Vrij verkeer van niet-persoonsgebonden gegevens — verbod op verplichte dataopslag binnen Nederland

Deze verordening verbiedt lidstaten om bedrijven te dwingen hun niet-persoonsgebonden data binnen de eigen landsgrenzen op te slaan of te verwerken, behalve wanneer dat om redenen van openbare veiligheid gerechtvaardigd en evenredig is. Voor een onderneming die cloudopslag buiten Nederland gebruikt — een datacenter in Ierland of Frankfurt bijvoorbeeld — betekent dit dat de overheid dat in beginsel niet mag verbieden of ontmoedigen. Het is het spiegelbeeld van het vrije verkeer van persoonsgegevens onder de AVG en dus uitdrukkelijk beperkt tot data die geen persoonsgegevens zijn. Sinds de Dataverordening op 12 september 2025 van toepassing werd, is het overstappen tussen clouddiensten — waarover deze verordening alleen vrijblijvende gedragscodes gaf — wettelijk en verplicht geregeld, wat de Europese Commissie ertoe heeft gebracht in de Digital Omnibus voor te stellen deze verordening in te trekken.

Waarvoor is dit bedoeld

Lidstaten hanteerden regelmatig wettelijke of bestuurlijke eisen dat bepaalde bedrijfsdata alleen binnen het eigen land opgeslagen of verwerkt mocht worden, wat de interne markt voor cloud- en dataverwerkingsdiensten fragmenteerde. De verordening verbiedt zulke gegevenslokalisatievereisten, tenzij zij evenredig zijn en gerechtvaardigd door redenen van openbare veiligheid (art. 4).

Voor wie

Natuurlijke en rechtspersonen die niet-persoonsgebonden data verwerken of laten verwerken binnen de Unie, en aanbieders van dataverwerkingsdiensten zoals cloud en hosting. Er is geen omzet- of personeelsdrempel: het verbod werkt richting de lidstaten en beschermt daarmee elk bedrijf, van eenmanszaak tot multinational, dat met zo’n eis te maken zou krijgen.

Wat er niet onder valt

Persoonsgegevens vallen buiten deze verordening; daarvoor geldt het vrije verkeer onder de AVG. Bij een dataset die deels persoonsgegevens en deels niet-persoonsgebonden gegevens bevat, geldt voor het persoonsgegevensdeel de AVG en voor de rest deze verordening. Ook lokalisatie-eisen die wél aantoonbaar evenredig en gerechtvaardigd zijn door openbare veiligheid, vallen buiten het verbod.

Wat je moet doen

Als bedrijf hoef je zelf niets te doen: het is een verbodsbepaling gericht tot lidstaten, niet een verplichting voor ondernemingen. Stelt een overheid, aanbesteding of sectorale regel toch een datalokalisatie-eis, dan kan een bedrijf zich op de verordening beroepen en terecht bij het centrale contactpunt dat elke lidstaat moet aanwijzen (art. 7).

Toegang voor toezichthouders blijft gewaarborgd

Artikel 5 bepaalt dat bevoegde autoriteiten toegang tot data mogen blijven vragen en krijgen voor de uitvoering van hun taken, ongeacht in welke lidstaat de data wordt verwerkt; toegang mag niet worden geweigerd enkel omdat de gegevens in een andere lidstaat staan.

Gedragscodes voor overstappen

Artikel 6 verplichtte de Commissie zelfregulerende gedragscodes voor het overstappen tussen cloud- en dataverwerkingsdiensten te stimuleren, met beste praktijken, minimale informatie-eisen voor aanbieders en certificeringsregelingen. De ontwikkeling moest uiterlijk op 29 november 2019 klaar zijn, de doeltreffende invoering uiterlijk op 29 mei 2020 — de basis van wat in de praktijk de SWIPO-gedragscodes werd genoemd.

Wat de Dataverordening eraan verandert

Sinds 12 september 2025 regelt hoofdstuk VI van de Dataverordening het overstappen tussen dataverwerkingsdiensten wettelijk bindend: een maximale overstaptermijn, en vanaf 12 januari 2027 een volledig verbod op overstapkosten. Daarmee is de vrijblijvende gedragscode van deze verordening in de praktijk grotendeels ingehaald door dwingend recht.

Nationaal contactpunt

Elke lidstaat wijst volgens artikel 7 een centraal contactpunt aan dat communiceert met de contactpunten van andere lidstaten en met de Commissie over de toepassing van de verordening en over gemelde gegevenslokalisatievereisten.

Digital Omnibus

De Digital Omnibus van 19 november 2025 (COM(2025) 837) zet deze verordening op de lijst van vier in te trekken instrumenten, met als reden dat haar functie grotendeels is overgenomen door de Dataverordening. Het voorstel ligt bij de commissies ITRE en LIBE van het Europees Parlement en stond per 11 september 2026 nog op ‘awaiting committee decision’.

Toezicht NL

Er is in Nederland geen aparte toezichthouder voor deze verordening aangewezen. Een geschil over een datalokalisatie-eis loopt via het nationale contactpunt en, in laatste instantie, via de gewone rechter of via een inbreukprocedure van de Commissie tegen de lidstaat die de eis stelt.

Boete

De verordening bevat geen boetebepaling gericht tot ondernemingen: zij verbiedt iets aan lidstaten, niet aan bedrijven. Handhaving tegen een lidstaat die toch een ongerechtvaardigde lokalisatie-eis handhaaft, loopt via het gewone Unierechtelijke instrumentarium — in het uiterste geval een inbreukprocedure van de Commissie bij het Hof van Justitie — en niet via een boete aan een onderneming.