Regelgeving •

EU Data Act: toegang tot productdata en wat er op 12 september 2026 verandert

Vanaf 12 september 2026 moet elk nieuw in de handel gebracht verbonden product zo zijn ontworpen dat de gebruiker rechtstreeks bij zijn data komt. Wat Verordening (EU) 2023/2854 eist, waar het bedrijfsgeheim de grens trekt en hoe de Data Act verschilt van het digitaal productpaspoort.

Auteur: myDPP Team

EU Data Act: toegang tot productdata en wat er op 12 september 2026 verandert

Het Europese productrecht geeft inmiddels twee volstrekt verschillende antwoorden op de vraag «van wie zijn de data van een product». Het digitaal productpaspoort beantwoordt haar voor statische data: materiaal, herkomst, repareerbaarheid, conformiteit — gegevens die de fabrikant vastlegt en die via een gegevensdrager beschikbaar zijn voor consumenten, autoriteiten en recyclers. De Data Act beantwoordt haar voor dynamische data: draaiuren, foutcodes, sensorwaarden, verbruiksprofielen — alles wat pas ontstaat wanneer iemand het product gebruikt. Beide regimes gaan over hetzelfde apparaat, maar benaderen het van tegengestelde kanten.

Verordening (EU) 2023/2854 is van toepassing sinds 12 september 2025. De beslissende tweede stap komt nu: vanaf 12 september 2026 moet elk verbonden product dat nieuw in de handel wordt gebracht zo zijn ontworpen dat de gegenereerde data standaard eenvoudig, veilig en kosteloos rechtstreeks toegankelijk zijn. Dat is geen verplichting meer om op verzoeken te antwoorden, maar een ontwerpeis — hij landt bij productontwikkeling, niet bij de juridische afdeling. Dit artikel legt uit wat vanaf die datum geldt, waar de grenzen liggen en op welke punten de Data Act het digitaal productpaspoort raakt.

De belangrijkste punten

  • De Data Act is Verordening (EU) 2023/2854. Zij is op 11 januari 2024 in werking getreden en geldt sinds 12 september 2025 rechtstreeks in alle lidstaten — zonder nationale omzetting.
  • Sinds 12 september 2025 geldt toegang op verzoek. De gebruiker kan de productdata opvragen die zijn gebruik genereert (artikel 4) en eisen dat de datahouder deze aan een derde doorgeeft (artikel 5), bijvoorbeeld aan een onafhankelijke werkplaats.
  • Op 12 september 2026 komt «toegang door ontwerp» erbij. Artikel 3, lid 1, geldt voor verbonden producten en gerelateerde diensten die na die datum in de handel worden gebracht: de data moeten standaard rechtstreeks toegankelijk zijn, voor zover relevant en technisch haalbaar. Een portaal met aanvraagformulier volstaat dan niet meer.
  • Producten die al in de handel zijn, vallen buiten artikel 3, lid 1. Voor hen blijft toegang op verzoek gelden. De datum knoopt aan bij het in de handel brengen, niet bij de verkoop aan de eindklant.
  • Het bedrijfsgeheim is geen algemene weigeringsgrond. Beschermde informatie moet in beginsel worden verstrekt als datahouder en ontvanger evenredige technische en organisatorische maatregelen afspreken. Weigeren kan alleen in beperkte gevallen en moet worden gemotiveerd.
  • Micro- en kleine ondernemingen zijn vrijgesteld. Volgens artikel 7 geldt hoofdstuk II niet voor producten en diensten van ondernemingen met minder dan 50 werknemers en ten hoogste 10 miljoen EUR omzet of balanstotaal — tenzij zij verbonden zijn met een grotere onderneming of als loonfabrikant optreden.
  • Handhaving is nationaal. Elke lidstaat wijst bevoegde autoriteiten aan en stelt sancties vast. In Duitsland is de uitvoeringswet (DA-DG) sinds 30 mei 2026 van kracht en is de Bundesnetzagentur de coördinerende autoriteit.
  • De Data Act vervangt het digitaal productpaspoort niet. Zij regelt gebruiksdata en toegangsrechten; het DPP regelt productstamdata en publicatieplichten. Aan beide voldoen vraagt om een datamodel dat ze netjes gescheiden houdt.

Wat de Data Act regelt — en wat niet

De Data Act is geen privacywet. Zij bepaalt niet of persoonsgegevens mogen worden verwerkt — dat blijft de AVG, die er naast staat en bij conflict voorgaat. De Data Act bepaalt iets anders: wie toegang mag krijgen tot data die bij het gebruik van een product ontstaan, en onder welke voorwaarden.

De verordening bevat vier blokken:

  • Hoofdstuk II — toegang tot productdata. De kern voor fabrikanten van verbonden apparaten. De gebruiker krijgt toegang tot de data die zijn gebruik genereert en kan deze doorgeven aan derden.
  • Hoofdstukken III en IV — eerlijke voorwaarden. Worden data op grond van een wettelijke verplichting beschikbaar gesteld, dan moeten de voorwaarden eerlijk, redelijk en niet-discriminerend zijn (FRAND). Eenzijdig opgelegde oneerlijke bedingen tussen ondernemingen zijn niet bindend.
  • Hoofdstuk V — toegang door de overheid. Overheidsinstanties kunnen data opvragen bij uitzonderlijke noodzaak, bijvoorbeeld in noodsituaties.
  • Hoofdstuk VI — overstappen tussen clouddiensten. Aanbieders moeten een overstap naar een andere dienst mogelijk maken. Overstapkosten worden gefaseerd afgeschaft en mogen vanaf 12 januari 2027 niet meer in rekening worden gebracht.

Wat de verordening niet creëert, is een eigendomsrecht op data. Zij verleent toegangsrechten, geen eigendomspositie. En zij staat de gebruiker niet toe de data te gebruiken om een concurrerend product te ontwikkelen — dat verbod staat uitdrukkelijk in de tekst.

Verbonden product, datahouder, gebruiker: de drie begrippen waar alles op rust

Een verbonden product is elk voorwerp dat data over het eigen gebruik of de omgeving verkrijgt, genereert of verzamelt en die kan doorgeven via een elektronische communicatiedienst, een fysieke verbinding of toegang op het apparaat zelf. Dat is ruimer dan de meeste bedrijven aanvankelijk aannemen: voertuigen, landbouwmachines, productielijnen, liften, warmtepompen, huishoudapparaten, medische hulpmiddelen, wearables — en uitdrukkelijk ook machines die hun data alleen via een lokale servicepoort afgeven.

Uitgezonderd zijn voorwerpen waarvan de hoofdfunctie het opslaan, verwerken of doorgeven van data voor derden is: servers, routers, camera’s als louter transmissieapparatuur. Beslissend is of het verzamelen van data een bijproduct van de eigenlijke functie is of de functie zelf.

Datahouder is wie op grond van overeenkomst of wet het recht of de feitelijke mogelijkheid heeft de data te gebruiken — meestal de fabrikant, soms de beheerder van het cloudplatform. Gebruiker is wie het product bezit, huurt of least. Bij kapitaalgoederen is dat vaak niet de fabrikant en niet een consument, maar een bedrijf daartussen. Wie deze drie rollen voor de eigen productportefeuille niet kan toewijzen, kan de verplichtingen niet nakomen.

Twee dataregimes, één product: Data Act en DPP vergeleken

Data Act (2023/2854)Digitaal productpaspoort (ESPR)
Soort dataGebruiksdata: sensorwaarden, draaiuren, foutcodesStamdata: materiaal, herkomst, repareerbaarheid, conformiteit
OntstaanDoorlopend, tijdens gebruikVóór het in de handel brengen, statisch tot actualisering
RechthebbendenDe gebruiker en door hem aangewezen derdenConsumenten, autoriteiten, recyclers, distributeurs — per toegangsniveau
ToegangsrouteOp het apparaat of via een interfaceGegevensdrager op het product (QR-code, GS1 Digital Link)
AanleidingEen toegangsverzoek of de ontwerpplichtEen gedelegeerde handeling voor de productgroep
TimingSinds 12.09.2025; toegang door ontwerp vanaf 12.09.2026Groep voor groep vanaf 2027 (textiel eerst)
Openbaar?Nee, bilateraal tussen rechthebbendenDeels wel, met getrapte openbare toegang

De praktische conclusie: beide regimes hebben dezelfde basis nodig — een eenduidige productidentiteit en een onderhouden datamodel — maar beantwoorden verschillende vragen. Ze samenvoegen in één veldcatalogus levert een bestand op dat noch de gebruiker noch het markttoezicht bedient.

Wat geldt sinds 12 september 2025

Toegang op verzoek (artikel 4)

De gebruiker kan de vlot beschikbare product- en dienstdata opvragen: zonder onnodige vertraging, in dezelfde kwaliteit en hetzelfde formaat als de datahouder ze heeft, kosteloos en, waar technisch haalbaar, doorlopend en in realtime. «Vlot beschikbaar» betekent ruwe en voorbewerkte data die de datahouder zonder onevenredige inspanning kan verkrijgen. Analyseresultaten waarin eigen kennis is verwerkt, vallen erbuiten.

Doorgifte aan een derde (artikel 5)

Op verzoek van de gebruiker moet de datahouder de data aan een aangewezen derde doorgeven. Dit is de bepaling met het grootste markteffect: zij opent voor onafhankelijke werkplaatsen, onderhoudsbedrijven en analytics-aanbieders een kanaal dat tot nu toe de fabrikant beheerste. In die zin vult de Data Act het recht op reparatie aan de datakant aan. Poortwachters in de zin van de Digital Markets Act zijn als ontvanger uitgesloten.

Eerlijke voorwaarden en FRAND (hoofdstukken III en IV)

Stelt een onderneming data beschikbaar op grond van een wettelijke plicht, dan moeten de voorwaarden eerlijk, redelijk en niet-discriminerend zijn. Tegenover consumenten en tegenover micro- en kleine ondernemingen mag geen vergoeding worden gevraagd die de kosten van beschikbaarstelling overstijgt. Eenzijdig opgelegde, onredelijke bedingen over datatoegang binden niet tussen ondernemingen.

Wisselen van cloudaanbieder (hoofdstuk VI)

Aanbieders van dataverwerkingsdiensten moeten een overstap naar een andere aanbieder of naar eigen infrastructuur mogelijk maken, binnen contractuele termijnen en zonder technische obstakels. Overstapkosten worden gefaseerd afgeschaft en mogen vanaf 12 januari 2027 helemaal niet meer worden berekend. Voor fabrikanten is dat relevant omdat de telemetrie van hun apparaten meestal bij een grote cloudaanbieder staat.

Wat er op 12 september 2026 verandert: toegang door ontwerp

Artikel 3, lid 1, eist dat verbonden producten en gerelateerde diensten zo worden ontworpen en verleend dat de product- en dienstdata standaard eenvoudig, veilig, kosteloos, in een volledig, gestructureerd, gangbaar en machineleesbaar formaat en — voor zover relevant en technisch haalbaar — rechtstreeks toegankelijk zijn voor de gebruiker.

Het verschil met de huidige situatie is fundamenteel:

  • Tot nu toe: de gebruiker vraagt, de fabrikant levert. Een serviceportaal met aanvraagformulier en doorlooptijd is genoeg.
  • Vanaf 12.09.2026: de toegang moet in het product zijn ingebouwd. Geen aanvraag, geen vrijgave, geen fabrikantensoftware als enige route.

De datum knoopt aan bij het in de handel brengen. Producten die eerder voor het eerst op de Uniemarkt beschikbaar zijn gesteld, blijven onder het oude regime, ook als zij daarna nog worden verkocht. Voor productplanning betekent dat: elke serie waarvan de productiestart na 12 september 2026 valt, moet de interface meebrengen. Achteraf inbouwen is bij apparaten met lange ontwikkelcycli zelden rendabel, waardoor de beslissing feitelijk al in lopende engineeringprojecten valt.

Het voorbehoud «voor zover relevant en technisch haalbaar» is geen vrijbrief. Het staat gradaties toe bij apparaten zonder display en zonder permanente verbinding, maar vereist een gedocumenteerde motivering. Wie zich erop beroept, legt de afweging beter schriftelijk vast — in een geschil is dat het enige bewijs.

Welke data eronder vallen — en waar de grens ligt

Eronder vallen de ruwe en voorbewerkte data die het product tijdens gebruik genereert of verzamelt: bedrijfsuren, temperaturen, vulniveaus, aantallen cycli, fout- en diagnosecodes, locatiegegevens, verbruikswaarden.

Er niet onder vallen:

  • Afgeleide of geïnfereerde data waarin eigen algoritmen, modellen of beoordelingen zijn verwerkt. De ruwe waarde van een trillingssensor moet worden verstrekt, de daaruit berekende resterende-levensduurscore niet.
  • Data die niet vlot beschikbaar zijn, dus alleen met onevenredige inspanning te verkrijgen.
  • Inhoud zonder verband met het gebruik van het product.

Bij het bedrijfsgeheim klopt de gangbare verwachting niet. Het is geen uitsluitingsgrond: beschermde informatie moet in beginsel worden verstrekt, mits datahouder en ontvanger vooraf evenredige technische en organisatorische maatregelen afspreken — geheimhoudingsafspraken, toegangsbeperkingen, technische afscherming. Weigeren is uitzondering, moet worden gemotiveerd en aan de bevoegde autoriteit worden gemeld. Een bedrijf zonder classificatie van welke datavelden bedrijfsgeheimen bevatten, kan die uitzondering in de praktijk niet gebruiken.

Precontractuele informatieplichten

Artikel 3, leden 2 en 3, haalt een deel van de plicht naar voren. Voordat een gebruiker een verbonden product koopt, huurt of least of een gerelateerde dienst afneemt, moet hij in duidelijke en begrijpelijke taal weten:

  • welk soort, formaat en geschat volume data het product naar verwachting genereert,
  • of de data doorlopend en in realtime ontstaan,
  • hoe ze worden opgeslagen en hoe lang,
  • hoe de gebruiker erbij komt en verwijdering kan vragen,
  • wie de datahouder is, met identiteit en contactgegevens,
  • of de datahouder de data zelf wil gebruiken en of hij ze met derden deelt.

Deze informatie hoort in de precontractuele communicatie, niet in een voetnoot bij de algemene voorwaarden — en moet overeenkomen met wat het apparaat werkelijk doet. In de praktijk belandt zij in een eigen datablad, dat naast de digitale handleiding wordt bijgehouden.

Wie is vrijgesteld: micro- en kleine ondernemingen

Artikel 7 verklaart hoofdstuk II niet van toepassing op producten en gerelateerde diensten van micro- en kleine ondernemingen in de zin van Aanbeveling 2003/361/EG: minder dan 50 werknemers en een jaaromzet of jaarbalanstotaal van ten hoogste 10 miljoen EUR.

De vrijstelling vervalt in twee gevallen:

  • De onderneming heeft een partner- of verbonden onderneming die zelf geen micro- of kleine onderneming is. Een dochter binnen een groter concern kan zich niet op de eigen omvang beroepen.
  • De onderneming treedt op als loonfabrikant of ontwerptoeleverancier. Produceren in opdracht van een grotere fabrikant brengt de plicht terug.

Middelgrote ondernemingen zijn niet vrijgesteld. De wijdverbreide aanname dat «het mkb erbuiten valt» geldt alleen voor de onderste helft van de mkb-definitie.

Nationale handhaving: Duitsland als voorbeeld

De Data Act geldt rechtstreeks, maar de handhaving ligt bij de lidstaten. Elke lidstaat wijst bevoegde autoriteiten aan en stelt sancties vast; de verordening eist alleen dat zij doeltreffend, evenredig en afschrikkend zijn. Zijn persoonsgegevens in het spel, dan kunnen de privacytoezichthouders het AVG-plafond toepassen: tot 20 miljoen EUR of 4 procent van de wereldwijde jaaromzet.

In Duitsland verdeelt de Data Act Durchführungsgesetz (DA-DG), van kracht sinds 30 mei 2026, de bevoegdheden, en fungeert de Bundesnetzagentur als coördinerende toezichthouder en klachtenloket. Bedrijven die in meerdere lidstaten verkopen, doen er goed aan vroeg uit te zoeken welke autoriteit voor hen leidend is — de bevoegdheidsregels verschillen en er is geen eenloketmechanisme zoals in de AVG.

Wat de Digital Omnibus zou veranderen — en wat nog niet geldt

De Commissie heeft in het Digital-Omnibuspakket wijzigingen van de Data Act voorgesteld. Twee punten zijn relevant voor fabrikanten:

  • Sterkere bescherming van bedrijfsgeheimen. Datahouders zouden toegangsverzoeken makkelijker mogen weigeren wanneer openbaarmaking beschermde kennis zou blootleggen aan ontvangers met een band met derde landen zonder toereikend beschermingsniveau.
  • Engere overheidstoegang. Het ruime kader «uitzonderlijke noodzaak» uit hoofdstuk V zou worden vervangen door een enger regime dat vrijwel uitsluitend aan echte noodsituaties is gekoppeld.

Beslissend voor de planning: het voorstel raakt de kernregels over datatoegang niet en is niet aangenomen. De datum 12 september 2026 staat. Wie de ontwerpplicht uitstelt in de verwachting van versoepeling, stelt haar uit tegen het geldende recht in.

Waar Data Act en digitaal productpaspoort samenkomen

Vier concrete raakpunten:

  1. Productidentiteit. Beide gaan ervan uit dat een apparaat eenduidig identificeerbaar is. Wie de GS1 Digital Link voor het DPP invoert, heeft dezelfde sleutel voor het toewijzen van telemetrie.
  2. Reparatie en onderdelen. Het DPP levert de reparatie-instructie en het onderdeelnummer, de Data Act de foutcode uit het apparaat. Pas samen vormen ze een bruikbaar serviceproces.
  3. Toegangsniveaus. Het DPP werkt met getrapte rechten voor consumenten, autoriteiten en recyclers. De Data Act vraagt vergelijkbaar rechtenbeheer voor de gebruiker en aangewezen derden. Ze apart bouwen betekent twee rechtensystemen voor dezelfde mensen.
  4. Datakwaliteit als knelpunt. De meest voorkomende reden dat beide projecten stranden is dezelfde: productdata verspreid over ERP, PIM, CAD en servicesystemen. Waarom de databasis vóór de interface komt, staat in DPP en PIM.

Zes stappen ter voorbereiding

1. Maak een productinventaris

Zet alle series op een rij die data verkrijgen of doorgeven, ook die alleen via een lokale servicepoort uitleesbaar zijn. Noteer per serie de geplande of feitelijke datum van in de handel brengen. Alles na 12 september 2026 valt onder artikel 3, lid 1.

2. Wijs de rollen toe

Bepaal per serie wie datahouder is en wie gebruiker. Bij lease-, huur- en exploitatiemodellen is dat niet triviaal en vaak contractueel anders geregeld dan de verordening veronderstelt.

3. Classificeer de datavelden

Scheid ruwe en voorbewerkte data van afgeleide resultaten en markeer velden met bedrijfsgeheimen. Zonder die classificatie kunt u niet met zekerheid verstrekken en niet gemotiveerd weigeren.

4. Specificeer de interface

Leg de directe toegangsroute vast: apparaatinterface, lokale API, open exportfunctie. Formaat gestructureerd, gangbaar en machineleesbaar. Documenteer waar directe toegang technisch niet haalbaar is en waarom.

5. Stel de precontractuele informatie op

Eén datablad per productfamilie met de punten uit artikel 3, leden 2 en 3, afgestemd met sales en marketing zodat het de klant daadwerkelijk vóór het sluiten van de overeenkomst bereikt.

6. Trek de contracten na

Controleer leverings-, service- en cloudcontracten op bedingen die datatoegang beperken of onredelijke vergoedingen opleggen. Zulke bedingen binden niet tussen ondernemingen en leveren aansprakelijkheidsrisico op als ze in gebruik blijven.

Vijf fouten die duur uitpakken

  • De Data Act als IT-onderwerp behandelen. Artikel 3, lid 1, is een ontwerpeis. Die hoort in productontwikkeling en in het programma van eisen, niet in een complianceregister.
  • De peildatum aan de verkoop koppelen. Bepalend is het in de handel brengen, niet de levering aan de eindklant.
  • Bedrijfsgeheimen in bulk inroepen. Zonder classificatie per veld en zonder aanbod van beschermingsmaatregelen houdt het argument geen stand.
  • Op de mkb-vrijstelling vertrouwen. Die geldt alleen voor micro- en kleine ondernemingen en vervalt bij concernverband of loonproductie.
  • DPP en Data Act in één datamodel mengen. Statische conformiteitsdata en levende gebruiksdata hebben verschillende actualisatiecycli, ontvangers en bewaarregels.

Veelgestelde vragen

Geldt de Data Act ook voor machines zonder internetverbinding?

Ja, als ze data verzamelen en die via een fysieke verbinding of toegang op het apparaat kunnen doorgeven. Een werktuigmachine waarvan de bedrijfsdata alleen via een lokale servicepoort uitleesbaar zijn, is een verbonden product in de zin van de verordening. Het bredere regelgevingsbeeld in de machinebouw staat in de machineverordening (EU) 2023/1230.

Moet ik producten die al in de handel zijn achteraf aanpassen?

Nee. Artikel 3, lid 1, geldt alleen voor verbonden producten die na 12 september 2026 in de handel worden gebracht. Voor oudere apparaten blijft de toegangsplicht op verzoek uit artikel 4 gelden — die sinds 12 september 2025 van kracht is en eveneens moet worden nagekomen.

Mag ik geld vragen voor datatoegang?

Van de gebruiker niet. Van een door hem aangewezen derde is een vergoeding mogelijk, maar die moet niet-discriminerend en redelijk zijn; tegenover micro- en kleine ondernemingen mag zij de kosten van beschikbaarstelling niet overstijgen.

Wat is het verschil tussen de Data Act en de AVG?

De AVG regelt de verwerking van persoonsgegevens en de rechten van betrokkenen. De Data Act regelt de toegang tot data uit het gebruik van een product, ongeacht of die persoonsgegevens zijn. Zijn ze dat wel, dan geldt de AVG daarnaast en gaat zij bij conflict voor.

Heb ik een digitaal productpaspoort nodig om aan de Data Act te voldoen?

Nee, het zijn losse verplichtingen met losse tijdlijnen. In de praktijk rusten beide op dezelfde basis van eenduidige identificatie en onderhouden productdata, waardoor gezamenlijke invoering voor de hand ligt. Het startpunt staat in de DPP-implementatiechecklist.

Welke sancties gelden er?

Die stellen de lidstaten vast. Ze moeten doeltreffend, evenredig en afschrikkend zijn; zijn persoonsgegevens in het spel, dan kunnen de privacytoezichthouders het AVG-bereik tot 20 miljoen EUR of 4 procent van de wereldwijde jaaromzet toepassen. In Duitsland is de Bundesnetzagentur de coördinerende autoriteit.

Kan myDPP de Data Act-verplichtingen voor mij invullen?

myDPP beheert de productstamdata en het digitaal productpaspoort — de statische kant. De telemetrie uit het apparaat blijft in uw operationele systemen. Wat myDPP bijdraagt is de eenduidige productidentiteit en het datamodel waarmee beide werelden aan hetzelfde product worden gekoppeld; hoe dat op ERP aansluit, beschrijft de ERP-integratiegids.

Verder lezen

Bronnen

Terug naar Kennisbank