EUs Data Act: datatilgang ved design og slutten på skylåsing

Data Act er den stilleste av dagens EU-forordninger og en av de mest strukturelle. Den legger ikke et banner på nettstedet ditt eller en etikett på produktet. Den endrer hvem som eier dataene produktene dine genererer, og gjør bytte av skyleverandør til en rettighet i stedet for en kommersiell forhandling.

Forordning (EU) 2023/2854 har gjeldt siden 12. september 2025. Plikten som faktisk krever utvikling, altså å designe produkter for datatilgang, gjelder fra 12. september 2026. Forbudet mot gebyrer ved skybytte fullføres 12. januar 2027.

Bygger du tilkoblede produkter eller drifter en databehandlingstjeneste, står denne på veikartet ditt, uansett om den står der eller ikke.

To forordninger i én

Data Act gjør to ganske forskjellige ting, og det hjelper å behandle dem hver for seg.

Del én gir brukere av tilkoblede produkter rett til dataene produktene genererer, og rett til å få dem delt med en tredjepart de velger.

Del to pålegger tilbydere av databehandlingstjenester, altså sky- og edge-tjenester, å gjøre bytte til en konkurrent praktisk og etter hvert gratis.

Begge retter seg mot samme problem: data generert av brukere ender innelåst hos leverandøren som samlet dem.

Tilkoblede produkter: datatilgang som standard

Et tilkoblet produkt er enhver fysisk gjenstand som innhenter, genererer eller samler data om sin bruk eller sine omgivelser og kan kommunisere dem. Det er bevisst bredt. Kjøretøy, industrimaskiner, landbruksutstyr, medisinsk utstyr, husholdningsapparater, kroppsnære enheter, smarte målere, byggsystemer og forbrukerelektronikk faller alle innenfor.

En tilknyttet tjeneste er programvare som får produktet til å fungere som tiltenkt, og er omfattet ved siden av maskinvaren.

Hva brukerne får

Brukere har rett til tilgang til produktdata og data fra tilknyttede tjenester generert av deres bruk, enkelt, sikkert, gratis, i et fullstendig, strukturert, alminnelig brukt og maskinlesbart format. Der det er teknisk mulig, skal tilgangen være direkte og løpende i stedet for en periodisk eksport.

De kan også kreve at datainnehaveren deler dataene med en tredjepart de utpeker. Den tredjeparten kan være en konkurrents tjeneste, et verksted, et forsikringsselskap eller en analyseleverandør. Datainnehaveren kan ikke blokkere det med avtalevilkår, og kan ikke bruke de delte dataene til å konkurrere med brukeren.

Hva som endres 12. september 2026

Fra den datoen må tilkoblede produkter som bringes på markedet og deres tilknyttede tjenester være designet og produsert slik at produktdata og data fra tilknyttede tjenester er tilgjengelige for brukeren som standard, og der det er relevant og teknisk mulig, direkte.

Ordet «designet» gjør dette til en utviklingsfrist snarere enn en juridisk. En designplikt tilfredsstilles ikke av en supportprosess. Den må ligge i produktet.

Hvordan det ser ut som arbeid

For de fleste team ligger gapet ikke i API-et, men i alt under.

Datamodell. Du må skille data generert av brukerens bruk av produktet fra data du avleder, beriker eller utleder. Brukere har rett til de første. Det skillet finnes ofte ikke i dagens skjemaer, der telemetri, avledede måltall og intern analyse bor i samme tabeller.

Tilgangsgrensesnitt. Et ekte API med autentisering, autorisasjon, paginering og hastighetsbegrensning, pluss en selvbetjeningsvei for ikke-tekniske brukere. En CSV sendt på e-post ved forespørsel tilfredsstiller ikke «enkelt og, der det er relevant og teknisk mulig, direkte».

Delegering til tredjepart. Brukeren kan utpeke en mottaker. Det betyr en samtykke- og autorisasjonsmodell der brukeren gir avgrenset tilgang til en part du ikke har noe forhold til, og kan trekke den tilbake. Har plattformen din ikke noe begrep om delegert tilgang, er dette den største enkeltjobben.

Håndtering av forretningshemmeligheter. Forordningen forsøker å balansere datatilgang mot vern av forretningshemmeligheter. Du kan kreve forholdsmessige tiltak for å bevare fortrolighet, og i snevre tilfeller nekte eller stanse deling. Dette må være en dokumentert, forsvarlig posisjon snarere enn et generelt avslag, og det lønner seg å involvere juristene tidlig.

Førkontraktuell informasjon. Før et salg må du fortelle kjøperen hvilke data produktet genererer, hvordan de nås, om det er løpende og i sanntid, og om du selv har til hensikt å bruke dem. Det er innhold for produktsiden og dokumentasjonen, og hører til samme gjennomgang som produktinformasjonspliktene som lander i september 2026.

Skybytte: slutten på innlåsing

Den andre halvdelen av Data Act retter seg mot databehandlingstjenester, som dekker IaaS, PaaS og SaaS.

Tilbydere må:

• Fjerne kommersielle, tekniske, avtalemessige og organisatoriske hindre for bytte.
• Fullføre et bytte innen en maksimal overgangsperiode, generelt 30 dager etter en oppsigelsestid på inntil to måneder, forlengbar der det er teknisk umulig.
• Støtte eksport av alle eksporterbare data og digitale ressurser i et strukturert, alminnelig brukt og maskinlesbart format.
• Tilby åpne grensesnitt og, for infrastrukturtjenester, funksjonell ekvivalens etter byttet.
• Tilby minst 30 dagers uthentingsperiode etter opphør.

Når det gjelder gebyrer, ble byttekostnadene redusert fra anvendelsesdatoen og avskaffes helt fra 12. januar 2027. Etter det kan en tilbyder ikke ta betalt for byttprosessen i det hele tatt.

Avtalevilkårene må gjenspeile dette, inkludert byttprosedyren, overgangsperioden, den uttømmende listen over eksporterbare datakategorier og bistanden som tilbys.

Kjøper du skytjenester

Dette er reell forhandlingsmakt, og de fleste kjøpere bruker den ikke.

Ved neste fornyelse, be om bytteklausulen, de eksporterbare datakategoriene og forpliktelsene om utgangsbistand. Du har krav på dem. Er svaret vagt, er det informasjon om hvor vanskelig en exit faktisk ville være.

Det lønner seg også å kjøre en eksporttest i stedet for å stole på en dokumentasjonsside. Eksporter alt, forsøk å tolke det, og se om det faktisk ville gjenskape tjenesten din et annet sted. Gapet mellom det en leverandør sier er eksporterbart og det som er brukbart, er som regel der innlåsingen bor.

Selger du skytjenester

Du trenger bytteklausulen i avtalene, en dokumentert byttprosedyre, en eksportmekanisme som produserer noe reelt brukbart, og en plan for nullgebyrpunktet i januar 2027 om du i dag tar betalt for utgående trafikk eller exit.

Prising av utgående trafikk fortjener særlig oppmerksomhet. Å ta betalt for dataoverføring ut er en veletablert bransjepraksis, og skillet mellom vanlige utgangsgebyrer og byttegebyrer er et tilsynsmyndighetene vil se på.

Offentlig sektors tilgang og B2B-vilkår

To mindre elementer verdt å kjenne til.

Forordningen gir offentlige organer rett til å be om data fra private selskaper ved eksepsjonelt behov, først og fremst ved offentlige nødssituasjoner. Det er snevert, men holder du data av offentlig betydning, bør du vite at prosessen finnes.

Den innfører også en urimelighetstest for avtalevilkår om datatilgang og databruk som ensidig pålegges en annen virksomhet. Et vilkår som grovt avviker fra god forretningsskikk er ikke bindende. Det er en nyttig brems på ta-det-eller-la-det-være-datavilkår i leverandøravtaler.

Hva vi ville gjort nå

Lager du tilkoblede produkter, bør septemberdatoen i 2026 allerede stå i en sprintplan. Designplikten gjelder produkter som bringes på markedet fra den datoen, så alt som er under utvikling er omfattet. Start med skillet i datamodellen, fordi alt annet avhenger av det.

Drifter du en databehandlingstjeneste, gjennomgå avtalene, eksportverktøyene og gebyrstrukturen. Nullgebyrpunktet i januar 2027 er ikke langt unna, og inntektskonsekvensene krever en beslutning på ledelsesnivå snarere enn i utvikling.

Kjøper du skytjenester, bruk forhandlingsmakten ved fornyelse og test eksportveien. Det koster en dag og forteller deg noe verdifullt om din reelle risiko.

Alle andre bør likevel sjekke virkeområdet. Definisjonen av tilkoblet produkt er bredere enn uttrykket antyder, og selskaper som ser seg selv som programvarevirksomheter sender av og til maskinvare uten at det er registrert internt.

Det større bildet

Data Act er del av et sett regler som til sammen bygger om forutsetningene europeisk programvare hviler på. Guiden til EU digital etterlevelse 2026 kartlegger hele flaten, inkludert fristene som kommer sammen med denne.

Det finnes reell overlapp å utnytte. Datatilgangs-API-er bygget for Data Act deler infrastruktur med forespørsler om GDPR-dataportabilitet. Komponentoversikter bygget for Cyber Resilience Act forteller deg hvor produktdata faktisk bor. Å bygge dette som én plattformkapasitet i stedet for tre prosjekter er forskjellen mellom et kvartal og et år.

Vi designer og bygger dataplattformer, API-er og skyinfrastruktur for selskaper i Europa, inkludert maskineriet for delegert tilgang og eksport denne forordningen forutsetter. Vil du ha hjelp til å avgrense hva designplikten fra september 2026 betyr for et konkret produkt, skriv til office@c9group.dev, eller les mer om vårt arbeid med AWS-infrastruktur og markedsinngang i Europa.

Vi bygger systemer snarere enn å gi juridiske råd. Virkeområde og posisjoner om forretningshemmeligheter hører til hos juristene deres.