EU:s dataförordning: dataåtkomst genom design och slutet på inlåsning i molnet

Dataförordningen (Data Act) är den tystaste av EU:s aktuella regleringar och en av de mest genomgripande. Den lägger inte till någon banner på din webbplats eller någon märkning på din produkt. Den ändrar vem som äger de data dina produkter genererar, och den gör byte av molntjänst till en lagstadgad rättighet i stället för en kommersiell förhandling.

Förordning (EU) 2023/2854 började tillämpas den 12 september 2025. Den skyldighet som kräver faktiskt utvecklingsarbete, att utforma produkter för dataåtkomst som standard, gäller sedan den 12 september 2026 för uppkopplade produkter och tillhörande tjänster som släpps ut på marknaden efter det datumet. Den är inte retroaktiv. Förbudet mot avgifter för byte av molntjänst blir fullständigt den 12 januari 2027.

Bygger du uppkopplade produkter eller driver en databehandlingstjänst finns den här på din färdplan, oavsett om du har satt dit den eller inte.

Två regleringar i en

Dataförordningen gör två ganska olika saker, och det hjälper att behandla dem var för sig.

Den första delen ger användare av uppkopplade produkter rätt till de data som produkterna genererar, och rätt att få dem delade med en tredje part som de själva väljer.

Den andra delen ålägger leverantörer av databehandlingstjänster, det vill säga moln- och edgetjänster, att göra det praktiskt möjligt att byta till en konkurrent, och så småningom gratis.

Båda riktar sig mot samma problem: data som användarna genererar blir inlåsta hos den leverantör som samlade in dem.

Uppkopplade produkter: dataåtkomst som standard

En uppkopplad produkt är varje fysiskt föremål som hämtar, genererar eller samlar in data om sin användning eller sin omgivning och kan kommunicera de data. Det är medvetet brett. Fordon, industrimaskiner, jordbruksutrustning, medicintekniska produkter, hushållsapparater, bärbar teknik, smarta mätare, fastighetssystem och hemelektronik ryms alla inom det.

En tillhörande tjänst är programvara som får produkten att fungera som avsett, och den omfattas tillsammans med hårdvaran.

Vad användarna får

Användarna har rätt att få tillgång till produktdata och data från tillhörande tjänster som genereras av deras användning, enkelt, säkert och kostnadsfritt, i ett heltäckande, strukturerat, allmänt använt och maskinläsbart format. Där det är tekniskt möjligt bör åtkomsten vara direkt och löpande i stället för en periodisk export.

De kan också kräva att datainnehavaren delar data med en tredje part som de utser. Den tredje parten kan vara en konkurrents tjänst, en verkstad, ett försäkringsbolag eller en analysleverantör. Datainnehavaren får inte använda avtalsvillkor för att hindra det, och får inte använda de delade data för att konkurrera med användaren.

Vad som ändrades den 12 september 2026

Sedan det datumet måste uppkopplade produkter som släpps ut på marknaden, och deras tillhörande tjänster, utformas och tillverkas så att produktdata och data från tillhörande tjänster är tillgängliga för användaren som standard, och, där det är relevant och tekniskt möjligt, direkt.

Det är ordet ”utformas” som gör det här till en teknisk deadline snarare än en juridisk. Du kan inte uppfylla en skyldighet som gäller utformningen med en supportprocess. Den måste finnas i produkten.

Hur det ser ut som arbete

För de flesta team är luckan inte API:et utan allt som ligger under det.

Datamodell. Du behöver skilja mellan data som genereras när en användare använder produkten och data som du härleder, berikar eller drar slutsatser ur. Användarna har rätt till de förstnämnda. Den skillnaden finns ofta inte i nuvarande scheman, där telemetri, härledda mätvärden och intern analys ligger i samma tabeller.

Gränssnitt för åtkomst. Ett riktigt API med autentisering, behörighetsstyrning, paginering och hastighetsbegränsning, plus en självbetjäningsväg för användare som inte är tekniska. En CSV-fil som mejlas på begäran uppfyller inte ”enkelt och, där det är relevant och tekniskt möjligt, direkt”.

Delegering till tredje part. Användaren kan utse en mottagare. Det kräver en modell för samtycke och behörighet där användaren ger avgränsad åtkomst till en part som du inte har någon relation med, och kan återkalla den. Saknar din plattform begreppet delegerad åtkomst är det här den enskilt största arbetsuppgiften.

Hantering av företagshemligheter. Förordningen försöker väga dataåtkomst mot skyddet av företagshemligheter. Du kan kräva proportionerliga åtgärder för att bevara konfidentialiteten, och under snäva omständigheter vägra eller avbryta delning. Det måste vara en dokumenterad ståndpunkt som går att försvara, inte en generell vägran, och det lönar sig att ta in juridisk rådgivning tidigt.

Information före avtal. Före ett köp måste du tala om för köparen vilka data produkten genererar, hur de nås, om åtkomsten är löpande och i realtid och om du själv tänker använda dem. Det är innehåll för produktsidor och dokumentation, och det hör hemma i samma genomgång som de krav på produktinformation som började gälla i september 2026.

Byte av molntjänst: slutet på inlåsningen

Dataförordningens andra halva riktar sig mot databehandlingstjänster, vilket omfattar IaaS, PaaS och SaaS.

Leverantörerna måste:

• Ta bort kommersiella, tekniska, avtalsmässiga och organisatoriska hinder för byte.
• Slutföra ett byte inom en längsta övergångsperiod, i regel 30 dagar efter en uppsägningstid på högst två månader, som kan förlängas där det är tekniskt omöjligt.
• Stödja export av alla exporterbara data och digitala tillgångar i ett strukturerat, allmänt använt och maskinläsbart format.
• Tillhandahålla öppna gränssnitt och, för infrastrukturtjänster, funktionell likvärdighet efter bytet.
• Erbjuda en period på minst 30 dagar för att hämta ut data efter att avtalet upphört.

När det gäller avgifter sänktes kostnaderna för byte från och med tillämpningsdatumet, och de avskaffas helt från 12 januari 2027. Därefter får en leverantör inte ta betalt för bytesprocessen över huvud taget.

Avtalsvillkoren måste återspegla detta, inklusive förfarandet för byte, övergångsperioden, en uttömmande förteckning över de datakategorier som kan exporteras och den hjälp som erbjuds.

Om du köper molntjänster

Det här är ett verkligt användbart förhandlingsläge, och de flesta köpare utnyttjar det inte.

Be vid nästa förnyelse om klausulen om byte, de exporterbara datakategorierna och åtagandena om hjälp vid avslut. Du har rätt till dem. Är svaret vagt säger det något om hur svårt ett avslut faktiskt skulle bli.

Det lönar sig också att göra ett exporttest i stället för att lita på en dokumentationssida. Exportera allt, försök förstå det och se om det faktiskt skulle gå att återskapa din tjänst någon annanstans. Det är oftast i glappet mellan det leverantören säger går att exportera och det som går att använda som inlåsningen finns.

Om du säljer molntjänster

Du behöver klausulen om byte i dina avtal, ett dokumenterat förfarande för byte, en exportmekanism som ger något som verkligen går att använda och en plan för att avgifterna blir noll i januari 2027 om du i dag tar ut avgifter för utgående datatrafik eller avslut.

Prissättningen av utgående datatrafik förtjänar särskild uppmärksamhet. Att ta betalt för dataöverföring ut är en gammal praxis i branschen, och gränsen mellan vanliga avgifter för utgående trafik och avgifter för byte är något som tillsynsmyndigheterna kommer att granska.

Offentlig sektors åtkomst och villkor mellan företag

Två mindre delar som är värda att känna till.

Förordningen ger offentliga organ rätt att begära data från privata företag vid exceptionella behov, främst allmänna nödsituationer. Den är snäv, men har du data av allmän betydelse bör du veta att förfarandet finns.

Den inför också ett skälighetstest för avtalsvillkor om dataåtkomst och dataanvändning som ensidigt påtvingas ett annat företag. Ett villkor som grovt avviker från god affärssed är inte bindande. Det är en användbar kontroll av datavillkor som leverantörer erbjuder på ta-det-eller-lämna-det-basis.

Vad som kan ändras: Digital Omnibus

Den 19 november 2025 lade kommissionen fram en Digital Omnibus (förfarande 2025/0360(COD)) som skulle föra in dataförvaltningsakten (Data Governance Act), direktivet om öppna data (Open Data Directive) och förordningen om fritt flöde av andra data än personuppgifter (Free Flow of Non-Personal Data Regulation) i en omstrukturerad dataförordning, och undanta småföretag från en del av reglerna om byte av molntjänst. Det är ett förslag, inte lag. Den 10 oktober 2026 arbetade parlamentets ansvariga utskott fortfarande med fler än 1 750 ändringsförslag till sitt utkast till betänkande, och rådet hade inget förhandlingsmandat: ambassadörernas omröstning den 7 oktober sköts upp, enligt uppgift för att Frankrike och Tyskland vill ha ett starkare skydd för företagshemligheter i dataförordningen, och ett nytt försök väntades den 11 oktober. Tills en text har antagits, planera utifrån dataförordningen som den ser ut i dag, inklusive datumet i januari 2027 för avgifter vid byte.

Vad vi skulle göra nu

Tillverkar du uppkopplade produkter har datumet i september 2026 passerat. Skyldigheten om utformning gäller produkter som släpps ut på marknaden därefter, så allt du lanserar nu, och allt som är under utveckling, omfattas. Börja med att separera datamodellen, eftersom allt annat hänger på den.

Driver du en databehandlingstjänst, gå igenom dina avtal, dina exportverktyg och din avgiftsstruktur. Nollavgiften i januari 2027 är inte långt borta, och konsekvenserna för intäkterna kräver ett beslut på ledningsnivå snarare än i utvecklingsavdelningen.

Köper du molntjänster, använd ditt förhandlingsläge vid förnyelsen och testa din exportväg. Det tar en dag och säger något värdefullt om din faktiska risk.

Alla andra bör ändå kontrollera om de omfattas. Definitionen av uppkopplad produkt är bredare än uttrycket antyder, och företag som ser sig som programvaruföretag levererar ibland hårdvara utan att det har registrerats internt.

Den större bilden

Dataförordningen är en del av en uppsättning regler som tillsammans bygger om de antaganden europeisk programvara vilar på. Guiden till EU:s digitala regelefterlevnad 2026 kartlägger hela området, inklusive de deadlines som kommer samtidigt med den här.

Det finns en verklig överlappning att utnyttja. API:er för dataåtkomst som byggs för dataförordningen delar infrastruktur med förfrågningar om dataportabilitet enligt GDPR. Komponentförteckningar som tas fram för cyberresiliensförordningen (Cyber Resilience Act) visar var produktdata faktiskt finns. Att bygga detta som en gemensam plattformsförmåga i stället för tre projekt är skillnaden mellan ett kvartal och ett år.

Vi designar och bygger dataplattformar, API:er och molninfrastruktur för företag som är verksamma i Europa, inklusive de mekanismer för delegerad åtkomst och export som förordningen förutsätter. Vill du ha hjälp att avgränsa vad skyldigheten om utformning från september 2026 innebär för en viss produkt, skriv till office@c9group.dev, eller läs mer om vårt arbete med AWS-infrastruktur och etablering på den europeiska marknaden.

Vi bygger system, vi ger inte juridisk rådgivning. Avgränsning och ståndpunkter om företagshemligheter hör hemma hos din juridiska rådgivare.