Produsele conectate și serviciile conexe puse pe piață după 12 septembrie 2026 trebuie concepute astfel încât clientul care le folosește să poată accesa, în mod implicit și gratuit, datele pe care le generează. Să luăm un utilaj, un aparat medical sau un vehicul de lucru conectat la internet. Ele transmit zilnic date despre propria funcționare, iar până acum acestea ajungeau, de regulă, doar la producător. Regula privește produsele noi, în timp ce restul Data Act se aplică deja din 12 septembrie 2025. Tocmai de aceea, subiectul ajunge la conducerea societății și nu rămâne doar în sarcina echipei tehnice.

În analiza mea, data de 12 septembrie 2026 nu aduce o singură schimbare, ci trei decizii care aparțin conducerii: ce produse intră sub regula nouă, ce promite contractul despre datele lor și ce refuză societatea să partajeze. Prima este o chestiune de calendar pentru aplicarea regulamentului. A doua ține de modul în care sunt redactate contractele. A treia este o alegere de business, pentru că de ea depinde cine obține valoarea creată de datele unui produs vândut. Dacă conducerea nu hotărăște cu privire la acest aspect, răspunsul poate rezulta din felul în care a fost construit produsul sau scris contractul standard.

De aceea, articolul de mai jos urmărește să-l ajute pe un administrator să vadă dacă regula privește societatea pe care o conduce, adică una care produce sau vinde produse conectate ori servicii conexe pe piața Uniunii. Totodată, acesta arată care produse sunt vizate, cum se leagă regula de proeictare de contracte, unde răspunsul depinde de fapte și ce întrebări rămân la nivelul conducerii. Nu înlocuiește, în schimb, analiza produselor și a contractelor concrete.

Ce se aplică din 12 septembrie 2026, pe înțelesul unui administrator

Data Act este Regulamentul (UE) 2023/2854. El privește produsele conectate, adică echipamentele care colectează și transmit date despre propria utilizare. Privește și serviciile conexe, adică aplicațiile sau platformele digitale care fac produsul să funcționeze ori îl completează. Spre deosebire de GDPR, care protejează datele despre persoane, Data Act acoperă și datele nepersonale, precum cele de funcționare a unui utilaj.

Regula nouă este una de proiectare (art. 3 alin. (1), coroborat cu art. 50). Produsul și serviciul conex trebuie concepute astfel încât datele lor, împreună cu informațiile necesare pentru a le înțelege, să fie accesibile utilizatorului în mod implicit. Accesul trebuie să fie ușor, sigur, gratuit și într-un format structurat, care poate fi citit automat. Când este relevant și posibil tehnic, el trebuie să fie direct. „Utilizatorul” este cel care deține produsul sau îl folosește în baza unei închirieri ori a unui leasing.

Calendarul are două straturi. Cele mai multe reguli ale Data Act se aplică din 12 septembrie 2025. Regula de proiectare privește însă doar produsele și serviciile conexe puse pe piață după 12 septembrie 2026. Unitățile vândute înainte nu trebuie reproiectate conform dispozițiilor intrate în vigoare recent, deși alte obligații din regulament pot continua să le privească.

De ce nu este doar o problemă tehnică

Regula de proiectare se decide în faza de dezvoltare a produsului. Cu toate acestea, ea produce efecte în contracte. Un contract care promite clientului doar rapoarte sumare, în timp ce produsul trebuie să ofere acces la date, intră în contradicție cu produsul însuși. Mai mult decât atât, folosirea datelor nepersonale ale produsului de către producător presupune un contract cu utilizatorul. Acest drept nu rezultă automat din vânzare.

Între companii, regulamentul adaugă un al doilea strat de reguli, prin art. 13 din regulament. El privește clauzele care ating accesul la date sau folosirea lor, precum și răspunderea ori remediile pentru încălcarea sau încetarea obligațiilor legate de date. Dacă o astfel de clauză a fost impusă unilateral de o firmă alteia și este abuzivă, ea nu poate fi obligatorie pentru firma căreia i-a fost impusă. Prin urmare, partea care a redactat contractul nu se poate sprijini pe clauză împotriva celeilalte. Dacă însă clauza poate fi separată de restul contractului, celelalte clauze rămân obligatorii.

Cu toate acestea, nu orice clauză dezavantajoasă este abuzivă. O clauză este considerată impusă unilateral când a fost oferită de o parte, iar cealaltă nu i-a putut influența conținutul, deși a încercat să o negocieze. Dovada că nu a fost impusă revine părții care a oferit-o. De altfel, abuzivă este clauza care se abate flagrant de la bunele practici comerciale privind accesul la date, contrar bunei-credințe. Regula nu privește clauzele care definesc obiectul principal al contractului sau caracterul adecvat al prețului.

În ce privește calendarul, regula se aplică contractelor încheiate după 12 septembrie 2025. Contractele încheiate la 12 septembrie 2025 sau înainte intră sub incidența regulii de proiectare abia din 12 septembrie 2027, și numai dacă sunt pe durată nedeterminată sau se încheie după 11 ianuarie 2034.

Pentru un producător de produse conectate, riscul este ca produsul sau contractele lui să nu corespundă regulilor Data Act. Consecințele pot fi financiare și de răspundere: clauze care nu mai obligă clientul, dispute pentru accesul la date, pierderea unor clienți și, după adoptarea legii naționale, amenzi. Acest risc nu apare însă o singură dată, ci în patru momente care se succed. Mai întâi, în faza de dezvoltare, un produs conceput fără regula accesului la date poate necesita modificări tehnice după lansare, iar acestea sunt de regulă mai greu de făcut decât o proiectare corectă de la început. Apoi, la semnare, societatea poate promite prin contract altceva decât poate oferi produsul. După aceea, la executare, un client poate cere datele, iar societatea trebuie să hotărască dacă îi poate refuza cererea. În sfârșit, într-un litigiu sau la un control, societatea trebuie să poată arăta ce a decis și din ce motive.

Momentul în care un produs este considerat „pus pe piață”. Prima zonă gri privește momentul în care un produs este considerat introdus pe piață. Regulamentul definește noțiunea de prima punere la dispoziție a unui produs conectat pe piața Uniunii. Regula de proiectare se aplică produselor introduse astfel după 12 septembrie 2026, deci nici data fabricării, nici cea a vânzării către clientul final nu sunt criterii. Textul nu spune însă expres dacă data se apreciază pentru fiecare unitate sau pentru model, iar pentru serviciile conexe nu există o definiție similară. Întrebarea apare, de aceea, pentru stocurile fabricate înainte, dar puse la dispoziție pe piață după această dată.

În al doilea rând, datele trebuie să fie accesibile direct. Ce înseamnă aceasta concret? Nu există un răspuns unic. Prin urmare, încadrarea se stabilește pentru fiecare produs în parte, în funcție de modul în care este construit și de datele pe care le generează.

Secretul comercial. A treia zonă este secretul comercial. El se protejează, în primul rând, prin măsuri convenite cu utilizatorul: deținătorul datelor identifică datele protejate, iar părțile stabilesc măsuri tehnice și organizatorice proporționale. Dacă nu se ajunge la un acord sau măsurile nu sunt respectate, deținătorul poate pune capăt partajării datelor respective sau o poate suspenda, printr-o decizie motivată, comunicată în scris utilizatorului. Refuzul unei cereri este posibil doar în circumstanțe excepționale, de la caz la caz, dacă deținătorul poate demonstra că divulgarea ar produce, foarte probabil, prejudicii economice grave, în pofida măsurilor luate. Demonstrația se bazează pe elemente obiective, se comunică în scris utilizatorului, iar refuzul, ca și încetarea sau suspendarea, se notifică autorității competente.

În România, un proiect de lege de aplicare a regulamentului a fost supus consultării publice între 3 iulie și 3 august 2026. Proiectul desemnează ANCOM drept autoritate competentă și coordonator național pentru date, lăsând protecția datelor personale în competența ANSPDCP. De asemenea, el prevede contravenții și amenzi, care vor putea fi aplicate numai după adoptarea legii. Din informațiile publice la care am avut acces la data acestui material, proiectul nu fusese adoptat.

Cu toate acestea, lipsa unei legi naționale nu înseamnă că regulamentul nu se aplică. El se aplică direct, fără transpunere. Legea națională stabilește cine controlează și cum se sancționează încălcările, dar nu condiționează existența obligațiilor. În consecință, efectele regulamentului asupra contractelor și asupra drepturilor clientului nu depind de adoptarea legii naționale.

Pentru companiile care vor un punct de vedere extern asupra acestor schimbări, un newsletter periodic poate fi o primă sursă de orientare: Legal Insights.

Patru erori care pot costa o companie

Patru erori de raționament pot genera costuri pentru o companie care produce sau vinde produse conectate. Nu sunt singurele posibile, dar le consider cele mai ușor de evitat dacă sunt cunoscute.

Prima eroare constă în tratarea datei de 12 septembrie 2026 ca început al întregului regulament. În realitate, cele mai multe obligații se aplică din 12 septembrie 2025, iar numai regula de proiectare este legată de data din 2026. Prin urmare, un produs vândut înainte de 12 septembrie 2026 nu este scutit de toate regulile, ci doar de regula de proiectare. Consecința este o falsă siguranță: societatea poate lăsa nerevizuite contractele încheiate după 12 septembrie 2025 care conțin clauze privind accesul la date impuse unilateral, deși acestea intră deja sub art. 13 din regulament.

Urmează separarea dintre produs și contract. Atunci când echipa tehnică proiectează produsul fără întrebări juridice, iar contractul se redactează fără să se țină seama de ce poate livra produsul, cele două pot spune lucruri diferite. Rezultatul este fie un produs care nu poate onora ce promite contractul, fie un contract care oferă clientului mai puțin decât cere regulamentul. În ambele situații, diferența poate ieși la iveală abia când un client cere accesul la date.

A treia eroare este taxarea accesului. Accesul utilizatorului la datele produsului este gratuit pentru el. De aceea, o taxă pentru acest acces poate deveni motiv de contestare și de pierdere a încrederii clientului. Totuși, situația diferă atunci când datele sunt puse, la cererea utilizatorului, la dispoziția unui terț: în relația dintre companii poate fi cerută o compensație rezonabilă. Cine confundă cele două situații fie taxează ce nu are voie să taxeze, fie renunță la o sumă la care avea dreptul.

Ultima eroare este așteptarea. La data acestui material, din informațiile publice disponibile, legea românească de aplicare nu era adoptată, iar la nivel european sunt în discuție modificări ale regulamentului, care nu sunt însă adoptate. Din acest motiv, unele societăți presupun că nu au încă nicio obligație de conformare. Presupunerea confundă însă două lucruri. Obligațiile derivă din regulament, care se aplică direct, fără să aștepte o lege națională. Ceea ce lipsește deocamdată este mecanismul prin care statul le controlează și le sancționează, adică autoritatea desemnată și amenzile.

Se pune, firesc, întrebarea dacă un control făcut după adoptarea legii poate ajunge și la perioada de dinainte. De regulă, o sancțiune contravențională se aplică faptelor săvârșite după intrarea în vigoare a legii care o prevede, deoarece legea dispune, în principiu, numai pentru viitor. Prin urmare, pentru o perioadă anterioară adoptării, amenda nu ar fi, în principiu, posibilă. Situația poate fi alta pentru încălcările care continuă după intrarea în vigoare a legii, de exemplu un produs care rămâne pe piață fără să respecte regula de proiectare. Pentru acestea, controlul ar putea privi perioada de după adoptare. Soluția concretă depinde de textul final al legii, inclusiv de eventualele dispoziții tranzitorii.

Cu toate acestea, miza nu se reduce la amendă. Consecințele contractuale nu depind de legea națională, ci de datele din regulament. O clauză neechitabilă impusă unilateral nu mai obligă cealaltă parte, iar un client poate invoca regulamentul într-un litigiu comercial, indiferent de momentul adoptării legii românești.

În ce privește conducerea, răspunderea nu decurge din Data Act ca atare. Ea poate apărea din legislația societară, dacă societatea suferă un prejudiciu, de pildă o clauză care nu mai produce efecte, pierderea unui client sau o amendă, iar prejudiciul poate fi legat de modul în care s-a decis. Pentru a ajunge acolo, ar trebui, în principiu, să se arate că decizia nu a respectat diligența așteptată de la un administrator. Nu orice decizie care se dovedește ulterior costisitoare atrage răspundere, ci contează modul în care a fost luată.

Scenariu ipotetic: același model, două loturi

Tehnoclima SRL, o companie fictivă, produce unități industriale de ventilație conectate. Primul lot al unui model nou este livrat în august 2026, iar al doilea în noiembrie 2026. Platforma oferă clientului doar rapoarte lunare, iar datele brute rămân pe serverul producătorului. Contractul standard conține aceeași promisiune.

Hala Prod SRL, tot fictivă, cumpără o unitate din lotul din noiembrie și cere acces la datele brute printr-o interfață. Tehnoclima poate oferi doar un export manual, contra cost. Poziția ei este vulnerabilă. Produsul pus pe piață după 12 septembrie 2026 trebuie să fie conceput pentru acces gratuit, iar contractul nu poate înlocui acest lucru.

Pentru unitățile din august, discuția este alta. Regula de proiectare nu li se aplică, dar alte obligații din regulament pot continua să le privească, iar clauza contractuală rămâne expusă art. 13 dacă a fost impusă unilateral. Dacă datele cerute nu sunt ușor disponibile, răspunsul se schimbă din nou. Pe de altă parte, în realitate, aceeași societate poate avea, pentru același model, două situații juridice diferite, iar conducerea ar trebui să poată explica diferența.

Ce rămâne în responsabilitatea conducerii

Întrebările de mai jos nu sunt un test și nu pot arăta dacă o societate respectă sau nu regulamentul. Pentru asta este nevoie de o analiză a produselor și a contractelor concrete. Rolul lor este altul: să arate care decizii aparțin conducerii, și nu doar echipei tehnice sau juridice. Într-un litigiu sau la un control, tocmai aceste decizii ajung să fie întrebate: cine a hotărât, pe ce informații și ce consecințe a luat în calcul.

Ce produse intră sub regulă. Regula de proiectare privește produsele și serviciile conexe puse pe piață după 12 septembrie 2026. Fără o imagine clară a ceea ce a fost pus pe piață și când, societatea nu poate ști ce reguli i se aplică.

• Știe societatea ce produse și servicii conexe au fost puse pe piață după 12 septembrie 2026 și care înainte?
• Poate conducerea explica, pentru fiecare produs nou, ce date poate accesa utilizatorul și în ce formă?

Ce promite contractul și ce poate livra produsul. O diferență între cele două poate rămâne neobservată până când un client cere accesul la date. În acel moment, ea devine o problemă comercială și, uneori, juridică. Contractul standard, la rândul lui, este o decizie a conducerii, nu doar un document de rutină.

• Spun contractele și produsul același lucru despre accesul la date?
• Cine a aprobat contractul standard, pe ce informații și ce consecințe a luat în calcul atunci?

Ce protejează societatea și ce nu. Regulamentul nu permite invocarea generală a secretului comercial pentru a refuza accesul. Distincția dintre o dată brută și o informație protejată se face pentru fiecare tip de date în parte, iar răspunsul poate afecta direct modelul de venit.

• Are societatea o poziție asumată de conducere despre ce consideră secret comercial și ce dată brută, pentru fiecare categorie de date?
• Ce s-ar întâmpla cu modelul de venit dacă accesul gratuit al clientului la date nu ar mai putea fi limitat?

Pentru o analiză a contractelor comerciale de distribuție și a modului în care produsele dvs. se raportează la legislația europeană privind datele, puteți programa o discuție la secțiunea Contact.

Acest material are caracter informativ, nu constituie consultanță juridică și nu creează o relație avocat–client. Pentru situația companiei dvs. este necesară o analiză individualizată.