5 EU-verordeningen die data governance beïnvloeden in 2026
- AVG (GDPR) — Van kracht sinds 2018; handhaving intensiveert in 2025-2026
- Data Act — Van kracht 12 september 2025; nieuwe rechten op data-uitwisseling
- Data Governance Act (DGA) — Van kracht 23 september 2023; Europese dataruimten
- AI Act — Volledige toepassing augustus 2026; kwaliteitseisen voor AI-trainingsdata
- NIS2-richtlijn — Omgezet in nationaal recht; beveiliging van netwerk- en informatiesystemen
De Data Act 2025 — nieuwe verplichtingen voor data-uitwisseling
De Data Act is op 12 september 2025 volledig van kracht geworden. Deze verordening verandert fundamenteel wie recht heeft op toegang tot data die door producten en diensten wordt gegenereerd.
De kernverplichtingen voor bedrijven:
- Gebruikerstoegang: fabrikanten van connected products (IoT-apparaten, smart products) moeten gebruikers eenvoudige toegang geven tot de door hun apparaat gegenereerde data.
- Datadeling met derden: op verzoek van de gebruiker moet data ook aan derde partijen (bijv. reparatiebedrijven, apps) beschikbaar worden gesteld.
- Overheidstoegang: publieke instellingen kunnen in uitzonderingsgevallen (bijv. noodsituaties, statistiek) toegang vragen tot privédata.
- Overstapbescherming: cloudproviders moeten het overstappen naar concurrenten eenvoudiger maken en onredelijke overstapdrempels afbouwen.
Voor bedrijven die data-intensieve producten of diensten aanbieden, is het noodzakelijk om de contractuele afspraken met klanten en partners te herzien in lijn met de Data Act.
Data Governance Act — europees datadelen en dataruimten
De Data Governance Act (DGA, Verordening 2022/868) is al op 23 september 2023 van kracht geworden en legt de basis voor Europese datadeelinfrastructuur. De DGA heeft drie pijlers:
- Hergebruik van overheidsdata: regels voor hoe publieke sector-data beschikbaar kan worden gesteld, inclusief data die gevoelig is (medisch, juridisch, statistisch).
- Erkende datadiensten (data intermediaries): organisaties die data willen uitwisselen tussen bedrijven onderling, kunnen zich laten registreren als erkende datadienstverlener. Dit schept vertrouwen en transparantie.
- Dataaltruïsme: bedrijven en burgers kunnen vrijwillig data beschikbaar stellen voor het algemeen belang (bijv. medisch onderzoek). Erkende dataaltruïsme-organisaties krijgen een speciaal keurmerk.
Praktisch voor bedrijven: als u data wilt uitwisselen binnen Europese sectorale dataruimten (gezondheid, energie, mobiliteit, landbouw), biedt de DGA het juridische raamwerk en de governance-structuren.
AVG en data governance — overlap en praktische toepassing
De AVG blijft de hoeksteen van data governance voor persoonsgegevens. In 2025-2026 intensiveert de handhaving door nationale toezichthouders (in Nederland: AP, Autoriteit Persoonsgegevens). Aandachtspunten:
- Verwerkersovereenkomsten: herzien in licht van de Data Act en DGA. Dataverwerkingsafspraken moeten nu ook rekening houden met datadeelverplichtingen.
- Gegevensminimalisatie vs. Data Act: de verplichting uit de Data Act om data beschikbaar te stellen kan in spanning staan met het AVG-principe van gegevensminimalisatie. Juridisch advies is aanbevolen.
- DPIA (Data Protection Impact Assessment): verplicht voor hoog-risico verwerkingen. Nieuwe AI-toepassingen vallen vrijwel altijd in deze categorie.
- Internationale doorgifte: adequaatheidsbesluiten voor derde landen moeten worden bijgehouden; het EU-VS Data Privacy Framework (2023) is operationeel maar politiek kwetsbaar.
AI Act en data kwaliteitseisen voor AI-systemen
De AI Act (Verordening 2024/1689) kent een gefaseerde implementatie. De volledige toepassing voor hoog-risico AI-systemen gaat in augustus 2026. Data governance speelt een centrale rol:
- Hoog-risico AI-systemen (bijv. HR-beslissingen, kredietverlening, medische diagnose) moeten voldoen aan strenge data-kwaliteitseisen: trainingsdata moet representatief, volledig en vrij van fouten zijn.
- Technische documentatie: bedrijven moeten aantonen welke data is gebruikt voor training, fine-tuning en validatie van AI-modellen.
- Menselijk toezicht: AI-systemen die besluiten nemen over mensen, moeten mogelijkheden bieden voor menselijke interventie — ook dit stelt eisen aan hoe data wordt opgeslagen en terug te herleiden is.
- General Purpose AI (GPAI): aanbieders van foundation models moeten een samenvatting publiceren van de trainingsdata die voor het auteursrecht relevant is.
Praktisch stappenplan: data governance beleid implementeren
Een solide data governance beleid voor 2026 omvat minimaal de volgende stappen:
- Data-inventaris (data mapping): breng in kaart welke data u verwerkt, van welke bron, voor welk doel en met welke retentieperiode. Dit is de basis voor AVG, Data Act én AI Act compliance.
- Rollen en verantwoordelijkheden: wijs een Data Owner, Data Steward en (indien verplicht) een Functionaris Gegevensbescherming (FG/DPO) aan. Leg verantwoordelijkheden schriftelijk vast.
- Beleidsdocumentatie: stel een intern data governance beleidsdocument op dat de regels voor datakwaliteit, toegangsrechten, retentie en beveiliging beschrijft.
- Contracten herzien: pas verwerkersovereenkomsten, leverancierscontracten en datadeelovereenkomsten aan de nieuwe EU-wetgeving aan.
- Training en bewustwording: zorg dat medewerkers die met data werken begrijpen welke regels gelden en hoe te handelen bij datalekken of verzoeken van betrokkenen.
Lees voor meer informatie over de financiële gevolgen van datalekken en boetes ook ons artikel over AVG-boetes 2026 voor bedrijven.
FAQ — Data governance en EU-wetgeving 2026
Wat is het verschil tussen de AVG en de Data Act?
De AVG beschermt persoonsgegevens en regelt hoe organisaties die mogen verwerken. De Data Act (van kracht sept 2025) regelt de toegang tot en het delen van data die door producten en diensten wordt gegenereerd — ook niet-persoonsgebonden data. Beide wetgevingen gelden naast elkaar.
Geldt de Data Act ook voor kleine bedrijven (KMO's)?
De Data Act bevat vrijstellingen voor micro- en kleine ondernemingen (minder dan 50 medewerkers én minder dan €10 miljoen omzet/balanstotaal) voor bepaalde verplichtingen rond datadeling met derden. Maar de basisrechten voor gebruikers gelden ook voor kleine bedrijven die connected products verkopen.
Wanneer is een DPO verplicht onder de AVG?
Een Functionaris Gegevensbescherming (DPO) is verplicht voor overheidsinstanties, organisaties die stelselmatig en op grote schaal bijzondere categorieën persoonsgegevens verwerken, of die grootschalige monitoring van betrokkenen uitvoeren (bijv. profitering, tracking).
Wat zijn de boetes voor overtreding van de Data Act?
De Data Act voorziet in sancties die door lidstaten worden vastgesteld. De verwachting is dat boetes in lijn liggen met de AVG: tot 4% van de wereldwijde jaaromzet voor ernstige overtredingen. De exacte nationale boeteregimes worden in 2025-2026 definitief vastgesteld.
Hoe verhoudt NIS2 zich tot data governance?
NIS2 focust op cyberbeveiliging van netwerk- en informatiesystemen. Data governance en NIS2 overlappen op het vlak van beveiligingsmaatregelen, incidentrapportage en toeleveringsketensbeveiliging. Een sterk data governance beleid vergemakkelijkt de NIS2-compliance aanzienlijk.