Data Act

Wat is de Data Act?

De Data Act, Verordening (EU) 2023/2854, is de Europese wet die bepaalt dat gebruikers van verbonden producten, zoals machines, voertuigen en IoT-apparaten, toegang krijgen tot de data die deze producten genereren en die data met derden mogen delen. De wet is sinds 12 september 2025 van toepassing. Voor de industrie betekent dit dat machinedata niet langer automatisch alleen van de fabrikant is: de fabriek die de machine gebruikt, mag die data opvragen en bijvoorbeeld door een onafhankelijke onderhoudspartij laten analyseren.

🗓️ Wanneer geldt de Data Act?

🧠 Welke rechten geeft de Data Act?

• Toegang tot productdata — de gebruiker kan de ruwe en voorbewerkte data van een verbonden product opvragen, kosteloos en in een gangbaar, machineleesbaar formaat
• Delen met derden — de gebruiker kan de fabrikant (data holder) verplichten de data aan een gekozen derde partij te geven, zoals een onderhoudsbedrijf of systeemintegrator
• Transparantie vooraf — vóór aankoop moet duidelijk zijn welke data een product verzamelt en hoe die toegankelijk is
• Overstappen tussen cloudaanbieders — eenvoudiger migreren tussen cloud- en edgediensten, zonder hoge overstapkosten
• Eerlijke contracten — oneerlijke datavoorwaarden die een grotere partij een kleinere oplegt, zijn niet bindend

🏭 Wat betekent de Data Act voor OT en industrie?

Bedrijfsgeheimen blijven beschermd: een fabrikant mag aanvullende maatregelen eisen, en in uitzonderlijke gevallen weigeren, als delen aantoonbaar tot ernstige economische schade leidt.

🔐 Welke security-aandachtspunten zijn er?

Meer data delen betekent meer koppelingen tussen OT, IT en externe partijen. Let daarom op:

• Gecontroleerde koppelvlakken — data via een DMZ of IDMZ naar buiten, nooit door rechtstreekse toegang tot de besturing
• Toegangsbeheer en minimale rechten voor derde partijen
• Risicobeheer van derden voor iedere partij die data ontvangt
• AVG — als machinedata herleidbaar is tot personen, zoals operators, geldt ook de privacywetgeving

🔄 Hoe verhoudt de Data Act zich tot andere wetgeving?

• AVG — beschermt persoonsgegevens; de Data Act gaat over alle productdata, ook niet-persoonlijke
• Cyber Resilience Act — stelt security-eisen aan het product; de Data Act gaat over toegang tot de data
• AI Act — gedeelde machinedata wordt vaak trainingsdata voor industriële AI

🛠️ Hoe gaat u als fabriek of machinebouwer met de Data Act om?

Als fabriek (gebruiker):

1. Breng in kaart welke verbonden machines data naar de leverancier sturen
2. Vraag welke data er wordt verzameld en hoe u er toegang toe krijgt
3. Leg datatoegang vast in nieuwe inkoop- en onderhoudscontracten
4. Bepaal welke derde partijen, zoals een onderhoudsbedrijf of analysepartner, de data mogen ontvangen

Als machinebouwer (data holder):

1. Inventariseer welke product- en servicedata uw machines genereren
2. Ontwerp een standaardinterface voor gebruikers, bijvoorbeeld een OPC UA-server of een exportfunctie
3. Stel de verplichte informatie vóór aankoop op: welke data, welk formaat, hoe vaak
4. Regel een proces voor verzoeken van gebruikers en derden, inclusief bescherming van bedrijfsgeheimen
5. Pas uw contracten aan op de regels tegen oneerlijke voorwaarden

❓ Veelgestelde vragen

Wanneer geldt de Data Act?

De Data Act is sinds 12 september 2025 van toepassing. Sinds die datum hebben gebruikers recht op toegang tot de data van hun verbonden producten. De ontwerpverplichting, dat nieuwe producten die data standaard toegankelijk maken, geldt voor producten die na 12 september 2026 op de markt komen.

Geldt de Data Act ook voor industriële machines?

Ja, de Data Act geldt voor alle verbonden producten die data genereren over hun gebruik of omgeving, ook industriële machines, voertuigen, landbouwmachines en IoT-apparaten. Een fabriek die een verbonden machine gebruikt, heeft recht op de data die deze machine genereert, ook als die data normaal alleen naar de fabrikant gaat.

Mag een fabrikant weigeren data te delen?

Een fabrikant mag het delen van data alleen in uitzonderlijke gevallen weigeren, bijvoorbeeld als delen aantoonbaar tot ernstige economische schade leidt door het prijsgeven van bedrijfsgeheimen, of als het de veiligheid in gevaar brengt. De fabrikant moet die weigering onderbouwen en melden bij de toezichthouder.

Wat is het verschil tussen de Data Act en de AVG?

De AVG beschermt persoonsgegevens en geeft individuen rechten over gegevens die over hen gaan. De Data Act gaat over alle data van verbonden producten, ook niet-persoonlijke machinedata, en regelt wie toegang heeft en met wie die data mag worden gedeeld. Bij persoonsgegevens gelden beide wetten tegelijk.

Moet machinedata gratis worden gedeeld?

De gebruiker zelf krijgt kosteloos toegang tot de data van zijn verbonden product. Als de gebruiker de fabrikant vraagt de data aan een derde partij te leveren, mag de fabrikant daarvoor een redelijke vergoeding vragen. Voor het mkb mag die vergoeding niet hoger zijn dan de werkelijke kosten.

📌 Samengevat

De Data Act geeft gebruikers van verbonden machines en apparaten sinds 12 september 2025 het recht op hun eigen productdata, en verplicht fabrikanten die data op verzoek ook met derden te delen. Nieuwe verbonden producten moeten sinds 12 september 2026 zo zijn ontworpen dat die data standaard toegankelijk is.