Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202536 733Uitvoering van Verordening (EU) 2023/2854 vanhet Europees Parlement en de Raad van13 december 2023 betreffende geharmoniseerderegels inzake eerlijke toegang tot en eerlijkgebruik van data en tot wijziging vanVerordening (EU) 2017/2394 en Richtlijn (EU)2020/1828 (Dataverordening) (Uitvoeringswetdataverordening)Nr. 3 MEMORIE VAN TOELICHTING I. Algemeen 1. Inleiding Dit wetsvoorstel (hierna: de Uitvoeringswet) strekt tot uitvoering vanverordening (EU) 2023/2854 van het Europees Parlement en de Raad van13 december 2023 betreffende geharmoniseerde regels inzake eerlijketoegang tot en eerlijk gebruik van data en tot wijziging van Verordening(EU) 2017/2394 en Richtlijn (EU) 2020/1828 (Dataverordening) (hierna: deverordening of de Dataverordening).De verordening is van toepassing vanaf 12 september 2025 en moet danuitvoerbaar zijn in Nederland door middel van wet- en regelgeving offeitelijk handelen. De verordening is alleen van toepassing op hetgrondgebied van Nederland binnen de Europese Unie en heeft geengevolgen voor Bonaire, Sint-Eustatius en Saba.De beleidsverantwoordelijkheid voor de onderwerpen uit de verordeningen de Uitvoeringswet ligt bij de Minister van Economische Zaken, deStaatssecretaris voor Rechtsbescherming en de Staatssecretaris vanBinnenlandse Zaken en Koninkrijksrelaties. In paragraaf vier wordt hiernader op ingegaan.In paragraaf twee wordt de Nederlandse en Europese beleidscontextgeschetst. In paragraaf drie worden de hoofdlijnen van de verordeninguiteengezet. In paragraaf vier wordt nader ingegaan op het onderhavigewetsvoorstel. In paragraaf vijf wordt stilgestaan bij de verhouding totander recht. In paragraaf zes worden de gevolgen, zoals voor regeldruk,beschreven. In paragraaf zeven wordt ingegaan op de evaluatie van deverordening. In paragraaf acht worden de uitkomsten van de toetsen enconsultaties gedeeld. In paragraaf negen wordt ingegaan op de inwerking-treding en het overgangsrecht. In de bijlage is een transponeringstabelopgenomen. kst-36733-3ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 31 2. Beleidscontext Gegevens zijn steeds belangrijker in onze economie en maatschappij. DeNederlandse Kabinetsvisie op datadeling tussen bedrijven (2019)1 stelt dathet delen van gegevens tussen bedrijven maatschappelijke en econo-mische kansen biedt. De visie schetst ook verschillende redenen waarompartijen gegevens nu nog niet willen, kunnen of mogen delen, waaronderpotentiële marktmacht als gevolg van dataconcentraties en een gebrekaan onderling vertrouwen. Het kabinet heeft drie uitgangspunten voorbeleidsontwikkeling gericht op datadeling tussen bedrijven benoemd:datadeling is bij voorkeur vrijwillig, datadeling komt zo nodig verplicht totstand en burgers en bedrijven houden grip op hun gegevens.Ook in de Nederlandse Strategie Digitale Economie2 (SDE; 2022) isaandacht voor de noodzaak om op een nieuwe en bewuste manier om tegaan met het gebruik van gegevens. De verordening draagt in lijn met deNederlandse inzet in de SDE bij aan het gebruik van gegevens doormiddelgrote en kleine bedrijven (mkb), biedt nieuwe mogelijkheden totinnovatie en draagt bij aan een eerlijkere, transparantere markt voorgegevens waarin consumenten en bedrijven meer grip hebben op hungegevens en het gebruik ervan. Vertrouwen hebben in de digitale werelden regie hebben op het digitale leven zijn bovendien twee kernwaarden inde Werkagenda Waardengedreven Digitaliseren (2022). Het toeganghebben tot gegevens is van essentieel belang om regie te hebben. Waarhet gaat om datadeling moet dat op een verantwoorde manier gebeuren,waarbij de burger zelf grip kan houden op zijn of haar gegevens en debescherming van persoonsgegevens geborgd is.Reeds in de Verordening voor het vrije verkeer van niet-persoons-gebonden gegevens (Verordening (EU) 2018/1807, in het Engels ook welbekend als de Free Flow of Data Regulation)3 werd verwezen naar, eenkader voor zelfregulering van gegevensportabiliteit tussen gegevensver-werkingsdiensten (art. 6), naast een verbod op ongerechtvaardigdegegevenslokalisatievereisten. De Europese Commissie (hierna:Commissie) werd hierin verplicht gedragscodes met de sector op testellen waarin contractuele modelbepalingen staan. Dit heeft geleid tot deSwitching and Porting (SWIPO) gedragscodes. Dit heeft de ongelijkemarktmacht in de cloudmarkt echter niet afdoende verholpen.De Commissie heeft in 2020 een Europese Datastrategie gepubliceerd. DeCommissie stelt dat gegevens een groot potentieel hebben. Door het(her)gebruik en beheer van gegevens te verbeteren kunnen onderne-mingen economische waarde creëren en bijdragen aan maatschappelijkevraagstukken zoals verduurzaming, mobiliteit of gezondheidszorg. Erworden door de Commissie verschillende uitdagingen geconstateerd: deversnippering van gegevens tussen lidstaten, beperkte beschikbaarheidvan gegevens voor (her)gebruik en ongelijke marktmacht in de gegevens-en cloudmarkt.In de strategie schetst de Commissie een toekomstvisie voor éénEuropese gegevensmarkt, waar gezamenlijke regels en effectievehandhaving ervoor zorgen dat gegevens binnen de EU en tussen sectorenkunnen stromen en waar de regels over datatoegang, datakwaliteit endatagebruik eerlijk, praktisch en duidelijk zijn. Hiermee verbindt destrategie de bescherming van fundamentele rechten zoals privacy en1Kamerstukken II 2018/19, 26 643, nr. 594.2Kamerstukken II 2022/23, 26 643, nr. 941.3Verordening (EU) 2018/1807 van het Europees Parlement en de Raad van 14 november 2018inzake een kader voor het vrije verkeer van niet-persoonsgebonden gegevens in de EuropeseUnie (PbEU 2018, L 303).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 32 gegevensbescherming, veiligheid en ethische normen met de bevorderingvan waardecreatie uit gegevens.Om deze visie te verwezenlijken worden gemeenschappelijke Europesedataruimten opgezet om het betrouwbaar en veilig delen van data ineconomisch strategische sectoren te vergemakkelijken. De EU biedtfinanciële ondersteuning voor deze sector- en domeinspecifieke datadeeli-nitiatieven en de werkzaamheden op het gebied van standaarden eninteroperabiliteit.Onzekerheid over de rechten en plichten met betrekking tot gegevensstaan het gebruik van gegevens in het belang van de samenleving in deweg. Daarom heeft de Commissie voorstellen gedaan voor een Datag-overnanceverordening en een Dataverordening. De Europese regels overprivacy, gegevensbescherming en mededinging worden volledig in achtgenomen. De Algemene Verordening Gegevensbescherming4 (hierna:AVG) is voor privacy en gegevensbescherming een belangrijke pijler. Inparagraaf vijf wordt hier verder op ingegaan.In aanloop naar de publicatie van de verordening heeft het kabinet in eennon-paper5 aangegeven wat de verordening zou moeten bereiken, waarbijvoortgebouwd is op de uitgangspunten uit de Kabinetsvisie op datadelentussen bedrijven. Het non-paper stelt dat een beperkte groep bedrijvengegevens verzamelt en hier waarde mee creëert. Personen en organisatiesdie door het gebruik van een product of dienst bijdragen aan de creatievan gegevens hebben vaak geen toegang tot zulke «co-gegenereerde»gegevens. Het non-paper stelt daarom dat personen en organisaties meercontrole moeten krijgen over het gebruik van co-gegenereerde gegevenszodat ook zij kunnen profiteren van de waarde van deze gegevens. Hetbevorderen van de portabiliteit (het overdragen van gegevens van het enenaar het andere systeem) en interoperabiliteit (dat verschillende systementechnisch in staat zijn samen te werken, bijvoorbeeld om gegevens tedelen) van gegevens en applicaties, met name bij dataverwerkings-diensten, is van groot belang. Dit zou ook de concurrentie en innovatie bijdatagedreven producten en diensten moeten bevorderen. In lijn met dekabinetsinzet versterkt het voorstel de controle van gebruikers vanproducten en diensten over hun gegevens. Ook vergroot het voorstel deconcurrentie, keuzevrijheid en interoperabiliteit in de markt voor cloud-diensten. Daarmee stimuleert het voorstel de data-economie en draagt hetbij aan het gelijkwaardiger verdelen van de waarde van data.3. Dataverordening De verordening heeft tot doel om geharmoniseerde regels voor eeneerlijke toegang tot en eerlijk gebruik van gegevens vast te stellen. Hetbegrip «gegevens» is gedefinieerd als elke digitale weergave vanhandelingen, feiten of informatie en elke samenstelling van zulkehandelingen, feiten of informatie, ook in de vorm van geluids-, visuele ofaudiovisuele opnames (artikel 2, onderdeel 1, van de verordening). Hetbegrip «gegevens» heeft zowel betrekking op persoonsgegevens als opniet-persoonsgebonden gegevens. De Commissie heeft geconstateerd dateen aantal factoren de Europese economie momenteel verhindert omgegevens ten volle te benutten. Belangrijke knelpunten zijn onder anderehet gebrek aan duidelijkheid over wie gebruik mag maken van gegevens4Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betref-fende de bescherming van natuurlijke personen in verband met de verwerking van persoons-gegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119).5Kamerstukken II 2021/22, 21501–33, nr. 875.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 33 van met het internet verbonden producten (ook wel «slimme producten»of «internet-of-things producten» genoemd) en het feit dat als gevolg vanongelijke marktmacht mkb vaak geen evenwichtige data-uitwisselings-contracten met sterkere marktspelers kunnen sluiten. Bovendien zijn er inde interne markt obstakels om over te stappen naar concurrerende enbetrouwbare dataverwerkingsdiensten en beperkte mogelijkheden omgegevens uit verschillende sectoren te combineren. Dit heeft invloed opdiverse economische sectoren en leidt ertoe dat gegevens in de EU teweinig worden benut, met negatieve gevolgen voor de keuzevrijheid vanconsumenten, innovatie en openbare dienstverlening. De verordeningbeoogt obstakels voor de toegang tot gegevens weg te nemen en derechten om gegevens te gebruiken evenwichtiger te verdelen, zowel voorprivate als publieke partijen. Dit stimuleert het gebruik van gegevens,door de controle die bedrijven en consumenten over hun gegevenshebben op evenwichtige wijze te organiseren.In het effectbeoordelingsverslag zijn door de Europese Commissiealternatieve maatregelen onderzocht.6 Een minimale interventie met nietbindende maatregelen bestaande uit het ondersteunen van goedevoorbeelden en zelfregulering werd niet afdoende geacht om efficiëntereen eerlijke datatoegang en gebruik tot stand te brengen.Een optie om verdergaande maatregelen te nemen, bijvoorbeeld doortechnische eisen, zou substantieel hogere kosten voor datahoudersopleveren en investeringen in verbonden producten negatief beïnvloeden.Om ervoor te zorgen dat deze regels datadelen in de hele Unie mogelijkmaken zonder al te grote belemmeringen voor de interne markt, en deregels en het toezicht in de interne markt uniform zijn, is er gekozen vooreen verordening. Zoals beschreven in overweging 4 bij de verordening,voorziet de verordening in volledige harmonisatie. Dit betekent dat hetlidstaten niet is toegestaan om aanvullende regels op te nemen in hunnationale recht die binnen het toepassingsgebied van de verordeningvallen.De verordening beoogt een kader te stellen voor onder andere devolgende situaties, met verschillende reikwijdtes, actoren, soortengegevens en type maatregelen (zie ook artikel 1 van de verordening):•het beschikbaar stellen van productgegevens en gegevens vangerelateerde diensten aan de gebruiker van het verbonden product ofgerelateerde dienst (hoofdstuk II);•het beschikbaar stellen van gegevens door gegevenshouders aangegevensontvangers (hoofdstuk III);•oneerlijke contractuele bedingen met betrekking tot de toegang tot enhet gebruik van gegevens tussen ondernemingen (hoofdstuk IV);•het beschikbaar stellen van gegevens door gegevenshouders aanoverheidsinstanties, de Commissie, de Europese Centrale Bank enorganen van de Unie, indien er sprake is van een uitzonderlijkenoodzaak aan die gegevens voor de uitvoering van een specifieke taakin het algemeen belang (hoofdstuk V);•het vergemakkelijken van het overstappen tussen dataverwerkings-diensten (hoofdstuk VI);•het invoeren van waarborgen tegen ongeoorloofde toegang vanderden tot niet-persoonsgebonden gegevens (hoofdstuk VII);•de ontwikkeling van interoperabiliteitsnormen voor dataruimten,dataverwerkingsdiensten en slimme contracten (hoofdstuk VIII).6Effectbeoordelingsverslag en ondersteunende studies bij het voorstel voor een dataveror-dening | Shaping Europe’s digital future (europa.eu).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 34 Deze hoofdstukken worden hierna verder toegelicht. Hoofdstuk I overalgemene bepalingen bevat artikelen over het onderwerp, toepassings-gebied en de definities uit de verordening en wordt niet apart behandeld.Waar nodig wordt de inhoud van dit hoofdstuk besproken bij de anderehoofdstukken waar het mee samenhangt. Hoofdstuk XI over slotbepa-lingen bevat onder meer artikelen met betrekking tot overgangsrecht,evaluatie en inwerkingtreding. Die onderwerpen komen terug inparagrafen 7 en 9 van het algemeen deel van deze memorie vantoelichting.3.1 Delen van gegevens tussen bedrijven en consumenten en tussenbedrijven onderling Hoofdstuk II van de verordening reguleert het gebruik van gegevens diedoor (het gebruik van) verbonden producten of gerelateerde dienstenworden gegenereerd. De gegevens die verbonden producten genererenkunnen op verschillende manieren van waarde zijn. De aanbieder van eenproduct kan de gegevens bijvoorbeeld gebruiken om het product zelf teverbeteren. De gebruiker van een product of dienst kan de gegevensgebruiken om inzichten over het eigen handelen of de omgeving op tedoen. Aanbieders van een product en derde partijen kunnen de gegevensgebruiken om aftermarketdiensten, zoals onderhoud en reparatie, ofandere diensten aan te bieden.Betrokken partijenOm gegevensdeling uit verbonden producten en gerelateerde diensten tefaciliteren definieert de verordening verschillende rollen: gebruikers,aanbieders, gegevenshouders en derde partijen. De gebruiker is denatuurlijke of rechtspersoon die een verbonden product in eigendomheeft, huurt of leaset, of die gerelateerde diensten ontvangt (artikel 2,onderdeel 12, van de verordening). De aanbieder is de verkoper,verhuurder of leasegever, en in voorkomend geval tevens de fabrikant,van een verbonden product of de leverancier van een gerelateerde dienst.De gegevenshouder is de natuurlijke of rechtspersoon die, overeen-komstig de verordening of ander Unie- of nationaal recht, het recht of deverplichting heeft om gegevens te gebruiken en ter beschikking te stellen(artikel 2, onderdeel 13, van de verordening). In de praktijk kan deaanbieder van het product of dienst ook de gegevenshouder zijn metbetrekking tot de gegenereerde gegevens, maar het kan ook een anderepartij zijn die gegevenshouder is van die gegevens. Derde partijen zijn denatuurlijke of rechtspersonen aan wie op verzoek van de gebruikergegevens beschikbaar worden gesteld door de gegevenshouder. Dit kanbijvoorbeeld een monteur zijn die toegang tot gegevens uit een auto krijgtvoor onderhoudswerkzaamheden.Verbonden producten en gerelateerde dienstenHoofdstuk II heeft betrekking op verbonden producten en gerelateerdediensten. Onder verbonden producten worden producten verstaan diegegevens over hun prestaties, gebruik of omgeving genereren ofverzamelen, bijvoorbeeld door middel van een sensor, en deze gegevensvia een netwerk kunnen communiceren (artikel 2, onderdeel 5, van deverordening). Een breed scala aan producten kan hieronder vallen;consumentengoederen zoals koelkasten, en horloges, medischeapparatuur en industriële machines. Voor diverse productgroepen wordthet in toenemende mate de norm dat ze verbonden producten zijn.Bijvoorbeeld voor thermostaten is het steeds gebruikelijker dat zegegevens verzamelen en communiceren over onder andere temperatuuren energieverbruik. Voor productgroepen zoals voertuigen en landbouw-Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 35 apparatuur geldt ook dat ze steeds vaker als verbonden producten wordengeproduceerd en aangeboden. Producten die hoofdzakelijk gegevensopslaan, verwerken of doorgeven namens anderen dan de gebruiker,zoals servers, vallen niet onder het begrip «verbonden producten».Gerelateerde diensten zijn diensten, zoals software, die noodzakelijk zijnvoor een product om één of meer van zijn functies uit te voeren (artikel 2,onderdeel 6, van de verordening). Dit kan bijvoorbeeld het besturings-systeem van een verbonden product zijn. Ook virtuele assistenten vallenonder dit hoofdstuk, maar alleen wanneer zij interacteren met eenverbonden product of gerelateerde dienst. Gegevens die virtueleassistenten genereren die niets te maken hebben met het gebruik van eenverbonden product of gerelateerde dienst vallen niet onder dit hoofdstuk.Om de administratieve lasten voor het mkb te beperken is dit hoofdstukniet van toepassing op de gegevens uit verbonden producten en dienstendie door micro- of kleine bedrijven7 worden gemaakt of geleverd (artikel 7van de verordening). Middelgrote ondernemingen8 krijgen bovendien tijdom hun producten of diensten aan de verordening aan te passen. Hiertoeis in het eerste jaar dat bedrijven kwalificeren als middelgrote onderne-mingen de verordening niet van toepassing op gegevens gegenereerddoor het gebruik van verbonden producten die zij maken en gerelateerdediensten die zij verlenen. Ook vallen producten die middelgrote onderne-mingen maken in het eerste jaar dat zij in de markt zijn geplaatst buiten detoepassing van de verordening.Reikwijdte gegevensHoofdstuk II heeft betrekking op de gegevens die worden gegenereerddoor het gebruik van het verbonden product en de gerelateerde dienst.Hieronder vallen zowel gegevens die de gebruiker bewust registreert alsalle gegevens die het product als gevolg van het gebruik registreert(artikel 2, onderdelen 15 en 16, van de verordening). Voorbeelden hiervanzijn gegevens die sensoren registreren en gegevens die door interactiemet de gebruikersinterface worden geregistreerd. Via verbondenproducten kunnen in sommige gevallen ook niet-gerelateerde diensten ofapps, waaronder onlinediensten of videodiensten, worden geraadpleegden tekst-, audio- of audiovisuele inhoud worden gecreëerd of afgespeeld.Deze inhoud, die vaak wordt beschermd door intellectuele eigendoms-rechten, en de gegevens gecreëerd door het gebruik van niet-gerelateerdediensten vallen niet onder deze verordening. Voor een smartphone vallenbijvoorbeeld de gegevens over het gebruik van het product zelf zoals debatterij en GPS wel binnen hoofdstuk II, maar de gegevens gegenereerddoor het gebruik van een tekstverwerkapplicatie, internetbrowser en eenvideostreamingdienst niet.Verplichtingen van de verschillende betrokken partijenAanbieders van producten of diensten hebben vaak toegang tot degegenereerde gegevens en kunnen deze binnen de kaders van de wetgebruiken of delen. Gebruikers van verbonden producten of diensten zijnafhankelijk van de aanbieder of gegevenshouder voor toegang tot degegenereerde gegevens. Hierdoor hebben ze vaak maar beperkt toegangtot de gegevens, terwijl zij door hun gebruik wel bijdragen aan de creatiehiervan. Om te verzekeren dat gebruikers toegang tot gegevens kunnenkrijgen en verlenen moeten gegevens die verbonden producten genererengemakkelijk, veilig en kosteloos toegankelijk zijn voor de gebruiker. Indien7Zoals aangemerkt in artikel 3 van de bijlage bij Aanbeveling 2003/361/EG.8Zoals aangemerkt in artikel 3 van de bijlage bij Aanbeveling 2003/361/EG.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 36 mogelijk moet directe toegang tot de gegevens worden gefaciliteerd(bijvoorbeeld via het display van het product). Als dat niet mogelijk ofhaalbaar is dan moet de gegevenshouder gegevens op een andere maniergemakkelijk en kosteloos beschikbaar maken voor de gebruiker (bijvoor-beeld via een (web)applicatie) (artikel 4, eerste lid, van de verordening).Gegevenshouders hoeven alleen «eenvoudig beschikbare gegevens»beschikbaar te stellen, gegevens waar zij zelf toegang toe hebben of meteen eenvoudige handeling toegang toe kunnen verkrijgen.Om te verzekeren dat de gegevens bruikbaar zijn voor gebruikers en derdepartijen wordt de gegevenshouder geacht toegang te geven tot gegevensmet dezelfde kwaliteit als de gegevenshouder zelf heeft. De gegevensmoeten in primaire, maar bruikbare vorm beschikbaar worden. Hiermeegaat het om ruwe gegevens, inclusief metagegevens, die automatischworden gegenereerd en eventueel zijn voorbewerkt om ze begrijpelijk enbruikbaar te maken, bijvoorbeeld door ze te sorteren of om te zetten ineen eenheid als graden Celsius of kilometers. Wanneer de gegevens-houder boven op het voorbewerken van gegevens extra investeringendoet om nieuwe waarden of inzichten aan gegevens te koppelen valt dezeinformatie buiten de reikwijdte van hoofdstuk II. Deze informatie hoeft dusniet verplicht te worden gedeeld. Dit gaat met name om informatie diewordt opgedaan door de toepassing van complexe, eventueel doorintellectuele eigendomsrechten beschermde, algoritmen.Daarnaast verplicht de verordening aanbieders van zowel verbondenproducten als gerelateerde diensten om voordat zij een product of dienstverkopen, leasen of verhuren aan bepaalde transparantieverplichtingen tevoldoen (artikel 3, tweede en derde lid, van de verordening). Aanbiedersmoeten onder andere aan gebruikers communiceren welke gegevens eenproduct of dienst kan genereren en hoe gebruikers deze gegevens kunnenraadplegen. De gegevenshouder, de partij die controle heeft over detoegang tot gegevens, moet vervolgens de gebruiker en derde partijen opverzoek van de gebruiker toegang tot de gegevens verlenen.Gebruikers van een verbonden product of gerelateerde dienst zijn metdeze bepalingen verzekerd van eenvoudige en kosteloze toegang tot degegevens die door hun gebruik worden gegenereerd en de mogelijkheiddeze gegevens te delen met derde partijen. De verordening verplicht degegevenshouder om te voldoen aan een verzoek van de gebruiker om degegevens rechtsreeks aan een derde te verstrekken (artikel 5, eerste lid,van de verordening). Gebruikers kunnen eveneens de gegevens die zij zelfverkrijgen vervolgens delen met derden, ook voor commerciëledoeleinden (zie overweging 26 bij de verordening). Dit geeft gebruikerscontrole over het gebruik van de gegevens uit hun producten en stelt ze instaat de gegevens te gebruiken op een voor hun waardevolle manier. Zozou de gebruiker van een landbouwapparaat gegevens moeten kunnendelen met een partij naar keuze voor onderhoud of reparatie en kan degebruiker van een industriële machine de door de machine gegeneerdegegevens gebruiken om haar bedrijfsprocessen te (laten) optimaliseren.Hiermee beoogt de verordening ook de innovatie en concurrentie bijaftermarketdiensten en de ontwikkeling van nieuwe diensten die gebruikmaken van productgegevens te stimuleren.Ondernemingen die onder de Digitalemarktenverordening (hierna: DMA)als poortwachter zijn aangewezen mogen onder dit onderdeel van deverordening niet als derde partij gegevens ontvangen (artikel 5, derde lid,van de verordening). De relatie tot de DMA wordt nader toegelicht inparagraaf 5.2 van deze memorie van toelichting.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 37 Beschermen van rechten en belangen van betrokken partijenOm gegevensdeling uit verbonden producten te faciliteren is hetbelangrijk dat alle betrokken partijen erop kunnen vertrouwen dat hunrechten en belangen ten aanzien van de informatie die uit gegevens kanworden verkregen geborgd zijn. De verordening bevat daarom verschil-lende bepalingen om de rechten en belangen van de betrokken partijen teborgen.Sommige verbonden producten of gerelateerde diensten zullen op basisvan hun gebruik persoonsgegevens genereren over de gebruiker ofderden (bijvoorbeeld huisgenoten). In zulke gevallen is het belangrijk datde gegevensbeschermingsrechten van de betreffende betrokkene in de zinvan de AVG geborgd blijven, zeker als het datasubject niet de gebruikerzelf is. De verordening doet geen enkele afbreuk aan het nationale enEuropese gegevensbeschermingsrecht (artikelen 1, vijfde lid, en 5,dertiende lid, van de verordening; zie ook paragraaf 5.1 van deze memorievan toelichting). Elke verwerking van persoonsgegevens onder deverordening moet onverminderd voldoen aan alle relevante gegevensbe-schermingswetgeving. Het recht van de gebruiker om gegevens te delenmet derde partijen mag dus ook geen afbreuk doen aan de gegevensbe-schermingsrechten van anderen. Derde partijen mogen de gegevens diezij verkrijgen ook niet gebruiken voor profilering in de zin van de AVG(artikel 6, tweede lid, onderdeel b, van de verordening).Gebruikers kunnen behalve rechten als betrokkenen ook andere rechtenen belangen hebben. De gegevens die verbonden producten en gerela-teerde diensten genereren kunnen inzicht geven in de economischesituatie of het gedrag van de gebruiker. Daarom moet het geven vantoegang tot gegevens onder hoofdstuk II net zo makkelijk zijn als hetintrekken van deze toegang. Ook mogen gegevenshouders en derdepartijen de beschikbare gegevens niet gebruiken om inzichten in deeconomische situatie van de gebruiker te verwerven of om de commer-ciële positie van de gebruiker te ondermijnen (artikelen 4, dertiende enveertiende lid, en 5, zesde lid, van de verordening). De gebruiker en dederde partij waaraan hij de gegevens verstrekt, mogen op hun beurt degegevens niet gebruiken om een concurrerend product te ontwikkelen ofinzicht te krijgen in de economische situatie van de aanbieder of degegevenshouder en mogen geen dwangmiddelen gebruiken of misbruikvan de technische infrastructuur van de gegevenshouder (artikelen 4,tiende en elfde lid, en 5, vijfde lid, 6, tweede lid, onderdeel e, van deverordening).De aan gebruikers of door de gebruiker gekozen derden gegevens kunnenin aanmerking komen voor bescherming als bedrijfsgeheim. Debescherming uit hoofde van de Richtlijn bescherming bedrijfsgeheimenblijft echter verzekerd. Hierdoor kunnen gegevenshouders en aanbiedersvan verbonden producten en gerelateerde diensten erop vertrouwen dathun bedrijfsgeheimen gewaarborgd blijven en hun economische positieniet onevenredig wordt geschaad. Gegevens die bedrijfsgeheimenbevatten, mogen bovendien alleen worden gedeeld als de gegevens-houder en de gebruiker, of de door de gebruiker gekozen derde partij,vóór het delen alle noodzakelijke maatregelen nemen om de vertrouwe-lijkheid ervan te waarborgen, met name ten aanzien van derden (artikelen4, zesde lid, en 5, negende lid, van de verordening). Wanneer hierovergeen overeenstemming bestaat dan kan een gegevenshouder de toegangtot de betreffende gegevens weigeren of opschorten (artikelen 4, zevendelid, en 5, tiende lid, van de verordening). Bovendien kan, maar alleen inuitzonderlijke omstandigheden, wanneer de houder van de gegevens kanaantonen dat het zeer waarschijnlijk is dat hij/zij ernstige economischeTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 38 schade zal lijden door de openbaarmaking van bedrijfsgeheimen ondanksdergelijke technische en organisatorische maatregelen, van geval totgeval een verzoek om toegang tot de specifieke gegevens in kwestieworden geweigerd (artikelen 4, achtste lid, en 5, elfde lid, van deverordening).Gebruikers en gegevenshouders kunnen daarnaast contractueel bepalendat de toegang tot, het gebruik of het verder delen van gegevens door degebruiker wordt beperkt of verboden. Dit kan alleen als de beveiligingsver-eisten van het product door die toegang, gebruik of het delen vangegevens zouden kunnen worden ondermijnd met ernstige gevolgen voorde gezondheid of veiligheid van personen (artikel 4, tweede lid, van deverordening).Artikel 6 van de verordening bevat verplichtingen voor de derde partij diegegevens verkrijgt van de gegevenshouder na een verzoek van degebruiker op grond van artikel 5, eerste lid, van de verordening. Hij magde gegevens alleen gebruiken voor de doeleinden en onder devoorwaarden die hij overeengekomen is met de gebruiker (artikel 6, eerstelid, van de verordening). Ook mag hij de gebruiker niet manipuleren in zijnkeuze om zijn gegevens te delen, de gegevens niet delen met derdentenzij overeengekomen met de gebruiker en mag hij gebruikers diekwalificeren als consumenten niet verhinderen om de gegevens metandere derde partijen te delen (artikel 6, tweede lid, van de verordening).Hoofdstuk II van de verordening bevat verschillende bepalingen die hetvoor de verschillende partijen mogelijk maken juridische stappen te zettenbij een inbreuk van de verordening en voor bevoegde autoriteiten omtoezicht op de naleving te houden. Zo moeten eventuele beperkingen vande toegang tot gegevens door de gegevenshouder worden gemeld aan debevoegde autoriteit (artikelen 4, tweede en achtste lid, en 5, elfde lid, vande verordening). Gebruikers kunnen dan een klacht indienen bij debevoegde autoriteit, als zij een geschil met de gegevenshouder hebbenover zulke beperkingen van de toegang tot gegevens. Als een gegevens-houder beperkingen of verboden toepast die niet aan de eisen van deartikelen 4, tweede of zevende of achtste lid, of 5, tiende of elfde lid, vande verordening voldoen, dan handelt hij in strijd met de verplichting omgegevens toegankelijk te maken voor de gebruiker (artikel 3, eerste lid,van de verordening). De bevoegde autoriteit kan dan handhavendoptreden. Deze mogelijkheid om een klacht over niet-naleving in te dienenbestaat in aanvulling op de mogelijkheid om een vordering in te stellen bijde civiele rechter of om het geschil voor te leggen aan een geschillenbe-slechtingsorgaan. Voor de mogelijkheid van civielrechtelijke handhavingis bovendien van belang dat op grond van artikel 7, tweede lid, van deverordening contractuele bepalingen niet bindend zijn, als zij detoepassing van de rechten van de gebruiker op grond van dit hoofdstukbeperken. Zie hierover paragraaf 5.5 van deze memorie van toelichting.3.2 Verplichtingen voor gegevenshouders die krachtens het Unierechtverplicht zijn gegevens beschikbaar te stellen aan ondernemingen Aanvullend op de specifieke regels voor gegevensdeling uit verbondenproducten en gerelateerde diensten (hoofdstuk II van de verordening) legthoofdstuk III van de verordening een horizontaal kader vast voorsituaties waarin ondernemingen door de Europese of nationale regel-geving worden verplicht gegevens te delen met andere ondernemingen.Dit hoofdstuk heeft ook betrekking op de verplichting aan gegevens-houders om gegevens met derde partijen te delen onder hoofdstuk II(artikel 5, eerste lid) van de verordening. Duidelijke en eerlijkevoorwaarden zijn belangrijk om te zorgen dat zulke verplichtingen ook inTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 39 de praktijk tot de gewenste gegevensdeling leiden. Hoofdstuk III legtdaarom op hoofdlijnen vast onder welke voorwaarden ondernemingengegevens beschikbaar moeten stellen. Op grond van artikel 8, eerste lid,van de verordening moeten de gegevenshouder en de gegevensont-vanger voorwaarden overeenkomen voor het delen van gegevens.Gegevenshouders moeten gegevens altijd onder eerlijke,niet-discriminerende en redelijke voorwaarden beschikbaar stellen.Artikel 8, tweede lid, van de verordening bepaalt in aanvulling daaropwelke contractuele voorwaarden niet bindend zijn. Daarbij gaat het omcontractuele voorwaarden over de toegang tot en het gebruik vangegevens en voorwaarden over de aansprakelijkheid en remedies voor deinbreuk op gegevensgerelateerde bedingen en de beëindiging daarvan.Deze voorwaarden zijn niet bindend als zij oneerlijk zijn in de zin vanartikel 13 van deze verordening (zie hieronder paragraaf 3.3 van dezememorie van toelichting). Ook zijn contractuele bedingen niet bindend alsze de rechten van een gebruiker op grond van hoofdstuk II van deverordening uitsluiten of daarvan afwijken.De gevolgen van het niet-bindend zijn van een contractuele voorwaardeworden beheerst door het toepasselijke overeenkomstenrecht (ziehierover paragraaf 5.5 van deze memorie van toelichting). Contractuelebedingen die niet bindend zijn op grond van artikel 8, tweede lid, van deverordening zijn ook niet toegestaan op grond van artikel 8, eerste lid, vande verordening.Ook mag de gegevenshouder niet discrimineren tussen verschillende(groepen) ondernemingen waar hij gegevens mee deelt (artikel 8, derdelid, van de verordening). Op verzoek van een gegevensontvanger moet degegevenshouder zonder uitstel onderbouwen waarom er geen sprake isvan discriminatie. Een gegevenshouder stelt gegevens niet terbeschikking aan een gegevensontvanger, tenzij de gebruiker met heeftverzocht dat te doen (artikel 8, vierde lid, van de verordening). Gegevens-houders en gegevensontvangers zijn niet verplicht om informatie teverstrekken die niet nodig is om aan hun wettelijke verplichtingen of aande overeengekomen contractuele voorwaarden te voldoen (artikel 8, vijfdelid, van de verordening). Een verplichting om gegevens te delen houdtniet in dat ook bedrijfsgeheimen openbaar worden gemaakt, tenzij andersbepaald in de geldende wetgeving (artikel 8, zesde lid, van de veror-dening). Zo bevat hoofdstuk II van de verordening bijzondere regels overde omgang met bedrijfsgeheimen bij gegevensdeling uit verbondenproducten en gerelateerde diensten (artikelen 4, zesde lid, en 5, negendelid, van de verordening).Daarnaast legt het hoofdstuk vast dat gegevenshouders beschermings-maatregelen, zoals encryptie, mogen treffen om ongeoorloofde toegangtot gegevens te voorkomen en naleving van de overeengekomenvoorwaarden te waarborgen (artikel 11, eerste lid, van de verordening). Degegevensontvanger of derden moeten dan zonder uitstel voldoen aan deverzoeken van een gegevenshouder (artikel 11, tweede lid, van deverordening). Hiervan is alleen sprake als de ontvanger of derde degegevens met misleidende of dwangmiddelen heeft verkregen, als degegevens voor ongeoorloofde doeleinden gebruikt of onrechtmatig aanderden verstrekt of als de overeengekomen voorwaarden of bescher-mingsmaatregelen niet of onvoldoende zijn nageleefd (artikel 11, derdelid, van de verordening). Het verzoek van de gegevenshouder kaninhouden het wissen van de verstrekte gegevens, het beëindigen van hetproduceren en op de markt brengen van goederen of diensten en hetontvangen van een schadevergoeding (artikel 11, tweede lid, onderdelen atot en met d, van de verordening). Op grond van artikel 11, vijfde lid, vande verordening kunnen ook gebruikers dergelijke verzoeken doen aanTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 310 gegevensontvangers en derden, indien sprake is van een overtreding vanartikel 6, tweede lid, onderdelen a en b, van de verordening. Dit betreft hetverbod voor derden om gebruikers te manipuleren in hun keuze omgegevens met hen te laten delen en het verbod om ontvangen gegevenste gebruiken voor profilering in de zin van de AVG.Vergoeding voor gegevenshoudersHet beschikbaar stellen van gegevens kan kosten met zich meebrengenvoor gegevenshouders. Daarom mogen gegevenshouders een redelijkeen niet-discriminerende vergoeding overeenkomen met de gegevensont-vanger voor het beschikbaar stellen van gegevens (artikel 9, eerste lid, vande verordening). De vergoeding mag niet worden opgevat als betalingvoor de gegevens zelf. Om te voorkomen dat gegevenshouders oneven-redig hoge vergoedingen vragen voor het voldoen aan een wettelijkeverplichting specificeert de verordening wat wordt verstaan onder eenredelijke vergoeding.Een redelijke vergoeding kan bestaan uit de kosten die zijn gemaakt voorhet beschikbaar stellen van de gegevens, bijvoorbeeld voor het omzettennaar een bruikbaar format of het onderhouden van een applicatie omtoegang tot de gegevens te geven. Daarnaast kan de vergoedingeventueel een marge bevatten afhankelijk van de kosten en investeringendie zijn gemaakt voor het verzamelen van de gegevens en de mate waarinandere partijen hebben bijgedragen aan de creatie van de gegevens.Wanneer gegevens bijvoorbeeld zijn gegenereerd door acties van eengebruiker van een verbonden product en de gegevenshouder geenaanzienlijke aanvullende investeringen heeft gedaan om de gegevens teverzamelen kan de marge beperkt of zelfs uitgesloten zijn. Wanneer degegevensontvanger een mkb9 of een onderzoeksorganisatie zonderwinstoogmerk is mag de redelijke vergoeding alleen de kosten voor hetbeschikbaar stellen van de gegevens omvatten (artikel 9, vierde lid, van deverordening).GeschillenbeslechtingOver de voorwaarden waaronder gegevens beschikbaar worden gestelddoor gegevenshouders en het weigeren, tegenhouden of opschorten vanhet delen van gegevens op grond van een bedrijfsgeheim kunnengeschillen ontstaan tussen gegevenshouders, gegevensontvangers engebruikers. De verordening regelt dat in een aantal situaties de gebruikerof derde met de gegevenshouder overeen kan komen de zaak voor teleggen aan een voor de verordening gecertificeerd geschillenbeslech-tingsorgaan. Naast geschillenbeslechting heeft de gebruiker of derde ookde mogelijkheid om een klacht in te dienen bij de bevoegde autoriteit ofom het geschil aan de civiele rechter voor te leggen. Ook na geschillenbe-slechting is het mogelijk om naar de rechter te gaan (artikel 10, dertiendelid, verordening).De verordening voorziet in een rol van gecertificeerde geschillenbeslech-tingsorganen bij geschillen over de weigering van de gegevenshouder totgegevensdeling uit verbonden producten en gerelateerde diensten(artikelen 4, derde en negende lid, en 5, twaalfde lid, verordening). Ookkunnen geschillen met betrekking tot de naleving van de verplichtingenmet betrekking tot eerlijke, redelijke en niet-discriminerende voorwaardenvoor verplichte gegevensdeling op grond van hoofdstukken III en IV vande verordening aan geschillenbeslechtingsorganen worden voorgelegd.Tot slot kunnen klanten en aanbieders van dataverwerkingsdiensten9Zoals aangemerkt in artikel 3 van de bijlage bij Aanbeveling 2003/361/EG.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 311 geschillen over de naleving van de verplichtingen over het overstappentussen dataverwerkingsdiensten voorleggen aan een geschillenbeslech-tingsorgaan (artikel 10, vierde lid, van de verordening). Deze verplich-tingen zijn vastgelegd in hoofdstuk VI van de verordening en wordennader toegelicht in paragraaf 3.5 van deze memorie van toelichting.Lidstaten certificeren in hun lidstaat gevestigde organisaties als geschil-lenbeslechtingsorgaan als zij voldoen aan de in de verordening vastge-legde criteria, waaronder eisen van onafhankelijkheid en deskundigheid(artikel 10, vijfde lid, van de verordening). Gecertificeerde geschillenbe-slechtingsorganen moeten aan een aantal eisen voldoen. Zo moet eengeschillenbeslechtingsorgaan een verzoek om beslechting van een geschildat al voor een ander geschillenbeslechtingsorgaan of een rechterlijkeinstantie is gebracht weigeren (artikel 10, zevende lid, van de veror-dening). Ook moeten geschillenbeslechtingsorganen onafhankelijk endeskundig zijn, binnen 90 dagen na ontvangst van het verzoek schriftelijken gemotiveerd uitspraak doen, partijen redelijkerwijs de mogelijkheidgeven hun standpunten aan te dragen en jaarlijkse activiteitenverslagenopenbaar maken. Uitspraken van geschillenbeslechtingsorganen zijnalleen bindend als alle partijen vooraf hebben ingestemd met hetbindende karakter van de uitspraken.Zoals in overweging 55 van de verordening aangegeven moetengeschillenbeslechtingsorganen om uniforme toepassing van de veror-dening te waarborgen rekening houden met (door de Commissie teontwikkelen en aan te bevelen) niet-bindende modelcontractvoorwaardenen met Unie- of nationaal recht waarin de gegevensdelingsverplichtingenworden gespecificeerd of richtsnoeren van sectorale autoriteiten voor detoepassing van dat recht. Het staat lidstaten vrij om in het nationale rechtregels te stellen voor de certificeringsprocedure, waaronder over hetverstrijken of intrekken van de certificering.3.3 Oneerlijke contractuele bedingen met betrekking tot de toegang tot enhet gebruik van gegevens tussen ondernemingen Hoofdstuk IV van de verordening specificeert wanneer contractuelevoorwaarden in overeenkomsten tussen bedrijven met betrekking tot detoegang tot en het gebruik van gegevens oneerlijk zijn. Net als hoofdstukIII van de verordening is dit een horizontaal kader. Hoofdstuk III van deverordening heeft echter betrekking op contractuele verhoudingen tussenondernemingen waarbij er een plicht tot gegevensdeling bestaat, terwijlhoofdstuk IV van de verordening betrekking heeft op alle contractueleverhoudingen tussen ondernemingen die betrekking hebben op het delenen gebruiken van gegevens.Bedrijven, met name kleinere bedrijven, zijn vanwege verschillen inmachtsposities niet altijd in staat de inhoud van contracten tebeïnvloeden. Daardoor accepteren bedrijven, wanneer zij dienstenafnemen, soms ongunstige contractvoorwaarden met betrekking tot detoegang en het gebruik van gegevens, bijvoorbeeld dat ze gegevens die zeverstrekken zelf niet mogen gebruiken. Om het opleggen van zulkeoneerlijke contractvoorwaarden tegen te gaan stelt de verordening datalle oneerlijke contractvoorwaarden met betrekking tot de toegang tot enhet gebruik van gegevens die eenzijdig zijn opgelegd niet bindend zijnvoor de onderneming aan wie de voorwaarden zijn opgelegd (artikel 13,eerste lid, van de verordening).Artikel 13, derde lid, van de verordening bepaalt dat een contractuelevoorwaarde in algemene zin oneerlijk is indien het gebruik ervan sterkafwijkt van goede handelspraktijken bij het delen en gebruiken vanTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 312 gegevens en daarmee in strijd is met de goede trouw en eerlijke behan-deling. In aanvulling hierop geeft de verordening een lijst met contrac-tuele voorwaarden die in elk geval oneerlijk zijn (artikel 13, vierde lid, vande verordening) en een lijst met voorwaarden die worden geacht oneerlijkzijn (artikel 13, vijfde lid, van de verordening). Het hoofdstuk is vantoepassing op alle eenzijdig opgelegde contractvoorwaarden. Eencontractuele voorwaarde wordt gezien als eenzijdig opgelegd wanneereen partij geen invloed op de inhoud ervan heeft gehad ondanks eenpoging erover te onderhandelen (artikel 13, zesde lid, van de veror-dening). De partij die de contractuele voorwaarde heeft laten opnemenmoet bewijzen dat deze niet eenzijdig is opgelegd.3.4 Gegevens beschikbaar stellen aan overheidsinstanties enEU-instellingen op grond van uitzonderlijke behoefte Hoofdstuk V van de verordening gaat over situaties waarin overheidsin-stanties en EU-instellingen (hierna: overheidsinstanties) een «uitzonder-lijke noodzaak» hebben om bepaalde gegevens van rechtspersonen diegeen overheidsinstanties zijn, zoals bedrijven of stichtingen, te gebruikenom hun wettelijke taak van algemeen belang uit te voeren. De veror-dening beoogt te voorkomen dat overheidsinstanties in onvoorzienesituaties door een gebrek aan gegevens worden belemmerd in hetuitvoeren van hun wettelijke taak van algemeen belang. Daartoe creëertdit hoofdstuk een kader waarbinnen gegevenshouders in die situaties van«uitzonderlijke noodzaak» bepaalde gegevens aan overheidsinstantiesmoeten verstrekken. Overheidsinstanties kunnen binnen dit hoofdstukgeen gegevens opvragen voor strafrechtelijke of bestuursrechtelijkerechtshandhavingsdoeleinden (artikel 16, tweede lid, van de verordening).Een uitzonderlijke noodzaak om bepaalde gegevens te gebruiken wordtbepaald door specifieke omstandigheden en is altijd beperkt in tijd enreikwijdte (artikel 15, eerste lid, van de verordening). Er zijn tweeomstandigheden waarin een overheidsinstantie een uitzonderlijkenoodzaak kan hebben om gegevens te gebruiken om hun wettelijke taakvan algemeen belang uit te voeren. De eerste situatie is wanneer eenoverheidsinstantie bepaalde gegevens nodig heeft voor het reageren opeen algemene noodsituatie en de overheidsinstantie deze gegevens nietop een andere manier, en in gelijkwaardige omstandigheden, tijdig endoeltreffend kan verkrijgen (artikel 15, eerste lid, onderdeel a, van deverordening). De overheidsinstantie moet aantonen dat er geen anderemanier was de gegevens tijdig te verkrijgen, bijvoorbeeld via vrijwilligedatadeling of een specifiek datadelingsmechanisme zoals de aankomendeEuropese ruimte voor gezondheidsgegevens. Of er sprake is van eennoodsituatie wordt bepaald of verklaard overeenkomstig het Unie- ofnationaal recht en relevante procedures (zie paragraaf 5.7 van hetalgemeen deel van de toelichting). Denk hierbij aan noodsituaties op hetgebied van volksgezondheid, grote natuurrampen, zoals bosbranden, ofdoor de mens veroorzaakte rampen, zoals cyberincidenten. In dezesituaties mogen alleen persoonsgegevens in gepseudonimiseerde vormworden opgevraagd als wordt aangetoond dat het gebruik vanniet-persoonsgebonden gegevens niet voldoet aan de uitzonderlijkenoodzaak (artikel 17, tweede lid, onderdeel e, van de verordening).Daarnaast moeten er maatregelen worden vastgesteld om de gegevens tebeschermen (artikel 19, eerste lid, onderdeel b, van de verordening). Degegevensverwerking moet zowel in lijn met de eisen uit de Dataveror-dening als in lijn met de AVG en ander Unierecht en nationaal recht terbescherming van persoonsgegevens en de persoonlijke levenssfeerplaatsvinden. Voor de verwerking van gezondheidsgegevens geldt dat ditbijzondere persoonsgegevens zijn in de zin van de AVG en dat zij daarmeeextra bescherming genieten.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 313 De tweede situatie waarin sprake is van een uitzonderlijke noodzaak iswanneer het ontbreken van de specifieke gegevens een overheidsinstantieervan weerhoudt een wettelijke taak van algemeen belang te vervullen(artikel 15, eerste lid, onderdeel b, van de verordening). Hierbij valt tedenken aan het opstellen van officiële statistieken of beperking van ofherstel na een algemene noodsituatie. In deze situaties kan een overheids-instantie alleen gegevens opvragen als het alle andere manieren om degegevens tijdig te verkrijgen heeft uitgeput. De gegevens moeten dus nietverkregen kunnen worden door bijvoorbeeld vrijwillige overeenkomsten,het aankopen van de gegevens op de markt, het vaststellen van nieuwewetgeving die de tijdige beschikbaarheid van gegevens mogelijk maakt ofdoor een beroep te doen op reeds bestaande verplichtingen. In dezesituatie van uitzonderlijke noodzaak mogen overheidsinstanties alleenniet-persoonsgebonden gegevens opvragen.Alleen wanneer aan de hierboven genoemde voorwaarden voor eenuitzonderlijke noodzaak is voldaan, kan een publieke instantie een verzoekdoen om gegevens op te vragen. Deze verzoeken moeten aan strikte eisenvoldoen. Zo moeten overheidsinstanties in hun verzoeken duidelijkonderbouwen welke gegevens ze nodig hebben voor welk doel en hierbijde proportionaliteit van het verzoek, gegevensbeschermingswaarborgenen de belangen van alle betrokkenen in acht nemen. Wanneer eengegevenshouder van mening is dat door het doorgeven of beschikbaar-stellen van gegevens zijn rechten uit dit hoofdstuk zijn geschonden,bijvoorbeeld wanneer hij van oordeel is dat een verzoek een verwerkingvan persoonsgegevens in strijd met de AVG op zou leveren, kan hij eenklacht indienen bij de bevoegde autoriteit (artikel 17, vijfde lid, van deverordening).De overheidsinstantie moet het verzoek delen met de datacoördinator10 inde lidstaat waar de verzoekende overheidsinstantie is gevestigd (artikel17, tweede lid, onderdeel g, van de verordening). De datacoördinatormaakt alle verzoeken online openbaar, tenzij dit een risico voor deopenbare veiligheid oplevert. EU-instellingen zullen hun verzoek zelfonline openbaar maken en de Commissie hierover informeren (artikel 17,tweede lid, onderdeel h en laatste volzin, van de verordening). Indien eenverzoek persoonsgegevens omvat moet de overheidsinstantie degegevensbeschermingsautoriteit in de lidstaat waar de gegevenshouder isgevestigd informeren (artikel 17, tweede lid, onderdeel i, van de veror-dening).Dataverzoek weigeren of wijzigenEen gegevenshouder die een verzoek ontvangt, stelt de gegevens zospoedig mogelijk ter beschikking. De gegevenshouder het verzoekafwijzen of verzoeken tot wijziging van het verzoek wanneer er gegronderedenen zijn om twijfelen aan de rechtmatigheid van het verzoek, degegevenshouder geen zeggenschap heeft over de gevraagde gegevens ofeen soortgelijk verzoek al eerder is ingediend (artikel 18, tweede lid, vande verordening). Bij openbare noodsituaties dient dit binnen vijfwerkdagen te gebeuren en bij andere situaties van uitzonderlijke behoeftebinnen 30 werkdagen. Wanneer een verzoek strijd met de AVG zouopleveren, dan moet de gegevenshouder gebruik maken van dezebevoegdheid, gezien de eigen verantwoordelijkheid van de gegevens-houder om bij een verstrekking van persoonsgegevens te voldoen aan deAVG, waaronder het hebben van een geldige grondslag.10De datacoördinator is de autoriteit die onder de verordening verantwoordelijk is voor desamenwerking tussen de verschillende bevoegde toezichthouders (zie paragraaf 3.9).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 314 Het is aan de overheidsinstantie of EU-instelling om de weigering of hetverzoek tot wijziging te beoordelen. De instantie of instelling kan deweigering accepteren of de gevraagde wijzigingen doorvoeren en eenaangepast verzoek doen. Is de instantie of de instelling het niet eens metde weigering of de voorgestelde wijziging, dan kan zij de zaak voorleggenaan de door de lidstaat aangewezen bevoegde autoriteit in de lidstaatwaar de gegevenshouder gevestigd is (artikel 18, vijfde lid, van deverordening). Ook een gegevenshouder die een verzoek wenst aan tevechten, kan de zaak aan de bevoegde autoriteit voorleggen. De bevoegdeautoriteiten hebben op grond van artikel 37, vijfde lid, onderdeel j, van deverordening de taak om de verzoeken om gegevens uit hoofde vanhoofdstuk V van de verordening te onderzoeken.VergoedingIn situaties waarbij overheidsinstanties of EU-instellingen gegevens nodighebben voor het reageren op een openbare noodsituatie stellengegevenshouders, met uitzondering van het mkb11, de gevraagdegegevens kosteloos ter beschikking (artikel 20, eerste lid, van de veror-dening).In situaties waarbij overheidsinstanties gegevens nodig hebben voor hetvervullen van een specifieke taak, in een situatie waarin sprake is van eenuitzonderlijke behoefte of wanneer het ontbreken van de specifiekegegevens een overheidsinstantie ervan weerhoudt een wettelijke taak vanalgemeen belang te vervullen, heeft de gegevenshouder recht op eeneerlijke vergoeding. Deze vergoeding dekt de technische en organisato-rische kosten. Ook mag een redelijke marge in rekening gebracht worden.Op verzoek van de overheidsinstantie verstrekt de gegevenshouderinformatie over de berekening van de kosten en de redelijke marge (artikel20, tweede lid, van de verordening). Wanneer overheidsinstanties ofEU-instellingen het niet eens zijn met de hoogte van de gevraagdevergoeding, kunnen zij een klacht indienen bij de bevoegde autoriteit in delidstaat waar de gegevenshouder gevestigd is.Wetenschappelijk onderzoek en statistiekEen overheidsinstantie mag de beschikbaar gestelde gegevens delen metpersonen en organisaties voor wetenschappelijk onderzoek in lijn met hetdoel waarvoor de gegevens zijn opgevraagd. Ook mogen door overheids-instanties gegevens worden gedeeld met nationale statistiekbureaus enEurostat voor de productie van officiële statistieken, wanneer zij daaromverzoeken ter uitvoering van Europese statistiekverordeningen. Zodra eenoverheidsinstantie het voornemen heeft gegevens te delen met onder-zoekers, de nationale statistiekbureaus of Eurostat, informeert zij degegevenshouder van wie het gegevens heeft ontvangen hierover. Indiende gegevenshouder het niet eens is met de beschikbaarstelling vangegevens, kan hij een klacht indienen bij de bevoegde autoriteit in delidstaat waar hij is gevestigd.Grensoverschrijdende verzoekenWanneer een overheidsinstantie of EU-instelling voornemens is omgegevens op te vragen bij een gegevenshouder die in een andere lidstaatis gevestigd of wanneer een EU-instelling voornemens is gegevens op tevragen bij een gegevenshouder, informeert zij eerst de bevoegdeautoriteit van die lidstaat, die het verzoek vervolgens onderzoekt (artikel22, derde lid, van de verordening). De bevoegde autoriteit onderzoekt het11Zoals aangemerkt in artikel 3 van de bijlage bij Aanbeveling 2003/361/EG.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 315 verzoek en kan het vervolgens doorsturen naar de gegevenshouder ofgemotiveerd afwijzen. De verzoekende overheidsinstantie of EU-instellingmoet rekening houden met deze motivatie alvorens verdere maatregelente nemen zoals het opnieuw indienen van het verzoek (artikel 22, vierdelid, tweede alinea, van de verordening). Deze verplichting geldt zowelvoor verzoeken van niet-persoonsgebonden gegevens als persoonsge-gevens.3.5 Het vergemakkelijken van overstappen tussen dataverwerkings-diensten De bepalingen uit de verordening met betrekking op dataverwerkings-diensten, ook wel clouddiensten genoemd, staan zowel in hoofdstuk VI alshoofdstuk VIII van de verordening. In deze paragraaf van de toelichtingwordt dan ook op beide hoofstukken ingegaan.Hoofdstuk VI van de verordening stelt regels vast voor aanbieders vancloud- en edgediensten (dataverwerkingsdiensten). Hieronder valt eenbreed spectrum aan diensten die via cloud- of edgetechnologie12 wordenaangeboden, zowel cloudinfrastructuurdiensten als cloudsoftware-diensten. Voorbeelden van dergelijke diensten zijn boekhoudsoftware ofvoorraadbeheersoftware. Het doel van dit hoofdstuk is om concurrentie inde markt voor dataverwerkingsdiensten te stimuleren en transparantie encontrole voor gebruikers van dataverwerkingsdiensten te vergroten. Dithoofdstuk beoogt daarvoor het makkelijker te maken over te stappentussen dataverwerkingsdiensten van verschillende aanbieders.Momenteel lopen gebruikers van dataverwerkingsdiensten vaak tegenbelemmeringen aan over te stappen naar diensten van andere aanbiedersof diensten van verschillende aanbieders met elkaar te combineren(zogeheten vendor lock-in). Dit beperkt de concurrentie en keuzevrijheiden leidt tot bundeling van diensten in de markt voor dataverwerkings-diensten.Overstappen is een proces waarbij een oorspronkelijke aanbieder vandataverwerkingsdiensten, een klant van een dataverwerkingsdienst en,waar van toepassing, een bestemmingsaanbieder van dataverwerkings-diensten zijn betrokken (artikel 2, onderdeel 34, van de verordening). Deklant gaat over van een dataverwerkingsdienst naar een andere dataver-werkingsdienst, een andere soort dienst of een dienst in eigen beheer,onder meer door het verplaatsen of veranderen van data en anderedigitale activa13. De verordening legt de oorspronkelijke aanbieders vandataverwerkingsdiensten, klanten en bestemmingsaanbieders vandataverwerkingsdiensten verschillende verplichtingen en verantwoorde-lijkheden op in het proces van overstappen. Samen zijn zij verplicht tegoeder trouw samen te werken om het overstapproces doeltreffend telaten verlopen, en moeten zij zich inzetten voor een tijdige overstap en hetwaarborgen van de continuïteit van de dataverwerkingsdienst (artikel 27van de verordening).De regels in dit hoofdstuk zijn niet van toepassing op tijdelijke test- enevaluatieversies van dataverwerkingsdiensten. De verplichtingen uitartikel 23, onderdeel d, 29 en 30, eerste en derde lid, zijn niet van12Bij edgetechnologie vindt de verwerking van gegevens gedistribueerd plaats, vaak in de buurtvan de bron van de gegevens om deze sneller en kostenefficiënter te kunnen verwerken. Bijcloudtechnologie worden gegevens op een centrale locatie verwerkt.13Artikel 2, onderdeel 32 definieert «digitale activa» als elementen in digitale vorm, inclusieftoepassingen, waarvoor de klant het gebruiksrecht heeft, onafhankelijk van de contractuelerelatie met de dataverwerkingsdienst die hij voornemens is te verlaten om over te stappen. Ditbetreft bijvoorbeeld metagegevens in verband met de configuratie van instellingen, bevei-liging, en het beheer van toegangs- en controlerechten.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 316 toepassing op dataverwerkingsdiensten die specifiek voor een individuelegebruiker zijn ontwikkeld of waar het merendeel van de belangrijkecomponenten specifiek voor een individuele gebruiker zijn ontwikkeld ende dataverwerkingsdienst niet op grote commerciële schaal wordtaangeboden. In deze gevallen moet de aanbieder een potentiële klantinformeren over de verplichtingen uit dit hoofdstuk die niet vantoepassing zijn.Hoofdstuk VIII vult hoofdstuk VI aan met maatregelen zodat gebruikersvan dataverwerkingsdiensten makkelijker diensten van verschillendeaanbieders gelijktijdig en verbonden kunnen gebruiken. Veel bedrijvengebruiken meerdere types dataverwerkingsdiensten. Gebruikers hebbener in zulke gevallen baat bij dat die verschillende diensten gelijktijdig enverbonden kunnen worden gebruikt, bijvoorbeeld doordat verkoop-software (continu) gegevens kan uitwisselen met een voorraadbeheer-systeem en boekhoudsoftware. Dan kunnen gegevens van een verkoopmeteen worden verwerkt in de voorraad en de boekhouding. Momenteelis dit soort «gelijktijdig gebruik» voor veel diensten alleen mogelijk als dediensten bij dezelfde (groep van) aanbieder(s) worden afgenomen. Deverordening beoogt te zorgen dat dergelijk gelijktijdig gebruik ookmogelijk wordt tussen dataverwerkingsdiensten van verschillendeaanbieders. De bepalingen uit hoofdstuk VI met betrekking tot hetwegnemen van beperkingen om nieuwe overeenkomsten met andereaanbieders te sluiten, het waarborgen van de bedrijfscontinuïteit enbeveiliging van de gegevens, het voorzien in een specificatie vanoverdraagbare en niet-overdraagbare categorieën data, het aanbieden vanopen interfaces en het waarborgen van compatibiliteit met gemeenschap-pelijke specificaties zijn van overeenkomstige toepassing op de oorspron-kelijke aanbieders van dataverwerkingsdiensten om de interoperabiliteitbij gelijktijdig gebruik te vergemakkelijken (artikel 34, eerste lid, van deverordening).Belemmeringen voor een overstap wegnemenDe verordening verplicht aanbieders om alle belemmeringen weg tenemen die gebruikers ervan weerhouden over te stappen naar andereaanbieders met het behoud van functionele gelijkwaardigheid. Daarbijmoet het voor gebruikers mogelijk zijn gegevens en applicaties over tedragen en verschillende diensten los te koppelen. Functionele gelijkwaar-digheid betekent dat bij het overstappen naar een nieuwe dataverwer-kingsdienst van hetzelfde type, de nieuwe dataverwerkingsdienst op basisvan de overgedragen gegevens en applicaties zou moeten kunnenfunctioneren en bij gedeelde functies een vergelijkbare output geeft opbasis van dezelfde input. Als een gebruiker van voorraadbeheersoftwarewisselt en beide diensten geven een overzicht van een prijsontwikkelingover tijd, zou deze functie voor beide systemen vergelijkbare outputmoeten geven op basis van de overgedragen input. Met het oog opgelijktijdig gebruik, moeten aanbieders ook belemmeringen voorinteroperabiliteit wegnemen. In aanvulling op deze algemene verplich-tingen om belemmeringen weg te nemen bevat het hoofdstuk ookspecifieke verplichtingen met betrekking tot contractvoorwaarden,overstapkosten en de technische vereisten voor het overstappen.Contractuele aspecten van overstappenOm te voorkomen dat gebruikers door contractvoorwaarden niet kunnenoverstappen moeten aanbieders de rechten en plichten van de gebruikeren de aanbieder met betrekking tot het overstappen uiteenzetten in eenovereenkomst (artikel 25, eerste lid, van de verordening). In dezeovereenkomst wordt in ieder geval bepaald dat de klant zonder onnodigeTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 317 vertraging en binnen een verplichte overgangsperiode van maximaal 30dagen opverzoek kan over stappen (artikel 25, tweede lid, onderdeel a,van de verordening). Eventuele risico’s moeten daarbij duidelijk kenbaarworden gemaakt aan de klant. Ook moet de overeenkomst afspraken overondersteuning bij de beëindiging, de beëindiging zelf, de maximaleopzegtermijn voor het starten van het overstapproces, en de minimum-termijn voor het opvragen van data bevatten (artikel 25, tweede lid,onderdelen b, c, d en g, derde lid, vierde lid en vijfde lid van de veror-dening). De aanbieder moet daarnaast onder andere het overstappenredelijkerwijs faciliteren en gedurende het overstapproces of gelijktijdiggebruik de veiligheid en bedrijfscontinuïteit verzekeren (artikel 25, tweedelid, onderdeel a, van de verordening). Eventuele risico’s moeten daarbijduidelijk kenbaar worden gemaakt aan de gebruiker. Ook moet deovereenkomst afspraken over continuïteit bevatten en moeten aanbiedersvoordat de overeenkomst wordt gesloten de relevante kosten duidelijkcommuniceren, waaronder, wanneer relevant, de kosten voor hetoverstappen of het vroegtijdig beëindigen van het contract (artikelen 25,tweede lid, onderdeel a en 29, vierde lid van de verordening). Deaanbieder moet de gebruiker daarnaast voorzien van informatie overbeschikbare overdrachtsmethoden en -formats voor het overstappen eneen online register bijhouden met details over alle datastructuren,dataformaten, relevante normen en interoperabiliteitsspecificaties waarinde exporteerbare gegevens beschikbaar zullen zijn. Bovenop de eisen dieaan de overeenkomst worden gesteld dienen aanbieders van dataverwer-kingsdiensten hun klanten ook op basis van de verordening te voorzienvan informatie over beschikbare overdrachtsmethoden en -formats voorhet overstappen en een online register bij te houden met details over alledatastructuren, dataformaten, relevante normen en interoperabiliteitsspe-cificaties waarin de exporteerbare gegevens beschikbaar zullen zijn(artikel 26, en artikel 30, vierde lid, van de verordening).OverstapkostenVanaf 12 januari 2027 mogen aanbieders geen overstapkosten meer inrekening brengen. Tot die tijd mogen aanbieders verlaagde overstap-kosten in rekening brengen. Deze kosten mogen in ieder geval niet hogerzijn dan de kosten die de aanbieder daadwerkelijk maakt in het betref-fende overstapproces. De aanbieder dient duidelijke informatie teverstrekken, onder meer over welke aspecten van haar dienstverleningdeze kosten van toepassing zijn, zodat de gebruiker kan controleren ofhier niet te veel in rekening wordt gebracht (artikel 29, vierde tot en metzesde lid, van de verordening).Technische eisen aan het overstappenAanbieders van cloudinfrastructuurdiensten (IaaS) moeten alle redelijkeen haalbare maatregelen nemen die nodig zijn voor de gebruiker, om nahet overstappen naar een vergelijkbare dienst van een andere aanbiederfunctionele gelijkwaardigheid te bereiken (artikel 30, eerste lid, van deverordening). Specifiek voor aanbieders van IaaS geldt dus een zwaardereverplichting met betrekking tot functionele gelijkwaardigheid dan deeerdergenoemde verplichting om belemmeringen weg te nemen diefunctionele gelijkwaardigheid na het overstappen beletten.Aanbieders van andere dataverwerkingsdiensten, zoals cloudplatform-diensten en cloudsoftwareapplicaties zijn verplicht kosteloos interfacesbeschikbaar te stellen aan gebruikers en andere aanbieders om hetoverstappen te faciliteren en gelijktijdig gebruik mogelijk te maken (artikel30, tweede lid, van de verordening). Aanbieders van deze dataverwer-kingsdiensten moeten om interoperabiliteit te bevorderen hun dienstenTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 318 ook verenigbaar maken met de relevante open standaarden voorinteroperabiliteit van dataverwerkingsdiensten die de EuropeseCommissie publiceert in lijn met de bevoegdheden uit hoofdstuk VIII (zieparagraaf 3.7 van het algemeen deel van de toelichting).Internationale toegang en doorgifteAanbieders dienen op hun website informatie te publiceren over het rechtwaaronder de infrastructuur van hun dataverwerkingsdiensten valt ofvallen (artikel 28 van de verordening). Daarnaast dienen ze gebruikers teinformeren over de maatregelen die ze in lijn met hoofdstuk VII van deverordening nemen om te voorkomen dat overheden toegang kunnenkrijgen tot niet-persoonsgebonden gegevens die in de Europese Unieworden bewaard, wanneer dergelijke doorgifte strijdig zou zijn met EU ofnationaal recht.Aanvullend stelt dit hoofdstuk eisen aan open specificaties en geharmoni-seerde standaarden voor de interoperabiliteit van clouddiensten. Hierwordt in paragraaf 3.7 van het algemeen deel van de toelichting verder opingegaan.3.6 Internationale overheidstoegang en overdracht vanniet-persoonsgebonden gegevens Hoofdstuk VII van de verordening gaat over overheidstoegang vanuitlanden buiten de Europese Unie tot niet-persoonsgebonden gegevens diein handen zijn van dataverwerkingsdiensten in de Europese Unie. Vanuithet Unie- of nationaal recht bestaat ten aanzien van een aantalniet-persoonsgebonden gegevens de verplichting om ze te beschermen.Dit gaat bijvoorbeeld om de bescherming van de grondrechten van hetindividu, de bescherming van fundamentele nationale veiligheidsbe-langen of de bescherming van commercieel gevoelige gegevens, inclusiefbedrijfsgeheimen en intellectuele eigendomsrechten. Overheden uit derdelanden toegang verlenen tot zulke gegevens is strijdig met de verplichtingtot bescherming ervan. Daarom moeten aanbieders van dataverwerkings-diensten technische, juridische en organisatorische maatregelen nemenom te voorkomen dat zij niet-persoonsgebonden gegevens overdragennaar een overheid uit een derde land wanneer dit in strijd is met hetEuropees recht of het recht van een lidstaat (artikel 32, eerste lid, van deverordening). Voorbeelden van zulke maatregelen zijn versleuteling enadequaat organisatorisch toegangsbeleid zijn.Het is mogelijk dat een uitspraak of besluit van een rechterlijke instantie ofadministratieve autoriteit uit een derde land verplicht tot het geven vantoegang of overdragen van niet-persoonsgebonden gegevens. Artikel 32,tweede lid, van de verordening bepaalt dat dergelijke besluiten ofuitspraken alleen worden erkend of afdwingbaar zijn als zij gebaseerd zijnop een relevante internationale overeenkomst, zoals een verdrag inzakewederzijdse rechtshulp, tussen het verzoekende derde land en de EU of delidstaat. Als een uitspraak of besluit niet is gebaseerd op een dergelijkeinternationale overeenkomst, dan kan de overdracht van gegevens,als diein strijd zou kunnen zijn met het Unierecht of nationaal recht, alleenplaatsvinden als aan een aantal eisen is voldaan: i) de uitspraak of hetbesluit moet voldoende specifiek gemotiveerd zijn ii) de geadresseerdemoet zijn gemotiveerde bezwaren tegen de uitspraak of het besluitkunnen voorleggen aan een rechtelijke instantie en iii) de rechterlijkeinstantie is bevoegd om rekening te houden met de op de geadresseerderustende verplichtingen uit het Unierecht of nationaal recht. (artikel 32,derde lid, van de verordening).Als aan deze eisen is voldaan mag deaanbieder enkel de minimale toegestane hoeveelheid gegevensTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 319 beschikbaar stellen. Aanbieders moeten de datahouder informeren overeen ontvangen verzoek voor zij hieraan voldoen, behalve als het verzoekbetrekking heeft op rechtshandhaving en dit in de weg staat van effectieverechtshandhaving.Advies vragen bij de bevoegde autoriteitDe aanbieder kan de bevoegde autoriteit voor internationale juridischesamenwerking om advies vragen om te bepalen of aan de hierbovengenoemde vereisten is voldaan (artikel 32, derde lid, tweede alinea, vande verordening). Dit speelt met name bij bedrijfsgeheimen en anderecommercieel gevoelige gegevens, intellectuele-eigendomsrechten en alsde overdracht van gegevens tot heridentificatie zou kunnen leiden.Wanneer de aanbieder constateert dat het verzoek afbreuk kan doen aande nationale veiligheid of de defensie van de Europese Unie of lidstatenvraagt het advies van de nationale bevoegde autoriteit met relevantecompetenties op dit terrein. Als er binnen een maand niet gereageerdwordt op het adviesverzoek, of de conclusie van het advies van debevoegde autoriteit is dat er niet aan de voorwaarden is voldaan, dan magde aanbieder het verzoek weigeren.Het Europees Comité voor gegevensinnovatie (zie paragraaf 3.8 van dememorie van toelichting) adviseert en assisteert de Commissie bij hetopstellen van richtsnoeren voor de beoordeling van de vraag of aan dezevoorwaarden wordt voldaan.3.7 Interoperabiliteit Hoofdstuk VIII stelt regels om interoperabiliteit te bevorderen voordeelnemers aan dataruimten die gegevens of datadiensten aanbieden aanaandere deelnemers, aanbieders van dataverwerkingsdiensten enverkopers van applicaties de gebruik maken van geautomatiseerdeuitvoering van gegevensdelingsovereenkomsten (slimme contracten).Interoperabiliteit is belangrijk om gegevens voor de ontvanger vindbaar,toegankelijk en gebruiksvriendelijk te maken. Om interoperabiliteit tebereiken worden er eisen gesteld aan de machineleesbaarheid vangegevens, datastructuren en -formaten, en de technische mogelijkhedenom toegang tot gegevens te krijgen, zodat (automatische) toegang enoverdracht van gegevens tussen partijen mogelijk wordt.Interoperabiliteit voor dataverwerkingsdienstenDe verordening stelt eisen aan open specificaties en geharmoniseerdestandaarden voor de interoperabiliteit van dataverwerkingsdiensten(artikel 35, eerste lid, van de verordening). Ze moeten worden ontworpenop een manier die technologische ontwikkeling, nieuwe functies eninnovaties mogelijk maken. Het streven naar interoperabiliteit mag echterde veiligheid en integriteit van dataverwerkingsdiensten niet aantasten.De interoperabiliteitsspecificaties dienen in te gaan op zowel deinfrastructuur-, data- als applicatielaag (artikel 35, tweede lid, van deverordening). De Commissie kan de Europese normalisatie-organisatiesverzoeken deze eisen verder uit te werken tot geharmoniseerde normen,en specificaties die voldoen aan de eisen uit de verordening als gemeen-schappelijke specificaties vaststellen. Deze gemeenschappelijke specifi-caties kunnen middels uitvoeringshandelingen door de Commissieworden gepubliceerd in het publicatieblad van de EU. Wanneer lidstatenvan mening zijn dat een gemeenschappelijke specificatie niet aan de eisenuit de verordening voldoet kunnen zij de Europese Commissie hiervan opde hoogte stellen. Indien nodig kan de Commissie de gemeenschappelijkespecificatie wijzigen.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 320 DataruimtenOm interoperabiliteit binnen en tussen dataruimten te faciliteren legt deverordening een aantal interoperabiliteitseisen op aan deelnemers aandataruimten. De eisen hebben bijvoorbeeld betrekking op semantiek of debeschrijving van metadata. Ook voor dit onderdeel kan de Commissienormalisatie-organisaties verzoeken deze eisen verder uit te werken totgeharmoniseerde normen, en specificaties die voldoen aan de eisen uit deverordening als gemeenschappelijke specificaties vaststellen. Dezeworden gepubliceerd in het publicatieblad van de EU.Slimme contractenSlimme contracten, contracten die zichzelf automatisch uitvoeren zodra eraan de voorwaarden in het contract is voldaan, hebben het potentieel omgegevenshouders en gegevensontvangers garanties te bieden dat de doorhen afgesproken voorwaarden voor het delen van gegevens wordengerespecteerd. Gegevensdeling kan door middel van slimme contractengeautomatiseerd worden uitgevoerd op basis van vooraf bepaaldevoorwaarden. Zo kunnen ze bijvoorbeeld (her)gebruik van gegevens indataruimtes faciliteren. De verkoper (van een applicatie die gebruikmaakt)van slimme contracten of, bij het ontbreken daarvan, de persoon van wiede activiteit de invoering van slimme contracten voor anderen inhoudt, isverplicht te zorgen dat die slimme contracten voldoen aan een aantalessentiële eisen (artikel 36, eerste lid, van de verordening).Om aan de essentiële eisen te voldoen moet de verkoper of de persoonvan wie de activiteit de invoering van slimme contracten voor andereninhoudt, een conformiteitsbeoordeling doen, en indien aan de eisenvoldaan is, een EU-conformiteitsverklaring afgeven (artikel 36, tweede enderde lid, van de verordening). Met het afgeven van deze verklaring wordtde partij die dat doet verantwoordelijk voor de conformiteit van hetslimme contract met de essentiële eisen. Een conformiteitsbeoordelingmoet volgens de algemene beginselen van de Verordening (EG) 765/2008over accreditatie en Besluit (EG) nr. 768/2008 worden uitgevoerd.14 Eenslim contract dat voldoet aan de gepubliceerde geharmoniseerde normenopgesteld door een Europese normalisatieorganisatie, of aan de gemeen-schappelijke specificaties vastgesteld door een uitvoeringshandeling vande Europese Commissie, wordt het geacht te voldoen aan de essentiëleeisen (artikel 35, vierde en negende lid, van de verordening.3.8 Uitvoering en handhaving Hoofdstuk IX stelt regels over toezicht.Bevoegde autoriteiten en datacoördinatorElke lidstaat zal één of meerdere bevoegde autoriteiten benoemen dieverantwoordelijk worden voor de uitvoering en handhaving van deverordening (artikel 37, eerste lid, van de verordening). Lidstaten mogennieuwe bevoegde autoriteiten oprichten of taken toebedelen aanbestaande autoriteiten. De bevoegde autoriteit die verantwoordelijk wordtvoor de toepassing en handhaving over de onderdelen van de veror-14Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad van 9 juli 2008 totvaststelling van de eisen inzake accreditatie en markttoezicht betreffende het verhandelen vanproducten en tot intrekking van Verordening (EEG) nr. 339/93 (PB L 218 van 13.8.2008, blz. 30);en Besluit 768/2008/EG van het Europees Parlement en de Raad van 9 juli 2008 betreffende eengemeenschappelijk kader voor het verhandelen van producten en tot intrekking van Besluit93/465/EEG van de Raad (PB L 218 van 13.8.2008, blz. 82)Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 321 dening die betrekking op het overstappen naar een andere dataverwer-kingsdienst en de interoperabiliteit van dataverwerkingsdiensten moetenbovendien beschikken over ervaring met gegevens en elektronische-communicatiediensten (artikel 37, vierde lid, onderdeel b, van deverordening). De lidstaten moeten er voor zorgen dat de bevoegdeautoriteiten over voldoende personele en technische middelen enexpertise beschikken om hun taken doeltreffend uit te voeren (artikel 37,negende lid, van de verordening). Bij de uitvoering van hun taken dienende bevoegde autoriteiten onpartijdig te blijven en vrij van enige directe ofindirecte invloed van buitenaf, en vragen of aanvaarden zij voor indivi-duele gevallen geen van andere overheidsinstanties of particulierepartijen (artikel 37, achtste lid, van de verordening).De bevoegde autoriteiten hebben verschillende taken en bevoegdhedenwaaronder het behandelen van klachten, het verrichten van onderzoekennaar zaken die betrekking hebben op de toepassing van de verordening,het opleggen van sancties en het samenwerken met andere autoriteiten,de Commissie en het Europees Comité voor gegevensinnovatie (artikel 39,vijfde lid, van de verordening). Bevoegde autoriteiten dienen bovendien tezorgen voor het bevorderen van datageletterdheid15 en bewustmakingvan de rechten en verplichtingen uit deze verordening. Daarnaast moetenzij toezicht houden op technologische en commerciële ontwikkelingen dierelevant zijn voor het beschikbaar stellen en gebruiken van gegevens ende intrekking van de overstapkosten (overeenkomstig artikel 29 van deverordening) en onderzoeken zij gegevensverzoeken van overheidsin-stanties uit hoofdstuk V van de verordening.Indien een lidstaat meer dan één bevoegde autoriteit aanwijst, wijst hijonder deze bevoegde autoriteiten één centraal contactpunt aan, dedatacoördinator, om de samenwerking tussen hen te vergemakkelijken enbevoegde autoriteiten bij te staan met de uitvoering, toepassing enhandhaving van de verordening (artikel 37, tweede lid, van de veror-dening). Met betrekking tot hoofdstuk V waarborgt de datacoördinator datoverheidsverzoeken online openbaar beschikbaar zijn (tenzij de datacoör-dinator van oordeel is dat een dergelijke publicatie een risico voor deopenbare veiligheid zou opleveren), en bevordert de datacoördinatorvrijwillige overeenkomsten voor het delen van gegevens tussenoverheidsinstanties en datahouders (artikel 37, zesde lid, onderdeel b, vande verordening). Met betrekking tot bedrijfsgeheimen stelt de datacoördi-nator de Commissie in kennis wanneer datadelen wordt geweigerdvanwege risico’s op ernstige economische schade (artikel 37, zesde lid,onderdeel b, van de verordening). Ook verstrekt de datacoördinatornatuurlijke en rechtspersonen op verzoek alle benodigde informatie omhun klachten bij de juiste bevoegde autoriteit in te dienen. Als er in eenlidstaat slechts één bevoegde autoriteit wordt aangewezen, dan vervultdeze ook de taken van de datacoördinator.Klachtrecht en beroepIndien een partij denkt dat zijn rechten uit deze verordening zijngeschonden is er de mogelijkheid om een klacht in te dienen bij debevoegde autoriteit in de lidstaat waar deze partij is gevestigd (artikel 38,eerste lid, van de verordening). De datacoördinator moet natuurlijke enrechtspersonen op verzoek alle benodigde informatie verstrekken om hunklachten bij de juiste bevoegde autoriteit in te dienen. Die autoriteitenmoeten worden verplicht samen te werken om ervoor te zorgen dat een15Datageletterdheid zijn de vaardigheden, kennis en het inzicht die gebruikers, consumenten enbedrijven in staat stellen zich bewust te worden van de potentiële waarde van de gegevens diezij genereren, produceren en delen.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 322 klacht naar behoren wordt behandeld en doeltreffend en tijdig wordtopgelost (artikel 38, derde lid, van de verordening). De bevoegdeautoriteiten kunnen gebruik maken van de samenwerkingsnetwerkmecha-nismen voor gegevensbescherming uit de AVG en voor consumentenbe-scherming uit Verordening (EU) 2017/239416 (artikel 47 van de veror-dening).Indien een bevoegde autoriteit nalaat een klacht te behandelen, heeft deklager recht op een doeltreffende voorziening in rechte of op toetsingdoor een onpartijdige instantie met de nodige expertise (artikel 39, tweedelid, van de verordening). Daarnaast is beroep mogelijk tegen juridischbindende besluiten die door de autoriteiten zijn genomen(artikel 39, eerstelid, van de verordening). De betreffende procedures worden ingesteld bijeen rechterlijke instantie van de lidstaat waar de bevoegde autoriteit isgevestigd en kunnen zowel individueel als collectief van aard zijn (artikel39, derde lid, van de verordening). Deze mogelijkheden bestaan inaanvulling op de mogelijkheid om geschillen tussen partijen over denaleving van de verordening voor te leggen aan een geschillenbeslech-tingsorgaan (zie paragraaf 3.2 van deze memorie van toelichting), of aande civiele rechter, waaronder ook in de vorm van representatievevordering overeenkomstig Richtlijn (EU) 2020/182817 (artikel 48 van deverordening).SanctiesVoor inbreuken op de verordening stellen lidstaten voorschriften vast dievoorzien in doeltreffende, evenredige en afschrikwekkende sancties(artikel 40, eerste lid, van de verordening). Hierin moet bijvoorbeeldrekening worden gehouden met de ernst van de inbreuk, verkregenfinanciële voordelen en eventuele eerdere inbreuken (artikel 40, derde lid,van de verordening). Op grond van artikel 37, vijfde lid, onderdeel d, vande verordening moeten de lidstaten er voor zorgen dat de bevoegdeautoriteiten beschikken over de bevoegdheid om doeltreffende,evenredige en afschrikkende financiële sancties opleggen, waaronderdwangsommen en sancties met terugwerkende kracht.Afbakening bevoegdheden tussen lidstatenOp grond van artikel 37, tiende lid, van de verordening vallen entiteitenonder bevoegdheid van de lidstaat waar de entiteit is gevestigd. Ditbetekent dat de bevoegde autoriteiten toezien op de naleving van deverordening door de in de lidstaat van die autoriteit gevestigde entiteiten.Als een autoriteit in meer lidstaten is gevestigd, dan is de lidstaat bevoegdwaar zich de hoofdvestiging van de entiteit zich bevindt. Lidstaten zijn ookbevoegd ten aanzien van entiteiten die buiten de Unie zijn gevestigd,maar waarvan hun wettelijk vertegenwoordiger is gevestigd in die lidstaat(artikel 37, dertiende lid, van de verordening). Als een dergelijke entiteitgeen wettelijke vertegenwoordiger heeft aangewezen, dan zijn allelidstaten bevoegd ten aanzien van die entiteit.16Verordening (EU) 2017/2394 van het Europees Parlement en de Raad van 12 december 2017betreffende samenwerking tussen de nationale autoriteiten die verantwoordelijk zijn voorhandhaving van de wetgeving inzake consumentenbescherming en tot intrekking vanVerordening (EG) nr. 2006/2004 (PbEU 2017, L 345).17Richtlijn (EU) 2020/1828 van het Europees Parlement en de Raad van 25 november 2020betreffende representatieve vorderingen ter bescherming van de collectieve belangen vanconsumenten en tot intrekking van Richtlijn 2009/22/EG (PbEU 2020, L 409).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 323 Een deel van de verplichtingen uit hoofdstuk V van de verordening inzakehet ter beschikking stellen van data bij noodsituaties is gericht aanoverheidsinstanties, de Commissie, de ECB en organen van de Unie. Watbetreft de overheidsinstanties van de lidstaten volgt uit artikel 37, tiendelid, van de verordening dat deze vallen onder de bevoegdheid van delidstaat waar ze zijn gevestigd. Dit betekent dat Nederlandse overheidsor-ganisaties vallen onder de bevoegdheid van de in Nederland aangewezenbevoegde autoriteit. Voor de genoemde EU-instellingen en -organen volgtuit artikel 37, derde lid, van de verordening dat zij met betrekking tot deverwerking van persoonsgegevens vallen onder de bevoegdheid van deEuropese toezichthouder voor gegevensbescherming. Met betrekking totniet-persoonsgegevens volgt uit het Verdrag inzake de Werking van deEuropese Unie, waaronder het daaraan gehechte Protocol nr. 7 betref-fende de voorrechten en immuniteiten van de Europese Unie, dat denationale bevoegde autoriteiten niet bevoegd kunnen zijn voor toezicht enhandhaving door EU-instellingen en -organen.Samenwerking bevoegde autoriteitenLidstaten moeten ervoor zorgen dat bevoegde autoriteiten samenwerkenmet andere autoriteiten (artikel 37, vijfde lid, onderdelen f, g en h, van deverordening). Dit gaat om de andere bevoegde autoriteiten binnen delidstaat, de bevoegde autoriteiten van andere lidstaten, de Commissie, hetEuropees Comité voor gegevensinnovatie en bevoegde autoriteiten dieverantwoordelijk zijn voor de uitvoering van andere Unie- of nationalerechtshandelingen (zoals de Autoriteit Persoonsgegevens voor de AVG ensectorale autoriteiten). Indien een datacoördinator is aangewezenfaciliteert die deze samenwerking.Door de uitoefening van hun onderzoeksbevoegdheden moeten debevoegde autoriteiten informatie kunnen opzoeken en verkrijgen metbetrekking tot entiteiten die in de lidstaat zijn gevestigd (artikel 37,veertiende lid, van de verordening). Een entiteit die in de Unie verbondenproducten of diensten aanbiedt en niet in de Unie is gevestigd, wijst eenwettelijke vertegenwoordiger aan in een van de lidstaten (artikel 37, elfdetot en met dertiende lid, van de verordening). In grensoverschrijdendesituaties moeten bevoegde autoriteiten uit verschillende lidstatensamenwerken. Zij moeten elkaar tijdig bijstaan, met name wanneer eenbevoegde autoriteit in een lidstaat over relevante informatie beschikt vooreen onderzoek dat door de bevoegde autoriteiten in andere lidstatenwordt uitgevoerd, of wanneer een bevoegde autoriteit in een lidstaatinformatie kan verzamelen waar de bevoegde autoriteiten in de lidstaatwaar de entiteit is gevestigd geen toegang toe hebben (artikel 37, vijfdelid, onderdeel f, van de verordening). Indien een bevoegde autoriteit ineen lidstaat om bijstand of handhavingsmaatregelen van een bevoegdeautoriteit in een andere lidstaat verzoekt, dient zij een gemotiveerdverzoek in (artikel 37, vijftiende lid, van de verordening). Na ontvangst vaneen dergelijk verzoek geeft een bevoegde autoriteit onverwijld eenantwoord met een gedetailleerde beschrijving van de maatregelen die zijngenomen of gepland.Toezicht verwerking van persoonsgegevensDe toezichthoudende autoriteiten die verantwoordelijk zijn voor hettoezicht op de AVG, zijn verantwoordelijk voor de toepassing van deverordening wat betreft de verwerking van persoonsgegevens (artikel 37,derde lid, van de verordening). Ook is bepaald dat de hoofdstukken VI enVII van de AVG van overeenkomstige toepassing zijn. Hoofdstuk VI van deAVG bevat bepalingen over de aanwijzing onafhankelijke toezichthou-dende autoriteiten, de afbakening van hun competenties en hun taken enTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 324 bevoegdheden. Hoofdstuk VII van de AVG bevat bepalingen over desamenwerking tussen de toezichthoudende autoriteiten van verschillendelidstaten en het bevorderen van coherentie in de uitvoering.Op de uitvoering van de AVG is de Uitvoeringswet Algemene verordeninggegevensbescherming (hierna: UAVG) van toepassing. In artikel 6, tweedelid, van de UAVG is de AP aangewezen als toezichthoudende autoriteit inde zin van de AVG. In artikel 16, eerste lid, van de UAVG is voorts bepaalddat de AP beschikt over de taken en bevoegdheden die in de AVG zijntoegekend aan de toezichthoudende autoriteit. Deze taken en bevoegd-heden zijn van overeenkomstige toepassing op de uitvoering van deDataverordening, waar het de verwerking van persoonsgegevens betreft.Om die reden is in artikel 3, vierde lid, van het wetsvoorstel bepaald datartikel 16, eerste lid, van de UAVG van overeenkomstige toepassing is opde uitvoering van de Dataverordening door de AP, voor zover het deverwerking van persoonsgegevens betreft.Voor overtredingen met betrekking tot de verwerking van persoonsge-gevens in situaties zoals bedoeld in hoofdstukken II, III en V van deverordening kan de AP boetes opleggen overeenkomstig artikel 83 van deAVG, tot de maximale hoogte genoemd in het vijfde lid van dat artikel(artikel 40, vierde lid, van de Dataverordening). Hieraan is uitvoeringgegeven in artikel 8, tweede lid, van het wetsvoorstel. Zie hierover naderonder «sancties» in deze paragraaf.De Europese toezichthouder voor gegevensbescherming is verantwoor-delijk voor het toezicht op de toepassing van deze verordening voor zoverdeze betrekking heeft op de Commissie, de Europese Centrale Bank oforganen van de Unie. De Europese toezichthouder voor gegevensbe-scherming kan voor inbreuken op verplichtingen uit hoofdstuk V boetesopleggen aan deze EU-instellingen overeenkomstig artikel 66 vanVerordening 2018/1725 (artikel 40, vijfde lid, van de verordening).Europees Comité voor gegevensinnovatieHet Europees Comité voor gegevensinnovatie is een deskundigengroepmet de volgende taken: het adviseren over consistent toezicht, hetstimuleren van samenwerking en informatie-uitwisseling tussen detoezichthouders uit de verschillende EU-lidstaten, het adviseren overgemeenschappelijke normen en uitvoering en het adviseren overuitvoering- en/of gedelegeerde handelingen (artikel 42 van de veror-dening).Toepassing van de Europese Verordening samenwerking consumentenbe-schermingOp grond van artikel 47 van de verordening wordt de Dataverordeningtoegevoegd aan de bijlage van de Verordening samenwerking consumen-tenbescherming, waarmee de bepalingen van die verordening vantoepassing zijn op de uitvoering van de Dataverordening. Blijkensoverweging 108 bij de Dataverordening heeft dit tot doel om gebruik temaken van het samenwerkingsnetwerkmechanisme voor consumentenbe-scherming.De Verordening samenwerking consumentenbescherming versterkt desamenwerking tussen nationale autoriteiten die belast zijn met debescherming van consumentenrechten bij bescherming van consumen-tenbelangen en handhaving van (Europees) consumentenrecht. Ookvoorziet de verordening in een coördinerende rol voor de EuropeseCommissie bij bepaalde grensoverschrijdende inbreuken op het EuropeesTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 325 consumentenrecht. De Wet handhaving consumentenbescherming(hierna: WHC) voorziet in de benodigde wettelijke bepalingen voor deuitvoering van de Verordening samenwerking consumentenbeschermingin Nederland.De Verordening samenwerking consumentenbescherming verplichtlidstaten om een of meer bevoegde autoriteiten aan te wijzen en eenverbindingsbureau aan te wijzen (artikel 5 van die verordening). Ookdienen deze bevoegde autoriteiten over bepaalde minimumbevoegd-heden te beschikken op het gebied van onderzoek en handhaving bijgrensoverschrijdende inbreuken die schade (kunnen) toebrengen aan decollectieve belangen van consumenten (artikel 9 van die verordening).Onderdeel van deze minimumbevoegdheden zijn de bevoegdheid omgoederen of diensten als testaankoop te kopen, zo nodig met gebruik-making van een fictieve identiteit en om online inhoud te (laten) verwij-deren of de toegang daartoe te beperken. Tot slot voorzien de hoofd-stukken III en IV van die verordening in een mechanisme voor wederzijdsebijstand.De toepassing van de Verordening samenwerking consumentenbe-scherming is relevant ten aanzien van de onderdelen van de Dataveror-dening die tot doel hebben om consumenten te beschermen. Dit zijn debepalingen uit de hoofdstukken II, III, VI en VII van de Dataverordening.Een uitzondering wordt gevormd door de bepalingen uit die hoofdstukkendie betrekking hebben op de verwerking van persoonsgegevens. Opgrond van artikel 37, derde lid, van de Dataverordening zijn de hoofd-stukken VI en VII van de AVG van overeenkomstige toepassing, dievoorzien in een eigen kader voor toezicht en handhaving en samen-werking tussen de verschillende bevoegde autoriteiten van de lidstatendaarbij.3.9 Sui-generis-recht krachtens Databankrichtlijn Hoofdstuk X (artikel 43 van de verordening) verduidelijkt dat hetsui-generis-recht uit de Databankrichtlijn niet van toepassing is opgegevens verkregen uit, of gegenereerd door, een verbonden product ofgerelateerde dienst (zie paragraaf 5.4 van het algemeen deel van detoelichting). Het sui-generis-recht beschermt databanken waarin substan-tieel is geïnvesteerd. Door te verduidelijken dat dit recht niet vantoepassing is op gegevens uit verbonden producten en gerelateerdediensten wordt voorkomen dat het sui-generis-recht het delen van dezegegevens onevenredig belemmert.4. Inhoud Uitvoeringswet De bepalingen uit de verordening zijn onverkort van toepassing in deNederlandse rechtsorde. De verordening regelt diverse rechten enverplichtingen die rechtstreeks gelden (zie de transponeringstabel aan heteinde (onderdeel III) van de toelichting). Ter uitvoering van de verordeningwordt een aantal bevoegde autoriteiten aangewezen en wordt voorzien inhet toezicht en de handhaving van de verordening.De Minister van Economische Zaken is verantwoordelijk voor dealgemene uitvoering van de verordening, met uitzondering van debepalingen waarvoor de Staatssecretaris van Binnenlandse Zaken enKoninkrijksrelaties of de Staatssecretaris voor Rechtsbeschermingverantwoordelijk zijn. De Staatssecretaris van Binnenlandse Zaken enKoninkrijksrelaties is verantwoordelijk voor de uitvoering van hetbeschikbaar stellen van gegevens aan overheidsinstanties in gevallen vanuitzonderlijke noodzaak (hoofdstuk V en verwante artikelen). De Staatsse-Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 326 cretaris is tevens coördinerend verantwoordelijk voor het verzelfstandi-gingsbeleid van de rijksoverheid en daarom ook om die reden betrokkenbij het toebedelen van nieuwe taken aan de ACM en de AP. De Staatsse-cretaris voor Rechtsbescherming is verantwoordelijk voor databankregel-geving (hoofdstuk X). De Uitvoeringswet wordt daarom medeondertekenddoor de Staatssecretaris voor Rechtsbescherming en de Staatssecretarisvan Binnenlandse Zaken en Koninkrijksrelaties. Deze memorie vantoelichting is namens mede namens deze bewindspersonen opgesteld.4.1 Aanwijzen bevoegde autoriteiten Gelet op artikel 37, eerste lid, van de verordening moet Nederland één ofmeer bevoegde autoriteiten aanwijzen voor uitvoering en handhaving vande bepalingen uit de verordening. In deze paragraaf wordt beschrevenwelke autoriteiten worden aangewezen en waarom.Het uitgangspunt bij de uitvoering van wettelijke taken in Nederland, is«publiek, tenzij». Dat wil zeggen dat taken worden belegd bij eenorganisatie die onder de ministeriële verantwoordelijkheid valt, zodatdemocratische controle kan plaatsvinden, tenzij er overtuigende redenenzijn om dit niet te doen. Artikel 37, achtste lid, van de verordening stelteisen aan de aan te wijzen bevoegde autoriteiten. Bij de uitvoering vanhun taken en bevoegdheden overeenkomstig deze verordening moetenbevoegde autoriteiten onpartijdig zijn en vrij zijn van enige, directe ofindirecte, invloed van buitenaf, en vragen noch aanvaarden zij voorindividuele gevallen instructies van andere overheidsinstanties ofparticuliere partijen.Organisaties die vallen onder de volledige ministeriële verantwoorde-lijkheid, voldoen niet aan deze onafhankelijkheidseisen. Om die reden,kunnen deze taken alleen worden belegd bij een of meerdere zelfstandigebestuursorganen (zbo’s) die zijn uitgezonderd van de mogelijkheid ominstructies te ontvangen voor individuele gevallen.Autoriteit Consument en MarktDe Autoriteit Consument en Markt (hierna: ACM) wordt in artikel 3, eerstelid van het wetsvoorstel aangewezen als de bevoegde autoriteit voorhoofdstukken II (met uitzondering van artikelen 4, twaalfde lid, en 5,zevende en achtste lid, 6, eerste lid (voor zover het de verwerking vanpersoonsgegevens betreft) en tweede lid, onderdeel b, van de veror-dening), III, IV, artikel 20, VI, VII en VIII, en artikel 37, elfde en twaalfde lid,van de verordening. De ACM voldoet als zbo aan de onafhankelijk-heidseisen uit de verordening.De werkzaamheden van de ACM hebben als doel het bevorderen vangoed functionerende markten, van ordelijke en transparante marktpro-cessen en van een zorgvuldige behandeling van consumenten (artikel 2,vijfde lid, van de Instellingswet Autoriteit Consument en Markt (hierna:Instellingswet ACM)). De doelstellingen van de verordening en de aardvan de verplichtingen sluiten aan bij de bestaande taken en specifiekedeskundigheid van de ACM. De ACM heeft immers al een toezichtsfunctieop het gebied van telecom en wordt in diverse andere wetsvoorstellenaangewezen als bevoegd orgaan en toezichthouder op digitaliserings-gebied. Zie daartoe onder andere de Uitvoeringswet datagovernancever-ordening, de Uitvoeringswet digitaledienstenverordening en de Uitvoe-ringswet digitalemarktenverordening. De ACM heeft daarmee de vereisteervaring op het gebied van gegevens en elektronische-communi-catiediensten (artikel 37, vierde lid, onderdeel b, van de verordening). Denormadressaten van hoofdstukken II, III, IV, VI, VII en VIII van de veror-Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 327 dening, waaronder aanbieders van dataverwerkingsdiensten enaanbieders van verbonden producten en gerelateerde diensten, zijnondernemingen die al onderworpen zijn aan het toezicht van de ACM opgrond van andere wetgeving, bijvoorbeeld op grond van de Mededin-gingswet en het consumentenrecht.De keuze voor ACM als bevoegde autoriteit op een groot deel van deverordening sluit aan bij de rol van de ACM als coördinerend toezicht-houder op de Datagovernanceverordening. De Dataverordening heeft ookraakvlakken met de AVG, maar de AVG en de verordening hebbenuiteenlopende doelen waardoor het beleggen van beide verordeningen bijéén toezichthouder niet meteen voor de hand ligt. De AVG ziet op debescherming van persoonsgegevens, de verordening beoogt juist eenbreder gebruik van bepaalde gegevens te stimuleren. Bovendien heeft deverordening naast gegevensbescherming ook raakvlakken met onder-werpen als consumentenbescherming en eerlijke concurrentie, waar ACMervaring en expertise in heeft.Het thema «digitale economie» is bovendien één van de drie thema’s diede ACM tot prioriteit heeft bestempeld in haar meest recente uitvoeringsa-genda18. De ACM treedt in dat kader op tegen marktmacht (bijvoorbeeldvan grote technologische bedrijven) en misleiding en manipulatie vanconsumenten, zodat alle mensen en bedrijven met vertrouwen gebruikkunnen maken van digitale markten. De ACM heeft als toezichthouderuitgebreide ervaring en expertise op het terrein van economischeordening. Daarnaast is bij de ACM specifieke technische expertiseaanwezig om op de digitale sectoren van de economie toezicht te houden.Vanuit de beoogde rol van de ACM als toezichthouder op de digitaledien-stenverordening zal de ACM hier bovendien verder ervaring mee opdoen.Ook is geconstateerd dat de ACM als organisatie in staat is om dewerkzaamheden die deze toezichtstaken met zich meebrengen adequaatte borgen. In lijn met artikel 37, negende lid, van de verordening moet deMinister van Economische Zaken zorgen voor voldoende personele entechnische middelen aan de ACM.De ACM heeft in de periode voorafgaand aan de totstandkoming van deverordening expertise opgebouwd over de economische ontwikkeling diegepaard gaat met de groei van de productcategorie verbonden apparaten.In combinatie met bovenstaande redenen maakt dit het aanwijzen van deACM als toezichthouder op Hoofdstuk II een logische stap. De ACM zal bijdit toezicht ook rekening moeten houden met de uitzondering op hetdatabankrecht (artikel 43 van de verordening).Gezien de rol van de ACM bij het toezicht op de Nederlandse economieheeft zij ook ervaring met het beoordelen van overeenkomsten tussenbedrijven onderling en tussen bedrijven en consumenten. Dat maakt datook op hoofdstukken III en IV van de verordening toezicht van de ACMgewenst is.Het toezicht op artikel 20 van de verordening betreft vergoeding voor hetbeschikbaar stellen van gegevens in geval van uitzonderlijke noodzaak enis vergelijkbaar met artikel 9 van de verordening ten aanzien vanvergoedingen voor het beschikbaar stellen van gegevens, en past daaromhet beste bij de ACM. De normadressaten van dit artikel zijn gegevens-houders en overheidsinstanties, de Commissie, de Europese CentraleBank of het orgaan van de Unie die gegevens hebben ontvangen in gevalvan uitzonderlijke noodzaak.18Focus Werkzaamheden ACM 2023 | ACM.nlTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 328 Ten aanzien van het bestuderen van de economische en technologischeontwikkelingen op het gebied van dataverwerkingsdiensten heeft de ACMeen leidende rol in het Nederlandse en Europese toezichtlandschapopgebouwd. Dit maakt dat de ACM ook voor hoofdstuk VI en in hetverlengde daarvan hoofdstukken VII en VIII de gewenste toezichthouder is.Artikel 37, elfde en twaalfde lid, van de verordening heeft betrekking op dewettelijke vertegenwoordigers van entiteiten die binnen het toepassings-gebied van de verordening vallen. Gezien de ACM de bevoegde autoriteitvoor een groot deel van de verordening is en als datacoördinator wordtaangewezen (zie paragraaf 4.3 van het algemene deel van deze memorievan toelichting) is het wenselijk de ACM ook bevoegd te maken voor dezebepalingen.Autoriteit PersoonsgegevensDe Autoriteit Persoonsgegevens (hierna: AP) is, als toezichthoudendeautoriteit die verantwoordelijk is voor het toezicht op de AVG, verantwoor-delijk voor de toepassing van de verordening wat betreft de beschermingvan persoonsgegevens (artikel 37, derde lid, van de verordening). De APwordt in de Uitvoeringswet (artikel 3, derde en vijfde lid) aangewezen alsde bevoegde autoriteit voor artikelen 4, twaalfde lid, en 5, zevende enachtste lid, 6, eerste lid (voor zover het de verwerking van persoonsge-gevens betreft) en tweede lid, onderdeel b, en hoofdstuk V (met uitzon-dering van artikel 20) van de Dataverordening. De AP voldoet als zbo aande onafhankelijkheidseisen uit de verordening.Het toezicht op artikel 4, twaalfde lid, van de Dataverordening ziet op degrondslag voor de verwerking van persoonsgegevens. In artikel 4,twaalfde lid, van de Dataverordening staat dat wanneer een gebruiker dieniet de betrokkene is van wie persoonsgegevens worden gedeeld, degegevens alleen beschikbaar kunnen worden gesteld als hier een geldigeverwerkingsgrond conform de AVG voor is. Artikel 5, achtste lid, van deDataverordening betreft de rechten van betrokkenen op grond van deAVG. Artikel 6, eerste lid, van de Dataverordening bepaalt dat de derde deontvangen gegevens niet voor andere doeleinden of onder anderevoorwaarden mag verwerken dan met de gebruiker zijn overeengekomen,dat het Unierecht en nationale recht inzake de bescherming van persoons-gegevens in acht moet worden genomen, met inbegrip van de rechtenvan betrokkenen op grond van de AVG. Artikel 6, tweede lid, onderdeel b,van de Dataverordening bepaalt dat de derde de ontvangen gegevens nietgebruikt voor profilering als bedoeld in artikel 4, vierde lid, van de AVG,niettegenstaande artikel 22, tweede lid, onderdelen a en c, AVG, tenzij ditnoodzakelijk is om de door de gebruiker gevraagde dienst te verlenen. Debepalingen zien op het beschermen van persoonsgegevens en uitleg vanAVG-begrippen en vallen daarom onder het toezicht van de AP.Conform de verordening heeft de AP als AVG-toezichthouder een rol bijde uitvoering van hoofdstuk V, aangezien overheidsinstanties bij de APmoeten melden wanneer zij persoonsgegevens verzoeken. Door de AP alsbevoegde autoriteit voor hoofdstuk V aan te wijzen, worden de verschil-lende uitvoeringstaken van dit onderdeel van de verordening, datinhoudelijk weinig raakvlakken met de andere onderdelen heeft, zo veelmogelijk bij één autoriteit belegd. Dit komt de uitvoerbaarheid ten goede.Hoofdstuk V wijkt inhoudelijk sterk af van de rest van de verordening enhet is voor de normadressaten die alleen met dit hoofdstuk te makenhebben, namelijk overheidsinstanties en gegevenshouders, niet nadeligom met een aparte toezichthouder te maken te hebben. Deze centraletoezichtrol van de AP op hoofdstuk V van de verordening beoogtTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 329 rechtszekerheid en duidelijkheid te bieden voor de uitvoeringspraktijk,aangezien de regels in hoofdstuk V zowel gelden voor niet-persoons-gebonden gegevens als persoonsgegevens en het toezichtveld andersonnodig complex zou worden door vele afstemming die zou moetenplaatsvinden tussen de ACM en de AP. Gegevensverzoeken buitenalgemene noodsituaties om mogen geen persoonsgegevens bevatten.Belangrijk daarbij is echter wel dat de toezichthouder een zorgvuldig,deskundig en eenduidig oordeel kan geven over de vraag of bepaaldegegevens inderdaad niet persoonsgebonden zijn.In de praktijk kunnen gegevenssets bestaan uit een mix van persoonsge-gevens en niet-persoonsgebonden gegevens die onlosmakelijk met elkaarverbonden zijn. Het onderscheid tussen de twee soorten gegevens kan invoorkomende gevallen moeilijk te maken zijn. Er valt te voorzien dat dezegegevens grotendeels aangemerkt zullen kunnen worden als persoonsge-gevens, mede als gevolg van het steeds moeilijker worden van anonimi-seren (vanwege nieuwe her-identificatietechnieken, snellere computers enmeer beschikbare vergelijkingsdata), met als gevolg een verwerkinghiervan op grond van de AVG. De beoordeling van de aanwezigheid vanpersoonsgegevens en de (toezicht)situatie is aldus complex en vereistdeskundigheid.De AP heeft de juiste deskundigheid om tijdig te oordelen over dekwalificatie van persoonsgegevens volgens de AVG en heeft ervaring methet in behandeling nemen van klachten en grensoverschrijdendeverzoeken die betrekking kunnen hebben op beide soorten gegevens. Opdeze manier worden persoonsgegevens van individuen, het recht opprivacy en de rechten van derden goed beschermd. Bij gegevensver-zoeken in verband met algemene noodsituaties is zorgvuldigheid,deskundigheid en eenduidigheid evenwel nog meer van belang en zal datoordeel snel moeten worden gegeven. Daarnaast is de verwachting datgegevensverzoeken op grond van hoofdstuk V in het algemeen niet vaakzullen voorkomen, waardoor daarmee maar beperkt praktijkervaring kanworden opgedaan. Om te borgen dat er zoveel mogelijk expertise bestaat,is het daarom van belang om het toezicht voor beide typen gegevensver-zoeken bij één toezichthouder te concentreren.Overheidsinstanties, de normadressaten van hoofdstuk V naast gegevens-houders, zijn bovendien al onderworpen aan (systeem)toezicht van de APop basis van de AVG. De AP heeft vanuit haar taken als AVG-toezicht-houder bovendien ervaring met het beoordelen van de doelbinding,rechtmatigheid, noodzakelijkheid en proportionaliteit van verwerkingenvan persoonsgegevens door overheidsinstanties en het in behandelingnemen van klachten. Het beoordelingskader voor dataverzoeken op grondvan hoofdstuk V van de verordening, waaronder ook opniet-persoonsgegevens, is inhoudelijk op veel vlakken vergelijkbaar methet beoordelingskader voor verwerking van persoonsgegevens op grondvan de AVG. Bijvoorbeeld het beoordelen of verzoeken proportioneel ennoodzakelijk zijn, er voldoende beschermingsmaatregelen zijn getroffenen de gegevens niet langer dan noodzakelijk worden bewaard (datamini-malisatie).In het meest recente jaarplan van de AP is digitale overheid bovendienéén van de centrale thema’s waar de AP extra aandacht aan wilbesteden.1919AP jaarplan 2024 | Autoriteit PersoonsgegevensTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 330 Als alternatief had ervoor gekozen kunnen worden om de ACM aan tewijzen als bevoegde autoriteit op hoofdstuk V van de verordening, geziendiens rol als toezichthouder op de rest van de verordening. Deargumenten hiervoor wegen in de ogen van het kabinet echter minderzwaar dan de argumenten voor de AP. De ACM heeft als datacoördinatoreen rol in het publiceren van gegevensverzoeken en in het bevorderenvan vrijwillige gegevensdelingsovereenkomsten tussen overheidsin-stanties en gegevenshouders.20 Daarnaast houdt de ACM op dit momental toezicht op veel van de gegevenshouders en zou het uitbreiden van hettoezicht naar hoofdstuk V zorgen voor meer centralisatie van het toezichtop de verordening als geheel. Dit maakt het echter niet meteen logischom ook de inhoudelijke beoordelingen van de naleving van hoofdstuk Vbij de ACM te beleggen. De rollen die de ACM reeds krijgt met betrekkingtot hoofdstuk V houden maar beperkt verband met de inhoudelijkebeoordeling van de verzoeken die overheidsinstanties doen en eventueleklachten daarover. Ook verdere centralisatie van het toezicht op deverordening als geheel zal naar verwachting weinig efficiëntiewinstopleveren, omdat de aard van het toezicht op hoofdstuk V en denormadressaten afwijken van de rest van de verordening. Voor hetkabinet weegt zwaarder dat de toezichthouder goed gepositioneerd is omte oordelen of gegevenssets wel of geen persoonsgegevens bevatten enof een bepaalde gegevensstroom proportioneel is ten opzichte van hetnagestreefde doel. Die toezichthouder is de AP.4.2 Taken en bevoegdheden bevoegde autoriteiten De taken en bevoegdheden van de bevoegde autoriteiten uit artikel 37,vijfde lid, van de verordening zijn in paragraaf 3.8 van het algemeen deelvan de toelichting beschreven. In artikel 3, tweede en vierde lid, van deUitvoeringswet is bepaald dat de bevoegde autoriteiten bevoegd zijn omde taken uit te voeren en de bevoegdheden uit te oefenen die in deverordening aan de bevoegde autoriteiten zijn toegekend. Voor sommigetaken is geen aanvullende nationale regelgeving nodig, namelijk hetbevorderen van datageletterdheid, het toezicht op relevante ontwikke-lingen, het zorgen voor de opheffing van overstapkosten en het onder-zoeken van gegevensverzoeken van overheidsinstanties uit hoofdstuk Vvan de verordening. Voor andere taken zijn aanvullende bepalingen innationale regelgeving noodzakelijk. In deze paragraaf wordt aangegevenhoe die taken en bevoegdheden van de bevoegde autoriteiten zijn belegdin Nederlandse regelgeving.KlachtenbehandelingDe bevoegde autoriteiten moeten klachten over vermeende overtredingenop de verordening behandelen (artikel 37, vijfde lid, onderdeel b, van deverordening; zie ook het recht om een klacht in te dienen in artikel 38 vande verordening). De bevoegde autoriteiten moeten de inhoud vanklachten onderzoeken in de mate waarin dat gepast is en klagers, indienrelevant overeenkomstig het nationale recht, regelmatig en binnen eenredelijke termijn in kennis stellen van de voortgang en het resultaat vanhet onderzoek, met name wanneer verder onderzoek of coördinatie meteen andere bevoegde autoriteit noodzakelijk is.Het begrip «klacht» heeft in de verordening een autonome betekenis, diemoet worden onderscheiden van het begrip «klacht» in de Algemene wetbestuursrecht (hierna: Awb). In de verordening heeft een klacht betrekkingop een vermeende schending op rechten uit hoofde van de verordening.20Artikel 37, zesde lid, sub b, van de verordening.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 331 In de Awb heeft het woord klacht betrekking op de wijze waarop eenbestuursorgaan zich in een bepaalde aangelegenheid heeft gedragen.Het is afhankelijk van de formulering en de inhoud van de klacht of deklacht naar Nederlands recht beschouwd moet worden als een verzoekvan een belanghebbende om een handhavingsbesluit te nemen (artikel1:3, derde lid, van de Awb) en daarmee als een handhavingsverzoek moetworden beschouwd. Hierbij dient de bevoegde autoriteit onder andere tetoetsen of het verzoek voldoende concreet is en of de klager (of zijngemachtigde) de bevoegde autoriteit enig aanknopingspunt biedt vooronderzoek naar de vraag of er sprake is van een schending van rechten uitde verordening.Daarnaast dient de klager (of zijn gemachtigde) een belanghebbende tezijn (in de zin van artikel 1:2, eerste lid, van de Awb) om de klacht alshandhavingsverzoek te kunnen beschouwen. Als er sprake is van eenhandhavingsverzoek, heeft de bevoegde autoriteit een beginselplicht tothandhaving. Als de klacht beschouwd wordt als handhavingsverzoek, isde schriftelijke reactie van de bevoegde autoriteit op de klacht een besluitin de zin van artikel 1:3, eerste lid, van de Awb. Hiertegen staat bezwaar enberoep open. Deze kwalificatie naar nationaal recht staat los van devereisten die de verordening aan het klachtrecht stelt, zoals het recht vanpartijen om te worden gehoord en passende informatie te ontvangen overde stand van zaken in verband met de klacht. Dit zijn autonome vereisten.OnderzoeksbevoegdhedenBevoegde autoriteiten moeten onderzoek kunnen verrichten naar zakendie betrekking hebben op de toepassing van deze verordening (artikel 37,vijfde lid, onderdeel c, van de verordening). Door de uitoefening van hunonderzoeksbevoegdheden moeten de bevoegde autoriteiten informatiekunnen opzoeken en verkrijgen, met name met betrekking tot activiteitenvan entiteiten die onder hun bevoegdheid vallen. Hiervoor moeten zij ookinformatie kunnen verkrijgen van andere bevoegde autoriteiten of andereoverheidsinstanties en bij grensoverschrijdende gevallen ook vanbevoegde autoriteiten uit andere lidstaten (zie hierna samenwerking metandere autoriteiten).De ACM en de AP zijn aangewezen als toezichthouders op de verordeningen beschikken daardoor op grond van titel 5.2 van de Awb over een aantalstandaardbevoegdheden die zij kunnen inzetten bij het uitoefenen vanhun toezichtstaak op grond van de Uitvoeringswet. De bevoegdheid tothet vorderen van informatie (artikel 37, vijfde lid, onderdeel c, enveertiende lid, van de verordening) komt overeen met de bevoegdheid tothet vorderen van inlichtingen (artikel 5:16 van de Awb). Daarnaast kan deACM uit eigen beweging een marktonderzoek doen in het kader van deverordening (artikel 2, vierde lid, van de Instellingswet ACM).SanctiesOm handhaving van de verordening effectief te maken verplicht artikel 37,vijfde lid, onderdeel d, van de verordening dat lidstaten financiële sanctiesvaststellen, waaronder dwangsommen, voor inbreuken op de veror-dening. De sancties moeten doeltreffend, evenredig en afschrikkend zijnen rekening houden met de aanbevelingen van het Europees Comité voorgegevensinnovatie en de criteria uit artikel 40, derde lid, van de veror-dening. In overweging 109 bij de verordening is opgenomen dat desancties onder meer kunnen bestaan uit financiële sancties, berispingenof bevelen om handelspraktijken in overeenstemming te brengen met deTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 332 verplichtingen uit de verordening. Aan deze bepalingen wordt op devolgende wijze uitvoering gegeven.Artikel 8, eerste en tweede lid, van de Uitvoeringswet bepaalt dat bijovertreding van de verordening de ACM en de AP een bestuurlijke boeteen een last onder bestuursdwang, en daarmee ook een last onderdwangsom, kunnen opleggen. In deze artikelleden is gespecificeerd tenaanzien van welke bepalingen van de verordening deze bevoegdheid tothet opleggen van sancties geldt. Dit zijn de bepalingen die eenverplichting bevatten voor een normadressaat en ten aanzien waarvan inhet geval van overtreding de ACM en de AP een sanctie moeten kunnenopleggen.De hoogte van de boete sluit deels aan bij de bestaande praktijk rondombestuurlijke boetes. Voor de hoogte van de maximale boete voor de ACMwordt aangesloten bij de boetebepalingen in de Uitvoeringswet datag-overnanceverordening. Deze wet kan worden gezien als aangrenzendrechtsgebied gelet op de taken voor de ACM op het terrein van digitali-sering. Voor een overtreding kan door de ACM een bestuurlijke boeteworden opgelegd van ten hoogste het bedrag dat is vastgesteld voor dezesde categorie, bedoeld in 23, vierde lid, van het Wetboek van Strafrechtof, indien dat meer is, 10% van de jaaromzet van de overtreder in deEuropese Unie. Dit is in lijn met de beoogde Wet stroomlijning bestuur-lijke boetemaxima en termijnen en is vooruitlopend daarop al verwerkt indit wetsvoorstel. In de Instellingswet ACM staan regels omtrent debevoegdheid van de ACM bij het opleggen van bestuurlijke boetes.Gelet op artikel 40, derde lid, onderdeel f, van de verordening moetworden uitgegaan van de jaaromzet van de inbreukmakende partij in hetvoorgaande boekjaar in de Europese Unie. Dit sluit grotendeels aan opartikel 12o, eerste lid, van de Instellingswet ACM dat onder omzet van deovertreder wordt verstaan de netto-omzet, bedoeld in artikel 377, zesdelid, van Boek 2 van het Burgerlijk Wetboek die de overtreder heeft behaaldin het meest recente boekjaar ten aanzien waarvan de overtreder eenjaarrekening beschikbaar heeft of zou moeten hebben. Het betreft deopbrengst uit levering van goederen en diensten uit het bedrijf van derechtspersoon, onder aftrek van kortingen en dergelijke en van over deomzet geheven belastingen.De door de verordening voorgeschreven systematiek, op basis waarvande boete wordt bepaald op grond van de door een partij in de EuropeseUnie behaalde omzet, is anders dan de systematiek die op dit momentvoor het opleggen van bestuurlijke boetes door de ACM geldt op grondvan de Boetebeleidsregel ACM 2014. Daarin staat dat de ACM de boetebepaalt aan de hand van de in Nederland behaalde omzet van eenonderneming (artikel 2.6, eerste lid, van de beleidsregel), tenzij dit naarhet oordeel van de ACM geen passende beboeting toelaat, dan gaat hetom de wereldwijde omzet (artikel 2.6, tweede lid, van de beleidsregel).Gelet op artikel 40, vierde lid, van de verordening betreft de hoogte van debestuurlijke boete die de AP kan opleggen, een maximum van 20 miljoeneuro of voor een onderneming 4% van de totale wereldwijde jaaromzet inhet voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt.Hiermee wordt aangesloten op de sanctionering van AVG overtredingenen de boetebeleidsregels van de AP.Voor entiteiten die in Nederland zijn gevestigd geldt dat in het geval vanovertredingen de bevoegde autoriteit bevoegd is uit de lidstaat waar deentiteit is gevestigd. Als een entiteit in Nederland is gevestigd gaat hetdus om de ACM of AP. Zowel voor sanctionering door de ACM als door deTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 333 AP geldt dat een bedrijf dat in meerdere lidstaten omzet behaalt slechts inéén lidstaat sancties kan worden opgelegd. Hierbij wordt, zoals hierbovenbeschreven staat, dus wel uitgegaan van de jaaromzet in de geheleEuropese Unie.De ACM en de AP moeten bij het opleggen van boetes rekening houdenmet het ne bis in idem-beginsel. Dit beginsel is in artikel 50 van hetHandvest van de grondrechten van de Europese Unie verankerd en houdtin dat een (rechts)persoon niet nogmaals mag worden vervolgd ofbestraft wanneer dezelfde (rechts)persoon voor dezelfde gedraging (idem)reeds op basis van een eerdere definitieve beslissing is veroordeeld ofvrijgesproken (bis). Daarnaast kan strijd met het ne bis in idem-beginselachteraf door de rechter worden gecorrigeerd. Indien achteraf toch sprakeblijkt te zijn van een inbreuk op het ne bis in idem-beginsel, kan artikel 52van het Handvest van de grondrechten van de Europese Unie hiervoornog een rechtvaardiging bieden. Via dit artikel kan een inbreuk wordengerechtvaardigd, indien: (i) het optreden van de autoriteiten bij wet isvoorzien (ii) het gaat om een cumulatie op grond van verschillenderegelingen, welke verschillende en aanvullende doelstellingen nastreven,en (iii) het evenredigheidsbeginsel wordt gerespecteerd. Met de Uitvoe-ringswet wordt aan het eerste vereiste in ieder geval voldaan. Artikel 5van de Uitvoeringswet bepaalt de bevoegdheid van de ACM en de AP omte verordening te kunnen handhaven. Daarnaast heeft de AP handha-vende bevoegdheden met betrekking tot de AVG. Voor de andere tweevereisten zijn de omstandigheden van het geval bepalend. Het is aan derechter om te bepalen of een eventuele inbreuk op het ne bis inidem-beginsel kan worden gerechtvaardigd.De Instellingswet ACM kent tot slot de ACM een aantal handhavingsbe-voegdheden toe in het kader van het toezicht op en de handhaving van dewettelijke voorschriften waarmee de ACM is belast. Het betreft ondermeer de bevoegdheid tot het bindend verklaren van een toezegging(artikel 12h van de Instellingswet ACM) en het opleggen van een bindendeaanwijzing (artikel 12j van de Instellingswet ACM), waarbij concreet wordtaangegeven wat er van de normadressaat wordt gevraagd ter nakomingvan de open norm. De ACM zal deze bevoegdheden ook kunnen inzettenten behoeve van de uitvoering van haar taken op grond van de Uitvoe-ringswet, wanneer die verheven is tot wet. De bevoegdheid daartoe vloeitrechtstreeks voort uit de Instellingswet ACM. Er bestaat daarom geennoodzaak om daarover iets te regelen in het onderhavige wetsvoorstel.Voor het kunnen geven van een informele waarschuwing is tot slot geenwettelijke grondslag vereistSamenwerking met andere autoriteitenDe bevoegde autoriteiten moeten samenwerken met andere autoriteiten.Het gaat hier om samenwerking tussen (1) de bevoegde autoriteiten inNederland (ACM en AP), en (2) de bevoegde autoriteiten die verantwoor-delijk zijn voor de uitvoering van andere Unie- of nationale rechtshande-lingen (zoals de Autoriteit Persoonsgegevens voor de AVG en sectoraletoezichthouders) en (3) de bevoegde autoriteiten van andere lidstaten, deCommissie en het Europees Comité voor gegevensinnovatie. Dit laatstewordt geregeld in de verordening. zie verder paragraaf 3.8 van hetalgemeen deel van de toelichting. Om deze samenwerking tussen debevoegde autoriteiten (ACM, AP en sectorale toezichthouders) tevergemakkelijken regelt de Uitvoeringswet dat afspraken in een samen-werkingsprotocol gemaakt kunnen worden.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 334 (1) Samenwerking tussen de ACM en de AP: Samenwerking tussen deACM en de AP is nodig, aangezien de AP de toezichthouder op de AVG isen expertise heeft over de bescherming van persoonsgegevens. Eenbelangrijk deel van de handhaving van de verordening zal betrekkinghebben op het verwerken van gegevens, bijvoorbeeld het beschikbaarstellen van gegevens uit producten of het overdragen van gegevens uitdataverwerkingsdiensten. Wanneer deze gegevens persoonsgegevensbetreffen is ook de AVG van toepassing en is er overlap tussen deDataverordening en de AVG. De Dataverordening doet geen afbreuk aande AVG en de bevoegdheden van de AVG-toezichthouder (artikel 1, vijfdelid, van de verordening). Alle verwerkingen van persoonsgegevens die opbasis van de verordening plaatsvinden moeten onverminderd voldoenaan de AVG. Samenwerking kan nodig zijn gelet op de taken en bevoegd-heden van de ACM en de AP uit de Dataverordening en de AVG21. Het kanbijvoorbeeld gaan om afstemming ten aanzien van een uniforme uitlegvan de Dataverordening, de vraag of in de praktijk in overeenstemmingmet de AVG wordt gehandeld of afstemming als de toezichthoudersgelijktijdig dezelfde overtreding onderzoeken. Om de samenwerkingtussen de ACM en de AP goed te laten verlopen regelt de Uitvoeringswet(artikel 6, eerste lid) dat de ACM en de AP bevoegd zijn om in het belangvan een efficiënt en effectief toezicht op de Dataverordening afspraken temaken en daartoe gezamenlijk samenwerkingsprotocollen vast te stellen.Hierin dienen de toezichthouders ook afspraken te maken met betrekkingtot het ne bis in idem-beginsel. In het geval van hetzelfde feitencomplex ishet van belang dat dubbele beboeting door de ACM en AP wordtvoorkomen. Een verdere inkadering en formalisering van de samen-werking dan de bevoegdheid om samenwerkingsprotocollen vast testellen is overwogen maar acht het kabinet niet wenselijk. Het is belangrijkom de ACM en de AP de ruimte te geven om zelf invulling te geven aan desamenwerking. De samenwerking wordt geëvalueerd (zie paragraaf 7 vanhet algemeen deel van de toelichting).(2) Samenwerking met sectorale toezichthouders: Bij de uitoefening vanhet toezicht is in sommige gevallen echter ook de expertise van eenandere toezichthouder of instantie noodzakelijk. Zo heeft de RijksinspectieDigitale Infrastructuur (hierna: RDI) relevante expertise op het terrein vancybersecurity voor het toezicht op de hoofdstukken II, VI en VII. Als voorhoofdstuk VII van de verordening de expertise van RDI nodig is om tebeoordelen of een aanbieder van dataverwerkingsdiensten adequatetechnische maatregelen heeft genomen, zal RDI informatie over eenspecifieke casus moeten kunnen ontvangen. Ook kan samenwerking meteen sectorale toezichthouder wenselijk zijn omdat deze expertise bezit diede bevoegde autoriteit niet in huis heeft, bijvoorbeeld op het gebied vanbepaalde typen verbonden apparaten zoals medische apparatuur. Metwelke toezichthouders en instanties de bevoegde autoriteiten zullenmoeten samenwerken kan in de loop van de tijd veranderen naar mate erin aanvulling op hoofdstukken 2, 3 en 4 van de verordening meersectorale wetgeving over gegevensdeling komt. Zo zal de verordeningbetreffende de Europese ruimte voor gezondheidsgegevens22 binnenkortin Nederland moeten worden geïmplementeerd en bereidt de Commissiewetgeving met betrekking tot toegang tot voertuiggegevens23 voor.Wanneer deze en andere sectorale wetgeving van toepassing zal zijn, zaldit voor de bevoegde autoriteiten voor de verordening samenwerking met21Hof van Justitie EU van 4 juni 2023, Meta Platforms Inc., anciennement Facebook Inc. e.a.tegen Bundeskartellamt (C-251/21), met name overwegingen 62–63.22COM(2022) 197 final, zie https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:52022PC019723Toegang tot voertuiggegevens, -functies en -hulpmiddelen (europa.eu)Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 335 nieuwe instanties vergen of de samenwerking met bepaalde instantiesveranderen.Gegevensuitwisseling tussen toezichthoudersVoor de samenwerking is gegevensuitwisseling tussen ACM en AP enandere toezichthouders noodzakelijk.(1) Gegevensuitwisseling tussen de ACM en de AP: ACM en AP zullengezien hun samenwerking als bevoegde autoriteiten en datacoördinatoronderling meer structureel gegevens moeten uitwisselen. Zo zal de ACMwanneer zij wil afstemmen met de AP over toepassing van de AVGmogelijk informatie over een casus met de AP moeten delen. Het gaatbijvoorbeeld om gegevensuitwisseling voor de afhandeling van een klachtof onderzoek naar de toepassing van de verordening. De gegevensuit-wisseling ziet op gewone persoonsgegevens namelijk naam en contactge-gevens voor communicatie met de betrokkene, leeftijd en geboortedatumom de identiteit van betrokkene te kunnen verifiëren en apparaat- eninternetgegevens (zoals IP-adres en metadata) om te duiden waar deklacht of het onderzoek op ziet. Om die gegevensuitwisseling te faciliterencreëert de Uitvoeringswet (artikel 6, tweede lid) een grondslag voor debevoegde autoriteiten om de informatie uit te wisselen die relevant isvoor het toezicht op de verordening.(2) Samenwerking met sectorale toezichthouders: toezichthouders kunnenal incidenteel informatie uitwisselen met andere toezichthouders (artikel5:16 Awb). Daarnaast kan het voorkomen dat de ACM als datacoördinatoren toezichthouder op hoofdstukken II, III en IV van de verordening voor desamenwerking met andere bevoegde autoriteiten en instanties meerstructureel gegevens moet kunnen uitwisselen. Het gaat om toezicht-houders en instanties die specifieke kennis hebben (zoals de RDI metcybersecurity kennis) die de ACM nodig heeft voor het toezicht op deverordening en om toezichthouders die toezicht houden op (toekomstige)gegevenswetgeving die raakvlakken heeft met de verordening. Gezien deaankomende wetgeving met betrekking tot gegevensdeling is te voorziendat in de loop van de tijd zal veranderen met welke toezichthouders eninstanties de ACM gegevens moet kunnen uitwisselen om toezicht tehouden op de verordening. Het is daarom noodzakelijk dat de grondslagvoor gegevensuitwisseling tussen ACM en andere instanties kan wordenaangepast. De Uitvoeringswet (artikel 7, tweede lid) legt om die reden vastdat per ministeriële regeling een grondslag voor het delen van gegevensvoor andere bevoegde autoriteiten kan worden gecreëerd in het kader vantoezicht op de verordening.(3) Samenwerking met de bevoegde autoriteiten van andere lidstaten, deCommissie, het Europees Comité voor gegevensinnovatie: De grondslagvoor informatie-uitwisseling met bevoegde autoriteiten uit anderelidstaten, de Commissie en het Europees Comité voor gegevensinnovatievolgt rechtsreeks uit de verordening (artikel 37, vijfde lid, onderdeel f).De verordening bepaalt expliciet dat de bevoegde autoriteiten hetvertrouwelijkheidsbeginsel, het beroeps- en handelsgeheim, en persoons-gegevens beschermen overeenkomstig het Unie-of nationale recht (artikel37, zestiende lid, van de verordening). En dat alle informatie die wordtuitgewisseld en wordt verstrekt uitsluitend gebruikt wordt in verband metde aangelegenheid waarvoor zij is gevraagd.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 336 Toepassing Wet handhaving consumentenbescherming (WHC)Zoals beschreven in paragraaf 3.8 van deze memorie van toelichting, zijnde bepalingen van de Verordening samenwerking consumentenbe-scherming van toepassing op de uitvoering van de Dataverordening. Deuitvoering van de Verordening samenwerking consumentenbeschermingis in Nederland geregeld in de WHC. De ACM is op grond van die wetbelast met het toezicht op de naleving en de handhaving van verschil-lende Europese richtlijnen en verordeningen die zien op consumentenbe-scherming. Deze regels inzake consumentenbescherming zijn ook vantoepassing in de gevallen waar deze verordening op ziet; zie hierovernader paragraaf 5.5 van deze memorie van toelichting.De WHC biedt een eigenstandig kader voor toezicht en handhaving, datvan toepassing is bij zogenoemde «inbreuken» en «inbreuken binnen deUnie». Het begrip «inbreuk» is gedefinieerd als elke overtreding van eenwettelijke bepaling als bedoeld in de bijlage bij de WHC, welke schadetoebrengt of kan toebrengen aan de collectieve belangen van consu-menten (artikel 1.1 van de WHC). Het begrip «inbreuk binnen de Unie» isgedefinieerd in de Verordening samenwerking consumentenbeschermingen betreft inbreuken ten aanzien van consumenten die woonachtig zijn ineen andere lidstaat dan waar de gedraging heeft plaatsgevonden of waarde verantwoordelijke handelaar is gevestigd. Door middel van ditwetsvoorstel worden de bepalingen uit de Dataverordening die (mede)voorzien in bescherming van consumenten, toegevoegd aan onderdeel avan de bijlage bij de WHC (artikel 11 van de WHC). Daarmee wordt deACM op grond van de WHC aangewezen als toezichthouder op denaleving van de Dataverordening en krijgt zij op grond van die wetbevoegdheden voor handhaving en sanctionering, zoals voorgeschrevendoor de Verordening samenwerking consumentenbescherming. Hierondervalt onder meer de bevoegdheid om een last onder dwangsom of eenbestuurlijke boete op te leggen (artikel 2.9 van de WHC).De bevoegdheid voor de ACM om toezicht te houden en te handhaven opgrond van de WHC zal, zodra dit wetsvoorstel in werking is getreden,bestaan naast de mogelijkheid voor de ACM om toezicht te houden en tehandhaven op grond van de Uitvoeringswet Dataverordening. Om dezeonderscheiden bevoegdheden goed af te bakenen, is in artikel 8, vierdelid, van het wetsvoorstel bepaald dat de bepaling, op grond waarvan deACM bevoegd is om bestuurlijke sancties op te leggen, niet vantoepassing is waar het gaat om inbreuken en inbreuken binnen de Unieop de Dataverordening in de zin van de WHC. Dit zal in de praktijkbetekenen dat de ACM in het geval van mogelijke overtredingen vanbepalingen van de Dataverordening, goed zal moeten bepalen of ersprake is van een overtreding die kwalificeert als inbreuk of inbreukbinnen de Unie in de zin van de Wet handhaving consumentenbe-scherming of een overtreding waarbij dat niet het geval is. De uitkomstdaarvan bepaalt welk wettelijk kader van toepassing is in dat geval. Deachtergrond van deze keuze is dat naar verwachting overtredingen van deDataverordening waar consumenten bij betrokken zijn, in veel gevallenzullen samengaan met overtredingen van het bestaande consumenten-recht. De ACM kan in dat geval optreden op basis van de WHC, wat deuniformiteit en uitvoerbaarheid ten goede komt.Het toezichts- en handhavingskader van de WHC wijkt in enkele opzichtenaf van het kader in het onderhavige wetsvoorstel. Zo kan de ACM opgrond van de WHC enkel een last onder dwangsom opeggen en niet ookeen last onder bestuursdwang. Voorts verschillen de maximale hoogtesvan de bestuurlijke boete op grond van beide wetten in beperkte mate vanelkaar, omdat in de WHC op dit punt niet wordt verwezen naar deTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 337 boetecategorieën van het Wetboek van Strafrecht en in artikel 8, eerste lidvan het wetsvoorstel wel. Tot slot beschikt de ACM op grond van de WHCover enkele bijzondere bevoegdheden zoals voorgeschreven door deVerordening samenwerking consumentenbescherming, namelijk om metfictieve identiteit koopovereenkomsten te sluiten (artikel 2.2a van de WHC)en om een last op te leggen om inhoud te verwijderen van of de toegangte beperken tot een online interface (artikel 2.7 van de WHC).4.3 Aanwijzen datacoördinator De ACM wordt in de Uitvoeringswet (artikel 4) aangewezen als datacoördi-nator. De ACM wordt de bevoegde autoriteit op het overgrote deel van deverordening, waardoor de ACM een voor de hand liggende optie is om desamenwerking tussen autoriteiten te faciliteren en ondertoezichtgesteldenbij te staan. Bovendien heeft ACM in het kader van de Wet handhavingconsumentenbescherming, de Uitvoeringswet datagovernanceveror-dening en de Uitvoeringswet digitaledienstenverordening al de nodigerelevante ervaring met de uitvoering van een coördinerende rol in hetkader van toezicht en handhaving. Om deze redenen acht het kabinet deACM het meest geschikt om de rol van datacoördinator uit te voerenonder de verordening.De taken en bevoegdheden van de datacoördinator volgen rechtstreeks uitartikelen 37, tweede en vijfde lid, tweede alinea, en zesde lid, en 38, eerstelid, tweede volzin, van de verordening en zijn in paragraaf 3.8 beschreven.4.4 Certificering geschillenbeslechtingsorgaan Gebruikers, gegevenshouders, gegevensontvangers, klanten enaanbieders van dataverwerkingsdiensten hebben toegang tot eengecertificeerd geschillenbeslechtingsorgaan om geschillen uit hoofd-stukken II, III,IV en VI van de verordening te beslechten (zie paragraaf 3.2van het algemeen deel van de toelichting). Lidstaten zijn niet verplicht eengeschillenbeslechtingsorgaan op te richten.De lidstaat waar het geschillenbeslechtingsorgaan is gevestigd, certifi-ceert dat orgaan op diens verzoek, indien het heeft aangetoond dat hetaan de voorwaarden uit artikel 10, vijfde lid, van de verordening voldoet.In Nederland certificeert de ACM de geschillenbeslechtingsorganen (zieartikel 2 van de Uitvoeringswet). De ACM zal ervaring opdoen hetcertificeren van geschillenbeslechtingsorganen vanuit zijn taken op grondvan de Uitvoeringswet digitaledienstenverordening. Bovendien is de ACMde bevoegde autoriteit voor de onderdelen van de Dataverordening waarde geschillenbeslechtingsorganen over zullen oordelen en kan het deexpertise van geschillenbeslechtingsorganen op deze terreinen beoor-delen.Het staat de lidstaten vrij om specifieke regels voor de certificeringspro-cedure, waaronder voor het verstrijken of intrekken van certificering, vastte stellen. Van deze mogelijkheid is gebruik gemaakt om te bepalen dat deACM een geschillenbeslechtingsorgaan certificeert voor ten hoogste vijfjaar. Deze termijn is dezelfde als de termijn die in de digitaledienstenveror-dening (zie hierna in paragraaf 5.2 van deze memorie van toelichting)geldt voor de certificering van geschillenbeslechtingsorganen onder dieverordening. Voorts is bepaald dat de ACM de certificering kan intrekkenindien het orgaan niet langer voldoet aan de voorwaarden die gelden voorde certificering of indien het orgaan niet voldoet aan de eisen die deverordening stelt aan de uitvoering van de geschillenbeslechting. Hetbetreft hier een discretionaire bevoegdheid tot intrekking, dus de ACMheeft in het concrete geval de ruimte om te besluiten of intrekking van deTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 338 certificering een passend besluit is. Zo zal een enkele overschrijding vande termijn van 90 dagen voor het nemen van een besluiten door eengeschillenbeslechtingsorgaan, zoals voorgeschreven in artikel 10,negende lid, van de Dataverordening, niet onmiddellijk leiden totintrekking van de certificering, maar kan intrekking wel aan de orde zijnals een geschillenbeslechtingsorgaan deze termijn structureel overtreedten ook na contact met de ACM geen verbetering toont. Het is aan de ACMom ter zake beleid te voeren.4.5 Advisering bij internationale overheidstoegang en overdracht vanniet-persoonsgebonden gegevens en reageren op gemeenschappelijkespecificaties Zoals beschreven in paragraaf 3.6 van het algemeen deel van detoelichting moeten aanbieders van dataverwerkingsdiensten de nationalebevoegde autoriteit voor internationale juridische samenwerking en debevoegde autoriteiten voor nationale veiligheid en defensie om advieskunnen vragen over het voldoen aan bepaalde besluiten van rechterlijkeinstanties of administratieve autoriteiten. Aangezien de bevoegdhedenomtrent internationale juridische samenwerking, nationale veiligheid endefensie in Nederland verspreid zijn over verschillende organisaties,kunnen partijen met adviesvragen ook bij het Ministerie van EconomischeZaken terecht in haar rol als beleidsverantwoordelijke voor de uitvoeringvan dit onderdeel van de verordening. Het Ministerie van EconomischeZaken zal waar nodig in samenwerking met de relevante bevoegdeautoriteiten adviezen opstellen.De artikelen 33, vijfde lid, 35, vijfde lid, en 36, zesde lid, van de veror-dening voorzien in de grondslag voor de Commissie om gemeenschappe-lijke specificaties vast te stellen door middel van uitvoeringshandelingen.Deze specificaties hebben betrekking op de essentiële eisen die geldenvoor interoperabiliteit van gegevens en dataverwerkingsdiensten en voorslimme contracten. De lidstaten kunnen op grond van de verordening deCommissie op de hoogte stellen als zij van oordeel zijn dat de door deCommissie vastgestelde specificaties niet volledig aan de in de veror-dening gestelde essentiële eisen voldoen. De Minister van EconomischeZaken zal dit namens Nederland in voorkomend geval doen, waar nodig insamenwerking met de relevante bevoegde autoriteiten.4.6 Rechtsbescherming De verordening biedt verscheidene soorten van rechtsbescherming. Bijeen mogelijke schending van de verordening kan een partij een klachtindienen bij de bevoegde autoriteit, in sommige gevallen ook naar eengeschillenbeslechtingsorgaan, en kan een partij in beroep tegen hetbesluiten die de bevoegde autoriteiten nemen (zie paragraaf 3.8 van hetalgemeen deel van de toelichting).De Uitvoeringswet (artikel 9) regelt de beroepsmogelijkheden tegenbesluiten van de ACM op grond van dit wetsvoorstel. Tegen besluiten vande ACM kan beroep in eerste aanleg bij de Rechtbank Rotterdam wordeningesteld en hoger beroep bij het College van Beroep voor het bedrijfs-leven (hierna: CBb). De reden om één bevoegde rechtbank aan te wijzen isdat er specifieke kennis is vereist voor de toepassing van de bepalingenuit de Uitvoeringswet en de verordening. Naar verwachting zal het aantalberoepen op grond van deze wetgeving te beperkt zijn om bij elkerechtbank in Nederland voldoende specialisatie te verkrijgen en tebehouden, en eenheid in de gerechtelijke uitspraken te waarborgen. Er isvoor de Rechtbank Rotterdam gekozen, omdat deze rechtbank reeds opverschillende terreinen van het economisch publiekrecht als de bevoegdeTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 339 bestuursrechter is aangewezen. Daarbij kan bijvoorbeeld worden gedachtaan de bevoegdheid in het kader van de Uitvoeringswet datagovernance-verordening, de Wet handhaving consumentenbescherming, de Telecom-municatiewet, en de Wet beveiliging netwerk- en informatiesystemen. Inlijn met deze reeds bestaande bevoegdheid is de Rechtbank Rotterdameen voor de hand liggende keuze. Tegen een uitspraak van de RechtbankRotterdam staat om diezelfde reden hoger beroep open bij het Collegevan Beroep voor het bedrijfsleven.Tegen besluiten van de AP kan beroep worden ingesteld bij de recht-banken en hoger beroep bij de Afdeling bestuursrechtspraak van de Raadvan State. Hiermee wordt aangesloten op de bestaande rechtsmachtver-deling als voor AP besluiten onder de AVG. De bepalingen uit deverordening buiten Hoofdstuk V waar de AP als toezichthouder voor isaangewezen hebben ook inhoudelijk raakvlakken met bepalingen uit deAVG. Daarmee wordt de beoordeling van beroepen tegen AP-besluitenneergelegd bij de rechter die daar de meeste expertise voor heeft.Bovendien vergemakkelijkt de mogelijkheid om bij lokale rechtbankenberoep in te stellen de toegankelijkheid van beroepsmogelijkheden voorbetrokkenen als burgers en mkb’ers.5. Verhouding tot ander recht De verordening bevat algemene regels en bepaalt expliciet dat deverordening geen afbreuk doet aan, of een aanvulling betreft op, deregelgeving genoemd in artikel 1, vijfde tot en met tiende lid, van deverordening en in diverse overwegingen van de verordening. In dezeparagraaf van de memorie van toelichting wordt hier nader op ingegaan.Daarnaast wordt ingegaan op andere voor deze verordening relevanteregelgeving. Het gaat om: AVG en ePrivacy-richtlijn (par. 5.1),EU-verordeningen op het terrein van digitalisering (par. 5.2), Richtlijnbedrijfsgeheimen (par. 5.3), intellectueel eigendomsrecht (par. 5.4),contractenrecht en consumentenrecht (par 5.5), diverse strafrechtelijke,financiële, defensie en openbare orde regelgeving (par. 5.6), staatsnood-recht (par. 5.7), regelgeving over hergebruik overheidsinformatie (par. 5.8),statistiek regelgeving (par. 5.9), regeling over interoperabiliteit ennormalisatie (par. 5.10) en verbod op misbruik van economische machts-positie (par. 5.11).De verordening voorziet in horizontale regels. Deze verordening doet geenafbreuk aan het Unierecht, waarin, gebaseerd op specifieke behoeften vaneen sector, verdere vereisten kunnen worden vastgesteld. Deze vereistendienen wel rekening te houden met de Dataverordening. Een voorbeeld isde beoogde verordening betreffende de Europese ruimte voor gezond-heidsgegevens (EHDS), die specifiekere regels bevat waarbij rekeninggehouden wordt met de gevoeligheid van gezondheidsgegevens.24Specifieke sectorale vereisten betreffen bijvoorbeeld specifieke technischeeisen voor de toegang tot gegevens, of beperkingen dan wel uitbrei-dingen van het recht op toegang of gebruik van bepaalde gegevens.Er bestaat reeds diverse sectorale regelgeving over de uitwisseling van(niet persoonsgebonden) gegevens die binnen de scope van de veror-dening vallen.25 Hier kan worden gedacht aan betaalgegevens in de24Voorstel voor een verordening betreffende de Europese ruimte voor gezondheidsgegevens,zie: eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:52022PC0197.25Voor meer informatie zie de Studie op verzoek van de EC over «The emergence ofnon-personal data markets» (oktober 2023) https://www.europarl.europa.eu/RegData/etudes/STUD/2023/740098/IPOL_STU(2023)740098_EN.pdf, p. 18.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 340 PSD2-richtlijn26, gegevens over motoren in de Motor verordening27 enelektriciteitsverbruik in de Elektriciteitsrichtlijn28.Aangezien de verordening een geharmoniseerd kader betreft mogenlidstaten geen aanvullende nationale voorschriften vaststellen ofhandhaven over aangelegenheden die binnen het toepassingsgebied vande verordening vallen, tenzij dat uitdrukkelijk is bepaald.5.1 Algemene verordening gegevensbescherming en ePrivacy-richtlijn Deze verordening doet geen afbreuk aan Unierecht en het nationale rechtinzake de bescherming van persoonsgegevens, de persoonlijke levens-sfeer en de vertrouwelijkheid van communicatie en de integriteit vaneindapparatuur, die van toepassing zijn op persoonsgegevens die wordenverwerkt in verband met de hierin vastgelegde rechten en verplichtingenmet inbegrip van de bevoegdheden van toezichthoudende autoriteiten ende rechten van datasubjecten. De verordening doet in het bijzonder geenafbreuk aan de Algemene Verordening Gegevensverwerking (AVG). Bijverwerking van persoonsgegevens is de regelgeving met betrekking totpersoonsgegevens altijd van toepassing en bij tegenstrijdigheid met deverordening prevaleert de regelgeving met betrekking tot persoonsge-gevens. Dit geldt ook voor de situatie waarin persoonsgegevens enandere gegevens in een gegevensverzameling onlosmakelijk met elkaarverbonden zijn. De Autoriteit Persoonsgegevens (AP) is de toezichthoudermet betrekking tot persoonsgegevens op basis van de AVG, en blijft dat.Wanneer bijvoorbeeld is beoordeeld dat het delen van gegevens conformhoofdstuk II van de verordening heeft plaatsgevonden, verhindert datgeenszins de AP om de rechtmatigheid van deze dataverwerking conformde AVG te beoordelen.AVG: Beginselen rechtmatige gegevensverwerkingDe verordening regelt dat een aantal beginselen voor rechtmatigegegevensverwerking uit artikel 5 van de AVG ook (deels) van toepassingworden op niet-persoonsgebonden gegevens die zijn gegenereerd meteen verbonden product of gerelateerde dienst en op verzoek van degebruikers worden gedeeld met een derde partij (artikelen 4, 5 en 6 van deverordening).Rechtmatigheid: elke verwerking van persoonsgegevens op grond vandeze verordening moet een geldige rechtsgrond hebben in de zin vanartikel 6 van de AVG (en in voorkomend geval de voorwaarden van artikel9 AVG en artikel 5, derde lid, ePrivacy-richtlijn). De verordening vormtgeen rechtsgrond voor het verzamelen of genereren van persoonsge-gevens door de gegevenshouder (overweging 7 van de verordening). Inplaats daarvan legt deze verordening gegevenshouders de verplichting opom persoonsgegevens beschikbaar te stellen aan gebruikers of derdennaar keuze van de gebruiker, op verzoek van die gebruiker. Dergelijke26Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad van 25 november 2015betreffende betalingsdiensten in de interne markt, houdende wijziging van de Richtlijnen2002/65/EG, 2009/110/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010 en houdendeintrekking van Richtlijn 2007/64/EG (PbEU 2015, L 337).27Verordening (EU) 2018/858 van het Europees Parlement en de Raad van 30 mei 2018 betref-fende de goedkeuring van en het markttoezicht op motorvoertuigen en aanhangwagensdaarvan en systemen, onderdelen en technische eenheden die voor dergelijke voertuigen zijnbestemd, tot wijziging van Verordeningen (EG) nr. 715/2007 en (EG) nr. 595/2009 en totintrekking van Richtlijn 2007/46/EG (PbEU 2018, L 151).28Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad van 5 juni 2019 betreffendegemeenschappelijke regels voor de interne markt voor elektriciteit en tot wijziging vanRichtlijn 2012/27/EU (herschikking) (PbEU 2019, L 158).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 341 toegang moet worden verleend tot persoonsgegevens die door degegevenshouder worden verwerkt op basis van een AVG-rechtsgrondslag.Tenzij de AVG anders bepaalt mag de derde de gegevens die door hetgebruik van een verbonden product of een gerelateerde dienst zijngegenereerd alleen met een andere derde delen indien dat gebeurt opgrond van een overeenkomst met de gebruiker (artikel 6, tweede lid, sub avan de verordening). Bovendien moet het voor de gebruiker evengemakkelijk zijn om toegang van de derde tot de gegevens te weigeren ofstop te zetten als het voor de gebruiker is om toegang te verlenen(overweging 38 verordening). Indien de gebruiker geen datasubject is,schept deze verordening echter geen rechtsgrond om toegang te verlenentot persoonsgegevens of persoonsgegevens ter beschikking te stellen vaneen derde, en mag zij niet worden opgevat als een verlening van eennieuw recht aan de gegevenshouder om persoonsgegevens te gebruikendie door het gebruik van een verbonden product of een gerelateerdedienst zijn gegenereerd. Ook dan moet er een geldige rechtsgrond uitartikel 6 AVG bestaan (artikelen 4, twaalfde lid, en 5, zevende lid, van deverordening).Doelbinding: vergelijkbaar met de AVG bepaalt de verordening dat degegevenshouder niet-persoonsgebonden productgegevens nietbeschikbaar stelt aan derden voor andere doeleinden dan de uitvoeringvan zijn overeenkomst met de gebruiker (artikel 4, veertiende lid, van deverordening). De derde mag gegevens die op verzoek van een gebruikeraan hem ter beschikking zijn gesteld alleen verwerken voor de met degebruiker overeengekomen doeleinden (artikel 6, eerste lid, van deverordening).Beginsel van minimale gegevensverwerking: de gegevenshouder magalleen informatie opvragen en bewaren over een persoon voor zover datnodig is voor de goede uitvoering van het toegangsverzoek van eengebruiker of derde en voor de beveiliging en het onderhoud van dedata-infrastructuur (artikelen 4, vijfde lid, en 5, vierde lid, van de veror-dening). In lijn met het beginsel van minimale gegevensverwerkingmogen derden alleen toegang hebben tot de informatie die nodig is voorde levering van de aan de gebruiker gevraagde dienst (overweging 38).Opslagbeperking: de derde moet de gegevens verwijderen indien ze nietlanger nodig zijn voor het overeengekomen doel, tenzij anders isovereengekomen met de gebruiker (artikel 6, eerste lid, van de veror-dening).Deze beginselen voor rechtmatige gegevensverwerking uit artikel 5 van deAVG zijn ook (deels) van toepassing op niet-persoonsgebonden gegevensdie aan overheden beschikbaar worden gesteld op grond van uitzonder-lijke noodzaak (hoofdstuk V van de verordening). Het gaat onder meer omhet hebben van een taak van algemeen belang als grondslag (artikel 15van de verordening), doelbinding, beveiliging van gegevens en opslagbe-perking (artikel 19 van de verordening).AVG: Rechten van betrokkene, waaronder recht op inzage en dataportabi-liteitDe verordening doet geen afbreuk aan de AVG-rechten van datasubjecten(artikel 1, vijfde lid, van de verordening en zie ook artikelen 5, dertiendelid, en 6, eerste lid, van de verordening). Ook het verzuim van degegevenshouder en de derde om regelingen voor het doorgeven van degegevens overeen te komen, mag de uitoefening van AVG-rechten nietbelemmeren, beletten of verstoren (artikel 5, achtste lid, van de veror-dening).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 342 Hoofdstuk III van de verordening betreft een aanvulling op het recht opinzage en het recht op dataportabiliteit uit artikelen 15 en 20 van de AVGvoor wat betreft productgegevens of gegevens van een gerelateerdedienst (artikel 1, vijfde lid, van de verordening). De verordening geeftgegevenshouders de verplichting om gegevens beschikbaar te stellen aangebruikers (artikel 4 van de verordening) en de gegevens op verzoek vande gebruikers te delen met derden (artikel 5 van de verordening). Derechten uit hoofde van deze verordening vormen op verschillendemanieren een aanvulling op het recht om persoonsgegevens teontvangen en over te dragen uit hoofde van artikel 20 van de AVG(overweging 35 van de verordening). De verordening verleent gebruikershet recht op toegang tot en beschikbaarstelling aan derden van product-gegevens of gegevens van een gerelateerde dienst, ongeacht of hetpersoonsgegevens betreft en of het actief verstrekte of passief waarge-nomen gegevens betreft en ongeacht de rechtsgrond van de verwerking.Het biedt gegevenshouders ook de mogelijkheid een redelijke vergoedingvast te stellen die door derden moet worden betaald voor kosten dievoortvloeien uit het verlenen van rechtstreekse toegang tot de door hetverbonden product van de gebruiker gegenereerde gegevens. Indien eengegevenshouder en een derde niet in staat zijn overeenstemming tebereiken over de voorwaarden voor een dergelijke rechtstreekse toegang,mag het datasubject op geen enkele wijze worden belet de in de AVGvastgestelde rechten, waaronder het recht op overdraagbaarheid vangegevens, uit te oefenen door overeenkomstig die verordening remediesin te stellen. In deze context moet worden begrepen dat, overeenkomstigde AVG, verwerking van bijzondere categorieën persoonsgegevens doorde gegevenshouder of de derde op grond van een overeenkomst niet istoegestaan.Hoofdstuk VI van de verordening draagt eraan bij dat gebruikers vandataverwerkingsdiensten hun gegevens makkelijker kunnen overdragentussen verschillende diensten. Wanneer deze gegevens persoonsge-gevens van de gebruikers omvatten is hier overlap met het recht opdataportabiliteit uit artikel 20 van de AVG. Indien de betrokken dataverwer-kingsdiensten niet in staat zijn de tijdige overdracht van gegevensconform de verordening mogelijk te maken, mag dit de betrokkene opgeen enkele wijze beletten de in de AVG vastgestelde rechten, waaronderhet recht op overdraagbaarheid van gegevens, uit te oefenen doorovereenkomstig die verordening remedies in te stellen.Profilering: in artikel 22, eerste lid, AVG staat het recht voor betrokkenenom niet te worden onderworpen aan een uitsluitend op geautomatiseerdeverwerking, waaronder profilering, gebaseerd besluit waaraan voor hemrechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijkemate treft. Ook gaat de verordening in op profilering (artikel 6, tweede lid,onderdeel b, van de verordening). De derde mag de gegevens nietgebruiken voor de profilering van natuurlijke personen, tenzij het nodig isvoor de door de gebruiker aangevraagde dienst, onder meer in de contextvan geautomatiseerde besluitvorming. De regels uit artikel 22, tweede lid,onderdelen a en c, AVG zijn onverminderd van kracht. Dat betekent dateen betrokkene zich niet kan beroepen op het recht om niet te wordenonderworpen aan een uitsluitend op geautomatiseerde verwerking,waaronder profilering, gebaseerd besluit waaraan voor hem rechtsge-volgen zijn verboden of dat hem in aanmerkelijke mate treft indien a) hetbesluit noodzakelijk is voor de totstandkoming of de uitvoering van eenovereenkomst tussen de betrokkene en een verwerkingsverantwoordelijkeof c) berust op de uitdrukkelijke toestemming van de betrokkene.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 343 ePrivacy-richtlijnRichtlijn 2002/58/EG29 (hierna: ePrivacy-richtlijn) beschermt het privélevenen de vertrouwelijkheid van communicatie. Deze verordening vormt eenaanvulling op en doet geen afbreuk aan de ePrivacy-richtlijn. Geen enkelebepaling van deze verordening mag zodanig worden toegepast ofuitgelegd dat het recht op privacy en vertrouwelijkheid van communicatiewordt beperkt. Elke verwerking van persoonsgegevens op grond van dezeverordening moet voldoen aan de gegevensbeschermingswetgeving vande Unie, met inbegrip van de voorwaarden artikel 5, derde lid, van deePrivacy-richtlijn. Dit artikel is in Nederland geïmplementeerd in artikel11.7a, eerste lid, van de Telecommunicatiewet: «Onverminderd de AVG ishet via een elektronisch communicatienetwerk opslaan van of toegangverkrijgen tot informatie in de randapparatuur van een gebruiker, alleentoegestaan op voorwaarde dat de betrokken gebruiker: (a) is voorzien vanduidelijke en volledige informatie overeenkomstig de AVG, in ieder gevalover de doeleinden waarvoor deze informatie wordt gebruikt, en (b)daarvoor toestemming heeft verleend.»De ePrivacy-richtlijn beschermt ook de integriteit van de eindapparatuurvan de gebruiker wat betreft het gebruik van verwerkings- en opslagmo-gelijkheden en het verzamelen van informatie. Apparatuur voorverbonden producten wordt als eindapparatuur beschouwd indien dezedirect of indirect verbonden is met een openbaar communicatienetwerk.Deze richtlijn stelt voorwaarden aan de opslag van en de toegang totpersoonsgegevens en niet-persoonsgebonden gegevens in eindappa-ratuur. Het vereist de toestemming van de abonnee of gebruiker in de zinvan die richtlijn, tenzij toegang strikt noodzakelijk is voor de levering vaneen uitdrukkelijk door de gebruiker of de abonnee gevraagde dienst vande informatiemaatschappij of uitsluitend de doorgifte van een communi-catie tot doel heeft.5.2 Datagovernanceverordening, dgitalemarktenverordening, digitaledien-stenverordening, verordening artificiële intelligentie en «Platform-to-Business» verordening DatagovernanceverordeningDe Datagovernanceverordening30 (hierna: DGA) is samen met deDataverordening onderdeel van de Europese datastrategie. De verorde-ningen hebben vier belangrijke raakvlakken. De DGA heeft als inzet om debeschikbaarheid van data te vergroten door het vertrouwen in neutraledatabemiddelingsdiensten en erkende data-altruïstische organisaties teversterken.Het recht op gegevensdeling uit de verordening (Hoofdstuk II) kanrechtstreeks door de gebruiker of, op diens verzoek, via databemidde-lingsdiensten en data-altruïstische organisaties (artikel 2, elfde onderdeel,DGA) plaatsvinden. Ook derde partijen onder de verordening kunnen ingegevensdeling door databemiddelingsdiensten worden ondersteund.Databemiddelingsdiensten kunnen ondersteunen bij het aangaan vancommerciële relaties. Daarnaast kunnen databemiddelingsdiensten eenbelangrijke rol spelen bij de toegang tot gegevens, zowel technisch als bij29Richtl(n 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende deverwerking van persoonsgegevens en de bescherming van de persoonl(ke levenssfeer in desector elektronische communicatie (PbEG 2002, L 201).30Verordening (EU) 2022/868 van het Europees Parlement en de Raad van 30 mei 2022 betref-fende Europese datagovernance en tot wijziging van Verordening (EU) 2018/1724 (Datagover-nanceverordening) (PbEU 2022, L 152).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 344 het waarborgen van de gebruikerscontrole over het aanbieden vangegevens en de voorwaarden waaronder gegevens mogen wordengebruikt. Ook wanneer een derde zelf een aanbieder van een databemid-delingsdienst is, zijn de waarborgen met betrekking tot deze diensten uitde DGA van toepassing (artikel 12 van de DGA).Ten tweede beoogt de DGA het hergebruik van beschermde gegevens inhet bezit van overheidsinstanties die niet binnen de reikwijdte van deopen datarichtlijn vallen te faciliteren. Gezien het uitzonderlijke karaktervan het opvragen van gegevens door overheden in hoofdstuk V van deverordening zijn op grond van dit hoofdstuk verkregen gegevens nietbeschikbaar voor hergebruik onder artikel 2, tweede onderdeel, van deDGA. Zie verder paragraaf 5.8 van het algemeen deel van de toelichting.Daarnaast worden de taken van het in de DGA opgerichte EuropeesComité voor gegevensinnovatie (hoofdstuk VI van de DGA) in deverordening uitgebreid. Het Europees Comité voor gegevensinnovatiekrijgt een adviesrol in de ontwikkeling van geharmoniseerde normen ende ontwikkeling van gemeenschappelijke Europese dataruimtes (artikelen42 en 46 van de Dataverordening).In de DGA worden ook eisen gesteld aan de internationale doorgifte vangegevens door databemiddelingsdiensten en data-altruïstische organi-saties (artikel 27 van de DGA). Deze bepalingen zijn in doelstelling enuitwerking vergelijkbaar met de bepalingen uit Hoofdstuk VII van deverordening. Ook in het kader van de DGA is de ACM hierop de bevoegdeautoriteit.Free Flow of Data-verordeningDe verordening voor het vrije verkeer van niet-persoonsgebondengegevens (hierna: Free Flow of Data-verordening)31 beoogt het vrijeverkeer van niet-persoonsgebonden gegevens binnen de Europese Uniete waarborgen door regels vast te leggen met betrekking tot gegevenslo-kalisatievereisten, de beschikbaarheid van gegevens voor bevoegdeautoriteiten en de portabiliteit van gegevens voor professionelegebruikers. Die verordening moedigt aanbieders van dataverwerkings-diensten aan om zelfregulerende gedragscodes te ontwikkelen die bestepraktijken bevatten voor onder meer een gemakkelijkere overstap naareen andere aanbieder van dataverwerkingsdiensten en het overdragenvan gegevens.Aangezien er slechts beperkt gebruik wordt gemaakt van de zelfregule-rende kaders die er naar aanleiding daarvan zijn ontwikkeld, en er eenalgemene gebrek is aan open normen en interfaces, is het noodzakelijkom in de Dataverordening een reeks minimale wettelijke verplichtingenvoor aanbieders van dataverwerkingsdiensten vast te stellen teruitbanning van precommerciële, commerciële, technische, contractuele enorganisatorische belemmeringen – zoals, maar niet uitsluitend, vertraagdedataoverdracht bij het vertrek van een klant – die een doeltreffendeoverstap tussen dataverwerkingsdiensten bemoeilijken.31Verordening (EU) 2018/1807 van het Europees Parlement en de Raad van 14 november 2018inzake een kader voor het vrije verkeer van niet-persoonsgebonden gegevens in de EuropeseUnie (PbEU 2018, L 303).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 345 DigitalemarktenverordeningDe digitalemarktenverordening32 (hierna: DMA) bevat regelgeving om eeneerlijker speelveld in de digitale economie te creëren door de machtspo-sitie van «poortwachterplatforms» te verminderen. De DMA staat deCommissie toe een onderneming als poortwachter aan te wijzen.Poortwachters zijn grote platforms met een aanzienlijke marktpositie waargebruikers (consumenten en bedrijven) niet omheen kunnen en die doorhun macht de toegang tot markten kunnen controleren. Deze machtspo-sitie is vaak voor een deel gebaseerd op de ongeëvenaarde hoeveelheidgegevens die platforms tot hun beschikking hebben en kunnen verkrijgen.Als poortwachters via de verordening in staat worden gesteld nog meergegevens te verzamelen zou dit strijdig zijn met het doel van de DMA omde machtspositie van poortwachterplatforms te adresseren en het doelvan de verordening, die een eerlijke verdeling van de waarde uit gegevensbeoogt. Een onderneming die onder de DMA is aangewezen als poort-wachter krijgt daarom via de verordening geen toegang tot gegevens vangebruikers die zijn gegenereerd door verbonden producten of diensten.Poortwachters komen niet in aanmerking om gegevens te ontvangen alsderde partij (artikel 5, derde lid, Dataverordening), en derden mogen geengegevens beschikbaar stellen aan poortwachters (artikel 6, tweede lid,onderdeel d, Dataverordening). De mogelijkheid tot het sluiten vanvrijwillige overeenkomsten tussen poortwachters en gegevenshouderswordt niet door de verordening ingeperkt.DigitaledienstenverordeningDe digitaledienstenverordening33 (hierna: DSA) bevat regels over deaansprakelijkheid en verantwoordelijkheid van online tussenhandel-diensten. Dit zijn online diensten waarbij het doorgeven en/of opslaan vaninformatie van gebruikers centraal staat. De DSA onderscheidt respectie-velijk mere conduitdiensten, cachingdiensten en hostingdiensten.Dataverwerkingsdiensten kunnen kwalificeren als een tussenhandeldienstonder de DSA, in welk geval zij onder het bestek van deze horizontaleverordening vallen. Dit betekent dat zij, onder voorwaarden, inaanmerking kunnen komen voor de aansprakelijkheidsvrijstellingenneergelegd in de DSA en dat zij aan de zorgvuldigheidsverplichtingen uitde DSA moeten voldoen. De zorgvuldigheidsverplichtingen zijn in de DSAgeordend naar categorie tussenhandeldienst en vormen een gelaagdestructuur. Zo bevat de DSA een aantal verplichtingen die van toepassingzijn op alle tussenhandeldiensten. Daarbovenop bevat de DSA aanvul-lende verplichtingen die enkel gelden voor respectievelijk hosting-diensten, online platforms, online marktplaatsen en zogenaamde zeergrote online platforms en zeer grote online zoekmachines. Of eenspecifieke dataverwerkingsdienst kwalificeert als tussenhandeldienst – en,zo ja, welk type – hangt af van diens technische functies en moet geval pergeval worden beoordeeld. Aangezien de DSA en de verordening zeerverschillende onderwerpen op digitaal terrein reguleren zijn deraakvlakken tussen beide verordeningen beperkt.32Verordening (EU) 2022/1925 over betwistbare en eerlijke markten in de digitale sector (dedigitalemarktenverordening) (PbEU 2022, L 265).33Verordening 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betref-fende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG(digitaledienstenverordening) (PbEU 2022, L 277).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 346 Artificiële intelligentieverordeningDe Verordening artificiële intelligentie (hierna: AI-verordening)34 bevatregels voor de ontwikkeling en het gebruik van artificiële intelligentie. DeAI-verordening legt verplichtingen op aan aanbieders en gebruikers vanAI-systemen. Welke dat zijn, is vooral afhankelijk van het risico van deAI-toepassing. De verordening en de AI-verordening hebben verschillendedoelen die elkaar aanvullen. De AI-verordening heeft als doel ervoor tezorgen dat AI-systemen die op de EU-markt worden gebruikt, veilig zijn ende fundamentele rechten en waarden van de EU respecteren. Deverordening reguleert met name welke gegevens voor wie toegankelijkzijn en onder welke voorwaarden. Voor het ontwikkelen en trainen vanAI-systemen, zijn gegevens nodig. Gegevens die ondernemingen,bijvoorbeeld als derden onder hoofdstuk II, via de verordening verkrijgenkunnen zij gebruiken voor de ontwikkeling of het gebruik vanAI-systemen. De verordening legt in zulke gevallen vast onder welkevoorwaarden een onderneming toegang tot gegevens kan krijgen. DeAI-verordening stelt eisen aan de ontwikkeling en het gebruik van eenAI-systeem, bijvoorbeeld dat er niet wordt gediscrimineerd. Dit betekentdat de opzet van het systeem, de manier van trainen en de gegevenswaarmee een systeem getraind wordt, evenwichtig moeten zijn enbepaalde groepen niet mogen bevoordelen of benadelen. AI-systemen dieonderdeel zijn van een verbonden product, gerelateerde dienst ofdataverwerkingsdienst, kunnen ook gegevens genereren. In zulke gevallenlegt de verordening vast welke partijen toegang tot deze gegevens kunnenkrijgen en onder welke voorwaarden. De AI-verordening is ook dan vantoepassing op de ontwikkeling en het gebruik van AI-systemen.«Platform-to-business verordeningDe Verordening Platform-to-Business35 (hierna: P2B) legt onder andereregels vast over geschilbeslechting, transparantie met betrekking totalgemene voorwaarden en de volgorde van zoekresultaten. Met dezeregels is de kleinere ondernemer beter beschermd en kan deze metvertrouwen online zaken doen. De doelstellingen raken aan die vanregelgeving zoals de DMA en de verordening. De juridische raakvlakkenmet de verordening zijn beperkt.5.3 Richtlijn bedrijfsgeheimen De Richtlijn bedrijfsgeheimen36 beoogt de harmonisatie van de regelsinzake bescherming van niet-openbaar gemaakte knowhow en bedrijfsin-formatie (bedrijfsgeheimen). De Richtlijn geeft aan wat onder eenbedrijfsgeheim wordt verstaan, tegen welke vormen van inbreuk daarop(onrechtmatig verkrijgen, gebruiken of openbaar maken) kan wordenopgetreden en welke maatregelen, procedures en rechtsmiddelendaarvoor kunnen worden ingezet. In Nederland is de richtlijn geïmplemen-teerd in de Wet bescherming bedrijfsgeheimen.34Voorstel van 21 april 2021 voor een verordening van het Europees Parlement en de Raad totvaststelling van geharmoniseerde regels betreffende Artificiële Intelligentie (wet op deArtificiële Intelligentie) en tot wijziging van bepaalde wetgevingshandelingen van de Unie(COM(2021) 206 final).35Verordening (EU) 2019/1150 van het Europees Parlement en de Raad van 20 juni 2019 terbevordering van billijkheid en transparantie voor zakelijke gebruikers van onlinetussenhandel-diensten (PbEU 2019, L 186).36Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende debescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen)tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PbEU 2016, L 157).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 347 Hoewel de verordening gegevenshouders verplicht tot openbaarmakingvan gegevens, waaronder gegevens die in aanmerking komen voorbescherming als bedrijfsgeheimen, aan gebruikers of derden op verzoekvan gebruikers, blijft de bescherming van bedrijfsgeheimen onder deRichtlijn bedrijfsgeheimen gewaarborgd. Artikel 4, zesde lid, van deverordening bepaalt dat gegevens die bedrijfsgeheimen bevatten, alleenopenbaar gemaakt mogen worden als de gegevenshouder en degebruiker of derde vóór de openbaarmaking alle noodzakelijke maatre-gelen nemen om de vertrouwelijkheid ervan te waarborgen, met name tenaanzien van derden. De gegevenshouder of de houder van het bedrijfs-geheim identificeert de gegevens die als bedrijfsgeheimen wordenbeschermd, inclusief de relevante metadata. Zij komen met de gebruikerproportionele technische en organisatorische maatregelen overeen dienodig zijn om de vertrouwelijkheid van de gedeelde gegevens te bewaren.Wanneer hierover geen overeenstemming bestaat dan kan een gegevens-houder de toegang tot de betreffende gegevens weigeren of opschorten,zo bepaalt artikel 4, zevende lid, van de verordening. Daarnaast bepaaltartikel 4, achtste lid, van de verordening, dat in uitzonderlijke omstandig-heden de gegevenshouder van geval tot geval een verzoek om toegangtot de specifieke gegevens in kwestie kan weigeren. De gegevenshoudermoet daarvoor kunnen aantonen dat het zeer waarschijnlijk is dat hijondanks technische en organisatorische maatregelen ernstige econo-mische schade zal lijden door de openbaarmaking van bedrijfsgeheimen.Artikel 4, negende lid, van de verordening bepaalt ten slotte dat degebruiker hiertegen verhaal kan halen bij een rechterlijke instantie, eenklacht kan indienen bij een bevoegde autoriteit of (met de gegevens-houder) overeen kan komen de zaak voor te leggen aan een geschillenbe-slechtingscommissie. Artikel 5, negende, tiende en elfde lid, van deverordening bevat gelijke bepalingen ten opzichte van een derde, maaralleen in het geval de gebruiker het recht heeft bedrijfsgeheimen bekendte maken aan derden.5.4 Intellectuele eigendomsrechten, waaronder de Databankrichtlijn Voor wat betreft de intellectuele eigendomsrechten laat de verordeningEU en nationale regelgeving ten aanzien van de bescherming hiervan,inclusief richtlijnen op het terrein van het auteursrecht- en naburigerechten en de handhaving van intellectuele eigendomsrechten, onverlet.De verordening regelt specifieker de verhouding tot artikel 7 van de deDatabankrichtlijn37, dat betreft een zogenaamde «recht sui generis». Hetbetreft een recht voor de producent van een databank, waarvan hetverkrijgen, de controle of de presentatie van de inhoud in kwalitatief ofkwantitatief opzicht getuigt van een substantiële investering, om deopvraging of het hergebruik van het geheel of een in kwalitatief ofkwantitatief opzicht substantieel deel van die inhoud te verbieden. Artikel43 van de verordening bepaalt dat het sui generis recht uit artikel 7 van deDatabankrichtlijn niet van toepassing is op gegevens uit een product ofgerelateerde dienst. Hiermee wordt voorkomen dat de producent van eendatabank met gegevens die zijn verkregen of gegenereerd door eenproduct of gerelateerde dienst of andere door een machine gegenereerdegegevens, aanspraak kan maken op het sui generis recht op grond vanartikel 7 van de Databankrichtlijn, en zo met name het recht vangebruikers op toegang en dataportabiliteit op grond van deze verordeningkan belemmeren. Deze uitzondering heeft geen effect op databanken metgegevens die buiten het toepassingsgebied van deze verordening vallen.37Richtlijn 96/9/EG van het Europees Parlement en de Raad van 11 maart 1996 betreffende derechtsbescherming van databanken (PbEG 1996, L 77).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 348 5.5 Contractenrecht en consumentenrecht Privaatrechtelijke regels zijn van cruciaal belang in het algemene kadervoor gegevensdeling. Daarom worden met deze verordening de regelsvan het overeenkomstenrecht op punten aangevuld, ter voorkoming vanmisbruik van contractuele onevenwichtigheden die een eerlijke toegangtot en een eerlijk gebruik van gegevens belemmeren. Tenzij dezeverordening anders bepaalt, doet zij geen afbreuk aan het nationaleovereenkomstenrecht, waaronder de regels betreffende de totstand-koming, de geldigheid of de gevolgen van overeenkomsten, of degevolgen van de beëindiging van een overeenkomst (zie overweging 9 bijde verordening). De verordening vormt een aanvulling op, en doet geenafbreuk aan, EU- en nationaal recht gericht op consumentenbescherming,met name Richtlijn 93/13/EEG38 (hierna: Richtlijn oneerlijke bedingen inconsumentenovereenkomsten), Richtlijn 2005/29/EG39 (hierna: Richtlijnoneerlijke handelspraktijken) en Richtlijn 2011/83/EU40 (hierna: Richtlijnconsumentenrechten) (artikel 9, negende lid, van de verordening).Contractvoorwaarden gegevensdelingOp basis van het beginsel van contractvrijheid blijft het partijen vrijstaanom, binnen het kader van algemene regels voor het beschikbaar stellenvan gegevens, bij hun overeenkomsten te onderhandelen over de preciezevoorwaarden voor het beschikbaar stellen van gegevens. Ongeacht of eengegevenshouder en een derde een overeenkomst sluiten over gegevens-deling, is het recht van gebruikers om gegevens te delen met derdenafdwingbaar voor de nationale rechterlijke instanties. De verordening steltonder meer regels over informatie die voor het sluiten van de overeen-komst moet worden verstrekt en andere rechten en plichten metbetrekking tot het beschikbaar stellen van gegevens. De overeenkomstvoor de aankoop, huur of leasing van een verbonden product of gerela-teerde dienst vormt de basis voor het gebruik van niet-persoonsgebondengegevens. Elke contractvoorwaarde die bepaalt dat de gegevenshouderde productgegevens of de gegevens van een gerelateerde dienst maggebruiken, moet transparant zijn voor de gebruiker, ook over dedoeleinden waarvoor de gegevenshouder de gegevens zal gebruiken.Elke wijziging van de overeenkomst vereist de geïnformeerdetoestemming van de gebruiker. Volgens het Nederlandse recht is daaraanook voldaan als de gegevenshouder in zijn voorwaarden, waarmee degebruiker bij het aangaan van de overeenkomst heeft ingestemd, eenwijzigingsbeding heeft opgenomen. Daarbij geldt wel de eis dat dewijziging redelijk moet zijn. Ook moeten de nieuwe voorwaarden kenbaarzijn gemaakt aan de gebruiker en moeten zij na de vaste looptijd ingaan.Indien de gegevenshouder zich niet aan deze eisen houdt, kan degebruiker de aanpassing in de overeenkomst laten vernietigen, waarmeezij ongeldig wordt.38Richtlijn 93/13/EEG van de Raad van 5 april 1993 betreffende oneerlijke bedingen in consu-mentenovereenkomsten (PbEG 1993, L 95).39Richtlijn 2005/29/EG van het Europees Parlement en de Raad van 11 mei 2005 betreffendeoneerlijke handelspraktijken van ondernemingen jegens consumenten op de interne markt entot wijziging van Richtlijn 84/450/EEG van de Raad, Richtlijnen 97/7/EG, 98/27/EG en2002/65/EG van het Europees Parlement en de Raad en van Verordening (EG) nr. 2006/2004van het Europees Parlement en de Raad («Richtlijn oneerlijke handelspraktijken») (PbEU 2005,L149).40Richtlijn 2011/83/EU van het Europees Parlement en de Raad van 25 oktober 2011 betreffendeconsumentenrechten, tot wijziging van Richtlijn 93/13/EEG van de Raad en van Richtlijn1999/44/EG van het Europees Parlement en de Raad en tot intrekking van Richtlijn 85/577/EEGen van Richtlijn 97/7/EG van het Europees Parlement en de Raad (PbEU L 304/64).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 349 De verordening belemmert gebruikers die bedrijven zijn niet om metderden voorwaarden overeen te komen over het beschikbaar stellen vangegevens. Het kan bijvoorbeeld gaan om voorwaarden die het verderedelen van gegevens beperken of begrenzen of die gaan over eenvergoeding voor het beschikbaar stellen van gegevens, bijvoorbeeld inruil voor het opgeven van hun recht om deze gegevens te gebruiken of tedelen. Ongeacht of een gegevenshouder en een derde een overeenkomstsluiten over gegevensdeling, is het recht van gebruikers om gegevens tedelen met derden afdwingbaar voor de nationale rechterlijke instanties.In overeenkomsten tussen een gegevenshouder en een consument alsgebruiker van een verbonden product of gerelateerde dienst die gegevensgenereert, is het consumentenrecht van de Unie, met name de Richtlijnoneerlijke bedingen in consumentenovereenkomsten en de Richtlijnoneerlijke handelspraktijken, van toepassing om ervoor te zorgen dat eenconsument niet onderworpen is aan oneerlijke contractvoorwaarden.Daarnaast legt het hoofdstuk vast dat gegevenshouders beschermings-maatregelen, zoals encryptie, mogen treffen om ongeoorloofde toegangtot gegevens te voorkomen en naleving van de overeengekomencontractvoorwaarden te waarborgen (artikel 11, eerste lid, van deverordening). De gegevensontvanger of derden moeten voorts onverwijldvoldoen aan de verzoeken van een gegevenshouder indien daadwerkelijksprake is van ongeoorloofd gebruik of ongeoorloofde openbaarmakingvan verstrekte gegevens (artikel 11, tweede lid, van de verordening). Hetverzoek van de gegevenshouder kan inhouden het wissen van deverstrekte gegevens, het beëindigen van het produceren en op de marktbrengen van goederen of diensten en het ontvangen van een schadever-goeding. In deze gevallen zal sprake zijn van een niet-nakoming van deovereenkomst of wanprestatie of van een onrechtmatige daad. Vorde-ringen van deze strekking kunnen bij de civiele rechter worden ingediend,in het geval de gegevensontvanger of derde niet aan zijn verplichtingenop grond van deze bepaling voldoet. Ook de ACM wordt bevoegd omtoezicht en handhaving uit te oefenen ten aanzien van deze bepalingen.Daarbij zal het toezicht van de ACM zich vooral richten op de vraag of degegevensontvanger of derde in voldoende mate en voldoende snelreageert op verzoeken van de gegevenshouder en of hij de verzoekennakomt. Welke maatregelen in het concrete geval passend en wenselijkzijn is in eerste instantie aan de partijen zelf om uit te komen, waarbijgeschillen zoals hiervoor genoemd aan de civiele rechter kunnen wordenvoorgelegd. Dit geldt bijvoorbeeld voor het vaststellen van de hoogte vaneen eventuele schadevergoeding.Niet bindende bepalingenDe verordening bepaalt wanneer contractvoorwaarden niet bindend zijn.Ten eerste: een contractvoorwaarde die de gebruiker benadeelt omdat diede toepassing van zijn rechten uitsluit, daarvan afwijkt of zijn rechten uithoofdstuk II van de verordening aantast, is niet bindend voor de gebruiker(artikelen 7, tweede lid, en 8, tweede lid, van de verordening). Ten tweede:een contractvoorwaarde in een gegevensdelingsovereenkomst die, tennadele van een partij (waaronder de gebruiker), de toepassing vanhoofdstuk III van de verordening uitsluit, daarvan afwijkt of de gevolgenervan wijzigt, is niet bindend voor die partij (artikel 12, tweede lid, van deverordening).Ten slotte staat in hoofdstuk IV van de verordening dat een contractuelevoorwaarde die verband houdt met het beschikbaar stellen van gegevensen eenzijdig door een onderneming is opgelegd aan een andere onder-neming, niet bindend is voor laatstgenoemde onderneming indien ditTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 350 oneerlijk is (artikel 13, eerste lid, van de verordening). Het gaat omcontractvoorwaarden betreffende de toegang tot en het gebruik vangegevens of aansprakelijkheid en remedies in geval van schending ofbeëindiging van gegevensgerelateerde verplichtingen. Gelet op hetprincipe van contractsvrijheid van bedrijven gaat het alleen om oneerlijkecontractvoorwaarden die eenzijdig zijn opgelegd. Dat zijn contractvoor-waarden waarbij de andere partij niet in staat is geweest om de inhoudervan te beïnvloeden, ondanks een poging om erover te onderhandelen.Het moet gaan om buitensporige contractvoorwaarden waarbij misbruikis gemaakt van een sterkere onderhandelingspositie.De verordening bevat een lijst met bedingen die altijd oneerlijk wordengeacht en een lijst met bedingen die als oneerlijk worden verondersteld(artikel 13, vierde en vijfde lid, van de verordening). De bepalingen sluiteninhoudelijk aan op de onredelijk bezwarende voorwaarden zoals bepaaldin artikelen 6:236 en 6:237 van het Burgerlijk Wetboek (hierna: BW), ookwel de grijze en zwarte lijst genoemd. Het verschil is dat de grijze enzwarte lijst van toepassing zijn indien de wederpartij een natuurlijkepersoon is, die niet handelt in de uitoefening van een beroep of eenbedrijf, en artikel 13 van de verordening ziet op overeenkomsten tussenondernemingen.In de verordening is bepaald dat het rechtsgevolg van het opnemen vande betreffende contractuele bepalingen is dat die bepaling niet bindend isvoor één van de partijen. De desbetreffende partij kan zich in de relatiemet de andere partij of bij de civiele rechter beroepen op dat rechts-gevolg. In het Nederlandse civiele recht is het rechtsgevolg van strijd vaneen contractuele bepaling met een dwingende wetsbepaling dat debepaling nietig of vernietigbaar is, een en ander voor zover niet uit destrekking van de bepaling anders voortvloeit (artikel 3:40 BW). Het is aande civiele rechter aan wie een geding over een niet geldende contractuelebepaling wordt voorgelegd, om te beoordelen hoe de verordening zich opdit punt verhoudt tot artikel 3:40 BW.Bescherming tegen oneerlijke bedingenZoals hiervoor beschreven, beschermt artikel 13 van de verordening tegenoneerlijke bedingen in overeenkomsten met betrekking tot de toegang toten het gebruik van gegevens tussen ondernemingen. Voor consumentenvloeit die bescherming voort uit het Europese consumentenrecht, en danmet name Richtlijn oneerlijke bedingen in consumentenovereenkomstenen Richtlijn oneerlijke handelspraktijken (zie overweging 28 van deverordening). Uit de Richtlijn oneerlijke bedingen in consumentenover-eenkomsten jo. artikel 6:233 BW volgt dat consumenten zich kunnenbeschermen tegen oneerlijke bedingen door de mogelijkheid tot vernie-tiging van het oneerlijke beding. Daarnaast toetst de rechter ambtshalveop de vernietigbaarheid van oneerlijke bedingen.Ten aanzien van oneerlijke bedingen in consumentenovereenkomsten enRichtlijn oneerlijke handelspraktijken is de ACM bevoegd tot handhavingop grond van de Wet handhaving consumentenbescherming, dieuitvoering geeft aan de Europese verordening samenwerking consumen-tenbescherming.41 Uitgangspunt van die wet is dat handhaving van diebepalingen in individuele gevallen geschiedt bij de civiele rechter.Handhaving door de ACM is pas aan de orde als een overtreding schade41Verordening (EU) 2017/2394 van het Europees Parlement en de Raad van 12 december 2017betreffende samenwerking tussen de nationale autoriteiten die verantwoordelijk zijn voorhandhaving van de wetgeving inzake consumentenbescherming en tot intrekking vanVerordening (EG) nr. 2006/2004 (PbEU 2017, L 345).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 351 toebrengt of kan toebrengen aan de collectieve belangen van consu-menten (zie de definitie van het begrip «inbreuk in artikel 1.1 van de Wethandhaving consumentenbescherming). Is dat het geval, dan is de ACMonder meer bevoegd om een bestuurlijke boete op te leggen (artikel 2.9van de Wet handhaving consumentenbescherming).De ACM zal op grond van dit wetsvoorstel ook toezicht houden op deverplichting voor gegevenshouders om gegevens beschikbaar te stellenonder voorwaarden die niet oneerlijk zijn in de zin van artikel 13 van deverordening (artikel 8, eerste lid, van de verordening). Ondernemingenhebben op grond van artikel 38 van de verordening ook het recht om eenklacht bij de ACM in te dienen als zij menen dat een gegevenshouder eeninbreuk op deze bepaling heeft begaan. De verordening bevat geenspecifieke regels over wanneer de toezichthoudende autoriteiten bevoegdzijn om tot handhaving over te gaan bij inbreuken op deze verplichting enwanneer niet, zoals dat wel het geval is in de Wet handhaving consumen-tenbescherming.Het is aan de ACM om in de praktijk te bepalen welk beleid zij voert metbetrekking tot het toezicht op en de handhaving van deze verplichtingen,in het licht van deze eisen uit de verordening en algemeen geldendeprincipes als het legaliteitsbeginsel. In de visie van het kabinet kunnengeschillen in individuele gevallen het beste worden beoordeeld door derechter, die ook bevoegd is om de inhoud van het gehele contract tebeoordelen en om een doeltreffende remedie op te leggen (vernietigenvan de betreffende contractuele bepaling, vaststellen van een schadever-goeding). Het toezicht en de handhaving door de ACM zou zich danprimair moeten richten op zaken waarin sprake is van ernstige ofherhaalde overtredingen. Dit is ook in lijn met de criteria voor sanctieszoals opgenomen in artikel 40, derde lid, van de verordening, waaronderde aard en de ernst van de overtreding en eerdere inbreuken. Op dezewijze wordt ook voorkomen dat ten aanzien van ondernemingen in ditverband meer mogelijkheden tot publiekrechtelijke handhaving bestaandan bij vergelijkbare inbreuken ten aanzien van consumenten, terwijl vanondernemingen kan worden verwacht dat zij makkelijker voor hun rechtenkunnen opkomen, bijvoorbeeld bij de civiele rechter.Verdere (consumenten)bescherming gebruikersDerden noch gegevenshouders mogen de uitoefening van keuzes ofrechten door de gebruiker onnodig moeilijk maken, door de gebruiker opniet-neutrale wijze keuzemogelijkheden aan te bieden, of door degebruiker op enigerlei wijze te dwingen, te misleiden of te manipuleren, ofdoor de autonomie, besluitvorming of keuzes van de gebruiker teondermijnen of te beperken, onder meer door middel van een digitalegebruikersinterface of een deel daarvan (artikelen 4, vierde lid, en 6,tweede lid, onderdeel a, van de verordening). In dat verband mogenderden of gegevenshouders zich bij het ontwerpen van hun digitaleinterfaces niet baseren op donkere patronen, ontwerptechnieken dieconsumenten aanzetten tot beslissingen die negatieve gevolgen voor henhebben. Gangbare en legitieme handelspraktijken die in overeen-stemming zijn met het Unierecht, mogen op zichzelf niet als donkerepatronen worden beschouwd. Derden en gegevenshouders moetenvoldoen aan hun verplichtingen uit hoofde van het toepasselijkeUnierecht, met name de vereisten die zijn vastgesteld in RichtlijnTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 352 98/6/EG42, Richtlijn 2000/31/EG43, Richtlijn oneerlijke handelspraktijken enRichtlijn consumentenrechten.Contractvoorwaarden betreffende overstappen en interoperabiliteitIn hoofdstuk VI van de verordening worden eisen gesteld aan contract-voorwaarden betreffende een overstap naar een andere aanbieder vandataverwerkingsdiensten of naar een on-premises-ICT-infrastructuur(artikel 25 van de verordening). De rechten van de klant en de verplich-tingen van de aanbieder van dataverwerkingsdiensten moeten in eenschriftelijk contract duidelijk zijn vastgesteld. Dit contract moet voldoenaan Richtlijn (EU) 2019/77044 (hierna: Richtlijn levering digitale inhoud),geïmplementeerd in Boek 7 Titel 1aa van het Burgerlijk Wetboek, en de inartikel 25 van de verordening gestelde voorwaarden. Bestaande rechten inverband met de beëindiging van overeenkomsten, waaronder de rechtendie zijn ingevoerd bij de AVG en de Richtlijn levering digitale inhoud,moeten onverlet worden gelaten. De verordening mag niet wordenopgevat als een beletsel voor een aanbieder van dataverwerkingsdienstenom klanten nieuwe en verbeterde diensten, kenmerken en functionali-teiten aan te bieden of om daarop met andere aanbieders van dataverwer-kingsdiensten te concurreren.Daarnaast bevat de verordening voor aanbieders van dataverwerkings-diensten informatieverplichtingen (artikelen 26 en 28 van de verordening)en wordt verplicht om onder meer contractuele belemmeringen weg tehalen (artikel 23 van de verordening) om een klant van een dataverwer-kingsdienst te beschermen. Dergelijke bescherming wordt ook gebodenbij interoperabiliteit (artikel 34). Het gaat om specifieke bepalingen uit deverordening die rechtstreeks werken en in lijn zijn met Nederlands recht.Slimme contractenIn paragraaf 3.7 van het algemeen deel van de toelichting is toegelicht watslimme contracten zijn en welke essentiële eisen de verordening (artikel36) daaraan stelt. De essentiële eisen zijn van toepassing op de verkopersvan slimme contracten, behalve als zij binnen hun bedrijf slimmecontracten voor uitsluitend intern gebruik ontwikkelen. De essentiële eisdat slimme contracten moeten kunnen worden onderbroken en beëindigd,impliceert wederzijdse instemming van de partijen bij de overeenkomstinzake het delen van gegevens. Het gebruik van slimme contracten voorde geautomatiseerde uitvoering van gegevensdelingsovereenkomstenlaat de toepasselijkheid van de relevante regels van burgerlijk, contrac-tueel en consumentenbeschermingsrecht op dergelijke overeenkomstenonverlet.Modelcontractvoorwaarden en standaardcontractbepalingenOm ondernemingen te helpen bij het opstellen van overeenkomsten endaarover te onderhandelen, moet de Commissie vóór 12 september 2025niet-bindende modelcontractvoorwaarden voor gegevensdelingsovereen-42Richtlijn 98/6/EG van het Europees Parlement en de Raad van 16 februari 1998 betreffende debescherming van de consument inzake de prijsaanduiding van aan de consument aangebodenproducten (PbEG 1998, L 80).43Richtlijn 2000/31/EG van het Europees Parlement en de Raad van 8 juni 2000 betreffendebepaalde juridische aspecten van de diensten van de informatiemaatschappij, met name deelektronische handel, in de interne markt («Richtlijn inzake elektronische handel») (PbEG 2000,L 178).44Richtlijn (EU) 2019/770 van het Europees Parlement en de Raad van 20 mei 2019 betreffendebepaalde aspecten van overeenkomsten voor de levering van digitale inhoud en digitalediensten (PbEU 2019, L 136).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 353 komsten tussen ondernemingen, waaronder voorwaarden over redelijkevergoeding en de bescherming van bedrijfsgeheimen, ontwikkelen enaanbevelen, alsook niet-bindende standaardcontractbepalingen voorcloudovereenkomsten. Dit moet een evenwichtigere relatie tussen decontractspartijen tot stand brengen en de rechtszekerheid van devoorwaarden verbeteren en leiden tot meer eerlijke, redelijke enniet-discriminerende contractuele rechten en verplichtingen.5.6 Strafrecht, witwassen en terrorismefinanciering, nationale veiligheid,defensie, openbare orde, douane, belasting Artikelen 1, zesde lid, en 16, tweede lid, van de verordening kaderen dereikwijdte van de verordening verder in. Deze verordening heeft geeneffect op EU of nationale regelgeving die voorzien in het delen van, detoegang tot en het gebruik van gegevens voor het doel van hetvoorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten ofde tenuitvoerlegging van strafrechtelijke sancties en internationalesamenwerking op dat gebied. Ook heeft het geen effect op het verza-melen, delen, de toegang en het gebruik van gegevens op grond vanRichtlijn (EU) 2015/849 van het Europees Parlement en de Raad over hetvoorkomen van het gebruik van het financiële stelsel voor het witwassenvan geld en terrorismefinanciering en Verordening (EU) 2015/847 van hetEuropees Parlement en de Raad betreffende informatie bij de overdrachtvan middelen. Deze verordening doet geen afbreuk aan de bevoegdhedenvan de lidstaten betreffende openbare veiligheid, defensie of nationaleveiligheid en handhaving van de openbare orde. Deze verordening laat debevoegdheden van de lidstaten onverlet op het gebied van douane enbelastingadministratie en de gezondheid en veiligheid van burgers.5.7 Staatsnoodrecht Hoofdstuk V geeft aan (nationale- of EU-)overheidsinstanties het recht omin het geval van een uitzonderlijke noodzaak bepaalde gegevens op tevragen bij gegevenshouders. Er is volgens artikel 15, eerste lid, onderdeela, van de Dataverordening onder andere sprake van een «uitzonderlijkenoodzaak» wanneer de gegevens noodzakelijk zijn om te reageren op eenalgemene noodsituatie en de overheidsinstantie niet in staat is dergelijkegegevens tijdig en doeltreffend op een andere manier en in gelijkwaardigeomstandigheden te verkrijgen. Een «algemene noodsituatie» wordt in deverordening gedefinieerd als: een in de tijd beperkte uitzonderlijkesituatie, zoals een noodsituatie op het gebied van de volksgezondheid,een noodsituatie die voortvloeit uit natuurrampen, of een door de mensveroorzaakte grote ramp, met inbegrip van een groot cyberveiligheidsin-cident, dat negatieve gevolgen heeft voor de bevolking van de Unie, vaneen lidstaat of van een deel daarvan, met een risico op ernstige enblijvende gevolgen voor de levensomstandigheden of de economischestabiliteit, de financiële stabiliteit of een aanzienlijke en onmiddellijkeverslechtering van de economische activa in de Unie of in de betrokkenlidstaat, en die wordt vastgesteld of officieel wordt afgekondigd overeen-komstig de relevante Unie- of nationaalrechtelijke procedures.Van een algemene noodtoestand waarop artikel 15, eerste lid, onderdeela, van de Dataverordening van toepassing kan zijn, is dus alleen sprakeals aan twee cumulatieve voorwaarden wordt voldaan:1.er moet sprake zijn van een uitzonderlijke (nood)situatie die in de tijdbeperkt is; en2.deze situatie wordt vastgesteld of afgekondigd overeenkomstig derelevante Unie- of nationaalrechtelijke procedures.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 354 Binnen Nederland, is daarom de verhouding met het Nederlandse(staats)nood- en crisisrecht van belang.Het Nederlandse staatsnoodrecht heeft een grondwettelijke basis in artikel103 van de Grondwet voor uitzonderingstoestanden die is uitgewerkt inde Coördinatiewet uitzonderingstoestanden. Uitzonderingstoestanden zijnde beperkte of algemene noodtoestand die bij koninklijk besluit kunnenworden afgekondigd.45 Beide noodtoestanden zijn te beschouwen als eenalgemene noodsituatie onder de Dataverordening. Als een noodtoestandwordt afgekondigd kunnen bij koninklijk besluit bevoegdheden uitstaatsnoodwetten die zijn genoemd in de bijlages bij de Coördinatiewetuitzonderingstoestanden in werking gesteld worden.Naast de beperkte of algemene noodtoestand kunnen de bevoegdhedenuit sectorale staatsnoodwetten in buitengewone omstandighedenseparaat in werking worden gesteld. Dit is niet geregeld in de Coördina-tiewet uitzonderingstoestanden, maar in sectorale wetgeving en verlooptvolgens een standaardprocedure die in alle relevante noodwetten isopgenomen. Ook deze procedure voldoet aan de hiervoor vermelde tweevoorwaarden en is daarom een «algemene noodsituatie» als bedoeld inde verordening.Naast het wettelijke stelsel inzake het klassieke staatsnoodrecht, bestaaner ook andere wettelijke kaders om rampen en crises mee te bestrijden. Bijwijze van voorbeeld wordt gewezen op de openbare orde-bevoegdhedenvan de burgemeester uit de Gemeentewet, zoals het noodbevel en denoodverordening, of specifieke crisisbepalingen uit de Wet veiligheidsre-gio’s. Voor het gebruik van deze bepalingen is geen formele vaststelling ofafkondiging vereist. Zij vallen dus buiten de reikwijdte van hoofdstuk Vvan de verordening.Zodra een noodtoestand is afgekondigd of een noodbevoegdheidseparaat in werking is gesteld, is dus sprake van een algemene noodsi-tuatie als bedoeld in de Dataverordening. Indien de overheidsinstantie diebeschikt over deze noodbevoegdheid vervolgens aan de overigevoorwaarden van hoofdstuk V van de Dataverordening voldoet, kan dezeeen verzoek doen aan gegevenshouders om bepaalde gegevensbeschikbaar te stellen. De verordening stelt daaraan verschillende eisen:het verzoek moet zijn gericht aan een rechtspersoon, niet zijnde eenoverheidsinstantie, het moet gaan om gegevens die noodzakelijk zijn omte reageren op de algemene noodsituatie en de overheidsinstantie inkwestie moet geen andere middelen tot diens beschikking hebben omdergelijke gegevens tijdig, doeltreffend en in gelijkwaardige omstandig-heden te verkrijgen. Verder bevat hoofdstuk V van de verordening diverseandere voorwaarden waaraan zo’n gegevensverzoek moet voldoen enworden er regels gesteld over bijvoorbeeld de wijze waarop met deverkregen gegevens moet worden omgegaan.Artikel 16 van de verordening geeft daarnaast nog aan dat hoofdstuk Vniet van toepassing op overheidsinstanties, de Commissie, de EuropeseCentrale Bank of organen van de Unie die activiteiten uitvoeren met hetoog op het voorkomen, onderzoeken, opsporen en vervolgen vanstrafrechtelijke of administratieve inbreuken of de tenuitvoerlegging vanstraffen, noch op de douane- of belastingadministratie. Uit de Engelsetekst wordt echter duidelijk dat dit hoofdstuk slechts niet van toepassing is45In een brief van 6 december 2022 (Kamerstukken II 2022/23, 29 668, nr. D) is aangekondigd dathet staatsnoodrecht wordt gemoderniseerd. In die brief zijn ook enkele wijzigingen van deCoördinatiewet uitzonderingstoestanden aangekondigd. Eén van die wijzigingen is dat debeperkte noodtoestand komt te vervallen.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 355 op de genoemde organisaties voor zover zij dergelijke activiteitenuitvoeren («when carrying out activities»). Hiermee wordt dus nietbedoeld dat organisaties die in algemene zin beschikken over bevoegd-heden op die terreinen, geen gebruik kunnen maken van de bevoegd-heden van hoofdstuk V.5.8 Hergebruik overheidsinformatie Het Unierecht kent op het moment van schrijven twee stukken regel-geving die zien op het hergebruik van overheidsinformatie door derden.Dit zijn de Open data richtlijn46 en hoofdstuk II van de Datagovernancever-ordening (DGA). Beide regelingen gaan ervan uit dat overheidsgegevensveel meerwaarde kunnen hebben voor de economie en voor technolo-gische vooruitgang, maar dat die beschikbaarstelling zonder regelgevingonvoldoende op gang komt. De regelingen voorzien daarom in rechtenvoor derden om (onder omstandigheden) die gegevens te hergebruikenvoor andere doeleinden en voor corresponderende verplichtingen vooroverheden om die gegevens beschikbaar te stellen. In de context vanhoofdstuk V van de verordening zou daarmee echter het risico ontstaandat gegevenshouders verplicht kunnen worden om gegevens aanoverheden beschikbaar te stellen, die vervolgens weer door derdenverplicht zouden kunnen worden om die gegevens ook voor henbeschikbaar te stellen. Omdat het om commercieel gevoelige informatiekan gaan, zouden gegevenshouders daardoor huiverig kunnen wordenom mee te werken aan een gegevensverzoek als bedoeld onder hoofdstukV van de verordening. Aangezien in noodsituaties snelle en soepelemedewerking van gegevenshouders noodzakelijk is, moeten dit soortrisico’s worden voorkomen. Om die reden is in artikel 17, derde lid, van deverordening geregeld dat gegevens die onder hoofdstuk V doorgegevenshouders aan overheidsorganisaties beschikbaar worden gesteld,niet beschikbaar zijn voor hergebruik onder de Open data richtlijn en deDGA. Voor het hergebruik onder de DGA werkt deze bepaling direct door.Voor de Open data richtlijn, vereist dit nog een nadere bepaling in de Wethergebruik van overheidsinformatie, waarin de richtlijn is geïmplemen-teerd (zie artikel 11 van de Uitvoeringswet). Zonder zo’n extra bepalingzou onduidelijk zijn of de Wet hergebruik overheidsinformatie verder gaatdan de EU-recht voorschrijft.Het vierde lid van artikel 17 van de verordening regelt overigens dat nietwordt uitgesloten dat de betreffende gegevens voor specifieke doeleindenkunnen worden doorgegeven aan andere overheidsinstanties. Indergelijke gevallen geldt echter ook voor die overheidsinstanties dat deverkregen gegevens niet in aanmerking komen voor hergebruik. Uitoverweging 70 van de verordening volgt tevens dat het niet verboden isom op basis van de verkregen gegevens officiële statistieken te maken enpubliceren, zolang de onderliggende gegevens maar niet wordengepubliceerd.46Richtlijn (EU) 2019/1024 van het Europees Parlement en de Raad van 20 juni 2019 inzake opendata en het hergebruik van overheidsinformatie (PbEU 2019, L 172).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 356 5.9 Statistiek Deze verordening vormt een aanvulling op het Unie- en nationale rechtinzake de toegang tot en het gebruik van gegevens voor statistischedoeleinden, met name de Statistiekverordening47 en laat deze onverlet(overweging 67 van de verordening).48Zoals reeds beschreven in paragraaf 3.4 van de toelichting regelt deverordening in artikel 15 dat overheden voor statistiekdoeleinden in tweesituaties gegevens kunnen opvragen bij private instanties op grond vaneen uitzonderlijke behoefte om hun wettelijke verplichtingen in hetalgemeen belang, hun wettelijke taak, uit te voeren: (a) alle gegevens dienoodzakelijk zijn om te reageren op een algemene noodsituatie indien deoverheidsinstantie niet in staat is dergelijke gegevens tijdig endoeltreffend op een andere manier en in gelijkwaardige omstandighedente verkrijgen en (b) niet-persoonsgebonden gegevens, indien specifiekgeïdentificeerd, en nodig voor een specifieke taak van algemeen belang,zoals het opstellen van officiële statistieken of voor de beperking of hetherstel van noodsituaties, mits deze gegevens niet via andere middelenwaarover de overheidsinstantie beschikt verkregen kunnen worden.Onder «andere middelen» valt de aankoop van gegevens op de markt, hetgebruik van bestaande verplichtingen om gegevens beschikbaar te stellenof de vaststelling van nieuwe wetgevingsmaatregelen die de tijdigebeschikbaarheid van de gegevens kunnen waarborgen. De verplichtingom aan te tonen dat een overheidsinstantie niet in staat was omniet-persoonsgebonden gegevens op de markt te kopen, is niet vantoepassing indien de gegevens voor officiële statistieken zijn bedoeld enhet aankopen van de gegevens volgens nationaal recht niet is toegestaan.Dit betekent dat het CBS niet aan hoeft te tonen dat de gegevens nietgekocht konden worden omdat artikel 33, vierde lid, van de Wet op hetCentraal bureau voor de statistiek (hierna: Wet op het CBS) bepaalt datgegevens kosteloos worden verstrekt (en dat geen beroep kan wordengedaan op geheimhoudingsverplichtingen, tenzij deze verplichtingengebaseerd zijn op internationale regelgeving). Alleen wanneer het CBSalle andere middelen heeft uitgeput die de tijdige beschikbaarheid vangegevens kunnen waarborgen kan het CBS eventueel op grond vanuitzonderlijke noodzaak gegevens opvragen. Het «gebruik van bestaandeverplichtingen» betekent in dit geval bijvoorbeeld dat CBS gebruik maaktvan enquêtes en overheidsregisters op basis van artikel 33, eerste tot enmet derde lid, van de Wet op het CBS en/of het Besluit gegevensver-werving CBS om de gegevens te verwerven. De vaststelling van nieuwewetgevingsmaatregelen betekent in dit geval dat de Wet op het CBS enhet Besluit gegevensverwerving CBS zouden worden uitgebreid zodatCBS verplichtende uitvragen kan opleggen aan bedrijven.Gegevenshouders, met uitzondering van mkb-bedrijven, moeten gelet opartikel 20, eerste lid, van de verordening de gegevens in (a) een uitzonder-lijke noodsituatie gratis beschikbaar stellen. In situatie (b) hebben47Verordening (EG) nr. 223/2009 van het Europees Parlement en de Raad van 11 maart 2009betreffende de Europese statistiek en tot intrekking van Verordening (EG, Euratom) nr.1101/2008 betreffende de toezending van onder de statistische geheimhoudingsplicht vallendegegevens aan het Bureau voor de Statistiek van de Europese Gemeenschappen, Verordening(EG) nr. 322/97 van de Raad betreffende de communautaire statistiek en Besluit 89/382/EEG,Euratom van de Raad tot oprichting van een Comité statistisch programma van de EuropeseGemeenschappen (PbEU 2009, L 87).48Er is een Commissievoorstel van 10 juli 2023 voor een wijziging van Statistiekverordening(COM (2023) 402). In dit voorstel staan onder meer regels om in onverwachte situatie intijdelijke informatiebehoeften en statistieken te kunnen voorzien. Het kabinet signaleert hetrisico van dubbele regimes en zet zich tijdens de onderhandelingen in om dubbeling tevoorkomen (BNC-fiche van 6 oktober 2023).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 357 gegevenshouders geen recht op een vergoeding indien deniet-persoonsgebonden gegevens nodig zijn voor het opstellen vanofficiële statistieken en de aankoop niet is toegestaan op grond van hetnationale recht (artikel 20, vierde lid, van de verordening). Gegevens-houders hebben geen recht op een vergoeding van het CBS aangezienartikel 33, vierde lid, van de Wet op het Centraal bureau voor de statistiekbepaalt dat gegevens kosteloos worden verstrekt.Verder regelt artikel 21 van de verordening dat overheidsinstanties de uithoofdstuk V verkregen gegevens mogen delen met onderzoeksorgani-saties en met nationale bureaus voor de statistiek of Eurostat voor deproductie voor het opstellen van officiële statistieken (zie ook paragraaf3.4 van het algemeen deel van de toelichting).5.10 Interoperabiliteit en normalisatie Deze verordening heeft als doel het overstappen tussen dataverwerkings-diensten te vergemakkelijken en de interoperabiliteit van gegevens en vanmechanismen en diensten voor gegevensdeling in de Unie te verbeteren.In overeenstemming met de minimumvereiste om overstappen tussenaanbieders van dataverwerkingsdiensten toe te staan, heeft dezeverordening ook tot doel de interoperabiliteit voor parallel gebruik vanmeerdere dataverwerkingsdiensten met aanvullende functionaliteiten teverbeteren. Na het overwegen van relevante internationale en Europesestandaarden en zelfreguleringsinitiatieven, kan de Commissie op grondvan de Verordening (EU) 1025/201249 (hierna: Normalisatieverordening)Europese normalisatieorganisaties verzoeken geharmoniseerde normenvoor de interoperabiliteit van dataverwerkingsdiensten op te stellen.Ook voor de interoperabiliteit van dataruimtes en de geautomatiseerdeuitvoering van gegevensdelingsovereenkomsten via slimme contractenmoet de Commissie de huidige belemmeringen beoordelen en op basishiervan Europese normalisatieorganisaties verzoeken geharmoniseerdenormen op te stellen. Alle te ontwikkelen normen volgend uit de veror-dening moeten voldoen aan de vereisten uit de Normalisatieverordening(Bijlage II).5.11 Verbod op misbruik economische machtspositie Artikel 102 van het Verdrag inzake de Werking van de Europese Unie(hierna: VWEU) verbiedt één of meer ondernemingen misbruik te makenvan een economische machtspositie op de interne markt of op eenwezenlijk deel daarvan, voor zover de handel tussen lidstaten daardoorongunstig kan worden beïnvloed. Artikel 24 van de Mededingingswetbevat een soortgelijk verbod. Het toezicht op deze verbodsbepalingenvindt achteraf plaats (ex post).Een van de knelpunten zoals benoemd in paragraaf 3.3 van het algemeendeel van de toelichting is het feit dat mede als gevolg van ongelijkemarktmacht middelgrote en kleine bedrijven (MKB) vaak geenevenwichtige data-uitwisselingscontracten met sterkere marktspelerskunnen sluiten. Dit staat niet per definitie gelijk aan misbruik van eeneconomische machtspositie, maar in specifieke gevallen kan sprake zijn49Verordening (EU) Nr. 1025/2012 van het Europees Parlement en de Raad van 25 oktober 2012betreffende Europese normalisatie, tot wijziging van de Richtlijnen 89/686/EEG en 93/15/EEGvan de Raad alsmede de Richtlijnen 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG,2004/22/EG, 2007/23/EG, 2009/23/EG en 2009/105/EG van het Europees Parlement en de Raaden tot intrekking van Beschikking 87/95/EEG van de Raad en Besluit nr. 1673/2006/EG van hetEuropees Parlement en de Raad (PbEU 2012, L 316).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 358 van overlap tussen bepalingen uit de verordening die het opleggen vanoneerlijke contractvoorwaarden tegengaan en het verbod op misbruik vaneen economische machtspositie. Oneerlijke contractvoorwaarden kunnennamelijk in het kader van een onderzoek naar misbruik van een econo-mische machtspositie ook dienen als bewijs voor het vaststellen vanmisbruik. In het kader van artikel 102 VWEU wordt echter wel een ruimerenorm gehanteerd voor onbillijke contractvoorwaarden dan devoorwaarden die in de verordening worden benoemd. Dat laat onverletdat een onderneming in sommige gevallen zowel een bepaling uit deverordening, als het verbod op misbruik van een economische machtspo-sitie kan hebben overtreden. In deze situaties is het aan de toezichthou-dende autoriteit om te beoordelen welke instrument het meest effectief isom in te zetten. Daarvoor geldt evenwel dat de inzet van de Dataveror-dening geen afbreuk mag doen aan het mededingingsrecht.50 Detoezichthouder kan initieel ook onderzoek verrichten op basis vanmeerdere wettelijke grondslagen, maar dit mag in de boetefase nietafdoen aan het ne bis in idem beginsel. Bewijs verkregen bij de inzet vanbevoegdheden wordt daarom getoetst aan het toepasselijke regimewaaronder de boete wordt opgelegd. Zo mag bewijs uit een huisdoor-zoeking onder de Mededingingswet (artikel 50) niet gebruikt worden vooreen onderzoek onder deze verordening, omdat de toezichthouder onderde verordening geen bevoegdheid heeft voor huisdoorzoeking (artikel5:15, eerste lid, van de Awb). Het is aan de toezichthouder om per geval tebepalen op basis van welke wet wordt gehandhaafd.5.12 Kaderwet zelfstandige bestuursorganen De Kaderwet zelfstandige bestuursorganen (hierna: Kaderwet zbo’s) steltbasisregels die in beginsel op alle zbo’s van toepassing zijn. Zowel deACM als de AP zijn zbo’s, waardoor de Kaderwet zbo’s in beginsel ook ophen van toepassing is. Artikel 3 van de Kaderwet zbo’s schrijft voor dateen bestaande zbo slechts met een nieuwe taak, inhoudende de uitoe-fening van openbaar gezag, wordt belast, indien een van de situaties alsbedoeld in het eerste lid zich voordoet. Daarbij is het kabinetsbeleid omgeen gebruik meer te maken van de instellingsgronden van onderdelen ben c van dat lid. In zowel het geval van de ACM als dat van de AP is echtersprake van de situatie als bedoeld onderdeel a van dat lid, namelijk dat erbehoefte is aan onafhankelijke oordeelsvorming op grond van specifiekedeskundigheid. In het geval van de ACM ziet die deskundigheid opmarktordening. In het geval van de AP op persoonsgegevens. Zoals istoegelicht in paragraaf 4.1, vereist de verordening dat de bevoegdeautoriteiten onpartijdig zijn en vrij zijn van enige, directe of indirecte,invloed van buitenaf en mogen zij voor individuele gevallen geeninstructies van andere overheidsinstanties of particuliere partijen vragenof aanvaarden. Daarmee ligt ook het toebedelen van deze taken aan eenof meerdere zbo’s in de rede.De mate van onafhankelijkheid moet echter wel voldoende zijn om binnende regels van te verordening te passen. Op grond van artikel 22 van deKaderwet zbo’s heeft de Minister die het aangaat de bevoegdheid ombesluiten van zbo’s te vernietigen. Deze bepaling zou in strijd zijn met hetverbod om instructies van andere overheidsinstanties te aanvaarden,ware het niet dat deze bevoegdheid op grond van artikel 13 van de UAVGten aanzien van de AP helemaal uitgesloten en ten aanzien van de ACMop grond van artikel 10, eerste lid, van de Instellingswet AutoriteitConsument en Markt beperkt is tot besluiten van algemene strekking. Deverordening verzet zich niet tegen instructies die niet zien op individuelegevallen. Beide zbo’s voldoen daarom op dit vlak aan de vereisten uit de50Zie hiervoor overweging 116 van de verordening.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 359 verordening. Hetzelfde geldt ten aanzien van de bevoegdheid van deMinister om op grond van artikel 21 van de Kaderwet zbo’s beleidsregelsvast te stellen. Ook die is op de AP in het geheel niet van toepassing envoor de ACM niet in strijd met de verordening omdat het gaat omgenerieke instructies. Ook de bevoegdheid van artikel 23 van de Kaderwetzbo’s om in te grijpen bij taakverwaarlozing, ziet niet op individuelegevallen en kan niet worden gekwalificeerd als een aantasting van deonpartijdigheid of als een vorm van directe of indirecte beïnvloeding vande uitvoering van de bevoegdheden van de ACM overeenkomstig deverordening. De regels van de Kaderwet zbo’s, in samenhang met debetreffende instellingswetten van de AP en de ACM, voldoen dus tevensaan de voorwaarden van de verordening.6. Gevolgen 6.1 Regeldruk De Uitvoeringswet heeft geen directe financiële gevolgen voor bedrijven,consumenten en niet-gouvernementele organisaties. De verordening laatslechts beperkte beleidsruimte aan lidstaten en deze wordt in de Uitvoe-ringswet restrictief ingevuld.De verordening zorgt wel voor een toegenomen regeldruk. De Commissieheeft in haar impact assessment een analyse gegeven over de gevolgenvoor regeldruk van de verordening op de gehele Europese Unie.51 Het isniet mogelijk om deze effecten kwantitatief te vertalen naar effecten voorNederlandse bedrijven en consumenten.Het ontwikkelen van technische oplossingen om toegang tot data tefaciliteren zal voor aanbieders van verbonden producten en gerelateerdediensten naar schatting eenmalig € 410 miljoen en jaarlijks € 88 miljoenkosten. Voor een mkb-bedrijf kunnen de structurele kosten volgens deCommissie oplopen tot maximaal € 300.000 per jaar. Voor een groteaanbieder kunnen de structurele kosten oplopen tot € 1 miljoen per jaar.Daar tegenover staan efficiëntie- en productiviteitswinsten van € 196,7miljard per jaar vanaf 2028 door de toegenomen beschikbaarheid van datavoor hergebruik en de toegenomen vraag naar producten als gevolg vande ingevoerde gebruiks- en toegangsrechten. Ook verwacht de Commissiedat de mogelijkheid voor gebruikers om hun data makkelijker tussenproducten en diensten uit te wisselen nog eens € 68,1 miljard per jaar zalbesparen.De operationele en juridische kosten van de maatregelen om oneerlijkecontractvoorwaarden voor datadeling tussen bedrijven tegen te gaanzullen naar verwachting € 69 miljoen per jaar bedragen. De verwachtebaten van deze maatregelen door productiviteitswinst, datagedreveninnovatie en toegenomen vraag zijn € 7,4 miljard per jaar. Met name hetmkb zal profijt hebben van deze maatregelen.De Commissie verwacht dat de kosten voor het bedrijfsleven om databeschikbaar te maken voor publieke instanties eenmalig € 552,5 miljoenzullen bedragen, voor het opzetten van infrastructuur, en daarna jaarlijks€ 78,1 miljoen. Daarnaast verwacht de Commissie dat het stroomlijnenvan de datadeling met publieke instanties tot een lastenverlichting van€ 155 miljoen per jaar zal leiden.51https://digital-strategy.ec.europa.eu/en/library/impact-assessment-report-and-support-studies-accompanying-proposal-data-act.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 360 Voor de maatregelen gericht op aanbieders van clouddiensten maakt deCommissie geen cijfermatige inschatting van de kosten. De verwachting isdat het de concurrentie, innovatie en de toepassing van nieuwe technolo-gieën in de cloudmarkt zal bevorderen. Ook zal het de overstapkostenvoor gebruikers van clouddiensten sterk verlagen. De maatregelen zullenwel nalevingskosten met zich meebrengen voor aanbieders van cloud-diensten. De Commissie verwacht dat deze beperkt zullen zijn omdat demaatregelen bouwen op een marktgedreven standaardisatieproces.Het Adviescollege Toetsing Regeldruk (ATR) heeft het dossier nietgeselecteerd voor een formeel advies, omdat de uitvoeringswet zelf geengevolgen op het gebied van regeldruk heeft.6.2 Gevolgen/uitvoeringslasten voor overheidsorganisaties Ook voor overheidsorganisaties geldt dat de belangrijkste gevolgen directvoortvloeien uit de verordening zelf. De verordening verplicht lidstatenom bevoegde autoriteiten aan te wijzen. Ook biedt de verordeningoverheidsorganisaties, zowel nationale als lokale instanties, demogelijkheid om in geval van uitzonderlijke noodzaak gegevens bijgegevenshouders op te vragen.De Uitvoeringswet heeft gevolgen voor de AP en de ACM omdat zijworden aangewezen als bevoegde autoriteiten die een toezichtstaakkrijgen. Het voornemen is om ACM aan te wijzen voor hoofdstukken II,met uitzondering van artikelen 4, twaalfde lid, en 5, zevende en achtste lid,6, eerste en tweede lid, onderdeel b, III, IV, artikel 20, VI, VII en VIII, en omAP aan te wijzen voor artikelen 4, twaalfde lid, en 5, zevende en achtstelid, 6, eerste en tweede lid, onderdeel b, en hoofdstuk V, met uitzonderingvan artikel 20. Vanuit de Ministeries van Economische Zaken en Binnen-landse Zaken en Koninkrijksrelaties zijn incidentele middelen vrijgemaaktvoor 2024 en 2025 voor (de voorbereiding op) de uitvoering. Op basis vande uitvoerbaarheids- en handhaafbaarheidstoetsen van de AP en de ACMzullen de Ministeries van Economische Zaken en Binnenlandse Zaken enKoninkrijksrelaties zorg dragen voor de dekking van de structurelemiddelen voor de uitvoering en handhaving van de verordening.De verordening laat geen ruimte om geen organisaties aan te wijzen. Degevolgen voor overheidsorganisaties die direct uit de Uitvoeringswet – endus niet uit de verordening zelf – voortvloeien, zijn daarom zeer beperkt.7. Evaluatie Artikel 49 van de verordening stelt dat uiterlijk op 12 september 2028 deCommissie een evaluatie van deze verordening uitvoert. In de evaluatiewordt o.a. het effect van de verordening beoordeeld op: het (her)gebruikvan gegevens, de praktische toepassing van hoofdstuk V, intellectueel-eigendomsrechten en bedrijfsgeheimen, de verlaging van de overstap-kosten van dataverwerkingsdiensten, doeltreffendheid van de handhavingen de innovatiecapaciteit van het midden- en kleinbedrijf. Lidstatenverstrekken de Europese Commissie de nodige informatie voor hetopstellen van de evaluatie.Voorafgaand aan de evaluatie door de Commissie zal het kabinet deverordening en de uitvoeringswet evalueren om de nodige informatie opte halen. Hier zal onder meer stilgestaan worden bij de samenwerkingtussen de betrokken toezichthouders. Daarnaast is in de uitvoerings- enhandhavingstoetsen door ACM en AP naar voren gebracht dat ze graag dewerking van de uitvoeringswet en specifiek effectiviteit van deTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 361 hoeveelheid ter beschikking gestelde financiële middelen evalueren. Hierzal ook aandacht aan worden besteed in de nationale evaluatie.8. Advies en consultatie 8.1 Internetconsultatie Het wetsvoorstel is in internetconsultatie gegeven van 4 maart 2024 tot enmet 1 april 2024. In totaal zijn acht reacties ontvangen, waarvan vijfopenbaar. De openbare reacties zijn afkomstig van advocaten, deVereniging voor Informaticarecht Advocaten en Arthur’s Legal, en eenaantal natuurlijke personen.Over het algemeen kan het onderhavige wetsvoorstel ter uitvoering vande verordening rekenen op steun. Dat is verheugend. Wel zijn er vragenover de uitwerking van het toezicht in de praktijk, met name waar het gaatom de samenhang met het toezicht op andere wetgeving, waaronder deAVG. Naar aanleiding van de consultatie is het wetsvoorstel op een aantalonderdelen aangepast. Daarnaast is de memorie van toelichting op eenaantal onderdelen verhelderd. Op de reacties wordt, voor zover nodig,hieronder thematisch nader ingegaan.Geschillenbeslechting, publiek toezicht en rechtsbeschermingSamenwerking ACM en AP en normuitleg DA/AVGIn de reacties worden zorgen geuit over de raakvlakken tussen de AVG ende verordening. De Dataverordening bepaalt dat geen afbreuk wordtgedaan aan de AVG. De zorgen zien op «grensconflicten«, waarbij de ACMen de AP een andere normuitleg zouden kunnen hanteren op gelijke ofvergelijkbare normen. Afstemmingsproblemen zouden kunnen leiden toteen gebrek aan daadkracht bij de toezichthouder, rechtsonzekerheid voorburgers en verschil in handhaving. De VIRA adviseert om samenwerkingtussen de ACM en de AP nadere duiding te geven in de Uitvoeringswet.Het kabinet vindt een effectieve samenwerking tussen de ACM en de APbelangrijk. Ten eerste is hiervoor een goede afbakening van de toezicht-staken van de ACM en de AP relevant. De AP was in de versie van hetwetsvoorstel dat ter consultatie is gegeven reeds de beoogde toezicht-houder op onderdelen van de verordening die vergelijkbaar zijn metAVG-begrippen en zien op de verwerking van persoonsgegevens(artikelen 4, twaalfde lid, en 5, zevende en achtste lid, van de veror-dening). Gelet op de uitvoerings- en handhavingstoets van de AP(paragraaf 8.3 van het algemeen deel van de toelichting) is de afbakeningtussen de toezichtstaken van de ACM en de AP aangescherpt. Aan het APtoezicht zijn bepalingen toegevoegd die vergelijkbaar zijn met hetbestaande AVG-toezicht (artikel 6, eerste lid en tweede lid, onderdeel b,van de verordening).Begrippen in de AVG hebben een eigen autonome uitleg. Die begrippenzien op de bescherming van persoonsgegevens, worden uitgelegd doorde AVG-toezichthouders en zijn voorzien van eigen rechtspraak. Het ligtdaarom voor de hand om voor begrippen in de Dataverordening dievergelijkbaar zijn met begrippen uit de AVG afstemming te zoeken, metdaarbij acht voor de context (bescherming niet-persoonsgebondengegevens, uit IoT-producten, etc.).In aanvulling op de hierboven benoemde verduidelijking regelt deUitvoeringswet dat in het kader van efficiënt en effectief toezicht op deDataverordening de ACM en de AP afspraken kunnen maken in eenTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 362 samenwerkingsprotocol en bevoegd zijn gegevens uit te wisselen (artikel6 van de Uitvoeringswet). Een nadere invulling van de samenwerking achthet kabinet niet wenselijk, omdat dit juist de als risico benoemdeafstemmingsproblemen kan veroorzaken. Daarom is ten opzichte van deconsultatieversie de bevoegdheid voor de ACM geschrapt om, indien zijdit noodzakelijk acht, advies te vragen aan de AP over of er afbreuk wordtgedaan aan de AVG door een voorgenomen ACM besluit. Het is juistgezien het feit dat ACM en AP onder de verordening anders zullen moetensamenwerken dan voorheen belangrijk om ruimte te geven aan de ACMen de AP om hier zelf invulling aan te geven. In paragraaf 4.2 van hetalgemeen deel van de toelichting is nu expliciet gemaakt dat de toezicht-houders afspraken moeten maken over de handhaving van het ne bis inidem beginsel bij sanctionering van ondertoezichtgestelden. Daarnaast isparagraaf 4.1 van het algemeen deel van de toelichting over de keuze voorACM als toezichthouder verder uitgebreid.Naar aanleiding van een suggestie om de samenwerking tussen AP enACM te evalueren zal gelijktijdig met de evaluatie van de verordeningdoor de Europese Commissie, zoals omschreven in artikel 49 van deverordening, op nationaal niveau de samenwerking tussen AP en ACMworden geëvalueerd (zie paragraaf 7 van het algemeen deel van detoelichting).Ook is gevraagd waarom er niet is gekozen voor één toezichthouder voordata, die toezicht houdt op zowel de AVG als de Dataverordening. Naaraanleiding van deze opmerking wordt dit nader toegelicht in paragraaf 4.1van het algemeen deel van de toelichting.Boetes en boetebeleidsregelsEen aantal reacties vraagt verduidelijking over de boetes die bevoegdeautoriteiten op basis van de Uitvoeringswet kunnen opleggen. Zo wordt ineen aantal reacties opgemerkt dat het behulpzaam zou zijn de boetebe-leidsregels inzichtelijk te maken. Op grond van artikel 4:81, eerste lid, vande Awb kan een bestuursorgaan beleidsregels vaststellen met betrekkingtot een aan hem toekomende bevoegdheid. De ACM en de AP zijnbevoegd om bestuurlijke boetes op te leggen in het kader van deDataverordening en zijn daarmee ook bevoegd om boetebeleidsregels opte stellen. Hierbij kan worden aangesloten bij de reeds bestaandeboetebeleidsregels die de ACM en de AP hanteren.Daarnaast wordt gevraagd om verduidelijking over de maximumhoogtevan de boetes die de ACM en de AP mogen opleggen en hoe dit zichverhoudt tot de maximumhoogte van de boetes uit de AVG. Het kabinetdeelt de lezing dat uit de Dataverordening volgt dat voor AVG-toezicht-houders (de AP) aansluiting moet worden gezocht bij de AVG-boetes.Desalniettemin hoeft voor de boetes die de ACM kan opleggen niet perdefinitie te worden aangesloten bij de AVG. Naar aanleiding van dezeopmerking is in artikel 8, tweede lid, van de Uitvoeringswet explicietgemaakt dat de hoogte van de boetes de AP kan opleggen aansluit bij deAVG. Verder is in artikel 8, eerste lid, van de Uitvoeringswet verhelderddat de bestuurlijke boete die de ACM kan opleggen ziet op de jaaromzetvan de overtreder in het voorgaande boekjaar in de Europese Unie (zieartikel 40, derde lid, onderdeel f, van de verordening). In paragraaf 4.2 vanhet algemeen deel en in de artikelsgewijze toelichting is meer toelichtingopgenomen over de maximumhoogte van de boetes die de ACM en de APkunnen opleggen.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 363 Samenloop privaat en publiek toezichtDe VIRA vraagt hoe, gelet op de verordening, het private fundament vangeschillenbeslechting en beroep bij de burgerlijke rechter (art. 6:233 BW)en daarnaast publiekrechtelijk toezicht en handhaving door de ACM en deAP zich tot elkaar verhouden. Hoe is de burger beschermd en waar kan diezijn klacht indienen?Indien een partij denkt dat zijn rechten uit de verordening zijn geschondenkan hij een klacht indienden bij de bevoegde autoriteit (artikel 38verordening) of naar de rechter (artikel 39 verordening). Daarnaast regeltde verordening voor een aantal situaties omtrent het beschikbaar stellenvan gegevens onder hoofdstukken II, III, IV en VI van de verordening datde gebruiker of de derde met de gegevenshouder, en klanten met eenaanbieder van dataverwerkingsdiensten, kan overeenkomen de zaak voorte leggen aan een geschillenbeslechtingsorgaan. Na geschillenbeslechtingof een klacht is het nog steeds mogelijk om naar de rechter te gaan. Dit isuitgebreider toegelicht in paragrafen 3.2 en 3.8 van het algemeen deel vantoelichting. Hiermee staat zowel de privaatrechtelijke route (burgerlijkerechter) als publiekrechtelijke handhaving (klacht of geschillencommissie)ter beschikking. Dit is anders dan bij consumentenbescherming waar nietde klacht zelf direct wordt opgelost maar het bedrijf wordt aangesprokenop zijn handelspraktijken.GeschillenbeslechtingDe VIRA heeft diverse opmerkingen over geschillencommissies. Teneerste geeft de VIRA in overweging om bestaande geschillencommissies,zoals een door de AP geaccrediteerd toezichthoudend orgaan op AVGgedragscodes (artikel 41 AVG), een rol te geven bij geschillenbeslechtingonder de verordening. Het staat bestaande geschillencommissies vrij omzich te laten certificeren, mits zij voldoen aan de eisen uit artikel 10, vijfdelid, van de verordening.Ten tweede wordt er op gewezen dat de interpretatie van de certificerings-criteria wel nationale implementatie vergt, bijvoorbeeld via een beleids-regel van de ACM. Het kabinet ziet deze ruimte er alleen voor zover deverordening daar ruimte voor geeft. Uit artikel 10, vijfde lid, enoverweging 52 van de verordening blijkt dat de verordening bepaalt watde certificeringsvoorwaarden zijn en dat lidstaten alleen extra regelskunnen stellen over de certificeringsprocedure.Ten derde, stelt de VIRA de vraag of het wenselijk is dat de certificeringvan geschillenbeslechtingsorganen en handhaving in één hand bij deACM liggen. De VIRA geeft aan dat het zuiverder is om certificering telaten doen door een instantie die zelf aan alternatieve geschilbeslechtingdoet (beeldvorming: goedkeuring op procesmatige gronden en geeninhoudelijke gronden). Omdat bij certificering uitgebreide kennis van deverordening gewenst is (art. 10 lid 5 sub b), is de ACM hier echter demeest geschikte optie.Ten vierde, vaagt de VIRA wat er gebeurt als het orgaan en de ACM eenandere interpretatie over regelgeving hebben, bijvoorbeeld doordat deACM beleidsregel kan opstellen en geschilbeslechtingsorganen aanbeve-lingen kunnen publiceren over de wijze waarop problemen kunnenworden voorkomen of opgelost (artikel 10, elfde lid, verordening). Hetkabinet ziet weinig risico voor verschillende interpretatie. Geschillenbe-slechtingsorganen moeten zich houden aan door de Commissie teontwikkelen en aan te bevelen niet-bindende modelcontractvoorwaardenen met Unie- of nationaal recht waarin de gegevensdelingsverplichtingenTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 364 worden gespecificeerd of richtsnoeren van sectorale autoriteiten voor detoepassing van dat recht (overweging 55 verordening). Ook de aanbeve-lingen van een geschillenbeslechtingsorgaan moeten hieraan voldoen. Ditwordt nu ook toegelicht in paragraaf 3.2 van het algemeen deel van detoelichting.Rechtbank Rotterdam exclusief bevoegdDe VIRA vraagt wat de exclusieve bevoegdheid van de RechtbankRotterdam betekent voor geschillen waarbij naast de Dataverordening ookde AVG een rol speelt. Mede gelet op het feit dat de consument op grondvan de AVG in zijn eigen woonplaats procedures kan starten (artikel 79 lid2 AVG).Naar aanleiding van deze opmerking is de bevoegdheidsverdelingaangepast. Het voorstel is om aan te sluiten bij de bestaande rechtsmacht-verdeling zoals voorzien in andere wetten op grond waarvan de ACM ende AP besluiten nemen. Voor de AP wordt aangesloten bij de bestaanderechtsmachtsverdeling zoals geldt voor AVG-besluiten (beroep overAP-besluiten bij de rechtbanken en hoger beroep bij de Afdeling Bestuurs-rechtspraak van de Raad van State). Voor beroepen tegen besluiten vanACM blijft de voorgestelde concentratie van rechtspraak bij de RechtbankRotterdam en hoger beroep bij het College van Beroep voor het bedrijfs-leven. Dit heeft geleid tot aanpassing van artikel 9 de Uitvoeringswet enwordt nader toegelicht in paragraaf 4.6 van het algemeen deel van detoelichting.Overige puntenToestemming als grondslag voor gegevensverwerkingEen reactie zag specifiek op een passage in paragraaf 5.1 van de memorievan toelichting over rechtmatige gegevensverwerking: «Rechtmatig: dederde mag die gegevens alleen met een andere derde delen indien degebruiker daar toestemming voor heeft gegeven. Bovendien moet hetvoor de gebruiker even gemakkelijk zijn om toegang van de derde tot degegevens te weigeren of stop te zetten als het voor de gebruiker is omtoegang te verlenen.» Volgens de reactie klopt deze passage niet en zoudeze moeten worden geschrapt.Deze passage komt uit overwegingen 37 en 38 van de verordening. Depassage was beperkt tot gegevensuitwisseling tussen de derde en eenandere derde. Naar aanleiding van de opmerkingen is deze passage inparagraaf 5.1 van het algemeen deel van de toelichting aangevuld metinformatie over de vereiste grondslag en zijn verwijzingen naar derelevante artikelen en overwegingen uit de verordening toegevoegd.Toestemming voor wijziging overeenkomstEen reactie wees er ook op dat in paragraaf 5.5 van het algemeen deel vande toelichting staat dat iedere wijziging van de overeenkomst voor eenverbonden product of gerelateerde dienst de geïnformeerde toestemmingvan de gebruiker vereist. Deze tekst komt uit overweging 25 van deverordening. In paragraaf 5.5 van het algemeen deel van de toelichting isverhelderd wat dit volgens het Nederlandse recht betekent.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 365 Wet open overheid en Verdrag van AarhusIn een van de reacties werden zorgen geuit over het risico dat alsgegevens vanuit de agrarische sector op grond van hoofdstuk V van deverordening met overheden worden gedeeld, deze via de Woo openbaarzullen worden. Ingevolge het Verdrag van Aarhus, dat is geïmplementeerdin de Woo, is de drempel voor openbaarmaking van milieu-informatienamelijk lager dan voor andere informatie. De indiener uit diens zorgenover het risico dat de betreffende informatie in handen komt vanactivisten.Het gevreesde risico doet zich naar het inzicht van het kabinet echter nietvoor. Op grond van artikel 17, tweede lid, onderdelen d en e, van deverordening moet de opvragende instantie de gegevens vertrouwelijkbehandelen. En op grond van artikel 19, eerste lid, van de verordeningmoeten zij daarbij doelbinding betrachten, moeten zij technische enorganisatorische maatregelen nemen om die vertrouwelijkheid tewaarborgen en moeten zij de gegevens wissen zodra de gegevens nietmeer nodig zijn voor het doel waarvoor zij zijn opgevraagd. Omdat deverordening EU-recht betreft, kan de Woo, die Nederlands recht betreft,deze vertrouwelijkheidsverplichting niet doorbreken. De gegevens inkwestie zullen dus niet openbaar worden gemaakt.Harmonisatie regulering data-economieDaarnaast is door belanghebbende gereageerd dat harmonisatie vanEuropese regelgeving ten aanzien van de data-economie belangrijk is,hierbij werd met name gerefereerd naar de EHDS. Op basis van ditcommentaar zijn geen wijzigingen in de Uitvoeringswet en memorie vantoelichting opgenomen.8.2 Uitvoerbaarheid- en handhaafbaarheidstoets ACM De Uitvoeringswet wijst de ACM aan als datacoördinator en als toezicht-houder op een groot deel van de verplichtingen uit de verordening. DeUitvoeringswet is voorgelegd aan de ACM voor een uitvoerbaarheid- enhandhaafbaarheidstoets. De ACM acht het wetsvoorstel uitvoerbaar enhandhaafbaar, mits de volgende wetstechnische opmerkingen in achtworden genomen.Inhoudelijke opmerkingenTen eerste verzoekt de ACM om in de Uitvoeringswet te verduidelijken datzij op alle partijen uit artikel 1, derde lid, van de verordening toezicht kanhouden. De ACM kan inderdaad op deze partijen toezicht houden voorzover het gaat om bepalingen waarop de ACM als toezichthouder isaangewezen. Omdat het niet noodzakelijk is in de Uitvoeringswet tebenoemen op welke partijen het ACM toezicht ziet, is deze opsomminggeschrapt.Ten tweede verzoekt de ACM om een bevoegde autoriteit aan te wijzen inde zin van artikel 3, aanhef en onder 6, van de Verordening (EU) 2017/2394(hierna: CPC-verordening). Doordat artikel 47 van de verordening deDataverordening toevoegt aan de bijlage bij de CPC-verordening wordt deDataverordening gebracht onder het «Unierecht ter bescherming van deconsumentenbelangen» in de zin van artikel 3, eerste lid, van deCPC-verordening en is er een bevoegde autoriteit nodig in de zin vanartikel 3, aanhef en onder 6, van de CPC-verordening. De ACM geeft inoverweging dat het toezicht op de CPC-verordening nauw aansluit bij debestaande rol van de ACM ten aanzien van consumentenbescherming enTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 366 dat de ACM ook bereid is om deze toezichtstaken op zich te nemen. Ditkan door een wijziging van onderdeel a van de bijlage van de Wethandhaving consumentenbescherming. Het voorstel van de ACM isovergenomen in artikel 11 van de Uitvoeringswet.Ten derde verzoekt de ACM om in de memorie van toelichting meer uitlegte geven over de verhouding tussen de verordening en consumentenre-gelgeving. De ACM geeft aan dat slechts summier wordt ingegaan op eendeel van de relevante consumentenregelgeving. Naar aanleiding van deopmerking van de ACM zijn paragrafen 3.8 en 5.5 van het algemeen deelvan de toelichting aangevuld.Tot slot wijst de ACM erop dat in de Nederlandse taalversie van deverordening een aantal (ver)taalfouten en onvolledigheden staan. De ACMvraagt om de Europese regelgever te verzoeken deze onvolkomenhedente wijzigen. Het kabinet zal dit punt onder de aandacht brengen bij deEuropese Commissie.Toezicht en handhavingskostenDe ACM geeft in de uitvoerings- en handhavingstoets een kostenin-schatting voor de uitvoering en handhaving. Vanuit het Ministerie vanEconomische Zaken zijn incidentele middelen vrijgemaakt voor 2024 en2025 voor (de voorbereiding op) de uitvoering. Op basis van deuitvoerbaarheids- en handhaafbaarheidstoetsen van de AP en de ACM zalhet Ministerie van Economische Zaken zorg dragen voor de dekking vande structurele middelen voor de uitvoering en handhaving van deverordening. De ACM stelt voor om in 2027 gezamenlijk te evalueren of debenodigde fte passend is. In paragraaf 7 van de toelichting is beschrevenop welke wijze we met de ACM en AP de passende inzet van middelenbeogen te evalueren.8.3 Uitvoerbaarheid- en handhaafbaarheidstoets AP De Uitvoeringswet wijst de AP aan als toezichthouder op een deel van deverplichtingen uit de verordening. Daarnaast veroorzaakt de verordeningeen uitbreiding van de AVG-toezichthouder taken. De Uitvoeringswet isvoorgelegd aan de AP voor een uitvoerbaarheid- en handhaafbaarheids-toets. De AP acht het wetsvoorstel uitvoerbaar en handhaafbaar, mits deUitvoeringswet op twee punten wordt aangepast en mits er voldoendestructurele middelen beschikbaar worden gesteld aan de AP om haartaken uit te kunnen voeren.Inhoudelijke opmerkingenTen eerste, stelt de AP voor om in de Uitvoeringswet een meldplicht op tenemen ten aanzien van besluiten van de ACM die tot gegevensdelingstrekken. De voorgestelde formulering betreft: «De ACM stelt de AP inkennis van een voornemen tot het nemen van een besluit op grond van deDataverordening dat een verplichting tot gegevensdeling inhoudt. DeACM neemt een dergelijk besluit niet eerder dan twee maanden nadat deAP in kennis is gesteld, tenzij bijzondere omstandigheden daartoedwingen.» De AP geeft aan dat deze bepaling zorgt voor rechtszekerheid,effectiviteit en transparantie voor derden doordat zichtbaar is geborgd datde AP betrokken is bij de voorbereiding van het besluit.Het kabinet erkent het belang van samenwerking tussen ACM en AP vooreffectieve handhaving van de verordening. Daarbij merkt het op dattoezichthouders gezamenlijk afspraken kunnen maken over de manier vansamenwerken. Om de samenwerking tussen de ACM en de AP goed teTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 367 laten verlopen regelt de Uitvoeringswet dat de ACM en de AP bevoegdzijn om in het belang van een efficiënt en effectief toezicht op de Dataver-ordening afspraken te maken en daartoe gezamenlijk samenwerkingspro-tocollen vast te stellen. Het kabinet wil – in lijn met het advies van deAfdeling advisering van de Raad van State bij de Uitvoeringswetdatagovernanceverordening52 – de toezichthouders graag de ruimtegeven om deze samenwerking zo goed mogelijk in te vullen. Daarvoor ishet belangrijk om deze samenwerking niet onnodig te formaliseren enflexibiliteit te behouden. Het is onvoldoende duidelijk waarom de door APbeoogde manier van samenwerken voor deze specifieke gevallen nietmiddels een samenwerkingsprotocol met ACM tot stand kan komen. Hetopnemen van een dergelijke bepaling zou onnodig gedetailleerdvoorschrijven hoe de toezichthouders uitvoering aan de wet geven. Juistomdat de samenwerking tussen AP en ACM mogelijk nieuwe vormen zalaannemen is het niet wenselijk wettelijk voor te schrijven hoe desamenwerking er uit zal zien. Een samenwerkingsprotocol laat zichbovendien gemakkelijker wijzigen wanneer blijkt dat dat voor de uitvoe-ringspraktijk van belang is. Omdat het om een nieuwe taak gaat waarbeide toezichthouders nog ervaring mee moeten opdoen, wordt dezeflexibiliteit nuttig geacht. Wel zal de samenwerking tussen betrokkentoezichthouders worden geëvalueerd, zoals beschreven in paragraaf 7 vanhet algemene deel van de toelichting. Dan zal opnieuw worden gekekennaar de noodzaak om de voorgestelde meldplicht in de wet op te nemen.Ten tweede, acht de AP het noodzakelijk om aangewezen te worden alsbevoegd toezichthouder op artikel 6, eerste lid, van de verordening, voorzover er sprake is van verwerking van persoonsgegevens, en op artikel 6,tweede lid, onderdeel b, van de verordening. Hierin wordt onder meerverwezen naar doelbinding, regelgeving inzake bescherming vanpersoonsgegevens, AVG-rechten van betrokkene en profilering in de zinvan de AVG. Het is door de AP voldoende helder gemaakt hoe dezeartikelen aansluiten op het bestaande AP toezicht, en daarom wordt ditvoorstel overgenomen in artikel 5 van de Uitvoeringswet en toegelicht inparagraaf 4.1 van het algemeen deel van de toelichting.Tot slot geeft de AP aan moeite te hebben met de uitvoerbaarheid vanartikel 22 van de verordening ten aanzien van grensoverschrijdendesamenwerking. Het gaat om de situatie waarin een verzoek van eenandere overheidsinstelling van een andere lidstaat is gericht aan eenNederlandse gegevenshouder en de AP in dat geval moet beoordelen ofer in een andere lidstaat sprake is van uitzonderlijke noodzaak. De AP mistin de verordening een verplichting tot samenwerking met bevoegdeautoriteiten in de lidstaten om assistentie te beiden bij nationale interpre-taties en beoordeling. De AP verwacht dat EZK en BZK zullen optredenrichting de EU en andere lidstaten en op dit onderwerp assisteren bij hetbevorderen van de samenwerking.De verordening schrijft in artikel 37, vijfde lid, onderdeel f, voor datbevoegde autoriteiten samenwerken met de bevoegde autoriteiten vanandere lidstaten om de consistente en efficiënte toepassing van deverordening te waarborgen. Daarnaast krijgt ook het Europees Comitévoor gegevensinnovatie in artikel 42 van de verordening de taak om deCommissie te adviseren en bij te staan bij de ontwikkeling van eenconsistente praktijk van de bevoegde autoriteiten bij de handhaving vanonder andere hoofdstuk V van de verordening. Desalniettemin zal hetkabinet het belang van samenwerking en consistente toepassing van deverordening blijven uitdragen in Europees verband.52Kamerstukken II 2023/24, 36 451, nr. 4, onderdeel 3, onder a.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 368 Toezicht en handhavingskostenDe AP geeft in de uitvoerings- en handhavingstoets een kosteninschattingvoor de uitvoering en handhaving. Vanuit de Ministeries van EconomischeZaken en Binnenlandse Zaken en Koninkrijksrelaties zijn incidentelemiddelen vrijgemaakt voor 2024 en 2025 voor (de voorbereiding op) deuitvoering. Op basis van de uitvoerbaarheids- en handhaafbaarheids-toetsen van de AP en de ACM zullen de Ministeries van EconomischeZaken en Binnenlandse Zaken en Koninkrijksrelaties zorg dragen voor dedekking van de structurele middelen voor de uitvoering en handhavingvan de verordening.8.4 Wetgevingstoets AP De AP geeft in haar wetgevingstoets aan bezwaar te hebben tegen hetvoorgestelde artikel uit de Uitvoeringswet over de samenwerking tussende ACM en de AP daar waar er sprake is van verwerking van persoonsge-gevens en adviseert de procedure niet voort te zetten tenzij het bezwaar isaangenomen. Daarnaast heeft de AP nog twee aanmerkingen bij devoorgestelde uitvoeringswet. Twee van de drie punten betreffen dezelfdepunten als de AP al in de uitvoerings- en handhavingstoets naar vorenheeft gebracht (paragraaf 8.3 van het algemene deel van de toelichting).Het bezwaar van de AP is dat het voorgestelde artikel uit de Uitvoe-ringswet over de samenwerking tussen de ACM en de AP onvoldoendewaarborgt dat de ACM bij besluiten die strekken tot een verplichtegegevensdeling tijdig met de AP zal afstemmen of de gegevensdeling ookconform de AVG kan plaatsvinden. De AP stelt als waarborg voor tijdigeafstemming voor om de ACM te verplichten om een voornemen tot eendergelijk besluit telkens te melden aan de AP. Dit voorstel wordt nietovergenomen. Zie paragraaf 8.3 van het algemeen deel van de toelichtingvoor de reactie op dit voorstel, dat door de AP ook werd gedaan in deuitvoerings- en handhavingstoets.Daarnaast acht de AP het noodzakelijk om aangewezen te worden alsbevoegd toezichthouder op zowel artikel 6, eerste lid, voor zover er sprakeis van de verwerking van persoonsgegevens, als op artikel 6, tweede lid,onder b, van de verordening. Ook deze opmerking is in lijn met opmer-kingen uit de uitvoerings- en handhavingstoets van AP. Dit voorstel wordtovergenomen in artikelen 3 en 5 van de Uitvoeringswet en toegelicht inparagraaf 4.1 van het algemeen deel van de toelichting.Tot slot merkt de AP op dat de verordening voorziet in (enige) vergoedingvan kosten die gepaard gaan met de terbeschikkingstelling van gegevensdoor een gegevenshouder aan bepaalde overheden bij uitzonderlijkenoodzaak, maar dat de verordening géén bepalingen bevat met betrekkingtot de vergoeding van de waarde van de data. Naar het oordeel van de APkan niet worden uitgesloten dat een vordering van data als hier aan deorde een inmenging in het recht op eigendom is die verlies van waardemeebrengt en dat in voorkomend geval mogelijk aanspraak bestaat opvergoeding van waardeverlies. De AP kan als toezichthouder metdergelijke klachten van gegevenshouders worden geconfronteerd. De APmerkt op dat er procedurele waarborgen, zoals voorafgaande onafhanke-lijke waardebepaling, in het voorstel zouden kunnen worden opgenomenom dit risico te mitigeren. Het kabinet neemt dit voorstel niet over. Deverordening voorziet niet in een dergelijke vergoeding. De verordeningbepaalt wel in artikel 20, tweede lid, van de verordening dat eengegevenshouder recht heeft op een eerlijke vergoeding voor hetbeschikbaar stellen van gegevens in naleving van een verzoek overeen-komstig artikel 15, eerste lid, onderdeel b, van de verordening. DieTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 369 vergoeding dekt de technische en organisatorische kosten die zijngemaakt om aan het verzoek te voldoen, met inbegrip van, in voorkomendgeval, de kosten van anonimisering, pseudonimisering, aggregatie entechnische aanpassing, en met een redelijke marge. De verordening biedtgeen ruimte voor een andere vergoeding zoals voorgesteld door de AP.Het gaat hier immers om geharmoniseerde regels.53Bovendien ziet het kabinet de noodzaak van een bepaling zoals door APvoorgesteld niet. De waarde van data wordt al beschermd doorbedrijfsgeheimen- en intellectueel eigendomsrecht. De verordening doetgeen afbreuk aan het intellectueel eigendomsrecht en de beschermingvan bedrijfsgeheimen blijft onder de verordening gewaarborgd (zieparagraaf 5.3 en 5.4 van het algemeen deel van de toelichting). Deverordening bevat verschillende bepalingen om het risico op openbaringvan bedrijfsgeheimen te minimaliseren. Zo moeten overheidsinstanties inhun verzoeken specifiek aangeven welke gegevens noodzakelijk zijn en demate van detail en het volume van de benodigde gegevens moetproportioneel zijn ten opzichte van de uitzonderlijke noodzaak. Daarnaastzijn overheidsinstanties verplicht de legitieme doelstellingen vangegevenshouders te eerbiedigen en bedrijfsgeheimen te beschermen.Bedrijfsgeheimen hoeven bovendien alleen wanneer dat strikt noodza-kelijk is voor het doel van het verzoek en onder de voorwaarde dat deoverheidsinstantie alle nodige maatregelen neemt om de bedrijfsge-heimen te beschermen met een overheidsinstantie te worden gedeeld.Zolang de overheidsorganisaties in kwestie zich houden aan hunverplichtingen, treedt daarbij dus geen waardeverlies op voor degegevenshouder. Indien de overheidsorganisaties in kwestie de regelsovertreden en daardoor schade ontstaat voor de gegevenshouder, kunnenzij uiteraard aansprakelijk worden gesteld onder het normale schadever-goedingsrecht.8.5 Advies Raad voor de rechtspraak De Raad voor de rechtspraak (hierna: de Raad) onderkent het belang vande Uitvoeringswet, maar geeft in overweging om de Uitvoeringswet op devolgende onderdelen te verduidelijken of aan te passen.Inhoudelijke opmerkingenTen eerste, merkt de Raad op dat in de Uitvoeringswet de ACM en de APde bevoegdheid wordt toegekend om een bij overtreding van deverordening een bestuurlijke boete of een last onder dwangsom op teleggen en dat in de memorie van toelichting staat dat ook een last onderbestuursdwang kan worden opgelegd. De Raad adviseert om debevoegdheid voor een last onder bestuursdwang ook in de Uitvoe-ringswet op te nemen. Dit advies is overgenomen en verwerkt in artikel 8van de Uitvoeringswet, bijbehorende artikelsgewijze toelichting en inparagraaf 4.2 van het algemene deel van de toelichting.Ten tweede, gaat de Raad in op de rechtsbescherming. De Raad kan zichvinden in concentratie van rechtspraak bij Rechtbank Rotterdam tenaanzien van beroepen tegen besluiten van de ACM. Aan de eis vanspecifieke deskundigheid en de verwachting dat het aantal beroepszakenbeperkt zal zijn uit het Toetsingskader wettelijke concentratie is voldaan.De Raad adviseert voor besluiten van de AP om geen bijzondere bestuurs-rechter aan te wijzen. Voor besluiten van de AP geldt doorgaans dereguliere rechtsbescherming van beroep bij de rechtbank en hoger beroepbij de Afdeling bestuursrechtspraak van de Raad van State. Met het53Artikel 1, eerste lid, onderdeel c, van de verordening.Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 370 aanwijzen van een bijzondere bestuursrechter wordt in dit geval nietvoldaan aan de eis van specifieke deskundigheid zoals opgenomen in hetconcentratiebeleid van de Raad. Daarbij leidt deze keuze tot tweeverschillende beroepsgangen voor besluiten van de AP, hetgeen de Raadniet wenselijk acht. In dit verband wijst de Raad nog op het wetsvoorstelUitvoeringswet digitaledienstenverordening waarin ook is gekozen voorde reguliere rechtsbescherming voor de besluiten van de AP naast deaanwijzing van een bijzondere bestuursrechter voor de besluiten van deACM. De Raad adviseert om de Uitvoeringswet op dit punt aan te passen.Dit advies is overgenomen en verwerkt in artikel 9 van de Uitvoeringswet,bijbehorende artikelsgewijze toelichting en in paragraaf 4.6 van hetalgemeen deel van de toelichting.Ten derde merkte de Raad op dat wanneer er op één en dezelfde partijzowel een transparantieverplichting inzake gegevens rust als debevoegdheid tot het wel of niet verlenen van toegang tot deze gegevens,dan de vraag is hoe «uitzonderlijke omstandigheden» en «ernstigeeconomische schade» (zoals omschreven in artikel 4, achtste lid en artikel5, elfde lid van de verordening) worden vastgesteld. De Raad is adviseertde toelichting ten aanzien van dit punt aan te passen. De toelichting inparagraaf 3.1 van het algemeen deel van de toelichting legt echter slechtsde verordening uit en beschrijft de rollen zoals die in de verordeningomschreven staan. Het kan inderdaad zo zijn dat de aanbieder van eenverbonden product en de gegevenshouder één en dezelfde partij zijn,maar dit is in de verordening zo georganiseerd. Hoofdstuk III van detoelichting verduidelijkt de verordening reeds, en daarnaast is verderenormuitleg door de bevoegde autoriteiten mogelijk. Het advies totaanpassing van de Raad is daarom niet overgenomen.Ten vierde, merkt de Raad op dat in de memorie van toelichting eenaparte paragraaf ontbreekt waarin helder en overzichtelijk uiteen gezetwordt op welke wijze de rechtsbescherming in de Uitvoeringswet isvormgegeven. Geadviseerd wordt om zo’n paragraaf op te nemen. Ditadvies is overgenomen in paragraaf 4.6 van het algemeen deel van detoelichting.WerklastDe Raad verwacht als gevolg van de Uitvoeringswet geen significantewerklast-gevolgen voor de Rechtspraak. Daarbij merkt de Raad op datdeze conclusie inmiddels ook getrokken is bij een aantal adviezen overuitvoeringswetten bij verordeningen in 2023, namelijk de Uitvoeringswetdatagovernanceverordening, de Uitvoeringswet digitaledienstenveror-dening en Uitvoeringswet digitalemarktenverordening. De effecten op dewerklast van deze verordeningen kunnen bij elkaar opgeteld wel degelijkleiden tot een substantiële werklastverzwaring voor de rechtspraak, in hetbijzonder bij het CBb. Daarom is de Raad voornemens om de balanshiervan op te maken en daarop nog terug te komen, zo mogelijk bij debesprekingen over de ontwerpbegroting voor de Rechtspraak 2026.9. Overgangsrecht en inwerkingtreding De verordening is van toepassing met ingang van 12 september 2025. DeUitvoeringswet dient daarom ook op deze datum in werking te treden,hetgeen vastgesteld wordt in artikel 13 van de Uitvoeringswet. Deinwerkingtreding van dit wetsvoorstel wijkt af van het kabinetsbeleidinzake vaste verandermomenten (Kamerstukken II 2009/10, 29 515, nr.309), inhoudende dat wetsvoorstellen op 1 januari of 1 juli in werkingtreden met een minimuminvoeringstermijn van twee maanden. VolgensTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 371 dit kabinetsbeleid kan een uitzondering worden gemaakt indien het deuitvoering van een Europese verordening betreft.Op een aantal onderwerpen voorziet de verordening in overgangsrecht(artikel 50 van de verordening). De uit artikel 3, eerste lid, van deverordening voortvloeiende verplichting om verbonden producten zo tevervaardigen dat productgegevens en gegevens van een gerelateerdedienst gemakkelijk toegankelijk zijn voor de gebruiker is van toepassingop verbonden producten en de daaraan gerelateerde diensten die na12 september 2026 in de handel zijn gebracht. Hoofdstuk III van deverordening is van toepassing met betrekking tot verplichtingen omgegevens beschikbaar te stellen op grond van het Unierecht of op grondvan overeenkomstig het Unierecht vastgestelde nationale wetgeving diena 12 september 2025 in werking treedt. Hoofdstuk IV van de verordeningis van toepassing op overeenkomsten die na 12 september 2025 zijngesloten. Hoofdstuk IV is met ingang van 12 september 2027 vantoepassing op overeenkomsten die op of vóór 12 september 2025 zijngesloten mits zij van onbepaalde duur zijn, of ten minste 10 jaar na11 januari 2024 aflopen.II. Artikelsgewijs Artikel 2 GeschillenbeslechtingsorgaanGebruikers, gegevenshouders en gegevensontvangers, klanten enaanbieders van dataverwerkingsdiensten hebben toegang tot eengecertificeerd geschillenbeslechtingsorgaan om geschillen bedoeld inartikel 10, eerste en vierde lid, van de verordening te beslechten. Delidstaat waar het geschillenbeslechtingsorgaan is gevestigd, certificeertdat orgaan op diens verzoek indien aan de voorwaarden uit artikel 10,vijfde lid, van de verordening is voldaan. Overweging 52 verheldert dathet lidstaten vrij staat om specifieke regels voor de certificeringspro-cedure, waaronder voor het verstrijken of intrekken van certificering, vastte stellen. De bepalingen van deze verordening inzake geschillenbe-slechting verplichten de lidstaten niet om geschillenbeslechtingsorganenop te richten. Zie ook paragrafen 3.2 en 4.4 van het algemeen deel van detoelichting over geschillenbeslechting.Dit artikel in de Uitvoeringswet bepaalt dat de ACM de instantie is waareen geschillenbeslechtingsorgaan het verzoek kan indienen tot certifi-cering in Nederland. Ook is bepaald voor welke termijn de certificeringkan worden verleend en in welke gevallen de certificering kan wordeningetrokken. Tot slot is bepaald dat de ACM verantwoordelijk is voor het inkennis stellen van de Commissie van gecertificeerde geschillenbeslech-tingsorganen (het tweede lid van onderhavig artikel).Artikel 3 Aanwijzing bevoegde autoriteiten en toezichthoudersGelet op artikel 37, eerste lid, van de verordening wijst elke lidstaat één ofmeerdere bevoegde autoriteiten aan die bevoegd zijn voor de uitvoeringen handhaving van de verordening. In artikel 3 van de Uitvoeringswet zijnde ACM en de AP aangewezen als bevoegde autoriteit. Zie voor eentoelichting op de aanwijzing paragraaf 4.1 van het algemeen deel van dememorie van toelichting.Artikel 37, vijfde lid, van de verordening bepaalt dat lidstaten moetenzorgen dat de taken en bevoegdheden van de bevoegde autoriteitenduidelijk omschreven zijn en de daargenoemde taken en bevoegdhedenomvatten (zie ook paragraaf 3.8 van het algemeen deel van detoelichting). Artikel 3, tweede en vierde lid, van de Uitvoeringswet bepaaltTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 372 dat de ACM en de AP bevoegd zijn om de (voor hun rol als bevoegdeautoriteit relevante) taken en de bevoegdheden uit te oefenen die in deverordening aan de bevoegde autoriteiten zijn opgedragen.Op grond van artikel 37, derde lid, van de Dataverordening zijn dehoofdstukken VI en VII van de AVG, inzake de aanwijzing van toezichthou-dende autoriteiten, hun taken en bevoegdheden en hun onderlingesamenwerking, van overeenkomstige toepassing op de uitvoering van deDataverordening voor zover het de verwerking van persoonsgegevensbetreft. In artikel 1, vijfde lid, van de Dataverordening is voorts bepaalddat de Dataverordening geen afbreuk doet aan de AVG, met inbegrip vande bevoegdheden van toezichthoudende autoriteiten. Om die reden is inde tweede volzin van artikel 3, vierde lid, van de Uitvoeringswet bepaalddat artikel 16, eerste lid, van de UAVG, op grond waarvan de AP bevoegdis om de taken en bevoegdheden op grond van de AVG toe te passen, vanovereenkomstige toepassing is op de uitvoering van de Dataverordeningvoor zover het de verwerking van persoonsgegevens betreft. Ook isbepaald dat dit voor zover nodig geldt in afwijking van het de bepaling datde AP als bevoegde autoriteit de taken en bevoegdheden op grond van deDataverordening kan toepassen.Tot slot zijn het vierde en vijfde lid van artikel 16 van de UAVG vanovereenkomstige toepassing verklaard. Artikel 16, vierde lid, van de UAVGverduidelijkt dat enkele corrigerende maatregelen uit de AVG het karakterhebben van een bestuurlijke sanctie in de zin van titel 5.1 van de Awb.Artikel 16, vijfde lid, van de UAVG heeft betrekking op het opschorten vande termijn van het nemen van een beschikking in het geval van hetverlenen van wederzijdse bijstand aan een bevoegde autoriteit van eenandere lidstaat.Artikel 4 Aanwijzing datacoördinatorOmdat in Nederland meerdere bevoegde autoriteiten worden aange-wezen, wordt onder de bevoegde autoriteiten overeenkomstig artikel 37,tweede lid, van de verordening een datacoördinator aangewezen. Inartikel 4 van de Uitvoeringswet wordt de ACM aangewezen als dedatacoördinator (zie voor een toelichting op de aanwijzing paragraaf 4.3van het algemeen deel van de toelichting). De taken en bevoegdhedenvan de datacoördinator volgen rechtstreeks uit de artikelen 37, vijfde lid,tweede alinea, en zesde lid, en 38, eerste lid, tweede volzin, van deverordening. Zie voor wat betreft de publicatie van verzoeken onderhoofdstuk V ook artikel 17, tweede lid, onderdeel g, van de verordening.Zie voor een toelichting op de taken paragraaf 3.8 van het algemeen deelvan de toelichting.Artikel 5 Aanwijzing toezichthoudersArtikel 5 van de Uitvoeringswet bepaalt dat de ACM en de AP voor dehoofdstukken van de verordening waar zij de bevoegde autoriteit voorzijn, daar ook de toezichthouder voor zijn. Daardoor beschikken zij ookover de toezichtbevoegdheden uit titel 5.2 van de Algemene wet bestuurs-recht. Het toezicht ziet op normerende bepalingen uit de verordening.In artikel 5, eerste lid, van de Uitvoeringswet wordt de ACM belast met hettoezicht op de naleving van het grootste deel van de verplichtingen in deverordening. Artikel 12a van de Instellingswet ACM bevat de grondslagvoor de ACM om bij besluit de ambtenaren aan te wijzen die belast zijnmet de uitvoering van het toezicht van op de naleving van wettelijkevoorschriften dat is opgedragen aan de ACM. Om die reden wordt inonderhavig artikel de ACM aangewezen als toezichthouder, terwijl inTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 373 artikel 5, tweede lid, van de Uitvoeringswet bepaalde ambtenaren van deAP worden aangewezen als toezichthoudende ambtenaren.In artikel 5, tweede en derde lid, van de Uitvoeringswet worden de daargenoemde ambtenaren van de AP belast met het toezicht op de nalevingvan een aantal artikelen uit hoofdstuk II van de verordening die zien ophet beschermen van persoonsgegevens en uitleg van AVG-begrippen enop hoofdstuk V van de verordening. Zie voor een toelichting hierop naderparagraaf 4.1 van het algemene deel van de toelichting. De genoemdeambtenaren zijn dezelfde als die op grond van artikel 15 van de UAVG zijnbelast met het toezicht op de naleving van de AVG en die wet.Artikel 5, vierde lid, van de Uitvoeringswet voorziet in een afbakeningtussen de werkingssfeer van de WHC en de Uitvoeringswet. De ACMwordt bevoegd om krachtens de WHC toezicht te houden op inbreuken eninbreuken binnen de Unie op de Dataverordening, voor overtredingen dieschade toebrengen of kunnen toebrengen aan de collectieve belangen vanconsumenten (artikel 11 van dit wetsvoorstel). Zie hiervoor naderparagraaf 4.2 van deze memorie van toelichting en de artikelsgewijzetoelichting op artikel 11 van het wetsvoorstel. In het vierde lid van artikel 5is bepaald dat de ACM niet op grond van dit wetsvoorstel, eenmaal totwet verheven en in werking getreden, bevoegd zal zijn om toezicht tehouden in de gevallen waarin zij daartoe op grond van de WHC bevoegdis.In artikel 5, vijfde lid, van de Uitvoeringswet is voorts verduidelijkt dat deAP en de ACM geen bevoegdheden op het gebied van toezicht hebben tenaanzien van de gedragingen van de Europese instellingen in het kader vanhoofdstuk V van de verordening. In paragraaf 3.8 van deze memorie vantoelichting is hier nader op ingegaan.Artikel 6 Samenwerking ACM en APVoor effectief toezicht op de verordening moeten ACM en AP samen-werken. Het gaat om samenwerking vanuit hun rol als bevoegdeautoriteiten, de ACM als datacoördinator (artikel 37, tweede en vijfde lid,onderdeel c, van de verordening) en de AP als AVG-toezichthouder (artikel37, vijfde lid, onderdeel g, van de verordening). Zie voor uitleg over deeisen die de verordening stelt aan samenwerking paragraaf 3.8 van hetalgemeen deel van de toelichting en paragraaf 4.2 over de samenwerkingin Nederland.Het voorgestelde artikel 6, eerste lid, van de Uitvoeringswet bepaalt dat deACM en de AP bevoegd zijn afspraken te maken over toezicht op deverordening en dat ze daarvoor een samenwerkingsprotocol kunnenopstellen, waarvan in de Staatscourant mededeling wordt gedaan. Er kanook worden gekozen om een bestaand samenwerkingsprotocol aan tepassen, bijvoorbeeld het samenwerkingsprotocol tussen de ACM en AP inhet kader van artikel 19, eerste lid, van de UAVG of artikel 7, derde lid, vande Uitvoeringswet datagovernanceverordening.Het voorgestelde artikel 6, tweede lid, van de Uitvoeringswet voorziet ineen grondslag voor het delen van gegevens tussen de ACM en de AP inhet kader van toezicht op de verordening. Het betreft een aanvulling opartikel 19, tweede lid, van de UAVG (uitwisseling van persoonsgegevenstussen AP en andere toezichthouders) en artikel 7 van de InstellingswetACM (verstrekking van gegevens door de ACM).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 374 Artikel 7 Samenwerking ACM en andere bevoegde autoriteitenVoor effectief toezicht op de verordening moeten de bevoegde autori-teiten samenwerken met andere bevoegde autoriteiten als bedoeld inartikel 37, vijfde lid, onderdelen g en h, van de verordening. Het betreftonder meer sectorale toezichthouders die verantwoordelijk zijn voor deuitvoering van andere Unie of nationale regelgeving, waaronder deRijksdienst Digitale Infrastructuur. Zie voor uitleg over de eisen die deverordening stelt aan samenwerking paragraaf 3.8 van het algemeen deelvan de toelichting en paragraaf 4.2 over de samenwerking in Nederland.Het voorgestelde artikel 7, eerste lid, van de Uitvoeringswet bepaalt dat deACM en de AP (als bevoegde autoriteiten en de datacoördinator) bevoegdzijn om met deze andere bevoegde autoriteiten afspraken te maken overtoezicht op de verordening en dat ze daarvoor een samenwerkingspro-tocol kunnen opstellen, waarvan in de Staatscourant mededeling wordtgedaan. Er kan ook worden gekozen om een bestaand samenwerkingspro-tocol aan te passen.Verder biedt artikel 7, tweede lid, van de Uitvoeringswet een grondslagom bij ministeriële regeling regels te kunnen stellen over het verstrekkenvan gegevens tussen de ACM en de andere bevoegde autoriteiten voorzover dat noodzakelijk is voor de uitvoering van deze wet. Het gaat omsituaties waarin sprake is van structurele samenwerking en gegevensuit-wisseling. Vooralsnog wordt geen gebruik gemaakt van deze grondslag.Voor het incidenteel uitwisselen van informatie tussen toezichthoudersbiedt artikel 5:16 van de Awb al een grondslag. De verwachting is dat in detoekomst de vorm en frequentie samenwerking tussen de ACM en anderetoezichthouders zal veranderen, bijvoorbeeld naar aanleiding van nieuwesectorale wetgeving of het toenemende gebruik van verbonden productenen dataverwerkingsdiensten.Artikel 8 SanctioneringGelet op artikelen 37, vijfde lid, onderdeel d, en 40, eerste lid, van deverordening moeten lidstaten sancties vaststellen, waaronder dwang-sommen, voor inbreuken op de verordeningen. Dit artikel van deUitvoeringswet bepaalt dat bij overtreding van de verordening de ACM enAP een bestuurlijke boete en een last onder bestuursdwang, en daarmeeook een last onder dwangsom, kan opleggen. Voor de maximale hoogtevan de bestuurlijke boete wordt voor de ACM aangesloten bij verge-lijkbare wetgeving en de jaaromzet van de inbreukmakende partij in hetvoorgaande boekjaar in de Europese Unie (artikel 40, derde lid, onderdeelf, van de verordening). Voor de maximale hoogte van de bestuurlijkeboete wordt voor de AP aangesloten bij de AVG-boete hoogte (artikel 40,vierde lid, van de verordening jo. artikel 83, vijfde lid, van de AVG). Zieverder paragraaf 4.2 van het algemeen deel van de toelichting.In artikel 8, eerste en tweede lid, van de Uitvoeringswet zijn de onderdelenvan de Dataverordening gespecificeerd voor overtreding waarvan eenbestuurlijke sanctie kan worden opgelegd. Dit zijn de onderdelen die eenverplichtingen bevatten waar door de normadressant inbreuk op kanworden gemaakt en waar op grond van artikel 40, eerste lid, van deverordening sancties voor moeten gelden. Hierna worden de perhoofdstuk van de Dataverordening daarbij gemaakte keuzes waar nodignader toegelicht.Verschillende van de bepalingen in hoofdstuk III van de verordeninghebben raakvlakken met het civiele recht, bijvoorbeeld waar het gaat omde inhoud van contractuele bepalingen (onder meer artikel 8, eerste lid,Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 375 van de verordening) en de te nemen maatregelen door derden, waaronderschadevergoeding, bij inbreuk op de rechten van een gegevenshouder(artikel 11, tweede lid, van de verordening). Inbreuken op deze bepalingenkunnen zowel civielrechtelijk als bestuursrechtelijk gehandhaafd worden.Op de verhouding tussen de privaatrechtelijke handhaving van dezebepalingen en publiekrechtelijk toezicht en handhaving door de ACM isnader ingegaan in paragraaf 5.5 van deze memorie van toelichting.De artikelen 14 en 18, eerste lid, van de Dataverordening bevatten beidede verplichting voor gegevenshouders om op verzoek gegevensbeschikbaar te stellen aan overheden in het geval er sprake is van eenuitzonderlijke noodzaak. Het is aan de AP, de bevoegde autoriteit voor dehandhaving van deze bepalingen, of zij bij inbreuken op deze verplichtinghandhaaft op grond van beide bepalingen of op grond van één van beidebepalingen. Artikel 17 van de Dataverordening bevat de eisen waar eenverzoek om gegevens aan moet voldoen. Indien een gegevenshouder vanoordeel is dat een verzoek niet aan deze eisen voldoet, dan heeft deze opgrond van artikel 18, tweede lid, onderdeel c, van de Dataverordening demogelijkheid om het verzoek af te wijzen of om wijziging van het verzoekte vragen. Op die manier kunnen de gegevenshouder en de verzoekendepartij proberen onderling tot overeenstemming te komen. Indien degegevenshouder van mening is dat diens rechten met het verzoek wordengeschonden, of indien een van beide partijen het oneens is met debeschikbaarstelling van de gevraagde gegevens of weigering daarvan,voorziet de verordening tevens in de mogelijkheid om het verzoek aan debevoegde autoriteit, de AP, voor te leggen. Voor het geval de kwestie methulp van de AP niet minnelijk kan worden opgelost, kan de AP zo nodiggebruik maken van de sanctiebevoegdheden die het met het onderhavigewetsvoorstel krijgt toebedeeld. De AP krijgt tevens de bevoegdheid omsancties op te leggen aan overheden die zich niet houden aan deverplichtingen die op hen rusten nadat het verzoek is afgehandeld, zoalseisen aan de bescherming van die gegevens en het verbod om deverkregen gegevens voor hergebruik beschikbaar te stellen.Hoofdstuk VI van de Dataverordening bevat verplichtingen ten aanzien hetoverstappen naar een andere dataverwerkingsdienst. Op grond van artikel23 van de Dataverordening is het aan de aanbieder van die diensten omde in dat hoofdstuk opgenomen maatregelen te nemen. Bij het nietnemen van die maatregelen is dus sprake van een overtreding van artikel23 van de verordening en is de ACM bevoegd om bestuurlijke sancties opte leggen. Verschillende onderdelen van hoofdstuk VI van de Dataveror-dening zijn geformuleerd op een wijze dat de aanbieder van een dataver-werkingsdienst die bepaling ook op zichzelf kan overtreden. Ook dezeonderdelen zijn opgenomen in artikel 8, eerste lid, van het wetsvoorstel.De ACM kan bij overtredingen van deze bepalingen optreden wegensovertreding van de bewuste bepaling of overtreding van artikel 23 van deverordening, of beide.In artikel 8, derde lid, van de Uitvoeringswet wordt voor de AP geregelddat indien een opgelegde last onder dwangsom of bestuurlijke boeteverplicht tot betaling van een geldsom, deze geldsom aan de Staattoekomt. Dit is in lijn met de bepalingen ter uitvoering van de AVG (zieonder meer de artikelen 14, zesde lid, en 16, tweede lid, van de UAVG).Voor de ACM is een vergelijkbare bepaling niet nodig omdat artikel 12tvan de Instellingswet ACM dit reeds regelt voor de ACM.Artikel 8, vierde lid, van de Uitvoeringswet voorziet in een afbakeningtussen de werkingssfeer van de WHC en de Uitvoeringswet. De ACMwordt bevoegd om krachtens de WHC te handhaven in het geval vaninbreuken en inbreuken binnen de Unie op de Dataverordening, voorTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 376 overtredingen die schade toebrengen of kunnen toebrengen aan decollectieve belangen van consumenten (artikel 11 van dit wetsvoorstel).Zie hiervoor nader paragraaf 4.2 van deze memorie van toelichting en deartikelsgewijze toelichting op artikel 11 van het wetsvoorstel. In het vierdelid van artikel 8 is bepaald dat de ACM niet op grond van dit wetsvoorstel,eenmaal tot wet verheven en in werking getreden, bevoegd zal zijn om tehandhaven in de gevallen waarin zij daartoe op grond van de WHCbevoegd is.In artikel 8, vijfde lid, van de Uitvoeringswet wordt verduidelijkt dat de APen de ACM geen bevoegdheden op het gebied van handhaving hebbenten aanzien van de gedragingen van de Europese instellingen in het kadervan hoofdstuk V van de verordening. In paragraaf 3.8 van deze memorievan toelichting is hier nader op ingegaan.Artikel 9 Wijziging Algemene wet bestuursrechtDit artikel van de Uitvoeringswet regelt de beroepsmogelijkheden tegenbesluiten van de ACM op grond van dit wetsvoorstel. Beroep kan in eersteaanleg bij de Rechtbank Rotterdam (bijlage 2, artikel 7, van de Awb)worden ingesteld en hoger beroep bij het CBb (bijlage 2, artikel 11, van deAwb). Zie verder paragraaf 4.6 van het algemeen deel van de toelichting.Artikel 10 Wijziging DatabankenwetArtikel 43 van de verordening bepaalt dat het sui generis recht uit artikel 7van Richtlijn 96/9/EC (Databankrichtlijn) niet van toepassing is opgegevens uit een verbonden product of gerelateerde dienst (zieparagrafen 3.9 en 5.4 van het algemeen deel van de toelichting). Dit suigeneris recht is geïmplementeerd in artikel 2, eerste lid, van de Databan-kenwet. De Databankenwet wordt gewijzigd zodat deze in lijn is met deuitzondering in de verordening.Artikel 11 Wijziging Wet handhaving consumentenbeschermingArtikel 47 van de verordening wijzigt de bijlage van Verordening (EU)2017/239454 (hierna: CPC-verordening) waardoor de Dataverordening valtonder het «Unierecht ter bescherming van de consumentenbelangen» inde zin van artikel 3, eerste lid, van de CPC-verordening. In de bijlage bij deWet handhaving consumentenbescherming is geregeld welke toezicht-houder in Nederland toezicht houdt op de naleving van de verschillendeEuropese consumenten richtlijnen en verordeningen. Dit artikel van deUitvoeringswet voegt de relevante bepalingen van de Dataverordeningtoe aan onderdeel a van de bijlage bij de Wet handhaving consumenten-bescherming. Hiermee wordt de ACM bevoegd om krachtens die wettoezicht te houden op en te handhaven in het geval van inbreuken eninbreuken binnen de Unie op de Dataverordening, dat wil zeggenovertredingen die schade toebrengen of kunnen toebrengen aan decollectieve belangen van consumenten. Zie hiervoor nader paragraaf 4.2van deze memorie van toelichting.54Verordening (EU) 2017/2394 van het Europees Parlement en de Raad van 12 december 2017betreffende samenwerking tussen de nationale autoriteiten die verantwoordelijk zijn voorhandhaving van de wetgeving inzake consumentenbescherming en tot intrekking vanVerordening (EG) nr. 2006/2004 (PbEU 2017, L 345).Tweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 377 Artikel 12 Wijziging Wet hergebruik overheidsinformatieOp grond van artikel 17, derde lid, van de verordening, zijn gegevens diezijn verkregen op basis van hoofdstuk V van de verordening nietbeschikbaar voor hergebruik als bedoeld in de Datagovernanceveror-dening (Verordening 2022/868/EU) en de Open data richtlijn (Richtlijn2019/1024/EU). Die bepaling heeft direct effect op de werking van deDatagovernanceverordening, omdat dat een verordening is. Voor de Opendata richtlijn moet die bepaling voor een goede werking nog wordenomgezet in nationaal recht. Dat gebeurt door middel van dit artikel. Onderomstandigheden staat het vierde lid van artikel 17 van de verordening toedat dergelijke gegevens wel met andere overheidsinstanties mogenworden gedeeld. Uiteraard is het niet de bedoeling dat die gegevens viaeen omweg alsnog voor hergebruik beschikbaar worden gesteld. Met hetwoord «oorspronkelijk» in de onderhavige bepaling wordt uitdrukkinggegeven aan het feit dat ook doorgegeven gegevens niet beschikbaar zijnvoor hergebruik.Artikel 13 InwerkingtredingVoor de inwerkingtreding wordt aangesloten op de datum waarop deverordening van toepassing is. Zie verder paragraaf 9 van het algemeendeel van de toelichting.III. Transponeringstabel Bepaling DataverordeningBepaling in wetsvoorstel of bestaande regeling;toelichting indien niet geïmplementeerd of naarzijn aard geen implementatie behoeftOmschrijvingbeleidsruimteToelichting opde keuze(n) bijde invulling vande beleidsruimteHoofdstuk I (Algemene bepalingen)Artikel 1 (Onderwerp en toepassingsgebied)Behoeft naar de aard van deze bepaling geenimplementatie; onderwerp en toepassingsge-biedGeenArtikel 2 (Definities)Behoeft naar de aard van deze bepaling geenimplementatie; definitiesGeenHoofdstuk II (Delen van gegevens tussen bedrijven en consumenten en tussen bedrijven onderling)Artikel 3 (Verplichting om productgegevens engegevens van gerelateerde diensten toegankelijk temaken voor de gebruiker)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 4 (De rechten en plichten van gebruikers engegevenshouders wat betreft het raadplegen,gebruiken en beschikbaar stellen van productgege-vens en gegevens van een gerelateerde dienst)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 5 (Het recht van de gebruiker om gegevenste delen met derden)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 6 (Verplichtingen van derden die op verzoekvan de gebruiker gegevens ontvangen)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 7 (Reikwijdte van de verplichtingen tot hetdelen van gegevens tussen bedrijven en consu-menten en tussen bedrijven onderling)Behoeft naar de aard van deze bepaling geenimplementatie; reikwijdteGeenHoofdstuk III (Verplichtingen voor gegevenshouders die krachtens het Unierecht verplicht zijn om gegevens beschikbaar te stellen)Artikel 8 (Voorwaarden waaronder gegevenshou-ders gegevens ter beschikking stellen aangegevensontvangers)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 9 (Vergoeding voor het beschikbaar stellenvan gegevens)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 10 (Geschillenbeslechting)Lid 1–4, lid 7–13: Behoeft naar de aard van dezebepaling geen implementatie; werkt recht-streeksLid 5 en 6: artikel 2 UitvoeringswetKeuze welkeinstantie certificeertZie par. 4.4 vandeze MvTArtikel 11 (Technische beschermingsmaatregeleninzake het ongeoorloofd gebruik of de ongeoor-loofde openbaarmaking van gegevens)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 12 (Reikwijdte van de verplichtingen voorgegevenshouders die krachtens het Unierechtverplicht zijn om gegevens beschikbaar te stellen)Behoeft naar de aard van deze bepaling geenimplementatie; reikwijdteGeenTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 378 Bepaling DataverordeningBepaling in wetsvoorstel of bestaande regeling;toelichting indien niet geïmplementeerd of naarzijn aard geen implementatie behoeftOmschrijvingbeleidsruimteToelichting opde keuze(n) bijde invulling vande beleidsruimteHoofdstuk IV (Oneerlijke contractuele bedingen met betrekking tot de toegang tot en het gebruik van gegevens tussen ondernemingen)Artikel 13 (Oneerlijke contractuele bedingen dieeenzijdig worden opgelegd aan een andereonderneming)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenHoofdstuk V (Gegevens beschikbaar stellen aan overheidsinstanties, de Commissie, de Europese Centrale Bank en organen van de Unie op grondvan uitzonderlijke noodzaak)Artikel 14 (Verplichting om gegevens beschikbaarte stellen op grond van uitzonderlijke noodzaak)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 15 (Uitzonderlijke noodzaak om gegevens tegebruiken)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 16 (Verband met andere verplichtingen omgegevens beschikbaar te stellen aan overheidsin-stanties, en de Commissie, de Europese CentraleBank en organen van de Unie)Behoeft naar de aard van deze bepaling geenimplementatie; reikwijdteGeenArtikel 17 (Verzoeken om gegevens beschikbaar testellen)Behoeft naar de aard van deze bepaling geenimplementatie; lid 5 is gericht tot EC en overigeleden werken rechtstreeksGeenArtikel 18 (Naleving van verzoeken om gegevens)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 19 (Verplichtingen van overheidsinstanties,de Commissie, de Europese Centrale Bank enorganen van de Unie)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 20 (Vergoeding in geval van uitzonderlijkenoodzaak)Lid 4: Implementatie wordt vorm gegeven doorfeitelijk handelen; informeren ECOverige leden: Behoeft naar de aard van dezebepaling geen implementatie; werkt recht-streeksGeenArtikel 21 (Delen van in de context van eenuitzonderlijke noodzaak verkregen gegevens metonderzoeksorganisaties of statistische instanties)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 22 (Wederzijdse bijstand en grensoverschrij-dende samenwerking)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenHoofdstuk VI (Overstappen naar een andere dataverwerkingsdienst)Artikel 23 (Belemmeringen voor een doeltreffendeoverstap wegnemen)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 24 (Reikwijdte van de technische verplichtin-gen)Behoeft naar de aard van deze bepaling geenimplementatie; reikwijdteGeenArtikel 25 (Contractvoorwaarden betreffende eenoverstap)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 26 (Verplichting voor aanbieders vandataverwerkingsdiensten om informatie teverstrekken)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 27 (Goedetrouwverplichting)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 28 (Contractuele transparantieverplichtingeninzake internationale toegang en doorgifte)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 29 (Stapsgewijze opheffing van overstap-kosten)Behoeft naar de aard van deze bepaling geenimplementatie; lid 4 is gericht tot EC, overigeleden werken rechtstreeksGeenArtikel 30 (Technische aspecten van een overstap)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 31 (Specifieke regeling voor bepaaldedataverwerkingsdiensten)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeks, reikwijdteGeenHoofdstuk VII (Internationale overheidstoegang en overdracht van niet-persoonsgebonden gegevens)Artikel 32 (Internationale overheidstoegang enoverdracht)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeks en gericht totbestaande bevoegde autoriteiten op het gebiedvan nationale veiligheid, defensie en interna-tionale juridische samenwerking en EuropeesComité voor gegevensinnovatie (lid 3, laatstealinea)GeenHoofdstuk VIII (Interoperabiliteit)Artikel 33 (Essentiële eisen inzake interoperabiliteitvan gegevens, van mechanismen en diensten voorhet delen van gegevens alsook van gemeenschap-pelijke Europese dataruimten)Lid 11, eerste zin,: Implementatie wordt vormgegeven door feitelijk handelen; informeren ECVerder: Behoeft naar de aard van deze bepalinggeen implementatie;Lid 1, 3, 8: werkt rechtstreeksLid 2, 4- 7, 9–11: gericht tot ECGeenTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 379 Bepaling DataverordeningBepaling in wetsvoorstel of bestaande regeling;toelichting indien niet geïmplementeerd of naarzijn aard geen implementatie behoeftOmschrijvingbeleidsruimteToelichting opde keuze(n) bijde invulling vande beleidsruimteArtikel 34 (Interoperabiliteit met het oog op parallelgebruik van dataverwerkingsdiensten)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 35 (Interoperabiliteit voor dataverwerkings-diensten)Lid 7, eerste zin: Implementatie wordt vormgegeven door feitelijk handelen; informeren ECVerder: Behoeft naar de aard van deze bepalinggeen implementatie;Lid 1–3: werkt rechtstreeksLid 4–9: gericht tot ECGeenArtikel 36 (Essentiële eisen met betrekking totslimme contracten voor het uitvoeren vangegevensdelingsovereenkomsten)Lid 11, eerste zin: Implementatie wordt vormgegeven door feitelijk handelen; informeren ECVerder: Behoeft naar de aard van deze bepalinggeen implementatie;Lid 1–4, 9: werkt rechtstreeksLid 5–8, 10 en 11: gericht tot ECGeenHoofdstuk IX (Uitvoering en handhaving)Artikel 37 (Bevoegde autoriteiten en data-coördinatoren)Lid 1 (aanwijzen bevoegde autoriteiten)Artikel 3, eerste en derde lid, Uitvoeringswet;aanwijzen een of meerdere bevoegde autoritei-ten.Keuze aanwijzenbevoegde autoritei-tenZie par. 4.1 vandeze MvTLid 2 (aanwijzen datacoördinator en samenwerkenbevoegde autoriteiten)Artikelen 4 en 6 Uitvoeringswet; aanwijzendatacoördinator (indien meerdere bevoegdeautoriteiten worden aangewezen).Keuze aanwijzendata coördinatorZie par. 4.3 vandeze MvTLid 3 (rol AVG-toezichthouder)Eerste zin: Reeds geïmplementeerd via artikel 6Uitvoeringswet AVG.Tweede zin: Artikel 3, vierde lid, tweede volzin,Uitvoeringswet; van overeenkomstigetoepassing verklaren onderdelen van de UAVG.GeenLid 4 (rol sectorale autoriteiten en ervaringbevoegde autoriteit)Behoeft naar de aard van deze bepaling geenimplementatieGeenLid 5 (taken en bevoegdheden bevoegde autoritei-ten)Artikelen 3, tweede en vierde lid, en artikelen5, 6 en 7 Uitvoeringswet; taken en bevoegdhe-den voor bevoegde autoriteten aanwijzen; zieook titel 5.2 Awb; samenwerkingsprotocolnodig, informatie uitwisseling tussen autoritei-ten regelenGeenLid 6 (taken en bevoegdheden datacoördinator)Artikel 4 Uitvoeringswet; taken en bevoegdhe-den voor datacoördinator aanwijzenGeenLid 7 (informeren Commissie)Implementatie wordt vorm gegeven doorfeitelijk handelen; informeren ECGeenLid 8 (onpartijdig)Implementatie wordt vorm gegeven doorfeitelijk handelenGeenLid 9 (middelen en expertise)Implementatie wordt vorm gegeven doorfeitelijk handelen; zorgen voor middelen enexpertiseGeenLid 10 – 13 (autoriteit bevoegd van lidstaat waarentiteit is gevestigd; wettelijke vertegenwoordiger)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenLid 14 (bevoegdheid informatie opvragen)Reeds geïmplementeerd via titel 5.2 AwbGeenLid 15 (verzoek om bijstand of handhaving aanbevoegde autoriteit in een andere lidstaat)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenLid 16 (vertrouwelijkheid)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 38 (Recht om een klacht in te dienen)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 39 (Recht op een doeltreffende voorzieningin rechte)Artikel 9 UitvoeringswetBehoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 40 (Sancties)Lid 1 (sancties vaststellen)Artikel 8 UitvoeringswetRuimte om boetehoogte te bepalenZie par. 4.2(sancties) vandeze MvTLid 2 (informeren Commissie en register)Eerste zin: Implementatie wordt vormgegevendoor feitelijk handelen; informeren ECTweede zin: Behoeft naar de aard van dezebepaling geen implementatie; gericht tot ECGeenLid 3 (aanbevelingen ECvG en criteria voorsancties)Implementatie wordt vormgegeven doorfeitelijk handelen; rekening houden metaanbevelingen en criteria bij opstellen sanctiesRuimte om boetehoogte te bepalenZie par. 4.2(sancties) vandeze MvTTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 380 Bepaling DataverordeningBepaling in wetsvoorstel of bestaande regeling;toelichting indien niet geïmplementeerd of naarzijn aard geen implementatie behoeftOmschrijvingbeleidsruimteToelichting opde keuze(n) bijde invulling vande beleidsruimteLid 4 (AVG-boetes)Reeds geïmplementeerd via artikel 6 jo. 14,derde lid, Uitvoeringswet AVG en Artikel 8,tweede lid, UitvoeringswetGeenLid 5 (geldboetes EDPS)Behoeft naar de aard van deze bepaling geenimplementatie; gericht tot EDPSGeenArtikel 41 (Modelcontractvoorwaarden enstandaardcontractbepalingen)Behoeft naar de aard van deze bepaling geenimplementatie; gericht tot ECGeenArtikel 42 (Rol van het Europees Comité voorgegevensinnovatie)Behoeft naar de aard van deze bepaling geenimplementatie; gericht tot EDIBGeenHoofdstuk X (Sui-generis-recht krachtens Richtlijn 96/9/EC)Artikel 43 (Databanken die bepaalde gegevensbevatten)Artikel 10 UitvoeringswetGeenHoofdstuk XI (Slotbepalingen)Artikel 44 (Andere Unierechtshandelingenbetreffende rechten en verplichtingen inzake detoegang tot en het gebruik van gegevens)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 45 (Uitoefening van de bevoegdheidsdele-gatie)Behoeft naar de aard van deze bepaling geenimplementatie; gericht tot EC, EP en de RaadGeenArtikel 46 (Comitéprocedure)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 47 (Wijziging van Verordening (EU)2017/2394)Artikel 11 UitvoeringswetGeenArtikel 48 (Wijziging van Richtlijn (EU) 2020/1828)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeenArtikel 49 (Evaluatie en herziening)Lid 3: Implementatie wordt vorm gegeven doorfeitelijk handelen; EC informatie geven t.b.v.evaluatiesOverig: Behoeft naar de aard van deze bepalinggeen implementatie; gericht tot ECGeenArtikel 50 (Inwerkingtreding en toepassing)Behoeft naar de aard van deze bepaling geenimplementatie; werkt rechtstreeksGeen De Minister van Economische Zaken,D.S. BeljaartsTweede Kamer, vergaderjaar 2024–2025, 36 733, nr. 381
Bron, video en gesprek →Officieel Kamerprofiel
f95b6b27-a2af-4b44-b4bd-06578faf3b06
45debatten
1.236bijdragen
9interrupties
185.853woorden in uitspraken
Commissies
Geen huidige commissielidmaatschappen beschikbaar in de Kamerdata.
Contact
Contactgegevens worden alleen getoond voor zittende Kamerleden.
Loopbaan
Geen loopbaangegevens beschikbaar in de Kamerdata.
Opleiding
Geen opleidingsgegevens beschikbaar in de Kamerdata.
Nevenfuncties
Geen nevenfuncties beschikbaar in de Kamerdata.
Geschenken en reizen
Geen geregistreerde geschenken beschikbaar in de Kamerdata.
Geen geregistreerde reizen beschikbaar in de Kamerdata.
Stemgedrag
Bij een hoofdelijke stemming staat de eigen stem. Anders staat de stem van de fractie waarvan dit Kamerlid op de besluitdatum lid was; dat is geen persoonlijke stem.
Geen stemmingen beschikbaar in de Kamerdata.