De nieuwe Data Act: wat cloudproviders moeten weten
Op 12 september 2025 is de EU Data Act (Verordening (EU) 2023/2854) officieel in werking getreden. Deze nieuwe wet heeft grote gevolgen voor aanbieders van clouddiensten, of je nu Software as a Service, Platform as a Service of Infrastructure as a Service levert. Het doel van de Data Act is een eerlijker, transparanter en concurrerender datalandschap in Europa te creëren. Voor cloudproviders betekent dit vooral dat klanten eenvoudiger moeten kunnen overstappen naar een andere aanbieder. Dat raakt je contracten, je techniek en de manier waarop je met klanten communiceert.
Veranderingen
Een belangrijk uitgangspunt van de Data Act is het tegengaan van zogenaamde vendor lock-in. Klanten moeten hun data en applicaties makkelijker kunnen migreren, zowel naar een andere cloud als terug naar hun eigen systemen. In principe moet zo’n migratie binnen dertig dagen kunnen plaatsvinden nadat de klant het contract heeft opgezegd. Alleen wanneer dit technisch echt onmogelijk is, mag hiervan worden afgeweken. Daarbij geldt dat opzegtermijnen maximaal twee maanden mogen duren. Voor overstapkosten geldt een overgangsregeling: aanbieders mogen nu nog redelijke kosten rekenen, maar deze moeten in de komende jaren volledig worden afgeschaft. Uiterlijk in 2027 zijn exit fees verboden.
Om migraties mogelijk te maken, verplicht de Data Act providers hun diensten interoperabel te maken. Data moet overdraagbaar zijn in een bruikbaar formaat. Het is goed mogelijk dat de Europese Commissie in de toekomst verplichte standaarden oplegt waaraan aanbieders zich moeten houden. Dit vraagt om technische voorbereiding en het kritisch bekijken van de formaten en API’s die je als provider aanbiedt.
Daarnaast legt de Data Act een duidelijke informatieplicht bij providers neer. Klanten moeten vooraf volledig inzicht krijgen in wat hen te wachten staat bij een overstap. Dat betekent dat je als aanbieder moet aangeven welke data overdraagbaar is, welke functionaliteiten mogelijk verloren gaan, hoe het migratieproces eruitziet, welke kosten er eventueel nog in rekening worden gebracht en hoe je voorkomt dat data onrechtmatig buiten de EU terechtkomt. Transparante communicatie en heldere documentatie zijn hierbij essentieel.
Overheid
Een ander aspect van de Data Act is dat overheidsinstanties in uitzonderlijke situaties data mogen opvragen bij cloudproviders, bijvoorbeeld bij een noodsituatie of om een publieke taak uit te voeren. Zulke verzoeken moeten altijd specifiek, proportioneel en transparant zijn. Daarbij geldt dat bedrijfsgeheimen beschermd moeten blijven, data die niet meer nodig is verwijderd moet worden en dat dezelfde data niet onnodig door meerdere instanties tegelijkertijd mag worden opgevraagd. Voor aanbieders betekent dit dat zij interne processen moeten inrichten om met dit soort verzoeken zorgvuldig om te gaan.
Modelclausules
Om providers te ondersteunen heeft de Europese Commissie in april 2025 modelclausules gepubliceerd voor cloudcontracten. Deze zijn niet verplicht, maar geven wel handvatten om contracten in lijn met de Data Act te brengen. Voor cloudbedrijven is het nu zaak contracten te herzien, de eigen infrastructuur te toetsen op migratiemogelijkheden binnen dertig dagen, teams te trainen in de nieuwe verplichtingen en de ontwikkelingen rondom toekomstige interoperabiliteitsstandaarden goed te volgen.
Werk voor de cloudprovider
De Data Act is daarmee een echte gamechanger voor de cloudmarkt. Waar overstappen voor klanten voorheen vaak lastig of kostbaar was, wordt het nu een afdwingbaar recht. Voor providers betekent dit investeren in transparantie, interoperabiliteit en klantgerichte contracten. Bedrijven die hierop vooruitlopen, kunnen migratie zelfs benutten als onderscheidend verkoopargument en zo juist sterker uit deze verandering komen.
