De Data Act en jouw contracten: wat moet je aanpassen?

Voor wie geldt de Data Act?

De regels uit de Data Act raken een brede groep partijen. In het bijzonder:

• fabrikanten van verbonden of ‘slimme’ producten en aanbieders van bijbehorende digitale diensten,
• aanbieders van dataverwerkingsdiensten, zoals SaaS-, PaaS- en cloudproviders,
• gebruikers van zulke producten of diensten (bedrijven en particulieren),
• en derden die als potentiële data-ontvangers optreden, zoals reparateurs, dienstverleners of andere bedrijven die met de data aan de slag willen.

Tegelijkertijd zijn er uitzonderingen en twijfelgevallen. Zo vallen bepaalde zeer specifieke of maatwerkoplossingen mogelijk buiten de verplichtingen voor dataverwerkingsdiensten. Denk bijvoorbeeld aan een dataverwerkingsdienst die volledig op maat is gebouwd voor één klant, of software waarvan alle onderdelen uitsluitend zijn ontwikkeld voor dat ene bedrijf en die niet op brede commerciële schaal wordt aangeboden.

Met andere woorden: de Data Act is breed van toepassing, maar er zijn situaties waarin de verplichtingen minder ver gaan. Of dat voor jouw bedrijf geldt, vraagt altijd om een concrete toetsing door een jurist.

Oneerlijke contractvoorwaarden onder de Data Act

In artikel 13 van de verordening staat dat eenzijdig opgelegde contractuele voorwaarden in B2B-relaties met betrekking tot (i) de toegang en het gebruik van gegevens, of (ii) aansprakelijkheid en remedies in geval van schending of beëindiging van gegevensgerelateerde verplichtingen, niet bindend zijn als deze oneerlijk zijn.

Een contractuele bepaling wordt als oneerlijk beschouwd wanneer deze sterk afwijkt van wat in het handelsverkeer gebruikelijk en redelijk is bij de toegang tot en het gebruik van data, en daardoor in strijd is met goede trouw en eerlijke behandeling.

Als bedrijf moet je vooral alert zijn op contractsbepalingen die ertoe leiden dat:

• jouw aansprakelijkheid bij opzet, grove nalatigheid of wanprestatie wordt uitgesloten of beperkt, of dat juist de aansprakelijkheid van de andere partij in zulke gevallen wordt verzwaard.

• de andere partij het recht wordt ontnomen om bij niet-nakoming een beroep te doen op rechtsmiddelen.

• jij het exclusieve recht krijgt om te bepalen of de geleverde data aan de afspraken voldoet, of om een contractuele bepaling naar eigen inzicht uit te leggen.

• jij toegang krijgt tot en gebruik kunt maken van de gegevens van de andere partij op een manier die diens rechtmatige belangen aanzienlijk schaadt, bijvoorbeeld wanneer het gaat om commercieel gevoelige informatie, bedrijfsgeheimen of gegevens die beschermd zijn door intellectuele-eigendomsrechten.

• de andere partij wordt verhinderd om de gegevens die zij tijdens de looptijd van de overeenkomst heeft verstrekt of gegenereerd te gebruiken, of dat dit gebruik zo sterk wordt beperkt dat zij die gegevens niet kan verzamelen, raadplegen, controleren of de waarde ervan benutten.

• de andere partij wordt belemmerd om de overeenkomst binnen een redelijke termijn op te zeggen.

• de andere partij geen kopie kan krijgen van de door haar verstrekte of gegenereerde gegevens, tijdens de looptijd van de overeenkomst of binnen een redelijke termijn na beëindiging daarvan.

• jij de overeenkomst binnen een onredelijk korte termijn kunt opzeggen, zonder rekening te houden met de mogelijkheid voor de ander om tijdig over te stappen naar een alternatieve dienst of met de financiële schade die zo’n opzegging veroorzaakt (tenzij er zwaarwegende redenen zijn).

• jij eenzijdig aanzienlijke wijzigingen kunt doorvoeren in de prijs of in andere essentiële voorwaarden van de overeenkomst (zoals de aard, het formaat, de kwaliteit of de hoeveelheid van de gedeelde data), zonder geldige reden of zonder dat de ander in dat geval het contract mag beëindigen.

Verplichtingen en contractuele afspraken rond datadeling

Datahouders (zoals leveranciers van producten en diensten die toegang hebben tot de data) zijn verplicht om de door hun systemen gegenereerde data te delen met de gebruikers van die producten of diensten. Op verzoek van de gebruiker kan die verplichting zich ook uitstrekken tot het delen van data met derden. Daarnaast kan een datahouder verplicht worden om data te verstrekken aan overheidsinstanties, bijvoorbeeld wanneer er een uitzonderlijke noodzaak bestaat om een taak van algemeen belang uit te voeren.

De Data Act geeft gebruikers dus duidelijke rechten, maar hoe die rechten in de praktijk worden ingevuld, moet via contracten verder worden uitgewerkt. Belangrijke onderwerpen die daarbij geregeld moeten worden zijn onder andere:

• het recht van de datahouder om de gegenereerde data (al dan niet beperkt) zelf te gebruiken en voor welke doeleinden;
• de omvang en reikwijdte van de data die gedeeld moet worden;
• de voorwaarden waaronder de data beschikbaar wordt gesteld (bijvoorbeeld directe toegang of via een technische interface);
• de waarborgen om bedrijfsgeheimen en vertrouwelijke informatie te beschermen;
• eventuele beperkingen of verboden om de data voor bepaalde doeleinden te gebruiken, zoals veiligheids- of concurrentiegevoelige toepassingen.

Gevolgen van de Data Act voor SaaS-contracten

Als SaaS-aanbieder val je in de meeste gevallen onder de noemer dataverwerkingsdienst. Dat betekent dat de Data Act rechtstreeks op jouw dienstverlening van toepassing is. Een van de belangrijkste verplichtingen is dat je klanten de mogelijkheid moet bieden om zonder onnodige drempels over te stappen naar een concurrent of naar hun eigen on-premises ICT-omgeving.

Let op: Als SaaS-aanbieder ben je verplicht om het overstapproces contractueel te regelen. Het is dus niet voldoende om dit alleen “in de praktijk” goed te organiseren. De Data Act schrijft voor dat jouw SaaS-contract in ieder geval afspraken bevat over:

• de manier waarop een klant kan aangeven te willen overstappen of data te laten wissen,
• de termijn waarbinnen dat proces moet plaatsvinden,
• de ondersteuning en informatie die jij als aanbieder moet bieden,
• de beveiliging van data en de continuïteit van de dienstverlening tijdens de overstap,
• welke data de klant precies kan meenemen,
• hoe en wanneer data definitief worden verwijderd,
• eventuele kosten die met de overstap gemoeid zijn,
• en het moment waarop de overeenkomst formeel eindigt.

Data Act en precontractuele informatieplicht

Vóórdat een contract wordt gesloten voor een verbonden product, een bijbehorende dienst of een virtuele assistent, moet de gebruiker vooraf duidelijke informatie ontvangen. Het gaat onder meer om:

• welke data door het product of de dienst wordt gegenereerd,
• of en hoe de gebruiker toegang krijgt tot die data,
• of die data ook wordt gedeeld met derden, en zo ja onder welke voorwaarden,
• hoe bedrijfsgeheimen en persoonsgegevens worden beschermd,
• en in hoeverre de gebruiker de data kan hergebruiken of meenemen bij overstap naar een andere aanbieder.

Deze verplichtingen betekenen dat je je verkoop- en contractdocumentatie kritisch moet herzien. Het is niet voldoende om dit pas in de kleine lettertjes van het contract te regelen: de informatie moet al vóór de contractsluiting duidelijk en transparant beschikbaar zijn.