Uitleg over de dataverordening

Waarom?

Een belangrijke doelstelling van de dataverordening is om billijkheid in de data-economie te creëren en gebruikers in staat te stellen waarde te halen uit de gegevens die zij genereren met behulp van de verbonden producten die zij bezitten, huren of leasen.

De dataverordening stelt gebruikers van verbonden producten (bv. verbonden auto’s, medische en fitnessapparatuur, industriële of landbouwmachines) en aanverwante diensten (d.w.z. alles waardoor een verbonden product zich op een specifieke manier gedraagt, zoals een app om de helderheid van lichten aan te passen of de temperatuur van een koelkast te regelen) in staat toegang te krijgen tot de gegevens die zij gezamenlijk creëren door gebruik te maken van de verbonden producten/gerelateerde diensten.

De beschikbaarheid van dergelijke gegevens zal aanzienlijke gevolgen hebben voor de economie. Gegevens die door verbonden producten en aanverwante diensten worden gegenereerd, kunnen bijvoorbeeld worden gebruikt om aftermarket- en ondersteunende diensten te stimuleren en om volledig nieuwe diensten te creëren, wat zowel bedrijven als consumenten ten goede komt. 

Soorten gegevens die binnen het toepassingsgebied vallen

Hoofdstuk II van de datawet inzake het delen van gegevens tussen bedrijven en tussen bedrijven en consumenten is van toepassing op alle ruwe en voorverwerkte gegevens die zijn gegenereerd door het gebruik van een verbonden product of een gerelateerde dienst en die gemakkelijk beschikbaar zijn voor de datahouder (bv. fabrikant van een verbonden product/aanbieder van een gerelateerde dienst), met andere woorden gegevens die gemakkelijk toegankelijk zijn zonder onevenredige inspanning en die verder gaan dan een eenvoudige verrichting. Dit geldt voor zowel persoonsgegevens als niet-persoonsgebonden gegevens, met inbegrip van relevante metagegevens.

Dergelijke gegevens omvatten gegevens die zijn verzameld van een enkele sensor of een verbonden groep sensoren, zoals temperatuur, druk, debiet, audio, pH-waarde, vloeistofniveau, positie, versnelling of snelheid.

Afgeleide of afgeleide gegevens en inhoud (bv. sterk verrijkte gegevens, audiovisueel materiaal) vallen buiten het toepassingsgebied. Voorts laat de datawet de wetgeving inzake de bescherming van intellectuele-eigendomsrechten onverlet.

In de praktijk

Hoofdstuk II van de dataverordening biedt gebruikers (d.w.z. elke natuurlijke of rechtspersoon die een verbonden product bezit, huurt of leaset) toegang tot de gegevens die zij genereren door hun gebruik van het verbonden product of de gerelateerde dienst. Als de gebruiker deze gegevens wil delen met een andere entiteit of persoon (“derdepartij”), kan hij dit rechtstreeks doen of kan hij de gegevenshouder vragen deze te delen met een derde partij van zijn keuze (met uitzondering van poortwachters in het kader van de wet inzake digitale markten). De datahouder is meestal het bedrijf dat het verbonden product maakt of dat een gerelateerde dienst levert. Een gegevenshouder moet een contract met de gebruiker hebben (bv. een verkoopcontract, een huurcontract, een contract voor gerelateerde diensten enz.) waarin de rechten zijn vastgelegd met betrekking tot de toegang tot, het gebruik en het delen van de gegevens die door het verbonden product of de gerelateerde dienst worden gegenereerd. Het is belangrijk op te merken dat de gegevenshouder geen door het product gegenereerde niet-persoonsgebonden gegevens kan gebruiken zonder toestemming van de gebruiker.

Bij wijze van voorbeeld, en rekening houdend met het feit dat het relevante contract de exacte rollen bepaalt:

• Een bedrijf exploiteert een bulldozer: de gegevenshouder is doorgaans de fabrikant van de bulldozer en de gebruiker is het bedrijf dat de bulldozer exploiteert.  

• Als iemand een aangesloten koelkast koopt en een app downloadt die hen helpt de optimale temperatuur voor de inhoud van de koelkast te regelen, zouden er mogelijk twee gegevenshouders zijn, namelijk de entiteit die de koelkast in de handel heeft gebracht en de entiteit die de gerelateerde dienst aanbiedt (de app), en slechts één gebruiker (de eigenaar van de koelkast).

De dataverordening bevat verschillende mechanismen om het voor gebruikers gemakkelijker te maken om van deze bepalingen gebruik te maken: gegevenshouders moeten de gebruiker informatie verstrekken over het soort gegevens dat zij zullen genereren bij het gebruik van het verbonden product of de gerelateerde dienst (met inbegrip van het volume, de verzamelfrequentie enz.); gebruikers moeten via een eenvoudig proces om toegang tot de gegevens kunnen verzoeken, en gegevenshouders moeten de gegevens gratis ter beschikking stellen van gebruikers.

Beperkingen op het gebruik van de gegevens

Om bedrijven er niet van te weerhouden te investeren in producten die gegevens genereren, kunnen de verkregen gegevens niet worden gebruikt om een concurrerend verbonden product te ontwikkelen. De dataverordening verbiedt geen concurrentie op het gebied van aanverwante of aftermarketdiensten. Bovendien is er op grond van de dataverordening geen verplichting voor een datahouder om data te delen met buiten de EU gevestigde derden.

De dataverordening is volledig in overeenstemming met de regels inzake gegevensbescherming, met name de AVG. Wanneer de gebruiker niet de betrokkene is van wie de gegevens worden opgevraagd, kunnen persoonsgegevens alleen ter beschikking worden gesteld als er een geldige rechtsgrondslag is (bv. toestemming). Dit is een belangrijke overweging, aangezien de gezamenlijk gegenereerde gegevens vaak zowel persoonsgegevens als niet-persoonsgebonden gegevens bevatten, die moeilijk te scheiden kunnen zijn.  

Het stimuleert de ontwikkeling van verbonden producten en diensten op basis van nieuwe gegevensstromen, die van bijzonder belang zijn voor kleinere bedrijven. Bovendien zijn micro- en kleine ondernemingen, als fabrikanten of aanbieders van aanverwante diensten, niet aan dezelfde verplichtingen onderworpen als grotere ondernemingen.

Om bedrijfsgeheimen te beschermen zonder afbreuk te doen aan het doel van de dataverordening om meer gegevens beschikbaar te stellen, kunnen de datahouder en de gebruiker/derde partij bepaalde maatregelen overeenkomen om de vertrouwelijkheid van de bedrijfsgeheimen te waarborgen. Wanneer deze maatregelen niet worden nageleefd, kan de gegevenshouder het delen van gegevens weigeren of opschorten. De gegevenshouder mag alleen weigeren gegevens te delen wanneer hij kan aantonen dat hij zeer waarschijnlijk ernstige economische schade zal lijden als gevolg van de openbaarmaking van bedrijfsgeheimen.

De gegevenshouder en -gebruiker kunnen ermee instemmen het delen van gegevens te beperken indien er een risico bestaat dat de beveiligingseisen van het verbonden product worden ondermijnd, met ernstige nadelige gevolgen voor de gezondheid, veiligheid of beveiliging van mensen tot gevolg. Dergelijke vereisten moeten worden vastgelegd in het EU-recht of het nationale recht.

Indien de gegevenshouder gegevens opschort, achterhoudt of weigert te delen om redenen van bescherming van bedrijfsgeheimen of beveiligingsvereisten, moet hij de nationale bevoegde autoriteit daarvan in kennis stellen. Gebruikers kunnen een dergelijk besluit aanvechten, hetzij bij de bevoegde rechterlijke instantie van een lidstaat, via een klacht bij de bevoegde autoriteit, hetzij met instemming van de gegevenshouder bij een geschillenbeslechtingsinstantie.

Waarom?

De dataverordening voert regels in voor situaties waarin een bedrijf (“datahouder”) krachtens het EU-recht of het nationale recht wettelijk verplicht is gegevens beschikbaar te stellen aan een ander bedrijf (“dataontvanger”), ook in het kader van IoT-gegevens. De voorwaarden voor het delen van gegevens moeten met name eerlijk, redelijk en niet-discriminerend zijn.

Als stimulans voor het delen van gegevens kunnen gegevenshouders die verplicht zijn gegevens te delen, de ontvanger van de gegevens om een “redelijke vergoeding” verzoeken.

Soorten gegevens die binnen het toepassingsgebied vallen

Hoofdstuk III van de Datawet is van toepassing op alle gegevens (zowel persoonlijke als niet-persoonlijke) die in het bezit zijn van een bedrijf, met inbegrip van situaties die onder hoofdstuk II van de Datawet vallen.

In de praktijk

Gegevenshouders kunnen een redelijke vergoeding vragen voor het ter beschikking stellen van de gegevens aan een ontvanger van de gegevens. Dit kan kosten omvatten voor het beschikbaar stellen van de gegevens en technische kosten in verband met verspreiding en opslag. Micro-ondernemingen, kmo’s en non-profitonderzoeksorganisaties mogen echter niet meer in rekening worden gebracht dan de kosten voor het beschikbaar stellen van de gegevens.

Om gegevenshouders te beschermen, bevat de datawet een niet-uitputtende lijst van maatregelen om situaties te verhelpen waarin een derde of gebruiker onrechtmatig toegang heeft gehad tot gegevens of deze onrechtmatig heeft gebruikt. Een gegevenshouder kan bijvoorbeeld eisen dat een inbreukmakende partij stopt met de productie van het product in kwestie of de gegevens vernietigt die hij onrechtmatig heeft verkregen, of hij kan schadevergoeding eisen.

Verplichtingen tot het delen van gegevens die aan de datawet voorafgaan, blijven onaangetast. Verplichtingen in toekomstige (sectorale) wetgeving moeten worden afgestemd op de bepalingen van hoofdstuk III van de dataverordening.

Waarom?

Contractuele vrijheid staat centraal in business-to-business relaties. De dataverordening heeft echter tot doel alle Europese bedrijven die gegevens willen verkrijgen, met name kmo’s, te beschermen tegen oneerlijke contractuele bedingen door middel van haar maatregelen om in te grijpen in situaties waarin een van de bedrijven zich bijvoorbeeld in een sterkere onderhandelingspositie bevindt (bv. vanwege de marktomvang) en een niet-onderhandelbaar beding (“take-it-or-leave-it”) oplegt met betrekking tot de toegang tot en het gebruik van gegevens.

Soorten gegevens die binnen het toepassingsgebied vallen

Deze regels hebben betrekking op alle gegevens, zowel persoonlijke als niet-persoonlijke, die in het bezit zijn van een particuliere entiteit waartoe toegang wordt verkregen en die worden gebruikt op basis van een contract tussen bedrijven.

In de praktijk

Eenzijdig opgelegde take-it-or-leave-it-voorwaarden kunnen, wanneer zij betrekking hebben op het beschikbaar stellen van gegevens, aan een oneerlijkheidstoets worden onderworpen.

De datawet bevat een niet-uitputtende lijst van bedingen die altijd als oneerlijk worden beschouwd (bv. dat zou de aansprakelijkheid van de partij die het beding eenzijdig heeft opgelegd voor opzettelijke handelingen of grove nalatigheid uitsluiten of beperken) en van bedingen die als oneerlijk worden beschouwd (bv. dat zou de rechtsmiddelen in geval van niet-nakoming van contractuele verplichtingen of aansprakelijkheid in geval van niet-nakoming van die verplichtingen op ongepaste wijze beperken of de aansprakelijkheid van de onderneming waaraan het beding eenzijdig is opgelegd, uitbreiden). Als een beding als oneerlijk wordt beschouwd, is het niet langer geldig – waar mogelijk wordt het eenvoudigweg van de overeenkomst gescheiden. Indien het wordt geacht oneerlijk te zijn, kan de entiteit die het beding heeft opgelegd, proberen aan te tonen dat het beding niet oneerlijk is.

Waarom?

Om een concurrerende markt in de EU te waarborgen, moeten klanten van dataverwerkingsdiensten (met inbegrip van cloud- en edgediensten) naadloos van de ene aanbieder naar de andere kunnen overstappen. Klanten worden op dit moment echter geconfronteerd met een aantal belemmeringen, waaronder hoge kosten in verband met bijvoorbeeld het uitgaan van gegevens, langdurige procedures en een gebrek aan interoperabiliteit tussen aanbieders, wat kan leiden tot een verlies van gegevens en toepassingen.

De Data Act maakt schakelen vrij, snel en vloeiend. Dit zal ten goede komen aan klanten, die vrijelijk de diensten kunnen kiezen die het beste aan hun behoeften voldoen, evenals leveranciers, die zullen profiteren van een grotere pool van klanten.

Toepassingsgebied

Hoofdstuk VI van de datawet is van toepassing op aanbieders van dataverwerkingsdiensten (d.w.z. digitale diensten die alomtegenwoordige netwerktoegang op aanvraag mogelijk maken, zoals netwerken, servers of andere virtuele of fysieke infrastructuur en software). Gegevens die essentieel zijn voor het overstappen, omvatten input- en outputgegevens, met inbegrip van metagegevens, die door het gebruik van de dienst door de klant worden gegenereerd, met uitzondering van gegevens die door intellectuele-eigendomsrechten worden beschermd of een bedrijfsgeheim van de dienstverlener vormen.  

In de praktijk

Om de machtsongelijkheid tussen aanbieders en klanten op de cloudmarkt te verhelpen, stelt de dataverordening minimumeisen vast voor de inhoud van cloudcontracten. Met name klanten uit de particuliere en publieke sector zullen profiteren van een veel grotere contractuele transparantie.

De dataverordening bevat maatregelen om ervoor te zorgen dat klanten snel en soepel kunnen overstappen van de ene aanbieder van dataverwerkingsdiensten (“bronaanbieder”) naar een andere (“bestemmingsaanbieder”), zonder gegevens of de functionaliteit van toepassingen te verliezen. Aanbieders van Platform en Software as a Service moeten bijvoorbeeld open interfaces beschikbaar stellen en ten minste gegevens exporteren in een veelgebruikt en machineleesbaar formaat. Aanbieders van Infrastructure as a Service moeten maatregelen nemen om ervoor te zorgen dat, wanneer een klant overstapt op een dienst van hetzelfde type, de klant materieel vergelijkbare resultaten krijgt als reactie op dezelfde input voor functies die beide diensten delen (“functionele gelijkwaardigheid”). Als voorbeeld van een dergelijke maatregel moet de bronprovider mogelijk tools gebruiken voor het verschuiven van computerworkloads van de ene virtualisatietechnologie naar de andere. 

Alle providers zijn verplicht om obstakels weg te nemen waarmee hun klanten te maken kunnen krijgen wanneer ze naar een andere provider willen overstappen of meerdere diensten tegelijkertijd willen gebruiken.

De datawet zal vanaf 12 januari 2027 ook de overstapkosten, met inbegrip van kosten voor gegevensdoorgifte (d.w.z. kosten voor gegevensdoorgifte), volledig afschaffen. Dit betekent dat aanbieders hun klanten geen kosten in rekening kunnen brengen voor de handelingen die nodig zijn om overstappen te vergemakkelijken of voor het uitgaan van gegevens. Als overgangsmaatregel gedurende de eerste drie jaar na de inwerkingtreding van de dataverordening (van 11 januari 2024 tot en met 12 januari 2027) mogen aanbieders hun klanten echter nog steeds de kosten in rekening brengen die zij hebben gemaakt in verband met overstappen en gegevensuitvoer.

Waarom?

Soms is een besluit of vonnis van een land buiten de EU (“derde land”) bedoeld om de overheid toegang te verlenen tot niet-persoonsgebonden gegevens die binnen de EU worden verwerkt en opgeslagen, en deze door te geven. In bepaalde gevallen kan het verlenen van toegang tot of doorgifte van dergelijke gegevens echter daadwerkelijk onrechtmatig zijn, met name wanneer het verzoek in strijd is met de EU-wetgeving en waarborgen inzake de bescherming van de grondrechten van natuurlijke personen, nationale veiligheidsbelangen of commercieel gevoelige gegevens.

De dataverordening volgt de datagovernanceverordening met betrekking tot de bepalingen ter voorkoming van onrechtmatige toegang van overheden van derde landen tot en doorgifte van niet-persoonsgebonden gegevens die in de EU worden bewaard. Dergelijke bepalingen hebben geen gevolgen voor de regelmatige uitwisseling van gegevens tussen ondernemingen. Zij vergroten de transparantie en rechtszekerheid met betrekking tot het proces en de voorwaarden waaronder niet-persoonsgebonden gegevens toegankelijk zijn voor of kunnen worden doorgegeven aan overheidsinstanties van buiten de EU.

Soorten gegevens die binnen het toepassingsgebied vallen

Alle niet-persoonsgebonden gegevens die in de EU worden bewaard door een aanbieder van een gegevensverwerkingsdienst.

In de praktijk

De dataverordening verbiedt geen grensoverschrijdende gegevensstromen, maar zorgt ervoor dat de bescherming van gegevens in de EU ook geldt voor gegevens die buiten de EU worden doorgegeven.

In dit verband stelt de dataverordening regels en waarborgen vast voor verzoeken van een buitenlandse overheidsinstantie om toegang tot niet-persoonsgebonden gegevens die in de Unie worden bewaard. Legitieme internationale samenwerking op het gebied van rechtshandhaving wordt door deze bepalingen niet aangetast.

Als er geen internationale overeenkomst is die de toegang van een overheid van een derde land tot niet-persoonsgebonden gegevens in de EU regelt, kunnen de gegevens alleen onder specifieke voorwaarden worden doorgegeven of geraadpleegd. Deze voorwaarden hebben betrekking op bepaalde waarborgen ter bescherming van de Europese rechten waaraan het rechtsstelsel van het derde land moet voldoen, waaronder een vereiste om de redenen daarvoor uiteen te zetten en de evenredigheid in het besluit te beoordelen. De aanbieder van gegevensverwerkingsdiensten waarop een dergelijk besluit betrekking heeft, kan contact opnemen met de relevante nationale instantie om te helpen beoordelen of aan de voorwaarden van de gegevensverordening is voldaan. Om te helpen beoordelen of aan deze voorwaarden is voldaan, zal de Europese Commissie samen met de Europese raad voor gegevensinnovatie (een in het kader van de datagovernanceverordening opgerichte deskundigengroep) richtsnoeren ontwikkelen om de uitwisseling van beste praktijken te vergemakkelijken en prioriteit te geven aan sectoroverschrijdende interoperabiliteitsnormen).

Aanbieders van gegevensverwerkingsdiensten moeten alle redelijke maatregelen nemen (bv. versleuteling, audits, naleving van certificeringsregelingen) om de toegang tot de systemen waarin zij niet-persoonsgebonden gegevens opslaan, te voorkomen. Deze maatregelen moeten op hun websites worden gepubliceerd. Bovendien moeten zij, waar mogelijk, hun klanten informeren voordat zij toegang geven tot hun gegevens.

Waarom?

Normen en interoperabiliteit zijn essentieel om ervoor te zorgen dat gegevens uit verschillende bronnen binnen en tussen gemeenschappelijke Europese dataruimten kunnen worden gebruikt om onderzoek te bevorderen en nieuwe producten of diensten te ontwikkelen. Daartoe stelt de dataverordening een aantal essentiële eisen vast waaraan deelnemers aan dataruimten moeten voldoen en die door de Europese Commissie verder kunnen worden gespecificeerd door middel van gedelegeerde handelingen.

Het heeft ook tot doel de interoperabiliteit tussen gegevensverwerkingsdiensten te waarborgen; dit is van essentieel belang om ervoor te zorgen dat klanten gemakkelijker kunnen overstappen.

Belangrijkste belanghebbenden

Dit hoofdstuk is gericht op deelnemers aan dataruimten die gegevens of op gegevens gebaseerde diensten aanbieden aan andere deelnemers en die het delen van gegevens binnen de dataruimten faciliteren of daaraan deelnemen.

Het richt zich ook op leveranciers van slimme contracten en aanbieders van gegevensverwerkingsdiensten.

In de praktijk

Deelnemers aan dataruimten moeten aan verschillende essentiële eisen voldoen om gegevens binnen en tussen dataruimten te laten stromen. Zo moet een beschrijving van de gegevensstructuren, gegevensformaten en woordenlijsten, indien beschikbaar, openbaar toegankelijk zijn. Daarnaast moet worden gezorgd voor middelen om de interoperabiliteit van overeenkomsten voor het delen van gegevens, zoals slimme contracten, te waarborgen.

De dataverordening bereidt ook de weg voor het vergroten van de interoperabiliteit van dataverwerkingsdiensten door middel van geharmoniseerde normen en open interoperabiliteitsspecificaties.

Daarnaast bevat het eisen voor verkopers van slimme contracten voor de geautomatiseerde uitvoering van overeenkomsten voor het delen van gegevens, bijvoorbeeld om ervoor te zorgen dat zij de bepalingen van de overeenkomst voor het delen van gegevens correct uitvoeren en bestand zijn tegen manipulatie door derden.

De Commissie zal belemmeringen voor interoperabiliteit beoordelen en prioriteit geven aan normalisatiebehoeften, op basis waarvan zij de Europese normalisatie-instellingen kan verzoeken geharmoniseerde normen op te stellen die aan de bovengenoemde eisen voldoen.

Indien het verzoek niet tot een geharmoniseerde norm leidt of indien de norm ontoereikend is om de conformiteit met de dataverordening te waarborgen, kan de Commissie gemeenschappelijke specificaties vaststellen als noodoplossing. Deze moeten op een open en inclusieve manier worden ontwikkeld, rekening houdend met de feedback van het Europees Comité voor gegevensinnovatie.

De lidstaten wijzen een of meer (nieuwe of bestaande) bevoegde autoriteiten aan om de efficiënte uitvoering van de dataverordening te waarborgen. Wanneer er meerdere bevoegde autoriteiten zijn, moeten de lidstaten een van hen aanwijzen als “gegevenscoördinator”. De gegevenscoördinator zal fungeren als “één loket” voor alle kwesties in verband met de uitvoering van de dataverordening op nationaal niveau, waardoor de toepassing ervan voor zowel bedrijven als overheidsinstanties wordt vergemakkelijkt. Als een bedrijf bijvoorbeeld verhaal zoekt voor de schending van zijn rechten uit hoofde van de datawet, moet de datacoördinator (op verzoek) alle nodige informatie verstrekken om hen te helpen hun klacht in te dienen bij de juiste bevoegde autoriteit. De gegevenscoördinator zal ook de samenwerking in grensoverschrijdende situaties vergemakkelijken, bijvoorbeeld wanneer een bevoegde autoriteit van een bepaalde lidstaat niet weet welke autoriteit zij in de lidstaat van de gegevenscoördinator moet benaderen.

De Commissie zal een openbaar register van bevoegde autoriteiten en gegevenscoördinatoren bijhouden.

Het Europees Comité voor gegevensinnovatie zal besprekingen tussen bevoegde autoriteiten vergemakkelijken, bijvoorbeeld om aanbevelingen over de vaststelling van sancties voor inbreuken op de dataverordening te coördineren en goed te keuren. De sancties worden vastgesteld door de bevoegde autoriteiten en volgens de dataverordening moeten er doeltreffende, evenredige en afschrikkende sancties zijn.

De lidstaten kunnen desgewenst gecertificeerde organen voor geschillenbeslechting oprichten om partijen bij te staan die het niet eens kunnen worden over eerlijke, redelijke en niet-discriminerende voorwaarden voor het beschikbaar stellen van gegevens. Het staat de partijen vrij zich tot elk orgaan voor geschillenbeslechting te wenden, hetzij in de lidstaat waar zij zijn gevestigd, hetzij in een andere lidstaat.

Gecertificeerde geschillenbeslechtingsmechanismen en gespecialiseerde bevoegde autoriteiten zullen het voor bedrijven, met name kleine bedrijven, gemakkelijker maken om hun rechten uit hoofde van de dataverordening af te dwingen, aangezien zij de betrokken partijen een eenvoudige, snelle en goedkope oplossing bieden.