Sprawiedliwy dostęp do danych i ich wykorzystywanie

1. Cel projektu ustawy Celem projektu jest przyjęcie przepisów krajowych służących stosowaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania oraz w sprawie zmiany rozporządzenia (UE) 2017/2394 i dyrektywy (UE) 2020/1828 (akt w sprawie danych), zwanego dalej „DA” lub „rozporządzeniem”. 2. Podstawowe informacje dotyczące DA – potrzeba rozwiązań krajowych DA tworzy europejski system zarządzania danymi. DA wprowadza horyzontalne ramy wymiany danych między przedsiębiorstwami, między przedsiębiorstwami a konsumentami oraz między przedsiębiorstwami a administracją publiczną. Ułatwia również zmianę dostawców usług przetwarzania danych (chmury) i wprowadza standardy interoperacyjności. Choć DA będzie stosowane bezpośrednio we wszystkich państwach członkowskich Unii Europejskiej, zwanych dalej „państwami członkowskimi UE”, od dnia 12 września 2025 r., to poziom ujednolicenia regulacji nie jest pełny. W pewnym zakresie konieczne jest przyjęcie dodatkowych przepisów krajowych służących stosowaniu rozporządzenia. Prawodawca unijny pozostawił państwom członkowskim UE pewną swobodę w zakresie ukształtowania otoczenia instytucjonalnoorganizacyjnego oraz regulacyjnego dla potrzeb stosowania przepisów DA. W aspekcie instytucjonalno-organizacyjnym każde państwo członkowskie UE zobowiązane jest powołać lub wyznaczyć podmioty odpowiedzialne za realizację przepisów DA, tj. wyznaczyć jeden lub więcej właściwych organów odpowiedzialnych za stosowanie i egzekwowanie rozporządzenia. W przypadku gdy państwo członkowskie UE wyznaczy więcej niż jeden właściwy organ, wyznacza spośród nich koordynatora danych. Oprócz tego każde państwo członkowskie UE zobowiązane jest wyznaczyć organ właściwy do spraw certyfikacji organów rozstrzygania sporów pomiędzy użytkownikami, posiadaczami danych, klientami lub dostawcami usług pośrednictwa danych, zwany dalej „organem do spraw certyfikacji organów rozstrzygania sporów”. Z kolei w aspekcie regulacyjnym DA nakłada na państwa członkowskie UE obowiązek unormowania w prawie krajowym niektórych kwestii proceduralnych, a także wymaga ustanowienia przepisów dotyczących administracyjnych kar pieniężnych za naruszenie obowiązków przewidzianych w rozporządzeniu.

I. Rekomendowane rozwiązanie – nowa ustawa (ustawa o sprawiedliwym dostępie do danych i ich wykorzystywaniu) Polskie prawo nie przewiduje obecnie rozwiązań, które odpowiadałyby wszystkim mechanizmom regulowanym przez DA, konieczne jest uchwalenie krajowych regulacji, które będą służyć stosowaniu przepisów rozporządzenia. Rekomendowanym rozwiązaniem jest uchwalenie nowej ustawy, w której zawarte zostaną przepisy prawa krajowego umożliwiające pełne stosowanie DA w Polsce. Przepisy te regulować będą obszary pozostawione przez prawodawcę europejskiego do uregulowania przez państwa członkowskie UE. Nowej ustawie proponuje się nadać tytuł odpowiadający tytułowi DA, czyli „ustawa o sprawiedliwym dostępie do danych i ich wykorzystywaniu”. II. Zakres projektowanej regulacji Istota rozwiązań przewidzianych w projekcie polega na zbudowaniu odpowiedniego otoczenia instytucjonalnoorganizacyjnego oraz regulacyjnego, które umożliwi pełne stosowanie przepisów DA w Polsce. Proponowane rozwiązania zostały oparte na założeniu, że regulacja na poziomie krajowym dotyczyć będzie wyłącznie przepisów, które zostały przez prawodawcę unijnego wprost przekazane do uregulowania w prawie krajowym lub takich, w których DA zostawiło swobodę regulacyjną państwom członkowskim UE. Takie rozwiązanie wynika z braku w aktualnym systemie prawnym adekwatnego aktu prawnego, w którym można by dokonać stosownej nowelizacji. A. Otoczenie instytucjonalno-organizacyjne 1) Właściwy organ DA nakłada na państwa członkowskie UE obowiązek wyznaczenia jednego lub więcej właściwych organów odpowiedzialnych za stosowanie i egzekwowanie rozporządzenia. Zadania właściwego organu, poza nadzorowaniem stosowania przepisów DA, obejmują: a) propagowanie wśród użytkowników i podmiotów objętych zakresem DA umiejętności korzystania z danych oraz wiedzy na temat praw i obowiązków wynikających z rozporządzenia, b) rozpatrywanie skarg wynikających z naruszeń DA, c) prowadzenie postępowań w sprawach dotyczących stosowania DA, d) nakładanie administracyjnych kar pieniężnych za naruszenie przepisów DA, e) monitoring rozwoju technologicznego i sytuacji gospodarczej mających wpływ na udostępnianie i wykorzystywanie danych, f) współpracę z właściwymi organami innych państw członkowskich UE oraz, w stosownych przypadkach, z Komisją Europejską, zwaną dalej „KE” lub „Komisją”, w celu zapewnienia spójnego i skutecznego stosowania rozporządzenia, g) współpracę z innymi właściwymi organami odpowiedzialnymi za wdrażanie unijnych lub krajowych aktów prawnych, w tym krajowymi organami ochrony danych osobowych odpowiedzialnych za monitorowanie stosowania RODO, h) zapewnienie wycofania opłat z tytułu zmiany dostawcy usług przetwarzania danych, i) analizę wniosków o dostęp organów administracji publicznej do danych prywatnych, j) zbieranie informacji od posiadaczy danych o odmownie, ograniczeniu, wstrzymaniu się lub zawieszeniu dzielenia się danymi z użytkownikami i osobami trzecimi, k) pośredniczenie w przekazywaniu wniosków dostawców usług przetwarzania danych o wydanie opinii w sprawie orzeczeń lub wyroku sądu lub trybunału państwa trzeciego lub decyzji organu administracyjnego państwa trzeciego nakazujących przekazanie przechowywanych na terenie Unii Europejskiej, zwanej dalej „UE” lub „Unią”, danych nieosobowych objętych zakresem stosowania rozporządzenia lub udzielenie dostępu do tych danych. Ponadto przedstawiciele właściwego organu współpracować będą z Europejską Radą ds. Innowacji w zakresie Danych, zwaną dalej „EDIB”. DA powierza jej szereg funkcji. W związku z tym, EDIB przede wszystkim będzie odpowiadać za zagwarantowanie spójnego stosowania DA w państwach członkowskich UE (stworzenie spójnej praktyki właściwych organów). Będzie też doradzać Komisji przy tworzeniu aktów wykonawczych i delegowanych wydawanych na podstawie DA dotyczących normalizacji i interoperacyjności. W projektowanych przepisach wyznaczony zostanie jeden właściwy organ. Funkcję tę pełnić będzie Prezes Urzędu Komunikacji Elektronicznej, zwany dalej „Prezesem UKE”. 2) Koordynator danych W przypadku gdy państwo członkowskie UE wyznaczy więcej niż jeden właściwy organ, wyznacza spośród nich koordynatora danych, który ułatwia współpracę między właściwymi organami i pomaga podmiotom objętym zakresem DA we wszystkich sprawach związanych z jego stosowaniem i egzekwowaniem. Koordynator danych działa jako pojedynczy punkt kontaktu w sprawach związanych ze stosowaniem rozporządzenia. Ponadto: a) publikuje w internecie wnioski o udostępnienie danych podmiotów prywatnych składane przez organy sektora publicznego, b) promuje dobrowolne umowy o dzieleniu się danymi między organami sektora publicznego a posiadaczami danych, c) co roku informuje KE o przypadkach, kiedy posiadacz danych ograniczył lub wstrzymał dostęp do danych z urządzeń skomunikowanych, kiedy przetwarzanie takich danych mogło zagrozić wymogom bezpieczeństwu urządzenia lub mieć poważny negatywny wpływ na zdrowie, bezpieczeństwo lub ochronę osób fizycznych lub kiedy mimo zastosowania uzgodnionych środków chroniących poufność danych, ujawnienie danych objętych tajemnicą handlową z dużym prawdopodobieństwem poskutkuje poważną szkodą ekonomiczną. W przypadku wyznaczenia jednego właściwego organu DA przewiduje, że zadania koordynatora danych będzie realizował ten organ. W związku z tym zadania koordynatora danych realizować będzie Prezes UKE jako właściwy organ. 3) Organ do spraw certyfikacji organów rozstrzygania sporów DA nakłada na państwa członkowskie UE obowiązek wyznaczenia organu do spraw certyfikacji organów rozstrzygania sporów. Do zadań tego organu należy certyfikowanie i zgłaszanie do KE organów rozstrzygania sporów pomiędzy użytkownikami, posiadaczami danych, klientami lub dostawcami usług pośrednictwa danych. Funkcję te pełnić będzie Prezes UKE. B. Otoczenie regulacyjne Oprócz konieczności stworzenia odpowiedniego otoczenia instytucjonalno-organizacyjnego, dla celów stosowania DA, państwa członkowskie UE zobowiązane są również zapewnić możliwość realizacji w prawie krajowym przepisów proceduralnych przewidzianych w rozporządzeniu oraz ustanowić regulacje dotyczące kar za naruszenie jego przepisów. W projektowanej ustawie zawarte zostaną w związku z tym niezbędne przepisy regulujące wskazane obszary. Kształt przepisów proceduralnych jest ściśle powiązany z rozwiązaniami instytucjonalnymi. Z kolei w przypadku regulacji dotyczących administracyjnych kar pieniężnych projektowane przepisy opierają się na rozwiązaniach podobnych do tych przewidzianych w już obowiązujących przepisach, np. w ustawie z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221 oraz z 2025 r. poz. 637 i 820), czy ustawie z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 oraz z 2025 r. poz. 769).