keyboard_tab Data Act 2023/2854 NL

1.   Indien de gebruiker geen rechtstreekse toegang heeft tot de gegevens via het verbonden product of de gerelateerde dienst, stellen gegevenshouders de eenvoudig beschikbare gegevens, alsook de relevante metagegevens die nodig zijn om die gegevens te interpreteren en te gebruiken, onmiddellijk, met dezelfde kwaliteit als de voor de gegevenshouder beschikbare gegevens, gemakkelijk, veilig, kosteloos, in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat ter beschikking van de gebruiker, voor zover dat relevant en technisch haalbaar is, en gebeurt deze terbeschikkingstelling continu en in realtime. Voor zover technisch haalbaar, gebeurt dit op eenvoudig elektronisch verzoek.

2.   gebruikers en gegevenshouders kunnen de toegang tot gegevens of het gebruik of verder delen daarvan contractueel beperken of verbieden indien een dergelijke verwerking de beveiligingsvereisten van het verbonden product, zoals vastgesteld in het Unie- of nationaal recht, zou kunnen ondermijnen, met ernstige negatieve gevolgen voor de gezondheid, veiligheid of beveiliging van natuurlijke personen. De sectorale autoriteiten kunnen in dat verband gebruikers en houders van gegevens technische expertise verstrekken. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit artikel, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

3.   Onverminderd het recht van de gebruiker om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan de gebruiker met betrekking tot elk geschil met de gegevenshouder over de in lid 2 bedoelde contractuele beperkingen of verboden:

4.   Gegevenshouders maken het maken van keuzes of de uitoefening van de rechten op grond van dit artikel van gebruikers niet onnodig moeilijk door bijvoorbeeld de keuzemogelijkheden voor de gebruiker op een niet-neutrale manier te presenteren of door de autonomie, besluitvorming of vrije keuze van de gebruikers te ondermijnen of te belemmeren via de structuur, het ontwerp, de functie of de gebruikswijze van een digitale gebruikersinterface of een deel daarvan.

5.   Om na te gaan of een natuurlijke of rechtspersoon als gebruiker op grond van lid 1 kan worden aangemerkt, mag een gegevenshouder van die persoon niet verlangen dat die persoon informatie verstrekt die verder gaat dan nodig is. Gegevenshouders bewaren geen informatie, met name loggegevens, over de toegang van de gebruiker tot de gevraagde gegevens die verder gaat dan nodig is voor de goede uitvoering van het toegangsverzoek van de gebruiker en voor de beveiliging en het onderhoud van de data-infrastructuur.

6.   Bedrijfsgeheimen worden bewaard en worden alleen bekendgemaakt op voorwaarde dat de gegevenshouder en de gebruiker voorafgaand aan de bekendmaking alle noodzakelijke maatregelen nemen om de vertrouwelijkheid ervan te waarborgen, met name ten aanzien van derden. De gegevenshouder, of de houder van het bedrijfsgeheim wanneer deze niet de gegevenshouder is, identificeert de gegevens die als bedrijfsgeheim worden beschermd, onder meer in de relevante metagegevens, en komt met de gebruiker evenredige technische en organisatorische maatregelen overeen, zoals modelcontractvoorwaarden, vertrouwelijkheidsovereenkomsten, strikte toegangsprotocollen, technische normen en de toepassing van gedragscodes, die noodzakelijk zijn om de vertrouwelijkheid van de gedeelde gegevens te waarborgen, met name ten aanzien van derden.

7.   Indien er geen overeenstemming wordt bereikt over de in lid 6 bedoelde noodzakelijke maatregelen, of indien de gebruiker de op grond van lid 6 overeengekomen maatregelen niet uitvoert of de vertrouwelijkheid van de bedrijfsgeheimen ondermijnt, kan de gegevenshouder het delen van als bedrijfsgeheim aangemerkte gegevens tegenhouden of, naargelang van het geval, opschorten. Het besluit van de gegevenshouder wordt naar behoren gemotiveerd en onverwijld schriftelijk aan de gebruiker meegedeeld. In dergelijke gevallen stelt de gegevenshouder de op grond van artikel 37 aangewezen bevoegde autoriteit in kennis van het feit dat hij het delen van gegevens heeft geweigerd of opgeschort, en vermeldt hij welke maatregelen niet zijn overeengekomen of uitgevoerd en, in voorkomend geval, van welke bedrijfsgeheimen de vertrouwelijkheid is ondermijnd.

8.   In uitzonderlijke omstandigheden, wanneer de gegevenshouder die houder is van een bedrijfsgeheim kan aantonen dat hij door de bekendmaking van bedrijfsgeheimen, ondanks de door de gebruiker op grond van lid 6 van dit artikel genomen technische en organisatorische maatregelen, zeer waarschijnlijk ernstige economische schade zal lijden, kan die gegevenshouder per geval een verzoek om toegang tot de specifieke gegevens in kwestie weigeren. Dat bewijs wordt naar behoren onderbouwd op basis van objectieve elementen, met name de afdwingbaarheid van de bescherming van bedrijfsgeheimen in derde landen, de aard en het niveau van vertrouwelijkheid van de gevraagde gegevens, en de mate waarin het om een uniek en nieuw verbonden product gaat, en wordt onverwijld schriftelijk aan de gebruiker verstrekt. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit lid, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

9.   Onverminderd het recht van een gebruiker om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan een gebruiker het besluit van een gegevenshouder om het delen van gegevens op grond van de leden 7 en 8 te weigeren, tegen te houden of op te schorten aanvechten door:

10.   De gebruiker mag gegevens die zijn verkregen naar aanleiding van een in lid 1 bedoeld verzoek niet gebruiken om een verbonden product te ontwikkelen dat concurreert met het verbonden product waaruit de gegevens afkomstig zijn, noch met datzelfde oogmerk gegevens delen met een derde, en mag die gegevens evenmin gebruiken om inzicht te verkrijgen in de economische situatie, activa en productiemethoden van de fabrikant of, in voorkomend geval, de gegevenshouder.

11.   De gebruiker mag geen dwangmiddelen gebruiken of misbruik maken van leemten in de technische infrastructuur van een gegevenshouder die bedoeld is om de gegevens te beschermen, teneinde toegang tot gegevens te verkrijgen.

12.   Indien de gebruiker niet het datasubject is van wie de persoonsgegevens worden opgevraagd, worden persoonsgegevens die door het gebruik van een verbonden product of een gerelateerde dienst zijn gegenereerd, door de gegevenshouder alleen ter beschikking gesteld van de gebruiker indien er een geldige rechtsgrond voor verwerking bestaat uit hoofde van artikel 6 van Verordening (EU) 2016/679 en, in voorkomend geval, indien aan de voorwaarden van artikel 9 van die verordening en van artikel 5, lid 3, van Richtlijn 2002/58/EG wordt voldaan.

13.   Een gegevenshouder gebruikt alleen eenvoudig beschikbare gegevens die niet-persoonsgebonden gegevens zijn op basis van een overeenkomst met de gebruiker. Een gegevenshouder gebruikt dergelijke gegevens niet om inzichten in de economische situatie, de activa of de productiemethoden van de gebruiker of het gebruik van het product of de dienst door de gebruiker te verwerven, op enige andere wijze die de commerciële positie van die gebruiker op de markten waarop deze actief is, zouden kunnen ondermijnen.

14.   Gegevenshouders stellen niet-persoonsgebonden productgegevens niet beschikbaar aan derden voor andere commerciële of niet-commerciële doeleinden dan de uitvoering van hun overeenkomst met de gebruiker. In voorkomend geval verplichten gegevenshouders derden er contractueel toe de van hen ontvangen gegevens niet verder te delen.

1.   Een derde verwerkt de hem overeenkomstig artikel 5 ter beschikking gestelde gegevens uitsluitend voor de doeleinden en onder de voorwaarden die met de gebruiker zijn overeengekomen, en met inachtneming van het Unierecht en het nationale recht inzake de bescherming van persoonsgegevens, met inbegrip van de rechten van het datasubject wat persoonsgegevens betreft. De derde wist de gegevens wanneer zij niet langer noodzakelijk zijn voor het overeengekomen doel, tenzij in verband met niet-persoonsgebonden gegevens anders met de gebruiker is overeengekomen.

2.   De derde:

1.   gebruikers, gegevenshouders en gegevensontvangers hebben toegang tot een overeenkomstig lid 5 van dit artikel gecertificeerd geschillenbeslechtingsorgaan om geschillen op grond van artikel 4, leden 3 en 9, en artikel 5, lid 12, te beslechten alsmede geschillen met betrekking tot de eerlijke, redelijke en niet-discriminerende voorwaarden voor en transparante wijze van het beschikbaar stellen van gegevens overeenkomstig dit hoofdstuk en hoofdstuk IV.

2.   De geschillenbeslechtingsorganen stellen de betrokken partijen in kennis van de vergoedingen of van de mechanismen om de vergoedingen vast te stellen, voordat die partijen om een besluit verzoeken.

3.   Voor geschillen die worden verwezen naar een geschillenbeslechtingsorgaan op grond van artikel 4, lid 3, en artikel 5 lid 12, geldt dat, indien het geschillenbeslechtingsorgaan het geschil in het voordeel van de gebruiker of de gegevensontvanger beslecht, de gegevenshouder alle door het geschillenbeslechtingsorgaan aangerekende kosten op zich neemt en aan die gebruiker of die gegevensontvanger alle overige redelijke kosten terugbetaalt die deze in verband met de geschillenbeslechting heeft gemaakt. Indien het geschillenbeslechtingsorgaan het geschil in het voordeel van de gegevenshouder beslecht, hoeft de gebruiker of de gegevensontvanger geen vergoedingen of andere door de gegevenshouder in verband met de geschillenbeslechting gemaakte of nog te maken kosten terug te betalen, tenzij het geschillenbeslechtingsorgaan van oordeel is dat de gebruiker of de gegevensontvanger duidelijk te kwader trouw heeft gehandeld.

4.   Klanten en aanbieders van dataverwerkingsdiensten hebben toegang tot een overeenkomstig lid 5 van dit artikel gecertificeerd geschillenbeslechtingsorgaan om geschillen te beslechten met betrekking tot inbreuken op de rechten van klanten en de verplichtingen van aanbieders van dataverwerkingsdiensten overeenkomstig de artikelen 23 tot en met 31.

5.   De lidstaat waar het geschillenbeslechtingsorgaan is gevestigd, certificeert dat orgaan op verzoek van dat orgaan, indien het heeft aangetoond dat het aan alle volgende voorwaarden voldoet:

6.   De lidstaten stellen de Commissie in kennis van de overeenkomstig lid 5 gecertificeerde geschillenbeslechtingsorganen. De Commissie publiceert een lijst van deze organen op een speciale website en houdt deze actueel.

7.   Een geschillenbeslechtingsorgaan weigert een verzoek om beslechting van een geschil dat al voor een ander geschillenbeslechtingsorgaan of voor een rechterlijke instantie van een lidstaat is gebracht.

8.   Een geschillenbeslechtingsorgaan biedt partijen de mogelijkheid om binnen een redelijke termijn hun standpunten over de aangelegenheden die zij bij dat orgaan aanhangig hebben gemaakt, kenbaar te maken. In dat verband wordt elke partij bij een geschil voorzien van de opmerkingen van de andere partij met betrekking tot hun geschil en eventuele deskundigenverklaringen. De partijen krijgen de mogelijkheid om op deze opmerkingen en verklaringen te reageren.

9.   Een geschillenbeslechtingsorgaan neemt binnen 90 dagen na ontvangst van een verzoek op grond van de leden 1 en 4 een besluit over een aangelegenheid die haar is voorgelegd. Dat besluit wordt schriftelijk of op een duurzame drager opgesteld en wordt met een motivering gestaafd.

10.   Geschillenbeslechtingsorganen stellen jaarlijkse activiteitenverslagen op en maken deze openbaar. Zulke jaarverslagen bevatten met name de volgende algemene informatie:

11.   Om de uitwisseling van informatie en beste praktijken te vergemakkelijken, kan een geschillenbeslechtingsorgaan besluiten in het in lid 10 bedoelde verslag aanbevelingen te doen over de wijze waarop problemen kunnen worden voorkomen of opgelost.

12.   Het besluit van een geschillenbeslechtingsorgaan is alleen bindend voor de partijen indien deze vóór aanvang van de geschillenbeslechtingsprocedure uitdrukkelijk hebben ingestemd met het bindende karakter ervan.

13.   Dit artikel doet geen afbreuk aan het recht van partijen om een doeltreffende voorziening in rechte in te stellen bij een rechterlijke instantie van een lidstaat.

1.   Een gegevenshouder kan passende technische beschermingsmaatregelen treffen, zoals slimme contracten en encryptie, om ongeoorloofde toegang tot gegevens, waaronder metagegevens, te voorkomen en de naleving van de artikelen 5, 6, 8 en 9 en de overeengekomen contractvoorwaarden voor het beschikbaar stellen van gegevens te waarborgen. Dergelijke technische beschermingsmaatregelen mogen geen onderscheid maken tussen gegevensontvangers, noch het recht van de gebruiker belemmeren om een kopie te verkrijgen, gegevens op te vragen, te gebruiken of te raadplegen, dan wel gegevens aan derden te verstrekken overeenkomstig artikel 5, of enig recht van een derde uit hoofde van het Unierecht of overeenkomstig het Unierecht vastgestelde nationale wetgeving. gebruikers, derden of gegevensontvangers mogen dergelijke technische beschermingsmaatregelen niet wijzigen of schrappen, tenzij de gegevenshouder daarmee instemt.

2.   In de in lid 3 bedoelde omstandigheden voldoet de derde of gegevensontvanger onverwijld aan de verzoeken van de gegevenshouder en, indien van toepassing en indien zij niet dezelfde persoon zijn, de houder van het bedrijfsgeheim of de gebruiker om:

3.   Lid 2 is van toepassing indien een derde of een gegevensontvanger

4.   Lid 2 is ook van toepassing indien een gebruiker de door de gegevenshouder toegepaste technische beschermingsmaatregelen wijzigt of schrapt of de technische en organisatorische maatregelen die de gebruiker in overleg met de gegevenshouder of de houder van het bedrijfsgeheim, indien deze niet de gegevenshouder is, heeft genomen, niet handhaaft, om bedrijfsgeheimen te beschermen, alsmede ten aanzien van elke andere partij die de gegevens van de gebruiker ontvangt door middel van een inbreuk op deze verordening.

5.   Wanneer de gegevensontvanger inbreuk maakt op artikel 6, lid 2, punt a) of b), hebben gebruikers dezelfde rechten als gegevenshouders op grond van lid 2 van dit artikel.

1.   Elke lidstaat wijst een of meer autoriteiten aan die bevoegd zijn voor de uitvoering en handhaving van deze verordening (bevoegde autoriteiten). De lidstaten kunnen een of meer nieuwe autoriteiten oprichten of een beroep doen op bestaande autoriteiten.

2.   Indien een lidstaat meer dan één bevoegde autoriteit aanwijst, wijst hij onder deze bevoegde autoriteiten een datacoördinator aan om de samenwerking tussen hen te vergemakkelijken en entiteiten binnen het toepassingsgebied van deze verordening bij te staan in alle aangelegenheden die verband houden met de toepassing en handhaving ervan. Bij de uitoefening van de hun krachtens lid 5 toegewezen taken en bevoegdheden werken de bevoegde autoriteiten met elkaar samen.

3.   De toezichthoudende autoriteiten die verantwoordelijk zijn voor het toezicht op de toepassing van Verordening (EU) 2016/679, zijn verantwoordelijk voor het toezicht op de toepassing van deze verordening wat de bescherming van persoonsgegevens betreft. De hoofdstukken VI en VII van Verordening (EU) 2016/679 zijn van overeenkomstige toepassing.

De Europese Toezichthouder voor gegevensbescherming is verantwoordelijk voor het toezicht op de toepassing van deze verordening voor zover deze betrekking heeft op de Commissie, de Europese Centrale Bank of organen van de Unie. In voorkomend geval is artikel 62 van Verordening (EU) 2018/1725 van overeenkomstige toepassing.

De in dit lid bedoelde taken en bevoegdheden van de toezichthoudende autoriteiten worden uitgeoefend met betrekking tot de verwerking van persoonsgegevens.

4.   Onverminderd lid 1 van dit artikel:

5.   De lidstaten zorgen ervoor dat de taken en bevoegdheden van de bevoegde autoriteiten duidelijk omschreven zijn en het volgende omvatten:

Indien er een datacoördinator is aangewezen, faciliteert deze de in de eerste alinea, punten f), g) en h), bedoelde samenwerking en staat hij de bevoegde autoriteiten op hun verzoek bij.

6.   De datacoördinator, indien een dergelijke bevoegde autoriteit is aangewezen:

7.   De lidstaten stellen de Commissie in kennis van de namen van de bevoegde autoriteiten en van hun taken en bevoegdheden en, indien van toepassing, de naam van de gegevenscoördinator. De Commissie houdt een openbaar register van deze autoriteiten bij.

8.   Bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden overeenkomstig deze verordening blijven de bevoegde autoriteiten onpartijdig en vrij van enige, directe of indirecte, invloed van buitenaf, en vragen noch aanvaarden zij voor individuele gevallen instructies van andere overheidsinstanties of particuliere partijen.

9.   De lidstaten zorgen ervoor dat de bevoegde autoriteiten over voldoende personele en technische middelen beschikken alsook de relevante expertise om hun taken overeenkomstig deze verordening doeltreffend uit te voeren.

10.   Entiteiten die binnen het toepassingsgebied van deze verordening vallen, vallen onder de bevoegdheid van de lidstaat waar de entiteit is gevestigd. Indien de entiteit in meer dan een lidstaat is gevestigd, wordt zij geacht onder de bevoegdheid te vallen van de lidstaat waar zij haar hoofdvestiging heeft, dat is waar het hoofdkantoor of de statutaire zetel van de entiteit zich bevindt, van waaruit de voornaamste financiële functies en de operationele controle worden uitgeoefend.

11.   Elke binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt en niet in de Unie is gevestigd, wijst een wettelijke vertegenwoordiger aan in een van de lidstaten.

12.   Met het oog op de naleving van deze verordening wordt een wettelijke vertegenwoordiger gemachtigd door een binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, zodat de bevoegde autoriteiten zich ook of in plaats van tot de entiteit, tot hem kunnen richten voor alle aangelegenheden die verband houden met die entiteit. Die wettelijke vertegenwoordiger werkt samen met de bevoegde autoriteiten en toont hun op verzoek de maatregelen en voorzieningen die zijn getroffen door de binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, teneinde de naleving van deze verordening te waarborgen.

13.   Een binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, wordt geacht te vallen onder de bevoegdheid van de lidstaat waar haar wettelijke vertegenwoordiger is gevestigd. De aanwijzing van een wettelijke vertegenwoordiger door een dergelijke entiteit doet geen afbreuk aan de aansprakelijkheid van een dergelijke entiteit en aan eventuele rechtsvorderingen die tegen haar kunnen worden ingesteld. Totdat een entiteit overeenkomstig dit artikel een wettelijke vertegenwoordiger aanwijst, valt zij, in voorkomend geval, onder de bevoegdheid van alle lidstaten teneinde de toepassing en handhaving van deze verordening te waarborgen. Elke bevoegde autoriteit kan haar bevoegdheid uitoefenen, onder meer door doeltreffende, evenredige en afschrikkende sancties op te leggen, mits de entiteit met betrekking tot dezelfde feiten niet door een andere bevoegde autoriteit onderworpen is aan een handhavingsprocedure uit hoofde van deze verordening.

14.   Bevoegde autoriteiten hebben de bevoegdheid om van gebruikers, gegevenshouders of gegevensontvangers, of hun wettelijke vertegenwoordigers, die onder de bevoegdheid van hun lidstaat vallen, alle informatie op te vragen die nodig is om na te gaan of aan deze verordening is voldaan. Een verzoek om informatie moet in verhouding staan tot de uitvoering van de onderliggende taak en moet worden gemotiveerd.

15.   Indien een bevoegde autoriteit in een lidstaat om bijstand of handhavingsmaatregelen van een bevoegde autoriteit in een andere lidstaat verzoekt, dient zij een gemotiveerd verzoek in. Na ontvangst van een dergelijk verzoek geeft een bevoegde autoriteit onverwijld een antwoord met een gedetailleerde beschrijving van de maatregelen die zijn genomen of gepland.

16.   Bevoegde autoriteiten eerbiedigen het vertrouwelijkheidsbeginsel en het beroeps- en handelsgeheim, en beschermen persoonsgegevens overeenkomstig het Unie-of nationale recht. Alle informatie die naar aanleiding van een verzoek om bijstand wordt uitgewisseld en wordt verstrekt uit hoofde van dit artikel, wordt uitsluitend gebruikt in verband met de aangelegenheid waarvoor zij is gevraagd.

1.   De specifieke verplichtingen voor het beschikbaar stellen van gegevens tussen bedrijven onderling, tussen bedrijven en consumenten, en bij wijze van uitzondering tussen bedrijven en overheidsinstanties, in Unierechtshandelingen die op of vóór 11 januari 2024 in werking zijn getreden, en de gedelegeerde of uitvoeringshandelingen op grond daarvan, blijven onverlet.

2.   Deze verordening doet geen afbreuk aan het Unierecht waarin, gezien de behoeften van een sector, een gemeenschappelijke Europese dataruimte of een gebied van algemeen belang, verdere vereisten worden vastgesteld, met name met betrekking tot:

3.   Deze verordening, met uitzondering van hoofdstuk V, doet geen afbreuk aan het Unierecht en het nationale recht die voorzien in toegang tot en toestemming voor het gebruik van gegevens voor wetenschappelijk onderzoek.

1.   Uiterlijk op 12 september 2028 voert de Commissie een evaluatie van deze verordening uit en brengt zij over de belangrijkste bevindingen verslag uit aan het Europees Parlement en de Raad, en aan het Europees Economisch en Sociaal Comité. In het kader van deze evaluatie wordt met name het volgende beoordeeld:

2.   Uiterlijk op 12 september 2028 voert de Commissie een evaluatie van deze verordening uit en brengt zij een verslag uit over de belangrijkste bevindingen aan het Europees Parlement en de Raad, alsmede aan het Europees Economisch en Sociaal Comité. Bij die evaluatie wordt het effect van de artikelen 23 tot en met 31 en de artikelen 34 en 35 bedoelde bepalingen beoordeeld, met name wat betreft de prijsstelling en de diversiteit van de in de Unie aangeboden dataverwerkingsdiensten, met bijzondere aandacht voor aanbieders die kmo’s zijn.

3.   De lidstaten verstrekken de Commissie de nodige informatie voor het opstellen van de in de leden 1 en 2 bedoelde verslagen.

4.   Op basis van de in de leden 1 en 2 bedoelde verslagen kan de Commissie zo nodig bij het Europees Parlement en de Raad een wetgevingsvoorstel indienen om deze verordening te wijzigen.