11. januar 2024 trådte EUs datalov – forordning (EU) 2023/2854 – i kraft, tjue dager etter at den ble publisert i Den europeiske unions tidende. Forordningen gjelder fra 12. september 2025. Denne lovgivningen pålegger produsenter av tilkoblede produkter og leverandører av relaterte tjenester grunnleggende nye forpliktelser, som påvirker et bredt spekter av sektorer: fra produksjon og energi til helsevesen og bilindustrien. Alle som genererer, behandler eller bruker data i en forretningssammenheng, bør undersøke omfanget av denne lovgivningen i god tid.
Hva regulerer dataloven?
Dataloven er en del av den europeiske datastrategien, som har som mål å styrke Europas konkurranseposisjon i dataøkonomien. Forordningen fastsetter regler for hvem som har tilgang til data generert ved bruk av produkter eller tjenester, og under hvilke betingelser disse dataene må deles. Dette gjelder ikke en generell rett til alle data, men snarere et rammeverk av seks spesifikke klynger: brukertilgang til produkt- og tjenestedata, B2B-deling på rettferdige vilkår, offentlig tilgang ved eksepsjonelt behov, bytting mellom databehandlingstjenester, beskyttelse mot internasjonal myndighetstilgang til ikke-personopplysninger og interoperabilitet.
Forpliktelser for bedrifter: produktdesign
Tilkoblede produkter må utformes og produseres på en slik måte at de genererte dataene som standard er enkelt, sikkert, gratis og i et maskinlesbart format som er direkte tilgjengelig for brukeren. Brukere av tilkoblede produkter – tenk på smarthjemenheter, industrimaskiner eller kjøretøy – får dermed rett til å få tilgang til dataene som deres bruk av produktet genererer. Produsenter og tjenesteleverandører kan ikke lenger beholde disse dataene utelukkende for seg selv.
Det er viktig at denne forpliktelsen trer i kraft gradvis. Selv om dataloven som helhet gjelder fra 12. september 2025, gjelder design- og produksjonsplikten for tilkoblede produkter kun for produkter som bringes på markedet etter 12. september 2026. Eksisterende produkter er derfor ikke dekket ennå.
Rettferdige vilkår i B2B-datadeling
Forordningen inneholder spesifikke regler om kontraktsvilkår i B2B-datakontrakter . Et vilkår som ensidig pålegges av en bedrift på en annen, binder ikke den andre parten dersom det er urimelig. Et vilkår anses å være ensidig pålagt dersom den andre parten, til tross for et forsøk på å forhandle, ikke var i stand til å påvirke innholdet. Bevisbyrden for dette ligger hos den parten som inkluderte vilkåret.
Et vilkår er urimelig dersom bruken av det grovt avviker fra god forretningsskikk og er i strid med god tro og redelig handel. Forordningen gir som eksempler vilkår som utelukker ansvar for forsett eller grov uaktsomhet, hindrer den andre parten i å bruke sine egne data, tillater ensidig oppsigelse med urimelig kort varsel, eller tillater at betydelige pris- eller andre vesentlige endringer kan foretas ensidig. Den rettslige konsekvensen er at det urimelige vilkåret ikke binder den andre parten, mens de gjenværende kontraktsbestemmelsene forblir gjeldende i den grad vilkåret er atskilt.
Samspill med GDPR
Dataloven står side om side med personvernforordningen, men det er et viktig samspill mellom dem. Forordningen dekker også personopplysninger, men løsriver dem ikke fra personvernlovgivningen. Der brukeren ikke er den registrerte hvis personopplysninger det forespurtes, kan disse personopplysningene bare gis der det foreligger et gyldig rettslig grunnlag i henhold til artikkel 6 i GDPR. Dataloven oppretter derfor ikke et frittstående unntak fra GDPR: tilgang til data i henhold til dataloven fritar ikke partene fra deres GDPR-forpliktelser , og gir heller ikke grunnlag for videre oppbevaring eller gjenbruk av de gitte dataene utover formålet de ble innhentet for.
Skyportabilitet og bytte
Et eget kapittel krever at leverandører av databehandlingstjenester gjør det enklere å bytte til en annen leverandør. De kan ikke pålegge noen prekommersielle, kommersielle, tekniske, kontraktsmessige eller organisatoriske hindringer som hindrer kunder i å bytte. Fra 12. januar 2027 kan leverandører av databehandlingstjenester ikke lenger kreve byttegebyrer fra kunder. Selve overføringen av data og konfigurasjoner må skje uten unødig forsinkelse og ikke under noen omstendigheter etter en obligatorisk overgangsperiode på maksimalt tretti dager. For organisasjoner som er sterkt avhengige av én enkelt skyleverandør, gir dette ny forhandlingsevne ved fornyelse eller reforhandling av kontrakter.
Offentlig tilgang i tilfeller av ekstraordinært behov
Forordningen gir offentlige organer muligheten til, under strenge vilkår, å kreve tilgang til private data i tilfeller av ekstraordinært behov – for eksempel i en offentlig nødsituasjon. I så fall er datainnehavere, unntatt mikrobedrifter og små bedrifter, forpliktet til å gjøre nødvendige data tilgjengelige kostnadsfritt. I andre tilfeller av ekstraordinært behov har datainnehaveren rett til rimelig kompensasjon. Denne fullmakten er underlagt vilkårene for proporsjonalitet og subsidiaritet som er fastsatt i forordningen.
Håndheving i Nederland
I Nederland er håndheving nå lovfestet gjennom implementeringsloven av dataloven (Uitvoeringswet dataverordening). Den nederlandske tilsynsmyndigheten for forbrukere og markeder (ACM) er kompetent myndighet for størstedelen av forordningen, inkludert kapitlene om produktdata, B2B-deling og skyportabilitet. Den nederlandske databeskyttelsesmyndigheten (AP) har kompetanse for de personvernsensitive elementene og for behandling av personopplysninger innenfor visse artikler og kapittel V. Begge myndighetene kan iverksette håndhevingstiltak innenfor sitt eget domene ved å ilegge et pålegg som medfører straff eller administrativ bot. Implementeringsloven sørger også for en samarbeids- og informasjonsutvekslingsordning mellom ACM og AP, slik at begge tilsynsmyndighetene kan handle på en koordinert måte i overlappende saker.
Hva betyr dette i praksis?
Bedrifter som utvikler, importerer eller distribuerer tilkoblede produkter, bør nå gjennomgå produktdesign og kontraktsstruktur i henhold til dataloven. For produkter som bringes på markedet etter 12. september 2026 gjelder design- og tilgjengelighetsplikten fullt ut. Tjenesteleverandører som behandler data på vegne av brukere, bør vurdere hvilke datadelingsforpliktelser som gjelder for dem, og om eksisterende avtaler – inkludert ensidig utarbeidede dataklausuler – er i samsvar med dem.
De som venter til håndhevingen starter, risikerer å bli hengende etter. Å tilpasse produkter, tjenester og kontrakter til de nye reglene i god tid handler ikke bare om samsvar , men gir også muligheter: de som tilbyr kundene sine åpenhet og datatilgang skiller seg ut i et marked som er stadig mer kritisk til hvordan selskaper håndterer data.
Har du spørsmål om hva EUs personopplysningslov innebærer for din bedrift eller dine kontrakter? Advokatene hos Law & More hjelper deg gjerne.
Ofte Stilte Spørsmål
Gjelder dataloven allerede for mine eksisterende tilkoblede produkter?
Forordningen gjelder fra 12. september 2025, men forpliktelsen til å designe tilkoblede produkter slik at data er tilgjengelige for brukere gjelder kun for produkter som er brakt på markedet etter 12. september 2026. Eksisterende produkter som allerede var på markedet før denne datoen er ikke dekket ennå. Produsenter og importører bør likevel tilpasse produktutviklingen sin til de nye kravene nå, slik at fremtidige produkter er i samsvar ved markedslansering.
Hva bør jeg gjøre hvis datakontrakten min inneholder klausuler som begrenser tilgangen til data?
I henhold til dataloven kan kontraktsvilkår som er ensidig pålagt og som hindrer den andre parten i å bruke eller utnytte sine egne data, anses som urimelige og derfor ikke-bindende. Det anbefales å få eksisterende datakontrakter gjennomgått for slike klausuler. Bevisbyrden for at et vilkår ikke ble ensidig pålagt, ligger hos den parten som inkluderte det. Tidlig reforhandling er generelt mer effektivt enn å vente til den andre parten påberoper seg forordningen.
Kan jeg dele personopplysninger i henhold til personopplysningsloven uten et rettslig grunnlag i henhold til GDPR?
Nei. Dataloven gir ikke et frittstående grunnlag for utlevering av personopplysninger. Dersom brukeren ikke er den registrerte hvis personopplysninger det forespurtes, kan disse opplysningene bare gis der det foreligger et gyldig rettslig grunnlag i henhold til artikkel 6 i GDPR. Dessuten gir ikke tilgang til data i henhold til dataloven grunnlag for videre oppbevaring eller gjenbruk av de utleverte personopplysningene utover det opprinnelige formålet. Samsvar med GDPR og dataloven må derfor sikres samtidig.
Kan jeg fortsatt kreve byttegebyrer som skytjenesteleverandør?
Fra 12. januar 2027 er det forbudt for leverandører av databehandlingstjenester å kreve byttegebyrer fra kunder. I tillegg kan det fra 12. september 2025 ikke pålegges tekniske, kontraktsmessige eller organisatoriske hindringer som hindrer bytte. Selve dataoverføringen ved bytte må også skje uten unødig forsinkelse og være fullført innen en overgangsperiode på senest tretti dager. Eksisterende kontrakter som inneholder lengre perioder eller byttegebyrer krever en gjennomgang.
Hvilken tilsynsmyndighet er kompetent til å håndheve dataloven i Nederland?
Håndhevingen er delt mellom den nederlandske forbruker- og markedsmyndigheten (ACM) og den nederlandske datatilsynsmyndigheten (AP). ACM har kompetanse for størstedelen av forordningen, inkludert bestemmelsene om produktdata, B2B-deling og skyportabilitet. AP har kompetanse for de personvernsensitive elementene og behandlingen av personopplysninger innenfor visse artikler og kapittel V. Begge myndighetene kan ilegge et pålegg som medfører straff eller administrativ bot. Vanlige forvaltningsrettslige rettsmidler er tilgjengelige mot slike avgjørelser, inkludert innsigelse, anke og midlertidige avgjørelser.
Gjelder dataloven også for små bedrifter?
Forordningen skiller etter bedriftsstørrelse på noen få punkter. For eksempel er mikrobedrifter og små bedrifter unntatt fra forpliktelsen til å gjøre data tilgjengelig gratis i tilfeller av offentlige dataforespørsler i nødstilfeller. I slike tilfeller har de rett til rimelig kompensasjon. For de andre forpliktelsene – inkludert tilgjengelighetsplikten for tilkoblede produkter og rimelighetstesten for B2B-vilkår – finnes det ingen generell unntaksordning for små og mellomstore bedrifter. Mindre leverandører av tilkoblede produkter eller skytjenester må derfor også tilpasse sin virksomhet til forordningen i god tid.
