Data Act 2023/2854 NL

a)	het beschikbaar stellen van productgegevens en gegevens van een gerelateerde dienst aan de gebruiker van het verbonden product of gerelateerde dienst;

b)	het beschikbaar stellen van gegevens door gegevenshouders aan gegevensontvangers;

c)	het beschikbaar stellen van gegevens door gegevenshouders aan overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie, indien er sprake is van een uitzonderlijke noodzaak aan die gegevens voor de uitvoering van een specifieke taak in het algemeen belang;

d)	het vergemakkelijken van het overstappen tussen dataverwerkingsdiensten;

e)	het invoeren van waarborgen tegen ongeoorloofde toegang van derden tot niet-persoonsgebonden gegevens; en

f)	de ontwikkeling van interoperabiliteitsnormen voor te raadplegen, door te geven en te gebruiken gegevens.

2. Deze verordening heeft betrekking op persoonsgegevens en niet-persoonsgebonden gegevens, waaronder de volgende soorten gegevens, in de volgende contexten:

a)	hoofdstuk II is van toepassing op gegevens, met uitzondering van inhoud, betreffende de prestaties, het gebruik en de omgeving van verbonden producten en gerelateerde diensten;

b)	hoofdstuk III is van toepassing op alle gegevens van de particuliere sector waarvoor wettelijke gegevensdelingsverplichtingen gelden;

c)	hoofdstuk IV is van toepassing op alle gegevens van de particuliere sector die worden geraadpleegd en gebruikt op basis van overeenkomsten tussen ondernemingen;

d)	hoofdstuk V is van toepassing op alle gegevens van de particuliere sector, met de nadruk op niet-persoonsgebonden gegevens;

e)	hoofdstuk VI is van toepassing op alle gegevens en diensten die door aanbieders van dataverwerkingsdiensten worden verwerkt;

f)	hoofdstuk VII is van toepassing op alle niet-persoonsgebonden gegevens die in de Unie in handen zijn van aanbieders van dataverwerkingsdiensten.

3. Deze verordening is van toepassing op:

a)	fabrikanten van verbonden producten die in de Unie in de handel worden gebracht en aanbieders van gerelateerde diensten, ongeacht de vestigingsplaats van die fabrikanten en aanbieders;

b)	gebruikers in de Unie van verbonden producten of gerelateerde diensten zoals bedoeld in punt a);

c)	gegevenshouders, ongeacht hun vestigingsplaats, die gegevens ter beschikking stellen van gegevensontvangers in de Unie;

d)	gegevensontvangers in de Unie aan wie gegevens ter beschikking worden gesteld;

overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie die gegevenshouders verzoeken gegevens beschikbaar te stellen indien er sprake is van een uitzonderlijke noodzaak om die gegevens te gebruiken voor de uitvoering van een specifieke taak in het algemeen belang, en de gegevenshouders die die gegevens in antwoord op een dergelijk verzoek verstrekken;

f)	aanbieders van dataverwerkingsdiensten, ongeacht hun vestigingsplaats, die dergelijke diensten aan klanten in de Unie aanbieden;

g)	deelnemers aan dataruimten en verkopers van toepassingen die gebruikmaken van slimme contracten en personen wier handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst behelst.

4. Waar in deze verordening wordt verwezen naar verbonden producten of gerelateerde diensten, worden die verwijzingen ook geacht virtuele assistenten te omvatten, voor zover deze interageren met een verbonden product of gerelateerde dienst.

5. Deze verordening doet geen afbreuk aan het Unierecht en het nationale recht inzake de bescherming van persoonsgegevens, de persoonlijke levenssfeer en de vertrouwelijkheid van communicatie en de integriteit van eindapparatuur, die van toepassing zijn op persoonsgegevens die worden verwerkt in verband met de hierin vastgelegde rechten en verplichtingen, in het bijzonder Verordeningen (EU) 2016/679 en (EU) 2018/1725 en Richtlijn 2002/58/EG, met inbegrip van de bevoegdheden van toezichthoudende autoriteiten en de rechten van datasubjecten. Voor zover gebruikers datasubjecten zijn, vormen de in hoofdstuk II van deze verordening vastgelegde rechten een aanvulling op de rechten van toegang door datasubjecten en de rechten van overdraagbaarheid van gegevens uit hoofde van de artikelen 15 en 20 van Verordening (EU) 2016/679. Indien deze verordening en het Unierecht inzake de bescherming van persoonsgegevens of de persoonlijke levenssfeer, of het overeenkomstig dat Unierecht vastgestelde nationale wetgeving tegenstrijdig zijn, prevaleert het relevante Unie- of nationale recht inzake de bescherming van persoonsgegevens of de persoonlijke levenssfeer.

6. Deze verordening is niet van toepassing op en loopt niet vooruit op vrijwillige regelingen voor het uitwisselen van gegevens tussen particuliere entiteiten en overheidsinstanties, met name vrijwillige regelingen voor het delen van gegevens.

Deze verordening heeft geen gevolgen voor Unie- of nationale rechtshandelingen die voorzien in het delen van, de toegang tot en het gebruik van gegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of de tenuitvoerlegging van straffen, of voor douane- en belastingdoeleinden, met name de Verordeningen (EU) 2021/784, (EU) 2022/2065 en (EU) 2023/1543, Richtlijn (EU) 2023/1544, of internationale samenwerking op dit gebied. Deze verordening is niet van toepassing op het verzamelen of delen van, de toegang tot of het gebruik van gegevens uit hoofde van Verordening (EU) 2015/847 en Richtlijn (EU) 2015/849. Deze verordening is niet van toepassing op buiten het toepassingsgebied van het Unierecht vallende gebieden en doet in geen geval afbreuk aan de bevoegdheden van de lidstaten inzake openbare veiligheid, defensie of nationale veiligheid, ongeacht het soort entiteit dat door de lidstaten is belast met de uitvoering van taken in verband met die bevoegdheden, noch aan hun bevoegdheid om andere essentiële staatsfuncties te waarborgen, waaronder het waarborgen van de territoriale integriteit van de staat en de handhaving van de openbare orde. Deze verordening doet geen afbreuk aan de bevoegdheden van de lidstaten op het gebied van douane- en belastingadministratie of de gezondheid en veiligheid van de burgers.

7. Deze verordening vormt een aanvulling op de zelfregulerende aanpak in Verordening (EU) 2018/1807 door algemeen toepasselijke verplichtingen toe te voegen voor het overstappen naar andere clouddiensten.

8. Deze verordening doet geen afbreuk aan Unie- of nationale rechtshandelingen die voorzien in de bescherming van intellectuele eigendomsrechten, met name de Richtlijnen 2001/29/EG, 2004/48/EG en (EU) 2019/790.

9. Deze verordening vormt een aanvulling op en doet geen afbreuk aan het Unierecht dat erop gericht is de belangen van consumenten te behartigen en een hoog niveau van consumentenbescherming te waarborgen en hun gezondheid, veiligheid en economische belangen te beschermen, met name de Richtlijnen 93/13/EEG, 2005/29/EG en 2011/83/EU.

10. Deze verordening vormt geen beletsel voor de sluiting van vrijwillige rechtmatige gegevensdelingsovereenkomsten, waaronder wederkerige overeenkomsten, die voldoen aan de in deze verordening vastgestelde vereisten.

Artikel 2

Definities

Voor de toepassing van deze verordening wordt verstaan onder:

1)	“gegevens”: elke digitale weergave van handelingen, feiten of informatie en elke compilatie van dergelijke handelingen, feiten of informatie, ook in de vorm van geluids-, visuele of audiovisuele opnames;

2)	“metagegevens”: een gestructureerde beschrijving van de inhoud of het gebruik van gegevens die het vinden en gebruiken van die gegevens vergemakkelijkt;

3)	“persoonsgegevens”: persoonsgegevens zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) 2016/679;

4)	“niet-persoonsgebonden gegevens”: andere gegevens dan persoonsgegevens;

“verbonden product”: een goed dat gegevens over het gebruik of de omgeving ervan verkrijgt, genereert of verzamelt, en dat productgegevens kan doorgeven via een elektronische-communicatiedienst, fysieke verbinding of apparaattoegang, en waarvan de hoofdfunctie niet het opslaan, verwerken of doorgeven van gegevens namens anderen dan de gebruiker is;

“gerelateerde dienst”: een andere digitale dienst dan een elektronische-communicatiedienst, waaronder software, die op het moment van aankoop, huur of lease zodanig met het product verbonden is dat de afwezigheid ervan het verbonden product zou beletten een of meer van zijn functies uit te voeren, of die vervolgens door de fabrikant of een derde met het product wordt verbonden om functies aan het product toe te voegen, of de functies van het verbonden product te updaten of aan te passen;

“verwerking”: een bewerking of een geheel van bewerkingen die al dan niet op geautomatiseerde wijze op gegevens of datasets worden uitgevoerd, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, bekendmaken door middel van doorgeven, verspreiden of anderszins ter beschikking stellen, op een lijn brengen of combineren, afschermen, wissen of vernietigen van gegevens;

“dataverwerkingsdienst”: een digitale aan een klant aangeboden dienst die alomtegenwoordige en on-demand netwerktoegang mogelijk maakt tot een gedeelde pool van configureerbare, schaalbare en elastische computercapaciteit van gecentraliseerde, gedistribueerde of sterk gedistribueerde aard, die snel ter beschikking kan worden gesteld en worden vrijgegeven met minimale beheersinspanningen of tussenkomst van een dienstverlener;

9)	“dienst van hetzelfde type”: een reeks dataverwerkingsdiensten met dezelfde primaire doelstelling, hetzelfde dataverwerkingsdienstenmodel en dezelfde voornaamste functionaliteiten;

10)	“databemiddelingsdienst”: databemiddelingsdienst zoals gedefinieerd in artikel 2, punt 11, van Verordening (EU) 2022/868;

11)	“datasubject”: betrokkene zoals bedoeld in artikel 4, punt 1, van Verordening (EU) 2016/679;

12)	“gebruiker”: een natuurlijke of rechtspersoon die een verbonden product in eigendom heeft, of aan wie contractueel tijdelijke rechten zijn overgedragen om dat verbonden product te gebruiken, of die gerelateerde diensten ontvangt;

13)

“gegevenshouder”: een natuurlijke of rechtspersoon die overeenkomstig deze verordening, het toepasselijke Unierecht of het overeenkomstig het Unierecht vastgestelde nationale recht, het recht of de verplichting heeft gegevens te gebruiken en ter beschikking te stellen, waaronder — in gevallen waar dat contractueel is overeengekomen — productgegevens of gegevens van een gerelateerde dienst die deze natuurlijke of rechtspersoon heeft opgevraagd of gegenereerd tijdens de verlening van een gerelateerde dienst;

14)

“gegevensontvanger”: een natuurlijke of rechtspersoon die handelt voor doeleinden die verband houden met diens handels-, bedrijfs-, ambachts- of beroepsactiviteit, die niet de gebruiker van een verbonden product of gerelateerde dienst is en aan wie gegevens beschikbaar worden gesteld door de gegevenshouder, met inbegrip van een derde op verzoek van de gebruiker aan de gegevenshouder of in overeenstemming met een wettelijke verplichting uit hoofde van Unierecht of overeenkomstig het Unierecht vastgestelde nationale wetgeving;

15)

“productgegevens”: door het gebruik van een verbonden product gegenereerde gegevens die door de fabrikant zo ontworpen zijn dat ze kunnen worden opgevraagd via een elektronische-communicatiedienst, fysieke verbinding of apparaattoegang, door een gebruiker, gegevenshouder of derde, waaronder waar nodig, de fabrikant;

16)

“gegevens van een gerelateerde dienst”: gegevens die de digitalisering vertegenwoordigen van handelingen van de gebruiker of van gebeurtenissen die gerelateerd zijn aan het verbonden product, die intentioneel door de gebruiker zijn geregistreerd of als een bijproduct van de handeling van de gebruiker zijn gegenereerd tijdens het verlenen van een gerelateerde dienst door de aanbieder;

17)

“eenvoudig beschikbare gegevens”: productgegevens en gegevens van een gerelateerde dienst die een gegevenshouder rechtmatig verkrijgt of rechtmatig kan verkrijgen van het verbonden product of de gerelateerde dienst, zonder daarvoor een onevenredig grote inspanning te moeten leveren die verder zou gaan dan een eenvoudige handeling;

18)	“bedrijfsgeheim”: bedrijfsgeheim zoals gedefinieerd in artikel 2, punt 1, van Richtlijn (EU) 2016/943;

19)	“houder van het bedrijfsgeheim”: houder van het bedrijfsgeheim zoals gedefinieerd in artikel 2, punt 2, van Richtlijn (EU) 2016/943;

20)	“profilering”: profilering zoals gedefinieerd in artikel 4, punt 4, van Verordening (EU) 2016/679;

21)	“op de markt aanbieden”: het in het kader van een handelsactiviteit, al dan niet tegen betaling, verstrekken van een verbonden product met het oog op distributie, consumptie of gebruik op de markt van de Unie;

22)	“in de handel brengen”: het voor het eerst in de Unie op de markt aanbieden van een verbonden product;

23)	“consument”: een natuurlijke persoon die handelt met doeleinden die geen verband houden met de handels-, bedrijfs-, ambachts- of beroepsactiviteit van die persoon;

24)	“onderneming”: een natuurlijke of rechtspersoon die handelt volgens onder deze verordening vallende overeenkomsten en praktijken, met doeleinden die gerelateerd zijn aan diens handels-, bedrijfs-, ambachts- of beroepsactiviteit;

25)	“kleine onderneming”: een kleine onderneming zoals gedefinieerd in artikel 2, lid 2, van de bijlage bij Aanbeveling 2003/361/EG;

26)	“micro-onderneming”: een micro-onderneming zoals gedefinieerd in artikel 2, lid 3, van de bijlage bij Aanbeveling 2003/361/EG;

27)	“organen van de Unie”: instellingen, organen en instanties van de Unie die zijn opgericht bij of op grond van handelingen die zijn vastgesteld op basis van het Verdrag betreffende de Europese Unie, het VWEU of het Verdrag tot oprichting van de Europese Gemeenschap voor Atoomenergie;

28)	“overheidsinstantie”: nationale, regionale en lokale autoriteiten van de lidstaten, publiekrechtelijke instellingen van de lidstaten of samenwerkingsverbanden bestaande uit één of meer van dergelijke autoriteiten of één of meer van dergelijke instellingen;

29)

“algemene noodsituatie”: een in de tijd beperkte uitzonderlijke situatie, zoals een noodsituatie op het gebied van de volksgezondheid, een noodsituatie die voortvloeit uit natuurrampen, of een door de mens veroorzaakte grote ramp, met inbegrip van een groot cyberveiligheidsincident, dat negatieve gevolgen heeft voor de bevolking van de Unie, van een lidstaat of van een deel daarvan, met een risico op ernstige en blijvende gevolgen voor de levensomstandigheden of de economische stabiliteit, de financiële stabiliteit of een aanzienlijke en onmiddellijke verslechtering van de economische activa in de Unie of in de betrokken lidstaat, en die wordt vastgesteld of officieel wordt afgekondigd overeenkomstig de relevante Unie- of nationaalrechtelijke procedures;

30)	“klant”: een natuurlijke of rechtspersoon die een contractuele relatie is aangegaan met een aanbieder van dataverwerkingsdiensten, met als doel gebruik te maken van een of meer dataverwerkingsdiensten;

31)	“virtuele assistenten”: software die opdrachten, taken of vragen kan verwerken, onder meer op basis van audio, schriftelijke input, gebaren of bewegingen, en die, op basis van die opdrachten, taken of vragen toegang biedt tot andere diensten of de functies van verbonden producten bestuurt;

32)	“digitale activa”: elementen in digitale vorm, inclusief toepassingen, waarvoor de klant het gebruiksrecht heeft, onafhankelijk van de contractuele relatie met de dataverwerkingsdienst die hij voornemens is te verlaten om over te stappen;

33)	“on-premises ICT-infrastructuur”: ICT-infrastructuur en computermiddelen die eigendom zijn van of worden gehuurd of geleased door de klant en zich in het datacentrum van de klant zelf bevinden en door de klant of een derde worden geëxploiteerd;

34)

“overstappen”: het proces waarbij een oorspronkelijke aanbieder van dataverwerkingsdiensten, een klant van een dataverwerkingsdienst en, waar van toepassing, een bestemmingsaanbieder van dataverwerkingsdiensten zijn betrokken, waarbij de klant van een dataverwerkingsdienst van dataverwerkingsdienst verandert en een andere dataverwerkingsdienst van hetzelfde type of een andere dienst begint te gebruiken, die wordt aangeboden door een andere aanbieder van dataverwerkingsdiensten, of een on-premises ICT-infrastructuur begint te gebruiken, onder meer door het extraheren, transformeren en uploaden van de gegevens;

35)

“gegevensextractiekosten”: gegevensoverdrachttarieven die in rekening worden gebracht aan klanten om via het netwerk hun gegevens uit de ICT-infrastructuur van een aanbieder van dataverwerkingsdiensten te extraheren naar de systemen van een andere aanbieder of naar een on-premises ICT-infrastructuur;

36)

“overstapkosten”: andere kosten dan de standaardvergoedingen voor dienstverlening of boetes voor voortijdige beëindiging, opgelegd door een aanbieder van dataverwerkingsdiensten aan een klant voor de bij deze verordening voorgeschreven acties betreffende het overstappen naar het systeem van een andere aanbieder of naar een on-premises ICT-infrastructuur, met inbegrip van gegevensextractiekosten;

37)

“functionele gelijkwaardigheid”: op basis van de exporteerbare data en digitale activa van de klant een minimumniveau van functionaliteit herstellen in de omgeving van een nieuwe dataverwerkingsdienst van hetzelfde type na het overstapproces, waarbij de nieuwe dataverwerkingsdienst een materieel vergelijkbaar resultaat oplevert met gebruikmaking van dezelfde input voor gedeelde kenmerken die in het kader van de overeenkomst aan de klant wordt geleverd;

38)

“exporteerbare data”, voor de toepassing van de artikelen 23 tot en met 31 en artikel 35: de input- en outputgegevens, met inbegrip van metagegevens, die direct of indirect worden gegenereerd, of worden medegegenereerd, door het gebruik door de klant van de dataverwerkingsdienst, met uitzondering van activa of gegevens die beschermd zijn door intellectuele-eigendomsrechten of die een bedrijfsgeheim vormen, van aanbieders van dataverwerkingsdiensten of derden;

39)

“slim contract”: een computerprogramma dat wordt gebruikt voor de geautomatiseerde uitvoering van een overeenkomst of een deel daarvan, waarbij gebruik wordt gemaakt van een opeenvolging van elektronische databestanden en waarbij de integriteit daarvan en de nauwkeurigheid van hun chronologische volgorde worden gewaarborgd;

40)	“interoperabiliteit”: het vermogen van twee of meer dataruimten of communicatienetwerken, systemen, verbonden producten, toepassingen, dataverwerkingsdiensten of componenten om gegevens uit te wisselen en te gebruiken teneinde hun functies te vervullen;

41)	“open interoperabiliteitsspecificatie”: een technische specificatie op het gebied van informatie- en communicatietechnologie, die prestatiegericht is op het bereiken van interoperabiliteit tussen dataverwerkingsdiensten;

42)	“gemeenschappelijke specificaties”: een document dat geen norm is en dat technische oplossingen bevat om te voldoen aan bepaalde voorschriften en verplichtingen zoals vastgelegd uit hoofde van deze verordening;

43)	“geharmoniseerde norm”: geharmoniseerde norm zoals gedefinieerd in artikel 2, punt 1, c), van Verordening (EU) nr. 1025/2012.

HOOFDSTUK II

DELEN VAN GEGEVENS TUSSEN BEDRIJVEN EN CONSUMENTEN EN TUSSEN BEDRIJVEN ONDERLING

Artikel 3

Verplichting om productgegevens en gegevens van gerelateerde diensten toegankelijk te maken voor de gebruiker

1. Verbonden producten worden zodanig ontworpen en vervaardigd, en gerelateerde diensten worden zodanig ontworpen en verleend, dat de productgegevens en gegevens van een gerelateerde dienst, met inbegrip van de relevante metagegevens die nodig zijn om die gegevens te gebruiken en te interpreteren, standaard, gemakkelijk, veilig, kosteloos en in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat en, voor zover relevant en technisch haalbaar, rechtstreeks toegankelijk zijn voor de gebruiker.

2. Alvorens een overeenkomst te sluiten voor de aankoop, huur of leasing van een verbonden product, verstrekt de verkoper, verhuurder of leasegever, die tevens de fabrikant kan zijn, de gebruiker ten minste de volgende informatie op duidelijke en begrijpelijke wijze:

a)	het type, formaat en geraamde volume productgegevens die het verbonden product kan genereren;

b)	of het verbonden product in staat is continu en in realtime gegevens te genereren;

c)	of het verbonden product in staat is gegevens op het apparaat of op een server op afstand op te slaan, indien van toepassing met inbegrip van de beoogde bewaringstermijn;

d)	hoe de gebruiker de gegevens kan raadplegen, opvragen of, in voorkomend geval, wissen, met inbegrip van de technische middelen om dit te doen, alsmede de gebruiksvoorwaarden en de kwaliteit van de dienstverlening daarvan.

3. Alvorens een overeenkomst te sluiten voor de verlening van een gerelateerde dienst, verstrekt de leverancier van een dergelijke gerelateerde dienst de gebruiker minstens de volgende informatie op duidelijke en begrijpelijke wijze:

de aard, het geraamde volume en de frequentie van verzameling van productgegevens die de potentiële gegevenshouder geacht wordt te verkrijgen en, in voorkomend geval, de regelingen voor de gebruiker om toegang te krijgen tot die gegevens of deze op te vragen, met inbegrip van de regelingen van de potentiële gegevenshouder inzake gegevensopslag en de duur van de bewaring;

de aard en het geraamde volume van de te genereren gegevens van een gerelateerde dienst, alsmede de regelingen voor de gebruiker om toegang te krijgen tot die gegevens of deze op te vragen, met inbegrip van de regelingen van de potentiële gegevenshouder inzake gegevensopslag en de duur van de bewaring;

c)	of de potentiële gegevenshouder verwacht eenvoudig beschikbare gegevens zelf te gebruiken en de doeleinden waarvoor die gegevens zullen worden gebruikt, en of hij al dan niet voornemens is een of meer derden toe te staan de gegevens te gebruiken voor met de gebruiker overeengekomen doeleinden;

d)	de identiteit van de potentiële gegevenshouder, zoals zijn handelsnaam en het geografische adres waar hij is gevestigd en, in voorkomend geval, van andere gegevensverwerkende partijen;

e)	de communicatiemiddelen die de gebruiker in staat stellen snel contact op te nemen met de potentiële gegevenshouder en efficiënt met hem te communiceren;

f)	de manier waarop de gebruiker kan verzoeken om de gegevens te delen met een derde en, in voorkomend geval, het delen van gegevens kan stopzetten;

g)	het recht van de gebruiker om bij de op grond van artikel 37 aangewezen bevoegde autoriteit klacht in te dienen over een vermeende inbreuk op de bepalingen van dit hoofdstuk;

de vraag of een potentiële gegevenshouder de houder is van bedrijfsgeheimen die vervat zijn in de gegevens die toegankelijk zijn via het verbonden product of die worden gegenereerd tijdens de verlening van een gerelateerde dienst, en, wanneer de potentiële gegevenshouder niet de houder van de bedrijfsgeheimen is, de identiteit van de houder van het bedrijfsgeheim;

i)	de duur van de overeenkomst tussen de gebruiker en de potentiële gegevenshouder, alsmede de regelingen voor het beëindigen van deze overeenkomst.

Artikel 4

De rechten en plichten van gebruikers en gegevenshouders wat betreft het raadplegen, gebruiken en beschikbaar stellen van productgegevens en gegevens van een gerelateerde dienst

1. Indien de gebruiker geen rechtstreekse toegang heeft tot de gegevens via het verbonden product of de gerelateerde dienst, stellen gegevenshouders de eenvoudig beschikbare gegevens, alsook de relevante metagegevens die nodig zijn om die gegevens te interpreteren en te gebruiken, onmiddellijk, met dezelfde kwaliteit als de voor de gegevenshouder beschikbare gegevens, gemakkelijk, veilig, kosteloos, in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat ter beschikking van de gebruiker, voor zover dat relevant en technisch haalbaar is, en gebeurt deze terbeschikkingstelling continu en in realtime. Voor zover technisch haalbaar, gebeurt dit op eenvoudig elektronisch verzoek.

2. Gebruikers en gegevenshouders kunnen de toegang tot gegevens of het gebruik of verder delen daarvan contractueel beperken of verbieden indien een dergelijke verwerking de beveiligingsvereisten van het verbonden product, zoals vastgesteld in het Unie- of nationaal recht, zou kunnen ondermijnen, met ernstige negatieve gevolgen voor de gezondheid, veiligheid of beveiliging van natuurlijke personen. De sectorale autoriteiten kunnen in dat verband gebruikers en houders van gegevens technische expertise verstrekken. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit artikel, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

3. Onverminderd het recht van de gebruiker om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan de gebruiker met betrekking tot elk geschil met de gegevenshouder over de in lid 2 bedoelde contractuele beperkingen of verboden:

a)	overeenkomstig artikel 37, lid 5, punt b), een klacht indienen bij de bevoegde autoriteit, of

b)	met de gegevenshouder overeenkomen de zaak voor te leggen aan een geschillenbeslechtingsorgaan overeenkomstig artikel 10, lid 1.

4. Gegevenshouders maken het maken van keuzes of de uitoefening van de rechten op grond van dit artikel van gebruikers niet onnodig moeilijk door bijvoorbeeld de keuzemogelijkheden voor de gebruiker op een niet-neutrale manier te presenteren of door de autonomie, besluitvorming of vrije keuze van de gebruikers te ondermijnen of te belemmeren via de structuur, het ontwerp, de functie of de gebruikswijze van een digitale gebruikersinterface of een deel daarvan.

5. Om na te gaan of een natuurlijke of rechtspersoon als gebruiker op grond van lid 1 kan worden aangemerkt, mag een gegevenshouder van die persoon niet verlangen dat die persoon informatie verstrekt die verder gaat dan nodig is. Gegevenshouders bewaren geen informatie, met name loggegevens, over de toegang van de gebruiker tot de gevraagde gegevens die verder gaat dan nodig is voor de goede uitvoering van het toegangsverzoek van de gebruiker en voor de beveiliging en het onderhoud van de data-infrastructuur.

6. Bedrijfsgeheimen worden bewaard en worden alleen bekendgemaakt op voorwaarde dat de gegevenshouder en de gebruiker voorafgaand aan de bekendmaking alle noodzakelijke maatregelen nemen om de vertrouwelijkheid ervan te waarborgen, met name ten aanzien van derden. De gegevenshouder, of de houder van het bedrijfsgeheim wanneer deze niet de gegevenshouder is, identificeert de gegevens die als bedrijfsgeheim worden beschermd, onder meer in de relevante metagegevens, en komt met de gebruiker evenredige technische en organisatorische maatregelen overeen, zoals modelcontractvoorwaarden, vertrouwelijkheidsovereenkomsten, strikte toegangsprotocollen, technische normen en de toepassing van gedragscodes, die noodzakelijk zijn om de vertrouwelijkheid van de gedeelde gegevens te waarborgen, met name ten aanzien van derden.

7. Indien er geen overeenstemming wordt bereikt over de in lid 6 bedoelde noodzakelijke maatregelen, of indien de gebruiker de op grond van lid 6 overeengekomen maatregelen niet uitvoert of de vertrouwelijkheid van de bedrijfsgeheimen ondermijnt, kan de gegevenshouder het delen van als bedrijfsgeheim aangemerkte gegevens tegenhouden of, naargelang van het geval, opschorten. Het besluit van de gegevenshouder wordt naar behoren gemotiveerd en onverwijld schriftelijk aan de gebruiker meegedeeld. In dergelijke gevallen stelt de gegevenshouder de op grond van artikel 37 aangewezen bevoegde autoriteit in kennis van het feit dat hij het delen van gegevens heeft geweigerd of opgeschort, en vermeldt hij welke maatregelen niet zijn overeengekomen of uitgevoerd en, in voorkomend geval, van welke bedrijfsgeheimen de vertrouwelijkheid is ondermijnd.

8. In uitzonderlijke omstandigheden, wanneer de gegevenshouder die houder is van een bedrijfsgeheim kan aantonen dat hij door de bekendmaking van bedrijfsgeheimen, ondanks de door de gebruiker op grond van lid 6 van dit artikel genomen technische en organisatorische maatregelen, zeer waarschijnlijk ernstige economische schade zal lijden, kan die gegevenshouder per geval een verzoek om toegang tot de specifieke gegevens in kwestie weigeren. Dat bewijs wordt naar behoren onderbouwd op basis van objectieve elementen, met name de afdwingbaarheid van de bescherming van bedrijfsgeheimen in derde landen, de aard en het niveau van vertrouwelijkheid van de gevraagde gegevens, en de mate waarin het om een uniek en nieuw verbonden product gaat, en wordt onverwijld schriftelijk aan de gebruiker verstrekt. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit lid, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

9. Onverminderd het recht van een gebruiker om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan een gebruiker het besluit van een gegevenshouder om het delen van gegevens op grond van de leden 7 en 8 te weigeren, tegen te houden of op te schorten aanvechten door:

a)	overeenkomstig artikel 37, lid 5, punt b), een klacht in te dienen bij de bevoegde autoriteit, die onverwijld beslist of en onder welke voorwaarden het delen van gegevens aanvangt of wordt hervat, of

b)	met de gegevenshouder overeen te komen de zaak voor te leggen aan een geschillenbeslechtingsorgaan overeenkomstig artikel 10, lid 1.

10. De gebruiker mag gegevens die zijn verkregen naar aanleiding van een in lid 1 bedoeld verzoek niet gebruiken om een verbonden product te ontwikkelen dat concurreert met het verbonden product waaruit de gegevens afkomstig zijn, noch met datzelfde oogmerk gegevens delen met een derde, en mag die gegevens evenmin gebruiken om inzicht te verkrijgen in de economische situatie, activa en productiemethoden van de fabrikant of, in voorkomend geval, de gegevenshouder.

11. De gebruiker mag geen dwangmiddelen gebruiken of misbruik maken van leemten in de technische infrastructuur van een gegevenshouder die bedoeld is om de gegevens te beschermen, teneinde toegang tot gegevens te verkrijgen.

12. Indien de gebruiker niet het datasubject is van wie de persoonsgegevens worden opgevraagd, worden persoonsgegevens die door het gebruik van een verbonden product of een gerelateerde dienst zijn gegenereerd, door de gegevenshouder alleen ter beschikking gesteld van de gebruiker indien er een geldige rechtsgrond voor verwerking bestaat uit hoofde van artikel 6 van Verordening (EU) 2016/679 en, in voorkomend geval, indien aan de voorwaarden van artikel 9 van die verordening en van artikel 5, lid 3, van Richtlijn 2002/58/EG wordt voldaan.

13. Een gegevenshouder gebruikt alleen eenvoudig beschikbare gegevens die niet-persoonsgebonden gegevens zijn op basis van een overeenkomst met de gebruiker. Een gegevenshouder gebruikt dergelijke gegevens niet om inzichten in de economische situatie, de activa of de productiemethoden van de gebruiker of het gebruik van het product of de dienst door de gebruiker te verwerven, op enige andere wijze die de commerciële positie van die gebruiker op de markten waarop deze actief is, zouden kunnen ondermijnen.

14. Gegevenshouders stellen niet-persoonsgebonden productgegevens niet beschikbaar aan derden voor andere commerciële of niet-commerciële doeleinden dan de uitvoering van hun overeenkomst met de gebruiker. In voorkomend geval verplichten gegevenshouders derden er contractueel toe de van hen ontvangen gegevens niet verder te delen.

Artikel 5

Het recht van de gebruiker om gegevens te delen met derden

1. Op verzoek van een gebruiker of van een namens een gebruiker optredende partij stelt de gegevenshouder eenvoudig beschikbare gegevens, alsmede de desbetreffende metagegevens die nodig zijn om die gegevens te interpreteren en te gebruiken, onmiddellijk, met dezelfde kwaliteit als de voor de gegevenshouder beschikbare gegevens, gemakkelijk, veilig, kosteloos voor de gebruiker, in een alomvattend, gestructureerd, algemeen gebruikt en machineleesbaar formaat ter beschikking van een derde partij, en gebeurt deze terbeschikkingstelling voor zover dat relevant en technisch haalbaar is continu en in realtime. De gegevens worden door de gegevenshouder beschikbaar gesteld aan de derde overeenkomstig de artikelen 8 en 9.

2. Lid 1 is niet van toepassing op eenvoudig beschikbare gegevens in het kader van het testen van nieuwe verbonden producten, stoffen of processen die nog niet in de handel zijn gebracht, tenzij hun gebruik door een derde contractueel is toegestaan.

3. Een onderneming die overeenkomstig artikel 3 van Verordening (EU) 2022/1925 als poortwachter is aangewezen, is geen in aanmerking komende derde uit hoofde van dit artikel en mag derhalve niet:

a)	een gebruiker op enigerlei wijze vragen of commercieel stimuleren, onder meer door financiële of andere vergoedingen te bieden, om gegevens die de gebruiker heeft verkregen naar aanleiding van een verzoek uit hoofde van artikel 4, lid 1, beschikbaar te stellen voor een van zijn diensten;

b)	een gebruiker verzoeken of commercieel stimuleren om de gegevenshouder te verzoeken gegevens beschikbaar te stellen voor een van zijn diensten overeenkomstig lid 1 van dit artikel;

c)	van een gebruiker gegevens ontvangen die de gebruiker heeft verkregen naar aanleiding van een verzoek uit hoofde van artikel 4, lid 1.

4. Om na te gaan of een natuurlijke of rechtspersoon voor de toepassing van lid 1 kan worden aangemerkt als gebruiker of als derde, mag van de gebruiker of de derde niet worden verlangd dat hij informatie verstrekt die verder gaat dan nodig is. Gegevenshouders bewaren geen informatie over de toegang van de derde tot de gevraagde gegevens die verder gaat dan nodig is voor de goede uitvoering van het toegangsverzoek van de derde en voor de beveiliging en het onderhoud van de data-infrastructuur.

5. De derde mag geen dwangmiddelen gebruiken of misbruik maken van leemten in de technische infrastructuur van een gegevenshouder die bedoeld is om de gegevens te beschermen, teneinde toegang tot gegevens te verkrijgen.

6. Een gegevenshouder mag geen eenvoudig beschikbare gegevens gebruiken om inzicht te verkrijgen in de economische situatie, activa en productiemethoden van of het gebruik door de derde op enige andere wijze die de commerciële positie van de derde op de markten waarop de derde actief is, zou kunnen ondermijnen, tenzij de derde voor dat gebruik toestemming heeft verleend en de technische mogelijkheid heeft om die toestemming te allen tijde gemakkelijk in te trekken.

7. Wanneer de gebruiker niet het datasubject is van wie de persoonsgegevens worden opgevraagd, worden persoonsgegevens die door het gebruik van een verbonden product of een gerelateerde dienst zijn gegenereerd alleen door de gegevenshouder ter beschikking gesteld van de derde indien er een geldige rechtsgrond voor verwerking bestaat uit hoofde van artikel 6 van Verordening (EU) 2016/679 en, in voorkomend geval, indien aan de voorwaarden van artikel 9 van die verordening en van artikel 5, lid 3, van Richtlijn 2002/58/EG is voldaan.

8. Het verzuim van de gegevenshouder en de derde om regelingen voor het doorgeven van de gegevens overeen te komen, mag de uitoefening van de rechten van het datasubject uit hoofde van Verordening (EU) 2016/679 en met name het recht op overdraagbaarheid van gegevens uit hoofde van artikel 20 van die verordening, niet belemmeren, beletten of verstoren.

9. Bedrijfsgeheimen worden alleen bewaard en bekendgemaakt aan derden voor zover deze openbaarmaking strikt noodzakelijk is om het tussen de gebruiker en de derde overeengekomen doel te verwezenlijken. De gegevenshouder, of de houder van het bedrijfsgeheim indien deze niet de gegevenshouder is, identificeert de gegevens die als bedrijfsgeheim worden beschermd, onder meer in de relevante metagegevens, en komt met de derde alle evenredige technische en organisatorische maatregelen overeen die noodzakelijk zijn om de vertrouwelijkheid van de gedeelde gegevens te waarborgen, zoals modelcontractvoorwaarden, vertrouwelijkheidsovereenkomsten, strikte toegangsprotocollen, technische normen en de toepassing van gedragscodes.

10. Indien er geen overeenstemming is over de in lid 9 van dit artikel bedoelde noodzakelijke maatregelen of als de derde de op grond van lid 9 van dit artikel overeengekomen maatregelen niet uitvoert of de vertrouwelijkheid van de bedrijfsgeheimen ondermijnt, kan de gegevenshouder het delen van als bedrijfsgeheim aangemerkte gegevens tegenhouden of, naargelang van het geval, opschorten. Het besluit van de gegevenshouder wordt naar behoren gemotiveerd en onverwijld schriftelijk aan de derde meegedeeld. In dergelijke gevallen stelt de gegevenshouder de op grond van artikel 37 aangewezen bevoegde autoriteit in kennis van het feit dat hij het delen van gegevens heeft geweigerd of opgeschort, en vermeldt hij welke maatregelen niet zijn overeengekomen of uitgevoerd en, in voorkomend geval, van welke bedrijfsgeheimen de vertrouwelijkheid is ondermijnd.

11. In uitzonderlijke omstandigheden, wanneer de gegevenshouder die houder is van een bedrijfsgeheim kan aantonen dat hij door de bekendmaking van bedrijfsgeheimen, ondanks de door de derde op grond van lid 9 van dit artikel genomen technische en organisatorische maatregelen, zeer waarschijnlijk ernstige economische schade zal lijden, kan die gegevenshouder per geval een verzoek om toegang tot de specifieke gegevens in kwestie weigeren. Dat bewijs wordt naar behoren onderbouwd op basis van objectieve elementen, met name de afdwingbaarheid van de bescherming van bedrijfsgeheimen in derde landen, de aard en het niveau van vertrouwelijkheid van de gevraagde gegevens, en de mate waarin het om een uniek en nieuw verbonden product gaat, en wordt onverwijld schriftelijk aan de derde verstrekt. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit lid, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.

12. Onverminderd het recht van derden om in elk stadium verhaal te halen bij een rechterlijke instantie van een lidstaat, kan een derde het besluit van een gegevenshouder om het delen van gegevens op grond van de leden 10 en 11 te weigeren, tegen te houden of op te schorten aanvechten door:

a)	overeenkomstig artikel 37, lid 5, punt b), een klacht in te dienen bij de bevoegde autoriteit, die onverwijld beslist of en onder welke voorwaarden het delen van gegevens aanvangt of wordt hervat, of

b)	met de gegevenshouder overeen te komen de zaak voor te leggen aan een geschillenbeslechtingsorgaan overeenkomstig artikel 10, lid 1.

13. Het in lid 1 bedoelde recht doet geen afbreuk aan de rechten van andere datasubjecten krachtens het toepasselijke Unie- en nationale recht inzake de bescherming van persoonsgegevens.

Artikel 6

Verplichtingen van derden die op verzoek van de gebruiker gegevens ontvangen

1. Een derde verwerkt de hem overeenkomstig artikel 5 ter beschikking gestelde gegevens uitsluitend voor de doeleinden en onder de voorwaarden die met de gebruiker zijn overeengekomen, en met inachtneming van het Unierecht en het nationale recht inzake de bescherming van persoonsgegevens, met inbegrip van de rechten van het datasubject wat persoonsgegevens betreft. De derde wist de gegevens wanneer zij niet langer noodzakelijk zijn voor het overeengekomen doel, tenzij in verband met niet-persoonsgebonden gegevens anders met de gebruiker is overeengekomen.

2. De derde:

maakt de uitoefening van het maken van keuzes of rechten uit hoofde van artikel 5 en dit artikel door gebruikers niet onnodig moeilijk door onder meer keuzemogelijkheden op niet-neutrale wijze aan de gebruiker te presenteren, hen te dwingen, te misleiden of te manipuleren, of door de autonomie, besluitvorming of keuzes van de gebruiker te ondermijnen, onder meer met behulp van een digitale gebruikersinterface met de gebruikers of een deel daarvan;

b)	gebruikt, niettegenstaande artikel 22, lid 2, punten a) en c), van Verordening (EU) 2016/679, de ontvangen gegevens niet voor de profilering, tenzij dit noodzakelijk is om de door de gebruiker gevraagde dienst te verlenen;

stelt de ontvangen gegevens niet ter beschikking van een andere derde, tenzij de gegevens beschikbaar worden gesteld op grond van een overeenkomst met de gebruiker en op voorwaarde dat de andere derde alle tussen de gegevenshouder en de derde overeengekomen noodzakelijke maatregelen neemt om de vertrouwelijkheid van bedrijfsgeheimen te waarborgen;

d)	stelt de ontvangen gegevens niet ter beschikking van een onderneming die als poortwachter is aangewezen overeenkomstig artikel 3 van Verordening (EU) 2022/1925;

gebruikt de ontvangen gegevens niet om een product te ontwikkelen dat concurreert met het verbonden product waaruit de ontvangen gegevens afkomstig zijn, of deelt de gegevens niet voor dat doel met een andere derde partij; derden gebruiken ook geen niet-persoonsgebonden productgegevens of gegevens van een gerelateerde dienst die hun ter beschikking zijn gesteld om inzicht te verkrijgen in de economische situatie, activa en productiemethoden van, of het gebruik door, de gegevenshouder;

f)	gebruikt de ontvangen gegevens niet op een wijze die negatieve gevolgen heeft voor de veiligheid van het verbonden product of de gerelateerde dienst;

g)	neemt de specifieke maatregelen die overeenkomstig artikel 5, lid 9, met de gegevenshouder of de houder van bedrijfsgeheimen zijn overeengekomen in acht en ondermijnt de vertrouwelijkheid van bedrijfsgeheimen niet;

h)	belet gebruikers die consumenten zijn niet, onder meer op grond van een overeenkomst, om de gegevens die zij ontvangen ter beschikking te stellen van andere partijen.

Artikel 15

Uitzonderlijke noodzaak om gegevens te gebruiken

1. Een uitzonderlijke noodzaak om bepaalde gegevens te gebruiken in de zin van dit hoofdstuk is in tijd en reikwijdte beperkt en wordt geacht uitsluitend te bestaan in een of meer van de volgende omstandigheden:

indien de gevraagde gegevens noodzakelijk zijn om te reageren op een algemene noodsituatie en de overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie niet in staat is dergelijke gegevens tijdig en doeltreffend op een andere manier en in gelijkwaardige omstandigheden te verkrijgen;

in niet onder punt a) vallende omstandigheden en uitsluitend voor niet-persoonsgebonden gegevens, indien:

een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie handelt op grond van het Unie- of nationale recht en specifieke gegevens heeft geïdentificeerd waarvan het ontbreken haar/het ervan weerhoudt een bij wet opgelegde specifieke taak van algemeen belang te vervullen, zoals het opstellen van officiële statistieken of beperking van of herstel na een algemene noodsituatie, en

ii)

de overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie alle andere middelen waarover zij/het beschikt om dergelijke gegevens te verkrijgen heeft uitgeput, met inbegrip van de aankoop van de gegevens op de markt door markttarieven aan te bieden of door gebruik te maken van bestaande verplichtingen om gegevens beschikbaar te stellen of de vaststelling van nieuwe wetgevingsmaatregelen die de tijdige beschikbaarheid van de gegevens kunnen waarborgen.

2. Lid 1, punt b), is niet van toepassing op micro-ondernemingen en kleine ondernemingen.

3. De verplichting om aan te tonen dat de overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie niet in staat was niet-persoonsgebonden gegevens te verkrijgen door die op de markt aan te kopen, is niet van toepassing indien de specifieke taak van algemeen belang het opstellen van officiële statistieken betreft en de tot het verkrijgen van dergelijke gegevens strekkende aankoop nationaalrechtelijk niet is toegestaan.

Artikel 23

Belemmeringen voor een doeltreffende overstap wegnemen

Aanbieders van dataverwerkingsdiensten nemen de in de artikelen 25, 26, 27, 29 en 30 bedoelde maatregelen om klanten in staat te stellen over te stappen naar een dataverwerkingsdienst voor hetzelfde soort dienst die door een andere aanbieder van dataverwerkingsdiensten wordt verleend of naar on-premises ICT-infrastructuur of, in voorkomend geval, tegelijkertijd een beroep te doen op meerdere aanbieders van dataverwerkingsdiensten. Aanbieders van dataverwerkingsdiensten werpen met name geen precommerciële, commerciële, technische, contractuele en organisatorische belemmeringen op en nemen dergelijke belemmeringen weg die klanten beletten:

a)	na de maximale opzegtermijn en de succesvolle afronding van het overstapproces overeenkomstig artikel 25 de overeenkomst van de dataverwerkingsdienst op te zeggen;

b)	met een andere aanbieder van dataverwerkingsdiensten nieuwe overeenkomsten voor hetzelfde soort diensten te sluiten;

c)	hun exporteerbare data en digitale activa over te dragen aan een andere aanbieder van dataverwerkingsdiensten, of aan een on-premises-ICT-infrastructuur, ook indien die klanten reeds hebben geprofiteerd van een aanbieding om gratis gebruik te maken van de diensten;

d)	overeenkomstig artikel 24, functionele gelijkwaardigheid in het gebruik van de nieuwe dataverwerkingsdienst in de ICT-omgeving van een verschillende aanbieder van dataverwerkingsdiensten voor de gelijkwaardige dienst te bereiken;

e)	loskoppeling te bereiken, voor zover technisch haalbaar, van de in artikel 30, lid 1, bedoelde dataverwerkingsdiensten van andere door de aanbieder van dataverwerkingsdiensten verleende dataverwerkingsdiensten.

Artikel 25

Contractvoorwaarden betreffende een overstap

1. De rechten van de klant en de verplichtingen van de aanbieder van dataverwerkingsdiensten met betrekking tot het overstappen naar andere aanbieders van dergelijke diensten of, indien van toepassing, naar een on-premises-ICT-infrastructuur worden duidelijk vastgelegd in een schriftelijk contract. De aanbieder van dataverwerkingsdiensten stelt die overeenkomst vóór de ondertekening daarvan ter beschikking van de klant op een manier waardoor deze de overeenkomst kan opslaan en reproduceren.

2. Onverminderd Richtlijn (EU) 2019/770 bevat het in lid 1 van dit artikel bedoelde contract ten minste het volgende:

bepalingen op grond waarvan de klant, op verzoek, kan overstappen naar een dataverwerkingsdienst die wordt aangeboden door een andere aanbieder van dataverwerkingsdiensten of op grond waarvan de klant alle exporteerbare data, en digitale activa kan overdragen naar een on-premises-ICT-infrastructuur, onverwijld en in geen geval na de verplichte overgangsperiode van maximaal 30 dagen, die aanvangt na de maximale opzegtermijn bedoeld in punt d), waarbinnen de dienstverleningsovereenkomst van toepassing blijft en waarbinnen de aanbieder van dataverwerkingsdiensten:

i)	redelijke bijstand verleent aan de klant en door de klant gemachtigde derden in het overstapproces;

ii)	met de nodige zorgvuldigheid handelt om de bedrijfscontinuïteit in stand te houden en de functies of diensten op grond van de overeenkomst blijft verlenen;

iii)	duidelijke informatie verstrekt over bekende risico’s voor de continuïteit van de verlening van de functies of diensten aan de zijde van de oorspronkelijke aanbieder van de dataverwerkingsdiensten;

iv)

ervoor zorgt dat gedurende het overstapproces een hoog beveiligingsniveau wordt gehandhaafd, met name wat betreft de beveiliging van de gegevens tijdens de doorgifte ervan en de voortdurende beveiliging van gegevens tijdens de in punt g) gespecificeerde opvragingstermijn, in overeenstemming met het toepasselijke Unie- of nationale recht;

b)	een verplichting voor de aanbieder van dataverwerkingsdiensten om ondersteuning te bieden voor de exitstrategie van de klant in het kader van de gecontracteerde diensten, onder meer door alle relevante informatie te verstrekken;

een clausule waarin wordt bepaald dat de overeenkomst wordt geacht te zijn beëindigd en dat de klant in kennis wordt gesteld van de beëindiging, in een van de volgende gevallen:

i)	indien van toepassing, na de succesvolle voltooiing van het overstapproces;

ii)	aan het einde van de in punt d) bedoelde maximale opzegtermijn, indien de klant niet wil overstappen, maar al zijn exporteerbare data en digitale activa na beëindiging van de dienst wil wissen.

d)	een maximale opzegtermijn voor het initiëren van het overstapproces, die niet meer dan twee maanden bedraagt;

e)	een volledige specificatie van alle categorieën gegevens en digitale activa die tijdens het overstapproces kunnen worden overgedragen, waaronder ten minste alle exporteerbare data;

een exhaustieve specificatie van de categorieën gegevens die specifiek zijn voor de interne werking van de dataverwerkingsdiensten van de aanbieder en die geen deel mogen uitmaken van de in punt e) van dit lid bedoelde exporteerbare data wanneer er een risico op schending van bedrijfsgeheimen van de aanbieder bestaat, op voorwaarde dat dergelijke uitzonderingen het in artikel 23 bedoelde overstapproces niet belemmeren of vertragen;

g)	een minimumtermijn voor het opvragen van gegevens van ten minste 30 kalenderdagen, beginnend na de beëindiging van de overgangsperiode die is overeengekomen tussen de klant en de aanbieder van dataverwerkingsdiensten, overeenkomstig punt a), van dit lid en lid 4;

een clausule die garandeert dat alle exporteerbare data en digitale activa die rechtstreeks door de klant worden gegenereerd of die rechtstreeks betrekking hebben op de klant, volledig worden gewist na het verstrijken van de in punt g) bedoelde opvragingstermijn of na het verstrijken van een alternatieve overeengekomen termijn na de datum waarop de in punt g) bedoelde opvragingstermijn verstrijkt, op voorwaarde dat het overstapproces met succes is voltooid;

i)	overstapkosten die door aanbieders van dataverwerkingsdiensten in rekening kunnen worden gebracht overeenkomstig artikel 29.

3. Het in lid 1 bedoelde contract bevat bedingen op grond waarvan de klant de aanbieder van dataverwerkingsdiensten bij de beëindiging van de in lid 2, punt d), bedoelde maximale kennisgevingsperiode in kennis kan stellen van zijn besluit om een of meer van de volgende handelingen te verrichten:

a)	overstappen naar een andere aanbieder van dataverwerkingsdiensten, in welk geval de klant de nodige gegevens over die aanbieder verstrekt;

b)	overschakelen op een on-premises-ICT-infrastructuur;

c)	zijn exporteerbare data en digitale activa wissen.

4. Wanneer de verplichte maximale overgangsperiode als bedoeld in lid 2, punt a), technisch niet haalbaar is, stelt de aanbieder van dataverwerkingsdiensten de klant daarvan in kennis binnen 14 werkdagen na het overstapverzoek, rechtvaardigt hij de technische onhaalbaarheid naar behoren en vermeldt hij een alternatieve overgangsperiode, die niet langer mag zijn dan zeven maanden. Overeenkomstig lid 1 wordt de continuïteit van de dienstverlening gewaarborgd gedurende de gehele alternatieve overgangsperiode.

5. Onverminderd lid 4 bevat het in lid 1 bedoelde contract bedingen die de klant het recht verlenen de overgangsperiode eenmaal te verlengen met een periode die de klant voor zijn eigen doeleinden geschikter acht.

Artikel 29

Stapsgewijze opheffing van overstapkosten

1. Vanaf 12 januari 2027 brengen aanbieders van dataverwerkingsdiensten klanten geen overstapkosten meer in rekening voor het overstapproces.

2. Vanaf 11 januari 2024 tot 12 januari 2027 kunnen aanbieders van dataverwerkingsdiensten klanten verlaagde overstapkosten in rekening brengen.

3. De in lid 2 bedoelde verlaagde overstapkosten mogen niet hoger zijn dan de door de aanbieder van dataverwerkingsdiensten gemaakte kosten die rechtstreeks verband houden met het betrokken overstapproces.

4. Alvorens een overeenkomst met een klant te sluiten, verstrekken aanbieders van dataverwerkingsdiensten de potentiële klant duidelijke informatie over de standaardvergoedingen en boetes voor vroegtijdige beëindiging die kunnen worden opgelegd, alsook over de verlaagde overstapkosten, die tijdens de in lid 2 bedoelde termijn kunnen worden opgelegd.

5. In voorkomend geval verstrekken aanbieders van dataverwerkingsdiensten informatie aan een consument over dataverwerkingsdiensten waarbij overstappen zeer complex of duur is, dan wel onmogelijk zonder aanzienlijke interferentie in de gegevens, digitale activa of dienstenarchitectuur.

6. In voorkomend geval stellen aanbieders van dataverwerkingsdiensten de in de leden 4 en 5 bedoelde informatie voor klanten openbaar beschikbaar op een speciaal daarvoor bestemd gedeelte van hun website of op een andere gemakkelijk toegankelijke wijze.

7. De Commissie is bevoegd overeenkomstig artikel 45 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen door het instellen van een toezichtmechanisme waarmee de Commissie toezicht kan houden op de door aanbieders van dataverwerkingsdiensten op de markt in rekening gebrachte overstapkosten, om ervoor te zorgen dat de opheffing en verlaging van de overstap- en gegevens-extractietarieven krachtens de leden 1 en 2 van dit artikel binnen de in die leden vastgelegde termijnen worden verwezenlijkt.

Artikel 33

Essentiële eisen inzake interoperabiliteit van gegevens, van mechanismen en diensten voor het delen van gegevens alsook van gemeenschappelijke Europese dataruimten

1. Deelnemers aan dataruimten die gegevens of datadiensten aanbieden aan andere deelnemers, voldoen aan de volgende essentiële eisen om de interoperabiliteit van gegevens, van mechanismen en diensten voor gegevensdeling alsook van gemeenschappelijke Europese dataruimten die doel- of sectorspecifieke of sectoroverschrijdende interoperabele kaders voor gemeenschappelijke normen en praktijken op het gebied van het delen van gegevens of gezamenlijke dataverwerking vormen met het oog op onder meer de ontwikkeling van nieuwe producten en diensten, wetenschappelijk onderzoek of initiatieven van het maatschappelijk middenveld:

a)	de inhoud van de dataset, gebruiksbeperkingen, licenties, gegevensverzamelingsmethoden, gegevenskwaliteit en onzekerheid worden voldoende beschreven, indien van toepassing, in een machineleesbaar formaat om de ontvanger in staat te stellen de gegevens te vinden, te raadplegen en te gebruiken;

b)	de datastructuren, dataformaten, vocabularia, classificatieschema’s, taxonomieën en codelijsten worden, indien beschikbaar, op een voor het publiek toegankelijke en consistente wijze beschreven;

de technische middelen om toegang te krijgen tot de gegevens, zoals application programming interfaces, en de bijbehorende gebruiksvoorwaarden en kwaliteit van de dienstverlening worden voldoende beschreven om automatische toegang tot en overdracht van gegevens tussen partijen mogelijk te maken, ook continu, in de vorm van bulksgewijze downloads of in realtime in een machineleesbaar formaat, indien dat technisch haalbaar is en de goede werking van het verbonden product niet belemmert;

d)	indien van toepassing wordt er voorzien in de middelen om de interoperabiliteit mogelijk te maken van instrumenten voor het automatiseren van de uitvoering van gegevensdelingsovereenkomsten, zoals slimme contracten.

De eisen kunnen een generiek karakter hebben of betrekking hebben op specifieke sectoren, waarbij ten volle rekening wordt gehouden met de samenhang met eisen die voortvloeien uit ander Unie- of nationaal recht.

2. De Commissie is bevoegd overeenkomstig artikel 45 van deze verordening gedelegeerde handelingen vast te stellen om deze verordening aan te vullen, door de in lid 1 van dit artikel vastgelegde essentiële eisen nader te specificeren wat betreft die eisen welke door hun aard niet het beoogde effect kunnen sorteren tenzij zij nader worden gespecificeerd in bindende rechtshandelingen van de Unie, en teneinde de technologische en marktontwikkelingen naar behoren weer te geven.

De Commissie houdt bij de vaststelling van gedelegeerde handelingen rekening met het advies van het Europees Comité voor gegevensinnovatie overeenkomstig artikel 42, punt c), iii).

3. De deelnemers aan dataruimten die gegevens of datadiensten aanbieden aan andere deelnemers aan dataruimten die voldoen aan de geharmoniseerde normen of delen daarvan, waarvan de referentie in het Publicatieblad van de Europese Unie is bekendgemaakt, worden geacht te voldoen aan de in lid 1 vastgelegde essentiële eisen, voor zover die eisen worden gedekt door deze geharmoniseerde normen of delen daarvan.

4. De Commissie verzoekt op grond van artikel 10 van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties geharmoniseerde normen op te stellen die voldoen aan de in lid 1 van dit artikel vastgelegde essentiële eisen.

5. De Commissie kan door middel van uitvoeringshandelingen gemeenschappelijke specificaties vaststellen voor een of alle van de in lid 1 vastgelegde essentiële eisen, indien aan de volgende voorwaarden is voldaan:

de Commissie heeft overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties verzocht een geharmoniseerde norm op te stellen die voldoet aan de in lid 1 van dit artikel vastgelegde eisen en:

i)	het verzoek is niet aanvaard:

ii)	de geharmoniseerde normen die naar aanleiding van dat verzoek zijn ontwikkeld, is niet binnen de overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 vastgestelde termijn geleverd; of

iii)	de geharmoniseerde normen voldoen niet aan het verzoek, en

er werd geen referentie van geharmoniseerde normen overeenkomstig Verordening (EU) nr. 1025/2012 bekendgemaakt in het Publicatieblad van de Europese Unie voor de desbetreffende in lid 1 van dit artikel vastgelegde essentiële eisen, en een dergelijke referentie zal naar verwachting niet binnen een redelijke termijn worden bekendgemaakt.

Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

6. Alvorens een in lid 5 van dit artikel bedoelde ontwerpuitvoeringshandeling op te stellen, stelt de Commissie het in artikel 22 van Verordening (EU) nr. 1025/2012 bedoelde comité ervan in kennis dat zij van oordeel is dat aan de voorwaarden van lid 5 van dit artikel is voldaan.

7. Bij het opstellen van de ontwerpuitvoeringshandeling zoals bedoeld in lid 5 houdt de Commissie rekening met het advies van het Europees Comité voor gegevensinnovatie en met de standpunten van andere relevante organen of deskundigengroepen en raadpleegt zij alle relevante belanghebbenden.

8. De deelnemers aan dataruimten die gegevens of datadiensten aan andere deelnemers aan dataruimten aanbieden die voldoen aan de gemeenschappelijke specificaties zoals vastgesteld bij de in lid 5 bedoelde uitvoeringshandelingen of delen daarvan, worden geacht in overeenstemming te zijn met de essentiële in lid 1 vastgelegde eisen voor zover die eisen door de gemeenschappelijke specificaties of delen daarvan gedekt zijn.

9. Wanneer een Europese normalisatieorganisatie een geharmoniseerde norm vaststelt en deze aan de Commissie voorstelt met het oog op de bekendmaking van de referentie ervan in het Publicatieblad van de Europese Unie, beoordeelt de Commissie de geharmoniseerde norm overeenkomstig Verordening (EU) nr. 1025/2012. Wanneer de referentie van een geharmoniseerde norm in het Publicatieblad van de Europese Unie wordt bekendgemaakt, trekt de Commissie de in lid 5 van dit artikel bedoelde uitvoeringshandelingen of delen daarvan die dezelfde essentiële eisen dekken als die die zijn gedekt door die geharmoniseerde norm, in.

10. Wanneer een lidstaat van oordeel is dat een gemeenschappelijke specificatie niet volledig aan de in lid 1 vastgelegde essentiële eisen voldoet, stelt deze lidstaat de Commissie daarvan in kennis door het indienen van een gedetailleerde toelichting. De Commissie beoordeelt die gedetailleerde toelichting en kan in voorkomend geval de uitvoeringshandeling tot vaststelling van de betrokken gemeenschappelijke specificatie wijzigen.

11. De Commissie kan richtsnoeren vaststellen, rekening houdend met het voorstel van het Europees Comité voor gegevensinnovatie overeenkomstig artikel 30, punt h), van Verordening (EU) 2022/868 tot vaststelling van interoperabele kaders voor gemeenschappelijke normen en praktijken voor de werking van gemeenschappelijke Europese dataruimten.

Artikel 35

Interoperabiliteit voor dataverwerkingsdiensten

1. Open interoperabiliteitsspecificaties en geharmoniseerde normen voor de interoperabiliteit van dataverwerkingsdiensten voldoen aan het volgende:

a)	zij bereiken, voor zover technisch haalbaar, interoperabiliteit tussen verschillende dataverwerkingsdiensten die hetzelfde type dienst dekken;

b)	zij verbeteren de overdraagbaarheid van digitale activa tussen verschillende dataverwerkingsdiensten die hetzelfde type dienst dekken;

c)	zij faciliteren, voor zover technisch haalbaar, de functionele gelijkwaardigheid tussen de in artikel 30, lid 1, bedoelde dataverwerkingsdiensten die hetzelfde type dienst dekken;

d)	zij hebben geen negatieve gevolgen voor de veiligheid en integriteit van dataverwerkingsdiensten;

e)	zij zijn zodanig ontworpen dat zij technische vooruitgang en de opneming van nieuwe functies en innovatie in dataverwerkingsdiensten mogelijk maken.

2. Open interoperabiliteitsspecificaties en geharmoniseerde normen voor de interoperabiliteit van dataverwerkingsdiensten pakken de volgende aspecten naar behoren aan:

a)	de aspecten van cloudinteroperabiliteit in het vervoer, syntactische interoperabiliteit, semantische data-interoperabiliteit, gedragsinteroperabiliteit en beleidsinteroperabiliteit;

b)	de overdraagbaarheidsaspecten van cloudgegevens inzake syntactische en semantische overdraagbaarheid van gegevens en overdraagbaarheid van het gegevensbeleid;

c)	de cloudtoepassingsaspecten van applicatiesyntactische overdraagbaarheid, applicatie-instructieportabiliteit, overdraagbaarheid van applicatiemetagegevens, overdraagbaarheid van applicatiegedrag en overdraagbaarheid van het applicatiebeleid.

3. Open interoperabiliteitsspecificaties voldoen aan bijlage II bij Verordening (EU) nr. 1025/2012.

4. Na rekening te hebben gehouden met relevante internationale en Europese normen en initiatieven op het gebied van zelfregulering, kan de Commissie overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties verzoeken geharmoniseerde normen op te stellen die voldoen aan de in de leden 1 en 2 van dit artikel vastgelegde essentiële eisen.

5. De Commissie kan door middel van uitvoeringshandelingen gemeenschappelijke specificaties vaststellen op basis van open interoperabiliteitsspecificaties die alle in de leden 1 en 2 vastgelegde essentiële eisen dekken.

6. Bij de opstelling van de in lid 5 van dit artikel bedoelde ontwerpuitvoeringshandeling houdt de Commissie rekening met de standpunten van de in artikel 37, lid 5, punt h), bedoelde relevante bevoegde autoriteiten en andere relevante instanties of deskundigengroepen en raadpleegt zij naar behoren alle relevante belanghebbenden.

7. Wanneer een lidstaat van oordeel is dat een gemeenschappelijke specificatie niet volledig aan de in de leden 1 en 2 vastgelegde essentiële eisen voldoet, stelt deze lidstaat de Commissie daarvan in kennis door het indienen van een gedetailleerde toelichting. De Commissie beoordeelt die gedetailleerde informatie en kan in voorkomend geval de uitvoeringshandeling tot vaststelling van de betrokken gemeenschappelijke specificatie wijzigen.

8. Voor de toepassing van artikel 30, lid 3, maakt de Commissie door middel van uitvoeringshandelingen, in een centraal Unieregister voor normen voor de interoperabiliteit van dataverwerkingsdiensten, de referentie bekend van geharmoniseerde normen en gemeenschappelijke specificaties voor de interoperabiliteit van dataverwerkingsdiensten.

9. De in dit artikel bedoelde uitvoeringshandelingen worden vastgesteld volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure.

Artikel 36

Essentiële eisen met betrekking tot slimme contracten voor het uitvoeren van gegevensdelingsovereenkomsten

1. De verkoper van een applicatie die gebruikmaakt van slimme contracten of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan voor het beschikbaar stellen van gegevens inhoudt, zorgt ervoor dat die slimme contracten voldoen aan de volgende essentiële eisen van:

a)	robuustheid en toegangscontrole, om ervoor te zorgen dat het slimme contract zo is ontworpen dat het toegangscontrolemechanismen en een zeer hoge mate van robuustheid biedt om functionele fouten te voorkomen en manipulatie door derden te weerstaan;

veilige beëindiging en onderbreking, om ervoor te zorgen dat er een mechanisme bestaat om de doorlopende uitvoering van transacties te beëindigen en dat het slimme contract interne functies omvat die de overeenkomst kunnen resetten of de opdracht kunnen geven de verrichting stop te zetten of te onderbreken, met name om toekomstige accidentele uitvoeringen ervan te voorkomen;

archivering en continuïteit van gegevens, om ervoor te zorgen dat, in gevallen waarin een slim contract moet worden beëindigd of gedeactiveerd, de mogelijkheid bestaat om de transactiegegevens, alsook de slimme-contractlogica en -code te archiveren teneinde verrichtingen die in het verleden op de gegevens zijn uitgevoerd, te registreren (controleerbaarheid);

d)	toegangscontrole, om ervoor te zorgen dat een slim contract wordt beschermd door middel van strikte toegangscontrolemechanismen in de beheers- en slimme-contractlagen, en

e)	consistentie, om te zorgen voor consistentie met de voorwaarden van de gegevensdelingsovereenkomst die door het slimme contract wordt uitgevoerd.

2. De verkoper van een slim contract of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan voor het beschikbaar stellen van gegevens inhoudt, voert een conformiteitsbeoordeling uit om aan de in lid 1 vastgelegde essentiële eisen te voldoen en geeft, indien aan die eisen is voldaan, een EU-conformiteitsverklaring af.

3. Door een EU-conformiteitsverklaring af te geven is de verkoper van een toepassing die gebruikmaakt van slimme contracten of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan, voor het beschikbaar stellen van gegevens inhoudt, verantwoordelijk voor de conformiteit met de in lid 1 vastgelegde essentiële eisen.

4. Een slim contract dat voldoet aan de geharmoniseerde normen of de relevante delen daarvan, waarvan de referenties in het Publicatieblad van de Europese Unie worden bekendgemaakt, wordt geacht in overeenstemming te zijn met de in lid 1 vastgelegde essentiële eisen, voor zover die eisen door die geharmoniseerde normen of delen daarvan worden gedekt.

5. De Commissie verzoekt op grond van artikel 10 van Verordening (EU) nr. 1025/2012 een of meer Europese normalisatieorganisaties geharmoniseerde normen op te stellen die voldoen aan de in lid 1 van dit artikel vastgelegde essentiële eisen.

6. De Commissie kan door middel van uitvoeringshandelingen gemeenschappelijke specificaties vaststellen voor een of alle van de in lid 1 vastgelegde essentiële eisen indien aan de volgende voorwaarden is voldaan:

i)	het verzoek is niet aanvaard;

ii)	de geharmoniseerde normen waarop dat verzoek is gericht, zijn niet binnen de overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 vastgestelde termijn geleverd; of

iii)	de geharmoniseerde normen voldoen niet aan het verzoek, en

er wordt geen referentie van geharmoniseerde normen overeenkomstig Verordening (EU) nr. 1025/2012 bekendgemaakt in het Publicatieblad van de Europese Unie voor de desbetreffende in lid 1 van dit artikel vastgelegde essentiële eisen, en een dergelijke referentie zal naar verwachting niet binnen een redelijke termijn worden bekendgemaakt.

Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

7. Alvorens een in lid 6 van dit artikel bedoelde ontwerpuitvoeringshandeling op te stellen, stelt de Commissie het in artikel 22 van Verordening (EU) nr. 1025/2012 bedoelde comité ervan in kennis dat zij van oordeel is dat aan de voorwaarden van lid 6 van dit artikel is voldaan.

8. Bij het opstellen van de in lid 6 bedoelde ontwerpuitvoeringshandeling houdt de Commissie rekening met het advies van het Europees Comité voor gegevensinnovatie en de standpunten van andere relevante organen of deskundigengroepen en raadpleegt zij alle relevante belanghebbenden.

9. De verkoper van een slim contract of, bij het ontbreken daarvan, de persoon van wie de handels-, bedrijfs- of beroepsactiviteit de invoering van slimme contracten voor anderen in het kader van de uitvoering van een overeenkomst of een deel daarvan, voor het beschikbaar stellen van gegevens inhoudt die voldoen aan de gemeenschappelijke specificaties zoals vastgesteld bij de in lid 6 bedoelde uitvoeringshandelingen of delen daarvan, wordt geacht in overeenstemming te zijn met de in lid 1 vastgelegde essentiële eisen voor zover deze eisen door die gemeenschappelijke specificaties of delen daarvan gedekt zijn.

10. Wanneer een Europese normalisatieorganisatie een geharmoniseerde norm vaststelt en deze aan de Commissie voorstelt met het oog op de bekendmaking van de referentie ervan in het Publicatieblad van de Europese Unie, beoordeelt de Commissie de geharmoniseerde norm overeenkomstig Verordening (EU) nr. 1025/2012. Wanneer de referentie van een geharmoniseerde norm in het Publicatieblad van de Europese Unie wordt bekendgemaakt, trekt de Commissie de in lid 6 van dit artikel bedoelde uitvoeringshandelingen of delen daarvan die dezelfde essentiële eisen dekken als die welke door die geharmoniseerde norm zijn gedekt, in.

11. Wanneer een lidstaat van oordeel is dat een gemeenschappelijke specificatie niet volledig aan de in lid 1 vastgelegde essentiële eisen voldoet, stelt deze lidstaat de Commissie daarvan in kennis door het indienen van een gedetailleerde toelichting. De Commissie beoordeelt die gedetailleerde toelichting en kan in voorkomend geval de uitvoeringshandeling tot vaststelling van de betrokken gemeenschappelijke specificatie wijzigen.

HOOFDSTUK IX

UITVOERING EN HANDHAVING

Artikel 37

Bevoegde autoriteiten en datacoördinatoren

1. Elke lidstaat wijst een of meer autoriteiten aan die bevoegd zijn voor de uitvoering en handhaving van deze verordening (bevoegde autoriteiten). De lidstaten kunnen een of meer nieuwe autoriteiten oprichten of een beroep doen op bestaande autoriteiten.

2. Indien een lidstaat meer dan één bevoegde autoriteit aanwijst, wijst hij onder deze bevoegde autoriteiten een datacoördinator aan om de samenwerking tussen hen te vergemakkelijken en entiteiten binnen het toepassingsgebied van deze verordening bij te staan in alle aangelegenheden die verband houden met de toepassing en handhaving ervan. Bij de uitoefening van de hun krachtens lid 5 toegewezen taken en bevoegdheden werken de bevoegde autoriteiten met elkaar samen.

3. De toezichthoudende autoriteiten die verantwoordelijk zijn voor het toezicht op de toepassing van Verordening (EU) 2016/679, zijn verantwoordelijk voor het toezicht op de toepassing van deze verordening wat de bescherming van persoonsgegevens betreft. De hoofdstukken VI en VII van Verordening (EU) 2016/679 zijn van overeenkomstige toepassing.

De Europese Toezichthouder voor gegevensbescherming is verantwoordelijk voor het toezicht op de toepassing van deze verordening voor zover deze betrekking heeft op de Commissie, de Europese Centrale Bank of organen van de Unie. In voorkomend geval is artikel 62 van Verordening (EU) 2018/1725 van overeenkomstige toepassing.

De in dit lid bedoelde taken en bevoegdheden van de toezichthoudende autoriteiten worden uitgeoefend met betrekking tot de verwerking van persoonsgegevens.

4. Onverminderd lid 1 van dit artikel:

a)	wordt de bevoegdheid van de sectorale autoriteiten voor specifieke sectorale toegang tot gegevens en specifiek sectoraal gegevensgebruik in verband met de toepassing van deze verordening geëerbiedigd;

b)	heeft de bevoegde autoriteit die verantwoordelijk is voor de toepassing en handhaving van de artikelen 23 tot en met 31 en de artikelen 34 en 35, ervaring op het gebied van gegevens en elektronische-communicatiediensten.

5. De lidstaten zorgen ervoor dat de taken en bevoegdheden van de bevoegde autoriteiten duidelijk omschreven zijn en het volgende omvatten:

a)	datageletterdheid en bewustmaking over de rechten en verplichtingen uit hoofde van deze verordening bevorderen bij gebruikers en entiteiten die binnen het toepassingsgebied van deze verordening vallen;

klachten over vermeende overtredingen op deze verordening behandelen, ook met betrekking tot bedrijfsgeheimen, de inhoud van klachten onderzoeken in de mate waarin dat gepast is en klagers, indien relevant overeenkomstig het nationale recht, regelmatig en binnen een redelijke termijn in kennis stellen van de voortgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere bevoegde autoriteit noodzakelijk is;

c)	onderzoek verrichten naar zaken die betrekking hebben op de toepassing van deze verordening, onder meer op basis van informatie die van een andere bevoegde autoriteit of een andere overheidsinstantie is ontvangen;

d)	doeltreffende, evenredige en afschrikkende financiële sancties opleggen, waaronder dwangsommen en sancties met terugwerkende kracht, of gerechtelijke procedures voor het opleggen van geldboetes inleiden;

e)	toezicht houden op technologische en relevante commerciële ontwikkelingen die relevant zijn voor het beschikbaar stellen en gebruiken van gegevens;

samenwerken met de bevoegde autoriteiten van andere lidstaten en indien relevant met de Commissie of het Europees Comité voor gegevensinnovatie, om de consistente en efficiënte toepassing van deze verordening te waarborgen, waaronder het onverwijld elektronisch uitwisselen van alle relevante informatie, ook met betrekking tot lid 10 van dit artikel;

samenwerken met de relevante bevoegde autoriteiten die verantwoordelijk zijn voor de uitvoering van andere Unie- of nationale rechtshandelingen, onder meer met autoriteiten die bevoegd zijn op het gebied van gegevens en elektronische-communicatiediensten, met de toezichthoudende autoriteit die verantwoordelijk is voor het toezicht op de toepassing van Verordening (EU) 2016/679 of met sectorale autoriteiten om te waarborgen dat deze verordening in overeenstemming met andere Unie- en nationale wetgeving wordt gehandhaafd;

h)	samenwerken met de relevante bevoegde autoriteiten om ervoor te zorgen dat de verplichtingen van de artikelen 23 tot en met 31 en de artikelen 34 en 35 worden gehandhaafd in overeenstemming met ander Unierecht en zelfregulering die van toepassing zijn op aanbieders van dataverwerkingsdiensten;

i)	ervoor zorgen dat de overstapkosten overeenkomstig artikel 29 worden ingetrokken;

j)	de verzoeken om gegevens uit hoofde van hoofdstuk V onderzoeken.

Indien er een datacoördinator is aangewezen, faciliteert deze de in de eerste alinea, punten f), g) en h), bedoelde samenwerking en staat hij de bevoegde autoriteiten op hun verzoek bij.

6. De datacoördinator, indien een dergelijke bevoegde autoriteit is aangewezen:

a)	treedt op als centraal contactpunt voor alle kwesties in verband met de toepassing van deze verordening;

b)	waarborgt dat verzoeken van overheidsinstanties om gegevens beschikbaar te stellen in het geval van een uitzonderlijke noodzaak uit hoofde van hoofdstuk V online openbaar beschikbaar zijn, en bevordert vrijwillige gegevensdelingsovereenkomsten tussen overheidsinstanties en gegevenshouders;

c)	stelt de Commissie jaarlijks in kennis van de weigeringen waarvan overeenkomstig artikel 4, leden 2 en 8, en artikel 5, lid 11, kennis is gegeven.

7. De lidstaten stellen de Commissie in kennis van de namen van de bevoegde autoriteiten en van hun taken en bevoegdheden en, indien van toepassing, de naam van de gegevenscoördinator. De Commissie houdt een openbaar register van deze autoriteiten bij.

8. Bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden overeenkomstig deze verordening blijven de bevoegde autoriteiten onpartijdig en vrij van enige, directe of indirecte, invloed van buitenaf, en vragen noch aanvaarden zij voor individuele gevallen instructies van andere overheidsinstanties of particuliere partijen.

9. De lidstaten zorgen ervoor dat de bevoegde autoriteiten over voldoende personele en technische middelen beschikken alsook de relevante expertise om hun taken overeenkomstig deze verordening doeltreffend uit te voeren.

10. Entiteiten die binnen het toepassingsgebied van deze verordening vallen, vallen onder de bevoegdheid van de lidstaat waar de entiteit is gevestigd. Indien de entiteit in meer dan een lidstaat is gevestigd, wordt zij geacht onder de bevoegdheid te vallen van de lidstaat waar zij haar hoofdvestiging heeft, dat is waar het hoofdkantoor of de statutaire zetel van de entiteit zich bevindt, van waaruit de voornaamste financiële functies en de operationele controle worden uitgeoefend.

11. Elke binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt en niet in de Unie is gevestigd, wijst een wettelijke vertegenwoordiger aan in een van de lidstaten.

12. Met het oog op de naleving van deze verordening wordt een wettelijke vertegenwoordiger gemachtigd door een binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, zodat de bevoegde autoriteiten zich ook of in plaats van tot de entiteit, tot hem kunnen richten voor alle aangelegenheden die verband houden met die entiteit. Die wettelijke vertegenwoordiger werkt samen met de bevoegde autoriteiten en toont hun op verzoek de maatregelen en voorzieningen die zijn getroffen door de binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, teneinde de naleving van deze verordening te waarborgen.

13. Een binnen het toepassingsgebied van deze verordening vallende entiteit die in de Unie verbonden producten of diensten aanbiedt, wordt geacht te vallen onder de bevoegdheid van de lidstaat waar haar wettelijke vertegenwoordiger is gevestigd. De aanwijzing van een wettelijke vertegenwoordiger door een dergelijke entiteit doet geen afbreuk aan de aansprakelijkheid van een dergelijke entiteit en aan eventuele rechtsvorderingen die tegen haar kunnen worden ingesteld. Totdat een entiteit overeenkomstig dit artikel een wettelijke vertegenwoordiger aanwijst, valt zij, in voorkomend geval, onder de bevoegdheid van alle lidstaten teneinde de toepassing en handhaving van deze verordening te waarborgen. Elke bevoegde autoriteit kan haar bevoegdheid uitoefenen, onder meer door doeltreffende, evenredige en afschrikkende sancties op te leggen, mits de entiteit met betrekking tot dezelfde feiten niet door een andere bevoegde autoriteit onderworpen is aan een handhavingsprocedure uit hoofde van deze verordening.

14. Bevoegde autoriteiten hebben de bevoegdheid om van gebruikers, gegevenshouders of gegevensontvangers, of hun wettelijke vertegenwoordigers, die onder de bevoegdheid van hun lidstaat vallen, alle informatie op te vragen die nodig is om na te gaan of aan deze verordening is voldaan. Een verzoek om informatie moet in verhouding staan tot de uitvoering van de onderliggende taak en moet worden gemotiveerd.

15. Indien een bevoegde autoriteit in een lidstaat om bijstand of handhavingsmaatregelen van een bevoegde autoriteit in een andere lidstaat verzoekt, dient zij een gemotiveerd verzoek in. Na ontvangst van een dergelijk verzoek geeft een bevoegde autoriteit onverwijld een antwoord met een gedetailleerde beschrijving van de maatregelen die zijn genomen of gepland.

16. Bevoegde autoriteiten eerbiedigen het vertrouwelijkheidsbeginsel en het beroeps- en handelsgeheim, en beschermen persoonsgegevens overeenkomstig het Unie-of nationale recht. Alle informatie die naar aanleiding van een verzoek om bijstand wordt uitgewisseld en wordt verstrekt uit hoofde van dit artikel, wordt uitsluitend gebruikt in verband met de aangelegenheid waarvoor zij is gevraagd.

Artikel 38

Recht om een klacht in te dienen

1. Onverminderd andere mogelijkheden van administratief beroep of beroep in rechte hebben natuurlijke en rechtspersonen het recht om individueel of, in voorkomend geval, collectief een klacht in te dienen bij de relevante bevoegde autoriteit in de lidstaat waar zij hun gewone verblijfplaats, werkplek of vestiging hebben, indien zij van mening zijn dat hun rechten uit hoofde van deze verordening zijn geschonden. De datacoördinator verstrekt natuurlijke en rechtspersonen op verzoek alle benodigde informatie om hun klachten bij de juiste bevoegde autoriteit in te dienen.

2. De bevoegde autoriteit waarbij de klacht is ingediend, stelt de klager overeenkomstig het nationale recht in kennis van het verloop van de procedure en van het genomen besluit.

3. De bevoegde autoriteiten werken samen om klachten doeltreffend en tijdig te behandelen en op te lossen, onder meer door onverwijld alle relevante informatie elektronisch uit te wisselen. Deze samenwerking doet geen afbreuk aan de samenwerkingsmechanismes waarin de hoofdstukken VI en VII van Verordening (EU) 2016/679, alsook Verordening (EU) 2017/2394 voorzien.

Artikel 39

Recht op een doeltreffende voorziening in rechte

1. Niettegenstaande een administratief of ander buitengerechtelijk beroep, heeft elke betrokken natuurlijke of rechtspersoon recht op een doeltreffende voorziening in rechte tegen juridisch bindende besluiten die door bevoegde autoriteiten zijn genomen.

2. Indien een bevoegde autoriteit nalaat gevolg te geven aan een klacht, hebben betrokken natuurlijke en rechtspersonen, overeenkomstig het nationale recht, recht op een doeltreffende voorziening in rechte of op toetsing door een onpartijdige instantie met de nodige expertise.

3. Procedures op grond van dit artikel worden ingesteld bij een rechterlijke instantie van de lidstaat van de bevoegde autoriteit waartegen het rechtsmiddel wordt ingesteld, hetzij individueel, hetzij, in voorkomend geval, collectief door de vertegenwoordigers van een of meer natuurlijke of rechtspersonen.

Artikel 49

Evaluatie en herziening

1. Uiterlijk op 12 september 2028 voert de Commissie een evaluatie van deze verordening uit en brengt zij over de belangrijkste bevindingen verslag uit aan het Europees Parlement en de Raad, en aan het Europees Economisch en Sociaal Comité. In het kader van deze evaluatie wordt met name het volgende beoordeeld:

situaties die moeten worden beschouwd als situaties van uitzonderlijke noodzaak voor de toepassing van artikel 15 van deze verordening en de toepassing in de praktijk van hoofdstuk V van deze verordening, met name de ervaring met de toepassing van hoofdstuk V van deze verordening door overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie; het aantal procedures dat op grond van artikel 18, lid 5, bij de bevoegde autoriteit is ingesteld met betrekking tot de toepassing van hoofdstuk V van deze verordening, zoals gerapporteerd door de bevoegde autoriteiten, en het resultaat van die procedures; het effect van andere verplichtingen die in het Unie- of nationale recht zijn vastgelegd met betrekking tot de inwilliging van verzoeken om toegang tot informatie; het effect van vrijwillige mechanismen voor het delen van gegevens, zoals die zijn opgezet uit hoofde van Verordening (EU) 2022/868 erkende organisaties voor data-altruïsme, op de verwezenlijking van de doelstellingen van hoofdstuk V van deze verordening, en de rol van persoonsgegevens in het kader van artikel 15 van deze verordening, met inbegrip van de ontwikkeling van privacybevorderende technologieën;

b)	het effect van deze verordening op het gebruik van gegevens in de economie, onder meer op gegevensinnovatie, praktijken in verband met het te gelde maken van gegevens, en databemiddelingsdiensten, alsook op het delen van data binnen de gemeenschappelijke Europese dataruimten;

c)	de toegankelijkheid en het gebruik van verschillende categorieën en soorten gegevens;

d)	de uitsluiting van bepaalde categorieën ondernemingen als begunstigden op grond van artikel 5;

e)	het uitblijven van gevolgen voor intellectuele-eigendomsrechten;

de gevolgen voor bedrijfsgeheimen, met inbegrip van de bescherming tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken ervan, alsook de gevolgen van het mechanisme dat de gegevenshouder in staat stelt het verzoek van de gebruiker af te wijzen uit hoofde van artikel 4, lid 8, en artikel 5, lid 11., voort zoveel mogelijk rekening houdend met de herziening van Richtlijn (EU) 2016/943;

g)	of de in artikel 13 bedoelde lijst van oneerlijke contractuele bedingen actueel is in het licht van nieuwe bedrijfspraktijken en het snelle tempo van marktinnovatie;

h)	veranderingen in de contractuele praktijken van aanbieders van dataverwerkingsdiensten en of dit leidt tot toereikende naleving van artikel 25;

i)	de verlaging van de kosten die aanbieders van dataverwerkingsdiensten voor het overstapproces opleggen, in overeenstemming met de geleidelijke afschaffing van de overstapkosten overeenkomstig artikel 29;

j)	de wisselwerking tussen deze verordening en andere Unierechtshandelingen die relevant zijn voor de data-economie;

k)	het voorkomen van onrechtmatige overheidstoegang tot niet-persoonsgebonden gegevens;

l)	de doeltreffendheid van de krachtens artikel 37 vereiste handhavingsregeling;

m)	het effect van deze verordening op kmo’s met betrekking tot hun innovatiecapaciteit en tot de beschikbaarheid van dataverwerkingsdiensten voor gebruikers in de Unie en tot de lasten bij de nakoming van nieuwe verplichtingen.

2. Uiterlijk op 12 september 2028 voert de Commissie een evaluatie van deze verordening uit en brengt zij een verslag uit over de belangrijkste bevindingen aan het Europees Parlement en de Raad, alsmede aan het Europees Economisch en Sociaal Comité. Bij die evaluatie wordt het effect van de artikelen 23 tot en met 31 en de artikelen 34 en 35 bedoelde bepalingen beoordeeld, met name wat betreft de prijsstelling en de diversiteit van de in de Unie aangeboden dataverwerkingsdiensten, met bijzondere aandacht voor aanbieders die kmo’s zijn.

3. De lidstaten verstrekken de Commissie de nodige informatie voor het opstellen van de in de leden 1 en 2 bedoelde verslagen.

4. Op basis van de in de leden 1 en 2 bedoelde verslagen kan de Commissie zo nodig bij het Europees Parlement en de Raad een wetgevingsvoorstel indienen om deze verordening te wijzigen.

whereas

keyboard_tab Data Act 2023/2854 NL

Data Act 2023/2854 NL