IT Systems 7-8/2026 Cloud a virtualizace IT IT právo Dnes 9:00

SaaS smlouvy v roce 2026

Data Act mění nejen obchodní podmínky, ale i architekturu služby

Data Act platí necelý rok. Přesto většina menších a středně velkých SaaS firem obsluhujících evropské zákazníky nemá funkční switching API, chybí jim veřejný registr datových struktur a smlouvy se zákazníky stále neodpovídají nově předepsaným povinnostem. Přizpůsobení obchodních podmínek je přitom jen první a nejviditelnější vrstva povinností. Pod ní leží hlubší technická přestavba, například nová exportní API, oddělené autorizační modely, dokumentace formátů dostupná cílovým providerům, a ta z naší zkušenosti u mnoha dotčených společností ještě ani nezačala.

Proč je Data Act důležitý pro SaaS?

Nařízení (EU) 2023/2854, obecně známé jako Data Act, vstoupilo v účinnost 12. září 2025. Na rozdíl od GDPR, které reguluje výhradně osobní data konkrétních fyzických osob, Data Act reguluje přístup a sdílení veškerých dat generovaných propojenými produkty a cloudovými službami včetně neosobních, průmyslových a podnikových datových sad.

Hlavní logika nařízení míří na vendor lock-in, tedy situaci, kdy smluvní a technické podmínky fakticky znemožňují zákazníkovi přejít ke konkurenci nebo k vlastní infrastruktuře. Data Act tuto praxi zakazuje a nahrazuje ji konkrétními povinnostmi: zákazník musí mít možnost smlouvu ukončit, přenést data ve strojově čitelném formátu, a poskytovatel nesmí tento přechod smluvně ani technicky blokovat ani zpomalovat. Pro SaaS poskytovatele je tak klíčová zejména kapitola VI (čl. 23–31), která se věnuje tzv. switching rights, tedy právu zákazníka přejít k jinému poskytovateli.

Spadá váš SaaS pod nařízení?

Ne každý SaaS pod Data Act automaticky spadá. Nařízení definuje „službu zpracování dat" (čl. 2 bod 8) čtyřmi znaky, které lze zjednodušeně shrnout následovně:

přístup k výpočetním zdrojům,
přístup na vyžádání přes standardní síťové zařízení,
rychlé nasazení bez významného zásahu poskytovatele, a
elastické škálování kapacity.

Klíčový interpretační klíč přidala Evropská komise: totiž že rozhoduje faktické využití služby. Podstatné je, zda zákazník využívá samotnou službu zpracování dat jako takovou, tedy ukládá, zpracovává nebo spravuje vlastní data nebo pouze využívá funkcionalitu, kterou tato služba umožňuje, jako je poslech hudby nebo sledování videí bez vlastních uživatelských dat. V prvním případě nařízení na službu dopadá, ve druhém nikoliv.

V praxi to znamená, že CRM systémy, projektové nástroje, cloudové ERP nebo HR platformy pod Data Act spadají. Streamovací služby bez vlastních uživatelských dat naopak nikoliv. U B2C e-learningových platforem záleží na tom, zda si zákazník ukládá vlastní obsah a data o studentech.

Dvě výjimky stojí za zvláštní pozornost: zakázkový software vyvíjený výhradně pro jednoho konkrétního zákazníka (čl. 31 odst. 1) a testovací nebo pre-produkční prostředí, avšak pouze po dobu, kdy nejsou provozně využívána.

Klíčová data v kalendáři

Časový harmonogram Data Actu je vrstevnatý a je snadné se v něm ztratit nebo ho podcenit. Níže proto přehledně shrnuji termíny nástupu hlavních pravidel vyplývajících z Data Actu:

Datum	Povinnost
12.9. 2025	Hlavní povinnosti v platnosti (pro nové smlouvy) - switching rights, povinný datový export, povinné smluvní klauzule, zákaz nefér smluvních podmínek v B2B vztazích
12.9. 2026	„Data by design" pro nové připojené IoT produkty
12.1. 2027	Zákaz jakýchkoliv switching poplatků
12.9. 2027	Kapitola IV (nepřiměřené smluvní podmínky) dopadá i na smlouvy uzavřené do 12. 9. 2025, jsou-li na dobu neurčitou nebo mají skončit nejdříve 11. 1. 2034. Povinnosti kapitoly VI (switching) na existující smlouvy dopadají už od 12. 9. 2025.

Právo na switching: co přesně musí obchodní podmínky garantovat

Článek 25 Data Actu zavádí právo na přechod k jinému poskytovateli. Je důležité rozlišit, co toto právo je a co není: jde o právo na switching, tedy přechod ke konkurenci nebo na vlastní infrastrukturu – nikoliv o obecné právo na výpověď smlouvy bez udání důvodu, jak se někdy mylně uvádí. Zákazník nemůže jednoduše využít 2měsíční lhůtu jen pro to, aby odešel a zaplatil méně. Toto právo musí být vykonáno v kontextu zahájení přechodu k jinému řešení.

Smluvní rámec konkrétně musí zajistit maximálně 2měsíční výpovědní lhůtu (i u smluv na dobu určitou), 30denní přechodné období na dokončení migrace po výpovědi s možností jednorázového prodloužení zákazníkem, kontinuitu provozu po celou dobu přechodného období, uchování exportovaných dat po dobu nejméně 30 dnů a jejich následné bezpečné smazání s potvrzením, a transparentní informaci o veškerých poplatcích a sankcích za předčasné ukončení.

Obchodní podmínky SaaS služby reflektující Data Act by proto měly obsahovat:

klauzuli umožňující zákazníkovi přejít k jinému poskytovateli nebo přenést data do on-premises infrastruktury, bez zbytečného prodlení a nejpozději do 30 dnů;
závazek poskytnout přiměřenou součinnost zákazníkovi a třetím stranám při přechodu;
povinnost poskytovatele poskytnout zákazníkovi všechny relevantní informace a jinými způsoby podpořit strategii pro odchod;
povinnost poskytovatele oznámit ukončení smlouvy zákazníkovi;
závazek zachovat kontinuitu provozu a pokračovat v poskytování služby po dobu přechodného období;
vyčerpávající specifikace kategorií exportovatelných dat a digitálních aktiv;
vyčerpávající specifikace kategorií dat, která jsou vyňata z exportu (obchodní tajemství poskytovatele) pokud hrozí porušení obchodního tajemství;
maximální výpovědní lhůtu (odkaz na 2 měsíce);
specifikaci poplatků a soulad jejich výše s nařízením;
ustanovení zaručující období pro zachování a zpřístupnění dat v délce minimálně 30 dní od uplynutí přechodného období;
ustanovení zaručující úplné vymazání dat.

Smlouva se zákazníkem tak musí pokrývat celý průběh switching procesu, kategorie exportovatelných dat a jejich formáty, explicitní výčet dat, která exportována nebudou (například obchodní tajemství poskytovatele nebo data třetích stran chráněná licencí), závazek součinnosti při přechodu včetně informací o rizicích kontinuity provozu, a podmínky pro uchování a výmaz dat po přechodu.

Pokud by si někdo nevěděl rady, jak Data Act do svých obchodních podmínek správně zapracovat, lze se inspirovat ve vzorových dokumentech vypracovaných Evropskou komisí. Ta publikovala pro usnadnění následující nezávazné dokumenty: Model Contractual Terms (MCTs) pro přístup k datům a Standard Contractual Clauses (SCCs) pro cloudové smlouvy, které pokrývají switching & exit, ukončení smlouvy, bezpečnost a odpovědnost.

Technická vrstva: co musí SaaS vývojáři skutečně postavit

Právní soulad bez technického základu však nestačí. Smluvní klauzule o datovém exportu, která nebude technicky podložena funkčním exportním nástrojem, je nařízením rovněž sankcionovatelná. Rozsah technické přestavby přímo vymezuje čl. 26 a čl. 30 Data Actu: pro SaaS a PaaS poskytovatele jde konkrétně o zpřístupnění otevřených rozhraní (open interfaces) pro všechny zákazníky a cílové poskytovatele, zajištění exportu dat ve strukturovaném strojově čitelném formátu a udržování aktuálního online registru datových struktur, formátů a specifikací interoperability. Technická přestavba má přitom několik konkrétních vrstev.

Switching API versus GDPR portabilita

Klíčový a v praxi velmi často přehlížený rozdíl spočívá v tom, že Data Act i GDPR sice obdobně pracují s pojmem přenositelnosti dat, ale ve skutečnosti se jedná o dvě oddělené právní povinnosti s odlišnou logikou. GDPR portabilita (čl. 20 GDPR) pokrývá osobní data konkrétního fyzického uživatele, autorizaci provádí sám uživatel a přenáší se jen data, která aktivně poskytl. Data Act switching pokrývá veškerá data zákazníka, jak osobní i neosobní, přičemž autorizaci provádí administrátor účtu nebo pověřená třetí strana a přenáší se kompletní datová sada tenanta: konfigurace, záznamy, přílohy, metadata i integrace.

Formáty a interoperabilita: standard SWIPO

Nařízení nevyžaduje konkrétní formát, ale ukládá, aby data byla exportována ve strojově čitelných, otevřených, interoperabilních formátech. V praxi to znamená JSON nebo CSV pro většinu datových typů, OpenAPI schéma pro dokumentaci exportní struktury a případně DCAT (W3C Data Catalog Vocabulary) pro pokročilejší datové prostory. Užitečným, byť nezávazným vodítkem jsou kodexy SWIPO (Switching Cloud Providers and Porting Data). Vznikly ještě pod nařízením (EU) 2018/1807 o volném pohybu neosobních dat a studie zadaná Komisí u nich identifikovala řadu nedostatků, benchmarkem souladu s Data Actem tedy samy o sobě nejsou. Kodexy nicméně dobře shrnují, co má SaaS provider zdokumentovat, a to: rozsah exportovatelných dat, formáty, importní instrukce pro přijímajícího poskytovatele a možnost testovacího exportu bez spuštění celého switching procesu.

Zákaz degradace a 30denní časová osa switching procesu

Po zahájení switching procesu zákazníkem nařízení ukládá maximálně 30 dnů na dokončení datového přenosu. Pokud tato lhůta není technicky proveditelná, iniciativu má poskytovatel: musí zákazníka do 14 pracovních dnů od žádosti o switching informovat, technickou nemožnost zdůvodnit a navrhnout alternativní lhůtu v délce max. 7 měsíců (čl. 25 odst. 4 Data Actu). Nezávisle na tom platí čl. 25 odst. 5: zákazník má vlastní právo přechodné období jednou prodloužit o dobu, kterou sám považuje za vhodnější pro své účely. Nařízení její délku neomezuje, konkrétní strop si poskytovatelé nastavují sami ve VOP. Klíčová povinnost, na kterou upozorňuji klienty z řad SaaS poskytovatelů: po dobu přechodného období nesmí dojít k žádné degradaci služby. Poskytovatel nesmí po podání switching žádosti omezit funkce, zpomalit API, zkrátit retenční dobu dat ani jinak technicky ztížit přechod. Tato povinnost je přímým zákazem praktik, které byly v minulosti u cloudových providerů zcela běžné.

Poplatky a penále: co lze účtovat

Data Act nevylučuje finanční kompenzaci za předčasné ukončení smlouvy na dobu určitou. Zákazník, který smlouvu ukončí dříve, než vyčerpá zaplacené předplatné, může mít povinnost zaplatit přiměřenou náhradu za zbývající dobu – nařízení to výslovně potvrzuje (bod 89 odůvodnění).

Co je regulováno samostatně, jsou switching poplatky přímo spojené s exportem dat a součinností při přechodu. Ty jsou do 12. ledna 2027 omezeny na přímé náklady poskytovatele, a od 12. ledna 2027 budou zakázány zcela. Toto pravidlo je zásadní zejména pro poskytovatele operující nad velkými datovými objemy, kde poplatky za datové přenosy tradičně tvořily samostatnou příjmovou položku.

Přesah do dalších regulací: GDPR, AI Act a NIS2

Data Act nestojí v legislativě izolovaně. V praxi SaaS providerů obsluhujících evropský trh se kříží s několika dalšími regulacemi najednou. Je tedy nutné pamatovat, že Data Act nepředstavuje ucelenou náhradu sektorových pravidel, ale naopak další dílek do mozaiky několika paralelně působících právních předpisů. Přenos dat při switchingu proto musí splňovat požadavky na právní základ zpracování a podmínky pro případný přeshraniční transfer dle GDPR. Zabezpečení dat při exportu a přenosu k novému poskytovateli se naopak překrývá s povinnostmi podle NIS2, zejména u poskytovatelů v kategorii poskytovatele regulované služby v režimu vyšších nebo nižších povinností podle zákona č. 264/2025 Sb., o kybernetické bezpečnosti (v terminologii NIS2 essential a important entities).

Nejméně probádaný, a přitom v praxi nejnaléhavější, je přesah do AI Actu (nařízení (EU) 2024/1689) u SaaS nástrojů s vestavěnou AI komponentou: typicky HR scoring, kreditní hodnocení nebo jiné vysoce rizikové aplikace ve smyslu přílohy III AI Actu. Tady je potřeba pečlivě vymezit hranici mezi dvěma režimy. Čl. 25 odst. 2 písm. h) Data Actu ukládá poskytovateli po uplynutí retrieval period data zákazníka bezpečně vymazat. AI Act u vysoce rizikových systémů (čl. 12 pro logovací schopnost systému, čl. 19 pro uchovávání logů poskytovatelem a čl. 26 odst. 6 pro provozovatele, shodně nejméně po dobu šesti měsíců) naopak vyžaduje automatické logování událostí, uchovávání záznamů a součinnost s orgány dohledu. O skutečný rozpor přitom zpravidla nejde: výmazová povinnost dopadá na exportovatelná data a digitální aktiva zákazníka, přičemž definice exportovatelných dat v čl. 2 bodu 38 Data Actu aktiva poskytovatele vylučuje, takže systémové logy AI komponenty pod ni obvykle nespadnou. AI Act navíc svou retenční lhůtu podmiňuje výhradou ve prospěch jiného unijního práva, zejména práva na ochranu osobních údajů. Poskytovatel proto musí ve smlouvě i technicky rozlišit, která data se v rámci switchingu mažou a která musí zůstat zalogována kvůli AI Actu, a komu (zákazníkovi, novému poskytovateli, orgánu dohledu) se která kategorie zpřístupňuje.

Tři oblasti, kde SaaS firmy nejčastěji chybují

Z praxe posledního roku identifikuji tři opakující se chyby.

První je záměna switching práva za obecné výpovědní právo. Switching right dle čl. 25 Data Actu není totéž jako právo ukončit smlouvu kdykoliv z jakéhokoliv důvodu. Poskytovatelé, kteří tuto distinkci ve svých VOP nereflektují, riskují buď nedostatečnou ochranu před zneužitím zákazníky, nebo naopak podmínky, které fakticky switching blokují a jsou tím v rozporu s nařízením.
Druhou častou chybou je technická nepřipravenost exportní infrastruktury. Smluvní závazek k exportu dat ve strukturovaném formátu bez funkčního technického řešení je přímým porušením nařízení a nestačí tak mít klauzuli v obchodních podmínkách, ale musí existovat i funkční nástroj. Výstavba produkčně spolehlivého exportního API je u větších platforem netriviální engineering.
Třetí chybou je nesprávné čtení přechodných ustanovení. Řada poskytovatelů si datum 12. září 2027 vykládá tak, že do té doby se jich staré smlouvy netýkají. To je omyl. Podle čl. 50 se k tomuto datu na smlouvy uzavřené do 12. září 2025 rozšiřuje kapitola IV, tedy režim nepřiměřených smluvních podmínek, a i to jen u smluv na dobu neurčitou nebo končících nejdříve 11. ledna 2034. Switchingové povinnosti podle kapitoly VI naproti tomu dopadají na existující smlouvy už od 12. září 2025. Revize smluvního portfolia tedy není úkol na příští rok, ale nedodělek z loňského září.

Závěr

Data Act je platné právo s konkrétními termíny a vymahatelností na národní úrovni. Sankce jsou stanovovány členskými státy, musejí být efektivní, přiměřené a odrazující, přičemž například Malta stanovila pokuty až do výše 5 % ročního obratu. Na rozdíl od GDPR přitom nařízení žádný celounijní strop pokut nestanoví, maltských 5 % je tedy národní volbou, nikoli unijním standardem. Česká adaptace Data Actu stále neexistuje. Má být realizována novelou zákona o digitální ekonomice, který sám ještě nebyl přijat, takže tu zatím není ani dozorový orgán ani sankční rámec. To ale české poskytovatele nechrání: vymáhat je lze soukromoprávně, u přeshraniční klientely rovnou přes cizí regulátory. Podle návrhu adaptačního zákona má roli datového koordinátora plnit ČTÚ, zatímco ÚOOÚ má dozorovat jen vymezený výsek nařízení.

Stojí za pozornost i to, že Komise v rámci tzv. Digital Omnibus balíčku navrhuje rozšířit výjimky pro zakázkový software u smluv uzavřených před 12. zářím 2025 a zavést odlehčený režim pro poskytovatele v kategorii SME a small mid-cap. Naléhavost systematické revize smluvního portfolia se tak u menších poskytovatelů může legislativním vývojem částečně zmírnit.

Doporučujeme SaaS poskytovatelům přistupovat k souladu s Data Actem jako ke dvouvrstvé přípravě: právní vrstva (smluvní revize, Data Act dodatek, webová dokumentace) a technická vrstva (switching API, exportní formáty, 30denní časová osa switchuing procesu). Obě vrstvy jsou vzájemně závislé a ani jedna nestačí sama o sobě. Prostor pro klidnou přípravu se přitom už vyčerpal. Switchingové povinnosti dopadají i na dříve uzavřené smlouvy od 12. září 2025 a datum 12. září 2027 se týká pouze nepřiměřených smluvních podmínek u vymezeného okruhu dlouhodobých smluv. Kdo revizi odkládal s odkazem na rok 2027, není v předstihu, ale ve skluzu.

Jaroslav Menčík
Autor článku je partner a vedoucí týmu pro IT & Technologie v advokátní kanceláři Ambit.