Sinds 12 september 2025 is de Data Act van kracht. In het Nederlands ook wel: de Data Verordening. De Data Act is een Europese wet, die staat voor eerlijke toegang en eerlijk gebruik van data. Met “data” worden overigens zowel persoonsgegevens als niet-persoonsgegevens bedoeld.
Voor wie geldt de Data Act?
De Data Act geldt (onder andere) voor producenten, gebruikers en dienstverleners die verbonden apparaten gebruiken (Internet of Things), clouddiensten, SaaS en publieke instellingen.
In dit artikel richt ik me vooral op clouddiensten (zoals webhosting) en SaaS, gezien ik vooral klanten heb die dit ook aanbieden. Ik neem je mee in een greep uit de verplichtingen die je hebt of punten waar je op moet letten.
Oneerlijke dingen
Volgens de Data Act (artikel 13) mag je bepaalde bedingen (clausules, voorwaarden, whatever you may call it) niet regelen, omdat ze als oneerlijk worden gezien. Het gaat om bedingen die van die aard zijn dat het gebruik ervan sterk afwijkt van goede handelspraktijken bij de toegang tot en het gebruik van gegevens, in strijd met de goede trouw en eerlijke behandeling.
Het gaat met name om bedingen die eenzijdig worden opgelegd. Een contractueel beding wordt geacht eenzijdig te zijn opgelegd wanneer het door één van de overeenkomstsluitende partijen is gesteld en de andere partij ondanks een poging om daarover te onderhandelen geen invloed op de inhoud ervan heeft kunnen uitoefenen. Waar komt dat op neer in de praktijk? Algemene voorwaarden zijn eenzijdig opgelegd.
Wanneer is een beding sowieso oneerlijk?
Een voorwaarde wordt als oneerlijk gezien als daarin staat dat je geen of beperkte aansprakelijkheid hebt voor schade die je met opzet of grove nalatigheid hebt aangericht.
Daarnaast wordt een clausule als oneerlijk gezien wanneer de andere partij geen beroep mag doen op haar rechten wanneer jij je afspraken niet nakomt. Of als jij zegt dat je niet aansprakelijk bent als je je verplichtingen niet nakomt.
Als laatst wordt een beding als oneerlijk gezien wanneer jij over het exclusieve recht beschikt om te bepalen of de verstrekte gegevens van je wederpartij in overeenstemming zijn met de overeenkomst. Of wanneer jij het exclusieve recht hebt om contractsbedingen uit te leggen. Denk aan een clausule waarin je aangeeft dat alleen na oordeel van jou iets wel/niet blijkt.
Wanneer is een beding waarschijnlijk oneerlijk?
Een beding kan ook waarschijnlijk oneerlijk zijn. Je moet kunnen weerleggen waarom het wél eerlijk is, als je het toch hebt geregeld. Het gaat om onder andere (!) de volgende gevallen:
- je wederpartij mag tijdens de looptijd van de overeenkomst verstrekte of gegenereerde gegevens niet gebruiken, of het gebruik van dergelijke gegevens in die mate wordt beperkt dat die partij niet het recht heeft dergelijke gegevens te gebruiken, te verzamelen, te raadplegen of te controleren of de waarde ervan adequaat te exploiteren;
- je wederpartij mag niet binnen een redelijke termijn opzeggen;
- je wederpartij wordt verhinderd tijdens de looptijd van de overeenkomst of binnen een redelijke termijn na de beëindiging ervan een kopie van de hem verstrekte of gegenereerde gegevens te verkrijgen;
- wanneer jij aanzienlijke wijzigingen mag aanbrengen in de in de overeenkomst gespecificeerde prijs of ten aanzien van een andere wezenlijke voorwaarde met betrekking tot de aard, het formaat, de kwaliteit of de kwantiteit van de gegevens die worden gedeeld, zonder dat in de overeenkomst een geldige reden of het recht van de wederpartij om de overeenkomst op te zeggen in geval van een dergelijke wijziging wordt vermeld.
Vendor lock-in verboden
Een vendor lock-in betekent dat je als klant afhankelijk wordt van één leverancier (vendor) voor een product of dienst, waardoor het lastig, duur of zelfs praktisch onmogelijk wordt om over te stappen naar een andere leverancier. Dit is dus niet meer toegestaan.
Volgens artikel 25 moet je de rechten van je klant en jou met betrekking tot het overstappen naar andere aanbieders van de dienstens die jij aanbiedt, duidelijk vastleggen in een schriftelijk contract. Dit contract moet je vóór de ondertekening ter beschikking van aan je klant stellen. Uit de bewoording van het artikel haal ik dat dit niet in je algemene voorwaarden kan, omdat in Nederland algemene voorwaarden niet ondertekend hoeven te worden. Maar of dat echt zo is, zou rechtspraak moeten uitwijzen. Naar mijn idee heb je dus, als je niet al een contract hebt, naast je algemene voorwaarden een los overstapcontract laten opstellen. Die moet aan de voorwaarden voldoen die in de Data Act staan.
Geen overstapkosten
Vanaf 12 januari 2027 mag je klanten geen overstapkosten meer in rekening voor het overstapproces. Van 11 januari 2024 tot 12 januari 2027 kan dit nog wel, maar je mag alleen kosten vragen die gemoeid gaan met het overstapproces.
Informatie verstrekken
Je moet je klant onder andere de volgende informatie verstrekken:
- informatie over beschikbare procedures om over te stappen op en gegevens over te dragen, met inbegrip van informatie over beschikbare overstap- en overdrachtsmethoden, formaten, restricties en technische beperkingen die bekend zijn bij jou;
- een verwijzing naar een actueel onlineregister dat wordt gehost door jou, met gegevens over alle gegevensstructuren en dataformaten, alsook de relevante normen en open interoperabiliteitsspecificaties;
- het rechtsgebied waaronder de dataverwerking van jouw diensten opgezette ICT-infrastructuur valt;
- een algemene beschrijving van de technische, organisatorische en contractuele maatregelen die je hebt genomen om toegang van de internationale overheid tot of de doorgifte van gegevens die geen persoonsgegevens zijn, die in de Europese Unie zijn opgeslagen, te voorkomen wanneer een zo’n toegang of doorgifte in strijd zou zijn met het Unie- of nationale recht.
Let op!
Bovenstaand bevat niet alle regels, lees daarvoor de Data Act.
Heb je een vraag over de Data Act? Stuur me dan gerust en vrijblijvend een mailtje via simone@diederichlegal.nl.
