Kort antwoord: de EU Data Act (de Europese dataverordening) regelt wie toegang krijgt tot data van slimme producten en diensten, onder welke voorwaarden bedrijven data met elkaar delen en hoe u overstapt naar een andere cloudaanbieder. De wet geldt sinds 12 september 2025. Sinds 12 september 2026 moeten nieuwe slimme producten hun data standaard toegankelijk maken, en vanaf 12 januari 2027 zijn overstapkosten bij cloudaanbieders verboden. In Nederland houdt de ACM toezicht. De kern: data niet over de schutting gooien, maar gecontroleerd en aantoonbaar delen.
Bijgewerkt op 4 november 2026
De EU Data Act is een van de meest ingrijpende Europese wetten op het gebied van datagebruik. Hij moet de weg vrijmaken voor een data-economie waarin informatie vrij kan stromen, zonder dat privacy, bedrijfsgeheimen of veiligheid in het gedrang komen. Dat roept praktische vragen op. Wat betekent de wet voor organisaties die data genereren, delen of beheren? Wie is verantwoordelijk als het misgaat in een keten? En hoe toont u aan dat u het goed regelt, zonder nieuwe lagen bureaucratie?
We spraken erover met Huub de Jong, partner bij Turing advocaten (Turing Law), een kantoor dat zich volledig richt op de juridische kant van data en digitalisering: van IT-contracten en cloud tot privacy, AI en intellectueel eigendom. Het interview verscheen in december 2025. De feiten in dit artikel zijn bijgewerkt in november 2026.
“Dit gaat echt om marktwerking stimuleren.”
Huub de Jong, partner bij Turing advocaten
Wat is de EU Data Act?
De Data Act, officieel Verordening (EU) 2023/2854, is een horizontale Europese wet met spelregels voor de toegang tot en het gebruik van data. Waar de AVG persoonsgegevens beschermt, gaat de Data Act over alle data, dus ook machinedata en andere niet-persoonsgegevens. De Europese Commissie vat de wet samen in vijf onderdelen: data van slimme producten, eerlijke voorwaarden bij het delen van data tussen bedrijven, data delen met de overheid, overstappen tussen clouddiensten en waarborgen tegen onrechtmatige toegang van buiten de EU.
Stand van zaken in november 2026
- 12 september 2025: de meeste bepalingen van de Data Act gelden.
- 21 november 2025: de Uitvoeringswet Dataverordening treedt in werking. De ACM is toezichthouder; de Autoriteit Persoonsgegevens houdt toezicht op de privacyaspecten en op dataverzoeken van overheden.
- 15 mei 2026: de ACM publiceert een voorlopige versie van de Leidraad Data Delen voor fabrikanten en aanbieders van slimme producten.
- 12 september 2026: nieuwe slimme producten en gerelateerde diensten moeten hun data standaard toegankelijk maken (access by design).
- 12 januari 2027: overstapkosten en kosten voor het uitvoeren van data (egress) bij cloudaanbieders zijn volledig verboden.
- 12 september 2027: de regels tegen oneerlijke contractvoorwaarden gaan ook gelden voor bepaalde bestaande, langlopende contracten.
Daarnaast ligt er een Europees voorstel om de Data Act aan te passen, de Digital Omnibus. Daarover verderop meer.
“Organiseren, niet over de schutting gooien”
Huub de Jong is duidelijk over de bedoeling van de wet. Het debat verschuift van eigendom naar toegang: het klassieke “dit is van mij” maakt plaats voor gereguleerd delen.
“We moeten die markt open gooien. We zullen minder krampachtig op die data moeten zitten. Je hoeft niet alles vrij te geven: je moet het verstrekken, maar wel onder voorwaarden. Je moet het organiseren.”
Huub de Jong, partner bij Turing advocaten
Wat regelt de EU Data Act concreet?
1. Slimme producten: toegang als standaard
Gebruikers van slimme (verbonden) producten en gerelateerde diensten, zowel bedrijven als consumenten, krijgen zeggenschap over de data die tijdens het gebruik ontstaat. Fabrikanten moeten die data eenvoudig, veilig en kosteloos beschikbaar maken, waar relevant ook direct. Voor de koop moet duidelijk zijn welke data een product verzamelt.
Er zijn wel grenzen. Een derde partij die data ontvangt, mag die niet gebruiken om een concurrerend product te ontwikkelen. Ook bedrijfsgeheimen blijven beschermd: delen kan met passende maatregelen zoals geheimhoudingsafspraken en toegangsbeperkingen. Alleen als de datahouder aantoont dat delen zeer waarschijnlijk tot ernstige economische schade leidt, mag hij weigeren. Grote poortwachters onder de Digital Markets Act kunnen geen data ontvangen via deze route.
“Je mag er geen competitief product mee ontwikkelen.”
Huub de Jong, over de grenzen voor derden die data krijgen
2. Eerlijke voorwaarden bij het delen van data tussen bedrijven
Als een bedrijf wettelijk verplicht is data te delen, moeten de voorwaarden eerlijk, redelijk en niet-discriminerend zijn. Een redelijke vergoeding is toegestaan, voor het mkb soms alleen kostendekkend. Daarnaast bevat de Data Act een zwarte en grijze lijst van oneerlijke bedingen in datacontracten die eenzijdig worden opgelegd.
3. Data delen met de overheid
Overheidsinstanties kunnen in uitzonderlijke situaties data opvragen, bijvoorbeeld bij een pandemie of natuurramp. Bij een acute noodsituatie gebeurt dat kosteloos en zonder onnodige vertraging. In andere gevallen gelden vergoedingsregels, strikte proportionaliteit en een schriftelijke onderbouwing.
4. Overstappen tussen cloudaanbieders
De Data Act pakt vendor lock-in aan. Klanten mogen overstappen naar een andere aanbieder of naar een eigen omgeving, met een opzegtermijn van maximaal twee maanden en een overgangsperiode van 30 dagen, die bij technische complexiteit kan oplopen tot zeven maanden. Tot 12 januari 2027 mogen aanbieders alleen kostendekkende overstapkosten rekenen, daarna niets meer (DLA Piper). Clouddiensten moeten bovendien open interfaces en gangbare formaten bieden.
5. Verzoeken van buiten de EU
De Data Act verbiedt internationale datastromen niet, maar vraagt cloudaanbieders om waarborgen tegen onrechtmatige toegang door overheden van buiten de EU tot niet-persoonsgegevens. Een aanbieder moet zo’n verzoek toetsen aan het Europese recht en kan bezwaar maken. Dat sluit aan bij de bredere discussie over datasoevereiniteit.
Praktijkcase uit het interview: monteur versus leverancier
Huub de Jong schetst het scenario van een lokale monteur die toegang wil tot de software of sensordata van een machine.
“Je kunt niet meer zeggen: alles is van mij, niemand mag repareren. Maar je hoeft óók niet te zeggen: hier is alles, succes ermee.”
Huub de Jong, partner bij Turing advocaten
Wat regelt u dan juridisch en technisch?
- Doelbinding en reikwijdte in het contract: welke data, voor welk doel, hoelang en via welk kanaal.
- Bescherming van bedrijfsgeheimen met geheimhouding, need-to-know en technische filters.
- Aansprakelijkheid en bewijs: leg vast hoe u achteraf aantoont wie welke informatie heeft ontvangen.
- AVG-conform delen als er persoonsgegevens in de data zitten: minimaliseren en waar mogelijk pseudonimiseren.
Lees ook hoe u bestanden in OT-omgevingen veilig deelt.
Hoe past de Data Act in het bredere compliancelandschap?
- AVG: blijft leidend voor persoonsgegevens. Bij gemengde datasets gaat de AVG voor. Zie onze pagina over de AVG.
- NIS2 en de Cyberbeveiligingswet: sinds 15 augustus 2026 van kracht in Nederland. Toegang tot data moet veilig verlopen binnen de keten. Lees meer over NIS2 en de Cyberbeveiligingswet.
- DORA: sinds 17 januari 2025 van toepassing in de financiële sector, met eigen eisen voor exit en continuïteit bij ICT-leveranciers. Zie DORA en veilig bestanden delen.
- AI Act: de transparantieverplichtingen gelden sinds 2 augustus 2026; de regels voor hoog-risico-AI zijn uitgesteld naar 2 december 2027. De Data Act maakt data beter beschikbaar, de AI Act regelt verantwoording en veiligheid.
- Europese data spaces: sectorale infrastructuur voor vertrouwd datadelen, zoals de European Health Data Space, in werking getreden in maart 2025 en gefaseerd van toepassing.
De rode draad is dezelfde als bij NIS2 en DORA: niet het beleid telt, maar het bewijs dat het werkt. Lees meer over aantoonbare compliance.
Wat verandert de Digital Omnibus mogelijk?
In november 2025 stelde de Europese Commissie de Digital Omnibus voor, een pakket om Europese digitale regels te vereenvoudigen. Voor de Data Act staan onder meer deze wijzigingen op tafel (Greenberg Traurig):
- dataverzoeken van overheden alleen nog bij publieke noodsituaties en het herstel daarna;
- een lagere drempel om het delen van bedrijfsgeheimen te weigeren;
- uitzonderingen op de overstapregels voor bepaalde maatwerkdiensten en kleinere aanbieders, voor contracten van vóór 12 september 2025;
- het onderbrengen van de Data Governance Act in de Data Act.
Het voorstel is nog niet aangenomen; invoering wordt niet vóór 2027 verwacht. Tot die tijd gelden de huidige regels. De ACM heeft aangegeven het toezicht aan te passen als de wijzigingen definitief worden.
De rol van veilig documenten delen
Vaak gaat het bij de Data Act over telemetrie en machinedata. Maar in de praktijk wisselt u ook documenten uit die toegang of interpretatie mogelijk maken: configuratiebestanden, releasenotes, onderhoudsrapporten, veiligheidsinstructies en databeschrijvingen. Juist die documenten bevatten vaak bedrijfsgeheimen. Een vaste, veilige route helpt om de afspraken uit het contract ook in de praktijk na te leven.
Met Msafe Secure File Transfer deelt u zulke documenten gecontroleerd met externe partijen:
- Verificatie van ontvangers met bijvoorbeeld een sms-code of authenticator, ook voor partijen zonder account.
- Tijdelijke toegang met een vervaldatum per share, en toegang die u kunt intrekken zolang een bestand nog niet is gedownload.
- Een audit trail van elke upload, download en share, zodat u kunt aantonen wie welk bestand wanneer heeft ontvangen.
- Centraal beleid voor wat medewerkers mogen delen, en hosting in Nederland.
Zo haalt u juridische afspraken naar de werkvloer: wie mocht welk bestand wanneer zien, en waarom? En kunt u dat morgen bewijzen?
Checklist: zo maakt u uw organisatie klaar voor de EU Data Act
- Breng uw data in kaart. Welke slimme producten en diensten levert of gebruikt u, en welke data ontstaat daarbij?
- Controleer uw contracten. Toets standaardvoorwaarden aan de zwarte en grijze lijst en neem afspraken op over doelbinding, vergoeding en bedrijfsgeheimen.
- Regel toegang by design. Zorg dat nieuwe producten sinds 12 september 2026 data toegankelijk maken, met de juiste beschrijvingen erbij.
- Maak een exitplan voor de cloud. Leg exportformaten, termijnen en verantwoordelijkheden vast, met het oog op 12 januari 2027.
- Richt een proces in voor overheidsverzoeken. Wie beoordeelt een verzoek, binnen welke termijn en hoe documenteert u het?
- Maak delen aantoonbaar. Gebruik een vaste, veilige route voor documenten en leg vast wie wat heeft ontvangen.
- Volg de Digital Omnibus en de ACM-leidraad. De regels kunnen in 2027 nog veranderen.
Kansdenken: van verplichting naar waarde
Waar de AVG een ondergrens voor bescherming borgt, creëert de Data Act ruimte voor nieuwe diensten, zoals onderhoud op afstand, voorspellend onderhoud en optimalisatie op basis van data.
“Zonder goede compliance ben je kwetsbaar. Maar de echte waarde zit aan de andere kant: wat levert verantwoord delen op?”
Huub de Jong, partner bij Turing advocaten
Veelgestelde vragen over de EU Data Act
EU Data Act: wat en wanneer
De EU Data Act (Verordening (EU) 2023/2854) is een Europese wet met regels voor de toegang tot en het gebruik van data. Hij gaat over data van slimme producten, eerlijke voorwaarden bij het delen van data tussen bedrijven, data delen met de overheid, overstappen tussen cloudaanbieders en waarborgen tegen onrechtmatige toegang van buiten de EU.
De meeste bepalingen gelden sinds 12 september 2025. De plicht om data van nieuwe slimme producten standaard toegankelijk te maken geldt sinds 12 september 2026. Overstapkosten bij cloudaanbieders zijn vanaf 12 januari 2027 verboden.
De ACM is sinds 21 november 2025 toezichthouder. De Autoriteit Persoonsgegevens houdt toezicht op de privacyaspecten en op dataverzoeken van overheden in uitzonderlijke situaties.
EU Data Act in de praktijk
De AVG beschermt persoonsgegevens. De Data Act gaat over alle data, ook machinedata en andere niet-persoonsgegevens, en regelt vooral wie toegang krijgt en onder welke voorwaarden. Bij gemengde datasets blijft de AVG leidend.
De Europese Commissie stelde in november 2025 aanpassingen voor via de Digital Omnibus, onder meer voor dataverzoeken van overheden, bedrijfsgeheimen en cloudswitching. Het voorstel is nog niet aangenomen; tot die tijd gelden de huidige regels.
Wilt u weten hoe u het delen van gevoelige documenten aantoonbaar regelt? Plan een vrijblijvende demo.
Bronnen
- Interview met Huub de Jong, partner bij Turing advocaten (december 2025).
- Verordening (EU) 2023/2854 (Data Act), EUR-Lex
- Data Act explained, Europese Commissie (Engelstalig)
- ACM bevoegd voor toezicht op de Data Act en Leidraad Data Delen, ACM
- Digital Omnibus en de Data Act, Greenberg Traurig (Engelstalig)
- EU Data Act FAQs, Taylor Wessing (Engelstalig)
- Switching under the Data Act, DLA Piper (Engelstalig)
- Oneerlijke B2B-bedingen onder de Data Act, Loyens & Loeff (Engelstalig)
