Data Act — obligațiile companiilor

Data Act (Regulamentul UE 2023/2854) stabilește cine poate accesa și folosi datele generate de produsele conectate. El acordă utilizatorilor dreptul de a-și accesa gratuit datele și de a le partaja cu terți, obligă furnizorii de cloud să faciliteze schimbarea furnizorului și interzice clauzele contractuale abuzive privind datele impuse între întreprinderi. Regulamentul se aplică direct, din 12 septembrie 2025.

Pe scurt

Data Act — Regulamentul (UE) 2023/2854 — dă utilizatorilor produselor conectate (IoT) dreptul de a accesa datele pe care le generează și de a le partaja cu terți, obligă furnizorii de servicii cloud să faciliteze schimbarea furnizorului și interzice clauzele contractuale abuzive privind datele impuse unilateral între întreprinderi. Fiind regulament, se aplică direct, fără transpunere, din 12 septembrie 2025, cu câteva termene eșalonate (obligația de proiectare „by design" a produselor din 12 septembrie 2026, eliminarea completă a taxelor de schimbare cloud din 12 ianuarie 2027).

Sursa: Regulamentul (UE) 2023/2854, EUR-Lex CELEX:32023R2854 (accesat 2026-09-10)

Cadrul legal

Actul principal este Regulamentul (UE) 2023/2854 al Parlamentului European și al Consiliului din 13 decembrie 2023 privind norme armonizate pentru un acces echitabil la date și o utilizare corectă a acestora (Regulamentul privind datele / Data Act).

• Intrare în vigoare: 11 ianuarie 2024.
• Aplicare generală: 12 septembrie 2025.
• Natura actului: regulament UE — direct aplicabil în România, fără a fi nevoie de transpunere printr-o lege națională.

Art. 1 — Obiect. Regulamentul stabilește norme armonizate privind, printre altele, punerea la dispoziție a datelor generate prin utilizarea produselor conectate și a serviciilor conexe, punerea datelor la dispoziția organismelor din sectorul public, cadrul de schimbare a furnizorilor de servicii de prelucrare a datelor și cerințe de interoperabilitate. Sursa: Regulamentul (UE) 2023/2854, EUR-Lex (accesat 2026-09-10)

Structura obligațiilor (pe capitole):

• Cap. II (art. 3–7) — accesul utilizatorului la datele produselor conectate și partajarea cu terți.
• Cap. III (art. 8–12) — punerea datelor la dispoziție în temeiul unei obligații legale, în condiții echitabile, rezonabile și nediscriminatorii (FRAND), cu compensație rezonabilă pentru deținătorul de date (art. 9).
• Cap. IV (art. 13) — interzicerea clauzelor contractuale abuzive impuse unilateral între întreprinderi.
• Cap. V (art. 14–22) — punerea datelor la dispoziția organismelor din sectorul public în situații de nevoie excepțională.
• Cap. VI (art. 23–31) — schimbarea furnizorului de servicii de prelucrare a datelor (cloud/edge).
• Cap. VII (art. 32) — garanții împotriva accesului ilegal al autorităților din țări terțe la datele fără caracter personal.
• Cap. VIII (art. 33–36) — interoperabilitate (spații de date, contracte inteligente).
• Cap. IX (art. 37–42) — aplicare: autorități competente, coordonator al datelor, plângeri și sancțiuni (art. 40).

Relația cu alte acte. Data Act nu aduce atingere legislației privind protecția datelor cu caracter personal — Regulamentul (UE) 2016/679 (RGPD) și Directiva 2002/58/CE prevalează ori de câte ori sunt implicate date cu caracter personal. Regimul secretelor comerciale rămâne guvernat de Directiva (UE) 2016/943 (în România, Legea nr. 11/1991 privind combaterea concurenței neloiale, modificată prin OUG nr. 25/2019).

Dreptul sui generis asupra bazelor de date (art. 43). Un aspect esențial, adesea omis: art. 43 din Data Act prevede că dreptul sui generis al fabricantului de baze de date (art. 7 din Directiva 96/9/CE, transpus în România în Legea nr. 8/1996 privind dreptul de autor) nu se aplică bazelor de date care conțin date obținute sau generate prin utilizarea unui produs conectat ori a unui serviciu conex. Practic, deținătorul de date nu mai poate invoca dreptul sui generis pentru a bloca accesul sau partajarea impuse de Cap. II — o apărare pe care mulți producători o foloseau anterior pentru a-și menține monopolul asupra datelor de la mașini/senzori.

Raportul cu Data Governance Act. Data Act este complementar Regulamentului (UE) 2022/868 (Data Governance Act / DGA): DGA este cadrul orizontal (reutilizarea datelor deținute de sectorul public, serviciile de intermediere a datelor, altruismul datelor), în timp ce Data Act reglementează drepturi concrete de acces și partajare pentru datele generate de produse conectate, relațiile B2B/B2G și schimbarea furnizorului de cloud. Cele două au domenii distincte, dar se sprijină reciproc în construirea spațiilor europene de date.

Sursa: Regulamentul (UE) 2023/2854, art. 43 — EUR-Lex; Regulamentul (UE) 2022/868 (DGA) — EUR-Lex (accesat 2026-09-10)

Cadrul național (în pregătire). Regulamentul se aplică direct, dar statele membre trebuie să desemneze autoritățile competente și regimul sancționator. În România, ANCOM a lansat în iulie 2026 un proiect de lege (consultare publică până la 3 august 2026) care o desemnează autoritate competentă și coordonator al datelor, iar ANSPDCP autoritate pentru protecția datelor cu caracter personal. La data redactării, legea nu era încă adoptată.

Sursa: comunicat ANCOM, iulie 2026 — CECCAR Business Magazine, Economica.net (accesat 2026-09-10)

Ce se poate sancționa în „vidul" actual (2025–2026)? Trebuie distinse două planuri. Obligațiile de fond ale regulamentului (dreptul de acces al utilizatorului — art. 3–5; nulitatea clauzelor abuzive — art. 13; obligațiile de switching — Cap. VI) se aplică direct din 12 septembrie 2025 și sunt executabile pe cale civilă: un utilizator, un terț sau o întreprindere lezată se poate adresa instanței pentru a obține accesul, transmiterea datelor ori constatarea nulității unei clauze. În schimb, sancțiunea administrativă (amenda din art. 40) presupune ca legea națională să desemneze autoritatea competentă și să stabilească cuantumurile; în lipsa acesteia, în virtutea principiului legalității sancțiunii, ANCOM nu poate încă aplica amenzi pentru încălcări privind date NEpersonale. Pentru componenta de date cu caracter personal, situația e diferită: ANSPDCP are deja competențe și plafoane de amendă sub RGPD (art. 83), aplicabile independent de adoptarea legii Data Act.

Explicație detaliată

Data Act pornește de la o constatare simplă: majoritatea datelor generate de produsele conectate (mașini, utilaje, senzori industriali, electrocasnice inteligente, dispozitive medicale, echipamente agricole) rămâneau, în practică, sub controlul exclusiv al producătorului. Regulamentul redistribuie acest control, definind clar cine poate accesa și utiliza datele.

Cine este cine (definițiile-cheie)

• Produs conectat — un bun care obține, generează sau colectează date despre utilizarea sau mediul său și care poate comunica aceste date (art. 2).
• Serviciu conex — software-ul fără de care produsul nu și-ar putea îndeplini una dintre funcții (de exemplu aplicația care controlează un utilaj).
• Utilizator — persoana fizică sau juridică ce deține, închiriază sau utilizează produsul.
• Deținător de date (data holder) — de regulă producătorul sau furnizorul serviciului conex, care controlează tehnic datele.
• Destinatar de date (data recipient) — terțul căruia utilizatorul îi cere să i se pună la dispoziție datele (de exemplu un atelier de reparații independent).

O companie poate cumula mai multe roluri: producătorul unui utilaj este deținător de date față de clientul care îl folosește, dar poate fi utilizator față de datele echipamentelor pe care le exploatează în propria fabrică.

1. Acces la datele produselor conectate (Cap. II, art. 3–7)

Este nucleul reglementării. Obligațiile se aplică pe două paliere:

• Proiectare „by design" (art. 3). Produsele conectate și serviciile conexe trebuie proiectate astfel încât datele (inclusiv metadatele relevante) să fie accesibile utilizatorului în mod direct, ușor, sigur și, în principiu, gratuit. Producătorul trebuie, de asemenea, să informeze cumpărătorul, înainte de contract, despre tipul, volumul și modul de accesare a datelor. Această obligație de proiectare se aplică produselor introduse pe piață după 12 septembrie 2026 — un an peste data generală de aplicare.
• Acces la cerere (art. 4 și 5). Când datele nu sunt direct accesibile, utilizatorul are dreptul să ceară deținătorului de date să i le pună la dispoziție (art. 4) sau să le transmită unui terț ales de el (art. 5) — de pildă un service independent, un asigurător sau un furnizor de mentenanță predictivă. Terțul (art. 6) poate folosi datele doar în scopurile convenite cu utilizatorul și nu le poate utiliza pentru a dezvolta un produs concurent celui de la care provin.

Secretele comerciale sunt protejate: deținătorul de date le poate divulga, dar poate impune măsuri de confidențialitate proporționale și, în situații excepționale, poate refuza sau suspenda partajarea dacă demonstrează un risc de prejudiciu grav (art. 4–5).

2. Partajarea în temeiul unei obligații legale și compensația (Cap. III, art. 8–12)

Când un deținător de date este obligat prin lege să pună date la dispoziția unui destinatar, o poate face în condiții echitabile, rezonabile, nediscriminatorii și transparente (FRAND). Deținătorul are dreptul la o compensație rezonabilă (art. 9); față de întreprinderile mici și mijlocii și microîntreprinderi, compensația nu poate depăși costurile direct legate de punerea la dispoziție a datelor. Sunt interzise clauzele care exclud, în detrimentul utilizatorului, drepturile prevăzute de Cap. II.

Gratuit pentru utilizator, dar cu compensație de la terț — cine plătește, de fapt? Este o distincție esențială, ușor de confundat. Accesul utilizatorului la propriile date (art. 3–5) este, în principiu, gratuit — deținătorul nu poate taxa utilizatorul. Însă atunci când utilizatorul cere ca datele să fie transmise unui terț ales de el (art. 5) — un service independent, un asigurător, un broker de date — deținătorul de date poate conveni cu acel terț (destinatarul de date) o compensație rezonabilă în temeiul art. 9. Cu alte cuvinte: plătește terțul, nu utilizatorul. Dacă destinatarul este el însuși un IMM sau o microîntreprindere (ori o organizație de cercetare non-profit), compensația este plafonată la costurile direct legate de punerea la dispoziție a datelor; pentru ceilalți destinatari, compensația poate include și o marjă rezonabilă.

2b. Exceptarea microîntreprinderilor și întreprinderilor mici (art. 7)

Obligațiile Cap. II nu se aplică datelor generate de produse conectate fabricate — sau servicii conexe furnizate — de o microîntreprindere sau o întreprindere mică. Pragurile sunt cele din Recomandarea 2003/361/CE: microîntreprindere = sub 10 salariați și cifră de afaceri/bilanț ≤ 2 mil. EUR; întreprindere mică = sub 50 de salariați și ≤ 10 mil. EUR. Întrucât „întreprindere" înseamnă orice entitate care desfășoară o activitate economică, indiferent de forma juridică, PFA și întreprinderile individuale din România se pot califica drept microîntreprinderi dacă respectă pragurile.

Exceptarea are însă două „excepții de la excepție" (art. 7 alin. 1): ea nu operează (a) dacă întreprinderea mică/micro are o întreprindere parteneră sau legată care nu se califică drept IMM (pentru a împiedica marile grupuri să se „ascundă" în spatele unor filiale mici), ori (b) dacă întreprinderea a fost subcontractată pentru a fabrica produsul conectat sau a furniza serviciul conex — caz în care obligația revine, în lanț, întreprinderii mari care pune produsul pe piață.

3. Clauze contractuale abuzive între întreprinderi (Cap. IV, art. 13)

Data Act introduce un control al clauzelor abuzive impuse unilateral unei alte întreprinderi în materie de acces și utilizare a datelor. O clauză este abuzivă — și, prin urmare, neobligatorie pentru partea căreia i-a fost impusă — dacă „se abate în mod grosolan de la buna practică comercială în materie de acces și utilizare a datelor, contrar bunei-credințe și corectitudinii". Regulamentul enumeră clauze prezumate abuzive (de exemplu, cele care exclud răspunderea pentru dol/culpă gravă sau care permit unei părți să interpreteze unilateral contractul). Regula se aplică contractelor încheiate după 12 septembrie 2025; pentru contractele preexistente pe durată nedeterminată sau care expiră la cel puțin 10 ani după intrarea în vigoare, se aplică de la 12 septembrie 2027.

4. Acces al sectorului public (Cap. V, art. 14–22)

În situații de nevoie excepțională — în special urgențe publice precum inundații, incendii sau pandemii — organismele din sectorul public pot solicita companiilor accesul la date necesare gestionării situației, când acestea nu pot fi obținute altfel. Cererea trebuie să fie proporțională și motivată; în afara urgențelor, accesul este limitat și, de regulă, contra unei compensații.

5. Schimbarea furnizorului de servicii de prelucrare a datelor (Cap. VI, art. 23–31)

Regulamentul combate „blocarea" clientului (vendor lock-in) la furnizorii de cloud și edge. Furnizorii trebuie:

• să elimine obstacolele comerciale, tehnice, contractuale și organizatorice care împiedică schimbarea;
• să prevadă în contract un termen maxim de tranziție (o perioadă obligatorie de maximum 30 de zile lucrătoare, cu posibilitate de prelungire justificată tehnic) și să asigure portabilitatea datelor și a „activelor digitale";
• să elimine progresiv taxele de schimbare: în perioada de tranziție pot factura doar costurile efective suportate, iar de la 12 ianuarie 2027 taxele de schimbare (inclusiv pentru egresul de date) sunt interzise complet.

6. Țări terțe și interoperabilitate (Cap. VII–VIII)

Furnizorii de servicii de prelucrare a datelor trebuie să ia măsuri tehnice și organizatorice pentru a preveni transferul sau accesul guvernamental ilegal al autorităților din țări terțe la datele fără caracter personal stocate în UE (art. 32). Capitolul VIII impune cerințe de interoperabilitate pentru operatorii spațiilor de date și standarde pentru „contractele inteligente" (smart contracts).

Conflictul cu US CLOUD Act și FISA §702. Art. 32 creează o tensiune reală pentru filialele din România ale furnizorilor de cloud americani: US CLOUD Act (18 U.S.C. §2713) și FISA §702 pot obliga furnizorul american — și, prin extensie, filiala din UE — să divulge date, inclusiv nepersonale. Data Act permite transferul/accesul doar dacă se întemeiază pe un acord internațional (de tip asistență juridică reciprocă) sau, în lipsă, cu respectarea unor condiții stricte (control de proporționalitate, minimul necesar, notificare). Nu există o soluție „100%" care să elimine conflictul de legi; garanțiile considerate în practică rezonabile sunt: localizarea datelor în UE cu criptare și chei gestionate în UE (arhitectură „EU data boundary"), clauze contractuale prin care furnizorul se obligă să conteste ordinele străine incompatibile cu dreptul UE și să notifice autoritățile, precum și minimizarea datelor. Contextul jurisprudențial relevant rămâne hotărârea CJUE Schrems II (C-311/18).

Soluționarea alternativă a litigiilor (art. 10)

Pe lângă calea instanței, Data Act instituie un mecanism de soluționare alternativă a litigiilor: utilizatorii, deținătorii și destinatarii de date (precum și clienții și furnizorii de servicii de cloud) au acces la organisme de soluționare a litigiilor certificate de statul membru (art. 10). Mecanismul este voluntar și oferă o cale simplă, rapidă și cu costuri reduse — de exemplu pentru a contesta cuantumul compensației pretinse sau un refuz de acces. Puncte-cheie:

• Forța deciziei (art. 10 alin. 12): decizia organismului este obligatorie pentru părți numai dacă acestea au consimțit expres la caracterul obligatoriu înainte de începerea procedurii; altfel are valoare de recomandare.
• Accesul la instanță rămâne garantat: recurgerea la organismul de soluționare nu privează părțile de dreptul la o cale de atac în fața instanței.
• Costuri: dacă partea reclamantă câștigă, cheltuielile rezonabile pot fi suportate de cealaltă parte.

În România, certificarea acestor organisme este prevăzută în proiectul de lege ANCOM; la data redactării ele nu erau încă operaționale.

Sursa: Regulamentul (UE) 2023/2854, art. 10 și art. 32 — EUR-Lex (accesat 2026-09-10)

Aplicare și sancțiuni (Cap. IX, art. 37–42)

Statele membre desemnează una sau mai multe autorități competente și un coordonator al datelor (art. 37) și stabilesc sancțiuni efective, proporționale și disuasive (art. 40). Pentru încălcările care privesc date cu caracter personal, sunt competente autoritățile de supraveghere din RGPD, iar plafoanele de amendă din Regulamentul (UE) 2016/679 se aplică în mod corespunzător. În România, rolul de autoritate competentă și coordonator al datelor este propus, prin proiectul de lege ANCOM, pentru ANCOM, cu ANSPDCP pentru componenta de date cu caracter personal.

Aspecte practice

Data Act atinge, în practică, trei categorii de companii: producătorii de produse conectate (și furnizorii de servicii conexe), furnizorii de cloud/edge și, transversal, orice întreprindere care încheie contracte de acces la date. Iată ce înseamnă concret conformitatea.

Dacă produci sau vinzi produse conectate (IoT)

• Inventariază datele. Stabilește ce date generează fiecare produs, care sunt „ușor accesibile", ce metadate există și care conțin secrete comerciale sau date cu caracter personal.
• Pregătește accesul. Creează un mecanism (API, portal, export) prin care utilizatorul își poate obține datele — gratuit — sau prin care le poate direcționa către un terț.
• Atenție la data de 12 septembrie 2026. Obligația de proiectare „by design" (art. 3) se aplică produselor introduse pe piață după această dată, evaluată per unitate, nu per model. Produsele deja pe piață intră sub obligațiile de acces la cerere (art. 4–5), dar noile unități trebuie proiectate conform.
• Actualizează informarea precontractuală. Cumpărătorul trebuie să afle, înainte de contract, ce date se generează și cum le poate accesa.

Dacă ești furnizor de cloud / edge

• Revizuiește contractele-cadru. Elimină clauzele de „lock-in", prevede expres dreptul de schimbare, termenul de tranziție (max. 30 de zile lucrătoare) și asistența la portare.
• Planifică eliminarea taxelor de schimbare. Până la 12 ianuarie 2027 poți factura doar costurile efective; după această dată, orice taxă de schimbare sau de egres de date devine interzisă. Ajustează modelul de preț din timp.
• Documentează măsurile anti-acces din țări terțe (art. 32) și cerințele de interoperabilitate/portabilitate.

Pentru orice companie care contractează acces la date

• Verifică echilibrul clauzelor (art. 13). O clauză impusă unilateral care limitează abuziv accesul, folosirea sau răspunderea în materie de date poate fi lovită de nulitate. Renegociază clauzele-tip vechi.
• Separă net datele cu caracter personal. Data Act nu creează un temei de prelucrare în sensul RGPD: dacă datele solicitate includ date personale ale altor persoane, ai nevoie de un temei legal distinct din RGPD.

Când utilizatorul este consumator (autoturisme conectate, electrocasnice inteligente)

Deși Data Act este puternic orientat B2B, drepturile de acces se aplică și când utilizatorul este o persoană fizică-consumator. Aici regulamentul se suprapune și se completează cu dreptul consumatorului:

• Informarea precontractuală cerută de art. 3–4 (ce date se generează, cum se accesează) se adaugă informării din OUG nr. 34/2014 privind contractele la distanță; neîndeplinirea ei poate atrage și dreptul de retragere de 14 zile specific vânzărilor la distanță.
• Garanția de conformitate din Legea nr. 449/2003 (termen legal de 2 ani) acoperă și componentele ori serviciile digitale ale produsului conectat: dacă funcția de acces la date nu corespunde descrierii, consumatorul poate cere remediere.
• Data Act nu înlătură aceste drepturi de consumator — le adaugă un strat nou (portabilitate, partajare cu terți).

Ce se întâmplă dacă furnizorul intră în insolvență (Legea nr. 85/2014)

Un risc practic subestimat: insolvența furnizorului de cloud sau a deținătorului de date. Regula generală din Legea nr. 85/2014 este că bunurile care aparțin unui terț nu intră în averea debitorului și pot fi revendicate (cerere de restituire), fără a fi tratate ca simple creanțe chirografare. Pe acest principiu, datele utilizatorului și „activele digitale" care îi aparțin ar trebui recuperabile cu prioritate. Calificarea juridică exactă a „activelor digitale" rămâne însă incertă, iar dreptul de switching din Cap. VI poate deveni greu de exercitat în practică odată deschisă procedura. De aceea, recomandarea practică este să nu te bazezi doar pe lege: negociază din timp clauze de reversibilitate și de export al datelor, exporturi periodice, eventual soluții de tip escrow și un plan de ieșire documentat.

Greșeli frecvente de evitat

• A confunda Data Act cu RGPD. Data Act acoperă și datele nepersonale (industriale, de la mașini) și adaugă drepturi de portabilitate/partajare; RGPD rămâne aplicabil în paralel pentru datele personale.
• A presupune că „regulament UE = nu mă privește până apare legea română". Regulamentul se aplică direct din 12 septembrie 2025; lipsa legii naționale de desemnare a autorităților nu suspendă obligațiile de fond.
• A ignora terții. Dreptul utilizatorului de a trimite datele unui service independent sau unui concurent din aftermarket schimbă modelele de business bazate pe monopolul asupra reparațiilor și mentenanței.
• A trata secretele comerciale ca refuz automat. Ele pot fi protejate prin măsuri de confidențialitate, dar nu justifică, în sine, refuzul general de a partaja datele.

Calendar de reținut

Jurisprudență națională

ℹ️ Stadiul jurisprudenței. Data Act — Regulamentul (UE) 2023/2854 — se aplică abia din 12 septembrie 2025, iar obligația de proiectare „by design" doar din 12 septembrie 2026, cu eliminarea completă a taxelor de schimbare cloud din 12 ianuarie 2027. La data redactării (septembrie 2026) nu există jurisprudență a instanțelor române și nici hotărâri CJUE care să interpreteze direct Data Act — trimiterile preliminare și acțiunile directe ajung la Curte după ani de la aplicarea unui act. În plus, legea națională de aplicare (proiect ANCOM aflat în consultare din iulie 2026) nu era adoptată. Prezentăm mai jos jurisprudența CJUE conexă, orientativă pentru conceptele-cheie ale Data Act (accesul la date, întinderea „copiei" datelor, protecția secretelor comerciale), împreună cu contextul practic național.

Jurisprudență CJUE relevantă (conexă)

⚠️ Hotărârile de mai jos privesc RGPD, nu Data Act. Sunt reținute ca jurisprudență conexă — orientativă pentru interpretarea Data Act, nu direct aplicabilă.

Decizii favorabile accesului la date (PRO)

CJUE, Cauza C-307/22, FT v DW — hotărârea din 26 octombrie 2023 (ECLI:EU:C:2023:811) Curtea a stabilit că operatorul trebuie să furnizeze gratuit prima copie a datelor cu caracter personal (art. 12(5) și art. 15(3) RGPD), chiar dacă motivul cererii nu ține de protecția datelor (în speță, evaluarea unei eventuale răspunderi medicale). Considerentul 63 nu are forță de a restrânge dreptul. · Instanța a reținut că accesul gratuit la prima copie nu poate fi condiționat de justificarea cererii. Relevanță: același principiu al accesului necostisitor al utilizatorului la propriile date stă la baza Data Act (art. 4-5), unde deținătorul nu poate tarifa utilizatorul pentru accesul la datele generate de produsul conectat. Sursa: EUR-Lex CELEX:62022CJ0307 (accesat 2026-09-10)

CJUE, Cauza C-487/21, F.F. v Österreichische Datenschutzbehörde (CRIF) — hotărârea din 4 mai 2023 (ECLI:EU:C:2023:369) Noțiunea de „copie" din art. 15(3) RGPD înseamnă o reproducere fidelă și inteligibilă a tuturor datelor; o simplă descriere pe categorii nu este suficientă, iar dreptul se poate extinde la extrase din documente sau documente întregi când contextualizarea este esențială pentru înțelegerea datelor. · Instanța a reținut că accesul trebuie să fie efectiv și inteligibil, nu formal. Relevanță: susține o interpretare largă a „datelor ușor disponibile" pe care deținătorul trebuie să le pună la dispoziție conform art. 4 Data Act, dincolo de metadate sumare. Sursa: EUR-Lex CELEX:62021CJ0487 (accesat 2026-09-10)

Decizii limitative / de echilibrare (CONTRA · NUANȚĂ)

CJUE, Cauza C-203/22, CK v Magistrat der Stadt Wien (Dun & Bradstreet Austria) — hotărârea din 27 februarie 2025 (ECLI:EU:C:2025:117) Într-o decizie automatizată (scoring de credit), operatorul trebuie să ofere informații utile despre logica prelucrării; însă, când invocă secrete comerciale (în sensul art. 2 pct. 1 din Directiva (UE) 2016/943), nu poate refuza pur și simplu accesul, ci trebuie să predea informația autorității de supraveghere sau instanței competente, care realizează ponderarea intereselor. O regulă națională care exclude automat accesul ori de câte ori există un secret comercial este contrară dreptului UE. · Instanța a reținut că accesul cedează în fața secretelor comerciale doar în urma unei ponderări individuale, controlate de autoritate/instanță — nu printr-o excludere automată. Relevanță: reflectă exact tensiunea reglementată de Data Act, care permite deținătorului să protejeze secretele comerciale (art. 4(6)-(8) și art. 5), fără a bloca însă abuziv accesul. Sursa: EUR-Lex CELEX:62022CJ0203 (accesat 2026-09-10)

Practică și context național (în lipsa jurisprudenței)

Fără hotărâri ale instanțelor române. Nu au fost identificate decizii ale instanțelor din România (portalul instanțelor, juridice.ro) care să aplice Data Act. Aplicarea urmează a fi asigurată de autoritatea desemnată prin legea națională — proiectul ANCOM aflat în consultare (iulie 2026), neadoptat la data redactării. Analiza practică pentru companiile din România subliniază obligațiile imediate: acces și portabilitate a datelor generate de produse conectate, revizuirea clauzelor privind accesul/utilizarea datelor impuse unilateral (supuse condițiilor de validitate — art. 13) și limitele stricte (justificare + proporționalitate) ale accesului guvernamental/internațional la datele din cloud. Sursa: Data Act a intrat în vigoare — avocatnet.ro (PwC România) (accesat 2026-09-10)

Tendințe jurisprudențiale

În absența unei jurisprudențe proprii Data Act, orientarea CJUE pe RGPD conturează două linii convergente cu logica regulamentului: (1) o interpretare extensivă și necostisitoare a dreptului de acces la date (C-307/22, C-487/21) și (2) echilibrarea, iar nu excluderea accesului atunci când intervin secrete comerciale (C-203/22), sub controlul autorității sau instanței. Este de așteptat ca primele litigii propriu-zise Data Act (2026-2027, pe măsură ce intră în vigoare obligația „by design" și eliminarea taxelor de switching) să fie soluționate prin aceste standarde. Întreaga secțiune rămâne marcată ⚠️ jurisprudență conexă — orientativă, nu direct aplicabilă Data Act.

Întrebări frecvente

De când se aplică Data Act? Se aplică, ca regulă generală, de la 12 septembrie 2025. Câteva obligații au termene decalate: proiectarea „by design" a produselor noi (art. 3) — de la 12 septembrie 2026; eliminarea completă a taxelor de schimbare cloud — de la 12 ianuarie 2027; clauzele abuzive pentru anumite contracte preexistente — de la 12 septembrie 2027.

Trebuie transpus în legislația română pentru a produce efecte? Nu. Fiind regulament, se aplică direct. Legea națională (proiectul ANCOM din iulie 2026) doar desemnează autoritățile competente și regimul sancționator; ea nu condiționează aplicarea obligațiilor de fond.

Ce date acoperă — doar cele personale? Nu. Data Act vizează în special datele generate de produsele conectate, inclusiv date nepersonale (industriale, de la mașini/senzori). Pentru datele cu caracter personal continuă să se aplice RGPD, care prevalează.

Sunt IMM și mi se cere să partajez date. Trebuie să o fac gratuit? Când partajarea decurge dintr-o obligație legală, ai dreptul la o compensație rezonabilă (art. 9). În plus, față de un destinatar care este el însuși IMM sau microîntreprindere, compensația este plafonată la costurile suportate pentru punerea la dispoziție a datelor. Microîntreprinderile și întreprinderile mici sunt, de asemenea, exceptate de la unele obligații ale Cap. II ca deținători de date.

Un concurent îmi poate cere datele prin intermediul clientului? Utilizatorul poate cere transmiterea datelor către un terț ales de el (art. 5), inclusiv un concurent pe piața serviciilor. Însă terțul nu poate folosi datele pentru a dezvolta un produs care concurează produsul conectat de la care provin datele și trebuie să respecte scopurile convenite cu utilizatorul (art. 6).

Ce se întâmplă cu secretele mele comerciale? Rămân protejate. Le poți divulga condiționat de măsuri de confidențialitate proporționale, iar în situații excepționale, dacă demonstrezi un risc de prejudiciu economic grav, poți refuza sau suspenda partajarea (art. 4–5).

Ce riscă o companie care nu se conformează? Sancțiuni stabilite de fiecare stat membru, care trebuie să fie efective, proporționale și disuasive (art. 40). Când sunt implicate date cu caracter personal, se aplică autoritățile și plafoanele de amendă din RGPD. În România, autoritatea propusă este ANCOM (coordonator al datelor), respectiv ANSPDCP pentru datele personale.

Ca utilizator de cloud, cât mă costă să schimb furnizorul? Până la 12 ianuarie 2027, furnizorul poate factura doar costurile efective ale operațiunilor de schimbare; după această dată, orice taxă de schimbare sau de egres de date este interzisă. Furnizorul trebuie să asigure tranziția într-un termen contractual de regulă de maximum 30 de zile lucrătoare.

Accesul la date este gratuit sau se plătește? Accesul utilizatorului la propriile date este, în principiu, gratuit. Când utilizatorul cere transmiterea datelor către un terț ales de el (art. 5), deținătorul poate pretinde o compensație rezonabilă — dar de la terțul (destinatarul de date), nu de la utilizator (art. 9). Dacă terțul este IMM sau microîntreprindere, compensația este plafonată la costuri.

Se aplică Data Act și dacă produsul e cumpărat de o persoană fizică (consumator)? Da. Drepturile de acces se aplică indiferent dacă utilizatorul e companie sau consumator (autoturism conectat, electrocasnice inteligente). În plus, se aplică în paralel protecția consumatorului — informarea și dreptul de retragere din OUG nr. 34/2014 și garanția de conformitate din Legea nr. 449/2003.

Pot contesta compensația sau un refuz de acces fără să merg în instanță? Da. Data Act prevede organisme de soluționare a litigiilor certificate (art. 10) — o cale voluntară, rapidă și ieftină. Decizia lor este obligatorie doar dacă părțile au consimțit expres la acest lucru înainte de procedură; în orice caz, dreptul de a te adresa instanței rămâne intact.

Practică și opinii

⚠️ Poziție instituțională — Comisia Europeană (pagina oficială „Data Act explained") Comisia prezintă Data Act ca instrument de deblocare a valorii datelor industriale: dă persoanelor și companiilor dreptul de a accesa datele produse prin utilizarea obiectelor inteligente și de a le partaja cu terți, stimulând concurența pe piețele de servicii post-vânzare (reparații, mentenanță) și reducând „blocarea" la furnizorii de cloud. Sursa: Data Act explained, European Commission (accesat 2026-09-10)

⚠️ Opinie specialistă — Eversheds Sutherland (analiză privind art. 3 și art. 50) Firma subliniază că obligația de proiectare din art. 3(1) se evaluează per unitate de produs introdusă pe piață după 12 septembrie 2026, nu per model — ceea ce înseamnă că producătorii trebuie să distingă între unitățile deja comercializate și cele viitoare atunci când planifică conformitatea „by design". Sursa: When do the design obligations under the Data Act apply? — Eversheds Sutherland (accesat 2026-09-10)

⚠️ Context național — comunicat ANCOM (iulie 2026) ANCOM a lansat în consultare publică proiectul de lege pentru aplicarea Data Act, propunându-se ca autoritate competentă și coordonator al datelor, în cooperare cu Ministerul Economiei, Digitalizării, Antreprenoriatului și Turismului, Secretariatul General al Guvernului și ANSPDCP. Proiectul reglementează cooperarea între autorități, certificarea organismelor de soluționare a litigiilor și regimul sancționator. La data redactării, actul nu era adoptat. Sursa: CECCAR Business Magazine; AGERPRES (accesat 2026-09-10)

Referințe

1. Regulamentul (UE) 2023/2854 al Parlamentului European și al Consiliului din 13 decembrie 2023 privind norme armonizate pentru un acces echitabil la date și o utilizare corectă a acestora (Regulamentul privind datele / Data Act) — CELEX 32023R2854, ELI data.europa.eu/eli/reg/2023/2854/oj. Text: EUR-Lex, CELEX:32023R2854 (accesat 2026-09-10).
2. Regulamentul (UE) 2016/679 (RGPD) — protecția datelor cu caracter personal, aplicabil în paralel: EUR-Lex, CELEX:32016R0679.
3. Directiva (UE) 2016/943 privind protecția secretelor comerciale (în RO: Legea nr. 11/1991, modificată prin OUG nr. 25/2019): EUR-Lex, CELEX:32016L0943.
4. Comisia Europeană — pagina de politică „Data Act": digital-strategy.ec.europa.eu/en/policies/data-act (accesat 2026-09-10).
5. Comisia Europeană — „Data Act explained": digital-strategy.ec.europa.eu/en/policies/data-act-explained (accesat 2026-09-10).
6. Eversheds Sutherland — „When do the design obligations under the Data Act apply? Understanding Article 3 and Article 50": eversheds-sutherland.com (accesat 2026-09-10).
7. ANCOM — proiect de lege privind aplicarea Data Act, consultare publică iulie 2026 (autoritate competentă și coordonator al datelor; ANSPDCP pentru date cu caracter personal). Surse: CECCAR Business Magazine; Economica.net; AGERPRES (accesat 2026-09-10).
8. Regulamentul (UE) 2022/868 (Data Governance Act / DGA) — cadru orizontal complementar: EUR-Lex, CELEX:32022R0868.
9. Directiva 96/9/CE privind protecția juridică a bazelor de date (drept sui generis; în RO: Legea nr. 8/1996 privind dreptul de autor): EUR-Lex, CELEX:31996L0009.
10. Recomandarea 2003/361/CE a Comisiei privind definiția microîntreprinderilor și a întreprinderilor mici și mijlocii: EUR-Lex, CELEX:32003H0361.
11. Legislație națională conexă (RO): OUG nr. 34/2014 privind drepturile consumatorilor în contractele la distanță; Legea nr. 449/2003 privind garanția de conformitate; Legea nr. 85/2014 privind procedurile de insolvență — text consolidat pe legislatie.just.ro.
12. CJUE, Schrems II, cauza C-311/18 (context pentru art. 32 — accesul autorităților din țări terțe): CURIA.