Data Act: directe en indirecte toegang tot gegevens

Tegenwoordig zijn steeds meer producten aangesloten op het internet, zoals:

• deurbellen met camera’s,
• smart tv’s,
• slimme koelkasten, en
• bedienbare verlichting.

In de EU Data Act (Verordening 2023/2854), (“Data Act”) die van toepassing is sinds 12 september 2025, worden deze producten aangeduid als “verbonden producten”. Tijdens het gebruik van deze producten worden uiteenlopende gegevens gegenereerd. Deze gegevens vertegenwoordigen aanzienlijke economische waarde, onder meer omdat zij kunnen worden ingezet voor innovatie en productverbetering.

Doel Data Act

De Data Act beoogt onder andere de Europese data-economie te versterken en eerlijke concurrentie te bevorderen. Ook wil de verordening gebruikers van verbonden producten meer inzicht en controle geven over de gegevens die zij door het gebruik van deze producten genereren.

Toegang verlenen tot door de gebruiker gegenereerde data

Dit artikel richt zich op dat laatste uitgangspunt en behandelt de volgende vraag:

Wanneer bestaat er een verplichting om een gebruiker toegang te verlenen tot door de gebruiker gegenereerde data? 

EU Data Act (Verordening 2023/2854)

Definities

De rechten van gebruikers om toegang tot gegenereerde gegevens te verkrijgen en de plichten van gegevenshouders met betrekking tot het verstrekken van gegevens is te vinden in hoofdstuk 2 van de Data Act, en dan specifiek in artikelen 3(1) en 4(1).

Om te kunnen bepalen wanneer een toegangsverplichting ontstaat, is eerst van belang de relevante terminologie uit deze artikelen nader uiteen te zetten.

Gebruiker

Art. 2(12): “gebruiker”:

een natuurlijke of rechtspersoon die een verbonden product in eigendom heeft, of aan wie contractueel tijdelijke rechten zijn overgedragen om dat verbonden product te gebruiken, of die gerelateerde diensten ontvangt;

Onder de Data Act wordt als “gebruiker” verstaan: iedere natuurlijke persoon of rechtspersoon die een verbonden product rechtmatig gebruikt. Dat zal in de praktijk vaak de eigenaar van het product zijn, zoals de eigenaar van een smart-tv of een bedrijf dat eigenaar is van een verbonden machine. Het begrip gebruiker is echter ruimer en omvat ook partijen die een verbonden product of gerelateerde dienst tijdelijk rechtmatig gebruiken, zoals huurders en lessee’s van verbonden producten.

Omdat dit begrip ruim wordt gebruikt, kan het ook voorkomen dat een verbonden product meerdere gebruikers heeft. Denk hierbij aan een bedrijf dat eigenaar is van auto’s die verhuurd worden aan vakantiegangers. Dit bedrijf is gebruiker, maar ook de mensen die de auto’s huren, maar dan wel voor zolang de auto gehuurd wordt.

Gegevenshouder

Art. 2(13): “gegevenshouder”:

een natuurlijke of rechtspersoon die overeenkomstig deze verordening, het toepasselijke Unierecht of het overeenkomstig het Unierecht vastgestelde nationale recht, het recht of de verplichting heeft gegevens te gebruiken en ter beschikking te stellen, waaronder — in gevallen waar dat contractueel is overeengekomen — productgegevens of gegevens van een gerelateerde dienst die deze natuurlijke of rechtspersoon heeft opgevraagd of gegenereerd tijdens de verlening van een gerelateerde dienst;

De gegevenshouder is de partij die op grond van de Data Act, andere wetgeving of een overeenkomst het recht of de verplichting heeft om bepaalde data, zoals productgegevens of gegevens van een gerelateerde dienst, te gebruiken en deze beschikbaar te stellen aan anderen.

Wie als gegevenshouder kwalificeert, hangt niet af van wie het product of de software heeft ontwikkeld, maar van wie de toegang tot de relevante data juridisch kan beheersen. Dat kan bijvoorbeeld zijn:

• de fabrikant,
• de aanbieder van een gerelateerde dienst,
• een andere contractueel aangewezen partij of
• zelfs meerdere partijen tegelijk.

Data/ gegevens

De volgende gegevens vallen onder de reikwijdte van artikelen 3 en 4 van de Data Act:

• productgegevens,
• gegevens van een gerelateerde dienst, en
• bijbehorende metagegevens.

Dit zijn automatisch gegenereerde gegevens die voortkomen uit het gebruik van een verbonden product of een daarmee gerelateerde dienst. Dit moet worden opgevat als gegevens die doelbewust zijn gegenereerd of die indirect het resultaat zijn van handelingen van gebruikers. Dit gaat verder dan gegevens die enkel aangeven of een product of gerelateerde dienst is gebruikt, en omvat alle gegevens die het verbonden product tijdens en ook buiten gebruik genereert. Denk hierbij aan gegevens die automatisch worden gegenereerd door sensoren:

• licht,
• temperatuur,
• de batterijstand,
• hardware-status, en
• storingen.

De reikwijdte van deze soorten data omvat zowel voorbewerkte gegevens als gegevens in ruwe vorm, ook wel bron- of primaire gegevens genoemd, die betrekking hebben op gegevenspunten die automatisch worden gegenereerd zonder verdere verwerking. Hieronder vallen bijvoorbeeld meetwaarden die door sensoren of systemen worden verzameld en die begrijpelijk worden gemaakt door een uitdrukking in grootheid of kwaliteit, zoals temperatuur in Celsius of Fahrenheit, druk, audio, pH-waarde, vloeistofniveau, positie of snelheid.

Ook vallen relevante metagegevens onder de reikwijdte van hoofdstuk 2 van de Data Act. Metagegevens zijn nodig om de ruwe of voorbewerkte gegevens bruikbaar en begrijpelijk te maken, al dan niet in combinatie met andere gegevens. Het begrip metadata omvat bijvoorbeeld tijdstempels, locaties of weersomstandigheden.

Verder vergt de bescherming van persoonsgegevens nog speciale aandacht - persoonsgegevens vallen namelijk ook onder de reikwijdte van hoofdstuk 2 van de Data Act. Hierdoor moet de AVG (Verordening (EU) 2016/679) ook in acht worden genomen. Artikel 1 lid 5 van de Data Act bepaalt namelijk dat de regels uit deze verordening geen afbreuk doen aan de toepasselijkheid van de AVG.

Indien een gebruiker bijvoorbeeld rechten wil uitoefenen zoals het opvragen van persoonsgegevens, en deze gebruiker is geen gegevenshouder of “betrokkene” zoals bedoeld in artikel 4 lid 1 van de AVG, dan is er op grond van artikel 6 van de AVG een rechtmatige grond nodig om persoonsgegevens te verwerken.

Buiten de materiële reikwijdte van hoofdstuk II vallen daarentegen verrijkte gegevens. Dit zijn afgeleide of geïnterpreteerde gegevens, of gegevens die het resultaat zijn van aanvullende investeringen in de verwerking van data, bijvoorbeeld door het gebruik van complexe algoritmen. Ook valt bijvoorbeeld audiovisueel materiaal doorgaans buiten de reikwijdte, omdat dit vaak door intellectuele-eigendomsrechten wordt beschermd.

Toegang tot gegevens

Hoofdstuk II van de Data Act bevat twee bepalingen die zien op de toegankelijkheid van door verbonden producten gegenereerde gegevens voor gebruikers: artikel 3(1) en artikel 4(1). Deze bepalingen vullen elkaar aan, maar hebben een verschillende functie.

Artikel 3(1): directe toegang door productontwerp

Artikel 3(1) bevat het uitgangspunt dat verbonden producten en gerelateerde diensten zodanig moeten worden ontworpen en vervaardigd dat gebruikers directe toegang hebben tot de gegenereerde gegevens. Het gaat hier om een ontwerpeis: de toegankelijkheid moet in het product of de dienst zelf zijn ingebouwd, zodat tussenkomst van de gegevenshouder (bijvoorbeeld in de vorm van een aanvraag tot inzage) niet nodig is. De gebruiker moet de gegevens zelfstandig kunnen raadplegen via het product of de dienst zelf.

Gebruikers moeten standaard, gemakkelijk, veilig en kosteloos toegang kunnen krijgen tot de gegenereerde gegevens. In de praktijk kan dit bijvoorbeeld worden gerealiseerd via een interface waarin gegevens kunnen worden bekeken, uitgelezen en geëxporteerd. Gemakkelijke toegang kan onder meer worden gefaciliteerd door passende technische oplossingen, zoals API’s. Voor directe toegang is niet bepalend waar de gegevens worden opgeslagen; dit kan zowel op het apparaat zelf als op een externe server zijn.

Daarnaast vereist artikel 3(1) dat de gegevens beschikbaar worden gesteld in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat.

Voor IT-ondernemingen, die gegevenshouder in de zin van de Data Act, dan wel fabrikant zijn, betekent dit dat bij de ontwikkeling of doorontwikkeling van verbonden producten moet worden beoordeeld of de gegenereerde gegevens daadwerkelijk zonder tussenkomst ontsloten kunnen worden in overeenstemming met de toepasselijke wettelijke vereisten van de Data Act. Dit kan implicaties hebben voor de architectuur van het product, de gekozen opslagstructuur en de wijze waarop data technisch toegankelijk worden gemaakt.

De ontwerpeis uit artikel 3(1) is echter slechts van toepassing voor zover het “technisch haalbaar” is om de gegevens direct toegankelijk te maken. In sommige gevallen is het (geheel of gedeeltelijk) niet mogelijk om directe toegang in het product te integreren. Denk bijvoorbeeld aan een met wifi te bedienen lamp, waarbij het doorgaans niet technisch haalbaar is om een display te integreren. In dergelijke situaties kan het uitgangspunt van directe toegang mogelijk niet volledig worden gerealiseerd.

Artikel 4(1): indirecte toegang op verzoek

Indien directe toegang tot de gegevens technisch niet mogelijk is, voorziet artikel 4(1) in een aanvullend recht van de gebruiker en verplichting van de gegevenshouder. Deze bepaling regelt de zogenoemde indirecte toegang: het recht van de gebruiker om gegevens op te vragen bij de gegevenshouder.

Artikel 4(1) fungeert daarmee als vangnet: waar artikel 3(1) inzet op directe toegankelijkheid door ontwerp, biedt artikel 4(1) voor gebruikers een aanspraak op verstrekking door de gegevenshouder wanneer die directe toegang ontbreekt.

Het betreft niet alle productgegevens en gegevens van gerelateerde diensten zoals bij artikel 3(1), maar uitsluitend de “eenvoudig beschikbare gegevens” en de relevante benodigde metagegevens. Artikel 2(17) definieert deze “eenvoudig beschikbare gegevens” als de productgegevens en gegevens van een gerelateerde dienst die de gegevenshouder rechtmatig en zonder onevenredig grote inspanning verkrijgt of kan verkrijgen.

Voor IT-ondernemingen, die gegevenshouder in de zin van de Data Act zijn, is met name van belang wanneer productgegevens en gegevens van een gerelateerde dienst “eenvoudig beschikbaar” zijn. Dit is het geval wanneer een gegevenshouder toegang kan verkrijgen tot de gegevens zonder daarbij disproportionele inspanningen te hoeven verrichten. Dit is tevens van toepassing op persoonsgegevens en relevante metadata. In de praktijk kan hierbij worden gedacht aan gegevens zoals:

• temperatuurmetingen of
• simpele activiteitslogboeken.

Daarentegen vallen gegevens die slechts beschikbaar komen na substantiële aanvullende verwerking of analyse, zoals voorspellende analyses of complexe machine-learninguitkomsten, in beginsel niet onder het begrip “eenvoudig beschikbaar”. Wanneer het verkrijgen van gegevens aanzienlijke extra inspanningen of kosten vergt die verder gaan dan een eenvoudige handeling, kwalificeren deze niet als eenvoudig beschikbare gegevens in de zin van artikel 2(17).

Verder moeten de gegevens vervolgens net zoals bij artikel 3(1), gemakkelijk, veilig, kosteloos, in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat ter beschikking van de gebruiker worden gesteld. Hiernaast moeten gegevenshouders de gegevens ook onmiddellijk en met dezelfde kwaliteit als de voor de gegevenshouder beschikbare gegevens aanbieden na een aanvraag.

Voorstel Digitale Omnibus

Let op!

Bovenstaand artikel is geschreven op basis van de huidige wettekst. Er ligt een voorstel in het kader voor een digitale omnibus waarin ook wijzigingen over de Data Act zijn voorgesteld. Zo worden er meerdere Europese wetten geïntegreerd of samengevoegd in de Data Act en zullen er ook inhoudelijk bepalingen worden aangepast volgens het huidige voorstel. Zo bevat het voorstel bijvoorbeeld extra bescherming voor bedrijfsgeheimen onder hoofdstuk 2 van de Data ACT en bevat het voorstel een aangepaste definitie voor “gegevenshouder”. Zo staat er in de huidige definitie “het recht of de verplichting heeft gegevens te gebruiken en ter beschikking te stellen” en in het voorstel “het recht of de verplichting heeft gegevens te gebruiken of ter beschikking te stellen”. De definitie in het voorstel lijkt breder, waardoor een partij sneller als gegevenshouder zou worden aangemerkt. Echter, het is nog niet zeker of dit de beoogde nieuwe interpretatie zal zijn, wat de rechtszekerheid niet ten goede komt. Het is in ieder geval raadzaam in acht te nemen dat het juridische kader in de toekomst kan veranderen.

Conclusie

“Wanneer bestaat er een verplichting om een gebruiker toegang te verlenen tot door de gebruiker gegenereerde data?”

De Data Act kan voor partijen die als gegevenshouder kwalificeren verplichtingen met zich meebrengen ten aanzien van de toegankelijkheid van door verbonden producten gegenereerde gegevens. Deze verplichtingen volgen met name uit artikelen 3(1) en 4(1) van de verordening.

Artikel 3(1) vereist dat verbonden producten en gerelateerde diensten, voor zover technisch haalbaar, zo worden ontworpen dat gebruikers directe toegang hebben tot de gegenereerde gegevens. Indien dergelijke directe toegang ontbreekt, kan de gebruiker op grond van artikel 4(1) aanspraak maken op verstrekking van de eenvoudig beschikbare gegevens door de gegevenshouder - en in deze gevallen is de gegevenshouder verplicht de gebruiker toegang te verlenen tot deze eenvoudig beschikbare gegevens.

De Data Act bevat daarnaast nog verschillende andere regels over het delen en gebruiken van data, waaronder bepalingen over contractuele voorwaarden bij het verstrekken van gegevens. Voor ondernemingen die betrokken zijn bij verbonden producten of gerelateerde diensten kan het daarom van belang zijn tijdig te beoordelen of en in hoeverre zij onder de Data Act als gegevenshouder kwalificeren en welke verplichtingen daaruit voortvloeien.

Vragen?

Hebt u vragen over de Data act? Wilt u weten wat de Data act voor uw bedrijf of organisatie betekent? Neem contact op met onze IT juristen. Zij staan u graag te woord.

Virtuele Juridische Afdeling

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!