Ustawa o zarządzaniu danymi już obowiązuje – co muszą zrobić firmy pośredniczące w obrocie danymi

Od końca lipca 2026 r. pośrednictwo w obrocie danymi bez zgłoszenia do Prezesa UODO jest niezgodne z prawem. Nowa ustawa o zarządzaniu danymi wciela w życie unijny akt DGA i rozszerza kompetencje polskiego organu ochrony danych daleko poza sferę prywatności. Poniżej wyjaśniamy, kogo nowe przepisy dotykają bezpośrednio, kto może odetchnąć z ulgą i dlaczego warto działać szybko.

Najważniejsze:

• Polska ustawa o zarządzaniu danymi, obowiązująca od 23 lipca 2026 r., wdraża unijne rozporządzenie DGA i wskazuje Prezesa UODO jako krajowy organ nadzoru nad rynkiem pośrednictwa danych
• Każdy dostawca usług pośrednictwa danych jest zobowiązany zgłosić się do Prezesa UODO jeszcze przed uruchomieniem działalności, nie po fakcie
• Jedno zgłoszenie złożone w Polsce otwiera dostawcy drogę do świadczenia usług na terenie całej Unii Europejskiej
• Organizacje altruizmu danych mogą ubiegać się o wpis do krajowego rejestru, jednak rejestracja jest dobrowolna
• Prezes UODO przestaje być wyłącznie strażnikiem prywatności, staje się równocześnie regulatorem gospodarki opartej na danych

Dlaczego ta ustawa przyszła teraz, i co się sypie bez jej egzekwowania

Uchwalona ustawa o zarządzaniu danymi nie jest autonomiczną inicjatywą polskiego parlamentu. To konieczne dopełnienie unijnego rozporządzenia w sprawie europejskiego zarządzania danymi z maja 2022 r., powszechnie nazywanego DGA, bez którego Polska pozostawałaby w próżni instytucjonalnej: przepisy unijne obowiązywałyby formalnie, lecz brakowałoby organu zdolnego je egzekwować. Firmy budujące modele biznesowe na pośrednictwie w obrocie danymi działały właśnie w takiej próżni, DGA istniało, ale nikt w Polsce nie był upoważniony do weryfikacji, czy spełniają jego wymogi.

Brak krajowego organu to nie tylko problem administracyjny. Bez wyznaczonego regulatora niemożliwe jest prowadzenie rejestru dostawców, wydawanie potwierdzeń zgodności ani reagowanie na naruszenia. Firmy, które działały lub planowały działać na tym rynku, nie miały do kogo się zgłosić ani skąd uzyskać potwierdzenia legalności swojego modelu. Ustawa tę lukę zamknęła.

Długofalowo regulacja ma wspierać powstawanie europejskich przestrzeni danych, sektorowych ekosystemów wymiany danych, między innymi w ochronie zdrowia, transporcie czy ochronie środowiska, dostępnych zarówno dla dużych korporacji, jak i dla małych firm oraz startupów. Jeśli mechanizmy te nie będą egzekwowane, ryzyko jest podwójne: z jednej strony zablokowanie innowacji przez niepewność prawną, z drugiej, tworzenie środowiska, w którym podmioty nieuczciwe będą czerpać korzyści kosztem tych, którzy przestrzegają zasad.

UODO jako regulator rynku danych, zmiana roli, nie tylko nazwy

Prezes UODO jest kojarzony przede wszystkim z RODO i ochroną danych osobowych. Od 23 lipca 2026 r. jego mandat jest znacznie szerszy. Ustawa przyznaje mu kompetencje w trzech nowych obszarach:

• nadzór nad dostawcami usług pośrednictwa danych, zgodnie z przepisami DGA dotyczącymi powiadamiania właściwego organu
• prowadzenie rejestru uznanych organizacji altruizmu danych, zgodnie z odpowiednimi przepisami DGA
• egzekwowanie naruszeń obowiązków dotyczących przekazywania danych nieosobowych poza granice Unii Europejskiej, wynikających z odpowiednich przepisów DGA

To jakościowa zmiana roli instytucji. UODO przestaje być wyłącznie rzecznikiem praw osób fizycznych wobec podmiotów przetwarzających ich dane osobowe. Staje się równocześnie regulatorem rynku danych jako zasobu gospodarczego, instytucją, która ma pilnować, by handel danymi odbywał się na jasnych, transparentnych zasadach.

Kto musi się zgłosić, i jak rozpoznać, że to właśnie Ty

Obowiązek zgłoszenia dotyczy każdego dostawcy usług pośrednictwa danych planującego świadczyć takie usługi. Definicja zawarta w DGA obejmuje działania, których celem jest tworzenie, z wykorzystaniem narzędzi technicznych, prawnych lub organizacyjnych, relacji handlowych między posiadaczami danych lub osobami, których dane dotyczą, a podmiotami pragnącymi te dane wykorzystać.

Żeby nie pozostawać przy abstrakcji: wyobraźmy sobie fikcyjną platformę DataBridge, która umożliwia szpitalom udostępnianie zanonimizowanych danych o schorzeniach firmom farmaceutycznym prowadzącym badania. DataBridge nie przetwarza danych samodzielnie ani nie staje się ich właścicielem, jedynie tworzy środowisko, w którym posiadacz danych (szpital) spotyka się z użytkownikiem danych (firma farmaceutyczna). To klasyczny przykład usługi pośrednictwa danych, który podlega obowiązkowi zgłoszenia.

DGA wyróżnia kilka typów podmiotów mieszczących się w tej definicji:

• platformy łączące firmy posiadające dane z podmiotami zainteresowanymi ich wykorzystaniem
• serwisy umożliwiające osobom fizycznym kontrolowane udostępnianie własnych danych
• spółdzielnie danych

Gdzie kończą się obowiązki, mapa wyłączeń

Nie każda działalność oparta na danych wymaga zgłoszenia. DGA przewiduje wyraźne wyłączenia, które warto znać, zanim firma przystąpi do analizy własnego modelu biznesowego:

• usługi, w których dane są zbierane od ich pierwotnych posiadaczy, a następnie agregowane, wzbogacane lub przekształcane, i dopiero tak przetworzone dane trafiają do nabywców w formie licencji, bez bezpośredniej relacji handlowej między nabywcą a pierwotnym posiadaczem; sprzedawca przetworzonego zbioru danych nie jest pośrednikiem
• usługi skupione na dystrybucji treści objętych ochroną praw autorskich
• usługi wewnętrzne, z których korzysta wyłącznie jeden podmiot lub zamknięta grupa firm powiązanych umownie, np. w ramach relacji producent–dostawca lub w ekosystemach internetu rzeczy
• niekomercyjne programy wymiany danych prowadzone przez podmioty publiczne

Linia między wyłączeniem a obowiązkiem bywa nieoczywista. Platforma sprzedająca własne, przetworzone zestawy danych bez ustanawiania relacji między ich pierwotnymi posiadaczami a nabywcami, nie jest pośrednikiem. Platforma, która tworzy środowisko, w którym posiadacze danych spotykają się z ich przyszłymi użytkownikami, jest pośrednikiem i podlega zgłoszeniu. Jeśli model biznesowy firmy balansuje gdzieś na tej granicy, jedyną rozsądną strategią jest konsultacja z Prezesem UODO przed startem, nie po pierwszych miesiącach działalności.

Co daje zgłoszenie, paszport na rynek UE i opcjonalny certyfikat

Zgłoszenie do Prezesa UODO niesie ze sobą dwa konkretne skutki operacyjne.

Pierwszy to zasięg: jedno zgłoszenie złożone w Polsce uprawnia dostawcę do świadczenia usług pośrednictwa danych na terenie całej Unii Europejskiej. Nie trzeba rejestrować się osobno w Niemczech, Francji, Czechach czy Szwecji. Dla startupów planujących ekspansję to istotna przewaga, procedurę przechodzi się raz, rynki otwierają się wszystkie naraz.

Drugi skutek to możliwość uzyskania dobrowolnego potwierdzenia zgodności. Dostawca może zwrócić się do Prezesa UODO z wnioskiem o stwierdzenie, że spełnia wymogi określone w odpowiednich przepisach DGA dotyczących powiadamiania i warunków świadczenia usług pośrednictwa. Po wydaniu takiego potwierdzenia firma zyskuje prawo posługiwania się oznaczeniem „uznany w Unii dostawca usług pośrednictwa danych” oraz wspólnym unijnym logo. To formalny sygnał wiarygodności, porównywalny funkcją do certyfikatów ISO lub oznaczeń bezpieczeństwa w innych branżach, choć oczywiście obejmuje inną treść merytoryczną.

Informacje o wszystkich zgłoszonych dostawcach trafiają do Komisji Europejskiej, która prowadzi jeden publiczny rejestr obejmujący podmioty z całej Unii. Każdy klient, inwestor czy kontrahent może sprawdzić w nim, czy dany podmiot działa zgodnie z przepisami, co czyni rejestr narzędziem weryfikacji wiarygodności rynkowej.

Altruizm danych, dla kogo i po co

Odrębną kategorię tworzą organizacje altruizmu danych, podmioty udostępniające dane nie w celach zarobkowych, lecz na potrzeby badań naukowych, celów społecznych lub podobnych. Od wejścia ustawy w życie mogą się one ubiegać o wpis do krajowego rejestru prowadzonego przez Prezesa UODO. Rejestracja jest jednak w pełni dobrowolna: DGA nie zakazuje działalności altruistycznej podmiotom niewidniejącym w rejestrze. Formalny wpis działa przede wszystkim jako sygnał zaufania dla osób i firm rozważających nieodpłatne przekazanie swoich danych takiej organizacji.

Porównanie: obowiązek zgłoszenia a dobrowolna rejestracja

Pięć pytań, które pomogą ocenić, czy Twoja firma podlega obowiązkowi

Zamiast żmudnej analizy prawnej, warto zacząć od prostego testu. Im więcej odpowiedzi twierdzących, tym większe prawdopodobieństwo, że zgłoszenie do Prezesa UODO jest konieczne:

• Czy moja platforma lub usługa łączy podmioty posiadające dane z podmiotami, które chcą je wykorzystać?
• Czy między posiadaczem danych a ich odbiorcą dochodzi do relacji handlowej, którą moja firma aktywnie umożliwia lub organizuje?
• Czy usługa jest dostępna dla nieograniczonego kręgu podmiotów, a nie tylko dla zamkniętej, zdefiniowanej grupy powiązanych firm?
• Czy celem działania jest dzielenie się danymi, a nie ich samodzielne przetworzenie i odsprzedaż już w innej postaci?
• Czy usługa obejmuje dane osobowe i ma pomagać ich właścicielom w korzystaniu z przysługujących im praw?

Trzy lub więcej odpowiedzi twierdzących to sygnał, że warto skonsultować model biznesowy z Prezesem UODO, zanim działalność zostanie uruchomiona.

Najczęściej zadawane pytania

Czy firmy działające na rynku pośrednictwa danych przed lipcem 2026 r. muszą teraz dokonać zgłoszenia?

Ustawa obowiązuje od 23 lipca 2026 r. i nie przewiduje dodatkowego okresu przejściowego dla podmiotów, które prowadziły tę działalność wcześniej. Każdy, kto świadczy usługi pośrednictwa danych, powinien niezwłocznie zweryfikować swój status i złożyć zgłoszenie do Prezesa UODO.

Czy jedno zgłoszenie w Polsce wystarczy do działania w całej Unii Europejskiej?

Tak. Zgłoszenie do Prezesa UODO uprawnia dostawcę do świadczenia usług pośrednictwa danych na terytorium każdego państwa członkowskiego UE bez potrzeby oddzielnej rejestracji w każdym z nich.

Czy startup oferujący platformę do wymiany danych między firmami musi się zgłosić?

Jeśli platforma tworzy środowisko, w którym posiadacze danych nawiązują relacje handlowe z ich potencjalnymi użytkownikami, obowiązek zgłoszenia dotyczy tego startupu. Wyłączenia obejmują m.in. usługi wewnętrzne zamkniętych grup firm lub usługi, w których dane są najpierw przetwarzane przez dostawcę, a dopiero gotowy produkt trafia do nabywców bez kontaktu z pierwotnym posiadaczem. W razie wątpliwości najrozsądniejszym krokiem jest konsultacja z Prezesem UODO przed uruchomieniem działalności.

Co zyskuje organizacja altruizmu danych dzięki rejestracji?

Wpis do krajowego rejestru nadaje formalny status uznanej organizacji altruizmu danych, co może zwiększyć zaufanie osób i firm rozważających nieodpłatne przekazanie swoich danych. Brak rejestracji nie wyklucza jednak działalności altruistycznej, organizacja może działać bez wpisu, choć bez związanego z nim formalnego potwierdzenia wiarygodności.

Gdzie sprawdzić, czy konkretny dostawca usług pośrednictwa danych jest prawidłowo zgłoszony?

Komisja Europejska prowadzi jeden publiczny rejestr obejmujący dostawców usług pośrednictwa danych z całej Unii. Informacje trafiają tam po dokonaniu zgłoszenia do właściwego krajowego organu, w przypadku Polski do Prezesa UODO.

Fot. Leeloo The First / Pexels