Inwerkingtreding van de Data Act op 12 september 2025: is uw onderneming er klaar voor?
Vanaf 12 september 2025 treedt de Dataverordening (Data Act) in werking (en dit bijna volledig). Deze verordening betekent een keerpunt in de manier waarop bedrijven gegevens moeten beheren en delen, dit met name voor bedrijven die actief zijn op het gebied van het IoT (internet der dingen) en bedrijven die gegevensverwerkingsdiensten aanbieden (SaaS, IaaS, PaaS, enz.).
Zorgen voor de nodige conformiteit is dus niet langer een optie, maar een wettelijke vereiste, waarbij niet-naleving gepaard gaat met sancties.
Wat verandert er vandaag voor uw onderneming ?
De Data Act legt een reeks verplichtingen op, waaronder men terug kan vinden :
- Verplichting tot het delen van IoT-gegevens: de verordening legt de verplichting op om aan gebruikers (en door hen aangewezen derden) toegang te verlenen tot de gegevens die worden gegenereerd door verbonden producten, aanverwante diensten en virtuele assistenten (voor zover deze interactie hebben met een verbonden product of een aanverwante dienst). Zo zou de gebruiker van een verbonden voertuig toegang kunnen vragen tot de door dat voertuig gegenereerde gegevens, maar ook kunnen verzoeken om deze gegevens te delen met een derde partij, bijvoorbeeld een garage die gespecialiseerd is in het repareren van verbonden voertuigen of de leverancier van een applicatie waarmee de prestaties van het voertuig kunnen worden geëvalueerd.
- Verplichting tot precontractuele informatieverstrekking: voordat een overeenkomst wordt gesloten met betrekking tot een verbonden product, een aanverwante dienst of een virtuele assistent, moet een reeks informatie verplicht aan de gebruikers worden verstrekt (bijvoorbeeld het geschatte volume, het type en het formaat van de gegevens, de bewaartermijn ervan, of de wijze waarop de gebruiker toegang kan krijgen tot de gegevens)
- Bescherming tegen oneerlijke bedingen: de Data Act verbiedt bepaalde bedingen die als oneerlijk worden beschouwd in contracten met betrekking tot de toegang tot en het gebruik van gegevens. Dit geldt niet alleen voor IoT-gegevens die onder de deelverplichtingen van de Data Act vallen, maar ook voor gegevens die onder andere wettelijke deelverplichtingen vallen.
- Toegang tot gegevens door de publieke sector: bedrijven die over gegevens beschikken, kunnen door een publieke instantie, de Europese Commissie, de Europese Centrale Bank of een orgaan van de Unie worden verzocht deze gegevens te delen in een noodsituatie of, onder bepaalde voorwaarden, voor de uitvoering van een specifieke taak van algemeen belang.
- Verandering van gegevensverwerkingsdienst: de Data Act heeft tot doel de overstap van de ene gegevensverwerkingsdienst naar de andere (bijvoorbeeld SaaS-, IaaS- of PaaS-diensten) te vergemakkelijken. In dit verband verplicht de wet dienstverleners om een aantal operationele en contractuele maatregelen te nemen.
- Onrechtmatige toegang tot en onrechtmatige doorgifte van niet-persoonsgebonden gegevens: de Data Act verplicht gegevensverwerkers bovendien om passende technische, juridische en organisatorische maatregelen (met name contractuele maatregelen) te nemen om te voorkomen dat overheidsinstanties van derde landen toegang krijgen tot niet-persoonsgebonden gegevens en ze deze kunnen doorgeven in strijd met de nationale of Europese wetgeving.
- Interoperabiliteit en slimme contracten: de Data Act stelt eisen aan de interoperabiliteit van gegevensruimten (bijvoorbeeld de toekomstige Europese Ruimte voor Gezondheidsgegevens (EHDS)). Daarnaast worden er eisen gesteld aan de implementatie van slimme contracten in het kader van de uitvoering van overeenkomsten inzake gegevensuitwisseling. Op deze gebieden zouden geharmoniseerde normen moeten worden ontwikkeld.
Hoe kan men zich voorbereiden en aanpassen ?
Om te voldoen aan de Data Act is het noodzakelijk om de praktijken van uw onderneming te analyseren en indien nodig aan te passen. Dit houdt met name in:
- De soorten diensten en gegevens waarop de wettelijke verplichtingen van toepassing zijn, identificeren;
- Uw contracten herzien en aanpassen;
- Documenten met precontractuele informatie opstellen;
- Een strategie voor het delen van gegevens opstellen (zowel voor het IoT als voor gegevensverwerkingsdiensten) waarin duidelijk wordt bepaald welke gegevens wettelijk moeten worden gedeeld en welke niet;
- Een procedure voor het behandelen van verzoeken om IoT-gegevens te delen en/of van gegevensverwerkingsdienst te veranderen integreren in de interne processen (te coördineren met de procedures die van toepassing zijn op verzoeken met betrekking tot de AVG);
- De maatregelen analyseren die moeten worden genomen om onrechtmatige internationale toegang tot en overdracht van niet-persoonsgegevens te voorkomen.
Ons advies:
Ons team van specialisten ondersteunt bedrijven bij de nodige stappen met het oog op het naleven van de Data Act. Dankzij onze expertise kunnen wij u concrete oplossingen bieden die zijn afgestemd op uw activiteiten en de specifieke uitdagingen waarmee u wordt geconfronteerd.
Aarzel niet om contact met ons op te nemen voor een analyse van de toepassing van de Data Act op uw onderneming en voor het opstellen van een concreet actieplan!
