Data Act 2023/2854 NL

a)	het beschikbaar stellen van productgegevens en gegevens van een gerelateerde dienst aan de gebruiker van het verbonden product of gerelateerde dienst;

b)	het beschikbaar stellen van gegevens door gegevenshouders aan gegevensontvangers;

c)	het beschikbaar stellen van gegevens door gegevenshouders aan overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie, indien er sprake is van een uitzonderlijke noodzaak aan die gegevens voor de uitvoering van een specifieke taak in het algemeen belang;

d)	het vergemakkelijken van het overstappen tussen dataverwerkingsdiensten;

e)	het invoeren van waarborgen tegen ongeoorloofde toegang van derden tot niet-persoonsgebonden gegevens; en

f)	de ontwikkeling van interoperabiliteitsnormen voor te raadplegen, door te geven en te gebruiken gegevens.

2. Deze verordening heeft betrekking op persoonsgegevens en niet-persoonsgebonden gegevens, waaronder de volgende soorten gegevens, in de volgende contexten:

a)	hoofdstuk II is van toepassing op gegevens, met uitzondering van inhoud, betreffende de prestaties, het gebruik en de omgeving van verbonden producten en gerelateerde diensten;

b)	hoofdstuk III is van toepassing op alle gegevens van de particuliere sector waarvoor wettelijke gegevensdelingsverplichtingen gelden;

c)	hoofdstuk IV is van toepassing op alle gegevens van de particuliere sector die worden geraadpleegd en gebruikt op basis van overeenkomsten tussen ondernemingen;

d)	hoofdstuk V is van toepassing op alle gegevens van de particuliere sector, met de nadruk op niet-persoonsgebonden gegevens;

e)	hoofdstuk VI is van toepassing op alle gegevens en diensten die door aanbieders van dataverwerkingsdiensten worden verwerkt;

f)	hoofdstuk VII is van toepassing op alle niet-persoonsgebonden gegevens die in de Unie in handen zijn van aanbieders van dataverwerkingsdiensten.

3. Deze verordening is van toepassing op:

a)	fabrikanten van verbonden producten die in de Unie in de handel worden gebracht en aanbieders van gerelateerde diensten, ongeacht de vestigingsplaats van die fabrikanten en aanbieders;

b)	gebruikers in de Unie van verbonden producten of gerelateerde diensten zoals bedoeld in punt a);

c)	gegevenshouders, ongeacht hun vestigingsplaats, die gegevens ter beschikking stellen van gegevensontvangers in de Unie;

d)	gegevensontvangers in de Unie aan wie gegevens ter beschikking worden gesteld;

overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie die gegevenshouders verzoeken gegevens beschikbaar te stellen indien er sprake is van een uitzonderlijke noodzaak om die gegevens te gebruiken voor de uitvoering van een specifieke taak in het algemeen belang, en de gegevenshouders die die gegevens in antwoord op een dergelijk verzoek verstrekken;

f)	aanbieders van dataverwerkingsdiensten, ongeacht hun vestigingsplaats, die dergelijke diensten aan klanten in de Unie aanbieden;

g)	deelnemers aan dataruimten en verkopers van toepassingen die gebruikmaken van slimme contracten en personen wier handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst behelst.

4. Waar in deze verordening wordt verwezen naar verbonden producten of gerelateerde diensten, worden die verwijzingen ook geacht virtuele assistenten te omvatten, voor zover deze interageren met een verbonden product of gerelateerde dienst.

5. Deze verordening doet geen afbreuk aan het Unierecht en het nationale recht inzake de bescherming van persoonsgegevens, de persoonlijke levenssfeer en de vertrouwelijkheid van communicatie en de integriteit van eindapparatuur, die van toepassing zijn op persoonsgegevens die worden verwerkt in verband met de hierin vastgelegde rechten en verplichtingen, in het bijzonder Verordeningen (EU) 2016/679 en (EU) 2018/1725 en Richtlijn 2002/58/EG, met inbegrip van de bevoegdheden van toezichthoudende autoriteiten en de rechten van datasubjecten. Voor zover gebruikers datasubjecten zijn, vormen de in hoofdstuk II van deze verordening vastgelegde rechten een aanvulling op de rechten van toegang door datasubjecten en de rechten van overdraagbaarheid van gegevens uit hoofde van de artikelen 15 en 20 van Verordening (EU) 2016/679. Indien deze verordening en het Unierecht inzake de bescherming van persoonsgegevens of de persoonlijke levenssfeer, of het overeenkomstig dat Unierecht vastgestelde nationale wetgeving tegenstrijdig zijn, prevaleert het relevante Unie- of nationale recht inzake de bescherming van persoonsgegevens of de persoonlijke levenssfeer.

6. Deze verordening is niet van toepassing op en loopt niet vooruit op vrijwillige regelingen voor het uitwisselen van gegevens tussen particuliere entiteiten en overheidsinstanties, met name vrijwillige regelingen voor het delen van gegevens.

Deze verordening heeft geen gevolgen voor Unie- of nationale rechtshandelingen die voorzien in het delen van, de toegang tot en het gebruik van gegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of de tenuitvoerlegging van straffen, of voor douane- en belastingdoeleinden, met name de Verordeningen (EU) 2021/784, (EU) 2022/2065 en (EU) 2023/1543, Richtlijn (EU) 2023/1544, of internationale samenwerking op dit gebied. Deze verordening is niet van toepassing op het verzamelen of delen van, de toegang tot of het gebruik van gegevens uit hoofde van Verordening (EU) 2015/847 en Richtlijn (EU) 2015/849. Deze verordening is niet van toepassing op buiten het toepassingsgebied van het Unierecht vallende gebieden en doet in geen geval afbreuk aan de bevoegdheden van de lidstaten inzake openbare veiligheid, defensie of nationale veiligheid, ongeacht het soort entiteit dat door de lidstaten is belast met de uitvoering van taken in verband met die bevoegdheden, noch aan hun bevoegdheid om andere essentiële staatsfuncties te waarborgen, waaronder het waarborgen van de territoriale integriteit van de staat en de handhaving van de openbare orde. Deze verordening doet geen afbreuk aan de bevoegdheden van de lidstaten op het gebied van douane- en belastingadministratie of de gezondheid en veiligheid van de burgers.

7. Deze verordening vormt een aanvulling op de zelfregulerende aanpak in Verordening (EU) 2018/1807 door algemeen toepasselijke verplichtingen toe te voegen voor het overstappen naar andere clouddiensten.

8. Deze verordening doet geen afbreuk aan Unie- of nationale rechtshandelingen die voorzien in de bescherming van intellectuele eigendomsrechten, met name de Richtlijnen 2001/29/EG, 2004/48/EG en (EU) 2019/790.

9. Deze verordening vormt een aanvulling op en doet geen afbreuk aan het Unierecht dat erop gericht is de belangen van consumenten te behartigen en een hoog niveau van consumentenbescherming te waarborgen en hun gezondheid, veiligheid en economische belangen te beschermen, met name de Richtlijnen 93/13/EEG, 2005/29/EG en 2011/83/EU.

10. Deze verordening vormt geen beletsel voor de sluiting van vrijwillige rechtmatige gegevensdelingsovereenkomsten, waaronder wederkerige overeenkomsten, die voldoen aan de in deze verordening vastgestelde vereisten.

Artikel 4

De rechten en plichten van gebruikers en gegevenshouders wat betreft het raadplegen, gebruiken en beschikbaar stellen van productgegevens en gegevens van een gerelateerde dienst

1. Indien de gebruiker geen rechtstreekse toegang heeft tot de gegevens via het verbonden product of de gerelateerde dienst, stellen gegevenshouders de eenvoudig beschikbare gegevens, alsook de relevante metagegevens die nodig zijn om die gegevens te interpreteren en te gebruiken, onmiddellijk, met dezelfde kwaliteit als de voor de gegevenshouder beschikbare gegevens, gemakkelijk, veilig, kosteloos, in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat ter beschikking van de gebruiker, voor zover dat relevant en technisch haalbaar is, en gebeurt deze terbeschikkingstelling continu en in realtime. Voor zover technisch haalbaar, gebeurt dit op eenvoudig elektronisch verzoek.

2. Gebruikers en gegevenshouders kunnen de toegang tot gegevens of het gebruik of verder delen daarvan contractueel beperken of verbieden indien een dergelijke verwerking de beveiligingsvereisten van het verbonden product, zoals vastgesteld in het Unie- of nationaal recht, zou kunnen ondermijnen, met ernstige negatieve gevolgen voor de gezondheid, veiligheid of beveiliging van natuurlijke personen. De sectorale autoriteiten kunnen in dat verband gebruikers en houders van gegevens technische expertise verstrekken. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit artikel, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

3. Onverminderd het recht van de gebruiker om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan de gebruiker met betrekking tot elk geschil met de gegevenshouder over de in lid 2 bedoelde contractuele beperkingen of verboden:

a)	overeenkomstig artikel 37, lid 5, punt b), een klacht indienen bij de bevoegde autoriteit, of

b)	met de gegevenshouder overeenkomen de zaak voor te leggen aan een geschillenbeslechtingsorgaan overeenkomstig artikel 10, lid 1.

4. Gegevenshouders maken het maken van keuzes of de uitoefening van de rechten op grond van dit artikel van gebruikers niet onnodig moeilijk door bijvoorbeeld de keuzemogelijkheden voor de gebruiker op een niet-neutrale manier te presenteren of door de autonomie, besluitvorming of vrije keuze van de gebruikers te ondermijnen of te belemmeren via de structuur, het ontwerp, de functie of de gebruikswijze van een digitale gebruikersinterface of een deel daarvan.

5. Om na te gaan of een natuurlijke of rechtspersoon als gebruiker op grond van lid 1 kan worden aangemerkt, mag een gegevenshouder van die persoon niet verlangen dat die persoon informatie verstrekt die verder gaat dan nodig is. Gegevenshouders bewaren geen informatie, met name loggegevens, over de toegang van de gebruiker tot de gevraagde gegevens die verder gaat dan nodig is voor de goede uitvoering van het toegangsverzoek van de gebruiker en voor de beveiliging en het onderhoud van de data-infrastructuur.

6. Bedrijfsgeheimen worden bewaard en worden alleen bekendgemaakt op voorwaarde dat de gegevenshouder en de gebruiker voorafgaand aan de bekendmaking alle noodzakelijke maatregelen nemen om de vertrouwelijkheid ervan te waarborgen, met name ten aanzien van derden. De gegevenshouder, of de houder van het bedrijfsgeheim wanneer deze niet de gegevenshouder is, identificeert de gegevens die als bedrijfsgeheim worden beschermd, onder meer in de relevante metagegevens, en komt met de gebruiker evenredige technische en organisatorische maatregelen overeen, zoals modelcontractvoorwaarden, vertrouwelijkheidsovereenkomsten, strikte toegangsprotocollen, technische normen en de toepassing van gedragscodes, die noodzakelijk zijn om de vertrouwelijkheid van de gedeelde gegevens te waarborgen, met name ten aanzien van derden.

7. Indien er geen overeenstemming wordt bereikt over de in lid 6 bedoelde noodzakelijke maatregelen, of indien de gebruiker de op grond van lid 6 overeengekomen maatregelen niet uitvoert of de vertrouwelijkheid van de bedrijfsgeheimen ondermijnt, kan de gegevenshouder het delen van als bedrijfsgeheim aangemerkte gegevens tegenhouden of, naargelang van het geval, opschorten. Het besluit van de gegevenshouder wordt naar behoren gemotiveerd en onverwijld schriftelijk aan de gebruiker meegedeeld. In dergelijke gevallen stelt de gegevenshouder de op grond van artikel 37 aangewezen bevoegde autoriteit in kennis van het feit dat hij het delen van gegevens heeft geweigerd of opgeschort, en vermeldt hij welke maatregelen niet zijn overeengekomen of uitgevoerd en, in voorkomend geval, van welke bedrijfsgeheimen de vertrouwelijkheid is ondermijnd.

8. In uitzonderlijke omstandigheden, wanneer de gegevenshouder die houder is van een bedrijfsgeheim kan aantonen dat hij door de bekendmaking van bedrijfsgeheimen, ondanks de door de gebruiker op grond van lid 6 van dit artikel genomen technische en organisatorische maatregelen, zeer waarschijnlijk ernstige economische schade zal lijden, kan die gegevenshouder per geval een verzoek om toegang tot de specifieke gegevens in kwestie weigeren. Dat bewijs wordt naar behoren onderbouwd op basis van objectieve elementen, met name de afdwingbaarheid van de bescherming van bedrijfsgeheimen in derde landen, de aard en het niveau van vertrouwelijkheid van de gevraagde gegevens, en de mate waarin het om een uniek en nieuw verbonden product gaat, en wordt onverwijld schriftelijk aan de gebruiker verstrekt. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit lid, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

9. Onverminderd het recht van een gebruiker om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan een gebruiker het besluit van een gegevenshouder om het delen van gegevens op grond van de leden 7 en 8 te weigeren, tegen te houden of op te schorten aanvechten door:

a)	overeenkomstig artikel 37, lid 5, punt b), een klacht in te dienen bij de bevoegde autoriteit, die onverwijld beslist of en onder welke voorwaarden het delen van gegevens aanvangt of wordt hervat, of

b)	met de gegevenshouder overeen te komen de zaak voor te leggen aan een geschillenbeslechtingsorgaan overeenkomstig artikel 10, lid 1.

10. De gebruiker mag gegevens die zijn verkregen naar aanleiding van een in lid 1 bedoeld verzoek niet gebruiken om een verbonden product te ontwikkelen dat concurreert met het verbonden product waaruit de gegevens afkomstig zijn, noch met datzelfde oogmerk gegevens delen met een derde, en mag die gegevens evenmin gebruiken om inzicht te verkrijgen in de economische situatie, activa en productiemethoden van de fabrikant of, in voorkomend geval, de gegevenshouder.

11. De gebruiker mag geen dwangmiddelen gebruiken of misbruik maken van leemten in de technische infrastructuur van een gegevenshouder die bedoeld is om de gegevens te beschermen, teneinde toegang tot gegevens te verkrijgen.

12. Indien de gebruiker niet het datasubject is van wie de persoonsgegevens worden opgevraagd, worden persoonsgegevens die door het gebruik van een verbonden product of een gerelateerde dienst zijn gegenereerd, door de gegevenshouder alleen ter beschikking gesteld van de gebruiker indien er een geldige rechtsgrond voor verwerking bestaat uit hoofde van artikel 6 van Verordening (EU) 2016/679 en, in voorkomend geval, indien aan de voorwaarden van artikel 9 van die verordening en van artikel 5, lid 3, van Richtlijn 2002/58/EG wordt voldaan.

13. Een gegevenshouder gebruikt alleen eenvoudig beschikbare gegevens die niet-persoonsgebonden gegevens zijn op basis van een overeenkomst met de gebruiker. Een gegevenshouder gebruikt dergelijke gegevens niet om inzichten in de economische situatie, de activa of de productiemethoden van de gebruiker of het gebruik van het product of de dienst door de gebruiker te verwerven, op enige andere wijze die de commerciële positie van die gebruiker op de markten waarop deze actief is, zouden kunnen ondermijnen.

14. Gegevenshouders stellen niet-persoonsgebonden productgegevens niet beschikbaar aan derden voor andere commerciële of niet-commerciële doeleinden dan de uitvoering van hun overeenkomst met de gebruiker. In voorkomend geval verplichten gegevenshouders derden er contractueel toe de van hen ontvangen gegevens niet verder te delen.

Artikel 10

Geschillenbeslechting

1. Gebruikers, gegevenshouders en gegevensontvangers hebben toegang tot een overeenkomstig lid 5 van dit artikel gecertificeerd geschillenbeslechtingsorgaan om geschillen op grond van artikel 4, leden 3 en 9, en artikel 5, lid 12, te beslechten alsmede geschillen met betrekking tot de eerlijke, redelijke en niet-discriminerende voorwaarden voor en transparante wijze van het beschikbaar stellen van gegevens overeenkomstig dit hoofdstuk en hoofdstuk IV.

2. De geschillenbeslechtingsorganen stellen de betrokken partijen in kennis van de vergoedingen of van de mechanismen om de vergoedingen vast te stellen, voordat die partijen om een besluit verzoeken.

3. Voor geschillen die worden verwezen naar een geschillenbeslechtingsorgaan op grond van artikel 4, lid 3, en artikel 5 lid 12, geldt dat, indien het geschillenbeslechtingsorgaan het geschil in het voordeel van de gebruiker of de gegevensontvanger beslecht, de gegevenshouder alle door het geschillenbeslechtingsorgaan aangerekende kosten op zich neemt en aan die gebruiker of die gegevensontvanger alle overige redelijke kosten terugbetaalt die deze in verband met de geschillenbeslechting heeft gemaakt. Indien het geschillenbeslechtingsorgaan het geschil in het voordeel van de gegevenshouder beslecht, hoeft de gebruiker of de gegevensontvanger geen vergoedingen of andere door de gegevenshouder in verband met de geschillenbeslechting gemaakte of nog te maken kosten terug te betalen, tenzij het geschillenbeslechtingsorgaan van oordeel is dat de gebruiker of de gegevensontvanger duidelijk te kwader trouw heeft gehandeld.

4. Klanten en aanbieders van dataverwerkingsdiensten hebben toegang tot een overeenkomstig lid 5 van dit artikel gecertificeerd geschillenbeslechtingsorgaan om geschillen te beslechten met betrekking tot inbreuken op de rechten van klanten en de verplichtingen van aanbieders van dataverwerkingsdiensten overeenkomstig de artikelen 23 tot en met 31.

5. De lidstaat waar het geschillenbeslechtingsorgaan is gevestigd, certificeert dat orgaan op verzoek van dat orgaan, indien het heeft aangetoond dat het aan alle volgende voorwaarden voldoet:

a)	het is onpartijdig en onafhankelijk en neemt zijn besluiten volgens een duidelijk, niet-discriminerend en eerlijk reglement van orde;

het beschikt over de nodige deskundigheid, met name met betrekking tot eerlijke, redelijke en niet-discriminerende voorwaarden voor het beschikbaar stellen van gegevens, alsook de vergoeding daarvoor, en het op transparante wijze beschikbaar stellen van gegevens, zodat het die voorwaarden doeltreffend kan bepalen;

c)	het is gemakkelijk toegankelijk via elektronische communicatietechnologie;

d)	het kan snel, efficiënt en kosteneffectief in ten minste een van de officiële talen van de Unie een besluit vaststellen.

6. De lidstaten stellen de Commissie in kennis van de overeenkomstig lid 5 gecertificeerde geschillenbeslechtingsorganen. De Commissie publiceert een lijst van deze organen op een speciale website en houdt deze actueel.

7. Een geschillenbeslechtingsorgaan weigert een verzoek om beslechting van een geschil dat al voor een ander geschillenbeslechtingsorgaan of voor een rechterlijke instantie van een lidstaat is gebracht.

8. Een geschillenbeslechtingsorgaan biedt partijen de mogelijkheid om binnen een redelijke termijn hun standpunten over de aangelegenheden die zij bij dat orgaan aanhangig hebben gemaakt, kenbaar te maken. In dat verband wordt elke partij bij een geschil voorzien van de opmerkingen van de andere partij met betrekking tot hun geschil en eventuele deskundigenverklaringen. De partijen krijgen de mogelijkheid om op deze opmerkingen en verklaringen te reageren.

9. Een geschillenbeslechtingsorgaan neemt binnen 90 dagen na ontvangst van een verzoek op grond van de leden 1 en 4 een besluit over een aangelegenheid die haar is voorgelegd. Dat besluit wordt schriftelijk of op een duurzame drager opgesteld en wordt met een motivering gestaafd.

10. Geschillenbeslechtingsorganen stellen jaarlijkse activiteitenverslagen op en maken deze openbaar. Zulke jaarverslagen bevatten met name de volgende algemene informatie:

a)	een synthese van de uitkomsten van geschillen;

b)	de gemiddelde tijd die de beslechting van de geschillen in beslag heeft genomen;

c)	de meest voorkomende redenen voor geschillen.

11. Om de uitwisseling van informatie en beste praktijken te vergemakkelijken, kan een geschillenbeslechtingsorgaan besluiten in het in lid 10 bedoelde verslag aanbevelingen te doen over de wijze waarop problemen kunnen worden voorkomen of opgelost.

12. Het besluit van een geschillenbeslechtingsorgaan is alleen bindend voor de partijen indien deze vóór aanvang van de geschillenbeslechtingsprocedure uitdrukkelijk hebben ingestemd met het bindende karakter ervan.

13. Dit artikel doet geen afbreuk aan het recht van partijen om een doeltreffende voorziening in rechte in te stellen bij een rechterlijke instantie van een lidstaat.

Artikel 12

Reikwijdte van de verplichtingen voor gegevenshouders die krachtens het Unierecht verplicht zijn om gegevens beschikbaar te stellen

1. Dit hoofdstuk is van toepassing wanneer een gegevenshouder in relaties tussen ondernemingen krachtens artikel 5, krachtens het toepasselijke Unierecht of krachtens toepasselijke overeenkomstig het Unierecht vastgestelde nationale wetgeving, verplicht is gegevens ter beschikking te stellen aan een gegevensontvanger.

2. Een contractvoorwaarde in een gegevensdelingsovereenkomst die, ten nadele van een partij of, in voorkomend geval, ten nadele van de gebruiker, de toepassing van dit hoofdstuk uitsluit, daarvan afwijkt of de gevolgen ervan wijzigt, is niet bindend voor die partij.

HOOFDSTUK IV

ONEERLIJKE CONTRACTUELE BEDINGEN MET betrekking TOT DE TOEGANG TOT EN HET GEBRUIK VAN GEGEVENS TUSSEN ONDERNEMINGEN

Artikel 13

Oneerlijke contractuele bedingen die eenzijdig worden opgelegd aan een andere onderneming

1. Een contractueel beding betreffende de toegang tot en het gebruik van gegevens of aansprakelijkheid en remedies in geval van schending of beëindiging van gegevensgerelateerde verplichtingen dat eenzijdig door een onderneming is opgelegd aan een andere onderneming, is niet bindend voor laatstgenoemde onderneming indien dit oneerlijk is.

2. Een contractueel beding dat dwingende bepalingen van het Unierecht weerspiegelt, of bepalingen van het Unierecht die van toepassing zouden zijn indien de contractuele bedingen de kwestie niet zouden regelen, wordt niet als oneerlijk beschouwd.

3. Een contractueel beding is oneerlijk indien het van dien aard is dat het gebruik ervan sterk afwijkt van goede handelspraktijken bij de toegang tot en het gebruik van gegevens, in strijd met de goede trouw en eerlijke behandeling.

4. Een contractueel beding is met name oneerlijk in de zin van lid 3 indien dat beding het volgende tot doel of gevolg heeft:

a)	de partij die het beding eenzijdig heeft opgelegd, draagt geen of beperkte aansprakelijkheid voor opzettelijke handelingen of grove nalatigheid;

de partij waaraan het beding eenzijdig is opgelegd, wordt uitgesloten van de remedies waarover deze beschikt in het geval van niet-nakoming van contractuele verplichtingen of de partij die het beding eenzijdig heeft opgelegd, draagt geen aansprakelijkheid in het geval van een niet-nakoming van die verplichtingen;

c)	de partij die het beding eenzijdig heeft opgelegd beschikt over het exclusieve recht om te bepalen of de verstrekte gegevens in overeenstemming zijn met de overeenkomst of om contractsbedingen uit te leggen.

5. Een contractueel beding wordt geacht oneerlijk te zijn in de zin van lid 3 indien het ertoe strekt of tot gevolg heeft dat:

a)	de remedies in het geval van niet-nakoming van contractuele verplichtingen of de aansprakelijkheid in het geval van een inbreuk op die verplichtingen op ongepaste wijze worden beperkt, of de aansprakelijkheid van de onderneming waaraan het beding eenzijdig is opgelegd, wordt uitgebreid;

de partij die het beding eenzijdig heeft opgelegd, toegang kan krijgen tot en gebruik kan maken van de gegevens van de medecontractant op een wijze die de rechtmatige belangen van de medecontractant aanzienlijk schaadt, met name indien die gegevens commercieel gevoelige informatie bevatten of beschermd zijn door bedrijfsgeheimen of door intellectuele-eigendomsrechten;

de partij waaraan het beding eenzijdig is opgelegd, wordt verhinderd de door die partij tijdens de looptijd van de overeenkomst verstrekte of gegenereerde gegevens te gebruiken, of het gebruik van dergelijke gegevens in die mate wordt beperkt dat die partij niet het recht heeft dergelijke gegevens te gebruiken, te verzamelen, te raadplegen of te controleren of de waarde ervan adequaat te exploiteren;

d)	de partij waaraan het beding eenzijdig is opgelegd, wordt belet om de overeenkomst binnen een redelijke termijn op te zeggen;

e)	de partij waaraan het beding eenzijdig is opgelegd, wordt verhinderd tijdens de looptijd van de overeenkomst of binnen een redelijke termijn na de beëindiging ervan een kopie van de door die partij verstrekte of gegenereerde gegevens te verkrijgen;

de partij die de termijn eenzijdig heeft opgelegd de overeenkomst binnen een onredelijk korte termijn kan opzeggen, rekening houdend met een redelijke mogelijkheid van de medecontractant om over te stappen naar een alternatieve en vergelijkbare dienst en met de financiële schade die door een dergelijke beëindiging wordt berokkend, tenzij er gewichtige redenen zijn om dit te doen;

de partij die het beding eenzijdig heeft opgelegd aanzienlijke wijzigingen kan aanbrengen in de in de overeenkomst gespecificeerde prijs of ten aanzien van een andere wezenlijke voorwaarde met betrekking tot de aard, het formaat, de kwaliteit of de kwantiteit van de gegevens die worden gedeeld, zonder dat in de overeenkomst een geldige reden of het recht van de wederpartij om de overeenkomst op te zeggen in geval van een dergelijke wijziging wordt vermeld.

Punt g) van de eerste alinea doet geen afbreuk aan voorwaarden op basis waarvan de partij die het beding eenzijdig heeft opgelegd zich het recht voorbehoudt de voorwaarden van een overeenkomst voor onbepaalde tijd eenzijdig te wijzigen, mits in die overeenkomst een geldige reden is vermeld voor dergelijke eenzijdige wijzigingen, de partij die het beding eenzijdig heeft opgelegd, verplicht is de wederpartij van een dergelijke voorgenomen wijziging binnen een redelijke termijn op de hoogte te stellen en het de wederpartij vrijstaat de overeenkomst kosteloos op te zeggen in geval van een wijziging.

6. Een contractueel beding wordt geacht eenzijdig te zijn opgelegd in de zin van dit artikel indien het door een van de overeenkomstsluitende partijen is gesteld en de andere partij ondanks een poging om daarover te onderhandelen geen invloed op de inhoud ervan heeft kunnen uitoefenen. De overeenkomstsluitende partij die het beding in de overeenkomst heeft laten opnemen, moet bewijzen dat dit beding niet eenzijdig is opgelegd. De overeenkomstsluitende partij die het betwiste contractuele beding in de overeenkomst heeft laten opnemen, kan zich er niet op beroepen dat het contractuele beding oneerlijk is.

7. Indien het oneerlijke contractuele beding kan worden gescheiden van de overige contractuele bedingen, zijn die resterende bedingen bindend.

8. Dit artikel is niet van toepassing op contractuele bedingen waarin het eigenlijke onderwerp van de overeenkomst wordt omschreven, noch op de juistheid van de prijs voor de als tegenprestatie geleverde gegevens.

9. De partijen bij een overeenkomst als bedoeld in lid 1 mogen de toepassing van dit artikel niet uitsluiten, ervan afwijken of de gevolgen ervan wijzigen.

HOOFDSTUK V

GEGEVENS BESCHIKBAAR STELLEN AAN OVERHEIDSINSTANTIES, DE COMMISSIE, DE EUROPESE CENTRALE BANK EN ORGANEN VAN DE UNIE OP GROND VAN UITZONDERLIJKE NOODZAAK

Artikel 16

Verband met andere verplichtingen om gegevens beschikbaar te stellen aan overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie

1. Dit hoofdstuk doet geen afbreuk aan de in het Unie- of nationale recht vastgelegde verplichtingen met betrekking tot rapportage, het voldoen aan verzoeken om toegang tot informatie of het aantonen of verifiëren van de naleving van wettelijke verplichtingen.

2. Dit hoofdstuk is niet van toepassing op overheidsinstanties, de Commissie, de Europese Centrale Bank of organen van de Unie die activiteiten uitvoeren met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafrechtelijke of administratieve inbreuken of de tenuitvoerlegging van straffen, noch op de douane- of belastingadministratie. Dit hoofdstuk doet geen afbreuk aan het toepasselijke Unierecht en het toepasselijke nationale recht inzake het voorkomen, onderzoeken, opsporen en vervolgen van strafrechtelijke of administratieve inbreuken of de tenuitvoerlegging van strafrechtelijke of administratieve sancties, of inzake de douane- of belastingadministratie.

Artikel 17

Verzoeken om gegevens beschikbaar te stellen

1. Wanneer overheidsinstanties, de Commissie, de Europese Centrale Bank of een orgaan van de Unie om gegevens overeenkomstig artikel 14, verzoeken:

a)	specificeren zij de vereiste gegevens, met inbegrip van de relevante metagegevens die nodig zijn om die gegevens te interpreteren en te gebruiken;

b)	tonen zij aan dat wordt voldaan aan de noodzakelijke voorwaarden voor het bestaan van een uitzonderlijke noodzaak als bedoeld in artikel 15, op grond waarvan om de gegevens wordt verzocht;

geven zij een toelichting op het doel van het verzoek, het beoogde gebruik van de gevraagde gegevens, ook indien een derde in voorkomend geval overeenkomstig lid 4 van dit artikel daarom heeft verzocht, de duur van dat gebruik en, in voorkomend geval, de wijze waarop de verwerking van persoonsgegevens tegemoetkomt aan de uitzonderlijke noodzaak;

d)	geven zij indien mogelijk aan wanneer de gegevens naar verwachting zullen worden gewist door alle partijen die er toegang toe hebben;

e)	onderbouwen zij de keuze van de gegevenshouder tot wie het verzoek zich richt;

f)	vermelden zij de andere overheidsinstanties of de Commissie, de Europese Centrale Bank of organen van de Unie en de derden waarmee de verkregen gegevens naar verwachting zullen worden gedeeld;

indien om persoonsgegevens wordt verzocht, specificeren zij welke technische en organisatorische maatregelen nodig en evenredig zijn om de gegevensbeschermingsbeginselen en de nodige waarborgen toe te passen, zoals pseudonimisering, en of de gegevenshouder anonimisering kan toepassen voordat hij de gegevens beschikbaar stelt;

h)	vermelden zij de wettelijke bepaling waarbij aan de verzoekende overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie de specifieke taak van algemeen belang wordt toegewezen waarvoor de gegevens wordt gevraagd;

i)	specificeren zij de termijn waarbinnen de gegevens beschikbaar moeten worden gesteld en de in artikel 18, lid 2, bedoelde termijn waarbinnen de gegevenshouder het verzoek kan afwijzen of om wijziging ervan kan verzoeken;

j)	stellen zij alles in het werk om te voorkomen dat een verzoek om gegevens wordt ingewilligd als dat zou leiden tot aansprakelijkheid van de gegevenshouders voor inbreuken op het Unierecht of nationale recht.

2. Een verzoek om gegevens op grond van lid 1 van dit artikel:

a)	wordt schriftelijk ingediend en uitgedrukt in duidelijke, beknopte en eenvoudige taal die voor de gegevenshouder begrijpelijk is;

b)	vermeldt specifiek om welk soort gegevens het gaat en komt overeen met de gegevens waarover de gegevenshouder ten tijde van het verzoek de controle heeft;

c)	staat in verhouding tot de uitzonderlijke noodzaak en is naar behoren gemotiveerd, wat betreft de mate van detail en het volume van de gevraagde gegevens en de frequentie van de toegang tot de gevraagde gegevens;

d)	eerbiedigt de legitieme doelstellingen van de gegevenshouder en zorgt voor de bescherming van bedrijfsgeheimen overeenkomstig artikel 19, lid 3, en de kosten en inspanningen die nodig zijn om de gegevens beschikbaar te stellen;

heeft betrekking op niet-persoonsgebonden gegevens, en alleen als wordt aangetoond dat dit ontoereikend is om te voldoen aan de uitzonderlijke noodzaak om gegevens te gebruiken, overeenkomstig artikel 15, lid 1, punt a), behelst het persoonsgegevens in gepseudonimiseerde vorm en stelt het de technische en organisatorische maatregelen vast die moeten worden genomen om de gegevens te beschermen;

f)	stelt de gegevenshouder in kennis van de sancties die overeenkomstig artikel 40 door de in artikel 37 aangewezen bevoegde autoriteit moeten worden opgelegd in geval van niet-naleving van het verzoek;

wordt, indien het verzoek door een overheidsinstantie wordt ingediend, toegezonden aan de in artikel 37 bedoelde gegevenscoördinator van de lidstaat waar de verzoekende overheidsinstantie is gevestigd, die het verzoek onverwijld online beschikbaar stelt, tenzij de datacoördinator van oordeel is dat een dergelijke publicatie een risico voor de openbare veiligheid zou opleveren;

h)	wordt, wanneer het verzoek door de Commissie, de Europese Centrale Bank of een orgaan van de Unie wordt gedaan, onverwijld online beschikbaar gesteld;

i)	wordt, indien om persoonsgegevens wordt verzocht, onverwijld gemeld bij de toezichthoudende autoriteit die verantwoordelijk is voor het toezicht op de toepassing van Verordening (EU) 2016/679 in de lidstaat waar de overheidsinstantie is gevestigd.

De Europese Centrale Bank en de organen van de Unie stellen de Commissie in kennis van hun verzoeken.

3. Een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie stelt de op grond van dit hoofdstuk verkregen gegevens niet beschikbaar voor hergebruik zoals gedefinieerd in artikel 2, punt 2, van Verordening (EU) 2022/868 of artikel 2, punt 11, van Richtlijn (EU) 2019/1024. Verordening (EU) 2022/868 en Richtlijn (EU) 2019/1024 zijn niet van toepassing op de gegevens die overheidsinstanties op grond van dit hoofdstuk hebben verkregen.

4. Lid 3 van dit artikel belet een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie niet om op grond van dit hoofdstuk verkregen gegevens uit te wisselen met een andere overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie met het oog op de vervulling van de taken zoals bedoeld in artikel 15, zoals vermeld in het verzoek overeenkomstig lid 1, punt f), van dit artikel, of om de gegevens beschikbaar te stellen aan een derde in gevallen waarin door middel van een openbaar beschikbare overeenkomst technische inspecties of andere taken aan die derde zijn gedelegeerd. De verplichtingen van overheidsinstanties overeenkomstig artikel 19, met name waarborgen ter bescherming van de vertrouwelijkheid van bedrijfsgeheimen, gelden ook voor dergelijke derden. Wanneer overheidsinstanties, de Commissie, de Europese Centrale Bank of organen van de Unie gegevens uit hoofde van dit lid doorgeven of beschikbaar stellen, stellen zij de gegevenshouder van wie de gegevens zijn ontvangen onverwijld daarvan in kennis.

5. Indien de gegevenshouder van mening is dat zijn rechten uit hoofde van dit hoofdstuk zijn geschonden door het doorgeven of het beschikbaar stellen van gegevens, kan hij een klacht indienen bij de op grond van artikel 37 aangewezen bevoegde autoriteit van de lidstaat waar de gegevenshouder is gevestigd.

6. De Commissie ontwikkelt een modelformulier voor verzoeken overeenkomstig dit artikel.

Artikel 25

Contractvoorwaarden betreffende een overstap

1. De rechten van de klant en de verplichtingen van de aanbieder van dataverwerkingsdiensten met betrekking tot het overstappen naar andere aanbieders van dergelijke diensten of, indien van toepassing, naar een on-premises-ICT-infrastructuur worden duidelijk vastgelegd in een schriftelijk contract. De aanbieder van dataverwerkingsdiensten stelt die overeenkomst vóór de ondertekening daarvan ter beschikking van de klant op een manier waardoor deze de overeenkomst kan opslaan en reproduceren.

2. Onverminderd Richtlijn (EU) 2019/770 bevat het in lid 1 van dit artikel bedoelde contract ten minste het volgende:

bepalingen op grond waarvan de klant, op verzoek, kan overstappen naar een dataverwerkingsdienst die wordt aangeboden door een andere aanbieder van dataverwerkingsdiensten of op grond waarvan de klant alle exporteerbare data, en digitale activa kan overdragen naar een on-premises-ICT-infrastructuur, onverwijld en in geen geval na de verplichte overgangsperiode van maximaal 30 dagen, die aanvangt na de maximale opzegtermijn bedoeld in punt d), waarbinnen de dienstverleningsovereenkomst van toepassing blijft en waarbinnen de aanbieder van dataverwerkingsdiensten:

i)	redelijke bijstand verleent aan de klant en door de klant gemachtigde derden in het overstapproces;

ii)	met de nodige zorgvuldigheid handelt om de bedrijfscontinuïteit in stand te houden en de functies of diensten op grond van de overeenkomst blijft verlenen;

iii)	duidelijke informatie verstrekt over bekende risico’s voor de continuïteit van de verlening van de functies of diensten aan de zijde van de oorspronkelijke aanbieder van de dataverwerkingsdiensten;

iv)

ervoor zorgt dat gedurende het overstapproces een hoog beveiligingsniveau wordt gehandhaafd, met name wat betreft de beveiliging van de gegevens tijdens de doorgifte ervan en de voortdurende beveiliging van gegevens tijdens de in punt g) gespecificeerde opvragingstermijn, in overeenstemming met het toepasselijke Unie- of nationale recht;

b)	een verplichting voor de aanbieder van dataverwerkingsdiensten om ondersteuning te bieden voor de exitstrategie van de klant in het kader van de gecontracteerde diensten, onder meer door alle relevante informatie te verstrekken;

een clausule waarin wordt bepaald dat de overeenkomst wordt geacht te zijn beëindigd en dat de klant in kennis wordt gesteld van de beëindiging, in een van de volgende gevallen:

i)	indien van toepassing, na de succesvolle voltooiing van het overstapproces;

ii)	aan het einde van de in punt d) bedoelde maximale opzegtermijn, indien de klant niet wil overstappen, maar al zijn exporteerbare data en digitale activa na beëindiging van de dienst wil wissen.

d)	een maximale opzegtermijn voor het initiëren van het overstapproces, die niet meer dan twee maanden bedraagt;

e)	een volledige specificatie van alle categorieën gegevens en digitale activa die tijdens het overstapproces kunnen worden overgedragen, waaronder ten minste alle exporteerbare data;

een exhaustieve specificatie van de categorieën gegevens die specifiek zijn voor de interne werking van de dataverwerkingsdiensten van de aanbieder en die geen deel mogen uitmaken van de in punt e) van dit lid bedoelde exporteerbare data wanneer er een risico op schending van bedrijfsgeheimen van de aanbieder bestaat, op voorwaarde dat dergelijke uitzonderingen het in artikel 23 bedoelde overstapproces niet belemmeren of vertragen;

g)	een minimumtermijn voor het opvragen van gegevens van ten minste 30 kalenderdagen, beginnend na de beëindiging van de overgangsperiode die is overeengekomen tussen de klant en de aanbieder van dataverwerkingsdiensten, overeenkomstig punt a), van dit lid en lid 4;

een clausule die garandeert dat alle exporteerbare data en digitale activa die rechtstreeks door de klant worden gegenereerd of die rechtstreeks betrekking hebben op de klant, volledig worden gewist na het verstrijken van de in punt g) bedoelde opvragingstermijn of na het verstrijken van een alternatieve overeengekomen termijn na de datum waarop de in punt g) bedoelde opvragingstermijn verstrijkt, op voorwaarde dat het overstapproces met succes is voltooid;

i)	overstapkosten die door aanbieders van dataverwerkingsdiensten in rekening kunnen worden gebracht overeenkomstig artikel 29.

3. Het in lid 1 bedoelde contract bevat bedingen op grond waarvan de klant de aanbieder van dataverwerkingsdiensten bij de beëindiging van de in lid 2, punt d), bedoelde maximale kennisgevingsperiode in kennis kan stellen van zijn besluit om een of meer van de volgende handelingen te verrichten:

a)	overstappen naar een andere aanbieder van dataverwerkingsdiensten, in welk geval de klant de nodige gegevens over die aanbieder verstrekt;

b)	overschakelen op een on-premises-ICT-infrastructuur;

c)	zijn exporteerbare data en digitale activa wissen.

4. Wanneer de verplichte maximale overgangsperiode als bedoeld in lid 2, punt a), technisch niet haalbaar is, stelt de aanbieder van dataverwerkingsdiensten de klant daarvan in kennis binnen 14 werkdagen na het overstapverzoek, rechtvaardigt hij de technische onhaalbaarheid naar behoren en vermeldt hij een alternatieve overgangsperiode, die niet langer mag zijn dan zeven maanden. Overeenkomstig lid 1 wordt de continuïteit van de dienstverlening gewaarborgd gedurende de gehele alternatieve overgangsperiode.

5. Onverminderd lid 4 bevat het in lid 1 bedoelde contract bedingen die de klant het recht verlenen de overgangsperiode eenmaal te verlengen met een periode die de klant voor zijn eigen doeleinden geschikter acht.

Artikel 30

Technische aspecten van een overstap

1. Aanbieders van dataverwerkingsdiensten die betrekking hebben op schaalbare en elastische computingmiddelen die beperkt zijn tot infrastructurele elementen zoals servers, netwerken en de virtuele middelen die nodig zijn voor de exploitatie van de infrastructuur, maar die geen toegang bieden tot de operationele diensten, software en toepassingen die worden opgeslagen, anderszins verwerkt of op die infrastructurele elementen worden ingezet, nemen overeenkomstig artikel 27 alle redelijke en haalbare maatregelen om te faciliteren dat de klant, nadat de overstap naar een dienst van hetzelfde type, functionele gelijkwaardigheid bereikt bij het gebruik van de dataverwerkingsdienst van bestemming. De oorspronkelijke aanbieder van dataverwerkingsdiensten faciliteert het overstapproces door in capaciteit, adequate informatie, documentatie, technische ondersteuning en zo nodig hulpmiddelen te voorzien.

2. Aanbieders van andere dan de in lid 1 van dit artikel bedoelde dataverwerkingsdiensten, stellen kosteloos en in gelijke mate open interfaces beschikbaar aan al hun klanten en de betrokken aanbieders van dataverwerkingsdiensten van bestemming om het overstapproces te vergemakkelijken. Die interfaces bevatten voldoende informatie over de betrokken dienst om de ontwikkeling van software voor communicatie met de diensten mogelijk te maken met het oog op gegevensoverdraagbaarheid en interoperabiliteit.

3. Voor andere dan de onder lid 1 van dit artikel vallende dataverwerkingsdiensten waarborgen aanbieders van dataverwerkingsdiensten compatibiliteit met gemeenschappelijke specificaties die gebaseerd zijn op open interoperabiliteitsspecificaties of geharmoniseerde interoperabiliteitsnormen, en wel uiterlijk 12 maanden na de bekendmaking van de referenties van die gemeenschappelijke specificaties of geharmoniseerde normen voor de interoperabiliteit van dataverwerkingsdiensten in het centrale register voor EU-normen voor de interoperabiliteit van dataverwerkingsdiensten, na de bekendmaking van de onderliggende uitvoeringshandelingen in het Publicatieblad van de Europese Unie overeenkomstig artikel 35, lid 8.

4. Aanbieders van andere dan de onder lid 1 van dit artikel vallende dataverwerkingsdiensten, werken het in artikel 26, punt b), bedoelde onlineregister bij overeenkomstig hun verplichtingen uit hoofde van lid 3 van dit artikel.

5. In het geval van een overstap tussen diensten van hetzelfde type waarvoor in het centrale register voor Unienormen voor de interoperabiliteit van dataverwerkingsdiensten geen gemeenschappelijke specificaties of geharmoniseerde normen voor interoperabiliteit als bedoeld in lid 3 van dit artikel zijn opgenomen overeenkomstig artikel 35, lid 8, exporteert de aanbieder van de dataverwerkingsdiensten op verzoek van de klant alle exporteerbare data in een gestructureerd, algemeen gebruikt en machineleesbaar formaat.

6. Aanbieders van dataverwerkingsdiensten mogen niet worden verplicht nieuwe technologieën of diensten te ontwikkelen, digitale activa die door eigendomsrechten worden beschermd of die een bedrijfsgeheim vormen bekend te maken of over te dragen aan een klant of een andere aanbieder van dataverwerkingsdiensten, of de veiligheid en de integriteit van de dienst van de klant of aanbieder in gevaar te brengen.

Artikel 32

Internationale overheidstoegang en overdracht

1. Aanbieders van dataverwerkingsdiensten nemen alle adequate technische, organisatorische en juridische maatregelen, waaronder overeenkomsten, om internationale overheidstoegang en toegang van overheden van derde landen, alsook overdracht van niet-persoonsgebonden gegevens die in de Unie zijn opgeslagen, te voorkomen indien die overdracht of toegang in strijd zou zijn met het Unierecht of met het nationale recht van de betrokken lidstaat, onverminderd lid 2 of lid 3.

2. Elke beslissing of elke uitspraak van een rechterlijke instantie van een derde land en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een aanbieder van dataverwerkingsdiensten niet-persoonsgebonden gegevens die binnen het toepassingsgebied van deze verordening vallen en in de Unie zijn opgeslagen, moet overdragen of er toegang toe moet verlenen, wordt alleen op enigerlei wijze erkend of is alleen op enigerlei wijze afdwingbaar indien de beslissing, de uitspraak of het besluit gebaseerd is op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, die van kracht is tussen het verzoekende derde land en de Unie, of op een dergelijke overeenkomst tussen het verzoekende derde land en een lidstaat.

3. Bij ontstentenis van een internationale overeenkomst als bedoeld in lid 2, vindt, indien een aanbieder van dataverwerkingsdiensten de geadresseerde is van een beslissing of uitspraak van een rechterlijke instantie van een derde land of een besluit van een administratieve autoriteit van een derde land om niet-persoonsgebonden gegevens die binnen het toepassingsgebied van deze verordening vallen en die in de Unie zijn opgeslagen, over te dragen of er toegang toe te verlenen, en de naleving van een dergelijke beslissing of uitspraak of een dergelijk besluit de geadresseerde in strijd zou kunnen brengen met het Unierecht of met het nationale recht van de betrokken lidstaat, de overdracht van of de toegang tot dergelijke gegevens door die autoriteit van het derde land alleen plaats indien:

het bestel van het derde land voorschrijft dat de redenen voor en de evenredigheid van een dergelijke rechterlijke beslissing of uitspraak of een dergelijk besluit worden toegelicht, en dat die rechterlijke beslissing of uitspraak of dat besluit een specifiek karakter heeft, bijvoorbeeld doordat daarin een toereikend verband wordt gelegd met bepaalde verdachten of inbreuken;

b)	het gemotiveerde bezwaar van de geadresseerde getoetst wordt door een bevoegde rechterlijke instantie van het derde land, en

de bevoegde rechterlijke instantie van het derde land die de rechterlijke beslissing neemt of de rechterlijke uitspraak doet of het besluit van een administratieve autoriteit toetst, uit hoofde van het recht van dat derde land gemachtigd is terdege rekening te houden met de relevante juridische belangen van de verstrekker van de gegevens die uit hoofde van het Unierecht of van het nationale recht van de betrokken lidstaat worden beschermd.

De geadresseerde van de beslissing of het besluit of de rechterlijke uitspraak kan het advies inwinnen van de nationale instantie of autoriteit die bevoegd is voor internationale samenwerking in juridische aangelegenheden, teneinde te bepalen of aan de in de eerste alinea vastgestelde voorwaarden wordt voldaan, met name wanneer hij van oordeel is dat de beslissing of het besluit betrekking kan hebben op bedrijfsgeheimen en andere commercieel gevoelige gegevens, alsook op door intellectuele-eigendomsrechten beschermde inhoud of dat de overdracht tot heridentificatie kan leiden. De bevoegde nationale instantie of autoriteit kan de Commissie raadplegen. Indien de geadresseerde van oordeel is dat de beslissing of het besluit of de rechterlijke uitspraak afbreuk kan doen aan de nationale veiligheids- of defensiebelangen van de Unie of haar lidstaten, wint hij het advies in van de betreffende nationale instantie of autoriteit om te bepalen of de gevraagde gegevens nationale veiligheids- of defensiebelangen van de Unie of haar lidstaten betreffen. Indien de geadresseerde binnen een maand geen antwoord heeft ontvangen of indien deze instanties of autoriteit in hun advies concluderen dat niet aan de in de eerste alinea vastgestelde voorwaarden wordt voldaan, kan de geadresseerde het verzoek om overdracht of toegang tot niet-persoonsgebonden gegevens op die gronden afwijzen.

Het Europees Comité voor gegevensinnovatie zoals bedoeld in artikel 42 adviseert en assisteert de Commissie bij het opstellen van richtsnoeren voor de beoordeling van de vraag of aan de voorwaarden van de eerste alinea wordt voldaan.

4. Indien aan de voorwaarden van lid 2 of lid 3 wordt voldaan, verstrekt de aanbieder van dataverwerkingsdiensten de minimaal toestaanbare hoeveelheid gegevens in antwoord op een verzoek, op basis van de redelijke interpretatie van dat verzoek door de aanbieder of de relevante nationale instantie of autoriteit als bedoeld in lid 3, tweede alinea.

5. De aanbieder van dataverwerkingsdiensten stelt de klant in kennis van het bestaan van een verzoek van een autoriteit van een derde land om toegang tot zijn gegevens te krijgen alvorens aan dit verzoek te voldoen, behalve indien het verzoek rechtshandhavingsdoeleinden dient en zolang dit noodzakelijk is om de doeltreffendheid van de rechtshandhavingsactiviteiten te waarborgen.

HOOFDSTUK VIII

INTEROPERABILITEIT

Artikel 33

Essentiële eisen inzake interoperabiliteit van gegevens, van mechanismen en diensten voor het delen van gegevens alsook van gemeenschappelijke Europese dataruimten

1. Deelnemers aan dataruimten die gegevens of datadiensten aanbieden aan andere deelnemers, voldoen aan de volgende essentiële eisen om de interoperabiliteit van gegevens, van mechanismen en diensten voor gegevensdeling alsook van gemeenschappelijke Europese dataruimten die doel- of sectorspecifieke of sectoroverschrijdende interoperabele kaders voor gemeenschappelijke normen en praktijken op het gebied van het delen van gegevens of gezamenlijke dataverwerking vormen met het oog op onder meer de ontwikkeling van nieuwe producten en diensten, wetenschappelijk onderzoek of initiatieven van het maatschappelijk middenveld:

a)	de inhoud van de dataset, gebruiksbeperkingen, licenties, gegevensverzamelingsmethoden, gegevenskwaliteit en onzekerheid worden voldoende beschreven, indien van toepassing, in een machineleesbaar formaat om de ontvanger in staat te stellen de gegevens te vinden, te raadplegen en te gebruiken;

b)	de datastructuren, dataformaten, vocabularia, classificatieschema’s, taxonomieën en codelijsten worden, indien beschikbaar, op een voor het publiek toegankelijke en consistente wijze beschreven;

de technische middelen om toegang te krijgen tot de gegevens, zoals application programming interfaces, en de bijbehorende gebruiksvoorwaarden en kwaliteit van de dienstverlening worden voldoende beschreven om automatische toegang tot en overdracht van gegevens tussen partijen mogelijk te maken, ook continu, in de vorm van bulksgewijze downloads of in realtime in een machineleesbaar formaat, indien dat technisch haalbaar is en de goede werking van het verbonden product niet belemmert;

d)	indien van toepassing wordt er voorzien in de middelen om de interoperabiliteit mogelijk te maken van instrumenten voor het automatiseren van de uitvoering van gegevensdelingsovereenkomsten, zoals slimme contracten.

De eisen kunnen een generiek karakter hebben of betrekking hebben op specifieke sectoren, waarbij ten volle rekening wordt gehouden met de samenhang met eisen die voortvloeien uit ander Unie- of nationaal recht.

2. De Commissie is bevoegd overeenkomstig artikel 45 van deze verordening gedelegeerde handelingen vast te stellen om deze verordening aan te vullen, door de in lid 1 van dit artikel vastgelegde essentiële eisen nader te specificeren wat betreft die eisen welke door hun aard niet het beoogde effect kunnen sorteren tenzij zij nader worden gespecificeerd in bindende rechtshandelingen van de Unie, en teneinde de technologische en marktontwikkelingen naar behoren weer te geven.

De Commissie houdt bij de vaststelling van gedelegeerde handelingen rekening met het advies van het Europees Comité voor gegevensinnovatie overeenkomstig artikel 42, punt c), iii).

3. De deelnemers aan dataruimten die gegevens of datadiensten aanbieden aan andere deelnemers aan dataruimten die voldoen aan de geharmoniseerde normen of delen daarvan, waarvan de referentie in het Publicatieblad van de Europese Unie is bekendgemaakt, worden geacht te voldoen aan de in lid 1 vastgelegde essentiële eisen, voor zover die eisen worden gedekt door deze geharmoniseerde normen of delen daarvan.

4. De Commissie verzoekt op grond van artikel 10 van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties geharmoniseerde normen op te stellen die voldoen aan de in lid 1 van dit artikel vastgelegde essentiële eisen.

5. De Commissie kan door middel van uitvoeringshandelingen gemeenschappelijke specificaties vaststellen voor een of alle van de in lid 1 vastgelegde essentiële eisen, indien aan de volgende voorwaarden is voldaan:

de Commissie heeft overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties verzocht een geharmoniseerde norm op te stellen die voldoet aan de in lid 1 van dit artikel vastgelegde eisen en:

i)	het verzoek is niet aanvaard:

ii)	de geharmoniseerde normen die naar aanleiding van dat verzoek zijn ontwikkeld, is niet binnen de overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 vastgestelde termijn geleverd; of

iii)	de geharmoniseerde normen voldoen niet aan het verzoek, en

er werd geen referentie van geharmoniseerde normen overeenkomstig Verordening (EU) nr. 1025/2012 bekendgemaakt in het Publicatieblad van de Europese Unie voor de desbetreffende in lid 1 van dit artikel vastgelegde essentiële eisen, en een dergelijke referentie zal naar verwachting niet binnen een redelijke termijn worden bekendgemaakt.

Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

6. Alvorens een in lid 5 van dit artikel bedoelde ontwerpuitvoeringshandeling op te stellen, stelt de Commissie het in artikel 22 van Verordening (EU) nr. 1025/2012 bedoelde comité ervan in kennis dat zij van oordeel is dat aan de voorwaarden van lid 5 van dit artikel is voldaan.

7. Bij het opstellen van de ontwerpuitvoeringshandeling zoals bedoeld in lid 5 houdt de Commissie rekening met het advies van het Europees Comité voor gegevensinnovatie en met de standpunten van andere relevante organen of deskundigengroepen en raadpleegt zij alle relevante belanghebbenden.

8. De deelnemers aan dataruimten die gegevens of datadiensten aan andere deelnemers aan dataruimten aanbieden die voldoen aan de gemeenschappelijke specificaties zoals vastgesteld bij de in lid 5 bedoelde uitvoeringshandelingen of delen daarvan, worden geacht in overeenstemming te zijn met de essentiële in lid 1 vastgelegde eisen voor zover die eisen door de gemeenschappelijke specificaties of delen daarvan gedekt zijn.

9. Wanneer een Europese normalisatieorganisatie een geharmoniseerde norm vaststelt en deze aan de Commissie voorstelt met het oog op de bekendmaking van de referentie ervan in het Publicatieblad van de Europese Unie, beoordeelt de Commissie de geharmoniseerde norm overeenkomstig Verordening (EU) nr. 1025/2012. Wanneer de referentie van een geharmoniseerde norm in het Publicatieblad van de Europese Unie wordt bekendgemaakt, trekt de Commissie de in lid 5 van dit artikel bedoelde uitvoeringshandelingen of delen daarvan die dezelfde essentiële eisen dekken als die die zijn gedekt door die geharmoniseerde norm, in.

10. Wanneer een lidstaat van oordeel is dat een gemeenschappelijke specificatie niet volledig aan de in lid 1 vastgelegde essentiële eisen voldoet, stelt deze lidstaat de Commissie daarvan in kennis door het indienen van een gedetailleerde toelichting. De Commissie beoordeelt die gedetailleerde toelichting en kan in voorkomend geval de uitvoeringshandeling tot vaststelling van de betrokken gemeenschappelijke specificatie wijzigen.

11. De Commissie kan richtsnoeren vaststellen, rekening houdend met het voorstel van het Europees Comité voor gegevensinnovatie overeenkomstig artikel 30, punt h), van Verordening (EU) 2022/868 tot vaststelling van interoperabele kaders voor gemeenschappelijke normen en praktijken voor de werking van gemeenschappelijke Europese dataruimten.

Artikel 36

Essentiële eisen met betrekking tot slimme contracten voor het uitvoeren van gegevensdelingsovereenkomsten

1. De verkoper van een applicatie die gebruikmaakt van slimme contracten of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan voor het beschikbaar stellen van gegevens inhoudt, zorgt ervoor dat die slimme contracten voldoen aan de volgende essentiële eisen van:

a)	robuustheid en toegangscontrole, om ervoor te zorgen dat het slimme contract zo is ontworpen dat het toegangscontrolemechanismen en een zeer hoge mate van robuustheid biedt om functionele fouten te voorkomen en manipulatie door derden te weerstaan;

veilige beëindiging en onderbreking, om ervoor te zorgen dat er een mechanisme bestaat om de doorlopende uitvoering van transacties te beëindigen en dat het slimme contract interne functies omvat die de overeenkomst kunnen resetten of de opdracht kunnen geven de verrichting stop te zetten of te onderbreken, met name om toekomstige accidentele uitvoeringen ervan te voorkomen;

archivering en continuïteit van gegevens, om ervoor te zorgen dat, in gevallen waarin een slim contract moet worden beëindigd of gedeactiveerd, de mogelijkheid bestaat om de transactiegegevens, alsook de slimme-contractlogica en -code te archiveren teneinde verrichtingen die in het verleden op de gegevens zijn uitgevoerd, te registreren (controleerbaarheid);

d)	toegangscontrole, om ervoor te zorgen dat een slim contract wordt beschermd door middel van strikte toegangscontrolemechanismen in de beheers- en slimme-contractlagen, en

e)	consistentie, om te zorgen voor consistentie met de voorwaarden van de gegevensdelingsovereenkomst die door het slimme contract wordt uitgevoerd.

2. De verkoper van een slim contract of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan voor het beschikbaar stellen van gegevens inhoudt, voert een conformiteitsbeoordeling uit om aan de in lid 1 vastgelegde essentiële eisen te voldoen en geeft, indien aan die eisen is voldaan, een EU-conformiteitsverklaring af.

3. Door een EU-conformiteitsverklaring af te geven is de verkoper van een toepassing die gebruikmaakt van slimme contracten of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan, voor het beschikbaar stellen van gegevens inhoudt, verantwoordelijk voor de conformiteit met de in lid 1 vastgelegde essentiële eisen.

4. Een slim contract dat voldoet aan de geharmoniseerde normen of de relevante delen daarvan, waarvan de referenties in het Publicatieblad van de Europese Unie worden bekendgemaakt, wordt geacht in overeenstemming te zijn met de in lid 1 vastgelegde essentiële eisen, voor zover die eisen door die geharmoniseerde normen of delen daarvan worden gedekt.

5. De Commissie verzoekt op grond van artikel 10 van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties geharmoniseerde normen op te stellen die voldoen aan de in lid 1 van dit artikel vastgelegde essentiële eisen.

6. De Commissie kan door middel van uitvoeringshandelingen gemeenschappelijke specificaties vaststellen voor een of alle van de in lid 1 vastgelegde essentiële eisen indien aan de volgende voorwaarden is voldaan:

i)	het verzoek is niet aanvaard;

ii)	de geharmoniseerde normen waarop dat verzoek is gericht, zijn niet binnen de overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 vastgestelde termijn geleverd; of

iii)	de geharmoniseerde normen voldoen niet aan het verzoek, en

er wordt geen referentie van geharmoniseerde normen overeenkomstig Verordening (EU) nr. 1025/2012 bekendgemaakt in het Publicatieblad van de Europese Unie voor de desbetreffende in lid 1 van dit artikel vastgelegde essentiële eisen, en een dergelijke referentie zal naar verwachting niet binnen een redelijke termijn worden bekendgemaakt.

Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

7. Alvorens een in lid 6 van dit artikel bedoelde ontwerpuitvoeringshandeling op te stellen, stelt de Commissie het in artikel 22 van Verordening (EU) nr. 1025/2012 bedoelde comité ervan in kennis dat zij van oordeel is dat aan de voorwaarden van lid 6 van dit artikel is voldaan.

8. Bij het opstellen van de in lid 6 bedoelde ontwerpuitvoeringshandeling houdt de Commissie rekening met het advies van het Europees Comité voor gegevensinnovatie en de standpunten van andere relevante organen of deskundigengroepen en raadpleegt zij alle relevante belanghebbenden.

9. De verkoper van een slim contract of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan, voor het beschikbaar stellen van gegevens inhoudt die voldoen aan de gemeenschappelijke specificaties zoals vastgesteld bij de in lid 6 bedoelde uitvoeringshandelingen of delen daarvan, wordt geacht in overeenstemming te zijn met de in lid 1 vastgelegde essentiële eisen voor zover deze eisen door die gemeenschappelijke specificaties of delen daarvan gedekt zijn.

10. Wanneer een Europese normalisatieorganisatie een geharmoniseerde norm vaststelt en deze aan de Commissie voorstelt met het oog op de bekendmaking van de referentie ervan in het Publicatieblad van de Europese Unie, beoordeelt de Commissie de geharmoniseerde norm overeenkomstig Verordening (EU) nr. 1025/2012. Wanneer de referentie van een geharmoniseerde norm in het Publicatieblad van de Europese Unie wordt bekendgemaakt, trekt de Commissie de in lid 6 van dit artikel bedoelde uitvoeringshandelingen of delen daarvan die dezelfde essentiële eisen dekken als die welke door die geharmoniseerde norm zijn gedekt, in.

11. Wanneer een lidstaat van oordeel is dat een gemeenschappelijke specificatie niet volledig aan de in lid 1 vastgelegde essentiële eisen voldoet, stelt deze lidstaat de Commissie daarvan in kennis door het indienen van een gedetailleerde toelichting. De Commissie beoordeelt die gedetailleerde toelichting en kan in voorkomend geval de uitvoeringshandeling tot vaststelling van de betrokken gemeenschappelijke specificatie wijzigen.

HOOFDSTUK IX

UITVOERING EN HANDHAVING

Artikel 37

Bevoegde autoriteiten en datacoördinatoren

1. Elke lidstaat wijst een of meer autoriteiten aan die bevoegd zijn voor de uitvoering en handhaving van deze verordening (bevoegde autoriteiten). De lidstaten kunnen een of meer nieuwe autoriteiten oprichten of een beroep doen op bestaande autoriteiten.

2. Indien een lidstaat meer dan één bevoegde autoriteit aanwijst, wijst hij onder deze bevoegde autoriteiten een datacoördinator aan om de samenwerking tussen hen te vergemakkelijken en entiteiten binnen het toepassingsgebied van deze verordening bij te staan in alle aangelegenheden die verband houden met de toepassing en handhaving ervan. Bij de uitoefening van de hun krachtens lid 5 toegewezen taken en bevoegdheden werken de bevoegde autoriteiten met elkaar samen.

3. De toezichthoudende autoriteiten die verantwoordelijk zijn voor het toezicht op de toepassing van Verordening (EU) 2016/679, zijn verantwoordelijk voor het toezicht op de toepassing van deze verordening wat de bescherming van persoonsgegevens betreft. De hoofdstukken VI en VII van Verordening (EU) 2016/679 zijn van overeenkomstige toepassing.

De Europese Toezichthouder voor gegevensbescherming is verantwoordelijk voor het toezicht op de toepassing van deze verordening voor zover deze betrekking heeft op de Commissie, de Europese Centrale Bank of organen van de Unie. In voorkomend geval is artikel 62 van Verordening (EU) 2018/1725 van overeenkomstige toepassing.

De in dit lid bedoelde taken en bevoegdheden van de toezichthoudende autoriteiten worden uitgeoefend met betrekking tot de verwerking van persoonsgegevens.

4. Onverminderd lid 1 van dit artikel:

a)	wordt de bevoegdheid van de sectorale autoriteiten voor specifieke sectorale toegang tot gegevens en specifiek sectoraal gegevensgebruik in verband met de toepassing van deze verordening geëerbiedigd;

b)	heeft de bevoegde autoriteit die verantwoordelijk is voor de toepassing en handhaving van de artikelen 23 tot en met 31 en de artikelen 34 en 35, ervaring op het gebied van gegevens en elektronische-communicatiediensten.

5. De lidstaten zorgen ervoor dat de taken en bevoegdheden van de bevoegde autoriteiten duidelijk omschreven zijn en het volgende omvatten:

a)	datageletterdheid en bewustmaking over de rechten en verplichtingen uit hoofde van deze verordening bevorderen bij gebruikers en entiteiten die binnen het toepassingsgebied van deze verordening vallen;

klachten over vermeende overtredingen op deze verordening behandelen, ook met betrekking tot bedrijfsgeheimen, de inhoud van klachten onderzoeken in de mate waarin dat gepast is en klagers, indien relevant overeenkomstig het nationale recht, regelmatig en binnen een redelijke termijn in kennis stellen van de voortgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere bevoegde autoriteit noodzakelijk is;

c)	onderzoek verrichten naar zaken die betrekking hebben op de toepassing van deze verordening, onder meer op basis van informatie die van een andere bevoegde autoriteit of een andere overheidsinstantie is ontvangen;

d)	doeltreffende, evenredige en afschrikkende financiële sancties opleggen, waaronder dwangsommen en sancties met terugwerkende kracht, of gerechtelijke procedures voor het opleggen van geldboetes inleiden;

e)	toezicht houden op technologische en relevante commerciële ontwikkelingen die relevant zijn voor het beschikbaar stellen en gebruiken van gegevens;

samenwerken met de bevoegde autoriteiten van andere lidstaten en indien relevant met de Commissie of het Europees Comité voor gegevensinnovatie, om de consistente en efficiënte toepassing van deze verordening te waarborgen, waaronder het onverwijld elektronisch uitwisselen van alle relevante informatie, ook met betrekking tot lid 10 van dit artikel;

samenwerken met de relevante bevoegde autoriteiten die verantwoordelijk zijn voor de uitvoering van andere Unie- of nationale rechtshandelingen, onder meer met autoriteiten die bevoegd zijn op het gebied van gegevens en elektronische-communicatiediensten, met de toezichthoudende autoriteit die verantwoordelijk is voor het toezicht op de toepassing van Verordening (EU) 2016/679 of met sectorale autoriteiten om te waarborgen dat deze verordening in overeenstemming met andere Unie- en nationale wetgeving wordt gehandhaafd;

h)	samenwerken met de relevante bevoegde autoriteiten om ervoor te zorgen dat de verplichtingen van de artikelen 23 tot en met 31 en de artikelen 34 en 35 worden gehandhaafd in overeenstemming met ander Unierecht en zelfregulering die van toepassing zijn op aanbieders van dataverwerkingsdiensten;

i)	ervoor zorgen dat de overstapkosten overeenkomstig artikel 29 worden ingetrokken;

j)	de verzoeken om gegevens uit hoofde van hoofdstuk V onderzoeken.

Indien er een datacoördinator is aangewezen, faciliteert deze de in de eerste alinea, punten f), g) en h), bedoelde samenwerking en staat hij de bevoegde autoriteiten op hun verzoek bij.

6. De datacoördinator, indien een dergelijke bevoegde autoriteit is aangewezen:

a)	treedt op als centraal contactpunt voor alle kwesties in verband met de toepassing van deze verordening;

b)	waarborgt dat verzoeken van overheidsinstanties om gegevens beschikbaar te stellen in het geval van een uitzonderlijke noodzaak uit hoofde van hoofdstuk V online openbaar beschikbaar zijn, en bevordert vrijwillige gegevensdelingsovereenkomsten tussen overheidsinstanties en gegevenshouders;

c)	stelt de Commissie jaarlijks in kennis van de weigeringen waarvan overeenkomstig artikel 4, leden 2 en 8, en artikel 5, lid 11, kennis is gegeven.

7. De lidstaten stellen de Commissie in kennis van de namen van de bevoegde autoriteiten en van hun taken en bevoegdheden en, indien van toepassing, de naam van de gegevenscoördinator. De Commissie houdt een openbaar register van deze autoriteiten bij.

8. Bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden overeenkomstig deze verordening blijven de bevoegde autoriteiten onpartijdig en vrij van enige, directe of indirecte, invloed van buitenaf, en vragen noch aanvaarden zij voor individuele gevallen instructies van andere overheidsinstanties of particuliere partijen.

9. De lidstaten zorgen ervoor dat de bevoegde autoriteiten over voldoende personele en technische middelen beschikken alsook de relevante expertise om hun taken overeenkomstig deze verordening doeltreffend uit te voeren.

10. Entiteiten die binnen het toepassingsgebied van deze verordening vallen, vallen onder de bevoegdheid van de lidstaat waar de entiteit is gevestigd. Indien de entiteit in meer dan een lidstaat is gevestigd, wordt zij geacht onder de bevoegdheid te vallen van de lidstaat waar zij haar hoofdvestiging heeft, dat is waar het hoofdkantoor of de statutaire zetel van de entiteit zich bevindt, van waaruit de voornaamste financiële functies en de operationele controle worden uitgeoefend.

11. Elke binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt en niet in de Unie is gevestigd, wijst een wettelijke vertegenwoordiger aan in een van de lidstaten.

12. Met het oog op de naleving van deze verordening wordt een wettelijke vertegenwoordiger gemachtigd door een binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, zodat de bevoegde autoriteiten zich ook of in plaats van tot de entiteit, tot hem kunnen richten voor alle aangelegenheden die verband houden met die entiteit. Die wettelijke vertegenwoordiger werkt samen met de bevoegde autoriteiten en toont hun op verzoek de maatregelen en voorzieningen die zijn getroffen door de binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, teneinde de naleving van deze verordening te waarborgen.

13. Een binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, wordt geacht te vallen onder de bevoegdheid van de lidstaat waar haar wettelijke vertegenwoordiger is gevestigd. De aanwijzing van een wettelijke vertegenwoordiger door een dergelijke entiteit doet geen afbreuk aan de aansprakelijkheid van een dergelijke entiteit en aan eventuele rechtsvorderingen die tegen haar kunnen worden ingesteld. Totdat een entiteit overeenkomstig dit artikel een wettelijke vertegenwoordiger aanwijst, valt zij, in voorkomend geval, onder de bevoegdheid van alle lidstaten teneinde de toepassing en handhaving van deze verordening te waarborgen. Elke bevoegde autoriteit kan haar bevoegdheid uitoefenen, onder meer door doeltreffende, evenredige en afschrikkende sancties op te leggen, mits de entiteit met betrekking tot dezelfde feiten niet door een andere bevoegde autoriteit onderworpen is aan een handhavingsprocedure uit hoofde van deze verordening.

14. Bevoegde autoriteiten hebben de bevoegdheid om van gebruikers, gegevenshouders of gegevensontvangers, of hun wettelijke vertegenwoordigers, die onder de bevoegdheid van hun lidstaat vallen, alle informatie op te vragen die nodig is om na te gaan of aan deze verordening is voldaan. Een verzoek om informatie moet in verhouding staan tot de uitvoering van de onderliggende taak en moet worden gemotiveerd.

15. Indien een bevoegde autoriteit in een lidstaat om bijstand of handhavingsmaatregelen van een bevoegde autoriteit in een andere lidstaat verzoekt, dient zij een gemotiveerd verzoek in. Na ontvangst van een dergelijk verzoek geeft een bevoegde autoriteit onverwijld een antwoord met een gedetailleerde beschrijving van de maatregelen die zijn genomen of gepland.

16. Bevoegde autoriteiten eerbiedigen het vertrouwelijkheidsbeginsel en het beroeps- en handelsgeheim, en beschermen persoonsgegevens overeenkomstig het Unie-of nationale recht. Alle informatie die naar aanleiding van een verzoek om bijstand wordt uitgewisseld en wordt verstrekt uit hoofde van dit artikel, wordt uitsluitend gebruikt in verband met de aangelegenheid waarvoor zij is gevraagd.

Artikel 42

Rol van het Europees Comité voor gegevensinnovatie

Het Europees Comité voor gegevensinnovatie, dat door de Commissie is opgericht als een deskundigengroep op grond van artikel 29 van Verordening (EU) 2022/868 en waarin de bevoegde autoriteiten zijn vertegenwoordigd, ondersteunt de consistente toepassing van deze verordening door:

a)	de Commissie te adviseren en bij te staan bij de ontwikkeling van een consistente praktijk van de bevoegde autoriteiten bij de handhaving van de hoofdstukken II, III, V en VII;

samenwerking tussen de bevoegde autoriteiten te faciliteren door middel van capaciteitsopbouw en informatie-uitwisseling, met name door methoden vast te stellen voor efficiënte informatie-uitwisseling met betrekking tot de handhaving van de rechten en plichten uit hoofde van de hoofdstukken II, III en V in grensoverschrijdende zaken, met inbegrip van coördinatie met betrekking tot de vaststelling van sancties;

de Commissie te adviseren en bij te staan met betrekking tot het volgende:

i)	of er al dan niet moet worden verzocht om de opstelling van geharmoniseerde normen als bedoeld in artikel 33, lid 4, artikel 35, lid 4, en artikel 36, lid 5;

ii)	de voorbereiding van de ontwerpuitvoeringshandelingen bedoeld in artikel 33, lid 5, artikel 35, leden 5 en 8, en artikel 36, lid 6;

iii)	de voorbereiding van de gedelegeerde handelingen bedoeld in artikel 29, lid 7, en artikel 33, lid 2, en

iv)	de vaststelling van de in artikel 33, lid 11, bedoelde richtsnoeren tot vaststelling van interoperabele kaders voor gemeenschappelijke normen en praktijken voor de werking van gemeenschappelijke Europese dataruimten.

HOOFDSTUK X

SUI-GENERIS-RECHT KRACHTENS RICHTLIJN 96/9/EG

Artikel 43

Databanken die bepaalde gegevens bevatten

Het in artikel 7 van Richtlijn 96/9/EG bedoelde sui-generis-recht is niet van toepassing wanneer gegevens worden verkregen uit of gegenereerd door een verbonden product dat of gerelateerde dienst die binnen het toepassingsgebied van deze verordening valt, met name met betrekking tot de artikelen 4 en 5 daarvan.

HOOFDSTUK XI

SLOTBEPALINGEN

Artikel 44

Andere Unierechtshandelingen betreffende rechten en verplichtingen inzake de toegang tot en het gebruik van gegevens

1. De specifieke verplichtingen voor het beschikbaar stellen van gegevens tussen bedrijven onderling, tussen bedrijven en consumenten, en bij wijze van uitzondering tussen bedrijven en overheidsinstanties, in Unierechtshandelingen die op of vóór 11 januari 2024 in werking zijn getreden, en de gedelegeerde of uitvoeringshandelingen op grond daarvan, blijven onverlet.

2. Deze verordening doet geen afbreuk aan het Unierecht waarin, gezien de behoeften van een sector, een gemeenschappelijke Europese dataruimte of een gebied van algemeen belang, verdere vereisten worden vastgesteld, met name met betrekking tot:

a)	technische aspecten van de toegang tot gegevens;

b)	beperkingen van het recht van gegevenshouders op toegang tot of gebruik van bepaalde door gebruikers verstrekte gegevens;

c)	aspecten die verder gaan dan de toegang tot en het gebruik van gegevens.

3. Deze verordening, met uitzondering van hoofdstuk V, doet geen afbreuk aan het Unierecht en het nationale recht die voorzien in toegang tot en toestemming voor het gebruik van gegevens voor wetenschappelijk onderzoek.

Artikel 49

Evaluatie en herziening

1. Uiterlijk op 12 september 2028 voert de Commissie een evaluatie van deze verordening uit en brengt zij over de belangrijkste bevindingen verslag uit aan het Europees Parlement en de Raad, en aan het Europees Economisch en Sociaal Comité. In het kader van deze evaluatie wordt met name het volgende beoordeeld:

situaties die moeten worden beschouwd als situaties van uitzonderlijke noodzaak voor de toepassing van artikel 15 van deze verordening en de toepassing in de praktijk van hoofdstuk V van deze verordening, met name de ervaring met de toepassing van hoofdstuk V van deze verordening door overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie; het aantal procedures dat op grond van artikel 18, lid 5, bij de bevoegde autoriteit is ingesteld met betrekking tot de toepassing van hoofdstuk V van deze verordening, zoals gerapporteerd door de bevoegde autoriteiten, en het resultaat van die procedures; het effect van andere verplichtingen die in het Unie- of nationale recht zijn vastgelegd met betrekking tot de inwilliging van verzoeken om toegang tot informatie; het effect van vrijwillige mechanismen voor het delen van gegevens, zoals die zijn opgezet uit hoofde van Verordening (EU) 2022/868 erkende organisaties voor data-altruïsme, op de verwezenlijking van de doelstellingen van hoofdstuk V van deze verordening, en de rol van persoonsgegevens in het kader van artikel 15 van deze verordening, met inbegrip van de ontwikkeling van privacybevorderende technologieën;

b)	het effect van deze verordening op het gebruik van gegevens in de economie, onder meer op gegevensinnovatie, praktijken in verband met het te gelde maken van gegevens, en databemiddelingsdiensten, alsook op het delen van data binnen de gemeenschappelijke Europese dataruimten;

c)	de toegankelijkheid en het gebruik van verschillende categorieën en soorten gegevens;

d)	de uitsluiting van bepaalde categorieën ondernemingen als begunstigden op grond van artikel 5;

e)	het uitblijven van gevolgen voor intellectuele-eigendomsrechten;

de gevolgen voor bedrijfsgeheimen, met inbegrip van de bescherming tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken ervan, alsook de gevolgen van het mechanisme dat de gegevenshouder in staat stelt het verzoek van de gebruiker af te wijzen uit hoofde van artikel 4, lid 8, en artikel 5, lid 11., voort zoveel mogelijk rekening houdend met de herziening van Richtlijn (EU) 2016/943;

g)	of de in artikel 13 bedoelde lijst van oneerlijke contractuele bedingen actueel is in het licht van nieuwe bedrijfspraktijken en het snelle tempo van marktinnovatie;

h)	veranderingen in de contractuele praktijken van aanbieders van dataverwerkingsdiensten en of dit leidt tot toereikende naleving van artikel 25;

i)	de verlaging van de kosten die aanbieders van dataverwerkingsdiensten voor het overstapproces opleggen, in overeenstemming met de geleidelijke afschaffing van de overstapkosten overeenkomstig artikel 29;

j)	de wisselwerking tussen deze verordening en andere Unierechtshandelingen die relevant zijn voor de data-economie;

k)	het voorkomen van onrechtmatige overheidstoegang tot niet-persoonsgebonden gegevens;

l)	de doeltreffendheid van de krachtens artikel 37 vereiste handhavingsregeling;

m)	het effect van deze verordening op kmo’s met betrekking tot hun innovatiecapaciteit en tot de beschikbaarheid van dataverwerkingsdiensten voor gebruikers in de Unie en tot de lasten bij de nakoming van nieuwe verplichtingen.

2. Uiterlijk op 12 september 2028 voert de Commissie een evaluatie van deze verordening uit en brengt zij een verslag uit over de belangrijkste bevindingen aan het Europees Parlement en de Raad, alsmede aan het Europees Economisch en Sociaal Comité. Bij die evaluatie wordt het effect van de artikelen 23 tot en met 31 en de artikelen 34 en 35 bedoelde bepalingen beoordeeld, met name wat betreft de prijsstelling en de diversiteit van de in de Unie aangeboden dataverwerkingsdiensten, met bijzondere aandacht voor aanbieders die kmo’s zijn.

3. De lidstaten verstrekken de Commissie de nodige informatie voor het opstellen van de in de leden 1 en 2 bedoelde verslagen.

4. Op basis van de in de leden 1 en 2 bedoelde verslagen kan de Commissie zo nodig bij het Europees Parlement en de Raad een wetgevingsvoorstel indienen om deze verordening te wijzigen.

Artikel 50

Inwerkingtreding en toepassing

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Zij is van toepassing met ingang van 12 september 2025.

De uit artikel 3, lid 1, voortvloeiende verplichting is van toepassing op verbonden producten en de daaraan gerelateerde diensten die na 12 september 2026.

Hoofdstuk III is van toepassing met betrekking tot verplichtingen om gegevens beschikbaar te stellen op grond van het Unierecht of op grond van overeenkomstig het Unierecht vastgestelde nationale wetgeving die na 12 september 2025 in werking treedt.

Hoofdstuk IV is van toepassing op overeenkomsten die na 12 september 2025.

Hoofdstuk IV is met ingang van 12 september 2027 van toepassing op overeenkomsten die op of vóór 12 september 2025 zijn gesloten mits zij:

a)	van onbepaalde duur zijn, of

b)	ten minste 10 jaar na 11 januari 2024 aflopen.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Straatsburg, 13 december 2023.

Voor het Europees Parlement

De voorzitter

R. METSOLA

Voor de Raad

De voorzitter

P. NAVARRO RÍOS

(1) PB C 402 van 19.10.2022, blz. 5.

(2) PB C 365 van 23.9.2022, blz. 18.

(3) PB C 375 van 30.9.2022, blz. 112.

(4) Standpunt van het Europees Parlement van 9 november 2023 (nog niet bekendgemaakt in het Publicatieblad) en besluit van de Raad van 27 november 2023.

(5) Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PB L 124 van 20.5.2003, blz. 36).

(6) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

(7) Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).

(8) Richtlĳn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlĳke levenssfeer in de sector elektronische communicatie (richtlĳn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37).

(9) Richtlijn 93/13/EEG van de Raad van 5 april 1993 betreffende oneerlijke bedingen in consumentenovereenkomsten (PB L 95 van 21.4.1993, blz. 29).

(10) Richtlijn 2005/29/EG van het Europees Parlement en de Raad van 11 mei 2005 betreffende oneerlijke handelspraktijken van ondernemingen jegens consumenten op de interne markt en tot wijziging van Richtlijn 84/450/EEG van de Raad, Richtlijnen 97/7/EG, 98/27/EG en 2002/65/EG van het Europees Parlement en de Raad en van Verordening (EG) nr. 2006/2004 van het Europees Parlement en de Raad (“Richtlijn oneerlijke handelspraktijken”) (PB L 149 van 11.6.2005, blz. 22).

(11) Richtlijn 2011/83/EU van het Europees Parlement en de Raad van 25 oktober 2011 betreffende consumentenrechten, tot wijziging van Richtlijn 93/13/EEG van de Raad en van Richtlijn 1999/44/EG van het Europees Parlement en de Raad en tot intrekking van Richtlijn 85/577/EEG en van Richtlijn 97/7/EG van het Europees Parlement en de Raad (PB L 304 van 22.11.2011, blz. 64).

(12) Verordening (EU) 2021/784 van het Europees Parlement en de Raad van 29 april 2021 inzake het tegengaan van de verspreiding van terroristische online-inhoud (PB L 172 van 17.5.2021, blz. 79).

(13) Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG (digitaledienstenverordening) (PB L 277 van 27.10.2022, blz. 1).

(14) Verordening (EU) 2023/1543 van het Europees Parlement en de Raad van 12 juli 2023 betreffende het Europees verstrekkingsbevel en het Europees bewaringsbevel voor elektronisch bewijsmateriaal in strafzaken en de tenuitvoerlegging van vrijheidsstraffen als gevolg van een strafprocedure (PB L 191 van 28.7.2023 blz. 118).

(15) Richtlijn (EU) 2023/1544 van het Europees Parlement en de Raad van 12 juli 2023 tot vaststelling van geharmoniseerde regels inzake de aanwijzing van aangewezen vestigingen en de aanstelling van wettelijke vertegenwoordigers ten behoeve van de vergaring van elektronisch bewijsmateriaal in strafprocedures (PB L 191 van 28.7.2023, blz. 181).

(16) Verordening (EU) 2015/847 van het Europees Parlement en de Raad van 20 mei 2015 betreffende bij geldovermakingen te voegen informatie en tot intrekking van Verordening (EG) nr. 1781/2006 (PB L 141 van 5.6.2015, blz. 1).

(17) Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, tot wijziging van Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad en tot intrekking van Richtlijn 2005/60/EG van het Europees Parlement en de Raad en Richtlijn 2006/70/EG van de Commissie (PB L 141 van 5.6.2015, blz. 73).

(18) Richtlijn (EU) 2019/882 van het Europees Parlement en de Raad van 17 april 2019 betreffende de toegankelijkheidsvoorschriften voor producten en diensten (PB L 151 van 7.6.2019, blz. 70).

(19) Richtlĳn 2001/29/EG van het Europees Parlement en de Raad van 22 mei 2001 betreffende de harmonisatie van bepaalde aspecten van het auteursrecht en de naburige rechten in de informatiemaatschappĳ (PB L 167 van 22.6.2001, blz. 10).

(20) Richtlijn 2004/48/EG van het Europees Parlement en de Raad van 29 april 2004 betreffende de handhaving van intellectuele-eigendomsrechten (PB L 157 van 30.4.2004, blz. 45).

(21) Richtlijn (EU) 2019/790 van het Europees Parlement en de Raad van 17 april 2019 inzake auteursrechten en naburige rechten in de digitale eengemaakte markt en tot wijziging van Richtlijnen 96/9/EG en 2001/29/EG (PB L 130 van 17.5.2019, blz. 92).

(22) Verordening (EU) 2022/868 van het Europees Parlement en de Raad van 30 mei 2022 betreffende Europese datagovernance en tot wijziging van Verordening (EU) 2018/1724 (datagovernanceverordening) (PB L 152 van 3.6.2022, blz. 1).

(23) Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PB L 157 van 15.6.2016, blz. 1).

(24) Richtlijn 98/6/EG van het Europees Parlement en de Raad van 16 februari 1998 betreffende de bescherming van de consument inzake de prijsaanduiding van aan de consument aangeboden producten (PB L 80 van 18.3.1998, blz. 27).

(25) Richtlijn 2000/31/EG van het Europees Parlement en de Raad van 8 juni 2000 betreffende bepaalde juridische aspecten van de diensten van de informatiemaatschappij, met name de elektronische handel, in de interne markt (“Richtlijn inzake elektronische handel”) (PB L 178 van 17.7.2000, blz. 1).

(26) Verordening (EU) 2022/1925 van het Europees Parlement en de Raad van 14 september 2022 over betwistbare en eerlijke markten in de digitale sector, en tot wijziging van Richtlijnen (EU) 2019/1937 en (EU) 2020/1828 (digitalemarktenverordening) (PB L 265 van 12.10.2022, blz. 1).

(27) Verordening (EG) nr. 223/2009 van het Europees Parlement en de Raad van 11 maart 2009 betreffende de Europese statistiek en tot intrekking van Verordening (EG, Euratom) nr. 1101/2008 betreffende de toezending van onder de statistische geheimhoudingsplicht vallende data aan het Bureau voor de Statistiek van de Europese Gemeenschappen, Verordening (EG) nr. 322/97 van de Raad betreffende de communautaire statistiek en Besluit 89/382/EEG, Euratom van de Raad tot oprichting van een Comité statistisch programma van de Europese Gemeenschappen (PB L 87 van 31.3.2009, blz. 164).

(28) Richtlijn (EU) 2019/1024 van het Europees Parlement en de Raad van 20 juni 2019 inzake open data en het hergebruik van overheidsinformatie (PB L 172 van 26.6.2019, blz. 56).

(29) Richtlijn 96/9/EG van het Europees Parlement en de Raad van 11 maart 1996 betreffende de rechtsbescherming van databanken (PB L 77 van 27.3.1996, blz. 20).

(30) Verordening (EU) 2018/1807 van het Europees Parlement en de Raad van 14 november 2018 inzake een kader voor het vrije verkeer van niet-persoonsgebonden gegevens in de Europese Unie (PB L 303 van 28.11.2018, blz. 59).

(31) Richtlijn (EU) 2019/770 van het Europees Parlement en de Raad van 20 mei 2019 betreffende bepaalde aspecten van overeenkomsten voor de levering van digitale inhoud en digitale diensten (PB L 136 van 22.5.2019, blz. 1).

(32) Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).

(33) Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad van 25 oktober 2012 betreffende Europese normalisatie, tot wijziging van de Richtlijnen 89/686/EEG en 93/15/EEG van de Raad alsmede de Richtlijnen 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG en 2009/105/EG van het Europees Parlement en de Raad en tot intrekking van Beschikking 87/95/EEG van de Raad en Besluit nr. 1673/2006/EG van het Europees Parlement en de Raad (PB L 316 van 14.11.2012, blz. 12).

(34) Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad van 9 juli 2008 tot vaststelling van de eisen inzake accreditatie en markttoezicht betreffende het verhandelen van producten en tot intrekking van Verordening (EEG) nr. 339/93 (PB L 218 van 13.8.2008, blz. 30).

(35) Besluit 768/2008/EG van het Europees Parlement en de Raad van 9 juli 2008 betreffende een gemeenschappelijk kader voor het verhandelen van producten en tot intrekking van Besluit 93/465/EEG van de Raad (PB L 218 van 13.8.2008, blz. 82).

(36) Verordening (EU) 2017/2394 van het Europees Parlement en de Raad van 12 december 2017 betreffende samenwerking tussen de nationale autoriteiten die verantwoordelijk zijn voor handhaving van de wetgeving inzake consumentenbescherming en tot intrekking van Verordening (EG) nr. 2006/2004 (PB L 345 van 27.12.2017, blz. 1).

(37) Richtlijn (EU) 2020/1828 van het Europees Parlement en de Raad van 25 november 2020 betreffende representatieve vorderingen ter bescherming van de collectieve belangen van consumenten en tot intrekking van Richtlijn 2009/22/EG (PB L 409 van 4.12.2020, blz. 1).

(38) PB L 123 van 12.5.2016, blz. 1.

(39) Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad van 16 februari 2011 tot vaststelling van de algemene voorschriften en beginselen die van toepassing zijn op de wijze waarop de lidstaten de uitoefening van de uitvoeringsbevoegdheden door de Commissie controleren (PB L 55 van 28.2.2011, blz. 13).

ELI: http://data.europa.eu/eli/reg/2023/2854/oj

ISSN 1977-0758 (electronic edition)

whereas

keyboard_tab Data Act 2023/2854 NL

Data Act 2023/2854 NL