De Data Act geldt voor aanbieders van verbonden producten en de gerelateerde diensten die zij daarbij aanbieden, voor houders van data die op grond van de verordening verplicht zijn data te verstrekken, voor ontvangers van data, voor aanbieders van dataverwerkingsdiensten (zoals cloud-, edge- en SaaS-diensten) en voor overheidsinstanties die in uitzonderlijke situaties toegang vragen tot private data. De verordening geldt ongeacht de vestigingsplaats, als de activiteiten betrekking hebben op gebruikers of afnemers in de EU.

De Data Act heeft geen onderscheid naar bedrijfsomvang voor de meeste verplichtingen, maar voor de regels rond contractuele eerlijkheid gelden de strengste bepalingen specifiek voor overeenkomsten waarbij een kleinere partij afhankelijk is van een sterkere partij.

Verbonden producten zijn producten die data verkrijgen, genereren of verzamelen en deze kunnen doorgeven via een elektronische communicatiedienst, een fysieke verbinding of via on-device access. Een internetverbinding is niet vereist; ook producten die data via een lokale verbinding of Bluetooth overdragen, kunnen onder de definitie vallen. Denk aan industriële machines, slimme meters, landbouwapparatuur, medische hulpmiddelen en consumentenapparaten. De aanverwante diensten zijn de digitale diensten die onlosmakelijk samenhangen met het gebruik van die producten, zoals bijbehorende apps of cloudopslag.

Gebruikers van verbonden producten, zowel consumenten als zakelijke afnemers, hebben op grond van de Data Act het recht om de data die hun product genereert, in te zien en te gebruiken. Dat recht omvat ook de mogelijkheid om die data te laten delen met een zelfgekozen derde partij, zoals een concurrent van de oorspronkelijke fabrikant of een onafhankelijke serviceaanbieder. De toegang is voor de gebruiker kosteloos. Houders van data mogen in bepaalde gevallen van derde ontvangers een redelijke vergoeding vragen. De data wordt verstrekt in een machineleesbaar, gestructureerd en gangbaar formaat.

Fabrikanten en aanbieders van gerelateerde diensten zijn verplicht die toegang te faciliteren. Zij verstrekken vóór de aankoop informatie over welke data het product genereert, hoe die wordt opgeslagen en aan wie deze beschikbaar wordt gesteld. Zij creëren geen technische of contractuele belemmeringen voor de uitoefening van de toegangsrechten.

Derden die toegang vragen tot data via de gebruiker, mogen die data alleen voor het overeengekomen doel gebruiken, mogen er geen gebruikersprofiel mee opbouwen en mogen de data niet doorverkopen. De Data Act bevat expliciete beperkingen voor derde ontvangers: zij mogen de data uitsluitend gebruiken voor het overeengekomen doel, geen concurrerende producten ontwikkelen op basis van de data, geen persoonsprofielen opstellen en de data niet verder beschikbaar stellen op een wijze die de verordening niet toestaat.

Voor producten die na 12 september 2026 op de markt worden gebracht, geldt een aanvullende ontwerpeis: verbonden producten moeten vanaf het ontwerp (by design) zodanig zijn ingericht dat de gegenereerde data standaard, eenvoudig en in een gestructureerd formaat toegankelijk is voor de gebruiker, zonder dat daarvoor apart een verzoek hoeft te worden ingediend. Producten die al vóór die datum op de markt waren, vallen niet onder deze ontwerpeis.

De Data Act stelt minimumeisen aan contractuele bepalingen over datadeling in B2B-overeenkomsten. Contractbepalingen die eenzijdig worden opgelegd door de sterkere contractspartij en die als oneerlijk kunnen worden aangemerkt, zijn niet bindend voor de benadeelde partij. Dit geldt met name voor overeenkomsten waarbij een kleinere onderneming afhankelijk is van een grotere partij.

De Europese Commissie heeft op 2 april 2025 modelcontractbepalingen gepubliceerd voor datadelings- en cloudovereenkomsten. Deze modelbepalingen zijn niet bindend, maar bieden een bruikbaar referentiekader voor partijen die hun contracten in lijn willen brengen met de Data Act.

Bestaande contracten die bepalingen bevatten die niet bindend zijn op grond van de Data Act, binden de benadeelde partij niet voor die specifieke bepaling. Organisaties die afhankelijk zijn van langlopende data- of cloudcontracten, moeten beoordelen of die overeenkomsten kwetsbaar zijn voor dit regime.

In uitzonderlijke situaties, zoals bij een ramp, een dreiging voor de volksgezondheid of een noodsituatie van soortgelijke aard, kunnen overheidsinstanties op grond van hoofdstuk V van de Data Act toegang vragen tot data die door private partijen worden bewaard. Toegang is ook mogelijk voor de uitvoering van een specifieke wettelijke taak waarvoor de benodigde data redelijkerwijs niet via andere middelen beschikbaar is; de Data Act kwalificeert dit als uitzonderlijke noodzaak en stelt strenge voorwaarden.

De toegang is begrensd: de vergoeding voor de dataholder is beperkt tot de noodzakelijke kosten, de data mag uitsluitend worden gebruikt voor het opgegeven doel, en de AP houdt in Nederland toezicht op de rechtmatigheid en proportionaliteit van deze verzoeken.

Voor aanbieders van dataverwerkingsdiensten (cloud-, edge-, SaaS-, PaaS- en IaaS-diensten) introduceert de Data Act verplichtingen om overstappen te vergemakkelijken en technische belemmeringen te verwijderen. Het tegengaan van vendor-lock-in is een uitgesproken doelstelling.

Aanbieders mogen geen onredelijke technische, commerciële of contractuele belemmeringen opwerpen die switching verhinderen of bemoeilijken. Klanten die willen overstappen, moeten kunnen beschikken over hun data, applicaties en instellingen in een gangbaar formaat en met voldoende tijd en ondersteuning voor de migratie.

De verplichtingen rond switchingkosten zijn gefaseerd ingevoerd. Vanaf 12 september 2025 mogen switchingkosten niet hoger zijn dan de werkelijke kosten die de aanbieder maakt. Vanaf 12 januari 2027 mogen cloudaanbieders geen switchingkosten meer in rekening brengen.

Vanaf 12 september 2027 gelden aanvullende interoperabiliteitseisen. Aanbieders van dataverwerkingsdiensten moeten voldoen aan interoperabiliteitsvereisten die nader worden uitgewerkt in uitvoeringshandelingen van de Europese Commissie. Het doel is dat klanten hun diensten aan meerdere aanbieders kunnen koppelen zonder afhankelijk te zijn van proprietaire integraties.

De Data Act kent de volgende fasering, vastgesteld op basis van de verordening zelf:

12 september 2025: kernbepalingen van toepassing, waaronder de rechten op toegang tot IoT-data, de contractuele eerlijkheidsregels en de B2G-datadelingsbepaling.

12 september 2026: verbonden producten die na deze datum op de markt worden gebracht, moeten vanaf het ontwerp (by design) voldoen aan de toegankelijkheidsvereisten voor data.

12 januari 2027: switchingkosten bij cloudproviders zijn volledig afgeschaft.

12 september 2027: volledige interoperabiliteitseisen voor aanbieders van dataverwerkingsdiensten van kracht.

In Nederland zijn de ACM en de AP bevoegd op basis van de Uitvoeringswet Dataverordening (aangenomen als hamerstuk door de Tweede Kamer op 2 oktober 2025 en door de Eerste Kamer op 28 oktober 2025). De ACM draagt de primaire handhavingsverantwoordelijkheid en is bevoegd voor vrijwel alle aspecten van de verordening, waaronder datatoegang, switchingverplichtingen en contractuele eerlijkheid. De AP houdt toezicht op de snijvlakken met privacywetgeving; op basis van de Uitvoeringswet Dataverordening is de AP ook betrokken bij het toezicht op de B2G-datadelingsprocedures, al kunnen de precieze taakverdeling en bevoegdheden bij uitvoering nader worden ingevuld.

De verordening legt de maximale sancties niet op EU-niveau vast voor alle bepalingen; de hoogte van boetes is vastgesteld in de nationale uitvoeringswetgeving. De ACM beschikt over de bevoegdheid bestuurlijke boetes en lasten onder dwangsom op te leggen.

Let op dat het Digital Omnibus-pakket, dat formeel is aangenomen door het Europees Parlement op 16 juni 2026 en door de Raad op 29 juni 2026, enkele kleine aanpassingen aan de Data Act bevat. De ACM heeft aangegeven de uitwerking daarvan te volgen en marktpartijen tijdig te informeren over de gevolgen.

De Data Act geldt naast de AVG, niet in plaats ervan. De verordening regelt de toegang tot en het gebruik van data, waarbij het ook persoonsgegevens kan betreffen. De AVG blijft onverminderd van toepassing op de verwerking van persoonsgegevens. Derden die via de Data Act toegang krijgen tot data, zijn gehouden aan de AVG als de data persoonsgegevens bevat. De Data Act voegt een laag rechten en verplichtingen toe die ook niet-persoonsgebonden data betreffen, een domein dat buiten de AVG valt.

De CRA (Cyber Resilience Act) en de Data Act raken dezelfde productcategorie: verbonden producten. De CRA stelt cyberbeveiligingseisen aan de beveiliging van die producten en de data die zij verwerken; de Data Act regelt de toegang tot de gegenereerde data. Fabrikanten van verbonden producten moeten aan beide regimes voldoen.

De Data Governance Act, die al van toepassing is sinds september 2023, regelt de governance van datadeling via bemiddelaars en altruïstisch datagebruik. De Data Act en de Data Governance Act zijn complementair: de Data Governance Act schept de vertrouwensstructuren voor vrijwillige datadeling; de Data Act legt verplichtingen vast voor gevallen waar datadeling wettelijk is voorgeschreven.

Lexent voert juridische en technische scans uit die vaststellen of en hoe uw organisatie onder de Data Act valt: als fabrikant van verbonden producten, als aanbieder van dataverwerkingsdiensten of als afnemer die rechten heeft ten opzichte van uw huidige leveranciers. Wij beoordelen uw bestaande contracten op kwetsbare datadelingsbepaling en begeleiden bij het aanpassen van overeenkomsten in lijn met de verordening. De scans en beoordelingen worden door onze eigen specialisten uitgevoerd.

Wilt u weten wat de Data Act concreet voor uw organisatie betekent? Neem contact met ons op voor een vrijblijvend gesprek.