EU Data Act: welke regels gelden voor het delen van data?

Gepubliceerd op 23 juni 2026 · Laatst bijgewerkt op 9 oktober 2026

De EU Data Act (Verordening (EU) 2023/2854) geldt sinds 12 september 2025 en geeft gebruikers van verbonden producten, zoals slimme apparaten, machines en voertuigen, recht op toegang tot de data die zij met dat product genereren. Fabrikanten moeten producten die na 12 september 2026 op de markt komen zo ontwerpen dat die data direct toegankelijk is; voor producten en diensten van micro- en kleine ondernemingen gelden deze toegangsplichten in de regel niet.

Daarnaast regelt de verordening eerlijke voorwaarden in datacontracten tussen bedrijven, overstappen tussen clouddiensten en toegang voor overheden bij uitzonderlijke noodzaak. De Data Act is op 11 januari 2024 in werking getreden en raakt sectoren van de maakindustrie en energie tot de zorg en de auto-industrie.

Wat regelt de Data Act?

De Data Act maakt deel uit van de Europese datastrategie, die erop gericht is Europa’s concurrentiepositie op het gebied van de data-economie te versterken. De verordening stelt regels vast over wie toegang heeft tot data die wordt gegenereerd door het gebruik van producten of diensten, en onder welke voorwaarden die data gedeeld moet worden. Het gaat daarbij niet om een algemeen recht op alle data, maar om een stelsel van zes specifieke clusters: toegang van gebruikers tot product- en dienstgegevens, B2B-deling op eerlijke voorwaarden, publieke toegang bij uitzonderlijke noodzaak, overstappen tussen dataverwerkingsdiensten, bescherming tegen internationale overheidstoegang tot niet-persoonsgebonden gegevens, en interoperabiliteit.

Welke ontwerpplicht geldt voor verbonden producten?

Verbonden producten moeten zodanig worden ontworpen en vervaardigd dat de gegenereerde data standaard, gemakkelijk, veilig, kosteloos en in een machineleesbaar formaat rechtstreeks toegankelijk is voor de gebruiker. Gebruikers van verbonden producten – denk aan smart home-apparaten, industriële machines of voertuigen – krijgen daarmee het recht op toegang tot de data die hun gebruik van dat product genereert. Fabrikanten en dienstverleners mogen die data niet langer exclusief voor zichzelf houden.

Belangrijk is dat deze verplichting een gefaseerde inwerkingtreding kent. Hoewel de Data Act als geheel van toepassing is vanaf 12 september 2025, geldt de ontwerp- en fabricageverplichting voor verbonden producten pas voor producten die na 12 september 2026 in de handel worden gebracht. Bestaande producten vallen daar dus nog niet onder.

Wanneer is een beding in een B2B-datacontract oneerlijk?

Een eenzijdig opgelegd beding bindt de wederpartij niet als het sterk afwijkt van goede handelspraktijken en in strijd is met de goede trouw. De overige bepalingen van het contract blijven dan in stand.

De verordening bevat specifieke regels over contractuele bedingen in B2B-datacontracten. Een beding dat eenzijdig door een onderneming is opgelegd aan een andere onderneming, bindt de wederpartij niet indien het oneerlijk is. Van eenzijdige oplegging is sprake wanneer de andere partij ondanks een poging om te onderhandelen geen invloed op de inhoud heeft kunnen uitoefenen. De bewijslast hiervan rust op de partij die het beding heeft laten opnemen.

Een beding is oneerlijk indien het gebruik ervan sterk afwijkt van goede handelspraktijken en in strijd is met de goede trouw en eerlijke behandeling. De verordening noemt als voorbeelden bedingen die aansprakelijkheid voor opzet of grove nalatigheid uitsluiten, de wederpartij beletten haar eigen data te gebruiken, eenzijdige beëindiging op onredelijk korte termijn toestaan, of aanzienlijke prijs- of andere wezenlijke wijzigingen eenzijdig mogelijk maken. Het rechtsgevolg is dat het oneerlijke beding de wederpartij niet bindt, terwijl de overige contractuele bepalingen in stand blijven voor zover het beding scheidbaar is.

Hoe verhoudt de Data Act zich tot de AVG?

De AVG blijft volledig gelden. Persoonsgegevens van een ander dan de gebruiker mag u alleen verstrekken met een rechtsgrond uit artikel 6 AVG.

De Data Act staat naast de Algemene Verordening Gegevensbescherming, maar er bestaat een belangrijke wisselwerking. De verordening ziet ook op persoonsgegevens, maar maakt die niet los van het gegevensbeschermingsrecht. Wanneer de gebruiker niet het datasubject is van wie de persoonsgegevens worden opgevraagd, mogen die persoonsgegevens alleen worden verstrekt als daarvoor een geldige rechtsgrond bestaat op grond van artikel 6 AVG. De Data Act creëert daarmee geen zelfstandige uitzondering op de AVG: datatoegang op grond van de Data Act ontslaat partijen niet van hun AVG-verplichtingen, en geeft evenmin een grondslag voor verdere bewaring of hergebruik van de verstrekte gegevens buiten het doel waarvoor zij zijn verkregen.

Wat regelt de Data Act voor overstappen naar een andere cloudaanbieder?

Aanbieders mogen het overstappen niet belemmeren en moeten de overdracht binnen een overgangsperiode van maximaal dertig dagen afronden. Vanaf 12 januari 2027 mogen zij geen overstapkosten meer in rekening brengen.

Een afzonderlijk hoofdstuk verplicht aanbieders van dataverwerkingsdiensten om overstappen naar een andere aanbieder eenvoudiger te maken. Zij mogen geen precommerciële, commerciële, technische, contractuele of organisatorische belemmeringen opwerpen die klanten hinderen bij het overstappen. Vanaf 12 januari 2027 mogen aanbieders van dataverwerkingsdiensten klanten geen overstapkosten meer in rekening brengen. De feitelijke overdracht van data en configuraties moet direct plaatsvinden en in geen geval na een verplichte overgangsperiode van maximaal dertig dagen. Voor organisaties die sterk afhankelijk zijn van één cloudleverancier biedt dit nieuwe onderhandelingsruimte bij contractsverlenging of -heronderhandeling.

Wanneer mag de overheid uw data opvragen?

Alleen bij uitzonderlijke noodzaak, zoals een publieke noodsituatie, en onder strikte voorwaarden van evenredigheid. Bij een noodsituatie levert u de data in beginsel kosteloos.

De verordening biedt overheidsinstanties onder strikte voorwaarden de mogelijkheid om bij uitzonderlijke noodzaak – zoals een publieke noodsituatie – toegang te vorderen tot privédata. Andere gegevenshouders dan micro-ondernemingen en kleine ondernemingen zijn in dat geval verplicht de benodigde data kosteloos beschikbaar te stellen. In andere gevallen van uitzonderlijke noodzaak heeft de gegevenshouder recht op een eerlijke vergoeding. Deze bevoegdheid is gebonden aan de in de verordening genoemde voorwaarden van proportionaliteit en subsidiariteit.

Wie houdt in Nederland toezicht op de Data Act?

De Autoriteit Consument en Markt houdt toezicht op het grootste deel van de verordening. De Autoriteit Persoonsgegevens is bevoegd voor de onderdelen met persoonsgegevens.

In Nederland is de handhaving inmiddels wettelijk ingekaderd in de Uitvoeringswet dataverordening. De Autoriteit Consument en Markt is de bevoegde autoriteit voor het grootste deel van de verordening, waaronder de hoofdstukken over productdata, B2B-deling, en cloudportabiliteit. De Autoriteit Persoonsgegevens is bevoegd voor de privacygevoelige onderdelen en voor verwerking van persoonsgegevens binnen bepaalde artikelen en hoofdstuk V. Beide autoriteiten kunnen binnen hun eigen domein handhavend optreden met een last onder bestuursdwang of een bestuurlijke boete. De uitvoeringswet voorziet bovendien in een samenwerkings- en informatie-uitwisselingsregeling tussen ACM en AP, zodat beide toezichthouders bij overlappende vraagstukken gecoördineerd kunnen optreden.

Wat moet uw onderneming nu doen?

Toets uw productontwerp, uw datacontracten en uw cloudcontracten aan de Data Act.

Bedrijven die verbonden producten ontwikkelen, importeren of distribueren, doen er verstandig aan hun productontwerp en contractuele structuur nu al te toetsen aan de Data Act. Voor producten die na 12 september 2026 op de markt komen, geldt de ontwerp- en toegankelijkheidsverplichting onverkort. Voor dienstverlenende partijen die data verwerken namens gebruikers, is het zaak te inventariseren welke data-uitwisselingsverplichtingen op hen van toepassing zijn en of bestaande overeenkomsten – inclusief eenzijdig opgestelde dataclausules – daarmee in lijn zijn.

Waar let u als fabrikant of gegevenshouder op?

• Ontwerp producten die na 12 september 2026 op de markt komen zo dat de gebruiker de data direct en kosteloos kan inzien.
• Informeer de koper of huurder vóór het sluiten van de overeenkomst welke data het product genereert (artikel 3 lid 2).
• Toets uw standaard datacontracten op bedingen die als oneerlijk kunnen gelden.
• Ga na of u als micro- of kleine onderneming onder de uitzondering van artikel 7 valt.

Waar let u als gebruiker of afnemer van data op?

• Vraag de data van uw verbonden product op bij de gegevenshouder als die niet direct toegankelijk is.
• Laat eenzijdig opgelegde bedingen die uw datagebruik beperken toetsen; zij binden u mogelijk niet.
• Controleer of uw cloudcontract lange overstaptermijnen of overstapkosten bevat.
• Houd bij het gebruik van persoonsgegevens van anderen rekening met de AVG.

Wat kunnen wij voor u doen bij de EU Data Act?

Wij adviseren ondernemingen over de Data Act binnen het ICT-recht.

• Wij beoordelen of uw producten en diensten onder de Data Act vallen en of de uitzondering voor micro- en kleine ondernemingen (artikel 7) geldt.
• Wij toetsen uw B2B-datacontracten op oneerlijke bedingen en stellen nieuwe dataclausules op.
• Wij beoordelen cloudcontracten op overstaptermijnen en overstapkosten, met het oog op 12 januari 2027.
• Wij stemmen datadeling af op de AVG, inclusief de rechtsgrond van artikel 6 AVG.
• Wij staan u bij als de ACM of de AP handhavend optreedt, en maken binnen zes weken bezwaar tegen een besluit (art. 6:7 Awb).

Samengevat

• De Data Act (Verordening (EU) 2023/2854) geldt sinds 12 september 2025.
• De ontwerpplicht voor verbonden producten geldt voor producten die na 12 september 2026 op de markt komen.
• Eenzijdig opgelegde oneerlijke bedingen in B2B-datacontracten binden de wederpartij niet.
• Vanaf 12 januari 2027 mogen cloudaanbieders geen overstapkosten meer rekenen.
• In Nederland houden de ACM en de AP toezicht.

Veelgestelde vragen

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.