W drugiej części opracowania poświęconego najważniejszym regulacjom UE i Polski w obszarze nowych technologii przedstawiamy akty prawne dotyczące zarządzania danymi, cyfrowych usług publicznych, platform internetowych, finansów cyfrowych oraz nowoczesnych systemów identyfikacji i kontroli granicznej. Regulacje takie jak Data Act, EHDS, DGA, MiCA czy PSD3 stanowią kolejny etap budowy europejskiej gospodarki cyfrowej opartej na bezpiecznym przepływie danych, interoperacyjności systemów oraz ochronie praw użytkowników. Wdrażane równolegle rozwiązania krajowe pokazują, że przedsiębiorcy, instytucje publiczne i podmioty sektora finansowego muszą przygotować się nie tylko na nowe obowiązki regulacyjne, lecz także na istotne zmiany organizacyjne i technologiczne. W niniejszej części omawiamy najważniejsze założenia tych regulacji oraz stan ich implementacji do polskiego porządku prawnego.
Część I artykułu – TUTAJ
Akt w sprawie danych – Data Act (DA)
DA wszedł w życie 11 stycznia 2024 r.
Rozporządzenie stosuje się od 12 września 2025 r.
Główne założenia:
Cel aktu unijnego to sprawiedliwy dostęp do danych i prawa użytkowników, przy jednoczesnym zapewnieniu ochrony danych osobowych. Rozporządzenie określa ramy prawne wymiany danych między przedsiębiorstwami, między przedsiębiorstwami a konsumentami, jak również między przedsiębiorstwami a administracją publiczną, a także ułatwia zmianę dostawców usług chmurowych i wprowadza standardy interoperacyjności. Dotyczy to m.in. o danych, które powstają przy korzystaniu przez użytkowników np. z urządzeń internetu rzeczy czy z usług chmurowych. Producenci i dostawcy usług będą zobowiązani do zapewnienia łatwego, bezpiecznego i nieodpłatnego dostępu do danych dla użytkownika. Rozporządzenie przewiduje również katalog sytuacji nadzwyczajnych (np. katastrofy naturalne), w których organy administracji mogą uzyskać dostęp do danych przetwarzanych przez podmioty prywatne. Data Act ma umożliwić użytkownikom sprzętu bezpośredni dostęp do generowanych przez nie danych – np. dostęp do danych dotyczących efektywności maszyn wykorzystywanych w procesach produkcyjnych.
Akt krajowy:
Do Wykazu prac legislacyjnych i programowych Rady Ministrów został wpisany Projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu.
Rozporządzenie Parlamentu Europejskiego i Rady w sprawie europejskiej przestrzeni danych dotyczących zdrowia (EHDS).
EHDS weszło w życie 26 marca 2025 r.
Stosowanie etapami:
Do 26 marca 2027 r. – państwa członkowskie muszą m.in. powołać organy ds. dostępu do danych zdrowotnych. Zacznie funkcjonować unijna infrastruktura dla pierwotnego i wtórnego wykorzystania danych.
Do 26 marca 2029 r.: – kluczowy etap pełnego wdrożenia (obowiązkowa transgraniczna wymiana danych dla priorytetowych kategorii, np. podsumowania stanu pacjenta czy e-recepty oraz przepisy dot. wtórnego wykorzystania).
Do 26 marca 2031 r. – przewidywane dalsze rozszerzenie wymiany na kolejne kategorie danych zdrowotnych (np. wyniki obrazowania czy raporty wypisowe).
Główne założenia:
Głównym celem utworzenia europejskiej przestrzeni danych dotyczących zdrowia jest poprawienie dostępu osób fizycznych do elektronicznych danych dotyczących zdrowia do celów pierwotnego (dostęp lekarzy i pacjentów do danych w różnych państwach UE) i wtórnego (wykorzystanie danych do celów naukowych) ich wykorzystywania. EHDS ma na celu doprecyzowanie i uzupełnienie praw osób fizycznych określonych w RODO w związku z pierwotnym i wtórnym wykorzystaniem ich elektronicznych danych osobowych dotyczących zdrowia. Rozporządzenie przewiduje również wprowadzenie rozwiązań związanych z interoperacyjnością systemów dokumentacji medycznej państw członkowskich. Jego ostatecznym celem, z punktu widzenia celów pierwotnych, jest zapewnienie, żeby dane osobowe dotyczące zdrowia „podążały” za pacjentem w obszarze całej UE. Przepływ i wykorzystanie danych wykorzystywanych w celu wtórnym ma być regulowany przez odpowiednie organy krajowe.
EHDS będzie mieć zastosowanie do dwóch kategorii elektronicznych danych dotyczących zdrowia: elektronicznych danych osobowych i danych nieosobowych.
Każda osoba fizyczna będzie miała możliwość wyłączenia w dowolnym momencie i bez uzasadnienia swojej decyzji, przetwarzania jej elektronicznych danych osobowych dotyczących zdrowia do celów wtórnego wykorzystywania, a korzystanie z tego prawa będzie mogło zostać odwołane w każdym czasie.
Akt krajowy:
Projekt ustawy o zmianie niektórych ustaw w związku z rozwojem usług e-zdrowia – obecnie etap parlamentarny.
Rozporządzenie w sprawie europejskiego zarządzania danymi – DGA
Wejście w życie – 23 czerwca 2022 r.
Rozpoczęcie stosowania DGA – 24 września 2023 r.
Główne założenia:
Data Governance Act stanowi uzupełnienie dyrektywy 2019/1024 w sprawie otwartych danych i ponownego wykorzystywania informacji sektora publicznego. Dotyczy ono danych, które są w posiadaniu organów sektora publicznego oraz są objęte prawami innych osób, czyli wykraczają poza zakres wyżej wspomnianej dyrektywy w sprawie otwartych danych. Celem DGA jest ułatwienie udostępniania danych, w tym poprzez zwiększenie zaufania do pośredników w udostępnianiu danych, którzy mają świadczyć usługi udostępniania w poszczególnych przestrzeniach danych.
Głównym celem DGA jest więc uzupełnienie przepisów istniejących w zakresie przetwarzania danych osobowych oraz dostępu i przetwarzania innych kategorii danych prawnie chronionych, takich jak dane objęte tajemnicą handlową, ochroną własności intelektualnej, a także danych nieklasyfikowanych jako dane osobowe, wytwarzane w sektorze publicznym, których przetwarzanie regulowane jest w dyrektywie w sprawie otwartych danych i ponownego wykorzystywania informacji sektora publicznego.
Zdefiniowano m.in. altruistyczne podejście do danych, co oznacza zgodę udzielaną przez osoby, których dane dotyczą, na przetwarzanie dotyczących ich danych osobowych lub zezwolenia innych posiadaczy danych na wykorzystywanie ich danych nieosobowych bez żądania wynagrodzenia, do celów realizowanych w interesie ogólnym, takich jak cele badań naukowych lub poprawa jakości usług publicznych.
DGA opiera się o kontrolowane udostępnienie danych, nad którego prawidłowością czuwać mają odpowiednie organy państwowe. Dużą rolę w realizacji tego założenia odgrywać będą pośrednicy danych – niezależni „brokerzy” pośredniczący w wymianie danych między stronami, np. w relacjach B2B czy B2C. Rozporządzenie przewiduje również stworzenie przestrzeni danych, tj. sektorowych ekosystemów z ujednoliconymi standardami współdzielenia danych.
Stosowanie DGA w polskim systemie prawnym ma zapewnić ustawa z dnia 27 marca 2026 r. o zarządzaniu danymi – ustawa ta ma charakter przede wszystkim proceduralny i instytucjonalny, a jej najważniejszym elementem jest przyznanie Prezesowi UODO kompetencji niezbędnych do właściwej realizacji DGA. Ustawa przenosi na grunt polskiego porządku prawnego i doprecyzowuje pojęcia z DGA, np. pośredników danych.
Dyrektywa anty-SLAPP
Główne założenia:
Dyrektywa wprowadza ochronę przed powództwami mającymi na celu stłumienie uczestnictwa (np. dziennikarzy , aktywistów) w debacie publicznej (SLAPP) w sprawach cywilnych o charakterze transgranicznym. Dotyczy spraw cywilnych, wyłączając sprawy administracyjne, karnoprawne i arbitrażowe. Dyrektywa ustala minimalne wymagania dla państw członkowskich, aby zapewnić ochronę dla osób uczestniczących w debacie publicznej przed bezpodstawnymi roszczeniami i nadużywaniem procedur sądowych, dotyczy głównie ochrony aktywistów, dziennikarzy i osób, które publicznie zabierają głos.
Dyrektywa przewiduje takie instrumenty, jak np. możliwość wczesnego oddalania oczywiście bezzasadnych pozwów, sankcje finansowe w związku z nadużyciami czy ograniczenia możliwości swobodnego wyboru korzystniejszej jurysdykcji przez powoda. Regulację opracowano z myślą o sprawach transgranicznych, dyrektywa nie wymaga zatem wdrożenia instrumentów anty-SLAPP co do spraw nie mających takiego charakteru.
W maju 2024 r. dyrektywa weszła w życie. Państwa członkowskie UE miały czas do 7 maja 2026 r. na wprowadzenie przepisów krajowych niezbędnych do wykonania dyrektywy.
Akt krajowy:
15 maja br. Sejm przyjął ustawę o szczególnych środkach ochrony w postępowaniu cywilnym osób uczestniczących w debacie publicznej (ustawa anty-SLAPP). Nowe przepisy mają przeciwdziałać wykorzystywaniu postępowań sądowych jako narzędzi nacisku, zastraszania i tłumienia krytyki wobec osób aktywnie uczestniczących w życiu publicznym. Celem ustawy jest ochrona debaty publicznej, wzmocnienie pozycji słabszej strony postępowania oraz zapewnienie równości stron w procesie. Ustawa wdraża mechanizmy wymagane przez dyrektywę, m.in. w zakresie możliwości oddalania pozwu czy grożących powodowi sankcji za instrumentalne wykorzystanie postępowania.
Ustawa wzmacnia ochronę wolności słowa i uczestników debaty publicznej, przede wszystkim dziennikarzy, aktywistów społecznych oraz organizacji pozarządowych, przed tzw. pozwami SLAPP. Ustawa dotyczy również spraw krajowych.
Dyrektywa Parlamentu Europejskiego I Rady (UE) 2024/2831 z dnia 23 października 2024 r. w sprawie poprawy warunków pracy za pośrednictwem platform
Dyrektywa obowiązuje od 1 grudnia 2024 r. Kraje UE mają czas do 2 grudnia 2026 r. na wdrożenie tych przepisów do porządku krajowego.
Główne założenia:
Cyfrowa platforma pracy to usługa która organizuje pracę za pośrednictwem aplikacji lub strony internetowej, pośredniczy między usługobiorcami a wykonawcami, oraz algorytmicznie wpływa na warunki pracy, wynagrodzenie czy dostęp do zleceń. Dyrektywa ma na celu wprowadzenie zmian warunków pracy za pośrednictwem platform cyfrowych, takich jak np. Uber, Glovo czy Bolt. Dotyczy to domniemania stosunku pracy, jeśli platforma wywiera decydujący pływ np. ustala godziny, monitoruje lokalizację czy ocenia wydajność – relacja z pracownikiem domyślnie staje się umową o pracę. Obowiązki platform to m.in. zapewnienie przejrzystości algorytmów, ludzki nadzór nad decyzjami, ochrona danych osobowych. Oprócz kwestii związanych z doprecyzowaniem i ustaleniem statusu zatrudnienia, rozporządzenie odnosi się do kwestii zarządzania algorytmicznego, tj. sposobu w jaki platforma kontroluje sposób pracy osoby zatrudnionej. Dyrektywa wymusza ludzki nadzór nad niektórymi decyzjami platformy, ponadto wprowadza ograniczenia związane z przetwarzaniem danych osobowych osób zatrudnionych przez takie platformy.
Akt krajowy:
Brak informacji
System Wjazdu/Wyjazdu (EES) obywateli państw trzecich przekraczających granice zewnętrzne państw członkowskich – rozporządzenie EES
EES był wdrażany od 12 października 2025 roku, na granicach zewnętrznych krajów europejskich korzystających z systemu i działa w pełnym zakresie od 10 kwietnia 2026 roku.
Główne założenia:
EES to nowy europejski system zarządzania granicami umożliwiający rejestrowanie obywateli państw spoza UE, udających się na krótki pobyt do 90 dni w okresie 180 dni, na terenie UE, za każdym razem, gdy przekraczają granice zewnętrzne 29 krajów europejskich.
System EES jest w pełni automatyczny i cyfrowy, zastępuje stemplowanie paszportów w większości krajów Europy. Jego celem jest usprawnienie kontroli granicznych i umożliwienie łatwiejszego wykrywania nadużyć. System będzie gromadził dane dotyczące podróży, a także dane dotyczące osoby, np. dane biometryczne.
Rozporządzenie ETIAS – europejski system informacji o podróży oraz zezwoleń na podróż
ETIAS zacznie działać w ostatnim kwartale 2026 r.
Unia Europejska poinformuje o dokładnej dacie rozpoczęcia działania ETIAS kilka miesięcy przed uruchomieniem systemu.
Główne założenia:
Zezwolenie na podróż ETIAS stanowi warunek wjazdu w przypadku obywateli zwolnionych z obowiązku wizowego podróżujących legalnie do któregokolwiek z 30 państw europejskich. Jest ono powiązane z paszportem podróżnego. Zezwolenie zachowuje ważność przez trzy lata lub do końca okresu ważności paszportu, w zależności od tego, która data jest wcześniejsza. W przypadku otrzymania nowego paszportu należy uzyskać nowe zezwolenie na podróż ETIAS.
Akt krajowy: Projekt ustawy o udziale Rzeczypospolitej Polskiej w europejskim systemie informacji o podróży oraz zezwoleń na podróż (ETIAS) (UC104) – etap prac parlamentarnych.
Implementacja unijnego rozporządzenia wprowadzającego system ETIAS.
MiCA Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1114 z dnia 31 maja 2023 r. w sprawie rynków kryptoaktywów oraz zmiany rozporządzeń (UE) nr 1093/2010 i (UE) nr 1095/2010 oraz dyrektyw 2013/36/UE i (UE) 2019/1937.
MICA – wejście w życie 29 czerwca 2023 r., a przepisy rozporządzenia są w pełni stosowane od 30 grudnia 2024 r.
Główne założenia:
Cel rozporządzenia unijnego to określenie zharmonizowanych ram dla rynków kryptoaktywów, które mają służyć wspieraniu innowacji i uczciwej konkurencji, a jednocześnie zapewniać podwyższenie poziomu jakości rynków kryptoaktywów. MICA reguluje ochronę inwestorów i konsumentów (wymóg przejrzystości, rzetelnej informacji o ryzykach), dotyczy przeciwdziałania prania pieniędzy (AML) i finansowaniu terroryzmu tj. zawiera obowiązkowe procedury i raportowanie podejrzanych transakcji. MICA obejmuje także wymogi ostrożnościowe dla emitentów stablecoinów i tokenów powiązanych z aktywami.
Okres przejściowy na dostosowanie prawa krajowego do wymogów MICA trwa do 1 lipca 2026 roku.
Akt krajowy:
Projekt rządowy ustawy o rynku kryptoaktywów – obecnie przekazany do podpisu Prezydenta RP.
Zgodnie z projektem Komisja Nadzoru Finansowego ma sprawować nadzór nad tym rynkiem. Ustawa umożliwia KNF nakładanie sankcji na oferujących, emitentów lub osoby ubiegające się o dopuszczenie kryptoaktywów. W przypadku naruszenia przepisów ustawy, KNF miałaby wpisywać do rejestru nieuczciwe domeny internetowe służące do prowadzenia działalności w zakresie kryptoaktywów. Ustawa przewiduje również zasady odpowiedzialności karnej za przestępstwa popełniane m.in. w związku z emisją tokenów czy świadczeniem usług w zakresie kryptoaktywów bez wcześniejszego zgłoszenia tego KNF.
Dyrektywa PSD3 – w sprawie usług płatniczych i usług związanych z pieniądzem elektronicznym w ramach rynku wewnętrznego, zmieniająca dyrektywę 98/26/WE i uchylająca dyrektywy (UE) 2015/2366 i 2009/110/WE.
Wejście w życie – poł. 2026 r. PSR stosuje się od 21 miesięcy po wejściu w życie (art. 112 PSR), z wyjątkiem art. 50 i 57 — od 27 miesięcy. PSD3 wymaga transpozycji w terminie 21 miesięcy (art. 49 PSD3), czyli 2027/2028 rok. Celem dyrektywy jest uwzględnienie zmian w branży fintech, poprzez zaadresowanie nowych problemów, dotyczących m.in. standardów uwierzytelnienia, zapobiegania oszustwom, a także uregulowanie rozwijających się usług z zakresu open banking.
Cele PSD3 i Rozporządzenia w sprawie usług płatniczych (PSR) to przede wszystkim bezpieczne płatności online (odpowiedni poziom ochrony konsumentów przed oszustwami), autoryzacja i nadzór nad instytucjami płatniczymi, prawa i ochrona konsumentów
Akt krajowy: brak
