De Data Governance Act

De Europese Data Governance Act (DGA) creëert een nieuw, betrouwbaar kader om het vrijwillig delen van data binnen de EU te stimuleren. Voor Belgische ondernemingen introduceert deze verordening nieuwe, streng gereguleerde rollen voor entiteiten die als ‘databemiddelingsdienst’ of ‘organisatie voor data-altruïsme’ willen optreden. Deze moeten voldoen aan strikte voorwaarden en een specifieke procedure doorlopen bij de FOD Economie, waarbij zware sancties gelden bij niet-naleving.

Wat is de Data Governance Act?

De Data Governance Act, ofwel Verordening (EU) 2022/868, is een hoeksteen van de Europese datastrategie. De verordening, die sinds 24 september 2023 van toepassing is, heeft niet tot doel om het delen van data te verplichten. Wel wil ze het vrijwillig delen van data veiliger, eenvoudiger en betrouwbaarder maken.

Het uiteindelijke doel is de creatie van een eengemaakte Europese markt voor data, waar gegevens vrij kunnen circuleren ten voordele van burgers, bedrijven en de maatschappij. Om dit te bereiken, steunt de DGA op drie fundamentele pijlers:

1. Het faciliteren van het hergebruik van bepaalde beschermde overheidsgegevens.
2. Het creëren van een strikt kader voor databemiddelingsdiensten.
3. Het aanmoedigen van data-altruïsme.

Voor de implementatie in België zijn twee wetten van cruciaal belang: de wet van 13 mei 2024 en de wet van 15 mei 2024. Deze worden verder aangevuld door het koninklijk besluit van 1 oktober 2024.

Pijler 1: hergebruik van beschermde overheidsgegevens

De DGA vult de bestaande regels rond open data aan door een kader te scheppen voor het hergebruik van gevoelige data die in handen zijn van openbare lichamen. Het gaat specifiek om gegevens die beschermd zijn door:

• Commerciële vertrouwelijkheid (bedrijfsgeheimen).
• Statistisch geheim.
• Intellectuele eigendomsrechten van derden.
• Bescherming van persoonsgegevens.

Een openbaar lichaam is in België niet verplicht om hergebruik toe te staan. Als het dit echter doet, moet het voldoen aan de strikte, niet-discriminerende en transparante voorwaarden van de DGA. Dit omvat de verplichting om het beschermde karakter van de data te allen tijde te vrijwaren, bijvoorbeeld door anonimisering of door toegang te verlenen via een beveiligde verwerkingsomgeving.

De rol van de federale dienstenintegrator en de wet van 13 mei 2024

Om de regels rond het hergebruik van overheidsdata in de praktijk te brengen, was een aanpassing van het Belgische federale kader nodig. Dit is gebeurd via de wet van 13 mei 2024 tot wijziging van de wet van 15 augustus 2012 houdende oprichting en organisatie van een federale dienstenintegrator.

Deze wet is belangrijk omdat ze de taken en bevoegdheden van de federale dienstenintegrator (beheerd door de FOD Beleid en Ondersteuning – BOSA) in lijn brengt met de DGA. Concreet wijzigt deze wet de bestaande structuur om de dienstenintegrator officieel de rollen toe te kennen van:

• Centraal informatiepunt: Het centrale loket waar partijen terechtkunnen met vragen over het hergebruik van data.
• Bevoegd orgaan voor technische bijstand: De instantie die openbare lichamen ondersteunt met technische expertise over bijvoorbeeld anonimisering, beveiligde omgevingen en dataopslag.

De wet van 13 mei 2024 zorgt er dus voor dat de nodige federale structuur juridisch verankerd is om de eerste pijler van de DGA in België uit te voeren.

Pijler 2: databemiddelingsdiensten: een nieuwe, neutrale speler

Dit is wellicht de meest ingrijpende pijler voor de private sector. De DGA reguleert een nieuw type speler: de aanbieder van databemiddelingsdiensten. Dit zijn neutrale tussenpersonen die datadeling tussen datahouders (bedrijven of particulieren) en datagebruikers faciliteren.

Wat is een databemiddelingsdienst?

Een databemiddelingsdienst fungeert als een neutrale derde partij die de uitwisseling van data faciliteert. De dienstverlener verwerft zelf geen rechten op de data en mag deze niet voor eigen doeleinden gebruiken. Voorbeelden zijn:

• Datamarktplaatsen waarop ondernemingen gegevens beschikbaar kunnen stellen aan anderen.
• Platformen die de uitoefening van AVG-rechten faciliteren, waarbij individuen (betrokkenen) hun persoonsgegevens kunnen delen met bedrijven.
• Datacoöperaties waarbij leden (bv. kmo’s) data bundelen en onderling delen.

Cloudopslag, data-analyse of e-maildiensten vallen hier in principe niet onder.

De Belgische voorwaarden voor databemiddelingsdiensten

Een onderneming die in België als databemiddelingsdienst wil opereren, moet voldoen aan de strikte voorwaarden uit de DGA en de aanvullende Belgische regels, vastgelegd in het Wetboek van economisch recht (WER).

De belangrijkste voorwaarden zijn:

• Structurele scheiding: De databemiddelingsdienst moet worden aangeboden via een afzonderlijke rechtspersoon. Deze entiteit mag de uitgewisselde data niet voor andere doeleinden gebruiken.
• Neutraliteit: De commerciële voorwaarden mogen niet afhangen van het al dan niet gebruiken van andere diensten van de aanbieder.
• Inschrijving in de KBO: De rechtspersoon moet ingeschreven zijn in de Kruispuntbank van Ondernemingen.
• Integrititeit van bestuurders: Het bestuursorgaan, de werkelijke leiding en de uiteindelijke begunstigden (UBO’s) mogen niet uit hun burgerlijke en politieke rechten zijn ontzet of failliet zijn verklaard zonder eerherstel.
• Beroepskaart: Buitenlandse bestuurders moeten over de nodige vergunningen beschikken om in België een beroepsactiviteit uit te oefenen.

De procedure in de praktijk: kennisgeving bij de FOD Economie

Voordat een activiteit mag starten, moet de aanbieder een kennisgeving doen bij het inschrijvingsorgaan, dat deel uitmaakt van de FOD Economie. Het koninklijk besluit van 1 oktober 2024 legt de procedure vast.

1. Indiening: De kennisgeving gebeurt via een aangetekende zending (fysiek of elektronisch) met een specifiek formulier dat beschikbaar is op de website van de FOD Economie.
2. Documenten: Bij het formulier moeten verschillende documenten worden gevoegd, waaronder:
   • Een uittreksel uit het strafregister (niet ouder dan zes maanden) voor elke bestuurder en zaakvoerder.
   • Een kopie van de beroepskaart voor niet-vrijgestelde buitenlandse bestuurders.
3. Bevestiging: Na een volledige kennisgeving mag de dienstverlener zijn activiteiten starten. Op verzoek kan de FOD Economie een officiële verklaring afleveren die de kennisgeving bevestigt.

Een aanbieder kan de FOD Economie ook expliciet vragen om te bevestigen dat hij aan alle wettelijke vereisten voldoet. Enkel na deze positieve bevestiging mag de dienstverlener het officiële label “in de Unie erkende aanbieder van databemiddelingsdiensten” en het bijhorende logo gebruiken. De beslissingstermijn hiervoor is in principe drie maanden.

Pijler 3: data-altruïsme: data delen voor het algemeen belang

De DGA introduceert ook een officieel kader voor organisaties voor data-altruïsme. Dit zijn entiteiten zonder winstoogmerk die data verzamelen die personen of bedrijven vrijwillig ter beschikking stellen voor doeleinden van algemeen belang. Denk bijvoorbeeld aan wetenschappelijk onderzoek, de strijd tegen klimaatverandering of de verbetering van openbare diensten.

Voorwaarden voor erkenning in België

Een organisatie kan zich vrijwillig laten registreren in het openbaar nationaal register van erkende organisaties voor data-altruïsme. Net als bij databemiddelingsdiensten, legt de Belgische wet aanvullende voorwaarden op in het WER:

• Het moet een rechtspersoon zonder winstoogmerk zijn, opgericht om doeleinden van algemeen belang te dienen.
• De data-altruïsme-activiteiten moeten functioneel gescheiden zijn van andere activiteiten.
• Er gelden dezelfde integriteitsvoorwaarden voor bestuurders, leidinggevenden en UBO’s als voor databemiddelingsdiensten (geen ontzetting uit rechten, geen faillissement zonder eerherstel).

De registratieprocedure

De aanvraag tot registratie wordt eveneens ingediend bij het inschrijvingsorgaan (FOD Economie) via een aangetekende zending en een specifiek formulier. Ook hier moeten een recent uittreksel uit het strafregister en eventuele beroepskaarten worden bijgevoegd.

Na een succesvolle registratie mag de organisatie het label “in de Unie erkende organisatie voor data-altruïsme” en het bijhorende logo gebruiken.

Toezicht en sancties: de FOD Economie waakt

De naleving van de regels voor zowel databemiddelingsdiensten als organisaties voor data-altruïsme wordt in België toevertrouwd aan de FOD Economie. Het toezicht wordt specifiek uitgevoerd door de Algemene Directie Economische Inspectie. Het handhavingsregime, vastgelegd in artikel XV.66/7 e.v. van het WER, is louter administratief en volgt een strikte procedure.

Stap 1: De verplichte waarschuwing

De handhaving start altijd met een waarschuwing. Wanneer de Economische Inspectie een inbreuk vaststelt, stuurt zij een officiële waarschuwing naar de onderneming. Dit document is cruciaal, want het niet-naleven ervan vormt de directe basis voor verdere sancties.

De waarschuwing moet binnen 30 dagen na de vaststelling van de inbreuk worden verstuurd en vermeldt onder meer:

• De ten laste gelegde feiten en de geschonden wetsartikelen.
• De termijn om de inbreuk te stoppen.
• De mogelijkheid om binnen 30 dagen verweer te voeren, zowel mondeling als schriftelijk.
• Het recht op bijstand door een raadsman en op inzage in het dossier.
• De mogelijke administratieve procedures die volgen als er geen gevolg aan wordt gegeven.

Stap 2: De mogelijkheid van een formele verbintenis (toezegging)

Na ontvangst van de waarschuwing kan de overtreder formeel de verbintenis aangaan om de inbreuk te stoppen en corrigerende maatregelen te nemen. Als de Economische Inspectie deze “toezegging” aanvaardt, kunnen de repressieve maatregelen worden stopgezet. Dit biedt een kans op overleg en kan ingrijpende sancties voorkomen. Een aanvaarde toezegging kan openbaar worden gemaakt op de website van de FOD Economie.

Stap 3: Administratieve sancties

Indien geen gevolg wordt gegeven aan de waarschuwing, wordt een proces-verbaal opgesteld en kan de bevoegde dienst van de FOD Economie overgaan tot het opleggen van zware sancties:

• Administratieve geldboete: Een boete van €250 tot €100.000, of tot 6% van de totale jaaromzet als dat bedrag hoger is. Bestuurders en UBO’s kunnen hoofdelijk aansprakelijk worden gesteld.
• Dwangsom: Naast de geldboete kan een bevel tot staking worden opgelegd op straffe van een dwangsom. Deze kan oplopen tot €5.000 per kalenderdag, met een maximum van €800.000 in totaal.
• Andere maatregelen: In ernstige gevallen kan de activiteit worden geschorst of volledig stopgezet, en kan de entiteit uit de Europese registers worden geschrapt.

Samenwerking met andere autoriteiten

De FOD Economie staat er niet alleen voor. De wet voorziet expliciet in een nauwe samenwerking met andere cruciale instanties:

• De Gegevensbeschermingsautoriteit (GBA), bij kwesties rond de verwerking van persoonsgegevens.
• De Belgische Mededingingsautoriteit (BMA), om te waken over de concurrentieregels.
• Het Centrum voor Cybersecurity België (CCB), bij incidenten of risico’s op het vlak van cyberveiligheid.

Conclusie

De Data Governance Act is meer dan een theoretisch kader; het is een concrete set van regels met duidelijke verplichtingen en zware sancties in België. Ondernemingen die een rol willen spelen als databemiddelaar of data-altruïstische organisatie moeten zich grondig voorbereiden om te voldoen aan de strenge Belgische voorwaarden en de procedures bij de FOD Economie correct te doorlopen. Het officiële EU-label biedt een belangrijk concurrentieel voordeel, maar vereist een onberispelijke naleving van de wetgeving.

---