Kolejna wymiana doświadczeń w kwestii wdrażania DGA – przedstawiciele UODO odwiedzili Budapeszt

13–17 kwietnia br. delegacja Urzędu Ochrony Danych Osobowych wzięła udział w wizycie studyjnej w Budapeszcie, zorganizowanej w ramach projektu „Data Governance Act implementation – study visit project”, w ramach inicjatywy flagowej PACE (Public Administration Cooperation Exchange – Wymiana w zakresie współpracy w administracji publicznej), organizowanej przez Instrument Wsparcia Technicznego (Technical Support Instrument – TSI).

W wyjeździe uczestniczyli przedstawiciele Departamentu Innowacji i Zarządzania Danymi: Agata Czekaj, Aleksandra Grabowska-Kral, Aleksandra Spyra i Artur Kalinowski, a także Iwona Piórkowska-Kapica z Departamentu Inicjatyw Edukacyjnych. Celem programu jest wymiana doświadczeń między organami administracji odpowiedzialnymi za wdrażanie Aktu w sprawie zarządzania danymi. Wizyta ta była szczególnie istotna w kontekście podpisania przez Prezydenta RP ustawy implementującej te przepisy w Polsce. Gospodarzem był Krajowy Urząd Ochrony Danych i Wolności Informacji (National Authority for Data Protection and Freedom of Information, Nemzeti Adatvédelmi és Információszabadság Hatóság, dalej: NAIH).

Dzień pierwszy – dostęp do informacji publicznej jako źródło danych

Tytułem wprowadzenia omówiono podstawowe założenia dostępu do informacji publicznej jako odrębnego reżimu prawnego regulującego jawność działania administracji publicznej oraz dostęp do dokumentów i informacji sektora publicznego, którego podstawową funkcją jest zapewnienie transparentności działania państwa oraz realizacja prawa do informacji jako prawa podstawowego.

Istotne było wyraźne rozróżnienie pomiędzy reżimem dostępu do informacji publicznej a odrębnymi ramami prawnymi dotyczącymi ponownego wykorzystywania danych w sektorze publicznym. W tym kontekście omówione zagadnienia pozwoliły na lepsze zrozumienie, że mechanizmy dostępu do informacji publicznej oraz transparentności administracji mogą stanowić jedno ze źródeł danych, których dalsze wykorzystanie podlega odrębnym regulacjom, w tym w szczególności przepisom o ochronie danych osobowych oraz regulacjom unijnym dotyczącym zarządzania danymi.

Duże znaczenie miało także lepsze zrozumienie konieczności równoważenia prawa dostępu do informacji z obowiązkiem ochrony danych osobowych oraz innymi ograniczeniami wynikającymi z przepisów szczególnych. Ma to znaczenie dla właściwej oceny ryzyk związanych z udostępnianiem i dalszym przetwarzaniem danych, w tym w kontekście rozwiązań przewidzianych w unijnych regulacjach dotyczących gospodarki danych.

Węgierskie lekcje o wdrażaniu DGA

Doświadczenia Węgier związane z wdrażaniem Aktu w sprawie zarządzania danymi, którymi podzielili się gospodarze, skoncentrowały się na możliwych modelach organizacyjnych, za pomocą których wdrażane są rozwiązania wynikające z DGA. Z perspektywy UODO szczególnie istotne było pogłębienie wiedzy w zakresie suwerenności danych oraz relacji między ochroną danych a rozwojem gospodarki opartej na danych. Uczestnicy uzyskali szerszą perspektywę dotyczącą powiązań DGA z innymi regulacjami Unii Europejskiej, co stanowi ważny element dla zapewnienia spójności podejścia wdrożeniowego na poziomie krajowym.

Wizyta pozwoliła również na poszerzenie wiedzy w zakresie ponownego wykorzystywania danych sektora publicznego, w tym warunków ich udostępniania oraz stosowanych zabezpieczeń. Omówiono także funkcjonowanie nowych podmiotów przewidzianych w DGA, w tym dostawców usług pośrednictwa danych oraz organizacji altruizmu danych, wraz z wyzwaniami związanymi z ich rejestracją i nadzorem. Dodatkowo wizyta umożliwiła identyfikację kluczowych wyzwań organizacyjnych związanych z wdrażaniem DGA oraz wzmocniła kompetencje w zakresie współpracy międzynarodowej i wymiany doświadczeń między organami państw członkowskich. Uzyskane informacje stanowią istotne wsparcie dla prac nad wdrażaniem przepisów w Polsce, w szczególności poprzez możliwość odniesienia do rozwiązań organizacyjnych oraz ograniczenie ryzyk interpretacyjnych na etapie wdrażania regulacji.

Dzień drugi – Rada ds. Sztucznej Inteligencji

14 kwietnia odbyło się spotkanie z dr. Viktorem Vajdą, Sekretarzem Generalnym Węgierskiej Rady ds. Sztucznej Inteligencji, oraz zastępcą Prezesa Zarządu oraz Dyrektorem Technologii i Regulacji w Neuman Nonprofit Ltd. Zaprezentował on informacje dotyczące węgierskiego prawodawstwa w zakresie sztucznej inteligencji – (ustawy LXXV z 2025 r.). Weszła ona w życie 1 grudnia 2025 r. Jej głównymi celami są wewnętrzna implementacja unijnego Aktu o Sztucznej Inteligencji, stworzenie krajowego systemu instytucjonalnego, wsparcie regulacyjne dla ekosystemu sztucznej inteligencji, ochrona fundamentalnych praw.

Przedstawione zostały zadania Rady: opracowanie strategii, wspieranie rządu, regulowanie, koordynowanie dbania o kompatybilność z prawem UE, edukowanie, rozwój kompetencji  i przestrzeganie zasad etyki przy rozwijaniu i korzystaniu z narzędzi sztucznej inteligencji. Wśród członków Rady znajdują się przedstawiciele władzy, w tym NAIH, rządu, sfery akademickiej, organizacji rządowych, organizacji związanych ze sztuczną inteligencją oraz organizacji reprezentujących interesy gospodarcze.

Spotkania Rady dzielą się na spotkania przedstawicieli ds. polityki naukowej, spotkania przedstawicieli branży, spotkania przedstawicieli władz oraz spotkania unijne. Sesje odbywają się regularnie raz na dwa miesiące. W zależności od zapotrzebowania mogą odbyć się spotkania ad hoc. Podczas spotkań odbywa się głosowanie. Decyzje są podejmowane większością głosów. W przypadku równego rozłożenia się liczby głosów decyduje głos Prezesa. Grupy robocze Rady dotyczą służby zdrowia, energetyki, rolnictwa, środowiska, obronności i bezpieczeństwa, administracji publicznej, nauki i edukacji, własności przemysłowej, handlowej oraz intelektualnej, finansów.

Departament do spraw strategii w zakresie danych cyfrowych

Druga sesja tego dnia dotyczyła nowych wyzwań stojących przed NAIH oraz kompetencji Departamentu ds. Strategii w zakresie danych cyfrowych. W wyniku wejścia w życie RODO liczba wniosków wpływających do Urzędu rosła z każdym rokiem. Dodatkowa praca związana była z powstaniem EROD – w jej ramach konieczna była współpraca z nowymi Radami na podstawie prawa UE. Regulacje nałożyły także konieczność współpracy przy tworzeniu wytycznych. Kolejnymi aktami prawnymi, które nałożyły na NAIH kolejne obowiązki, były m.in.: DGA, Akt w sprawie sztucznej inteligencji (dalej: AI Act) oraz Akt w sprawie danych (dalej: Data Act).

W styczniu 2024 r. przy Wiceprezes NAIH ds. międzynarodowych powstał Wydział ds. strategii UE w zakresie danych cyfrowych. Wydział zajmował się zagadnieniami sztucznej inteligencji oraz nowych technologii, nadzorował i rejestrował zadania wynikające z DGA, reprezentował NAIH w spotkaniach EDIB (Europejskiej Rady Innowacji Danych) oraz zajmował się wszystkimi zadaniami związanymi z ochroną danych, które nie podlegały RODO. W 2026 r. Wydział został przekształcony w Departament.

Departament ma następujące zadania: rejestracja usług pośrednictwa danych, wydawanie certyfikatów zgodności dla usług pośrednictwa danych, rejestracja organizacji altruizmu danych, nadzór nad usługami pośrednictwa danych oraz organizacji altruizmu danych. W zakresie współpracy międzynarodowej bierze on udział w spotkaniach plenarnych EDIB, grupach roboczych EDIB. Dodatkowe obowiązki wynikają m.in. z Data Act, zmiany DGA oraz pakietu cyfrowego, a także z AI Act, gdy wejdzie on w życie.

Ochrona danych i zarządzanie nimi w ramach Pakietu Cyfrowego

Kolejne spotkanie dotyczyło pakietu cyfrowego tj. Europejskiej Strategii w zakresie Unii Danych, Propozycji Pakietu Cyfrowego w zakresie regulacji AI, Propozycji Pakietu Cyfrowego w zakresie gromadzenia danych, Europejskiego Portfela Biznesowego.

Rozmawiano także na temat wpływu Pakietu Cyfrowego na nadzór i praktykę DGA. Jeśli chodzi o statystyki dotyczące zarejestrowanych usług pośrednictwa danych oraz organizacji altruizmu danych, w tym momencie usług pośrednictwa danych jest 27 w Unii Europejskiej, z czego jedna na Węgrzech. Z kolei organizacji pośrednictwa danych jest 5 (w UE), żadna nie jest zarejestrowana na Węgrzech. Przyczyną niedużej popularności tego rodzaju działalności są restrykcyjne wymagania, które sprawiają, że dochodowość tego rodzaju działalności jest wątpliwa.

Pakiet Cyfrowy dotyczący Sztucznej Inteligencji zakłada odstępstwo od niektórych zasad i nowe terminy, ponieważ Komisja Europejska nie zdążyła z implementacją aktów i standardów na czas. Z kolei Cyfrowy Omnibus uwzględnia zbieżności i rozbieżności między RODO, dyrektywą o prywatności i łączności elektronicznej oraz europejską dyrektywą o ochronie danych, przewiduje wprowadzenie jednego punktu dostępu oraz konsolidację aktów o dostępie do danych. Pakiet Cyfrowy uchyla DGA, Dyrektywę o Otwartych Danych oraz Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych. Integruje niektóre przepisy wspomnianych aktów prawnych do Data Act. W Data Act dodane są nowe rozdziały i zmiany, które współistnieją z nowymi definicjami i celami.

Węgierski rynek zarządzania danymi mierzy się z poniższymi wyzwaniami:

• Brak dostrzegalności wartości; potencjał gospodarki opartej na danych jest zazwyczaj niewidoczny, gdyż zarówno programiści, projektanci, jak i inwestorzy mają trudności z oceną zwrotu z inwestycji.
• Trudno jest pojąć logikę rynku danych; początkowe niedocenienie skali przedsięwzięcia, a następnie wycofanie się z projektu albo zbyt skomplikowany plan realizacji i zawyżone koszty.
• Bezpieczeństwo to nie standardowe tworzenie oprogramowania; bezpieczeństwo procesów opartych na danych wymaga precyzyjnego i przemyślanego projektowania: to prowadziło albo do zawyżonych kosztów, albo do problemów z wdrożeniem.
• Narracja dotycząca wykorzystania danych a narracja dotycząca ich ochrony; w porównaniu z narracją skupiającą się na ochronie danych kwestia ich wykorzystania jest trudna do zrozumienia: niektórzy nie potrafią oszacować wartości swoich danych, inni mają wątpliwości co do zgodności z prawem danych, które mogą pozyskać.

Dzień trzeci: spotkanie z Agencją Ochrony Danych

15 kwietnia delegacja odwiedziła Krajową Agencję Ochrony Danych (NAVÜ). Przedstawiciele Agencji omówili swoją rolę w kontekście aktu o zarządzaniu danymi (DGA), a także przybliżyli strukturę operacyjną i bieżący zakres działań instytucji. Węgry dokonały znaczącego kroku, zastępując rozproszone przepisy jedną, kompleksową ustawą ramową o wykorzystaniu narodowych zasobów danych (Act CI z 2023 r.). Zabieg ten pozwolił ustanowić jednolitą terminologię i standardy, eliminując niepewność prawną. Takie działanie buduje też zaufanie wszystkich interesariuszy oraz tworzy bezpieczne warunki do wtórnego wykorzystywania danych.

Agencja NAVÜ pełni rolę centralnego koordynatora, który nie przejmuje własności nad danymi, lecz aktywnie promuje ich wykorzystanie. Dzięki temu podmioty publiczne zyskują profesjonalne wsparcie w udostępnianiu danych, podczas gdy NAVÜ zapewnia wysoką jakość procesów. Agencja oferuje m.in. anonimizację i pseudonimizację, co pozwala na bezpieczne udostępnianie nawet wrażliwych danych w celach analitycznych. Węgierski model opiera się na dwóch filarach cyfrowych: Narodowym Portalu Danych Publicznych (Nemzeti Közadatportál) oraz Katalogu Danych (Közadatkataszter). Użytkownik końcowy otrzymuje Jeden Punkt Informacyjny (Single Information Point), gdzie poprzez zestandaryzowane formularze może złożyć zapytanie o dowolne dane publiczne.

Ważnym elementem, na który zwrócono uwagę, jest powołanie sieci Głównych Oficerów Danych (CDO) w poszczególnych instytucjach publicznych. Pozwala to budować profesjonalne zaplecze operacyjne wewnątrz administracji, co zapewnia jednolitość praktyk, zgodność z prawem oraz szybki i niezawodny przepływ informacji.

Własna infrastruktura wzmacnia bezpieczeństwo i zaufanie

W drugiej części trzeciego dnia wizyty delegacja spotkała się z przedstawicielami NAIH. Głównymi tematami spotkania były następujące kwestie: „European Blockchain Sandbox” (Europejskie Piaskownice Blockchain) oraz „How to build an AI lab” (Jak zbudować Laboratorium AI). Rekomendacje przedstawione przez organ węgierski stanowią fundament do budowy bezpiecznego i wydajnego systemu, łącząc bezpieczeństwo infrastrukturalne z nowoczesnym zarządzaniem danymi.

Jednym z najistotniejszych wniosków z tego dnia jest zasadność rezygnacji z komercyjnych rozwiązań chmurowych na rzecz modelu infrastruktury on-premise, opartego na własnych serwerach AI. W specyficznym kontekście DGA, gdzie kluczowe jest operowanie na danych chronionych, posiadanie własnej infrastruktury jest gwarantem pełnej suwerenności cyfrowej. Rozwiązanie to pozwala na sprawowanie całkowitej kontroli nad procesami przetwarzania, eliminując ryzyka związane z dostępem podmiotów trzecich oraz uzależnieniem od zagranicznych dostawców technologii. Takie podejście nie tylko podnosi poziom bezpieczeństwa, ale również buduje zaufanie u podmiotów udostępniających dane.

W obszarze kadrowym kluczową korzyścią jest możliwość implementacji innowacyjnego modelu szkoleniowego typu „Junior Data Scientist bootcamp”. Praktyka ta pozwala na stworzenie unikalnego zespołu ekspertów o profilu hybrydowym. Przeszkolenie pracowników posiadających wykształcenie prawnicze w kierunku technicznej analizy danych pozwala na efektywne połączenie dwóch zagadnień: interpretacji regulacji unijnych (przepisów DGA) z praktycznym rozumieniem mechanizmów przetwarzania danych. Zespół posiadający kompetencje techniczne wewnątrz struktury urzędu jest w stanie szybciej realizować procesy administracyjne, co ma bezpośrednie przełożenie na sprawność funkcjonowania całego systemu zarządzania danymi.

Rynek danych oraz regulacje z nim związane (takie jak AI Act czy Data Act) cechują się ogromną dynamiką. Zaplanowanie ciągłego procesu podnoszenia kwalifikacji sprawia, że zespół nie tylko będzie nadążał za zmianami, ale stanie się merytorycznie przygotowany do wdrażania nowoczesnych przepisów. Dzięki temu pracownicy zyskają kompetencje niezbędne do radzenia sobie z wyzwaniami gospodarki opartej na sztucznej inteligencji.

Przedstawiciele NAIH oraz pozostałych węgierskich instytucji, z którymi delegacja spotkała się na Węgrzech, są zdania, że istotna z punktu widzenia zarządzania danymi jest edukacja w zakresie zwiększenia świadomości obywateli na temat wartości dzielenia się danymi. Rekomendują podjęcie inicjatyw edukacyjnych w celu promowania wiedzy w zakresie potrzeby otwartości na dzielenie się danymi, zwłaszcza w kontekście przepisów sektorowych, jak np. w ramach Europejskiej przestrzeni danych dotyczących zdrowia (EHDS).

Gospodarka oparta na danych stanowi niezaprzeczalny czynnik tworzenia wartości w skali globalnej i stanowi potencjał konkurencyjny Europy, dlatego warto zachęcać firmy do podejmowania działalności pośrednictwa danych oraz altruizmu przy jednoczesnym zapewnieniu bezpiecznego środowiska przetwarzania.

Dzień czwarty – wizyta na Uniwersytecie w Peczu

16 kwietnia delegacja UODO udała się do miasta Pecz na tamtejszy uniwersytet, by wziąć udział w prezentacji przygotowanej przez Wydział Prawa oraz (w drugiej części), przez Węgierskiego pośrednika danych NIDHAS. Podczas spotkania na uniwersytecie ponownie poruszona została tematyka omawiana podczas poprzednich dni, jak ponowne użycie danych z sektora publicznego, europejskie podejście do danych czy stricte węgierskie inicjatywy takie jak jak NAVU – tym razem jednak problem zaprezentowano od strony akademickiej. Gospodarze przedstawili również Smart University Program (SUP), który ma za zadanie wprowadzić innowacyjne zmiany oparte na zarządzaniu danymi. Kluczem do tego projektu są nauki o zarządzaniu danymi oraz sztuczna inteligencja, która w połączeniu ze współpracą sektora akademickiego i prywatnego ma zwiększyć potencjał badań naukowych oraz wydajność operacyjną uniwersytetu.

NIDHAS został założony w 2023 r., a rok później został zarejestrowany jako Europejska organizacja pośrednicząca w zakresie danych. Jednak do dzisiaj działalność jest zawieszona – start zaplanowano jeszcze na obecny rok. NIDHAS potwierdziło doświadczenia zdobyte w Helsinkach – pośrednictwo danych w teorii jest możliwą formą biznesu, ale z punktu widzenia praktycznego jest zbyt wcześnie na złożone wnioski z racji na fakt, że ekonomia oparta na danych funkcjonująca na zasadach UE jest na samym początku istnienia. Z rozmów wynikło, że mimo wielu form pośrednictwa danych finalnie oferowane usługi czy aplikacje często przyjmują formę „data marketplace” co za tym idzie, pojawia się kluczowe wyzwanie – platformy mogą funkcjonować, tylko jeśli mają podmioty zainteresowane kupnem danych oraz ich sprzedażą. Rynek danych nie jest jeszcze wykształcony, co utrudnia wytworzenie prosperującego biznesu.

Mimo że dane są wszechobecne i można je pozyskać zewsząd, pośrednicy najczęściej koncentrują się na konkretnych sektorach czy niszach, by łatwiej wytłumaczyć, czym się zajmują i co oferują – w dyskusji przytoczono przykład HubOne DataTrust z Francji, który działa w sektorze transportu i niszy związanej z lotniskami. Mimo wielu wyzwań NIDHAS pozostaje optymistyczny i wierzy w dalszy rozwój pośrednictwa danych w Europie.

Planowana dalsza współpraca z Finlandią i Węgrami

Wizyta studyjna w Budapeszcie zakończyła się 17 kwietnia. Ostatni dzień został podzielony na trzy sesje. W ramach pierwszej delegacja UODO podzieliła się z gospodarzami przygotowaną wcześniej prezentacją na temat Urzędu oraz Prezesa, jego roli i misji jako organu nadzorczego w obszarze ochrony danych osobowych i prywatności. Prezentacja zawierała też informacje na temat roli UODO w zakresie wdrażania DGA w Polsce, aktualnego stanu prac nad przepisami krajowymi oraz dotychczasowymi aktywnościami UODO w związku z przygotowaniami do realizacji nowych zadań wynikających z DGA.

W trakcie drugiej sesji nasza delegacja podzieliła się z przedstawicielami NAIH wnioskami z wizyty w Helsinkach, w siedzibie Traficom, czyli fińskiej Agencji ds. Transportu i Komunikacji, która jest częściowo odpowiedzialna za wdrażanie DGA w Finlandii. Ustalono też, że przedstawiciele polskiej, fińskiej i węgierskiej delegacji spotkają się on-line, by instytucje przyjmujące mogły również wymienić się doświadczeniami między sobą oraz porozmawiać o przyszłej współpracy. Podczas ostatniej sesji wizyty delegacja UODO dokonała pełnego podsumowania zebranej wiedzy. Kluczowym elementem było zweryfikowanie poprawności pozyskanych danych, aby zapewnić pełną zgodność materiału ze stanem faktycznym. Obie delegacje skupiły się na wstępnym opracowaniu planu działania dotyczącego wdrożenia DGA w Polsce na bazie zdobytych w NAIH doświadczeń, a także na określeniu obszarów dalszej współpracy między instytucją przyjmującą a UODO.

Podsumowanie na temat wdrażania DGA na Węgrzech i rekomendacje dla UODO

Na etapie przygotowań do wdrożenia w pierwszej kolejności skoncentrowano się na analizie wymagań ustawowych oraz ustaleniu, w jaki sposób zorganizować proces rejestracyjny tak, aby był możliwie prosty i efektywny dla Urzędu, a jednocześnie spełniał wszystkie wymogi prawne wynikające z przepisów DGA.

Krajowe przepisy, czyli „Act CXII of 2011 on the right to informational self-determination and on the freedom of information” dostępne są po angielsku na stronie internetowej NAIH.

NAIH opublikował na swojej stronie internetowej:

• wytyczne dotyczące procesu rejestracji organizacji pośrednictwa,
• wytyczne dotyczące wydawania certyfikatów zgodności z DGA dla dostawców usług pośrednictwa w danych,
• wytyczne dotyczące rejestracji organizacji altruizmu danych oraz
• wytyczne dotyczące procedury nadzoru nad dostawcami usług pośrednictwa danych.

Na stronie internetowej NAIH dostępne są także linki do rejestrów organizacji pośrednictwa oraz organizacji altruizmu prowadzonych zarówno przez Komisję Europejską, jak i NAIH. Aktualnie na Węgrzech zarejestrowana jest 1 organizacja pośrednictwa danych. Nie jest zarejestrowana żadna organizacja altruizmu. Z uwagi na aspekty kulturowe i historyczne węgierskie realia wdrożeniowe przepisów dotyczących zarządzania danych są zbliżone do Polskich, w przeciwieństwie do fińskich.