De Data Act verplicht fabrikanten en aanbieders van verbonden producten om gebruikers toegang te geven tot de data die hun IoT-apparaten genereren. Voor bedrijven die afhankelijk zijn van operationele data uit sensoren, machines of voertuigen betekent dit een fundamentele verschuiving in de contractuele en feitelijke allocatie van datarechten. De verordening is reeds sinds 12 september 2025 van toepassing.
Wie kwalificeert als gebruiker onder de Data Act?
Onder de Data Act kwalificeert degene die een verbonden product bezit, huurt of least, of een gerelateerde dienst afneemt, als gebruiker. Een productiebedrijf dat industriële sensoren inzet, een logistieke onderneming met een verbonden wagenpark of een retailer met smart-building-infrastructuur kan dus aanspraak maken op de gegenereerde data.
Het toegangsrecht omvat niet alleen de ruwe sensordata, maar ook de metadata die nodig zijn om de data te interpreteren en bruikbaar te maken. Fabrikanten en gegevenshouders moeten deze data kosteloos, tijdig, continu en (waar technisch mogelijk) in real time beschikbaar stellen, in een gestructureerd, gangbaar en machineleesbaar formaat. Dit doorbreekt de praktijk waarin fabrikanten data achter gesloten ecosystemen en propriëtaire platforms hielden.
Artikel 5 introduceert daarnaast het recht om data met derden te delen. De gebruiker kan de gegevenshouder verplichten data rechtstreeks aan een door hem aangewezen derde te verstrekken. Dit faciliteert het inschakelen van onafhankelijke dienstverleners voor onderhoud, optimalisatie of data-analyse, zonder afhankelijkheid van de oorspronkelijke fabrikant. De implicaties voor ICT-contracten en leveranciersrelaties zijn aanzienlijk.
Beperkingen en bescherming van bedrijfsgeheimen
De Data Act kent geen onbeperkt recht op data. Artikel 4 lid 6 bepaalt dat de verplichting tot beschikbaarstelling niet verplicht tot openbaarmaking van bedrijfsgeheimen in de zin van Richtlijn (EU) 2016/943, tenzij passende maatregelen worden getroffen om de vertrouwelijkheid te waarborgen. In uitzonderlijke omstandigheden mag de gegevenshouder een verzoek per geval zelfs weigeren wanneer hij aantoont zeer waarschijnlijk ernstige economische schade te lijden (artikel 4 lid 8). In de praktijk betekent dit dat fabrikanten en gegevenshouders contractuele en technische waarborgen mogen eisen voordat zij bedrijfsgevoelige data delen.
De spanning tussen datatoegang en bescherming van bedrijfsgeheimen vergt zorgvuldige contractuele uitwerking. Partijen zullen moeten vastleggen welke data als bedrijfsgeheim kwalificeert, welke beveiligingsmaatregelen adequaat zijn en hoe geschillen over de reikwijdte van het toegangsrecht worden beslecht. De verordening biedt een kader, maar de concrete invulling is een kwestie van onderhandeling en contractontwerp.
Contractuele implicaties voor IoT-inkoop en leveranciersmanagement
De Data Act grijpt direct in op bestaande en toekomstige contractuele verhoudingen. Eenzijdig opgelegde, oneerlijke bedingen over toegang tot en gebruik van data zijn op grond van artikel 13 niet bindend jegens de onderneming waaraan zij zijn opgelegd. Exclusiviteitsclausules en contractuele beperkingen op datagebruik die vóór de inwerkingtreding gangbaar waren, zijn sindsdien onafdwingbaar voor zover zij in strijd zijn met de verordening of als oneerlijk kwalificeren.
Voor de inkoopafdeling en IT-management betekent dit dat bestaande IoT-contracten moeten worden gescreend op bepalingen die onder de Data Act niet langer standhouden. Nieuwe contracten vereisen expliciete clausules over datatoegang, formaten, API-specificaties en de procedure voor data-export naar derden. De allocatie van verantwoordelijkheden voor AVG-compliance bij persoonsgegevens in dezelfde datastroom vergt bijzondere aandacht.
De verordening introduceert ook “eerlijkheidsvereisten” voor datadelingsovereenkomsten tussen ondernemingen. Artikel 8 bepaalt dat vergoedingen voor het verstrekken van data aan derden redelijk en niet-discriminerend moeten zijn. Dit beperkt de ruimte voor fabrikanten om via excessieve prijsstelling alsnog feitelijke lock-in te realiseren.
Verhouding tot NIS2 en cybersecurityverplichtingen
De verplichting tot real-time datatoegang en delen met derden roept vragen op over cybersecurity. Artikel 11 van de Data Act staat de gegevenshouder toe passende technische beschermingsmaatregelen te treffen – zoals encryptie en slimme contracten – om ongeoorloofde toegang te voorkomen en de integriteit van de data te waarborgen, mits deze maatregelen de rechten van de gebruiker niet belemmeren. Dit sluit aan bij de bredere verplichtingen onder NIS2 voor entiteiten die als essentieel of belangrijk kwalificeren.
De interactie tussen de Data Act en NIS2 vergt een geïntegreerde benadering van datagovernance en cybersecurity. Toegangsrechten moeten worden geïmplementeerd zonder de beveiliging van operationele technologie te compromitteren. Dit vraagt onder meer om identity- en accessmanagement met granulaire controle, audit trails die naleving aantonen, en incidentresponsprocedures die rekening houden met datadelingsscenario’s.
Gevolgen voor leveranciersafhankelijkheid en vendor lock-in
Een expliciete doelstelling van de Data Act is het tegengaan van vendor lock-in en het bevorderen van concurrentie. Door gebruikers het recht te geven data te delen met onafhankelijke dienstverleners, worden fabrikanten gedwongen te concurreren op kwaliteit en prijs in plaats van op controle over data.
Voor afnemers van IoT-oplossingen opent dit mogelijkheden voor multivendor-strategieën en een gerichte selectie van dienstverleners. De transitie vergt echter actieve regie. Zonder duidelijke governance over welke data aan welke partijen wordt verstrekt, en onder welke voorwaarden, ontstaat fragmentatie en potentiële inconsistentie in het operationele datalandschap.
Handhaving en sancties onder de Data Act
De Data Act voorziet in nationale handhaving door bevoegde autoriteiten die de lidstaten op grond van artikel 37 aanwijzen. Artikel 40 bepaalt dat sancties doeltreffend, evenredig en afschrikkend moeten zijn; de verordening schrijft geen specifieke boetebedragen voor, maar laat dit aan nationaal recht. De verwachting is dat lidstaten aansluiten bij de sanctieregimes van vergelijkbare verordeningen.
Naast publiekrechtelijke handhaving creëert de Data Act civielrechtelijke aanspraken. Gebruikers die geen toegang krijgen tot data waarop zij recht hebben, kunnen nakoming vorderen en schadevergoeding claimen. Dat maakt de verordening direct relevant voor contractuele geschillen en arbitrageprocedures over IoT-leveringen.
Juridische ondersteuning nodig bij implementatie Data Act?
Prioriteiten zijn een actuele inventarisatie van verbonden producten binnen de organisatie, een analyse van bestaande contracten op conformiteit met de Data Act, en een datagovernancestructuur die toegangsverzoeken daadwerkelijk kan verwerken. Organisaties die zelf verbonden producten aanbieden, moeten hun technische architectuur en businessmodellen blijvend toetsen aan de verplichtingen.
De wisselwerking met de AI Act verdient bijzondere aandacht. IoT-data vormt namelijk vaak de input voor machine-learningmodellen. De rechten die gebruikers onder de Data Act op deze data verkrijgen, hebben implicaties voor de trainingsdata van AI-systemen en de intellectuele eigendom die daaruit voortvloeit. Een geïntegreerde benadering van data-, AI- en IP-strategie is daarom aangewezen.
Wij ondersteunen bedrijven bij de implementatie van de Data Act. Neem gerust contact met ons op, we helpen je graag.
