EU’s dataforordning er trådt i kraft og skærper virksomheders pligter i hele dataøkosystemet. Kernen er at give brugere – både private og erhverv – bedre adgang til data fra forbundne produkter og relaterede tjenester samt at gøre det lettere at skifte mellem databehandlingstjenester. I Danmark fører Digitaliseringsstyrelsen tilsyn, og manglende efterlevelse kan udløse betydelige bøder på op til 20 mio. euro eller 4 % af den globale omsætning. Forordningen supplerer GDPR, men retter sig også mod data, som ikke nødvendigvis er personoplysninger.
Adgang til data fra forbundne produkter
Forordningen omfatter data, der genereres ved brug af fysiske, forbundne produkter (produktdata) og relaterede tjenester, herunder relevante metadata. Producenter og udbydere skal give brugere adgang til disse data og – efter brugerens instruktion – også give en udpeget tredjepart adgang. Adgangen kan ske direkte via tekniske grænseflader eller indirekte på anmodning og skal muliggøre reel anvendelse af data i praksis.
Data skal stilles til rådighed uden unødig forsinkelse i et almindeligt anvendt, maskinlæsbart format. Det forudsætter klare processer, dokumenterede procedurer og tekniske løsninger, der kan håndtere løbende udlevering. Virksomheder bør samtidig sikre, at adgangsmodellerne respekterer øvrige rettigheder og forpligtelser, herunder tavshedspligt, kontrakter og relevant regulering.
Skift mellem databehandlingstjenester
Udbydere af databehandlingstjenester – fx cloud – skal fjerne tekniske, kommercielle og kontraktuelle barrierer for skift til en anden tjeneste eller udbyder. Formålet er at undgå vendor lock-in. Gebyrer for skift er stramt begrænsede, og fra 12. januar 2027 må skiftegebyrer ikke længere opkræves. Udbyderen skal desuden understøtte interoperabilitet og sikre, at eksport af data og funktionalitet er praktisk gennemførlig.
Kontrakter skal beskrive vilkår for skift, herunder opsigelsesadgang, overgangsperiode, eksport af data og eventuelle begrænsninger, som udbyderen kender. Disse krav skal give forudsigelighed og sikre, at brugeren ikke afskæres fra at udnytte sine rettigheder gennem snævre aftalevilkår eller utilstrækkelig information.
Oplysningspligter, urimelige vilkår og håndhævelse
Sælgere, udlejere og leasinggivere af forbundne produkter samt udbydere af relaterede tjenester har en generel oplysningspligt før aftaleindgåelse. Brugere skal bl.a. informeres om, hvilke data produktet/tjenesten genererer, og hvordan data kan tilgås, hentes og slettes. Udbydere af databehandlingstjenester skal derudover give detaljer om skifteprocedurer, tekniske begrænsninger, dataformater og relevante standarder; visse oplysninger skal fremgå af virksomhedens hjemmeside.
Urimelige B2B-vilkår er ikke bindende, herunder vilkår der fraskriver ansvar for grov uagtsomhed. Tilsynet varetages i Danmark af Digitaliseringsstyrelsen, som kan offentliggøre afgørelser. For at reducere risiko anbefales det at prioritere konkrete compliance-tiltag:
- Kortlæg data- og systemlandskabet og identificér omfanget af forpligtelser.
- Opdater kontrakter med leverandører og kunder i lyset af skift- og oplysningskrav.
- Etabler tekniske grænseflader og processer for rettidig dataudlevering i brugbare formater.
