FAQ om dataforordningen

Nej - producenten og dataindehaveren vil ofte være den samme, men er det ikke altid. En producent af et forbundet produkt kan fremstille et produkt uden at indsamle den data, som produktet genererer. 
Hvis man som producent ikke har adgang til eller kontrol over de data, som det forbundne produkt genererer i brug, f.eks. hvis dataindsamlingen og – lagringen varetages af en anden aktør – er man ikke dataindehaver.

Eksempler:

• En producent er også dataindehaver, hvis producenten fremstiller en vaskemaskine og indsamler data fra vaskemaskinen.
• En producent er ikke dataindehaver, hvis producenten fremstiller produkter uden at have adgang til de data, som produktet genererer. Eksempelvis hvis en producent fremstiller sensorer til landbrugsmaskiner (f.eks. fugtigheds- eller tryksensorer), som sælges til en traktorproducent, som anvender dem i en traktor. Sensorproducenten udformer og fremstiller produktet, men har ikke adgang til de data, sensorerne indsamler, når de anvendes i traktoren.
• I nogle tilfælde kan der også være flere dataindehavere for samme data. Eksempelvis hvis en virksomhed fremstiller en elbil, hvor der indgår en delkomponent, f.eks. et batteri, fremstillet af en anden producent. Hvis det data, delkomponenten genererer, indsamles af producenten af delkomponenten og af producenten af bilen, vil både producenten af bilen og producenten af delkomponenten være dataindehavere.

Et forbundet produkt kan have flere brugere, f.eks. en bil, der lejes ud af et biludlejningsfirma. I dette tilfælde vil dataindehaveren sandsynligvis være bilproducenten, og brugerne vil være både udlejningsfirmaet, som ejer bilen, og de enkelte lejere af bilen. Her skal dataindehaveren indføre mekanismer, der sikrer, at flere brugere kan få separat adgang til de data, de har været med til at generere. Det kunne f.eks. være et system, hvor brugerne kan oprette brugerkonti.

Når et forbundet produkt er bragt i omsætning i EU, skal data fra produktet kunne deles med produktets brugere. Enhver levering af et forbundet produkt med henblik på distribution, forbrug eller anvendelse på EU-markedet som led i erhvervsvirksomhed indebærer, at produktet er bragt i omsætning i EU, uanset om produktet leveres mod betaling eller ej. En relateret tjeneste vil altid være bundet op på et forbundet produkt, og data fra den relaterede tjeneste skal således også gøres tilgængelig for brugere, hvis det forbundne produkt er bragt i omsætning i EU. Det er således underordnet, hvor producenten, udbyderen eller dataindehaveren er geografisk placeret. Det er dog kun brugere inden for EU's grænser, som data skal gøres tilgængelige for.

Ja. Det vil sige, at en dataindehaver ikke er forpligtet til at dele data med brugeren, som brugeren har genereret via et forbundet produkt eller en relateret tjeneste før, dataforordningen fandt anvendelse den 12. september 2025. Dataindehaveren har også ret til at anvende data, som brugeren har genereret inden den 12. september 2025, uden at der skal indgås en aftale med brugeren om dette. Dog skal de databeskyttelsesretlige regler altid iagttages, hvis der er tale om personoplysninger, hvilket blandt andet betyder, at dataindehaveren skal have et behandlingsgrundlag.   

Det er vigtigt at være opmærksom på forskellen mellem den oplysningspligt, der findes i forbindelse med salg, udlejning og leasing af et forbundet produkt eller levering af en relateret tjeneste og kravet om, at man som dataindehaver kun må anvende let tilgængelige andre data end personoplysninger på baggrund af en aftale med brugeren. Let tilgængelige andre data end personoplysninger, er produktdata og relaterede tjenestedata, som en dataindehaver lovligt opnår eller lovligt kan opnå fra et forbundet produkt eller relateret tjeneste uden et uforholdsmæssigt stort arbejde, der ikke kan klares som en simpel ekspeditionssag. 

Oplysningspligten

For at sikre at brugere af forbundne produkter og relaterede tjenester er oplyst om, hvilke data de potentielt kan få adgang til, skal brugere modtage en række oplysninger om produktet eller tjenesten. Dette skal ske, inden brugerne indgår aftale om salg, leje eller leasing af et forbundet produkt eller levering af en relateret tjeneste. Det er den, der sælger, udlejer eller leaser det forbundne produkt eller leverer den relaterede tjeneste til brugeren, der skal iagttage oplysningspligten. Se undersiden på vores hjemmeside Regler for forbundne produkter og relaterede tjenester for en beskrivelse af, hvilke oplysninger der skal gives.

Aftale med brugeren

Som dataindehaver må man ikke anvende let tilgængelige andre data end personoplysninger, hvis man ikke har en aftale med brugeren. Dataindehaveren må altså ikke anvende den data, brugeren genererer ved brug af et forbundet produkt eller en relateret tjeneste, medmindre der er indgået en aftale med brugeren om dette. Denne forpligtelse adskiller sig fra oplysningspligten, fordi dataindehaveren her skal have brugerens accept til at anvende data – det er altså ikke nok blot at informere brugeren om, at data anvendes. Aftalen om anvendelse af data vil f.eks. kunne indgå i de almindelige vilkår, som brugeren skal acceptere før anvendelsen af et forbundet produkt eller en relateret tjeneste.

Som sælger, udlejer eller leasinggiver af et forbundet produkt eller udbyder af en relateret tjeneste, er der en række oplysninger om produktets eller tjenestens data, der skal gives til brugeren, inden der indgås en aftale om salg, leje, leasing eller levering. Det betyder, at en kunde, der f.eks. vil købe en smart vaskemaskine, skal kunne tilgå oplysningerne om de data, som vaskemaskinen generer, inden kunden køber vaskemaskinen. Da der er tale om en oplysningspligt, skal kunden blot informeres om dette. 
Oplysningspligten gælder kun for produkter og tjenester, der er omfattet af dataforordningens regler. Forbundne produkter, der er fremstillet eller udformet af en mikrovirksomhed eller en lille virksomhed, er ikke omfattet af oplysningspligten. Det samme gælder for relaterede tjenester, der udbydes af en mikrovirksomhed eller lille virksomhed. 
Det er dermed uden betydning, om virksomheden, der sælger, udlejer eller leaser det forbundne produkt, er en mikrovirksomhed eller lille virksomhed. Det afgørende er, om selve produktet er omfattet af reglerne. I forhold til relaterede tjenester er det samme virksomhed, som skal iagttage oplysningspligten, som udbyder tjenesten, og derfor vil mikrovirksomheder og små virksomheder, der udbyder relaterede tjenester, være undtaget oplysningspligten. 

Der er i vid udstrækning metodefrihed ift., hvordan sælger, udlejer, leasinggiver eller udbyder vælger at leve op til oplysningspligten. Det er f.eks. en mulighed at sætte en QR-kode på et forbundet produkts emballage, have et link til en hjemmeside tilgængeligt for kunder i en fysisk butik, eller have oplysningerne tilgængelige via en webshop eller app-store. Det er dog et krav, at brugeren har mulighed for at lagre oplysningerne, f.eks. ved at downloade dem.

En digital tjeneste er en databehandlingstjeneste og dermed omfattet af dataforordningens regler, hvis tjenesten:

• Leveres til en kunde.
• Muliggør alment tilgængelig og on demand-netværksadgang til en fælles pulje af konfigurerbare, skalerbare og elastiske databehandlingsressourcer af central, distribueret eller stærkt distribueret karakter (eksempelvis netværk, servere eller anden virtuel eller fysisk infrastruktur og software).
• Ressourcerne kan tilvejebringes hurtigt og stilles til rådighed med minimal administrativ indsats eller tjenesteudbyderinteraktion (dvs. at kunden har mulighed for nemt og hurtigt at skalere databehandlingskapaciteten løbende, efter kundeforholdet er etableret).

Databehandlingstjenester dækker f.eks. over typiske cloud servicemodeller, som infrastruktur som en service (IaaS), platform som en service (PaaS) og software som en service (SaaS).
I særlige tilfælde kan en databehandlingstjeneste være undtaget regler i dataforordningen, f.eks. hvis tjenesten er skræddersyet til en kundes behov og ikke tilbydes i stor kommerciel målestok. Se undersiden på vores hjemmeside Regler for databehandlingstjenester for en beskrivelse af, hvilke tjenester der er undtaget reglerne.
Det er i første omgang op til udbyderen af en digital tjeneste at vurdere, om tjenesten er omfattet af definitionen på en databehandlingstjeneste. Det kan være en god idé at dokumentere denne vurdering til eventuel senere brug.

EU-Kommissionen har udarbejdet en model for aftalevilkår for dataadgang og -anvendelse, der kan bruges til datadelingsaftaler. Dertil er der også blevet udarbejdet standardkontraktbestemmelser, der kan bruges af udbydere af databehandlingstjenester til deres aftaler med kunder. Både model for aftalevilkår og standardkontraktbestemmelser er frivillige at benytte. Læs mere om EU-Kommissionens model for aftalevilkår.

Udbydere af databehandlingstjenester skal gøre det muligt for kunder at skifte til en anden databehandlingstjeneste, også når aftalen mellem udbyderen og kunden er tidsbestemt. Reglerne er dog ikke i vejen for, at man aftaler forholdsmæssige sanktioner for førtidig opsigelse af tidsbestemte aftaler. Hvad der kan betragtes som forholdsmæssige sanktioner, vil variere fra sag til sag. Det er altså i første omgang op til udbydere af databehandlingstjenester selv at foretage en konkret vurdering af, hvorvidt der i de enkelte aftaler kan aftales forholdsmæssige sanktioner, og i givet fald hvad der udgør en forholdsmæssig sanktion. Forholdsmæssige sanktioner skal: 

• Holde sig inden for rammerne af dataforordningens artikel 23, og må altså ikke kunne anses som at udgøre en hindring for skift.
• Fremgå af aftalen, der indgås med kunden.
• Holde sig inden for rammerne af EU-retten eller national ret generelt. 

Læs om EU-Kommissionens model for aftalevilkår.

Dataforordningen opstiller nogle overordnede rammer og krav til de oplysninger, som udbydere af databehandlingstjenester skal give til kunder. 
Det er forskelligt, hvornår de forskellige oplysninger skal gives, og der er i visse tilfælde også krav til, at de skal fremgå af enten hjemmesider eller kunne tilgås på en anden lettilgængelig måde. Det vil ofte være relevant. at oplysningerne også fremgår af selve aftalen, og her kan EU-Kommissionens standardkontraktbestemmelser være en hjælp. 

Læs om EU-Kommissionens model for aftalevilkår.

Skiftegebyrer er gebyrer, som en udbyder af databehandlingstjenester kan pålægge en kunde i forbindelse med, at kunden skifter til en anden udbyders system eller til lokal IKT-infrastruktur. Skiftegebyrer omfatter bl.a. gebyrer for den udgående dataoverførsel.
Standardtjenestegebyrer, sanktioner for førtidig opsigelse samt gebyrer for levering af supplerende tjenester udgør ikke skiftegebyrer.
Frem til 12. januar 2027 må udbydere af databehandlingstjenester opkræve nedsatte skiftegebyrer. Nedsatte gebyrer må ikke overstige de omkostninger, som udbyderen af databehandlingstjenesten afholder, og som er direkte forbundet med den pågældende skifteproces. 
Det er op til udbyderen af databehandlingstjenesten at foretage en konkret vurdering af, hvilke omkostninger der er direkte forbundne med den pågældende skifteproces. EU-Kommissionens standardkontraktbestemmelser vil kunne bidrage med rammer for, hvilke omkostninger der kan indgå i nedsatte skiftegebyrer. 

Læs om EU-Kommissionens model for aftalevilkår.

Fra den 12. januar 2027 må udbydere af databehandlingstjenester ikke længere pålægge kunder skiftegebyrer.

Dataforordningen supplerer, men berører ikke databeskyttelsesforordningen. Konkret betyder det, at databeskyttelsesforordningen omhandler rettigheder ift. beskyttelse af personoplysninger, og dataforordningen omhandler rettigheder ift. ikke-personlige oplysninger.
Et datasæt, der er omfattet af reglerne i dataforordningen, kan dog både indeholde personoplysninger og ikke-personoplysninger. I sådan et tilfælde er det op til dataindehaveren at sikre, at både dataforordningens regler og reglerne om beskyttelse af personoplysninger i databeskyttelsesforordningen overholdes. Skulle der opstå en konflikt mellem de to regelsæt, vil databeskyttelsesforordningen have forrang.    

Dataforordningens regler berører ikke EU-regler om datadeling, der trådte i kraft inden den 11. januar 2024. Er man forpligtet til at dele data efter anden EU-lovgivning, der er trådt i kraft før denne dato, skal man følge denne lovgivning. Dataforordningens regler berører heller ikke EU-ret eller national ret, der indeholder bestemmelser om adgang til og tilladelse til anvendelse af data til videnskabelige forskningsformål.
I forhold til reglerne om deling af data mellem virksomheder og urimelige aftalevilkår i dataforordningens kapitel III og IV, skal man være opmærksom på, at reglerne også regulerer situationer, hvor dataindehavere er forpligtede til at stille data til rådighed på baggrund af anden EU-lovgivning end dataforordningen, eller national lovgivning vedtaget i overensstemmelse med EU-retten.