EU's datalov giver brugere af forbundne produkter og relaterede tjenester ret til at få adgang til de data, de genererer, og til at få disse data delt med tredjeparter. Den har været gældende siden 12. september 2025, men forpligtelsen til at designe produkter, så data er direkte tilgængelige, gælder kun for forbundne produkter, der er bragt på markedet efter 12. september 2026.
Dataloven, forordning (EU) 2023/2854, fastsætter også regler om urimelige vilkår i datakontrakter mellem virksomheder, om skift mellem cloududbydere og om offentlige organers adgang til data i ekstraordinære situationer. Hvis din virksomhed fremstiller, importerer eller sælger forbundne produkter, tilbyder cloudtjenester eller bruger data i henhold til kontrakter med andre virksomheder, vil den sandsynligvis blive påvirket. Nedenfor forklarer vi de vigtigste forpligtelser og hvordan de håndhæves i Holland.
Hvad regulerer dataloven?
Databeskyttelsesloven fastlægger, hvem der har adgang til data genereret ved brug af produkter og tjenester, og på hvilke vilkår disse data skal deles. Den skaber ikke en generel ret til alle data, men en ramme for specifikke situationer.
Forordningen trådte i kraft den 11. januar 2024 og er en del af den europæiske datastrategi, der har til formål at gøre flere data tilgængelige til brug i økonomien. Den dækker seks hovedområder: brugernes adgang til produkt- og tjenestedata, rimelige vilkår for datadeling mellem virksomheder, adgang for offentlige organer i tilfælde af ekstraordinært behov, skift mellem databehandlingstjenester, beskyttelse mod ulovlig statslig adgang til ikke-personoplysninger fra lande uden for EU og interoperabilitet. Den fulde tekst er tilgængelig på EUR-Lex.
Hvad skal producenter af forbundne produkter gøre?
Forbundne produkter og relaterede tjenester skal designes således, at de data, de genererer, som standard er let, sikkert, gratis og i et maskinlæsbart format, der er direkte tilgængelige for brugeren, hvor det er relevant og teknisk muligt (artikel 3). Tænk på smart home-enheder, industrimaskiner, medicinsk udstyr eller køretøjer.
Denne designforpligtelse gælder for forbundne produkter og relaterede tjenester, der bringes på markedet efter den 12. september 2026. Produkter, der allerede er på markedet før denne dato, behøver ikke at blive redesignet. Før en kontrakt indgås, skal brugeren også informeres om typen og mængden af data, som produktet genererer, og hvordan brugeren kan få adgang til dem.
Hvis data ikke er direkte tilgængelige, skal dataindehaveren stille dem til rådighed for brugeren efter anmodning, uden unødig forsinkelse og gratis (artikel 4). Brugeren kan også anmode dataindehaveren om at dele dataene med en tredjepart efter brugerens valg (artikel 5). Meget store onlineplatforme, der er udpeget som gatekeepere i henhold til loven om digitale markeder, kan ikke være en sådan tredjepart.
Kan du beskytte dine forretningshemmeligheder?
Ja, i et vist omfang. Dataindehaveren kan kræve fortrolighedsforanstaltninger, før videregivelse af data, der indeholder forretningshemmeligheder, og kan i særlige tilfælde nægte eller suspendere deling, hvis videregivelse med stor sandsynlighed vil forårsage alvorlig økonomisk skade. En sådan afvisning skal begrundes og meddeles den kompetente myndighed.
Brugeren må ikke bruge de indhentede data til at udvikle et produkt, der konkurrerer med det forbundne produkt, som dataene stammer fra. Dataindehaveren må på sin side kun bruge ikke-personlige produktdata på baggrund af en kontrakt med brugeren.
Hvilke kontraktvilkår mellem virksomheder er urimelige?
En kontraktbestemmelse vedrørende adgang til og brug af data, eller ansvar og misligholdelsesbeføjelser, binder ikke den anden virksomhed, hvis den er ensidigt pålagt og er urimelig (artikel 13). En bestemmelse er ensidigt pålagt, hvis den anden part ikke har kunnet påvirke dens indhold trods et forsøg på at forhandle den.
Den part, der har indført vilkåret, skal bevise, at det ikke blev ensidigt pålagt. Et vilkår er urimeligt, hvis det groft afviger fra god handelspraksis for dataadgang og -brug i strid med god tro og redelig behandling.
Forordningen indeholder to lister. Vilkår, der altid er urimelige, omfatter dem, der udelukker eller begrænser ansvar for forsætlige handlinger eller grov uagtsomhed, og dem, der giver den part, der har pålagt vilkåret, eneret til at fortolke kontrakten. Vilkår, der formodes at være urimelige, omfatter dem, der på en upassende måde begrænser den anden parts brug af data, som denne har bidraget med, eller som tillader opsigelse med urimelig kort varsel.
En urimelig kontraktbestemmelse binder ikke den anden part, men resten af kontrakten forbliver i kraft, hvis bestemmelsen kan adskilles fra den. Reglerne gælder for kontrakter indgået efter den 12. september 2025. Fra den 12. september 2027 gælder de også for ældre kontrakter, der løber på ubestemt tid eller udløber mindst ti år efter den 11. januar 2024.
Hvis en dataindehaver skal stille data til rådighed for en anden virksomhed, kan vedkommende anmode om rimelig kompensation (artikel 9). For mikrovirksomheder, små og mellemstore virksomheder og visse forskningsorganisationer må denne kompensation ikke overstige omkostningerne ved at stille dataene til rådighed.
Hvordan hænger dataloven sammen med GDPR?
Databeskyttelsesloven erstatter eller tilsidesætter ikke den generelle forordning om databeskyttelse (GDPR). Den dækker også personoplysninger, men hvor den gør, gælder GDPR fortsat fuldt ud, og i tilfælde af konflikt har GDPR forrang.
Hvis den bruger, der anmoder om data, ikke er den registrerede, hvis personoplysninger det drejer sig om, må disse personoplysninger kun stilles til rådighed, hvis der er et gyldigt retsgrundlag i henhold til artikel 6 i GDPR og, hvor det er relevant, artikel 9 i GDPR. Databeskyttelsesloven skaber ikke i sig selv et sådant grundlag.
Dataadgang i henhold til dataloven fritager heller ikke parterne fra deres andre GDPR-forpligtelser, såsom formålsbegrænsning, sikkerhed og begrænsninger af, hvor længe data må opbevares. Læs mere om GDPR-risiciene ved deling af data , og om hvor længe du må opbevare kundedata.
Hvilke ændringer for cloud-udbydere og deres kunder?
Udbydere af databehandlingstjenester, såsom cloud- og edge-tjenester, skal gøre det lettere for kunder at skifte til en anden udbyder eller til deres egen infrastruktur. De må ikke pålægge kommercielle, tekniske, kontraktlige eller organisatoriske hindringer, der hindrer skift.
Kontrakten skal give kunden mulighed for at skifte med en maksimal opsigelsesperiode på to måneder, hvorefter den faktiske overførsel af data og digitale aktiver skal være gennemført inden for en overgangsperiode på højst tredive dage. Hvis det ikke er teknisk muligt, skal udbyderen forklare hvorfor og kan forlænge perioden, op til maksimalt syv måneder.
Fra den 12. januar 2027 må udbydere ikke længere opkræve gebyrer for skifte. Indtil da må de kun opkræve reducerede gebyrer, der ikke overstiger de omkostninger, der er direkte forbundet med skiftet. For organisationer, der er stærkt afhængige af en enkelt cloududbyder, giver disse regler ny indflydelse, når kontrakter fornys eller genforhandles. Tjek dine eksisterende cloudkontrakter for længere perioder eller gebyrer for skifte.
Hvornår kan offentlige myndigheder kræve dine data?
Offentlige myndigheder kan under strenge betingelser kræve, at virksomheder stiller data til rådighed i tilfælde af ekstraordinært behov, såsom en offentlig nødsituation. Anmodningen skal være specifik, forholdsmæssig og begrundet.
I en offentlig nødsituation skal dataindehavere stille dataene gratis til rådighed, undtagen mikro- og småvirksomheder, som er berettiget til kompensation. I andre tilfælde af ekstraordinært behov, for eksempel hvor dataene er nødvendige for at udføre en specifik opgave i samfundets interesse og ikke kan indhentes på anden måde, kan dataindehaveren kræve en rimelig kompensation.
Hvem håndhæver dataloven i Holland?
I Holland er tilsyn reguleret i implementeringsloven til dataloven (Uitvoeringswet dataverordening). Forbruger- og Markedsmyndigheden (ACM) fører tilsyn med størstedelen af forordningen, herunder reglerne om produktdata, datadeling mellem virksomheder og cloud-skift.
Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) er ansvarlig, når der er tale om personoplysninger. Begge myndigheder kan pålægge et påbud med bøde eller en administrativ bøde inden for deres eget område, og de samarbejder og udveksler oplysninger om overlappende spørgsmål.
Hvis en myndighed træffer en afgørelse imod din virksomhed, kan du indgive en indsigelse til den pågældende myndighed og derefter appellere til retten. Udover tilsyn kan en virksomhed også håndhæve sine rettigheder i henhold til forordningen ved de civile domstole, for eksempel hvis en dataindehaver nægter adgang til data.
Gælder dataloven også for små virksomheder?
Stort set, ja. Der er ingen generel undtagelse for små og mellemstore virksomheder. Designforpligtelsen for forbundne produkter og rimelighedstesten for kontraktvilkår gælder uanset virksomhedens størrelse.
Der er nogle undtagelser. Forpligtelserne vedrørende dataadgang og -deling i henhold til kapitel II gælder ikke for data genereret af produkter, der fremstilles, eller tjenester leveret af mikro- og småvirksomheder, forudsat at de ikke har en partner eller tilknyttet virksomhed, der er større. I en offentlig nødsituation har mikro- og småvirksomheder ret til kompensation. Mellemstore virksomheder er omfattet af en begrænset overgangsfritagelse. Tjek omhyggeligt, hvilken kategori din virksomhed falder ind under.
Hvad skal du gøre nu?
Gør status over de produkter, tjenester og kontrakter, der er omfattet af dataloven, og start med dem, der vil blive bragt på markedet efter den 12. september 2026.
- For forbundne produkter: Kontroller, om produktdesignet og brugeroplysningerne opfylder artikel 3, og opret en proces for anmodninger om dataadgang.
- For datakontrakter med andre virksomheder: gennemgå standardvilkår for databrug og ansvar for vilkår, der kan være urimelige.
- For cloud-tjenester: Tjek opsigelsesvarsel, overførselsperioder og skiftegebyrer i dine kontrakter.
- For personoplysninger: Dokumentér retsgrundlaget for hver datastrøm, og afstem databeskyttelsesloven og GDPR-overholdelse.
Tidlig tilpasning af dine produkter og kontrakter handler ikke kun om compliance . At tilbyde kunderne gennemsigtighed og dataadgang kan også være en kommerciel fordel.
Sammenfattende
- Dataloven har været gældende siden den 12. september 2025; designforpligtelsen for forbundne produkter gælder for produkter, der er bragt på markedet efter den 12. september 2026.
- Brugere kan tilgå de data, som deres forbundne produkter genererer, og få dem delt med tredjeparter, underlagt beskyttelse af forretningshemmeligheder.
- Ensidigt pålagte urimelige vilkår om dataadgang, brug og ansvar binder ikke den anden virksomhed.
- Cloud-udbydere skal facilitere skift og må ikke længere opkræve skiftgebyrer fra den 12. januar 2027.
- I Holland fører ACM og AP tilsyn med overholdelsen og kan pålægge bøder.
Ofte stillede spørgsmål
Gælder dataloven allerede for mine eksisterende forbundne produkter?
Forordningen har været gældende siden den 12. september 2025, men forpligtelsen til at designe forbundne produkter, så brugerne kan få direkte adgang til dataene, gælder kun for produkter, der er bragt på markedet efter den 12. september 2026. For produkter, der allerede er på markedet, kan brugerne stadig anmode om adgang til dataene fra dataindehaveren.
Hvad skal jeg gøre, hvis min datakontrakt indeholder klausuler, der begrænser adgangen til data?
Få kontrakten gennemgået. En ensidigt pålagt bestemmelse, der uhensigtsmæssigt begrænser den anden parts brug af data, som den har bidraget med, formodes at være urimelig og er derfor ikke bindende for den pågældende part. Den part, der indførte bestemmelsen, skal bevise, at den blev forhandlet. Tidlig genforhandling er normalt mere effektiv end at vente på en tvist.
Må jeg dele personoplysninger i henhold til dataloven uden et retsgrundlag i henhold til GDPR?
Nej. Dataloven giver ikke et retsgrundlag for videregivelse af personoplysninger. Hvis brugeren ikke er den registrerede, må personoplysninger kun videregives, hvis der er et gyldigt grundlag i henhold til artikel 6 i GDPR. Data indhentet i henhold til dataloven må heller ikke opbevares eller genbruges ud over, hvad GDPR tillader.
Kan jeg stadig opkræve gebyrer for skifte som cloududbyder?
Kun indtil den 12. januar 2027, og kun reducerede gebyrer, der ikke overstiger de omkostninger, der er direkte forbundet med skiftet. Fra denne dato er skiftegebyrer forbudt. Selve overførslen skal gennemføres inden for en overgangsperiode på højst tredive dage, medmindre dette ikke er teknisk muligt.
Hvilken tilsynsmyndighed håndhæver dataloven i Holland?
Forbruger- og Markedsmyndigheden (ACM) fører tilsyn med det meste af forordningen, herunder produktdata, datadeling mellem virksomheder og cloud-skift. Den hollandske databeskyttelsesmyndighed (AP) er ansvarlig, når der er tale om personoplysninger. Begge kan pålægge et påbud, der medfører bøde eller sanktioner, mod hvilket der kan gøres indsigelse eller klage.
Gælder dataloven også for små virksomheder?
Stort set, ja. Der er ingen generel undtagelse for små og mellemstore virksomheder. Forpligtelserne til dataadgang og -deling gælder ikke for data fra produkter eller tjenester leveret af mikro- og småvirksomheder uden en større partner eller tilknyttet virksomhed, og i en offentlig nødsituation har de ret til kompensation.
Law & More rådgiver virksomheder om datakontrakter, cloudaftaler og overholdelse af dataloven og GDPR. Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.
Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .
