Data uit verbonden producten: ontwerpplichten sinds 12-09-2026

Het juridisch kader

De Data Act, Verordening (EU) 2023/2854 (officieel de Dataverordening), is van toepassing sinds 12 september 2025. Eén plicht kreeg een jaar extra: de verplichting van artikel 3, lid 1, om verbonden producten en gerelateerde diensten zo te ontwerpen dat hun gegevens toegankelijk zijn voor de gebruiker, geldt voor producten en diensten die na 12 september 2026 in de handel worden gebracht (artikel 50).

Deze verdieping behandelt hoofdstuk II, de artikelen 3 tot en met 7. Voor de verordening als geheel, zie ons overzicht van de Data Act.

Wie valt eronder

De verordening werkt met omschreven rollen (artikel 2):

• Een verbonden product is een goed dat gegevens over zijn gebruik of omgeving verkrijgt, genereert of verzamelt, productgegevens kan doorgeven via een elektronische-communicatiedienst, een fysieke verbinding of toegang op het apparaat, en waarvan de hoofdfunctie niet de opslag, verwerking of doorgifte van gegevens voor een ander dan de gebruiker is (punt 5). Overweging 14 noemt voertuigen, gezondheids- en lifestyle-uitrusting, schepen, vliegtuigen, huishoudtoestellen en consumentengoederen, medische en gezondheidshulpmiddelen, en landbouw- en industriële machines.
• Een gerelateerde dienst is een digitale dienst, ook software, zonder welke het product een functie niet kan vervullen, of die later wordt gekoppeld om functies toe te voegen, bij te werken of aan te passen (punt 6), zoals de app waarmee je een warmtepomp bedient.
• Productgegevens zijn gegevens die door het gebruik van een verbonden product worden gegenereerd en die de fabrikant opvraagbaar heeft gemaakt (punt 15). Gegevens van een gerelateerde dienst geven handelingen van de gebruiker of gebeurtenissen tijdens de gerelateerde dienst weer (punt 16). Eenvoudig beschikbare gegevens zijn gegevens die een gegevenshouder rechtmatig kan verkrijgen zonder onevenredige inspanning die verder gaat dan een eenvoudige handeling (punt 17).
• De gebruiker is eigenaar van het product, heeft contractuele gebruiksrechten of ontvangt de gerelateerde dienst (punt 12). De gegevenshouder heeft het recht of de plicht om de gegevens te gebruiken en beschikbaar te stellen (punt 13), vaak de fabrikant of de dienstverlener.

Plicht 1: toegang door ontwerp (artikel 3, lid 1)

Verbonden producten worden zo ontworpen en vervaardigd, en gerelateerde diensten zo ontworpen en verleend, dat productgegevens en gegevens van een gerelateerde dienst, met de metagegevens die nodig zijn om ze te interpreteren en te gebruiken, standaard toegankelijk zijn voor de gebruiker, "gemakkelijk, veilig, kosteloos en in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat", en voor zover relevant en technisch haalbaar rechtstreeks (artikel 3, lid 1).

In de praktijk gaat het meestal om een exportfunctie, een lokale interface of een API, ingebouwd en gedocumenteerd. De plicht geldt voor verbonden producten en gerelateerde diensten die na 12 september 2026 in de handel worden gebracht. In de handel brengen is het voor het eerst in de Unie op de markt aanbieden van een verbonden product (artikel 2, punt 22). De tekst koppelt de plicht aan die datum per verbonden product; een model is niet vrijgesteld alleen omdat het vroeger werd gelanceerd.

Plicht 2: informatie vóór het contract (artikel 3, leden 2 en 3)

Vóór een contract voor de koop, huur of lease van een verbonden product geeft de verkoper, verhuurder of lessor, die de fabrikant kan zijn, de gebruiker duidelijk minstens deze informatie (artikel 3, lid 2):

• het type, het formaat en het geschatte volume van de productgegevens die het product kan genereren;
• of het product continu en in realtime gegevens kan genereren;
• of het gegevens op het apparaat of op een server op afstand kan opslaan, en hoelang;
• hoe de gebruiker de gegevens kan raadplegen, ophalen of wissen, met de technische middelen, de gebruiksvoorwaarden en de kwaliteit van de dienst.

Vóór een contract voor een gerelateerde dienst geeft de aanbieder een langere lijst (artikel 3, lid 3), onder meer: de gegevens die hij zal verkrijgen en genereren, opslag en bewaartermijn, zijn eigen beoogde gebruik en dat door derden, zijn identiteit en contactgegevens, hoe je delen met een derde vraagt, het recht om klacht in te dienen, wie bedrijfsgeheimen in de gegevens houdt, en de duur en beëindiging van het contract.

Plicht 3: toegang op verzoek (artikel 4)

Kan de gebruiker niet rechtstreeks aan de gegevens, dan stelt de gegevenshouder eenvoudig beschikbare gegevens en de nodige metagegevens zonder onnodige vertraging ter beschikking, in dezelfde kwaliteit als waarover hij zelf beschikt, kosteloos, in een gestructureerd machineleesbaar formaat en, voor zover relevant en haalbaar, continu en in realtime, op een eenvoudig elektronisch verzoek (artikel 4, lid 1). De gegevenshouder mag keuzes niet bemoeilijken via het ontwerp van zijn interface (artikel 4, lid 4) en niet meer informatie vragen dan nodig om de gebruiker te controleren (artikel 4, lid 5).

De gegevenshouder mag eenvoudig beschikbare niet-persoonsgebonden gegevens alleen gebruiken op basis van een contract met de gebruiker, en mag er geen inzichten uit halen in de economische situatie, activa of productiemethoden van de gebruiker op een manier die diens commerciële positie kan ondermijnen (artikel 4, lid 13). Hij mag niet-persoonsgebonden productgegevens niet aan derden geven, behalve om zijn contract met de gebruiker uit te voeren (artikel 4, lid 14). De gebruiker mag de gegevens op zijn beurt niet gebruiken om een concurrerend verbonden product te ontwikkelen (artikel 4, lid 10).

Plicht 4: delen met derden (artikelen 5 en 6)

Op verzoek van de gebruiker stelt de gegevenshouder eenvoudig beschikbare gegevens ter beschikking van een derde, kosteloos voor de gebruiker en in dezelfde kwaliteit (artikel 5, lid 1). Tegenover de derde kan de gegevenshouder een vergoeding afspreken volgens de artikelen 8 en 9. Poortwachters onder de Digital Markets Act zijn geen in aanmerking komende derden (artikel 5, lid 3). De derde mag de gegevens alleen gebruiken voor de doeleinden die met de gebruiker zijn afgesproken, wist ze als ze niet meer nodig zijn, mag ze niet gebruiken om een concurrerend product te ontwikkelen en mag ze niet aan een poortwachter geven (artikel 6).

Gaat het om persoonsgegevens en is de gebruiker niet de betrokkene, dan mag de gegevenshouder ze alleen delen met een rechtsgrond onder de AVG (artikel 4, lid 12, en artikel 5, lid 7).

Bedrijfsgeheimen

Bedrijfsgeheimen worden alleen bekendgemaakt als de gegevenshouder en de gebruiker, of de derde, vooraf evenredige technische en organisatorische maatregelen afspreken om de vertrouwelijkheid te bewaren. De gegevenshouder duidt de bedrijfsgeheimen aan, ook in de metagegevens (artikel 4, lid 6, en artikel 5, lid 9). Is er geen akkoord, of worden de maatregelen geschonden, dan kan de gegevenshouder het delen schriftelijk tegenhouden of opschorten en moet hij de bevoegde autoriteit verwittigen (artikel 4, lid 7, en artikel 5, lid 10). Alleen in uitzonderlijke omstandigheden, als ernstige economische schade ondanks de maatregelen zeer waarschijnlijk is, mag hij een specifiek verzoek weigeren, opnieuw met schriftelijke motivering en melding aan de autoriteit (artikel 4, lid 8, en artikel 5, lid 11). Ons artikel over databankenrecht en bedrijfsgeheimen legt uit hoe die beschermingen samenhangen.

Wie is vrijgesteld (artikel 7)

Hoofdstuk II geldt niet voor gegevens die worden gegenereerd door verbonden producten die een micro- of kleine onderneming vervaardigt of gerelateerde diensten die ze verleent, zolang ze geen partner- of verbonden onderneming boven die omvang heeft en niet als onderaannemer het product maakt of de dienst verleent. Hetzelfde geldt voor een onderneming die minder dan een jaar als middelgroot geldt, en voor de producten van een middelgrote onderneming tot een jaar nadat ze die in de handel bracht (artikel 7, lid 1). Een contractueel beding dat de rechten van de gebruiker onder hoofdstuk II in zijn nadeel uitsluit of wijzigt, is voor hem niet bindend (artikel 7, lid 2).

Handhaving

Gebruikers kunnen klacht indienen bij de bevoegde autoriteit onder artikel 38 of een geschillenbeslechtingsinstantie inschakelen. De lidstaten bepalen de sancties (artikel 40).

In de praktijk

Een Belgische fabrikant van landbouwrobots brengt in oktober 2026 een nieuw model uit. Omdat het na 12 september 2026 in de handel komt, geldt artikel 3, lid 1: de landbouwer moet perceel- en machinegegevens kosteloos en in een gestructureerd, machineleesbaar formaat uit de robot of de app kunnen halen. De dealer die de robot verkoopt, geeft vóór de verkoop de informatie van artikel 3, lid 2, dus de fabrikant bezorgt elke dealer een standaardinformatieblad.

Robots van het oudere model die de fabrikant vóór 12 september 2026 in de handel bracht, hoeven onder artikel 3, lid 1, niet te worden aangepast. Omdat de plicht gekoppeld is aan de datum waarop elk verbonden product in de handel wordt gebracht, kijkt de fabrikant ook na of exemplaren van het oude model die hij na die datum nog levert de functie nodig hebben. De andere plichten gelden voor alle robots in gebruik: een landbouwer kan onder artikel 4 de eenvoudig beschikbare gegevens opvragen en ze onder artikel 5 naar een onafhankelijke agronoom laten sturen.

Een start-up met 20 werknemers maakt slimme sensoren voor bijenkasten en heeft geen grotere partner- of verbonden onderneming. Ze valt onder de vrijstelling van artikel 7. Neemt een grote landbouwgroep een meerderheidsbelang, dan vervalt de vrijstelling, want de start-up heeft dan een verbonden onderneming die niet klein is.

Een maker van thermostaten mag niet-persoonsgebonden gebruiksgegevens gebruiken om zijn producten te verbeteren op basis van zijn contract met de gebruiker (artikel 4, lid 13), maar mag ze buiten dat contract niet verkopen aan een energiehandelaar (artikel 4, lid 14).

Praktische stappen

1. Maak een lijst van de verbonden producten en gerelateerde diensten die je in de handel brengt, en wanneer.
2. Kijk voor producten die na 12 september 2026 in de handel komen na of de toegangsfunctie bestaat, kosteloos, veilig en machineleesbaar is, en gedocumenteerd.
3. Stel de informatiebladen van artikel 3, leden 2 en 3, op en bezorg ze aan elke dealer en lessor.
4. Richt een kanaal in voor verzoeken onder de artikelen 4 en 5, met identiteitscontroles die niet meer vragen dan nodig.
5. Duid de bedrijfsgeheimen in je gegevens en metagegevens aan en bereid een standaardpakket vertrouwelijkheidsmaatregelen voor.
6. Ga na of je onder de vrijstelling van artikel 7 valt, en let op wijzigingen in je groepsstructuur.

Contracten

Je hebt een contract met elke gebruiker nodig om niet-persoonsgebonden gegevens zelf te gebruiken (artikel 4, lid 13). Geef het duidelijke doeleinden en toets het voor zakelijke gebruikers aan artikel 13. De modelcontractvoorwaarden van de Commissie in bijlage II bij Aanbeveling (EU) 2026/2394 gaan precies over die relatie tussen gegevenshouders en gebruikers, en bijlage IV over het contract met derden die op verzoek van de gebruiker gegevens ontvangen; we bespreken ze in ons overzicht van de Data Act. Leg in dealer- en leasecontracten vast wie de informatie van artikel 3, lid 2, geeft en wie op toegangsverzoeken antwoordt.

Veelgestelde vragen

Moeten we producten die al op de markt zijn opnieuw ontwerpen?

Niet de producten die al vóór 12 september 2026 in de handel waren. Artikel 3, lid 1, geldt voor verbonden producten en gerelateerde diensten die na die datum in de handel komen, dus kijk de producten na die je vandaag nog in de handel brengt.

Moet de gebruiker betalen voor toegang?

Nee. Toegang voor de gebruiker is kosteloos (artikel 3, lid 1, en artikel 4, lid 1). Delen met een derde is kosteloos voor de gebruiker, maar de gegevenshouder kan met de derde een redelijke vergoeding afspreken (artikel 5, lid 1, en artikel 9).

Kunnen we weigeren omdat de gegevens onze knowhow blootleggen?

Zelden. De regel is delen met vooraf afgesproken vertrouwelijkheidsmaatregelen. Weigeren kan alleen in uitzonderlijke gevallen met zeer waarschijnlijke ernstige economische schade, schriftelijk gemotiveerd en gemeld aan de autoriteit.

Hoe dit samenhangt

Onze dienst datalicenties en datadeling stelt het gebruikerscontract, de dealerinformatie en de voorwaarden voor derden op, en bescherming van data en databanken helpt je bedrijfsgeheimen aan te duiden en te beschermen voordat je deelt. Document Studio maakt de informatiebladen en contractsets op, en het register van rechten en verplichtingen volgt afgesproken doeleinden, vertrouwelijkheidsmaatregelen en wisplichten op.

In één oogopslag

Aangehaalde bepalingen: Verordening (EU) 2023/2854, artikel 2, punten 5, 6, 12, 13, 15, 16, 17 en 22, artikelen 3 tot en met 7, 9, 13, 38, 40 en 50; Aanbeveling (EU) 2026/2394 van de Commissie, bijlagen II en IV.

Belangrijke data: Data Act in werking op 11 januari 2024; van toepassing sinds 12 september 2025; toegang door ontwerp (artikel 3, lid 1) voor verbonden producten en gerelateerde diensten die na 12 september 2026 in de handel komen.

Verwant: het overzicht van de Data Act, Verordening cyberweerbaarheid I, producten en klassen voor de beveiligingseisen van dezelfde producten, en databankenrecht en bedrijfsgeheimen.