Den 11 januari 2024 trädde EU:s datalag – förordning (EU) 2023/2854 – i kraft, tjugo dagar efter att den offentliggjordes i Europeiska unionens officiella tidning. Förordningen gäller från och med den 12 september 2025. Denna lagstiftning medför grundläggande nya skyldigheter för tillverkare av uppkopplade produkter och leverantörer av relaterade tjänster, vilket påverkar en mängd olika sektorer: från tillverkning och energi till hälso- och sjukvård och fordonsindustrin. Alla som genererar, bearbetar eller använder data i ett affärssammanhang gör klokt i att undersöka tillämpningsområdet för denna lagstiftning i god tid.
Vad reglerar datalagen?
Datalagen är en del av den europeiska datastrategin, som syftar till att stärka Europas konkurrenskraftiga ställning inom dataekonomin. Förordningen anger regler för vem som har tillgång till data som genereras genom användning av produkter eller tjänster, och under vilka villkor dessa data måste delas. Detta handlar inte om en generell rätt till alla data, utan snarare ett ramverk med sex specifika kluster: användaråtkomst till produkt- och tjänstedata, B2B-delning på rättvisa villkor, allmänhetens tillgång vid exceptionella behov, växling mellan databehandlingstjänster, skydd mot internationell statlig åtkomst till icke-personuppgifter och interoperabilitet.
Skyldigheter för företag: produktdesign
Uppkopplade produkter måste utformas och tillverkas på ett sådant sätt att den genererade datan som standard är enkel, säker, kostnadsfri och i ett maskinläsbart format som är direkt tillgänglig för användaren. Användare av uppkopplade produkter – tänk på smarta hemenheter, industrimaskiner eller fordon – förvärvar därmed rätten att få tillgång till den data som deras användning av produkten genererar. Tillverkare och tjänsteleverantörer får inte längre behålla den informationen exklusivt för sig själva.
Det är viktigt att notera att denna skyldighet träder i kraft gradvis. Även om datalagen i sin helhet gäller från och med den 12 september 2025, gäller design- och tillverkningsskyldigheten för uppkopplade produkter endast produkter som släppts ut på marknaden efter den 12 september 2026. Befintliga produkter omfattas därför ännu inte.
Rättvisa villkor vid B2B-datadelning
Förordningen innehåller specifika regler om avtalsvillkor i B2B-dataavtal . Ett villkor som ett företag ensidigt ålägger ett annat är inte bindande för den andra parten om det är oskäligt. Ett villkor anses ha ålagts ensidigt om den andra parten, trots ett försök att förhandla, inte har kunnat påverka dess innehåll. Bevisbördan för detta ligger på den part som har infört villkoret.
Ett villkor är oskäligt om dess användning grovt avviker från god affärssed och strider mot god tro och rättvis handel. Förordningen ger som exempel villkor som utesluter ansvar för uppsåt eller grov oaktsamhet, hindrar den andra parten från att använda sina egna uppgifter, tillåter ensidig uppsägning med orimligt kort varsel eller tillåter att betydande pris- eller andra väsentliga ändringar görs ensidigt. Den rättsliga konsekvensen är att det oskäliga villkoret inte är bindande för den andra parten, medan de återstående avtalsbestämmelserna förblir i kraft i den mån villkoret är avskiljbart.
Samspel med GDPR
Datalagen står i linje med den allmänna dataskyddsförordningen, men det finns ett viktigt samspel mellan dem. Förordningen omfattar även personuppgifter, men skiljer dem inte från dataskyddslagstiftningen. Om användaren inte är den registrerade vars personuppgifter begärs får dessa personuppgifter endast lämnas ut om det finns en giltig rättslig grund enligt artikel 6 i GDPR. Datalagen skapar därför inte ett fristående undantag från GDPR: åtkomst till uppgifter enligt datalagen befriar inte parter från deras skyldigheter enligt GDPR , och ger inte heller någon grund för ytterligare lagring eller återanvändning av de tillhandahållna uppgifterna utöver det syfte för vilket de erhölls.
Molnportabilitet och switching
Ett separat kapitel kräver att leverantörer av databehandlingstjänster ska göra det enklare att byta till en annan leverantör. De får inte införa några förkommersiella, kommersiella, tekniska, avtalsenliga eller organisatoriska hinder som hindrar kunder från att byta. Från och med den 12 januari 2027 får leverantörer av databehandlingstjänster inte längre ta ut några bytesavgifter från kunder. Den faktiska överföringen av data och konfigurationer måste ske utan onödigt dröjsmål och under inga omständigheter efter en obligatorisk övergångsperiod på högst trettio dagar. För organisationer som är starkt beroende av en enda molnleverantör erbjuder detta ny förhandlingskraft vid förnyelse eller omförhandling av avtal.
Allmänhetens tillgång vid exceptionella behov
Förordningen ger offentliga myndigheter möjlighet att, under strikta villkor, kräva tillgång till privata uppgifter i fall av exceptionellt behov – såsom en allmän nödsituation. I så fall är andra datainnehavare än mikroföretag och småföretag skyldiga att göra nödvändiga uppgifter tillgängliga kostnadsfritt. I andra fall av exceptionellt behov har datainnehavaren rätt till skälig ersättning. Denna befogenhet är föremål för de proportionalitets- och subsidiaritetsvillkor som anges i förordningen.
Verkställighet i Nederländerna
I Nederländerna har verkställigheten nu införlivats i lagen genom implementeringslagen av datalagen (Uitvoeringswet dataverordening). Den nederländska myndigheten för konsumenter och marknader (ACM) är behörig myndighet för den största delen av förordningen, inklusive kapitlen om produktdata, B2B-delning och molnportabilitet. Den nederländska dataskyddsmyndigheten (AP) är behörig för de integritetskänsliga delarna och för behandling av personuppgifter inom vissa artiklar och kapitel V. Båda myndigheterna kan vidta verkställighetsåtgärder inom sitt eget område genom att utfärda ett föreläggande som förenas med vite eller administrativa böter. Implementeringslagen föreskriver också ett samarbets- och informationsutbytesavtal mellan ACM och AP, så att båda tillsynsmyndigheterna kan agera på ett samordnat sätt i överlappande frågor.
Vad betyder detta i praktiken?
Företag som utvecklar, importerar eller distribuerar uppkopplade produkter gör klokt i att nu granska sin produktdesign och avtalsstruktur mot datalagen. För produkter som släppts ut på marknaden efter den 12 september 2026 gäller design- och tillgänglighetsskyldigheten fullt ut. Tjänsteleverantörer som behandlar data för användares räkning bör utvärdera vilka datadelningsskyldigheter som gäller för dem och om befintliga avtal – inklusive ensidigt utformade dataklausuler – är i linje med dem.
De som väntar tills verkställigheten har påbörjats riskerar att hamna på efterkälken. Att anpassa produkter, tjänster och avtal till de nya reglerna i god tid handlar inte bara om efterlevnad , utan skapar också möjligheter: de som erbjuder sina kunder transparens och tillgång till data utmärker sig på en marknad som är alltmer kritisk till hur företag hanterar data.
Har du frågor om konsekvenserna av EU:s datalag för ditt företag eller dina avtal? Juristerna på Law & More hjälper dig gärna.
Vanliga frågor om partihandel med mat och dryck
Gäller datalagen redan för mina befintliga uppkopplade produkter?
Förordningen gäller från och med den 12 september 2025, men skyldigheten att utforma uppkopplade produkter så att data är tillgängliga för användare gäller endast produkter som släppts ut på marknaden efter den 12 september 2026. Befintliga produkter som redan fanns på marknaden före det datumet omfattas ännu inte. Tillverkare och importörer gör dock klokt i att anpassa sin produktutveckling till de nya kraven nu, så att framtida produkter uppfyller kraven vid marknadslansering.
Vad ska jag göra om mitt dataavtal innehåller klausuler som begränsar åtkomsten till data?
Enligt datalagen kan avtalsvillkor som ensidigt införts och som hindrar den andra parten från att använda eller utnyttja sina egna uppgifter anses vara oskäliga och därför icke-bindande. Det är lämpligt att låta granska befintliga dataavtal med avseende på sådana klausuler. Bevisbördan för att ett villkor inte ensidigt införts vilar på den part som införde det. Tidig omförhandling är i allmänhet mer effektivt än att vänta tills den andra parten åberopar förordningen.
Får jag dela personuppgifter enligt dataskyddslagen utan rättslig grund enligt GDPR?
Nej. Datalagen ger ingen fristående grund för utlämnande av personuppgifter. Om användaren inte är den registrerade vars personuppgifter begärs får dessa uppgifter endast lämnas ut om det finns en giltig rättslig grund enligt artikel 6 i GDPR. Dessutom ger åtkomst till uppgifter enligt datalagen ingen grund för ytterligare lagring eller återanvändning av de utlämnade personuppgifterna utöver det ursprungliga ändamålet. Efterlevnad av GDPR och efterlevnad av datalagen måste därför säkerställas samtidigt.
Kan jag fortfarande ta ut bytesavgifter som molntjänstleverantör?
Från och med den 12 januari 2027 är det förbjudet för leverantörer av databehandlingstjänster att ta ut bytesavgifter från kunder. Dessutom får inga tekniska, avtalsenliga eller organisatoriska hinder som hindrar byte införas från och med den 12 september 2025. Själva dataöverföringen vid byte måste också ske utan onödigt dröjsmål och vara slutförd senast inom en övergångsperiod på trettio dagar. Befintliga avtal som innehåller längre perioder eller bytesavgifter motiverar en översyn.
Vilken tillsynsmyndighet är behörig att verkställa datalagen i Nederländerna?
Tillämpningen är uppdelad mellan den nederländska myndigheten för konsumenter och marknader (ACM) och den nederländska dataskyddsmyndigheten (AP). ACM är behörig för den största delen av förordningen, inklusive bestämmelserna om produktdata, B2B-delning och molnportabilitet. AP är behörig för de integritetskänsliga aspekterna och behandlingen av personuppgifter inom vissa artiklar och kapitel V. Båda myndigheterna kan utfärda ett föreläggande som förenas med vite eller administrativa böter. De vanliga förvaltningsrättsliga åtgärderna är tillgängliga mot sådana beslut, inklusive invändning, överklagande och interimistiska åtgärder.
Gäller datalagen även småföretag?
Förordningen skiljer på några punkter efter företagsstorlek. Till exempel är mikroföretag och småföretag undantagna från skyldigheten att göra data tillgängliga kostnadsfritt vid offentliga nödförfrågningar; i dessa fall har de rätt till skälig ersättning. För de övriga skyldigheterna – inklusive tillgänglighetsskyldigheten för uppkopplade produkter och rättvisetestet för B2B-villkor – finns det inget generellt undantag för små och medelstora företag. Mindre leverantörer av uppkopplade produkter eller molntjänster måste därför också anpassa sin verksamhet till förordningen i god tid.
