Přístup k IoT datům
Kapitoly II–III Data Act | Rozlišit výrobce, prodejce, poskytovatele související služby a držitele dat
Co jsou connected products?
Connected products jsou fyzické produkty, které:
- Získávají, generují nebo sbírají data o svém použití nebo prostředí
- Mohou přenášet data službou elektronických komunikací, fyzickým připojením nebo přístupem na zařízení; jejich hlavní funkcí není uchovávání, zpracování nebo předávání dat jménem jiných osob než uživatele (čl. 2 bod 5)
- Mohou mít související digitální službu; její existence není nutnou podmínkou každého připojeného výrobku
Příklady connected products
Jde o příklady: každý konkrétní výrobek musí splnit čl. 2 bod 5; rozsah dat a povinností dále omezují čl. 1 odst. 2 a čl. 7.
| Kategorie | Příklady | V scope |
|---|---|---|
| Smart Home | Termostaty, osvětlení, bezpečnostní systémy, zvonky | Dle definice a výjimek |
| Automotive | Connected vehicles, telematika; infotainment jen data o použití, ne obsah | ANO, splňuje-li čl. 2 bod 5 |
| Průmysl 4.0 | Senzory, CNC stroje, roboti, výrobní linky | Dle definice a výjimek |
| Wearables | Fitness trackery, smartwatch, health monitors | Dle definice a výjimek |
| Medical Devices | Connected diagnostika, monitoring, implantáty | Dle definice a výjimek |
| Smart Appliances | Pračky, ledničky, myčky, klimatizace | Dle definice a výjimek |
| Energie | Smart meters, solar invertery, EV chargers | Dle definice a výjimek |
Určete výrobek, data a právní roli
Osobní údaje nejsou z Data Actu vyňaty; GDPR nadále platí a při rozporu má přednost. Data Act nedává držiteli dat nový titul pro shromažďování či vytváření osobních údajů ani nové právo je využívat. Pro zpřístupnění rozlišuje, zda je uživatel subjektem údajů; není-li jím, musí existovat právní základ podle GDPR a případně být splněny další podmínky (bod odůvodnění 7, čl. 4 odst. 12 a čl. 5 odst. 7). Finanční subjekty regulované DORA nemají plošnou výjimku z Data Actu.
Smartphony, tablety ani připojené kamery nejsou jako kategorie vyňaty. Odlište data výrobku/související služby o použití a prostředí od obsahu, například audiovizuální nahrávky. FAQ Komise uvádí smartphony a televizory mezi příklady a u kamery odlišuje provozní údaje od audiovizuálního obsahu. Posuďte definice čl. 2 a výjimky kapitoly II včetně relevantních ustanovení čl. 7 pro mikro/malé podniky.
Povinnosti podle právní role
Kapitola II: Data Access Rights
Přístup se týká dat výrobku/související služby v zákonných definicích včetně snadno dostupných dat dle čl. 4–5, nikoli každého odvozeného poznatku, tajemství či historického datasetu. Přímý přístup platí, je-li relevantní a technicky proveditelný; omezení pro tajemství/bezpečnost mají konkrétní podmínky a nejsou plošným důvodem odmítnutí.
Kapitola III: B2B Data Sharing
Články 8–12 stanoví podmínky tam, kde povinnost zpřístupnění vyplývá z čl. 5 nebo jiného použitelného práva; samy nezakládají obecnou povinnost sdílet veškerá data. Pro jiné právní povinnosti zohledněte přechod čl. 50 a vztah k odvětvovým předpisům podle čl. 44.
| Povinnost | Popis | Podmínky |
|---|---|---|
| Sdílení na žádost | Data holder musí poskytnout data třetí straně | Na žádost uživatele |
| FRAND podmínky | Fair, Reasonable, Non-Discriminatory | Nediskriminační ceny |
| Kompenzace | Nediskriminační a přiměřená; může zahrnovat marži. U MSP a neziskových výzkumných organizací nejvýše náklady zpřístupnění podle čl. 9 odst. 2 písm. a), nemají-li partnerské či propojené podniky mimo MSP | Čl. 9 odst. 1–4; zvláštní předpis může stanovit nižší či nulovou kompenzaci |
| Formát při žádosti dle čl. 5 | Komplexní, strukturovaný, běžně používaný a strojově čitelný | Čl. 5 odst. 1; konkrétní formát není předepsán |
| Rychlost | Bez zbytečného odkladu | Nepřetržitě a v reálném čase, je-li to relevantní a technicky proveditelné |
Práva uživatelů
Co může uživatel požadovat
| # | Právo | Popis |
|---|---|---|
| 1 | PŘÍSTUP K DATŮM | Snadno dostupná data z užívaného výrobku/související služby, bezplatně; nepřetržitě a v reálném čase, je-li to relevantní a technicky proveditelné |
| 2 | SDÍLENÍ S TŘETÍMI STRANAMI | Právo určit, komu data poskytnout (nezávislý servis, analytics provider) |
| 3 | UCHOVÁVANÁ DATA | Přístup ke snadno dostupným datům podle čl. 4–5, včetně relevantních historických dat, při respektování práv předchozích uživatelů a dalších osob; nejde o obecnou povinnost držitele data uchovávat |
| 4 | INFORMACE PŘED NÁKUPEM | Jaká data produkt generuje, jak k nim přistupovat |
Omezení pro uživatele (čl. 4 odst. 10–11): Data získaná na žádost podle čl. 4 odst. 1 nesmí uživatel použít k vývoji připojeného výrobku konkurujícího výrobku, z něhož data pocházejí, ani je za tímto účelem sdílet s třetí stranou. Nesmí je používat k získávání poznatků o hospodářské situaci, aktivech a výrobních metodách výrobce, případně držitele dat. K získání přístupu nesmí použít nátlak ani zneužít nedostatky technické infrastruktury držitele určené k ochraně dat.
Omezení pro třetí strany (příjemce dat)
| Omezení | Popis |
|---|---|
| Konkurenční produkty | Získaná data nesmí použít k vývoji výrobku konkurujícího připojenému výrobku, z něhož data pocházejí, ani je za tímto účelem dále sdílet (čl. 6 odst. 2 písm. e)) |
| Poznatky o držiteli dat | Obdržená neosobní data z výrobků nebo souvisejících služeb nesmí použít k získávání poznatků o hospodářské situaci, aktivech a výrobních metodách držitele dat nebo o jejich používání držitelem (čl. 6 odst. 2 písm. e)) |
| Trade secrets | Musí respektovat obchodní tajemství |
| Volby a práva uživatele | Nesmí nepřiměřeně ztěžovat volby či výkon práv uživatele, včetně nátlaku, klamání či manipulace; ani bránit uživateli, který je spotřebitelem, sdílet obdržená data s jinými stranami (čl. 6 odst. 2 písm. a), h)) |
| Další sdílení | Jen na základě smlouvy s uživatelem a se zachováním opatření k obchodnímu tajemství; nikdy strážci přístupu (čl. 6 odst. 2 písm. c)–d)) |
| Bezpečnost, účel a výmaz | Nesmí nepříznivě ovlivnit bezpečnost výrobku či služby. Data jen k dohodnutým účelům; poté výmaz, ledaže je pro neosobní údaje dohodnuto jinak. Profilování jen pokud je nezbytné pro službu požadovanou uživatelem (čl. 6) |
Implementační požadavky
Pro Manufacturing / Industry 4.0
FÁZE 1: AUDIT (ilustrační projektová fáze)
- Inventura všech connected products
- Mapování generovaných dat (typ, objem, frekvence)
- Identifikace držitelů dat podle čl. 2 bodu 13: kdo má právo nebo povinnost data používat a zpřístupňovat; samotný technický přístup nestačí
- Gap analýza vs. Data Act požadavky
FÁZE 2: TECHNICKÁ IMPLEMENTACE (ilustrační projektová fáze)
- API/interface pro data access
- Autentizační mechanismus
- Data export funkce
- Real-time streaming (pokud applicable)
- Logging jen v nezbytném rozsahu podle čl. 4 odst. 5 a čl. 5 odst. 4
FÁZE 3: DOKUMENTACE (ilustrační projektová fáze)
- Terms of Service aktualizace
- Pre-purchase informace
- User manual pro data access
- Proces pro third-party requests
- SLA pro data availability
FÁZE 4: DATA ACCESS BY DESIGN (výrobky a související služby uvedené na trh po 12.9.2026)
- Design review pro nové produkty
- Built-in data access mechanismy
- User interface pro přístup
- Testing a validace
Příklady technických variant — vybrat podle produktu a zabezpečení
| Požadavek | Specifikace |
|---|---|
| Formát dat | JSON, CSV, XML (machine-readable) |
| API | REST API doporučeno, dokumentované |
| Autentizace | OAuth 2.0 nebo ekvivalent |
| Real-time | WebSocket, MQTT pro streaming |
| Export | Bulk export funkce (ZIP, tar.gz) |
| Metadata | Timestamp, source device, unit, accuracy |
Příklady use cases
Smart Factory (Průmysl 4.0)
SCÉNÁŘ: Výrobní firma má CNC stroje od různých výrobců
| Aspekt | Příklad dosavadní překážky | Možné využití práv podle Data Actu |
|---|---|---|
| Data | Uzamčena v proprietárních systémech | Firma má přístup k datům výrobku v rozsahu čl. 4–5 |
| Přístup | Výrobce kontroluje | Může sdílet s nezávislým servisem |
| Údržba | Omezený přístup nezávislého servisu k datům | Vlastní predictive maintenance |
| Integrace | Vendor lock-in | Integrace do centrálního systému |
Connected Vehicle
SCÉNÁŘ: Flotila firemních vozidel
Nová práva firmy:
- Přístup k telematickým datům (spotřeba, poloha, diagnostika)
- Sdílení s fleet management systémem třetí strany
- Nezávislý servis může přistupovat k diagnostice
- Dostupná historická data pro dovolené účely; respektovat práva předchozích uživatelů a dalších osob
Smart Building
SCÉNÁŘ: Komerční budova s IoT systémy
Data access umožňuje:
- Integrace různých systémů (HVAC, osvětlení, bezpečnost)
- Třetí strana pro energy management
- Nezávislá analytics pro optimalizaci
- Prediktivní údržba
Synergie s AI Act
Data pro trénování AI
Data Act může za svých podmínek umožnit přístup k vymezeným datům výrobku a související služby; nezaručuje oprávnění trénovat libovolný model na libovolných získaných datech. Ověřte účel, práva uživatele/třetích osob, GDPR, duševní vlastnictví, obchodní tajemství a omezení použití. Právo na přístup samo neopravňuje k dalšímu trénování na osobních údajích; posuďte konkrétní titul a podmínky GDPR.
Čl. 10 AI Actu stanoví správu dat u relevantních high-risk systémů využívajících trénování na datech v jeho rozsahu. Společné důkazy o původu a kvalitě dat mohou podpořit obě posouzení; společná dokumentace automaticky nesplňuje obě regulace.
Praktický příklad
PREDICTIVE MAINTENANCE AI
| Regulace | Požadavky |
|---|---|
| 1. DATA ACT | Právo přístupu k datům ze strojů; Nepřetržitý přístup/reálný čas, je-li relevantní a technicky proveditelný; strojově čitelný formát (např. JSON) |
| 2. AI ACT | Nejprve určit, zda jde o vysoce rizikový systém podle čl. 6. Pak posoudit správu dat (čl. 10), dokumentaci a monitoring; příslušná pravidla kapitoly III se použijí od 2.12.2027 pro čl. 6 odst. 2, resp. 2.8.2028 pro čl. 6 odst. 1, s přechody čl. 111 |
| 3. VÝSLEDEK | Podklady pro posouzení oprávněného přístupu k datům a použitelných povinností AI systému |
Sankce
Čl. 40 ukládá členským státům účinné, přiměřené a odrazující sankce. Režim pokut podle GDPR v čl. 40 odst. 4 se týká porušení kapitol II, III a V v působnosti orgánů ochrany osobních údajů. Nejde o univerzální pokutu 20 mil. EUR/4 % za jakýkoli spor o přístup k IoT datům. Nepřiměřené podmínky čl. 13 mohou být podle tohoto ustanovení nezávazné; určete skutečnou povinnost, příslušný orgán a národní vymáhání.
Další kroky
- Proveďte inventuru IoT produktů
- Identifikujte gap vs. Data Act požadavky
- Naplánujte technickou implementaci
- Projděte kompletní checklist
Zdroje
Věcná revize: 6. září 2026. Primární zdroje: Data Act — Arts. 1–7, 13, 23–31, 35, 40, 50, Commission Data Act FAQ.