De EU Data Act is een van de meest ingrijpende stukken technologiewetgeving die Europa sinds de GDPR heeft aangenomen, en er is een deadline die nu al telt. Vanaf 12 september 2026 moeten connected products die op de EU-markt komen zo zijn gebouwd dat de data die ze genereren toegankelijk is voor de mensen die ze gebruiken. Voor iedereen die met locatiedata werkt is dat geen ver-van-je-bed juridische abstractie. Positiedata is precies het soort machinegegenereerde data waar de wet over gaat.
Dit stuk legt uit wat de Data Act is, hoe die verschilt van de GDPR, waarom locatiedata er centraal in staat, en wat het betekent als je producten bouwt met een kaart- of locatie-API.
Wat de Data Act eigenlijk regelt
De Data Act, formeel Regulation (EU) 2023/2854, beantwoordt een simpele vraag die de GDPR niet stelt: wie mag de data gebruiken die een connected product maakt? Jarenlang was het antwoord in de praktijk de fabrikant. Een machine, een voertuig of een sensor genereerde grote hoeveelheden data, en die data vloeide terug naar wie het apparaat had gebouwd, vaak zonder een eenvoudige manier voor de gebruiker om erbij te komen.
De Data Act verandert die standaard. De gebruiker van een connected product, de persoon of het bedrijf dat het kocht of leaset, heeft het recht om de gegenereerde data op te vragen en te delen met een derde partij naar keuze. De fabrikant mag die data niet langer als exclusief bezit behandelen. De wet introduceert ook regels voor eerlijke contractvoorwaarden bij het delen van data, waarborgen tegen oneerlijke clausules die aan kleinere bedrijven worden opgelegd, en verplichtingen die het makkelijker maken om tussen cloud-aanbieders te wisselen.
Cruciaal is dat de wet zowel persoonlijke als niet-persoonlijke data dekt. Dat is het deel dat mensen missen. De GDPR reikt alleen tot data over identificeerbare personen. De Data Act reikt tot de hele stroom die een apparaat produceert, of daarin nu een individu te identificeren is of niet.
Data Act en GDPR: twee wetten, één datastroom
De meest voorkomende verwarring is dat de Data Act de GDPR op de een of andere manier vervangt of verwatert. Dat doet die geen van beide. De twee zijn ontworpen om samen te werken, en ze regelen verschillende dingen.
De GDPR regelt persoonsgegevens: die stelt de voorwaarden waaronder je informatie over identificeerbare personen mag verzamelen, verwerken en delen. De Data Act regelt de toegang tot en portabiliteit van machinegegenereerde data: die verplicht fabrikanten om de data die hun producten maken open te stellen en laat gebruikers ze elders naartoe verplaatsen.
Waar ze elkaar raken, gelden beide. Neem een locatiespoor van een connected voertuig. Het is machinegegenereerd, dus gelden de toegangs- en portabiliteitsregels van de Data Act. Het legt ook de bewegingen van een bestuurder vast, dus is het een persoonsgegeven en geldt de GDPR ook. Een verzoek onder de Data Act overrulet nooit de GDPR: je hebt nog steeds een rechtsgrond nodig, je bent nog steeds de gebruikelijke waarborgen verschuldigd, en je mag persoonsgegevens nog steeds niet op een manier aan een derde geven die de GDPR zou verbieden. De Data Act opent een deur; de GDPR bepaalt nog steeds wie er doorheen mag.
Waarom locatiedata centraal staat
Van alle data die connected products genereren, behoort locatiedata tot de meest waardevolle en de meest gevoelige, en juist daarom is het een bepalende testcase voor de wet.
Connected voertuigen, fleet trackers, bezorghardware, landbouwmachines en talloze IoT-sensoren produceren een continue stroom positiedata. Onder de Data Act heeft de gebruiker van dat product het recht om bij die stroom te komen en die over te dragen naar een dienst die hij verkiest. Een logistiek bedrijf dat andermans telematicahardware gebruikt, kan zijn eigen bewegingsdata in een bruikbare vorm opvragen. Een boer kan machinedata meenemen naar een onafhankelijke analysetool. Een bestuurder kan zijn ritgeschiedenis meenemen.
Voor de teams die deze producten bouwen, verschuiven drie plichten van optioneel naar structureel:
- Standaard toegang. Vanaf september 2026 moet een nieuw connected product zo zijn ontworpen dat de gegenereerde data bereikbaar is zonder een omslachtig, obstructief proces.
- Portabiliteit. Gebruikers kunnen hun data elders naartoe nemen, wat betekent dat die moet vertrekken in een vorm die een ander systeem ook echt kan inlezen.
- Interoperabiliteit. Data die downstream niet te begrijpen is, is niet echt overdraagbaar, dus open formaten en stabiele referenties tellen.
Niets hiervan wordt afgevinkt met een proprietary export die alleen je eigen tools kunnen lezen. Portabiliteit die afhankelijk is van jouw lock-in is geen portabiliteit.
Een product ontwerpen voor de plichten van de Data Act
De drie plichten van de wet, toegang, portabiliteit en interoperabiliteit, vertalen zich in concrete engineeringkeuzes. Doe ze goed terwijl je bouwt en de verplichting kost je bijna niets; bouw ze achteraf in nadat een gebruiker een verzoek heeft ingediend en het kost een hoop.
Bouw het toegangspad voordat iemand erom vraagt. Vanaf september 2026 moet een nieuw connected product zijn gegenereerde data standaard blootstellen, niet via een supportticket en twee weken wachten. Het goedkoopste moment om een schoon, gedocumenteerd endpoint te ontwerpen dat een gebruiker zijn eigen data teruggeeft, is terwijl je de feature bouwt, niet nadat het recht wordt uitgeoefend.
Maak de export echt overdraagbaar. Portabiliteit die alleen je eigen tools kunnen lezen, is geen portabiliteit. Data die je systeem verlaat als GeoJSON, een gedocumenteerde open standaard, voldoet per constructie aan de interoperabiliteitsplicht; een proprietary blob is een klacht die erop wacht ingediend te worden. Open formaten zijn de goedkoopste verzekering die de wet biedt.
Vermijd lock-in op identifiers en geocodes. Wanneer je een adres omzet in coordinaten of een ID aan een plaats hangt, kies dan referenties die een ander systeem kan oplossen, zodat een gebruiker die zijn data naar een concurrent overdraagt niet aankomt met onbruikbare sleutels. Zie Wat Is een Geocode voor waarom de coordinatenlaag hier telt.
Eén ding dat de wet niet beslecht, is welk rechtsgebied de data in de eerste plaats beheerst. Dat is een verwante maar aparte vraag, data sovereignty, en die kun je beter bewust beantwoorden dan bij toeval laten bepalen door waar je API toevallig draait. We behandelen die in Data Sovereignty en Locatiedata.
Hoe MapAtlas bij de Data Act past
De Data Act beloont open, overdraagbare, niet-vergrendelde data, en zo geeft MapAtlas standaard resultaten terug. Onze Geocoding API en Search API geven coordinaten en plaatsen terug in gedocumenteerde open formaten in plaats van een proprietary container, zodat de export die je je gebruikers onder de wet verschuldigd bent iets is dat je al hebt in plaats van iets dat je later moet reverse-engineeren.
Dat maakt naleving niet automatisch. Aan de Data Act voldoe je door hoe je je product ontwerpt, je contracten schrijft en je data beheert, niet door één enkele leverancier. Wat de juiste infrastructuur wel doet, is de retrofit wegnemen: als je locatielaag al open en overdraagbaar is, worden de zwaarste plichten van de wet bij de bron al ingevuld.
Voor de bouwstenen: Wat Is Reverse Geocoding behandelt het terugvertalen van posities naar adressen, Wat Is GeoJSON legt het open formaat uit dat de portabiliteitsplicht triviaal maakt, en onze pagina over GDPR-conforme kaarten laat zien hoe Europese verwerking over het hele platform werkt. De wet is veeleisend, maar voor één keer zijn het compliant pad en het goed-geëngineerde pad dezelfde weg.
Veelgestelde vragen
Wat is de EU Data Act?
De EU Data Act (Regulation (EU) 2023/2854) is een Europese wet die regelt wie toegang heeft tot de data die door connected products en gerelateerde diensten wordt gegenereerd, en wie die mag gebruiken. Het kernidee is dat de data die een apparaat produceert, van een auto, een sensor, een machine of een wearable, toegankelijk hoort te zijn voor de gebruiker die ze heeft gegenereerd, en niet weggesloten door de fabrikant. De meeste bepalingen gelden sinds 12 september 2025, en vanaf 12 september 2026 moeten nieuw op de markt gebrachte connected products zo zijn ontworpen dat deze data standaard toegankelijk is. De wet staat naast de GDPR en vervangt die niet: de GDPR regelt persoonsgegevens, terwijl de Data Act de toegang tot en het delen van zowel persoonlijke als niet-persoonlijke machinegegenereerde data regelt.
Hoe verschilt de EU Data Act van de GDPR?
De GDPR draait om het beschermen van persoonsgegevens: die beperkt hoe je informatie die een persoon identificeert verzamelt, verwerkt en deelt. De Data Act draait om de toegang tot en de portabiliteit van machinegegenereerde data: die verplicht fabrikanten om de data die een connected product maakt beschikbaar te stellen aan de gebruiker, en laat die gebruiker ze delen met derden. Waar de twee elkaar overlappen, bijvoorbeeld bij een locatiespoor dat zowel machinegegenereerd als persoonlijk is, gelden beide wetten tegelijk. De Data Act verzwakt de GDPR niet: een verzoek om data te delen onder de Data Act moet nog steeds de rechtsgronden en waarborgen van de GDPR respecteren.
Wat betekent de EU Data Act voor locatiedata?
Locatiedata is een van de duidelijkste voorbeelden van machinegegenereerde data die onder de wet vallen. Een connected voertuig, een fleet tracker, een bezorgapparaat of een IoT-sensor produceert continu positiedata, en onder de Data Act heeft de gebruiker van dat product het recht om die op te vragen en over te dragen naar een dienst naar keuze. Voor iedereen die locatiefeatures bouwt is het praktische gevolg dat dataportabiliteit en interoperabiliteit geen nice-to-haves meer zijn maar ontwerpvereisten worden. Als een locatiespoor aan een persoon gekoppeld is, is het ook een persoonsgegeven, dus geldt de GDPR er bovenop.
Wanneer treedt de EU Data Act in werking?
De Data Act is in januari 2024 in werking getreden en werd van toepassing op 12 september 2025. Een belangrijke volgende mijlpaal valt op 12 september 2026: connected products en gerelateerde diensten die vanaf die datum op de EU-markt worden gebracht, moeten zo zijn ontworpen dat de data die ze genereren standaard makkelijk, veilig en waar relevant rechtstreeks toegankelijk is voor de gebruiker. Verplichtingen rond cloud-switching en interoperabiliteit worden rond diezelfde periode gefaseerd ingevoerd. De handhaving ligt bij de bevoegde autoriteiten die elke lidstaat aanwijst, dus de precieze boetes verschillen per land.
Hoe kunnen kaart-API's helpen bij het naleven van regionale regels zoals de Data Act?
Een kaart- of locatie-API maakt je niet vanzelf compliant, want naleving hangt af van je productontwerp, je contracten en je datagovernance. Wat de juiste aanbieder wel doet, is frictie wegnemen: een API die locatiequery's binnen de EU verwerkt, data blootstelt in open, overdraagbare formaten zoals GeoJSON en je niet vastzet aan proprietary identifiers, maakt de plichten rond toegang, portabiliteit en interoperabiliteit uit de Data Act veel makkelijker haalbaar, en verlicht tegelijk aangrenzende regionale regels zoals de GDPR. MapAtlas verwerkt locatiedata standaard binnen de EU en geeft resultaten terug in open formaten, waardoor het compliance-oppervlak klein blijft.
