In januari 2024 trad de Europese Datawet (de EU Data Act) in werking, waarmee een nieuw tijdperk in databeheer in alle sectoren van de Europese Unie (EU) werd ingeluid.
De EU Data Act is bedoeld om de eerlijkheid bij de waardetoevoeging te bevorderen, een concurrerende datamarkt te bevorderen, innovatie te stimuleren en de toegankelijkheid van data te verbeteren. Hoewel de nadruk in de eerste plaats ligt op industriële, niet-persoonlijke gegevens, is het relevant voor overwegingen op het gebied van gegevensbescherming.
De EU Data Act introduceert veranderingen, zoals het verlenen van toegang en gebruiksrechten aan gebruikers en derden tot gegevens van verbonden apparaten, het uitbreiden van de toegang tot beperkte gegevens voor specifieke groepen, en het instellen van nieuwe compensatie-, portabiliteit- en overdrachtsgaranties voor niet-persoonlijke gegevens. Het navigeren door de EU-Datawet brengt echter uitdagingen met zich mee, waaronder het waarborgen van consistentie met de AVG, het afstemmen op andere bestaande instrumenten en het aanpakken van potentiële conflicten met contractuele rechten, concurrentievermogen en rechten ter bescherming van handelsgeheimen.
De EU-Datawet verplicht ‘gegevenshouders’ (gedefinieerd als natuurlijke of rechtspersonen, bijvoorbeeld mensen en bedrijven) om persoonlijke en niet-persoonlijke gegevens te delen die worden verkregen, gegenereerd of verzameld van gegevensontvangers (gedefinieerd als natuurlijke of rechtspersonen aan wie gegevenshouders stellen gegevens voor commerciële doeleinden beschikbaar aan niet-gebruikers), door middel van ‘verbonden producten’, ‘gerelateerde diensten’ en ‘virtuele assistenten’.
De EU-Datawet heeft een extraterritoriale reikwijdte. Het is, ongeacht de plaats van vestiging, van toepassing op een verscheidenheid aan entiteiten:
Fabrikanten van verbonden producten – b.v. verbonden auto’s, slimme apparaten voor thuisgebruik, medische apparatuur en aanbieders van aanverwante diensten, wanneer dergelijke producten en diensten in de EU op de markt worden gebracht.
Publieke lichamen van EU-lidstaten of instellingen, agentschappen of organen van de EU die gegevenshouders verzoeken gegevens beschikbaar te stellen in geval van uitzonderlijke behoeften (bijvoorbeeld openbare noodsituaties).
Aanbieders van gegevensverwerkingsdiensten – met name clouddiensten zoals SaaS, PaaS, IaaS zoals geregeld in de EU-cloudstrategie, en aanbieders van edge-diensten zoals opgenomen in de Europese strategie voor data – die dergelijke diensten aanbieden aan klanten in de Unie.
Deelnemers aan dataruimtes, verkopers van applicaties die slimme contracten gebruiken en personen wier handel, bedrijf of beroep de inzet van slimme contracten voor anderen inhoudt.
Toegang tot data. Op verzoek van een gegevensontvanger moeten de gegevenshouders toegang verlenen tot bepaalde gegevens.
Gegevens delen met derde partijen. Gegevenshouders zijn verplicht om gegevens ter beschikking te stellen aan derden op grond van overeenkomsten voor het delen van gegevens.
Het delen van gegevens met overheidsinstanties. Gegevenshouders zijn verplicht gegevens ter beschikking te stellen aan publieke instanties in geval van publieke calamiteiten.
Ontwerpvereisten en transparantie. Verplichtingen voor fabrikanten om hun producten zo te ontwerpen dat gegevens die door die producten worden gegenereerd of vastgelegd, gratis en idealiter rechtstreeks beschikbaar zijn voor gebruikers van het product.
Onwettige internationale toegang en overdracht door de overheid. Het voorkomen van toegang en overdracht door internationale overheden en overheden van derde landen van niet-persoonlijke gegevens die in de EU worden bewaard, wat een conflict met het EU-recht zou kunnen veroorzaken.
In tegenstelling tot de AVG, die zich beperkt tot persoonsgegevens, is de EU-Gegevenswet van toepassing op zowel persoonsgegevens als niet-persoonsgegevens, waardoor het toepassingsgebied ervan breder is.
De EU-Datawet maakt echter duidelijk dat deze geen afbreuk doet aan de AVG, die de bevoegdheden en bevoegdheden van toezichthoudende autoriteiten en de rechten van betrokkenen omvat. Wanneer persoonlijke gegevens worden gegenereerd uit verbonden producten of gerelateerde diensten, moet dus worden voldaan aan de vereisten van zowel de Datawet als de AVG.
Hoewel de EU-Datawet op 11 januari 2024 in werking is getreden, begint de toepasbaarheid op 12 september 2025.
Deze deadline is ook van toepassing op lidstaten die de Europese Commissie informeren over nationale regels met betrekking tot boetes voor niet-naleving, evenals de vrijgave door de Europese Commissie van niet-bindende modelcontractvoorwaarden over gegevenstoegang en -gebruik, en de niet-bindende standaardcontractbepalingen voor cloud computing-contracten. .
Bepalingen over ontwerp- en productievereisten en oneerlijke contractvoorwaarden hebben de implementatiedata gespreid. Deze omvatten:
De bepaling over ontwerp- en productievereisten voor vereenvoudigde gegevenstoegang is van toepassing op verbonden producten en aanverwante diensten die na 12 september 2026 op de markt worden gebracht.
Bepalingen over oneerlijke contractuele bedingen zijn van toepassing op contracten die na 12 september 2025 zijn gesloten. Dergelijke bepalingen zijn vanaf 12 september 2027 van toepassing op specifieke contracten die op of vóór 12 september 2025 zijn gesloten.
Bepalingen met betrekking tot wettelijke verplichtingen op het gebied van het delen van gegevens zijn van toepassing op het EU-recht of de nationale wetgeving die in overeenstemming daarmee is aangenomen en die na 12 september 2025 in werking treedt.
De EU Data Act markeert een transformatieve stap in data governance, emp met het oog op toegankelijkheid, eerlijkheid en innovatie. Het navigeren door de bepalingen ervan en het afstemmen op bestaande regelgeving brengt uitdagingen met zich mee, maar de impact van de EU Data Act op de datadynamiek binnen de EU kan niet genoeg worden benadrukt. Terwijl bedrijven en entiteiten zich aan deze veranderingen aanpassen, ontstaat er een transparanter, competitiever en toegankelijker datalandschap.