Een jaar Dataverordening, en een nieuwe verplichting
Sinds 12 september 2025 is de Europese Dataverordening (ook wel de Data Act) van kracht. Deze verordening moet gebruikers meer controle geven over hun eigen data, oneerlijke contractvoorwaarden tegengaan en het overstappen tussen clouddiensten vergemakkelijken, om zo de concurrentie in de data-economie te vergroten. Als je dataverwerkingsdiensten levert, dan kan het geen kwaad te controleren of je voorwaarden aansluiten bij de regels. Ben je fabrikant van zogeheten verbonden producten, controleer dan of jouw ontwerpproces al voldoet aan de nieuwe verplichting die vanaf 12 september 2026 gaat gelden.
In deze blog zoom ik in op een paar regels die voor aanbieders van dataverwerkingsdiensten gelden, en wat de nieuwe verplichting inhoudt.
Aanbieders van dataverwerkingsdiensten
Een dataverwerkingsdienst is kortgezegd iedere dienst waarmee een klant zijn data via internet laat opslaan, verwerken of gebruiken zonder daarvoor zelf servers te beheren (bijvoorbeeld clouddiensten).
Lever je zo’n dienst, dan ben je verplicht om na afloop van de overeenkomst een kopie te verstrekken van alle exporteerbare data, als de klant daarom vraagt. Dat begrip heeft een brede betekenis: in feite vallen alle gegevens die via de dienst worden verwerkt hieronder, zoals documenten, klantgegevens of instellingen die een gebruiker heeft ingevoerd. Een uitzondering geldt voor gegevens die beschermd zijn door intellectuele-eigendomsrechten of die een bedrijfsgeheim vormen.
Ook moet je de klant digitale activa kunnen verstrekken. Dit houdt in dat je de elementen aanlevert die nodig zijn om dezelfde functionaliteit bij een andere leverancier, of in eigen beheer, te laten doorlopen, zoals specifieke gebruiksinstellingen of het beveiligingsbeleid dat bij de dienst hoort. Voorafgaand aan het sluiten van de overeenkomst moet je al beschrijven welke categorieën gegevens en activa je bij beëindiging beschikbaar stelt.
Overstappen naar een andere dataverwerkingsdienst
De klant heeft verder het recht om de overeenkomst, voor zover die betrekking heeft op de verwerking van zijn gegevens, op te zeggen met een opzegtermijn van twee maanden. Maakt een klant gebruik van zijn recht op een kopie van de exporteerbare data, dan start een overstapperiode. Dit is een periode waarin je de klant moet helpen om zijn gegevens over te zetten en opnieuw in te richten bij een andere aanbieder of in eigen beheer. Tijdens die periode moet je als leverancier onder meer redelijke bijstand verlenen, de bedrijfscontinuïteit waarborgen en een hoog beveiligingsniveau handhaven, met name bij het overdragen van de gegevens. Tot 12 januari 2027 mag je nog kosten in rekening brengen voor het faciliteren van een overstap, mits deze niet hoger zijn dan de kostprijs. Daarna moet je die dienstverlening kosteloos aanbieden.
Na de overstapperiode moet je de gegevens van de klant nog een minimale periode beschikbaar houden, en daarna verwijderen, tenzij je wettelijk verplicht bent ze te bewaren of hierover andere afspraken zijn gemaakt.
Deze regels zijn er met name om zogeheten vendor lock-in te voorkomen. Dit is de situatie waarin een klant vastzit aan een leverancier omdat overstappen te duur of te ingewikkeld is gemaakt om alle data over te zetten.
Een nieuwe verplichting voor verbonden producten
Tot slot: voor fabrikanten van verbonden producten (apparaten die met internet of een netwerk verbonden zijn en data verzamelen over hun prestaties, gebruik of omgeving) gaat er een ontwerpeis gelden. Vanaf zaterdag moet ieder nieuw verbonden product, waaronder smart home-apparaten als een slimme thermostaat, zo worden ontworpen dat de gebruiker standaard bij zijn eigen data kan. Die toegang moet kosteloos, veilig en in een machineleesbaar formaat zijn (een bestandsformaat dat een computer direct kan uitlezen). Dit geldt alleen voor producten die na 12 september op de markt worden gebracht; voor bestaande apparatuur blijft gelden dat de gebruiker de data zelf moet kunnen opvragen bij de fabrikant.
Vragen over de Dataverordening en wat deze voor jouw dienstverlening of product betekent? Neem gerust contact op.