Dataverordening — recht op data uit verbonden producten en vrij overstappen tussen clouddiensten

De Dataverordening gaat over data die niet per se persoonsgegevens zijn: de meetwaarden, logbestanden en gebruiksgegevens die een machine, voertuig, sensor of ander verbonden product voortbrengt. Wie zo’n product koopt of least, krijgt recht op die data en mag ze laten doorsturen naar een reparateur, softwareleverancier of concurrent van de fabrikant. Een tweede, los deel van dezelfde verordening dwingt aanbieders van cloud- en andere dataverwerkingsdiensten om klanten te laten overstappen. Anders dan de AVG, die gaat over de bescherming van gegevens van personen, verdeelt de Dataverordening de zeggenschap over industriële en gebruiksdata tussen fabrikant en klant.

Waarvoor is dit bedoeld

De data uit apparaten lag tot nu toe feitelijk bij de fabrikant, die als enige bij de meetwaarden kon. Daardoor kon alleen de fabrikant onderhoud, analyse en vervolgdiensten aanbieden. De verordening geeft de gebruiker van het product toegang tot die data en het recht ze te laten delen met een partij naar keuze, en haalt tegelijk de drempels weg die klanten aan één cloudaanbieder binden.

Voor wie

Fabrikanten van verbonden producten die in de Unie op de markt komen en aanbieders van gerelateerde diensten; datahouders die data beschikbaar stellen aan ontvangers in de Unie; gebruikers in de Unie; en aanbieders van dataverwerkingsdiensten die klanten in de Unie bedienen, ongeacht waar zij gevestigd zijn (art. 1, lid 3). Er is geen omzet- of personeelsdrempel voor de cloudbepalingen. Voor het deel over data uit verbonden producten geldt wel een uitzondering voor kleine bedrijven, zie hieronder. Aan de andere kant van de tafel is elke onderneming die een verbonden product koopt of least gebruiker, en dus rechthebbende.

Wat er niet onder valt

Het hoofdstuk over data uit verbonden producten (hoofdstuk II) geldt niet voor data uit producten die zijn gemaakt of diensten die worden geleverd door een micro- of kleine onderneming, tenzij die een partner- of verbonden onderneming heeft die zelf niet klein is, of als onderaannemer werkt (art. 7, lid 1). Een onderneming die pas korter dan een jaar middelgroot is, en een product dat korter dan een jaar geleden door een middelgroot bedrijf op de markt is gebracht, vallen er ook nog buiten. Klein en micro zijn gedefinieerd in Aanbeveling 2003/361/EG: minder dan vijftig werkzame personen en ten hoogste tien miljoen euro omzet of balanstotaal, respectievelijk minder dan tien personen en twee miljoen euro. Verder blijft het gegevensbeschermingsrecht voorgaan waar het botst (art. 1, lid 5), en gelden de regels niet voor strafrechtelijk onderzoek, douane, belastingheffing en nationale veiligheid.

Wat je moet doen

Als fabrikant of dienstverlener: het product zo ontwerpen dat de gebruiker standaard, eenvoudig, veilig, kosteloos en in een gangbaar machineleesbaar formaat bij zijn data kan, waar technisch haalbaar rechtstreeks (art. 3, lid 1). Als datahouder: beschikbare data op verzoek aan de gebruiker leveren zonder onnodige vertraging, in dezelfde kwaliteit als je zelf hebt en gratis (art. 4, lid 1), en die data op aanwijzing van de gebruiker doorzetten naar een derde (art. 5). Als aanbieder van een cloud- of andere dataverwerkingsdienst: de belemmeringen wegnemen die overstappen in de weg staan (art. 23).

Wat is een verbonden product

Een voorwerp dat data over het eigen gebruik of de omgeving verkrijgt, genereert of verzamelt en die data kan doorgeven via een elektronische communicatiedienst, een fysieke verbinding of toegang op het apparaat zelf — en waarvan het opslaan of doorgeven van data voor anderen niet de hoofdfunctie is (art. 2). Een gerelateerde dienst is de digitale dienst, inclusief software, zonder welke het product niet naar behoren zou werken, of die er later bij komt om functies te wijzigen. Denk aan landbouwmachines, liften, koelinstallaties, medische apparatuur, auto’s en de bijbehorende portalen.

Informatie vóór het contract

Wie een verbonden product verkoopt, verhuurt of least, moet vooraf vertellen welke soort data het product genereert, in welk volume, of dat continu en in real time gebeurt, hoe de data worden opgeslagen en hoe lang, en hoe de gebruiker erbij kan of ze kan wissen (art. 3, lid 2). Voor gerelateerde diensten geldt een langere lijst, waaronder de identiteit van de datahouder, hoe je om delen met derden vraagt, en hoe je een klacht indient (art. 3, lid 3).

Data laten delen met een derde

De gebruiker kan de datahouder opdragen beschikbare data door te geven aan een derde, kosteloos voor de gebruiker (art. 5). Die derde mag de data alleen gebruiken voor wat met de gebruiker is afgesproken. Ondernemingen die onder de Digitalemarktenverordening als poortwachter zijn aangewezen, mogen op deze route geen data ontvangen en mogen gebruikers er ook niet toe aanzetten (art. 5, lid 3).

Vergoeding tussen bedrijven

Voor de gebruiker zelf is toegang gratis. Tussen een datahouder en een zakelijke data-ontvanger mag een vergoeding worden afgesproken die niet-discriminerend en redelijk is en een marge mag bevatten (art. 9). Is de ontvanger een mkb-onderneming of een onderzoeksorganisatie zonder winstoogmerk, dan mag de vergoeding niet hoger zijn dan de kosten van het beschikbaar stellen: opmaken, verzenden en opslaan. De datahouder moet de berekening zo onderbouwen dat de ontvanger die kan controleren.

Bedrijfsgeheimen

Bedrijfsgeheimen moeten worden beschermd en mogen alleen worden gedeeld als vooraf maatregelen zijn getroffen om ze vertrouwelijk te houden (art. 4, lid 6). Een datahouder die houder van een bedrijfsgeheim is, kan een verzoek per geval weigeren als hij kan onderbouwen dat het tot ernstige economische schade leidt (art. 4, lid 8). Omgekeerd mag de datahouder niet-persoonsgebonden data uit het product alleen gebruiken op basis van een contract met de gebruiker, en niet om diens marktpositie te ondergraven (art. 4, lid 13).

Oneerlijke contractbedingen

Een beding over toegang tot of gebruik van data dat eenzijdig aan een andere onderneming is opgelegd, bindt niet als het oneerlijk is (art. 13). Altijd oneerlijk zijn onder meer: aansprakelijkheid uitsluiten voor opzet of grove schuld, de wederpartij haar rechtsmiddelen bij wanprestatie ontnemen, en jezelf het exclusieve recht geven te bepalen of geleverde data aan het contract beantwoorden. Vermoed oneerlijk zijn onder meer bedingen die toegang tot data of overdraagbaarheid blokkeren, die onredelijk korte opzegtermijnen opleggen of die eenzijdige prijswijzigingen toestaan.

Verzoeken van overheden

Overheidsinstanties, de Commissie, de ECB en EU-organen kunnen bij uitzonderlijke noodzaak data opvragen bij bedrijven die geen overheid zijn, met een met redenen omkleed verzoek (art. 14 en 15). Volgens de toelichting van de Europese Commissie hoeven micro- en kleine ondernemingen buiten noodsituaties geen data te leveren en krijgen zij in noodsituaties een vergoeding die de technische en organisatorische kosten niet overstijgt.

Overstappen tussen clouddiensten

De aanbieder moet commerciële, technische, contractuele en organisatorische belemmeringen wegnemen (art. 23). De opzegtermijn om het overstapproces te starten is maximaal twee maanden; de overgangsperiode is maximaal dertig kalenderdagen, door de klant eenmaal te verlengen, en als dertig dagen technisch niet haalbaar is maximaal zeven maanden; na afloop heeft de klant nog minstens dertig dagen om data op te halen (art. 25).

Overstapkosten

Tussen 11 januari 2024 en 12 januari 2027 mag een aanbieder verlaagde overstapkosten rekenen die niet hoger zijn dan de kosten die rechtstreeks met de overstap samenhangen. Vanaf 12 januari 2027 mag hij helemaal geen overstapkosten meer rekenen (art. 29). Vooraf moet hij duidelijk maken welke standaardtarieven, opzegboetes en overstapkosten gelden, en welke diensten bijzonder complex of kostbaar zijn om te verlaten.

Toegang door overheden buiten de EU

Aanbieders van dataverwerkingsdiensten moeten technische, organisatorische en juridische maatregelen nemen tegen doorgifte van of toegang tot niet-persoonsgebonden data in de EU die in strijd zou zijn met het Unierecht (art. 32). Een uitspraak van een rechter in een derde land is alleen afdwingbaar via een internationaal verdrag, zoals een rechtshulpverdrag; ontbreekt dat, dan gelden strikte voorwaarden en moet de aanbieder de klant vooraf informeren.

Toezicht NL

Lidstaten wijzen een of meer bevoegde autoriteiten aan en, bij meerdere, een datacoördinator als centraal aanspreekpunt (art. 37). In Nederland ligt het toezicht bij de ACM, met de Autoriteit Persoonsgegevens voor de aspecten die persoonsgegevens raken; de ACM beschrijft op haar eigen site de regels voor data uit slimme apparaten en voor overstappen tussen clouddiensten en neemt meldingen aan. De Nederlandse Uitvoeringswet dataverordening is op 21 november 2025 in werking getreden (Stb. 2025, 372).

Boete

De verordening laat de hoogte van de sancties aan de lidstaten en eist dat ze doeltreffend, evenredig en afschrikkend zijn (art. 40). Voor inbreuken op de hoofdstukken II, III en V die persoonsgegevens raken, kunnen de gegevensbeschermingsautoriteiten een boete opleggen volgens artikel 83 AVG, tot het maximum van artikel 83, lid 5: twintig miljoen euro of vier procent van de wereldwijde jaaromzet.