Regler for forbundne produkter og relaterede tjenester

• Hvad er et forbundet produkt?

  Et forbundet produkt er kendetegnet ved, at produktet samler data om sin anvendelse eller sine omgivelser og kan dele disse data via elektroniske tjenester, såsom internettet eller en bluetooth-forbindelse, eller fysiske forbindelser, f.eks. et kabel. Et forbundet produkt kan f.eks. være en smartphone, et køretøj, en moderne vaskemaskine eller elektronisk medicinsk udstyr.

• Hvad er en relateret tjeneste?

  En relateret tjeneste er en digital tjeneste, der er forbundet med et forbundet produkt, og muliggør, supplerer, ajourfører eller tilpasser en eller flere af produktets funktioner. En relateret tjeneste kan f.eks. være en app, hvorfra produktet styres.

• Hvem er brugeren?

  Brugeren er den, der ejer, lejer eller leaser et forbundet produkt, eller modtager en relateret tjeneste. Brugeren kan være en privatperson, virksomhed, organisation eller offentlig myndighed. Brugeren vil f.eks. være den, der ejer en vaskemaskine eller anvender appen, der viser informationer om vaskemaskinen.

Forpligtelse til at dele data

• Hvem er omfattet af reglerne?

  Producenter og udbydere, dvs. virksomheder, der udformer og fremstiller et forbundet produkt eller udformer og leverer en relateret tjeneste.

  Dataindehavere, dvs. virksomheder, der anvender data fra et forbundet produkt eller en relateret tjeneste og kan stille data til rådighed. Dataindehaveren vil ofte – men ikke altid – også være producenten eller udbyderen af produktet eller tjenesten.

• Skal data gøres direkte eller indirekte tilgængelige?

  Producenter og udbydere skal udforme, fremstille og levere forbundne produkter og relaterede tjenester så data er direkte tilgængelige for brugere, hvis det er relevant og teknisk muligt. Direkte tilgængelighed betyder, at brugere ikke skal anmode om data, men kan tilgå det direkte. Adgangen til data kan f.eks. ske direkte gennem en hjemmeside eller en app.

  Hvis det forbundne produkt eller den relaterede tjeneste ikke muliggør direkte tilgængelighed af data, skal dataindehaveren sikre, at data er indirekte tilgængelige for brugere. Indirekte tilgængelighed betyder, at brugere aktivt skal anmode om data. Det kan f.eks. ske gennem en hjemmeside, hvor brugere kan fremsende en anmodning om data.

  En bruger, eller en part der handler på dennes vegne, kan også anmode om, at data stilles til rådighed for en tredjepart, uanset om data er direkte tilgængelige for brugeren.

• Hvilke krav er der til data?

  Uanset om data gøres direkte eller indirekte tilgængelige for brugeren eller skal stilles til rådighed for en tredjepart, skal data være:

  • Tilgængelige på en let og sikker måde
  • Tilgængelige i et fyldestgørende, struktureret, almindeligt anvendt og maskinlæsbart format
  • Tilgængelige gratis for brugeren

  Hvis data er indirekte tilgængelige eller skal stilles til rådighed for en tredjepart, skal data desuden være:

  • Tilgængelige for brugeren uden unødigt ophold
  •  Tilgængelige i samme kvalitet, som dataindehaveren har til rådighed
  •  Tilgængelige kontinuerligt og i realtid, hvis relevant og teknisk muligt

• Hvilke data skal være tilgængelige for brugerne?

  Produktdata: Data genereret ved brug af et forbundet produkt, f.eks. produktets status, geografiske placering eller energiforbrug. 

  Relaterede tjenestedata: Data om brugerhandlinger eller -begivenheder i forbindelse med det forbundne produkt. Disse data kan både registreres af brugere eller genereres på baggrund af brugeres handlinger ved anvendelsen af en relateret tjeneste. Det kan f.eks. være data, der styrer produktets funktion - f.eks. at produktet skal slukke, når det ikke bruges, eller når energipriserne er højest. Det kan også være eksterne data, der kan forbedre produktets funktion - f.eks. tips til brug af produktet.

  Relevante metadata: En struktureret beskrivelse af indholdet eller anvendelsen af data. Metadata kan f.eks. være en beskrivelse af data, der kan identificere specifikke typer af data. Det kan også være en beskrivelse af dataformat, version eller tidspunkt for indsamling af data. Metadataene er relevante, hvis de er nødvendige for at fortolke og anvende data.

  Hvis data er indirekte tilgængelige for brugere eller skal stilles til rådighed for en tredjepart, skal dataindehaveren kun gøre data tilgængelige, som kan opnås af dataindehaveren uden et uforholdsmæssigt stort arbejde, der ikke kan klares som en simpel ekspeditionssag.

• Begrænsning af datadeling pga. et forbundet produkts sikkerhedskrav

  Forbundne produkter kan være underlagt sikkerhedskrav, herunder cybersikkerhedskrav eller sektorspecifikke krav, som er fastsat ved lov. Hvis brugerens adgang, anvendelse eller yderligere deling af data fra det forbundne produkt vil kunne underminere disse sikkerhedskrav og medføre alvorlige konsekvenser for fysiske personers sundhed og sikkerhed, kan dataindehaveren begrænse eller forbyde brugerens datadeling. Forbuddet eller begrænsningen skal fremgå af aftalen mellem dataindehaveren og brugeren.

  Hvis datadeling begrænses eller forbydes pga. et produkts sikkerhedskrav, skal dataindehaveren underrette Digitaliseringsstyrelsen om dette. Brugeren kan også klage til Digitaliseringsstyrelsen, hvis datadeling begrænses eller forbydes. 

• Forretningshemmeligheder

  Forretningshemmeligheder er oplysninger, der er hemmelige i den forstand, at de ikke er almindeligt kendt eller umiddelbart tilgængelige, de har handelsværdi, fordi de er hemmelige og de er blevet underkastet rimelige foranstaltninger for at sikre deres hemmeligholdelse.

  Forretningshemmeligheder skal deles:

  Forretningshemmeligheder skal i udgangspunktet deles, men de skal beskyttes og bevares ved, at der træffes de nødvendige foranstaltninger for at sikre forretningshemmelighedernes fortrolighed og at de ikke misbruges.

  Dataindehaveren skal derfor identificere hvilke data, der udgør forretningshemmeligheder, og derefter aftale med brugeren og tredjeparten hvilke foranstaltninger, der er nødvendige, før delingen af data kan ske. Foranstaltninger kan f.eks. være en model for aftalevilkår, fortrolighedsaftaler, strenge adgangsprotokoller, tekniske standarder eller anvendelse af adfærdskodekser.

  Hvis tredjeparter skal modtage forretningshemmeligheder, kræver det desuden, at det er strengt nødvendigt for at opfylde det formål, der er aftalt med brugeren.

  Tilbageholdelse eller suspendering af datadeling:

  Dataindehaveren kan tilbageholde eller suspendere delingen af data, der udgør forretningshemmeligheder, til en bruger eller tredjepart, hvis:

  • Der ikke foreligger en aftale med brugeren eller tredjeparten om beskyttelsesforanstaltninger.
  • Brugeren eller tredjeparten ikke gennemfører de aftalte foranstaltninger.
  • Brugeren eller tredjeparten undergraver fortroligheden af forretningshemmeligheder.
    

  Dataindehaverens beslutning skal være behørigt begrundet og meddeles brugeren eller tredjeparten skriftligt uden unødigt ophold.

  Derudover skal dataindehaveren underrette Digitaliseringsstyrelsen om, at datadelingen er tilbageholdt eller suspenderet, og angive hvilke foranstaltninger, der ikke er aftalt eller gennemført, og, hvis det er relevant, de forretningshemmeligheder, hvis fortrolighed er undergravet. 

  Brugeren eller tredjeparten kan også klage til Digitaliseringsstyrelsen, som skal beslutte om, og på hvilke betingelser, datadelingen skal påbegyndes eller genoptages.

  Afslag på datadeling pga. ekstraordinære omstændigheder:

  Under ekstraordinære omstændigheder kan dataindehaveren fra sag til sag afslå en anmodning om adgang til data, der udgør forretningshemmeligheder, hvis dataindehaveren kan påvise, at den specifikke videregivelse højst sandsynligt vil medføre alvorlig økonomisk skade på trods af de aftalte beskyttelsesforanstaltninger, som brugeren eller tredjeparten har gennemført.

  Afslaget skal være behørigt begrundet i objektive forhold, navnlig:

  • Muligheden for at håndhæve beskyttelsen af forretningshemmeligheder i tredjelande.
  • Arten og graden af fortrolighed for de ønskede data.
  • Det forbundne produkts unikke og nyskabende karakter.

  Dataindehaverens beslutning skal meddeles brugeren eller tredjeparten skriftligt uden unødigt ophold, og bør indeholde begrundelsen baseret på objektive forhold, og årsagerne til, at beskyttelsesforanstaltninger ikke anses for at være tilstrækkelige.

  Dataindehaveren skal også underrette Digitaliseringsstyrelsen om beslutningen.

  Brugeren eller tredjeparten kan også klage til Digitaliseringsstyrelsen, som skal beslutte om, og på hvilke betingelser, datadelingen skal påbegyndes eller genoptages.

• Hvornår finder reglerne anvendelse?

  Reglerne om indirekte tilgængelighed for brugere og tilrådighedsstillelse for en tredjepart finder anvendelse fra den 12. september 2025.

  Reglerne om direkte tilgængelighed finder anvendelse på forbundne produkter og relaterede tjenester, der bringes i omsætning efter den 12. september 2026.

Forpligtelse til at give oplysninger om data

• Hvem er omfattet af reglerne?

  Sælgere, som sælger et forbundet produkt til en bruger. Sælgeren kan også være producenten af produktet.

  Udlejere, som udlejer et forbundet produkt til en bruger. Udlejeren kan også være producenten af produktet.

  Leasinggivere, som leaser et forbundet produkt til en bruger. Leasinggiveren kan også være producenten af produktet.

  Udbydere, som leverer en relateret tjeneste til en bruger.

• Hvilke oplysninger om et forbundet produkt skal gives til brugeren?

  • Typen, formatet og den anslåede mængde af produktdata, som det forbundne produkt er i stand til at generere.
  • Hvorvidt det forbundne produkt er i stand til at generere data kontinuerligt og i realtid.
  • Hvorvidt det forbundne produkt er i stand til at lagre data på enheden eller på en fjernserver, herunder i givet fald den planlagte varighed af opbevaringen.
  • Hvordan brugeren kan tilgå, hente eller, hvor det er relevant, slette dataene, herunder de tekniske midler til at gøre dette, samt betingelserne for deres anvendelse og tjenestekvalitet.

• Hvilke oplysninger om en relaterede tjeneste skal gives til brugeren?

  • Arten og den anslåede mængde af og indsamlingshyppigheden for de produktdata, som den potentielle dataindehaver forventes at opnå, og, hvor det er relevant, ordningerne for brugerens adgang til eller hentning af de pågældende data, herunder den potentielle dataindehavers lagringsordninger og varigheden af opbevaring.
  • Arten og den anslåede mængde af relaterede tjenestedata, der skal genereres, samt ordningerne for brugerens adgang til eller hentning af de pågældende data, herunder den potentielle dataindehavers lagringsordninger og varigheden af opbevaring.
  • Hvorvidt den potentielle dataindehaver forventer at anvende let tilgængelige data selv og de formål, hvortil disse data skal anvendes, og hvorvidt vedkommende har til hensigt at tillade en eller flere tredjeparter at anvende dataene til formål, der er aftalt med brugeren.
  • Den potentielle dataindehavers identitet såsom firmanavn og firmaets fysiske adresse og i givet fald tilsvarende for andre databehandlingsparter.
  • Hvilke kommunikationsmidler der gør det muligt hurtigt at kontakte den potentielle dataindehaver og kommunikere effektivt med denne.
  • Hvordan brugeren kan anmode om, at dataene deles med en tredjepart, og i givet fald bringe datadelingen til ophør.
  • Brugerens ret til at indgive en klage over en overtrædelse til Digitaliseringsstyrelsen.
  • Hvorvidt en potentiel dataindehaver er indehaver af forretningshemmeligheder, som er indeholdt i de data, der er tilgængelige fra det forbundne produkt eller genereret under leveringen af en relateret tjeneste, og, hvis den potentielle dataindehaver ikke er forretningshemmelighedsindehaveren, forretningshemmelighedshaverens identitet.
  • Varigheden af aftalen mellem brugeren og den potentielle dataindehaver samt ordningerne for opsigelse af en sådan aftale.

• Hvornår skal oplysningerne gives til brugeren?

  Oplysningerne skal gives til brugere, inden der indgås aftale om salg, leje eller leasing af et forbundet produkt eller levering af en relateret tjeneste. Det kan f.eks. ske ved, at oplysningerne kan tilgås ved hjælp af en QR-kode eller et link til en hjemmeside.

• Hvornår finder reglerne anvendelse?

  Reglerne finder anvendelse fra den 12. september 2025.

Forpligtelser for dataindehavere

• Hvem er dataindehaver?

  En dataindehaver er en virksomhed, der anvender data fra et forbundet produkt eller en relateret tjeneste og kan stille data til rådighed. Dataindehaveren vil ofte – men ikke altid – også være producenten eller udbyderen af produktet eller tjenesten.

• Forbud mod at vanskeliggøre brugerens udøvelse af rettigheder

  Dataindehavere må ikke gøre brugeres udøvelse af rettigheder i forbindelse med adgang til data fra forbundne produkter eller relaterede tjenester unødigt vanskelig. Det kan f.eks. være ved at tilbyde brugeren valgmuligheder på en ikkeneutral måde eller ved at tvinge, vildlede eller manipulere brugeren eller undergrave eller begrænse brugerens autonomi, beslutningstagning eller valgmuligheder på en digital brugergrænseflade. Man må således ikke benytte sig af ’mørke mønstre’, når man designer en brugergrænseflade.

• Bruger- og tredjepartsidentifikation

  I forbindelse med at data fra forbundne produkter eller relaterede tjenester tilgås, må dataindehaveren gerne bede om oplysninger for at fastslå, om den, der tilgår data, er en bruger eller en tredjepart. Dataindehaveren må dog kun forlange de oplysninger, der er nødvendige for at fastslå dette.

• Opbevaring af oplysninger om adgang til data

  Dataindehavere må ikke opbevare oplysninger om brugeren eller tredjepartens direkte eller indirekte adgang til data ud over, hvad der er nødvendigt for en forsvarlig udførelse af anmodningen om adgang og af hensyn til sikkerhed og vedligeholdelse.

• Anvendelse af data kræver aftale med brugeren

  Dataindehavere må kun anvende produktdata og relaterede tjenestedata, som ikke er personoplysninger, på grundlag af en aftale med brugeren.

  Derudover må dataindehavere kun stille andre produktdata end personoplysninger til rådighed for tredjeparter til opfyldelsen af deres aftale med brugeren. Hvis det er relevant, kan dataindehavere kontraktligt forpligte tredjeparter til ikke at dele data, som de har modtaget fra dem, med andre.

• Overholdelse af reglerne om databeskyttelse

  Dataindehavere, der behandler personoplysninger, skal have et gyldigt behandlingsgrundlag i medfør af databeskyttelsesreglerne, da dataforordningen ikke udgør et behandlingsgrundlag for indsamling eller generering af personoplysninger. Dette omfatter også tilfældet, hvor en dataindehaver stiller personoplysninger om en anden end brugeren til rådighed for brugeren eller en tredjepart.

  Hvis der indgår personoplysninger i data, som dataindehaveren stiller til rådighed for en tredjepart på anmodning fra brugeren, må tilrådighedsstillelsen ikke krænke de registreredes rettigheder efter databeskyttelsesreglerne.

  Derudover må enhver uenighed mellem dataindehavere og tredjeparter om ordninger for overførsel af data ikke have indvirkning på den registreredes udøvelse af rettigheder i henhold til databeskyttelsesforordningen, særligt retten til dataportabilitet.

• Forbud mod forretningsmæssig indsigt

  Dataindehavere må ikke anvende produktdata og relaterede tjenestedata til at opnå indsigt i brugerens eller tredjepartens økonomiske situation, aktiver og produktionsmetoder eller anvende data på en anden måde, som kunne underminere brugeren eller tredjepartens forretningsmæssige stilling på de markeder, hvor de er aktive. Tredjeparter kan dog give tilladelse til en sådan anvendelse, hvis det er muligt at trække tilladelsen tilbage på et hvilket som helst tidspunkt.

Forpligtelser for brugere

• Hvem er bruger?

  Brugeren er den, der ejer, lejer eller leaser et forbundet produkt, eller modtager en relateret tjeneste. Brugeren kan være en privatperson, virksomhed, organisation eller offentlig myndighed. Brugeren vil f.eks. være den, der ejer en vaskemaskine eller anvender appen, der viser informationer om vaskemaskinen.

• Forbud mod konkurrerende produktudvikling

  Brugere må ikke anvende data, som er blevet gjort indirekte tilgængelige for dem, til at udvikle forbundne produkter, der konkurrerer med det originale produkt. Data må heller ikke deles med tredjeparter med dette formål.

• Forbud mod forretningsmæssig indsigt

  Brugere må ikke anvende data til at opnå indsigt i producentens eller dataindehaverens økonomiske situation, aktiver eller produktionsmetoder.

• Forbud mod uautoriseret adgang til data

  Brugeren må ikke anvende tvangsmidler eller misbruge mangler i en dataindehavers tekniske infrastruktur for at få adgang til data.

Forpligtelser for tredjeparter

• Hvem er tredjepart?

  En tredjepart modtager data fra et forbundet produkt eller en relateret tjeneste efter aftale med brugeren. Tredjeparten vil typisk stille en service til rådighed for brugeren, hvor data skal indgå.

  Gatekeepere må ikke være tredjeparter

  Virksomheder, der er udpeget som gatekeepere efter forordningen om digitale markeder (DMA), må ikke være tredjeparter. Gatekeepere må derfor ikke modtage data fra en bruger, hvis brugeren har fået stillet data til rådighed af en dataindehaver. Gatekeepere må heller ikke på nogen måde anmode eller tilskynde en bruger til selv at stille data til rådighed eller få en dataindehaver til det, for en af gatekeeperens tjenester.

  Gatekeepere må dog gerne udbyde databehandlingstjenester til tredjeparter. 

• Forbud mod at vanskeliggøre brugerens udøvelse af rettigheder

  Tredjeparter må ikke gøre brugeres udøvelse af rettigheder i forbindelse med brugerens ret til at dele data med tredjeparter unødigt vanskelig. Det kan f.eks. være ved at tilbyde brugeren valgmuligheder på en ikkeneutral måde eller ved at tvinge, vildlede eller manipulere brugeren eller undergrave eller begrænse brugerens autonomi, beslutningstagning eller valgmuligheder på en digital brugergrænseflade. Man må således ikke benytte sig af ’mørke mønstre’, når man designer en brugergrænseflade.

• Data behandles efter aftale med brugeren

  Tredjeparter behandler kun de data, som de har fået stillet til rådighed til de formål og på de betingelser, der er aftalt med brugeren.

  Tredjeparter må kun stille de modtagne data til rådighed for en anden tredjepart, hvis det er aftalt med brugeren, og forudsat at den anden tredjepart træffer alle nødvendige foranstaltninger, der er aftalt mellem dataindehaveren og tredjeparten, for at beskytte fortroligheden af forretningshemmeligheder.

  Tredjeparten skal slette data, når opbevaringen ikke længere er nødvendig til det formål der er aftalt med brugeren. Hvis der er tale om andre data end personoplysninger, kan det aftales, at dataene ikke nødvendigvis bliver slettet.

• Overholdelse af reglerne om databeskyttelse

  Tredjeparter, der behandler personoplysninger, skal have et gyldigt behandlingsgrundlag i medfør af databeskyttelsesreglerne, da dataforordningen ikke udgør et behandlingsgrundlag for indsamling eller generering af personoplysninger.

  Tredjeparter må ikke anvende de modtagne data til profilering, medmindre det er nødvendigt for at levere den tjeneste, som brugeren har anmodet om. Dette forbud gælder også selvom profileringen er nødvendigt for indgåelse eller opfyldelse af en kontrakt eller er baseret på samtykke efter databeskyttelsesreglerne.

  Derudover må enhver uenighed mellem dataindehavere og tredjeparter om ordninger for overførsel af data ikke have indvirkning på den registreredes udøvelse af rettigheder i henhold til databeskyttelsesforordningen, særligt retten til dataportabilitet.

• Restriktioner for videredeling af data

  Data må ikke stilles til rådighed for gatekeepere

  Tredjeparter må ikke stille de modtagne data til rådighed for en virksomhed, der er udpeget som gatekeeper efter forordningen om digitale markeder (DMA).

  Forbud mod at forhindre forbrugere i at dele data

  Hvis brugeren er en forbruger, må tredjeparter ikke forhindre brugeren i at stille de data, som vedkommende modtager, til rådighed for andre parter. Forbrugeren og tredjeparten kan heller ikke aftale, at forbrugeren ikke må stille data til rådighed for andre parter.

• Foranstaltninger til beskyttelse af forretningshemmeligheder

  Tredjeparter må ikke tilsidesætte de foranstaltninger, der er aftalt med en dataindehaver for at beskytte og bevare forretningshemmeligheder.

• Konkurrencemæssige forbud

  Forbud mod konkurrerende produktudvikling

  Tredjeparter må ikke anvende modtagne data til at udvikle produkter, der konkurrerer med det originale produkt, som dataene stammer fra. Data må heller ikke deles med en anden tredjepart med dette formål.

  Forbud mod forretningsmæssig indsigt

  Tredjeparter må ikke anvende data til at opnå indsigt i dataindehaverens økonomiske situation, aktiver eller produktionsmetoder.

• Sikkerhed

  Forbud mod anvendelse af data, der kan påvirke sikkerhed

  Tredjeparter må ikke anvende de modtagne data på en måde, der påvirker det forbundne produkts eller de relaterede tjenesters sikkerhed negativt.

  Forbud mod uautoriseret adgang til data

  Tredjeparter må ikke anvende tvangsmidler eller misbruge mangler i en dataindehavers tekniske infrastruktur for at få adgang til data.

Undtagelser for mikrovirksomheder, små virksomheder og mellemstore virksomheder

• Hvilke undtagelser gælder?

  Forbundne produkter, som er udformet eller fremstillet, eller relaterede tjenester, som er leveret, af en mikrovirksomhed eller en lille virksomhed, er undtaget forpligtelserne vedrørende datadeling. Undtagelsen gælder dog kun hvis virksomheden ikke har en mellemstor eller stor virksomhed som partnervirksomhed eller tilknyttet virksomhed, og ikke har fået fremstilling eller udformning af et forbundet produkt eller levering af en relateret tjeneste i underentreprise.

  Forbundne produkter, som er udformet eller fremstillet, eller relaterede tjenester, som er leveret, af en mellemstor virksomhed, der har været en mellemstor virksomhed i mindre end ét år, er også undtaget forpligtelserne vedrørende datadeling.

  Hvis en mellemstor virksomhed bringer et forbundet produkt i omsætning, er det forbundne produkt undtaget reglerne i ét år regnet fra den dato, hvor det blev bragt i omsætning.

  Mikrovirksomheder: Virksomheder, som beskæftiger under 10 personer og som har en årlig omsætning eller en samlet årlig balance på under 2 mio. euro.

  Små virksomheder: Virksomheder, som beskæftiger 10-50 personer, og som har en årlig omsætning eller en samlet årlig balance på under 10 mio. euro.

  Mellemstore virksomheder: Virksomheder, som beskæftiger 50-250 personer, og som har en årlig omsætning på 10- 50 mio. euro eller en samlet årlig balance på 10-43 mio. euro.

Anbefalede handlinger

• Hvordan kan man forberede sig til dataforordningens regler om forbundne produkter og relaterede tjenester?

  Virksomheder kan overveje følgende skridt, for at forberede sig og sikre overholdelse af dataforordningens regler for forbundne produkter og relaterede tjenester:

  • Vurdere om man er omfattet af forordningens regler, og i givet fald hvilken rolle man har. Det kan være en god idé at tage udgangspunkt i, om man har en form for forbindelse til et forbundet produkt eller en relateret tjeneste. Er man f.eks. producent af et forbundet produkt, udbyder af en relateret tjeneste eller dataindehaver?
  • Hvis man er dataindehaver, bør man identificere, hvilke typer data man har og kategorisere datatyperne.
  •  Er man producent eller dataindehaver, bør man vurdere, om man er i stand til at dele data, og i givet fald hvordan.
  • Er man producent, udbyder, sælger, udlejer eller leasinggiver, bør man finde ud af, hvordan man konkret kan leve op til forpligtelsen om at give oplysninger om data.