Law360 – Wat te verwachten van de EU-Datagovernanceverordening
Door Alain Strowel, Ophélie Snoy en Solène Festor (21 november 2022)
De Europese datastrategie van 2020 van de Europese Commissie beoogt een EU-datamarkt tot stand te brengen voor zowel persoonsgegevens als niet-persoonsgebonden gegevens, waarbij data worden gepositioneerd als essentieel voor innovatie en de ontwikkeling van artificiële intelligentie.
De Datagovernanceverordening (DGA), op 30 mei aangenomen door het Europees Parlement en de Raad en op 3 juni gepubliceerd als Verordening 2022/868, treedt in werking op 24 september 2023, met uitzondering van de vereisten voor databemiddelingsdiensten, die twee jaar later in werking treden.
Drie hoofddoelstellingen
De DGA behandelt drie kerngebieden:
- het verbeteren van de voorwaarden voor het hergebruik van overheidsgegevens die niet als open data zijn aangemerkt onder de Open Data-richtlijn 2019/1024;
- het vaststellen van kaders voor databemiddelingsdiensten, een nieuwe categorie van digitale tussenpersonen, met inbegrip van meldings- en toezichtsystemen;
- het vastleggen van registratieregels voor organisaties zonder winstoogmerk die gegevens verzamelen voor altruïstische doeleinden.
Verhouding tot bestaande wetgeving
De DGA vormt een aanvulling op — en geen vervanging van — bestaande kaders, waaronder de GDPR, de e-privacyrichtlijnen en de openbaredataregels. “In geval van strijdigheid tussen de DGA en de GDPR heeft de GDPR voorrang,” aldus artikel 1.
Drie reeksen toepasselijke regels
Overheidsinstanties
Overheidsinstanties die over waardevolle gegevens beschikken, moeten toegang verlenen onder “niet-discriminerende, transparante, evenredige en objectief gerechtvaardigde voorwaarden.” Zij kunnen technieken van anonimisering, randomisering of aggregatie toepassen, of toestemming vragen om gevoelige informatie te beschermen en tegelijk hergebruik van gegevens mogelijk te maken.
Overheidsinstanties kunnen de verwerking door de hergebruiker verifiëren, vertrouwelijkheidsovereenkomsten eisen en evenredige vergoedingen aanrekenen, met kortingen voor onderzoek of kmo’s. De lidstaten moeten éénloketinterfaces opzetten die verwijzen naar de beschikbare gegevensbronnen.
Databemiddelingsdiensten
Deze operatoren faciliteren commerciële relaties tussen gegevenshouders en gebruikers via marktplaatsen en pools. Zij moeten:
- onafhankelijke rechtspersonen blijven, gescheiden van andere diensten;
- zich onthouden van het voor andere doeleinden hergebruiken van gedeelde gegevens;
- billijke, niet-discriminerende toegangsvoorwaarden waarborgen;
- vermijden dat bemiddelingsdiensten afhankelijk worden gesteld van het gebruik van andere aanbiedingen;
- interoperabiliteit met concurrerende tussenpersonen garanderen;
- beveiligingsmaatregelen voor niet-persoonsgebonden gegevens invoeren die vergelijkbaar zijn met de GDPR-normen voor persoonsgegevens.
Aanbieders doorlopen nationale meldingsprocedures en kunnen het keurmerk “in de Unie erkende aanbieder van databemiddelingsdiensten” verkrijgen.
Organisaties voor data-altruïsme
Organisaties zonder winstoogmerk kunnen vrijwillig persoonsgegevens en niet-persoonsgebonden gegevens verzamelen voor doeleinden van algemeen belang, zoals gezondheidszorg, klimaatactie of mobiliteitsverbetering. Zij moeten zonder winstoogmerk opereren, onafhankelijk blijven van entiteiten met winstoogmerk, hun altruïsmeactiviteiten functioneel afscheiden en de nog te verschijnen regelboeken van de Commissie naleven.
Doorgifte van niet-persoonsgebonden gegevens
Waarborgen beschermen de rechten met betrekking tot de internationale doorgifte van persoonsgegevens en niet-persoonsgebonden gegevens. Modelcontractbepalingen zouden een passende bescherming in derde landen kunnen certificeren, naar analogie met de kaders voor persoonsgegevens.
Governance en volgende stappen
De lidstaten wijzen bevoegde autoriteiten aan die toezien op de naleving, met mogelijke “doeltreffende, evenredige en afschrikkende boetes.” Het Europees Comité voor gegevensinnovatie staat de Commissie bij in de beleidsontwikkeling en de bevordering van interoperabiliteitsnormen.
De DGA legt de fundamenten voor gegevensgovernance, terwijl de uitdagingen bij de tenuitvoerlegging onzeker blijven, met name wat betreft de nalevingslasten en de verduidelijking van de definitie van bemiddelingsdiensten.