De Europese Data Act

Het juridisch kader

De Data Act is Verordening (EU) 2023/2854. Ze is in werking getreden op 11 januari 2024 en is algemeen van toepassing sinds 12 september 2025. Ze regelt wie toegang heeft tot data die door verbonden producten en gerelateerde diensten worden gegenereerd en wie die mag gebruiken, en bevat regels over datacontracten, het overstappen tussen cloudaanbieders en toegang voor de overheid.

Wie valt eronder

De verordening werkt met omschreven rollen. Een gebruiker is eigenaar, huurder of lessee van een verbonden product, of ontvangt een gerelateerde dienst. Een datahouder is de partij die het recht of de mogelijkheid heeft om productdata beschikbaar te stellen, vaak de fabrikant of dienstverlener. Een ontvanger van data ontvangt data op verzoek van de gebruiker. De Data Act geldt voor producten en diensten die op de EU-markt worden aangeboden, ongeacht waar de aanbieder is gevestigd. Persoonsgegevens blijven onder de GDPR vallen, die bij strijdigheid voorrang heeft (artikel 1, lid 5).

De belangrijkste onderdelen

• Toegang voor gebruikers (hoofdstuk II, artikelen 3 tot 7). Gebruikers moeten vóór de aankoop weten welke data het product genereert en hoe ze die kunnen krijgen (artikel 3, leden 2 en 3). Ze kunnen direct beschikbare data van de datahouder krijgen (artikel 4) en de houder opdragen die aan een derde te bezorgen (artikel 5). Derden mogen de data niet gebruiken om een concurrerend product te ontwikkelen (artikel 6). De ontwerpverplichting van artikel 3, lid 1, om data standaard toegankelijk te maken, geldt voor producten die na 12 september 2026 op de markt komen. Micro- en kleine ondernemingen die producten fabriceren zijn grotendeels vrijgesteld (artikel 7).
• Van datahouder naar ontvanger (hoofdstuk III, artikelen 8 tot 12). Moet een houder data beschikbaar stellen, dan gebeurt dat op billijke, redelijke en niet-discriminerende voorwaarden. De vergoeding moet redelijk zijn en mag een marge bevatten, maar is voor micro-, kleine en middelgrote ontvangers beperkt tot de kosten (artikel 9). Poortwachters onder de Digital Markets Act kunnen geen ontvanger zijn (artikel 5, lid 3).
• Oneerlijke bedingen (hoofdstuk IV, artikel 13). Een beding over toegang tot en gebruik van data, of over aansprakelijkheid en rechtsmiddelen, is niet bindend als het eenzijdig aan een andere onderneming is opgelegd en oneerlijk is. Sommige bedingen zijn altijd oneerlijk, zoals het uitsluiten van aansprakelijkheid voor opzettelijke daden. Hoofdstuk IV geldt voor contracten die na 12 september 2025 zijn gesloten en vanaf 12 september 2027 ook voor oudere contracten van onbepaalde duur of met een looptijd van ten minste tien jaar vanaf 11 januari 2024.
• Overheidssector (hoofdstuk V, artikelen 14 tot 22). Overheidsinstanties kunnen data opvragen bij uitzonderlijke noodzaak, zoals een noodsituatie.
• Overstappen tussen cloud- en edgediensten (hoofdstuk VI, artikelen 23 tot 31). Klanten kunnen van aanbieder wisselen met een maximale opzegtermijn en een overgangsperiode. Overstapkosten verdwijnen vanaf 12 januari 2027 helemaal (artikel 29).
• Internationale toegang (artikel 32). Aanbieders moeten maatregelen nemen tegen onrechtmatige toegang van derde landen tot niet-persoonsgebonden data.

Bedrijfsgeheimen en databankenrecht

De Data Act heft de bescherming niet op. Een datahouder kan vooraf maatregelen eisen om de vertrouwelijkheid van bedrijfsgeheimen te bewaren en kan in uitzonderlijke omstandigheden weigeren als ernstige schade waarschijnlijk is en het bedrijfsgeheim niet anders kan worden beschermd (artikel 4, leden 6 tot 8, en artikel 5, lid 9). Het sui generis databankenrecht van Richtlijn 96/9/EG geldt niet voor databanken met data die afkomstig zijn van of gegenereerd zijn door een verbonden product of gerelateerde dienst (artikel 43). Beide komen aan bod in databankenrecht en bedrijfsgeheimen.

Handhaving

Elke lidstaat wijst bevoegde autoriteiten aan, waarbij de gegevensbeschermingsautoriteit bevoegd is voor de aspecten die persoonsgegevens betreffen. De lidstaten bepalen de sancties. Zoek uit welke autoriteit is aangewezen in het land waar je actief bent.

In de praktijk

Een Vlaamse fabrikant verkoopt industriële pompen met ingebouwde sensoren en een monitoringabonnement. Een klant vraagt de werkingsdata van de pomp op om ze aan een onafhankelijk onderhoudsbedrijf te geven. Na de relevante data moet de fabrikant die data op verzoek beschikbaar stellen, en het onderhoudsbedrijf mag ze niet gebruiken om een concurrerende pomp te ontwikkelen. De fabrikant kan zijn ontwerp-knowhow beschermen, maar moet eerst vertrouwelijkheidsmaatregelen afspreken en kan niet zomaar weigeren.

Een softwarebedrijf levert analysediensten aan een retailer op basis van standaardvoorwaarden waarin de leverancier de dataregels op elk moment mag wijzigen, elke aansprakelijkheid voor datafouten uitsluit en alle rechten op afgeleide data houdt. Had de retailer geen reële kans om te onderhandelen, dan lopen die bedingen het risico onafdwingbaar te zijn op grond van artikel 13.

Een kmo gebruikt een clouddienst op basis van een contract uit 2023 met een minimumduur van twee jaar. Vanaf 12 januari 2027 kan ze overstappen zonder overstapkosten, en moet de aanbieder de overgang ondersteunen.

Veelgestelde vragen

Geldt de Data Act voor ons als we geen verbonden producten maken?

Mogelijk wel. Hoofdstuk IV geldt voor elke onderneming die over data contracteert, en de regels over overstappen en internationale toegang gelden voor aanbieders van gegevensverwerkingsdiensten. Gebruikers van verbonden producten krijgen bovendien rechten.

Vervangt ze de GDPR?

Nee. Zijn er persoonsgegevens in het spel, dan blijft de GDPR gelden en heeft ze voorrang. Delen op grond van de Data Act vraagt een rechtsgrond onder de GDPR.

Mogen we nog weigeren om data te delen die een bedrijfsgeheim zijn?

Alleen in beperkte gevallen. De hoofdregel is delen, met vooraf afgesproken waarborgen. Weigeren kan alleen in uitzonderlijke situaties met aantoonbare ernstige schade en moet worden gemeld aan de bevoegde autoriteit.

Wat moeten we nu doen?

Breng in kaart welke data je producten genereren, werk de informatie voor gebruikers bij, toets de databepalingen in je contracten aan artikel 13 en check je cloudcontracten op overstapvoorwaarden.

Hoe dit samenhangt

De Data Act raakt aan hoe je data beschermt en in licentie geeft. Zie onze dienstverlening bescherming van data en databanken en datalicenties en datadeling. Onze contractreview toetst bestaande contracten op deze punten, met de Document Studio maak je conforme voorwaarden klaar en het register van rechten en verplichtingen volgt de plichten op na ondertekening. Zie ook internationale doorgifte van gegevens.