Op 11 jannewaris 2024 is de EU-gegevenswet - Ferordening (EU) 2023/2854 - yn wurking treden, tweintich dagen nei publikaasje yn it Offisjeel Tydskrift fan 'e Europeeske Uny. De ferordening is fan tapassing fan 12 septimber 2025 ôf. Dizze wetjouwing leit fûnemintele nije ferplichtingen op oan fabrikanten fan ferbûne produkten en oanbieders fan relatearre tsjinsten, dy't ynfloed hawwe op in breed skala oan sektoaren: fan produksje en enerzjy oant sûnenssoarch en de auto-yndustry. Elkenien dy't gegevens genereart, ferwurket of brûkt yn in bedriuwskontekst, soe der goed oan dwaan om de omfang fan dizze wetjouwing op 'e tiid te ûndersiikjen.
Wat regelet de Wet gegevensbeskerming?
De Datawet makket ûnderdiel út fan 'e Europeeske datastrategy, dy't rjochte is op it fersterkjen fan 'e konkurrinsjeposysje fan Europa yn 'e data-ekonomy. De Regeling stelt regels fêst oer wa't tagong hat ta gegevens dy't generearre binne troch it brûken fan produkten of tsjinsten, en ûnder hokker betingsten dy gegevens dield wurde moatte. Dit giet net om in algemien rjocht op alle gegevens, mar earder om in ramt fan seis spesifike klusters: brûkerstagong ta produkt- en tsjinstgegevens, B2B-dieling op earlike betingsten, iepenbiere tagong yn gefallen fan útsûnderlike need, wikseljen tusken gegevensferwurkingstsjinsten, beskerming tsjin ynternasjonale oerheidstagong ta net-persoanlike gegevens, en ynteroperabiliteit.
Ferplichtingen foar bedriuwen: produktûntwerp
Ferbûne produkten moatte sa ûntwurpen en produsearre wurde dat de generearre gegevens standert maklik, feilich, fergees en yn in masine-lêsber formaat direkt tagonklik binne foar de brûker. Brûkers fan ferbûne produkten - tink oan smart home-apparaten, yndustriële masines of auto's - krije dêrmei it rjocht om tagong te krijen ta de gegevens dy't har gebrûk fan dat produkt genereart. Fabrikanten en tsjinstferlieners meie dy gegevens net langer eksklusyf foar harsels hâlde.
Wichtich is dat dizze ferplichting in fasearre ynfiering hat. Hoewol de Wet Gegevensgegevens as gehiel fan tapassing is fan 12 septimber 2025 ôf, jildt de ûntwerp- en produksjeferplichting foar ferbûne produkten allinich foar produkten dy't nei 12 septimber 2026 op 'e merk brocht binne. Besteande produkten falle dêrom noch net ûnder.
Earlike betingsten yn B2B-gegevensdieling
De Regeling befettet spesifike regels oer kontraktuele betingsten yn B2B-gegevenskontrakten . In betingst dy't ien ûndernimming unilateraal oplein wurdt oan in oar, bindt de oare partij net as it ûnearlik is. In betingst wurdt beskôge as unilateraal oplein as de oare partij, nettsjinsteande in besykjen om te ûnderhanneljen, gjin ynfloed hawwe koe op de ynhâld derfan. De bewiizlast leit by de partij dy't de betingst opnaam hat.
In beting is ûnearlik as it gebrûk derfan grof ôfwykt fan goede hannelspraktiken en yn striid is mei goede trou en earlike hanneling. De Regeling jout as foarbylden betingingen dy't oanspraaklikens foar opset of grove sleauwens útslute, foarkomme dat de oare partij syn eigen gegevens brûkt, unilaterale beëiniging op ûnredelik koarte termyn tastean, of tastean dat wichtige priis- of oare wichtige feroarings unilateral makke wurde. It juridyske gefolch is dat de ûnearlike beting de oare partij net bindt, wylst de oerbleaune kontraktuele bepalingen fan krêft bliuwe foar safier't de beting skiedber is.
Ynteraksje mei de GDPR
De Wet Gegevensbeskerming stiet njonken de Algemiene Ferordening Gegevensbeskerming, mar der is in wichtige ynteraksje tusken har. De Ferordening hat ek betrekking op persoanlike gegevens, mar makket se net los fan 'e wetjouwing oer gegevensbeskerming. As de brûker net de betrokkene is waans persoanlike gegevens wurde oanfrege, meie dy persoanlike gegevens allinich wurde levere as der in jildige juridyske basis bestiet ûnder artikel 6 AVG. De Wet Gegevensbeskerming makket dêrom gjin selsstannige útsûndering op 'e AVG: tagong ta gegevens ûnder de Wet Gegevensbeskerming ûntslacht partijen net fan har AVG-ferplichtingen , en biedt ek gjin basis foar fierdere bewaring of werbrûk fan 'e levere gegevens bûten it doel wêrfoar't se binne krigen.
Cloudportabiliteit en switching
In apart haadstik fereasket dat oanbieders fan gegevensferwurkingstsjinsten it oerstappen nei in oare oanbieder makliker meitsje. Se meie gjin pre-kommersjele, kommersjele, technyske, kontraktuele of organisatoaryske obstakels oplizze dy't klanten hinderje om oer te stappen. Fan 12 jannewaris 2027 ôf meie oanbieders fan gegevensferwurkingstsjinsten gjin oerstapkosten mear yn rekken bringe oan klanten. De werklike oerdracht fan gegevens en konfiguraasjes moat sûnder ûnnedige fertraging plakfine en yn gjin gefal nei in ferplichte oergongsperioade fan maksimaal tritich dagen. Foar organisaasjes dy't sterk ôfhinklik binne fan ien wolkoanbieder biedt dit nije ûnderhannelingshefboom by it fernijen of opnij ûnderhanneljen fan kontrakten.
Iepenbiere tagong yn gefallen fan útsûnderlike need
De Regeling jout oerheidsynstânsjes de mooglikheid om, ûnder strange betingsten, tagong ta priveegegevens te freegjen yn gefallen fan útsûnderlike needsaak - lykas in iepenbiere need. Yn dat gefal binne gegevenshâlders, útsein mikro-ûndernimmingen en lytse ûndernimmingen, ferplichte om de nedige gegevens fergees beskikber te stellen. Yn oare gefallen fan útsûnderlike needsaak hat de gegevenshâlder rjocht op in earlike kompensaasje. Dizze macht is ûnderwurpen oan de betingsten fan evenredigens en subsidiariteit dy't yn 'e Regeling binne fêstlein.
Hanthavening yn Nederlân
Yn Nederlân is hanthavening no wetlik fêstlein fia de Útfieringswet dataverordening. De Autoriteit Konsumint en Merk (ACM) is de befoege autoriteit foar it grutste part fan 'e Regeling, ynklusyf de haadstikken oer produktgegevens, B2B-dieling en cloudportabiliteit. De Autoriteit Beskerming Persoonsgegevens (AP) is befoege foar de privacygefoelige eleminten en foar de ferwurking fan persoansgegevens binnen bepaalde artikels en haadstik V. Beide autoriteiten kinne hanthaveningsaksje nimme binnen har eigen domein troch in beslút op te lizzen mei in boete of in bestjoerlike boete. De Útfieringswet soarget ek foar in gearwurkings- en ynformaasje-útwikselingsregeling tusken de ACM en de AP, sadat beide tafersjochhâlders koördinearre hannelje kinne oer oerlappende saken.
Wat betsjut dit yn 'e praktyk?
Bedriuwen dy't ferbûne produkten ûntwikkelje, ymportearje of ferspriede, soene der ferstannich oan dwaan om har produktûntwerp en kontraktuele struktuer no te besjen oan 'e hân fan' e Wet op Gegevensgegevens. Foar produkten dy't nei 12 septimber 2026 op 'e merk brocht binne, jildt de ûntwerp- en tagonklikheidsferplichting folslein. Tsjinstferlieners dy't gegevens namens brûkers ferwurkje, moatte ynventarisearje hokker ferplichtingen foar it dielen fan gegevens op har fan tapassing binne en oft besteande oerienkomsten - ynklusyf unilateraal opstelde gegevensklausules - dêrmei yn oerienstimming binne.
Dyjingen dy't wachtsje oant de hanthavening begjint, riskearje efterop te reitsjen. Produkten, tsjinsten en kontrakten op 'e tiid ôfstimme op 'e nije regels is net allinich in kwestje fan neilibjen , mar biedt ek kânsen: dejingen dy't har klanten transparânsje en tagong ta gegevens biede, falle op yn in merk dy't hieltyd kritysker is oer hoe't bedriuwen omgean mei gegevens.
Hawwe jo fragen oer de gefolgen fan 'e EU-gegevenswet foar jo bedriuw of jo kontrakten? De advokaten fan Law & More binne bliid om jo te helpen.
Faak Stelde Fragen
Is de Wet gegevensbeskerming al fan tapassing op myn besteande ferbûne produkten?
De Regeling jildt fan 12 septimber 2025 ôf, mar de ferplichting om ferbûne produkten sa te ûntwerpen dat gegevens tagonklik binne foar brûkers jildt allinich foar produkten dy't nei 12 septimber 2026 op 'e merk brocht binne. Bestaande produkten dy't al foar dy datum op 'e merk wiene, falle noch net ûnder dizze regeling. Fabrikanten en ymporteurs soene der dochs ferstannich oan dwaan om har produktûntwikkeling no ôf te stimmen op 'e nije easken, sadat takomstige produkten by de merklansearring foldogge oan 'e easken.
Wat moat ik dwaan as myn datakontrakt klausules befettet dy't tagong ta gegevens beheine?
Under de Wet Gegevensgegevens kinne kontraktuele betingsten dy't iensidich oplein wurde en dy't foarkomme dat de oare partij har eigen gegevens brûkt of eksploitearret, as ûnearlik en dêrom net-bindend beskôge wurde. It is oan te rieden om besteande gegevenskontrakten te litten kontrolearjen op sokke klausules. De bewizelêst dat in betingst net iensidich oplein is, leit by de partij dy't it opnommen hat. Iere ûnderhanneling is oer it algemien effektiver as wachtsje oant de oare partij de Regeling ynroept.
Mei ik persoanlike gegevens diele ûnder de Wet gegevensbeskerming sûnder in juridyske basis fan GDPR?
Nee. De Wet Gegevensgegevens biedt gjin selsstannige basis foar it iepenbier meitsjen fan persoanlike gegevens. As de brûker net de betrokkene is waans persoanlike gegevens wurde oanfrege, meie dy gegevens allinich wurde levere as der in jildige juridyske basis bestiet ûnder artikel 6 AVG. Boppedat biedt tagong ta gegevens ûnder de Wet Gegevensgegevens gjin basis foar fierdere bewaring of werbrûk fan 'e iepenbier makke persoanlike gegevens bûten it oarspronklike doel. Neilibjen fan AVG en neilibjen fan 'e Wet Gegevensgegevens moat dêrom tagelyk garandearre wurde.
Kin ik as cloudtsjinstferliener noch oerstapkosten yn rekken bringe?
Fan 12 jannewaris 2027 ôf is it foar oanbieders fan gegevensferwurkingstsjinsten ferbean om klanten oerstapkosten yn rekken te bringen. Derneist meie fan 12 septimber 2025 ôf gjin technyske, kontraktuele of organisatoaryske obstakels mear oplein wurde dy't oerstap hinderje. De eigentlike gegevensoerdracht by oerstap moat ek sûnder ûnredelike fertraging plakfine en binnen in oergongsperioade fan op syn lêst tritich dagen foltôge wêze. Besteande kontrakten mei langere perioaden of oerstapkosten fereaskje in resinsje.
Hokker tafersjochhâldende autoriteit is yn Nederlân bevoegd foar it hanthavenjen fan 'e Wet gegevensbescherming?
De hanthavening is ferdield tusken de Nederlânske Autoriteit Konsumint en Merk (ACM) en de Nederlânske Autoriteit Beskerming Persoonsgegevens (AP). De ACM is bevoegd foar it grutste part fan 'e Regeling, ynklusyf de bepalingen oer produktgegevens, B2B-dieling en cloudportabiliteit. De AP is bevoegd foar de privacygefoelige eleminten en de ferwurking fan persoansgegevens binnen bepaalde artikels en haadstik V. Beide autoriteiten kinne in befel oplizze mei in boete of in bestjoerlike boete. De gewoane bestjoersrjochtlike remedies binne beskikber tsjin sokke besluten, ynklusyf beswier, berop en tydlike foarsjenning.
Is de Wet gegevensbeskerming ek fan tapassing op lytse bedriuwen?
De Regeling ûnderskiedt op in pear punten nei bedriuwsgrutte. Bygelyks, mikro-bedriuwen en lytse bedriuwen binne, yn gefallen fan iepenbiere needgegevensfersykjes, frijsteld fan 'e ferplichting om gegevens fergees beskikber te stellen; yn dy gefallen hawwe se rjocht op earlike kompensaasje. Foar de oare ferplichtingen - ynklusyf de tagonklikheidsferplichting foar ferbûne produkten en de earlikenstoets foar B2B-betingsten - is der gjin algemiene frijstelling foar lytse en middelgrutte bedriuwen. Lytsere oanbieders fan ferbûne produkten of wolktsjinsten moatte har operaasjes dêrom ek op 'e tiid ôfstimme op 'e Regeling.
