UODO w projekcie wizyt studyjnych w ramach Instrumentu Wsparcia Technicznego Komisji Europejskiej

Pracownicy UODO realizowali wizyty studyjne w ramach projektu "Data Governance Act implementation – study visit project”, współfinansowanego ze środków Komisji Europejskiej (KE) w ramach inicjatywy flagowej PACE (Public Administration Cooperation Exchange – wymiana w zakresie współpracy w administracji publicznej) organizowanej przez Instrument Wsparcia Technicznego (Technical Support Instrument – TSI).

W ramach projektu zorganizowane zostały dwie takie wizyty. Spotkania umożliwiły wymianę doświadczeń i perspektyw w zakresie wdrażania Aktu w sprawie zarządzania danymi (DGA) w poszczególnych krajach (Polska, Finlandia, Węgry). Seria wizyt studyjnych miała na celu wsparcie współpracy i zapewnienie transgranicznej wymiany najlepszych praktyk pomiędzy uczestniczącymi państwami.

Instytucjami przyjmującymi była fińska Agencja Transportu i Komunikacji Traficom (The Finnish Transport and Communications Agency Traficom, Liikenne- ja viestintävirasto Traficom varmistaa) oraz węgierski Krajowy Urząd Ochrony Danych i Wolności Informacji (organ ochrony danych, National Authority for Data Protection and Freedom of Information, Nemzeti Adatvédelmi és Információszabadság Hatóság, NAIH).

Wizyta w Finlandii 

Przedstawiciele UODO podczas wizyty w Traficom mieli okazję zapoznać się regulacjami w zakresie DGA w tym państwie oraz strukturą organizacyjną w obszarze zarządzania danymi, która w Finlandii jest rozproszona. Realizacja zadań jest podzielona na kilka instytucji, które ściśle ze sobą współpracują, spotykając się cyklicznie i wymieniając na bieżąco informacjami.

Struktura i zakres Traficomu jest inna niż UODO. Przede wszystkim organ zajmuje się również sprawami szeroko rozumianego transportu, nie tylko ochroną danych.

Warte podkreślenia jest to, że Finlandia była pierwszym państwem, który wdrożył krajowe przepisy w zakresie zarządzania danymi za sprawą ustawy krajowej, która obejmuje swoim zakresem DGA oraz Akt w sprawie danych (DA). Regulacje te weszły w życie w styczniu 2024 r.

Zgodnie z tą ustawą, Traficom ma prawo do ostrzeżenia oraz nałożenia reprymendy temu, kto naruszy DGA, następnie daje temu podmiotowi czas na naprawę błędu. Jeżeli błąd nie zostanie naprawiony, Traficom może nałożyć kary pieniężne. Kara pieniężna waha się między EUR 1 000 a EUR 100 000. Stosunkowo niskie kary wynikają z faktu, że większość organizacji pośrednictwa danych stanowią przedsiębiorstwa typu start-up, które nie dysponują wysokim budżetem.

Traficom ma prawo priorytetyzować swoje zadania nadzorujące i może nie wszczynać postępowania w niektórych przypadkach.

Podczas wizyty w Helsinkach polska delegacja miała okazję zapoznać się z formularzem online, służącym do rejestracji organizacji chcących pełnić funkcję pośredników danych.

Eksperci z Traficom szczegółowo omówili także swoje doświadczenia w implementacji przepisów DGA. Omówili  również praktyczne przykłady wykorzystania pośrednictwa danych. Wskazali m.in. rozwiązanie stosowane przez Traficom, w którym po wprowadzeniu numeru rejestracyjnego pojazdu odpowiednia aplikacja umożliwia przekazanie warsztatowi samochodowemu danych technicznych pojazdu.

Podkreślono także, że w celu zwiększenia świadomości dotyczącej pośrednictwa danych oraz altruizmu danych organizowane są warsztaty i działania informacyjne. Jednocześnie zaznaczono, że ze względu na ograniczone zasoby administracyjne prowadzenie szeroko zakrojonych działań promocyjnych w tym obszarze pozostaje wyzwaniem. Wskazano również na potrzebę lepszego komunikowania potencjalnych korzyści biznesowych wynikających z wykorzystywania danych udostępnianych na podstawie przepisów DGA.

W trakcie wizyty w Helsinkach delegacja UODO spotkała się także z przedstawicielami pozostałych instytucji zaangażowanych we wdrażanie DGA w Finlandii, w tym: Ministry of Transport and Communications, czyli fińskiego Ministerstwa Transportu i Komunikacji oraz Office od the Data Protection Ombudsman, czyli Biurem Rzecznika ds. Ochrony Danych. 

Przedstawiciele UODO mieli również możliwość zapoznać się z tym, jakie kompetencje ma Data Protection Ombudsman, czyli fiński Urząd Rzecznika ds. Ochrony Danych, który zajmuje się jedynie sprawami związanymi z danymi osobowymi mimo, że DGA wprowadza szeroką koncepcję danych dzieląc je na osobowe i nieosobowe. Jednak nie ma przepisów DGA, które by ten urząd nadzorował - jego obowiązki pochodzą z RODO.

Kluczowa jest jednak współpraca Data Protection Ombudsman z Traficom, w ramach której dochodzi do wymiany informacji z podgrupy Europejskiej Rady ds. Innowacji w zakresie Danych (European Data Innovation Board, EDIB), regularnych spotkań i konsultacji.

Dodatkowo, delegacja UODO spotkała się z CEO DataSpace Europe Oy, organizacją pośrednictwa danych, pierwszą, zarejestrowaną w Finlandii już w styczniu 2024 r. Z kolei, pierwsza nie-unijna (brytyjska) organizacja pośrednictwa danych została zarejestrowana w fińskim organie w czerwcu 2024 r.

Główną rolą DataSpace jest ułatwianie przepływu danych pomiędzy przedsiębiorstwami. Spółka należy do kategorii tzw. „data flows” i koncentruje się na zarządzaniu przepływami danych opartymi na zgodzie i odpowiednich uprawnieniach („permission flows”). Aspekt komercyjny działalności pozostaje drugorzędny, bowiem kluczowe znaczenie ma budowanie standardów umożliwiających bezpieczne i zgodne z prawem ponowne wykorzystanie danych oraz tworzenie zaufania między uczestnikami rynku.

Wizyta w Finlandii pokazała, że fińskie społeczeństwo jest mocno zdigitalizowane, świadome korzyści płynących z udostępniania danych do celów wtórnego wykorzystywania i otwarte na dzielenie się danymi. Rynek zarządzania danymi jest na wysokim poziomie dojrzałości i stwarza warunki do przyszłego funkcjonowania zarówno organizacji pośrednictwa danych, jak i organizacji altruizmu. Istotny wpływ na tę sytuację ma wysoki poziom zaufania społecznego do instytucji publicznych.

Wizyta na Węgrzech

W trakcie spotkań na Węgrzech, polska delegacja zapoznała się ze szczegółami wdrażania DGA. W przypadku tego kraju wdrożenia DGA już na etapie przygotowań, skoncentrowało się na analizie wymagań ustawowych oraz ustaleniu, w jaki sposób zorganizować proces rejestracyjny tak, aby był możliwie prostydla NAIH, a jednocześnie spełniał wszystkie wymogi prawne wynikające z przepisów unijnych.

Krajowe przepisy, czyli „Act CXII of 2011 on the right to informational self-determination and on the freedom of information” weszły w życie 1 marca 2024 r.

W styczniu 2024 r., przy Wiceprezes NAIH ds. międzynarodowych powstał Wydział ds. strategii UE w zakresie danych cyfrowych. Zajmował się zagadnieniami sztucznej inteligencji oraz nowych technologii, nadzorował i rejestrował zadania wynikające z DGA, reprezentował NAIH w spotkaniach EDIB oraz zajmował się wszystkimi zadaniami związanymi z ochroną danych, które nie podlegały RODO. W 2026 Wydział został przekształcony w Departament.

Wizyta w Budapeszcie, była okazją do pogłębienia wiedzy w zakresie suwerenności danych oraz relacji między ochroną danych a rozwojem gospodarki, opartej na danych. Przedstawiciele UODO poznali szerszą perspektywę dotyczącą powiązań DGA z innymi regulacjami Unii Europejskiej, co stanowi istotny element dla zapewnienia spójności podejścia wdrożeniowego na poziomie krajowym.

Wizyta pozwoliła również na przyjrzenie się doświadczeniom Węgrów w zakresie ponownego wykorzystywania danych sektora publicznego, w tym warunków ich udostępniania oraz stosowanych zabezpieczeń. W jej trakcie omówiono także funkcjonowanie nowych podmiotów przewidzianych w DGA, w tym dostawców usług pośrednictwa danych oraz organizacji altruizmu danych, wraz z wyzwaniami związanymi z ich rejestracją i nadzorem.

Wizyta umożliwiła również identyfikację kluczowych wyzwań organizacyjnych związanych z wdrażaniem DGA. Była też okazją do wzmocnienia kompetencji w zakresie współpracy międzynarodowej i wymiany doświadczeń między organami państw członkowskich.

W trakcie wizyty w Budapeszcie, delegacja UODO odwiedziła także Krajową Agencję Ochrony Danych (NAVÜ). Agencja NAVÜ pełni rolę centralnego koordynatora, który nie przejmuje własności nad danymi, lecz aktywnie promuje ich wykorzystanie. Dzięki temu podmioty publiczne zyskują profesjonalne wsparcie w udostępnianiu danych, podczas gdy NAVÜ zapewnia wysoką jakość procesów. Agencja oferuje m.in. anonimizację i pseudonimizację, co pozwala na bezpieczne udostępnianie nawet wrażliwych danych w celach analitycznych.

Podczas spotkania przedstawiciele Agencji omówili swoją rolę w kontekście DGA, a także przybliżyli strukturę operacyjną i bieżący zakres działań instytucji.

Wizyta umożliwiła poznanie węgierskiego modelu, który opiera się na dwóch filarach cyfrowych: Narodowym Portalu Danych Publicznych (Nemzeti Közadatportál) oraz Katalogu Danych (Közadatkataszter). Użytkownik końcowy otrzymuje jeden punkt informacyjny (Single Information Point), gdzie poprzez zestandaryzowane formularze może złożyć zapytanie o dowolne dane publiczne.

Ważnym elementem, na który zwrócono uwagę jest powołanie sieci Głównych Oficerów Danych (CDO) w poszczególnych instytucjach publicznych. Pozwala to budować profesjonalne zaplecze operacyjne wewnątrz administracji, co zapewnia jednolitość praktyk, zgodność z prawem oraz szybki i niezawodny przepływ informacji.

Na chwilę obecną, na Węgrzech funkcjonuje jedna organizacja pośrednictwa danych. Z kolei, nie ma żadnej zarejestrowanej organizacji altruizmu. W ocenie węgierskich gospodarzy, przyczyną niedużej popularności tego rodzaju działalności są restrykcyjne wymagania, które sprawiają, że dochodowość tego rodzaju działalności jest wątpliwa.

W trakcie wizyty, delegacja UODO odwiedziła także University of Pécs, gdzie przedstawiciel Uniwersytetu zaprezentował Smart University Program (SUP), który ma za zadanie wprowadzić innowacyjne zmiany oparte na zarządzaniu danymi. Kluczem do tego projektu są nauki o zarządzaniu danymi oraz sztuczna inteligencja, która w połączeniu z współpracą sektora akademickiego, jak i prywatnego ma na celu zwiększyć potencjał badań naukowych oraz zwiększyć wydajność operacyjną uniwersytetu.

W kolejnej części spotkania na uniwersytecie, NIDHAS, czyli pierwsza na Węgrzech organizacja pośrednictwa danych, podzielił się z przedstawicielami UODO informacjami dotyczącymi pośrednictwa danych od strony teoretycznej, jak i praktycznej. Informacje teoretyczne pokrywały się ze wcześniej zebranymi informacjami oraz samym DGA, natomiast informacje praktyczne pokazały pośrednictwo w odrobinę innym świetle.

NIDHAS potwierdził doświadczenia zdobyte w Helsinkach – pośrednictwo danych w teorii jest możliwą formą biznesu, z punktu widzenia praktycznego jest zbyt wcześnie na złożone wnioski z racji na fakt, że ekonomia oparta na danych funkcjonująca na zasadach UE jest na samym początku istnienia. Rozmowy pokazały, że mimo wielu form pośrednictwa danych, finalnie oferowane usługi czy aplikacje często przyjmują formę „data marketplace”, co za tym idzie pojawia się kluczowe wyzwanie – platformy mogą funkcjonować tylko jeśli mają podmioty zainteresowane kupnem danych oraz ich sprzedażą. Rynek danych nie jest tu jeszcze wykształcony, co utrudnia wytworzenie prosperującego biznesu.

Przedstawiciele NAIH, a także pozostałych węgierskich instytucji, z którymi delegacja UODO spotkała się na Węgrzech, podkreślili w rozmowach, że istotna z punktu widzenia zarządzania danymi jest edukacja w zakresie zwiększenia świadomości obywateli na temat wartości dzielenia się danymi.

Współpraca trójstronna

W trakcie każdej z wizyt delegacja UODO przybliżyła szczegóły związane z funkcjonowaniem Prezesa UODO, jego roli i misji, jako organu nadzorczego w obszarze ochrony danych osobowych i prywatności. Omówiła też rolę UODO w zakresie wdrażania DGA w Polsce, aktualnego stanu prac nad przepisami krajowymi oraz dotychczasowych aktywności UODO w związku z przygotowaniami do objęcia nowych zadań wynikających z DGA.

Efektem projektu „Data Governance Act implementation – study visit project” , będą wspólnie przygotowane raporty zawierające rekomendacje dla UODO w zakresie wdrożenia DGA w Polsce. Jednocześnie, zaplanowane zostało trójstronne spotkanie Traficom – UODO – NAIH podsumowujące realizację projektu, w trakcie którego instytucje będą mogły wymienić się nawzajem informacjami na temat wdrożenia DGA w swoich krajach, a także porozmawiać o perspektywach współpracy z UODO w kolejnych inicjatywach edukacyjnych.

Czym jest PACE

PACE jest inicjatywą flagową TSI (Instrumentu Wsparcia Technicznego), czyli programu KE, który ma na celu wspieranie państw członkowskich w realizacji reform zwiększających odporność i sprzyjających wzrostowi gospodarczemu. Zadaniem PACE jest pomoc w budowaniu potencjału administracyjnego poprzez promowanie współpracy i wymiany transgranicznej między państwami członkowskimi. Odbywa się to poprzez zapewnienie urzędnikom służby cywilnej możliwości zapoznania się z metodami pracy innych administracji publicznych w UE.

Skuteczna współpraca, wymiana doświadczeń i najlepszych praktyk mogą bezpośrednio przyczynić się do zapewnienia spójnego stosowania prawa UE we wszystkich państwach członkowskich.

Instytucją, która z ramienia Komisji Europejskiej wsparła UODO organizacyjnie i merytorycznie na etapie realizacji projektu, była Expertise France. Realizacja projektu PACE ma na celu bardziej efektywne wdrożenie DGA w UODO.

Szczegółowe informacje na temat wizyt znajdują się w marcowym oraz majowym wydaniu Biuletynu UODO dla IOD.