De Data Act (Dataverordening) gaat de spelregels rond data uit IoT-producten en connected services flink veranderen. Waar het nu vaak de fabrikant of softwareleverancier is die de data “in handen heeft”, verschuift het zwaartepunt straks naar de gebruiker. Dat betekent: de eigenaar of huurder van een slim product – of het nu een melkrobot, slimme thermostaat of SaaS-platform is – krijgt zeggenschap over de gegevens die dat product genereert.
Voor IoT-founders en product leads is dit geen theoretische discussie. Het raakt je businessmodel, je API-design én je contracten. Wie toegang moet bieden, hoe je dat veilig doet, en of je kosten mag rekenen voor datadeling: dat zijn de vragen die vanaf september 2025 bepalend zijn voor je compliance en je commerciële strategie.
Van black box naar toegang by design
De kern van de Data Act is dat gebruikers toegang moeten krijgen tot de data die een verbonden product genereert. Vanaf 12 september 2025 geldt dat je data op verzoek moet delen; vanaf 12 september 2026 moeten nieuwe IoT-producten in principe zelfs standaard zo zijn ontworpen dat gebruikers hun data rechtstreeks kunnen exporteren.
“Directe toegang” betekent concreet: geen omslachtig supportticket, maar een downloadknop, een API-endpoint of een self-service portal. Het formaat moet gangbaar en machineleesbaar zijn (denk JSON of CSV, niet PDF). Het moet veilig, maar zonder verborgen drempels of dark patterns.
Waar moet je vooraf transparant over zijn?
Nog vóórdat een klant jouw device koopt of jouw connected service afneemt, moet je duidelijk maken:
- welk type data wordt verzameld;
- in welk formaat en met welke frequentie;
- hoe en waar de data wordt opgeslagen;
- hoe de gebruiker data kan inzien, exporteren of wissen;
- wat er met de data gebeurt bij beëindiging van het contract.
Voor veel IoT-founders betekent dit dat je een soort “data factsheet” moet ontwikkelen: een overzicht dat niet alleen marketingtaal bevat, maar ook harde info over formaten, volumes en retentie.
De lastige balans: toegang vs. bedrijfsgeheimen
Wat als jouw sensordata óók inzichten prijsgeeft die je liever niet deelt met concurrenten? De Data Act maakt hier onderscheid. Ruwe gebruiksdata en metadata moeten in principe gedeeld worden, maar afgeleide analyses (bijvoorbeeld je algoritmes of voorspellende modellen) mag je beschermen.
Bedrijfsgeheimen zijn een expliciete uitzondering: je mag toegang weigeren als delen waarschijnlijk leidt tot ernstige en onherstelbare economische schade. Wel moet je dit goed onderbouwen, maatregelen nemen om geheimen te beschermen en de weigering melden bij de ACM.
Contracten: FRAND, geen oneerlijke bedingen
Een belangrijk stuk van de Data Act gaat niet over techniek, maar over contracten. Data mag je alleen onder FRAND-voorwaarden delen: Fair, Reasonable, Non-Discriminatory. Dat klinkt abstract, maar denk aan:
- geen buitensporige beperkingen;
- geen verborgen aansprakelijkheidsclausules;
- geen discriminatie tussen partijen die vergelijkbare data vragen.
Bepalingen die de rechten van de gebruiker onder de Data Act uitsluiten of beperken, zijn sowieso ongeldig. De Europese Commissie komt daarnaast met modelcontractvoorwaarden (MCT’s) die je kunt gebruiken om je overeenkomsten Data Act-proof te maken.
Mag je geld vragen voor data-toegang?
Ja, maar met beperkingen. Voor de gebruiker zelf moet toegang kosteloos zijn. Voor een derde partij (bijvoorbeeld een onderhoudsbedrijf dat namens de gebruiker data opvraagt) mag je een vergoeding rekenen. Die vergoeding mag nooit worden gezien als “betaling voor de data zelf”, maar alleen als dekking van de kosten voor beschikbaarstelling: formattering, opslag, API-calls.
Ben je gegevenshouder? Dan moet je transparant zijn over hoe je die vergoeding berekent. Micro- en kleine ondernemingen die data ontvangen, mogen bovendien maar een zeer beperkte kostendoorbelasting krijgen.
Wat betekent dit concreet voor IoT-founders?
- Productdesign: ontwerp je devices en apps met exportmogelijkheden (“access by design”), met duidelijke metadata zodat data bruikbaar is.
- Contracten: actualiseer je SaaS-contracten, SLA’s en verwerkersovereenkomsten. Neem FRAND-clausules, tariefbijlagen en vertrouwelijkheidsbepalingen op.
- Businessmodel: heroverweeg of je verdienmodel gebaseerd is op data-monopolie. De Data Act dwingt tot meer openheid, maar laat ruimte voor marge via servicekwaliteit, analyses en support.
- Compliance: check overlap met de AVG (persoonsgegevens), NIS2 (security), en de Cyber Resilience Act.
Voor IoT-bedrijven is dit hét moment om na te denken over je databeleid, contractstrategie en technische architectuur. Wie het goed regelt, wint vertrouwen van klanten en loopt straks niet achter de feiten aan als de ACM aanklopt.
Wil je sparren over wat de Data Act concreet betekent voor jouw IoT-product of platform? Neem contact met ons op. We helpen je om je contracten en businessmodel toekomstbestendig te maken.
