecie pokłada się wielkie nadzieje w rozwoju systemów sztucznej inteligencji. Sztuczna inteligencja może przynieść wiele korzyści gospodarczych i społecznych w różnych aspektach życia czy sektorach gospodarki, w tym w dziedzinie środowiska, rolnictwa, zdrowia, finansów, podatków, mobilności czy spraw wewnętrznych.

Postępujący rozwój systemów sztucznej inteligencji wymusza stworzenie odpowiednich ram prawnych, które z jednej strony pozwolą na dalszy rozwój technologii SI, a z drugiej strony zapewnią należytą ochronę osób, które z takich systemów będą korzystać, i zwiększą społeczne zaufanie do ich działania.

30 listopada 2021 r. Rada i Parlament Europejski osiągnęły wstępne porozumienie w sprawie ostatecznej wersji projektu aktu w sprawie zarządzania danymi¹ (Data Governance Act, DGA).

Celem projektu jest promowanie dostępności danych i budowa godnego zaufania środowiska, które ułatwi wykorzystanie danych (zarówno osobowych, jak i nieosobowych) do badań i tworzenia nowych innowacyjnych usług i produktów. Ma również stworzyć ramy prawne dla łatwiejszego dzielenia się danymi i mechanizmy ułatwiające ponowne wykorzystanie niektórych danych posiadanych przez sektor publiczny, w tym danych dotyczących zdrowia, rolnictwa czy środowiska.

Do polskich regulacji, które wprost odnoszą się do blockchaina, dołączy 19 września rozporządzenie Rady Ministrów z dnia 9 marca 2020 r. w sprawie dokumentów związanych z czynnościami bankowymi, sporządzanych na informatycznych nośnikach danych. Rozporządzenie wyraźnie umożliwia bankom przechowywanie dokumentów związanych z czynnościami bankowymi na blockchainie.

Zgodnie z § 5 ust. 2 nowego rozporządzenia dokument może być przechowywany w formie rozproszonej i zdecentralizowanej bazy danych. Bank prowadzi bazę danych w sposób zapewniający bezpieczeństwo i integralność zawartych w niej dokumentów. Użyty w przytoczonym przepisie zwrot „rozproszona i zdecentralizowana baza danych” odnosi się do blockchaina. Wskazuje na to wyraźnie uzasadnienie do projektu rozporządzenia. Ponadto identyczny zwrot jest używany w innych aktach prawnych w celu odniesienia do technologii blockchain (np. w Kodeksie spółek handlowych w przepisach poświęconych rejestrowi akcjonariuszy).