BLOG – Op 11 januari vorig jaar trad de Data Act in werking, met een uiteindelijke toepassingsdatum van 12 september 2025. Deze Dataverordening heeft als doel het reguleren van toegang tot data die worden gegenereerd door zogenaamde ‘verbonden producten’, beter bekend als internet of things (iot)-producten, oftewel slimme apparaten, zoals robotstofzuigers, maar ook industriële en medische apparatuur.
Bedrijven die verbonden producten aanbieden, moeten zich goed voorbereiden op de implicaties van deze regelgeving. Wat betekent dit voor de praktijk?
- Bepalingen van de Data Act
Een centraal punt van de verordening is de verplichting om data toegankelijk te maken voor de gebruiker van het product. Dit betreft zowel persoonsgegevens als niet-persoonsgebonden gegevens die via iot-producten worden verzameld.
- Verbonden producten
De Data Act definieert verbonden producten als producten die via het internet gegevens verzamelen of genereren over hun gebruik of omgeving. Naast de al genoemde robotstofzuigers en industriële en medische apparatuur, kun je denken aan producten in huis, zoals slimme deurbellen en wasmachines. Maar denk ook aan connected cars. Omdat deze apparaten continu data genereren, ontstaat er een groeiende vraag naar de manier waarop die data worden gedeeld en benut.
- Wat valt onder ‘data’?
De Data Act hanteert een brede definitie van data, waarbij alle digitale weergaven van activiteiten, feiten of informatie worden bedoeld. Bedrijven die iot-producten ontwikkelen, krijgen meer verantwoordelijkheid voor hoe ze deze gegevens beheren en delen.
- Gegevenshouder en gebruiker
Met de introductie van het begrip ‘gegevenshouder’ wordt het duidelijk wie verantwoordelijk is voor het beheer van de data die door verbonden producten wordt verzameld. De gegevenshouder is de partij die het product aanbiedt en toegang heeft tot de verzamelde data. Tegelijkertijd worden ook de rechten van de ‘gebruiker’ vastgelegd. Een gebruiker wordt gedefinieerd als de natuurlijke of rechtspersoon die een verbonden product in eigendom heeft of het product tijdelijk gebruikt op basis van een contract.
Een belangrijke bepaling van de Data Act is dat gebruikers het recht hebben om toegang te krijgen tot de data die door de verbonden producten worden gegenereerd. De gegevenshouder moet deze data standaard, gemakkelijk en kosteloos toegankelijk maken voor de gebruiker, bijvoorbeeld via api’s. Mocht dit technisch niet mogelijk zijn, moet de data alsnog op verzoek en zonder kosten beschikbaar worden gesteld.
- Beperkingen voor dataontvangers
De Data Act biedt gebruikers de mogelijkheid om de verkregen data met derden te delen, zoals serviceproviders of andere partners. Echter, er zijn strikte beperkingen. Dataontvangers mogen de verkregen data niet gebruiken voor het ontwikkelen van concurrerende producten of diensten, en ze mogen de data ook niet doorverkopen aan andere partijen. Het gebruik van de data moet beperkt blijven tot het specifieke doel waarvoor de gebruiker deze heeft gedeeld.
- Transparantieverplichtingen voor fabrikanten
De Data Act legt strenge verplichtingen op aan fabrikanten en leveranciers van verbonden producten. Zij moeten gebruikers voorafgaand aan een overeenkomst duidelijk informeren over de aard en omvang van de data die hun producten genereren. Dit omvat details over hoe gebruikers toegang krijgen tot hun data, of de fabrikant deze gegevens zelf gebruikt en met welk doel, wie de feitelijke gegevensbeheerder is, en op welke manier gebruikers hun rechten kunnen uitoefenen. Dit vergroot de transparantie en stelt gebruikers in staat om weloverwogen beslissingen te nemen over het gebruik van hun data.
Conclusie
De Data Act heeft vergaande gevolgen voor bedrijven die verbonden producten aanbieden. Het is essentieel om te begrijpen hoe data worden verzameld, gedeeld en beheerd, en om de noodzakelijke stappen te nemen om te voldoen aan de nieuwe wetgeving. Dit houdt niet alleen in dat bedrijven hun producten technisch moeten voorbereiden om de data toegankelijk te maken, maar ook ze de juiste contractuele afspraken nakomen en transparantie richting klanten bieden.
Als bedrijf is het nu het moment om de juridische en technische gevolgen van de Data Act te onderzoeken en de processen gelijk te schakelen aan de verplichtingen die in de wet zijn vastgelegd.
Erwin Paul Mazaira is advocaat intellectueel eigendom en it-recht
