Data Act: B2G-datadeling bij uitzonderlijke noodzaak

Kort antwoord: Overheidsinstanties kunnen bedrijven op grond van de Data Act dwingen data te delen, maar alleen bij uitzonderlijke noodzaak. Die noodzaak bestaat uitsluitend in twee situaties: een formeel vastgestelde openbare noodsituatie (artikel 15(1)(a)) of een niet-urgente publieke taak die expliciet in de wet staat én waarvoor de overheid alle andere middelen heeft uitgeput (artikel 15(1)(b)). Buiten deze twee gronden bestaat geen verplichting.

Wat is uitzonderlijke noodzaak?

De Data Act (Verordening (EU) 2023/2854), van toepassing sinds 12 september 2025, regelt in hoofdstuk V wanneer overheidsinstanties, de Europese Commissie, de ECB of EU-organen bedrijven kunnen verzoeken data beschikbaar te stellen. Artikel 15(1) omschrijft wanneer er sprake is van uitzonderlijke noodzaak.

Grond (a) — openbare noodsituatie. Een "openbare noodsituatie" is gedefinieerd in artikel 2(29) als een uitzonderlijke, tijdgebonden situatie — zoals een volksgezondheidsnoodgeval, een natuurramp of een door mensen veroorzaakte ramp zoals een cyberaanval — met ernstige gevolgen voor de bevolking, de leefomstandigheden of de economische stabiliteit, en die overeenkomstig Unie- of nationaalrechtelijke procedures is vastgesteld. Als aan deze definitie is voldaan en de overheid de benodigde data niet tijdig via een andere weg kan verkrijgen, mogen ook persoonsgegevens worden opgevraagd. Data worden in dat geval kostenloos verstrekt door bedrijven die geen micro- of kleine onderneming zijn; MKB-bedrijven mogen een redelijke vergoeding vragen (artikel 20).

Grond (b) — wettelijke publieke taak zonder alternatieve databron. In niet-noodsituaties geldt een strengere drempel en zijn uitsluitend niet-persoonsgegevens opvraagbaar. De overheidsinstantie moet aantonen dat zij een specifieke wettelijk vastgelegde publieke taak uitvoert — zoals de productie van officiële statistieken of herstel na een noodsituatie — én dat zij alle andere middelen heeft uitgeput, inclusief aankoop op de markt. Grond (b) geldt niet voor micro- en kleine ondernemingen (artikel 15(2)).

Hoe werkt het verzoek?

Een verzoek moet schriftelijk worden ingediend en bevat onder meer: een precieze omschrijving van de gevraagde data, een motivering van de uitzonderlijke noodzaak, het beoogde doel en de duur, een plan voor verwijdering van de data en relevante gegevensbeschermingsmaatregelen (artikel 17). Zodra het verzoek is ontvangen, heeft de datahoudende partij bij een noodsituatie vijf werkdagen en bij de niet-noodsituatie dertig werkdagen de tijd om het verzoek af te wijzen of te wijzigen; anders geldt de verplichting onverkort (artikel 18). Verkregen data mogen niet worden hergebruikt op grond van open-datawetgeving en zijn strikt beperkt tot het opgegeven doel.

Persoonsgegevens

Alleen bij grond (a) — de openbare noodsituatie — mogen persoonsgegevens worden gevraagd. De datahoudende partij moet de data dan anonimiseren tenzij dat niet volstaat; in dat geval geldt pseudonimisering (artikel 18(4)). Bij grond (b) zijn persoonsgegevens volledig uitgesloten.

Vergoeding

Bij een openbare noodsituatie leveren grote en middelgrote bedrijven data kostenloos; micro- en kleine ondernemingen mogen een redelijke vergoeding vragen. Bij de niet-noodsituatiegrond ontvangen alle datahoudende partijen een eerlijke vergoeding, inclusief technische en organisatorische kosten en een redelijke marge (artikel 20).