EU Data Act op Cyprus: verzoeken om apparaatdata

Bepaal het verbonden product, de dienst en de gegevenshouder

Een verbonden product genereert gegevens over zijn gebruik of omgeving en kan die via elektronische communicatie of een fysieke verbinding overdragen. Denk aan een slimme huishoudmachine, wearable of industriële sensor. Een gerelateerde dienst is een digitale functie die bij het product hoort, zoals een app die een apparaat instelt. Een Cypriotische winkel die apparatuur van een andere fabrikant verkoopt, kan verplicht zijn kopers vóór de overeenkomst te informeren zonder zelf sensordata te bezitten. Fabrikant, cloudbeheerder en appaanbieder kunnen ieder een andere rol hebben. Breng eerst hun technische toegang en contractuele positie in kaart voordat één afdeling alle verzoeken moet behandelen.

De gebruiker kan een natuurlijke of rechtspersoon zijn die het product bezit, huurt of leaset of een gerelateerde dienst ontvangt. Gegevenshouder is de partij die op grond van de verordening of ander recht gerechtigd of verplicht is bepaalde gegevens te gebruiken en beschikbaar te stellen. Een apparaat en zijn app kunnen daarom naar verschillende houders van verschillende gegevensstromen wijzen. Documenteer wie sensormetingen, gebeurtenissen in de app, bewaartermijnen en export bestuurt. Dat is ook nodig wanneer een Cypriotische dochter de klantenservice verzorgt maar een groepsmaatschappij in een ander land de technische infrastructuur beheert.

Een Data-Act-verzoek is geen gewoon AVG-inzageverzoek. Een bedrijf kan als gebruiker niet-persoonlijke machinedata opvragen; een persoon kan op grond van privacyrecht persoonsgegevens over zichzelf opvragen. Apparaten kunnen echter ook persoonlijke gegevens genereren, bijvoorbeeld locatiegegevens van een bestuurder. Stuur daarom niet ieder verzoek door naar een AVG-formulier met een standaardtermijn, maar geef evenmin alle historische data vrij omdat iemand eigenaar van de hardware is. Laat de intake het toepasselijke recht benoemen en escaleer gemengde dossiers naar de privacyverantwoordelijke voordat een export wordt gemaakt.

Voor het afzonderlijke recht op inzage in persoonsgegevens leest u de AVG-gids over inzageverzoeken.

Inventariseer ruwe, voorbewerkte en beschikbare gegevens

Hoofdstuk II ziet op productgegevens en gegevens van gerelateerde diensten, inclusief metagegevens die nodig zijn om ze te interpreteren en gebruiken. De Commissie legt uit dat eenvoudig beschikbare ruwe en voorbewerkte gegevens hierbij centraal staan. Metingen van temperatuur, druk, locatie en bedrijfstoestand zijn voorbeelden. Sterk afgeleide analyses en inhoud vallen niet automatisch in dezelfde categorie: een met uitgebreide interpretatie ontwikkelde voorspellingsscore is iets anders dan de sensorwaarden waarop zij berust. Noteer per veld herkomst, bewerkingsniveau, beschikbare toegang, eventuele juridische grenzen en welke beschrijving de ontvanger nodig heeft om het te begrijpen.

Vermijd twee tegengestelde fouten. Houd een ruwe gegevensstroom niet achter enkel omdat zij commerciële waarde heeft of omdat het eigen dashboard een samenvatting tegen betaling aanbiedt. Beloof aan de andere kant niet zomaar ieder eigen modelresultaat, film of softwarebestand dat met een slim apparaat samenhangt. Het voorbeeld van de Commissie onderscheidt helderheidsgegevens van een televisiescherm van de audiovisuele film die erop wordt bekeken. Maak voor engineers een veldindeling met herkenbare voorbeelden en uitzonderingen. Laat juridische medewerkers grensgevallen toetsen aan wettelijke definities in plaats van de interne aanduiding ‘afgeleid’ blind te volgen.

Een bruikbaar gegevensregister bevat productfamilie, model, firmwareversie, sensor of gebeurtenis, meeteenheid, meetinterval, tijdstempel, bewaartermijn, opslagplaats en exportformaat. Hetzelfde woord kan in het toestel en de bijbehorende app verschillende waarden betekenen. Vraagt een gebruiker drie maanden machinegebruik op, dan moet het bestand zo nodig tijdzone, ontbrekende waarden, kalibratie en eenheden verklaren. Artikel 4 noemt relevante metagegevens en de kwaliteit die de gegevenshouder zelf beschikbaar heeft. Een CSV met losse getallen maar zonder veldbeschrijving kan technisch data bevatten en toch praktisch onbruikbaar zijn.

Voor de afzonderlijke toegang tot persoonsgegevens leest u de AVG-gids over inzageverzoeken.

Houd de algemene datum van 2025 en de ontwerpdatum van 2026 uiteen

Artikel 50 bepaalt dat de Dataverordening in het algemeen vanaf 12 september 2025 van toepassing is. De bijzondere verplichting uit artikel 3, lid 1, geldt voor verbonden producten en gerelateerde diensten die na 12 september 2026 in de handel worden gebracht. Voor een apparaat dat in oktober 2026 op de markt komt, moet toegang voor de gebruiker dus al bij ontwerp en productie worden beoordeeld. Een model van vóór die datum en een nieuw model kunnen voor deze specifieke ontwerpplicht anders worden behandeld. De latere datum betekent niet dat de hele verordening of verzoeken onder artikel 4 tot 2026 zijn opgeschort.

Artikel 3 vraagt ook vóór het sluiten van een contract informatie over soort, formaat en geschatte hoeveelheid productgegevens, voortdurende generatie, opslag en manieren om gegevens op te vragen of te wissen. Voor aanbieders van gerelateerde diensten gelden eigen informatiepunten. Vergelijk webwinkel, bestelling, huurovereenkomst en aanmelding in de app met de precies toepasselijke bepalingen. Een algemene privacyverklaring volstaat niet voor informatie over niet-persoonlijke machinegegevens. Ook zakelijke kopers moeten weten welke gegevens hun product maakt en hoe zij die kunnen verkrijgen. Houd daarom een actueel technisch gegevensblad bij dat met firmware en diensten mee verandert.

Test bij nieuw productontwerp of de gebruiker gegevens gemakkelijk, veilig, kosteloos en in een volledig, gestructureerd, algemeen gebruikt en machineleesbaar formaat kan krijgen. Waar relevant en technisch haalbaar, hoort die toegang rechtstreeks mogelijk te zijn. Een afbeelding van een grafiek kan voor mensen leesbaar zijn maar geen bruikbaar gegevensbestand vormen. Een API werkt soms goed voor ontwikkelaars en slecht voor een gewone consument zonder uitleg. Leg authenticatie, metadata, download, ondersteuning en technische beperkingen vast. Beproef de route voor een individuele gebruiker én de afzonderlijke route voor verstrekking aan een derde.

Richt een eenvoudig verzoekproces met veilige controle in

Wanneer de gebruiker geen rechtstreekse toegang heeft, moet de gegevenshouder op grond van artikel 4 eenvoudig beschikbare gegevens en nodige metagegevens zonder onnodige vertraging, gemakkelijk, veilig en kosteloos beschikbaar stellen. Het formaat en de kwaliteit moeten aan de verordening voldoen; waar technisch haalbaar moet een eenvoudig elektronisch verzoek mogelijk zijn. Een intakeformulier kan verzoeker, product, periode, gegevensstroom en gewenste levering vastleggen zonder onnodig naar een commerciële reden te vragen. Controleer bezit, huur of dienstgebruik en voorkom dat data van andere personen uit een gedeeld apparaat bij de verkeerde ontvanger belanden.

Registreer ontvangstdatum, apparaatcode, gegevenskaart, resultaat van de identiteitscontrole, rechtsgrond voor persoonsgegevens, gemaakte export, beveiligingscontrole, aflevering en eventuele weigering. Het dossier moet te koppelen zijn aan de precies geleverde velden. Als bepaalde data ontbreken, onderscheid dan gegevens die nooit werden verzameld, niet eenvoudig beschikbaar zijn of volgens een geldige bewaartermijn zijn verwijderd. Leg de werkelijke oorzaak uit en bied zo mogelijk een beschikbaar alternatief in plaats van een leeg bestand zonder toelichting. Voor onder artikel 4 vallende toegang van de gebruiker mag geen vergoeding worden gevraagd; afzonderlijke afspraken tussen ondernemingen hebben andere regels.

Bij een wagenpark of gedeelde machine moet worden bepaald wie voor welke periode gebruiker in de zin van de Data Act is. Eigenaar, leasenemer, bestuurder en onderhoudsbedrijf kunnen verschillende aanspraken en belangen hebben. Telemetrie kan iemands verplaatsingen onthullen. Een huidige accountaanmelding verleent niet automatisch toegang tot alle ritten van vorige bestuurders. Beperk apparaat en periode tot het gerechtigde bereik en beoordeel persoonlijke velden ook volgens de AVG. Geef supportmedewerkers een escalatieroute voor betwiste rechten, zodat zij niet uit gemak alles vrijgeven of ieder ingewikkeld verzoek ongezien afwijzen.

Identiteitscontrole voor privacyrechten staat afzonderlijk in de AVG-gids voor inzage.

Voer de aanwijzing voor delen met een derde zorgvuldig uit

Artikel 5 geeft de gebruiker onder voorwaarden de mogelijkheid de gegevenshouder te vragen eenvoudig beschikbare gegevens aan een gekozen derde te verstrekken. Een onafhankelijke reparateur of onderhoudsdienst is een praktisch voorbeeld. Bepaalde aangewezen poortwachters onder de Digital Markets Act kunnen geen ontvanger via deze route zijn. Controleer de aanwijzing, de ontvanger, gegevenssoorten en veilige technische overdracht. Wanneer het wettelijke recht op directe verstrekking bestaat, hoeft de gebruiker niet zelf een groot bestand door te sturen. Een openbare downloadlink naar een niet-geverifieerd e-mailadres is echter geen verantwoorde uitvoering.

Documenteer de interface en voorwaarden voor gebruik door de derde, zoals het met de gebruiker overeengekomen doel, privacy, bedrijfsgeheimen en beveiliging. De Dataverordening beperkt bepaalde toepassingen door derden, waaronder het ontwikkelen van een concurrerend verbonden product. Zij verbiedt daarmee niet in het algemeen onafhankelijke dienstverlening bij reparatie of onderhoud. Het dossier vermeldt de keuze van de gebruiker, identiteit van de ontvanger, product, periode en bewijs van aflevering. Als later misbruik wordt gesteld, kan worden nagegaan welke data op grond van welke instructie precies werden gedeeld.

Bij persoonsgegevens vervangt de Data Act geen geldige verwerkingsgrondslag uit de AVG. Wanneer de gebruiker niet zelf de betrokkene is, moeten de voorwaarden voor verstrekking aan een derde afzonderlijk worden gecontroleerd. Een onderneming die auto’s leaset kan bijvoorbeeld niet zonder meer de volledige locatiegeschiedenis van alle bestuurders aan een extern analysebedrijf sturen omdat zij contracthouder is. Breng persoonlijke velden en betrokken mensen in kaart, beoordeel de toegestane overdracht en scheid waar mogelijk niet-persoonlijke machinegegevens. Zo kan een beperkter verzoek soms wel worden afgehandeld zonder rechten van andere personen te schenden.

Pas beveiliging en bedrijfsgeheimen precies toe

De Data Act bevat waarborgen voor productveiligheid, cybersecurity en bedrijfsgeheimen, maar geen algemene uitzondering voor commercieel waardevolle informatie. Artikel 4 laat onder voorwaarden een contractuele beperking toe wanneer toegang, gebruik of verder delen wettelijk vereiste beveiliging zou ondermijnen en de gezondheid of veiligheid van natuurlijke personen ernstig kan schaden. Een weigering op die grond kan kennisgeving aan de bevoegde instantie vergen. Leg de concrete dreiging, gegevensvelden en reden vast waarom een smallere veilige verstrekking niet volstaat. De enkele zin ‘ons beveiligingsbeleid staat export niet toe’ is geen voldoende analyse van de wettelijke uitzondering.

Bedrijfsgeheimen kunnen met afgesproken technische en organisatorische maatregelen worden beschermd. Artikel 5 bevat voor delen met derden bijzondere regels en een uitzonderlijke, per geval te beoordelen weigering bij een zeer waarschijnlijke ernstige economische schade ondanks passende bescherming. Controleer de precieze actuele wettelijke voorwaarden voordat u daarop vertrouwt. Niet alle data van een gepatenteerd apparaat zijn automatisch geheim. Benoem het specifieke geheim, de rechthebbende en de benodigde vertrouwelijkheidsmaatregel. Als slechts een beperkte gegevensgroep gevoelig is, onderzoek of de overige data en metagegevens kunnen worden verstrekt.

Cybersecurity kan rechtmatige toegang mogelijk maken in plaats van haar te blokkeren. Sterke authenticatie, beperkte tokens, versleutelde overdracht, snelheidslimieten en logboeken verkleinen de kans op lekken. Een proces waarin een ontwikkelaar ruwe databasebestanden per e-mail verstuurt is onveilig en moeilijk reproduceerbaar. Test dat de export gegevens van andere gebruikers afschermt, geen apparaatcommando’s mogelijk maakt en de integriteit van het bestand controleert. Noteer echte technische beperkingen voor een continue realtime stroom; de toepasselijke artikelen verbinden zulke toegang uitdrukkelijk aan relevantie en technische haalbaarheid.

Voor een incident met persoonlijke gegevens raadpleegt u de gids over reactie op een AVG-datalek.

Test drie verzoeken rond Cypriotische verbonden producten

Een Cypriotische leverancier van verbonden irrigatieapparatuur ontvangt van een boerderij een verzoek om met tijd gemarkeerde druk- en waterstroommetingen. Een onafhankelijke onderhoudsdienst wil daarmee waterverbruik verbeteren. De leverancier controleert of de boerderij gebruiker is, brengt eenvoudig beschikbare sensorgegevens in kaart en voegt eenheden en tijdstempels toe. De aanwijzing om het bestand met de genoemde derde te delen wordt geverifieerd. Ruwe drukgegevens worden niet achtergehouden omdat het eigen dashboard betaald advies geeft. Een eigen voorspellingsscore wordt evenmin zonder analyse als onderdeel van dezelfde dataset beloofd.

Een verhuurbedrijf vraagt locatiehistorie van zijn volledige vloot verbonden voertuigen. De apparaataanbieder scheidt niet-persoonlijke voertuigtelemetrie van locatiegegevens die individuele bestuurders herkenbaar maken. Hij bevestigt voor welke voertuigen en perioden het bedrijf gebruiker is en legt de persoonlijke gegevens voor aan de privacyverantwoordelijke. Niet elke historische rit wordt vrijgegeven enkel omdat de verhuurder het vlootcontract ondertekende. Als een rechtsgrond verstrekking van bepaalde data toelaat, beperkt de export zich daartoe. Metagegevens verduidelijken tijdzones en ontbrekende waarden zodat de ontvanger de toegestane data juist kan interpreteren.

Een fabrikant brengt na 12 september 2026 een nieuw slim huishoudelijk apparaat in de EU in de handel. De app toont nette grafieken maar biedt geen gestructureerde export; support verzendt alleen schermafbeeldingen. Product- en juridische teams beoordelen artikel 3, lid 1, bouwen een veilige machineleesbare download en beschrijven de relevante velden. Zij passen ook de informatie vóór aankoop over hoeveelheid, opslag en toegang aan. De ontwerpcontrole geldt voor het nieuwe product. Verzoeken volgens artikel 4 over eerder gebruikte apparaten worden daarnaast beoordeeld aan de hand van de daarvoor eenvoudig beschikbare gegevens.

Bewaar per product een controleerbaar Data-Act-dossier

Het dossier bevat een overzicht van rollen, data van product en dienst, regels voor gebruikersverificatie, informatie vóór de overeenkomst, exportformaat, woordenboek van metagegevens, ontwerpbeoordeling volgens artikel 3, verzoekproces volgens artikel 4 en overdracht volgens artikel 5. Voeg privacy-, veiligheids- en geheimhoudingsbesluiten toe. Firmware- of cloudwijzigingen kunnen nieuwe gegevensstromen of bewaartermijnen creëren en horen in het register. Laat iemand zonder interne systeemkennis een proefverzoek doen: vindt die de route, kan die zich aanmelden, begrijpt die het bestand en is een beperking onderbouwd? Een praktische proef legt tekortkomingen bloot die een beleidstekst alleen niet laat zien.

Wijs verantwoordelijken aan bij product, support, informatiebeveiliging, privacy en juridische zaken. De helpdesk moet herkennen of zij een Data-Act-verzoek, een AVG-inzageverzoek of een vraag over overstappen van cloudaanbieder behandelt; de reikwijdte verschilt. Bewaar welke velden werkelijk zijn geleverd en welke technische kwaliteit destijds voor de gegevenshouder beschikbaar was. Bij gedeelde apparaten toont het dossier hoe data van anderen buiten de export bleven. Voor overdracht aan een derde worden aanwijzing en ontvangercontrole vastgelegd. Werk formulieren bij als nieuwe sensoren of gerelateerde diensten verschijnen, niet pas na een moeilijke klacht.

In oktober 2026 ligt een Digital-Omnibusvoorstel voor om delen van de Dataverordening te wijzigen. Zolang het voorstel niet is aangenomen, vervangt het de geldende regels niet. Controleer de actuele EUR-Lex-tekst en richtlijnen van de Commissie voordat weigeringen of productontwerp op een mogelijke toekomstige regel worden gebaseerd. Deze pagina betreft product- en dienstgegevens van verbonden apparaten; regels voor het overstappen tussen cloudaanbieders vereisen een afzonderlijke beoordeling. Het operationele doel is een bruikbaar antwoord waar de gebruiker recht op heeft, met precies gedocumenteerde grenzen voor privacy, geheimen en veiligheid.

Primaire bronnen en toepassingsgebied

Bronnen gecontroleerd: 8 oktober 2026. Deze gids betreft de Republiek Cyprus. Voorbeelden zijn hypothetisch en geen klantendossiers. Controleer de actuele officiële vereisten voordat u een aanvraag indient.

• Verordening (EU) 2023/2854 (Dataverordening), artikelen 3 tot en met 5 en 50
• Europese Commissie: uitleg over de Data Act
• Europese Commissie: toegang tot gegevens van verbonden apparaten
• Commissievoorstel COM(2025) 837, Digital Omnibus

Praktische gidsen over dit onderwerp

• EU Data Act: cloud-switchingvoorwaarden voor Cypriotische SaaS

  Praktische Data Act-checklist voor SaaS- en cloudcontracten: export, opzegging, overgang, ophalen, wissen, interfaces en overstapkosten in 2027.