Datagovernanceverordening — registratieplicht voor databemiddelaars en hergebruik van overheidsdata

De Datagovernanceverordening regelt niet wie recht op welke data heeft, maar wie er tussen mag zitten. Wie een dienst aanbiedt die data van de ene partij naar de andere brengt zonder die data zelf te willen bezitten — een datamarktplaats, datapool, datacoöperatie of persoonlijk datakluisje — moet zich melden bij de toezichthouder en zich aan neutraliteitsregels houden. Daarnaast opent de verordening beschermde data van overheden voor hergebruik en geeft zij een kader aan organisaties die data zonder winstoogmerk voor het algemeen belang inzamelen. Waar de Dataverordening rechten op data toekent, stelt de Datagovernanceverordening eisen aan de tussenpersoon en aan de overheid als databron.

Waarvoor is dit bedoeld

Datadelen komt niet op gang als partijen de tussenpersoon niet vertrouwen. De verordening probeert dat vertrouwen te organiseren: een bemiddelaar die zich aanmeldt en zich aan de voorwaarden houdt, mag zich erkend aanbieder van databemiddelingsdiensten in de Unie noemen. Daarnaast maakt zij data die overheden houden maar wegens vertrouwelijkheid, intellectuele eigendom van derden of privacy niet zomaar konden vrijgeven, onder voorwaarden herbruikbaar.

Voor wie

Aanbieders van databemiddelingsdiensten met hun hoofdvestiging of wettelijke vertegenwoordiger in Nederland; organisaties die zich als data-altruïstische organisatie willen laten erkennen; en overheidsinstanties die beschermde data houden. Er is geen omzet- of personeelsdrempel: de aanmeldplicht hangt aan de aard van de dienst, niet aan de omvang van het bedrijf. Voor gewone bedrijven die alleen data kopen, verkopen of gebruiken, verandert de verordening niets.

Wat er niet onder valt

Volgens de ACM hoeven zich niet te registreren: diensten waarbij op de gedeelde gegevens auteursrecht rust, diensten die samengevoegde bankrekeninginformatie verstrekken en diensten die geconsolideerde informatie over financiële instrumenten leveren. Een aanbieder die data voor zichzelf verzamelt en doorverkoopt is geen bemiddelaar in de zin van de verordening, want die verwerft juist wel rechten op de data. Registratie als data-altruïstische organisatie is vrijwillig: je mag ook zonder erkenning data voor het algemeen belang inzamelen, maar dan zonder het EU-logo. De verordening verplicht overheden niet om hun data vrij te geven; zij regelt onder welke voorwaarden dat gebeurt als zij het doen.

Wat je moet doen

Als databemiddelingsdienst: je voornemen melden bij de bevoegde autoriteit voordat je begint, en de dienst juridisch gescheiden houden van je andere diensten. Als data-altruïstische organisatie die erkenning wil: registreren en jaarlijks verantwoording afleggen. Als overheidsinstantie: verzoeken om hergebruik binnen de gestelde termijn afhandelen tegen niet-discriminerende, transparante, evenredige en objectief gerechtvaardigde voorwaarden.

Hoe de aanmelding in Nederland werkt

De registratie loopt via de ACM en is kosteloos. Aan te leveren zijn onder meer de bedrijfsnaam, rechtsvorm, eventuele dochterondernemingen, het handelsregisternummer, vestigingsadressen, website, contactgegevens, een beschrijving van de dienst en de startdatum. De ACM beslist binnen acht weken.

Het EU-label

Een geregistreerde aanbieder kan kosteloos het Europese label aanvragen en zich dan erkend aanbieder van databemiddelingsdiensten noemen; de ACM beslist daarover binnen twaalf weken.

Neutraliteitseisen

De bemiddelaar treedt uitsluitend op als tussenpersoon en mag de data niet voor eigen doeleinden gebruiken, anders dan om de bemiddelingsdienst te verbeteren. De commerciële voorwaarden mogen niet afhangen van de vraag of een partij ook andere diensten van dezelfde aanbieder afneemt. De bemiddelingsdienst moet juridisch gescheiden zijn van die andere diensten.

Data-altruïstische organisaties

Voorwaarden voor registratie bij de ACM zijn onder meer: geen commercieel oogmerk, geen commerciële relaties tot stand brengen tussen aanbieders en afnemers van data, en onafhankelijk opereren van partijen met winstoogmerk. Gaat het om persoonsgegevens, dan wint de ACM advies in bij de Autoriteit Persoonsgegevens. Erkende organisaties tonen het Europese logo bij elke uiting, online en offline, en dienen jaarlijks vóór 1 mei een activiteitenverslag over het voorgaande jaar in.

Hergebruik van beschermde overheidsdata

Het gaat om data van overheidsinstanties die commercieel of statistisch vertrouwelijk zijn, onder intellectuele-eigendomsrechten van derden vallen of persoonsgegevens bevatten. De voorwaarden voor hergebruik moeten niet-discriminerend, transparant, evenredig en objectief gerechtvaardigd zijn; vergoedingen mogen, verlaagd tarief of kosteloos hergebruik ook. Volgens de Europese Commissie heeft een overheidsinstantie maximaal twee maanden om op een verzoek te beslissen.

Verhouding tot de AVG

De verordening vervangt de AVG niet en verruimt de grondslagen voor het verwerken van persoonsgegevens niet. Bij data-altruïsme blijft toestemming van de betrokkene de basis, en bij hergebruik van overheidsdata met persoonsgegevens blijven de gewone regels gelden. De ACM werkt daarom samen met de Autoriteit Persoonsgegevens.

Doorgifte buiten de EU

De verordening stelt aanvullende waarborgen aan het doorgeven van niet-persoonsgebonden data uit de EU naar derde landen en aan toegangsverzoeken van buitenlandse overheden.

Nederlandse uitvoering

De Uitvoeringswet datagovernanceverordening is op 19 november 2024 in werking getreden (Stb. 2024, 347). Sindsdien registreert de ACM databemiddelingsdiensten en data-altruïstische organisaties en kent zij de EU-labels toe.

Toezicht NL

De ACM, met de Autoriteit Persoonsgegevens voor de aspecten die persoonsgegevens raken.

Boete

De verordening stelt zelf geen bedragen vast, maar draagt de lidstaten op sancties te bepalen die doeltreffend, evenredig en afschrikkend zijn. Voor Nederland staan die in de Uitvoeringswet datagovernanceverordening.