Digital Omnibus

DaTNet neemt deel aan de Digital Omnibus-procedure van de Europese Commissie

De Digital Omnibus-procedure van de Europese Commissie is bedoeld voor de evaluatie en verdere ontwikkeling van belangrijke Europese digitale wetgeving, waaronder de Data Governance ActDer Data Governance Act (DGA) ist eine im Mai 2022 verabschiedete, seit dem 23. September 2023 EU-weit gültige EU-Verordnung, die neue Möglichkeiten für das... (DGA). Deze vormt de basis voor een betrouwbare Europese gegevensinfrastructuur: Het creëert een juridisch kader voor vertrouwde databemiddelingsmodellen, altruïstische databemiddelingsorganisaties en mechanismen voor gezamenlijk gegevensgebruik. Het doel van de Omnibus-procedure is om op basis van praktische ervaringen te onderzoeken hoe deze regelingen verder kunnen worden ontwikkeld om innovatie, privacy-/gegevensbescherming en maatschappelijk vertrouwen met elkaar in evenwicht te brengen.

Met dit standpunt zet DaTNet zijn werk op het snijvlak van onderzoek, politiek en praktijk voort en draagt het ertoe bij dat het concept van de vertrouwde databemiddeling in de Europese context verder onder de aandacht wordt gebracht. Op deze pagina vindt u onze beknopte versie en de uitgebreide versie van het ingediende standpunt.

U kunt het volledige standpunt over de verkennende besprekingen „Omnibusbepalingen voor de digitale sector (onderdeel van het vereenvoudigingspakket voor de digitale sector)“ en een samenvatting ook als PDF downloaden.

---

Standpunt over de verkennende besprekingen „Omnibusbepalingen voor de digitale sector (onderdeel van het vereenvoudigingspakket voor de digitale sector)“

De ondergetekende wetenschappers van het competentienetwerk Datatrustmodellen (DaTNet) geven graag hun mening over de noodzaak voor hervormingen met betrekking Data Governance Act en de richtlijn inzake open data.

Zoals de Europese Commissie in haar verzoek om stellingnames vaststelt, zijn met betrekking tot deze twee rechtsbesluiten maatregelen voor versterking van de coherentie nodig en voor de waarborging van de rechtszekerheid. Wij stellen de volgende wijzigingen voor:

1. De Data Governance Act heeft tot doel de voorwaarden voor het gezamenlijk gebruik van gegevens binnen de interne markt te verbeteren en daartoe een geharmoniseerd kader voor de uitwisseling van gegevens te creëren. Daartoe worden onder andere strenge eisen aan databemiddelingsdiensten gesteld om de concentratie van marktmacht bij individuele spelers te voorkomen en het vertrouwen in deze dienstverleners te verhogen.

Hoewel deze doelstelling over het algemeen toe te juichen is, rijst toch de vraag waarom aanbieders van databemiddelingsdiensten aan een relatief strenge regelgeving onderworpen zijn, terwijl bijvoorbeeld datamakelaars van die regelgeving uitgesloten zijn (art. 2, nr. 11, let. a), DGA). Hier zou het doel van de regeling nog duidelijker naar voren moeten worden gebracht.

2. Het begrip „afzonderlijke rechtspersoon” dat binnen het EU-recht een autonome betekenis heeft, is onduidelijk en staat op gespannen voet met de nationale vennootschapsrechtelijke regelingen. Volgens het Duitse recht hebben ook rechtsbekwame personenvennootschappen (Außen-GbR, GmbH & Co. KG) rechtsbekwaamheid, maar zijn ze geen „rechtspersonen“. Deze onzekerheid bemoeilijkt de oprichting en erkenning van vertrouwde gegevensbemiddelaars.

De eis van een „afzonderlijke rechtspersoon” (art. 12, let. a), DGA) zou nader moeten worden omschreven.

Wijzigingsvoorstel (art. 12, let. a), DGA in nieuwe formulering):

„De aanbieder van databemiddelingsdiensten gebruikt de gegevens waarvoor hij databemiddelingsdiensten verleent, uitsluitend om deze aan de gegevensgebruikers ter beschikking te stellen. Databemiddelingsdiensten worden geleverd via een juridisch zelfstandige organisatie-eenheid die een rechtspersoon is of rechtsbevoegdheid bezit en organisatorisch gescheiden is van andere activiteiten van de aanbieder. De lidstaten zorgen ervoor dat hiervoor rechtsvormen met beperkte aansprakelijkheid beschikbaar zijn.”

Motivering: De voorgestelde formulering vervangt het enge begrip „rechtspersoon” door het meer passende criterium van rechtsbevoegdheid en aansprakelijkheidsbeperking, waardoor ook vennootschapsvormen zoals de GmbH & Co. KG of de rechtsbevoegde GbR hieronder vallen, mits zij over een duidelijke bestuursstructuur beschikken. Het begrip, dat als een autonoom begrip van de Unie moet worden opgevat, wordt functioneel gepreciseerd (rechtsbevoegdheid in plaats van de enge betekenis van „rechtspersoon“), zonder de vereiste scheiding/neutraliteit te ondermijnen; tegelijkertijd gaat de tekst in op de in de praktijk aanzienlijke aansprakelijkheidsrisico’s (AVG, mededingingsrecht) door te verwijzen naar beschikbare rechtsvormen met beperkte aansprakelijkheid (bijv. GmbH, AG, eventueel GmbH & Co. KG).

3. De DGA eist neutraliteit, onafhankelijkheid en vertrouwen, zonder echter minimumnormen op het gebied van vennootschapsrecht voor de interne organisatie vast te stellen. Deze aspecten worden tot nu toe volledig aan het nationale recht overgelaten.

Er zou daarom een nieuw artikel 12a DGA – „Corporate Governance van databemiddelingsdiensten“ – moeten worden ingevoerd dat neutraliteit, onafhankelijkheid en vertrouwen in de vorm van minimumnormen waarborgt.

Dit nieuwe artikel schept een kader voor de beginselen van corporate governance van gegevensbemiddelaars en zorgt ervoor dat de controlemechanismen uit het vennootschapsrecht (loyaliteitsplicht, raad van advies, medezeggenschap) functioneel worden afgestemd op dataneutraliteit en het opbouwen van vertrouwen, zonder in te grijpen in de wijze waarop de lidstaten de rechtsvorm invullen.

Voorstel voor een nieuw artikel 12a:

„Art. 12a – Minimale eisen op het gebied van het vennootschapsrecht
(1) Aanbieders van databemiddelingsdiensten beschikken over passende bestuursstructuren die ervoor zorgen dat
a) de managementorganen onafhankelijk van gegevenseigenaren en gegevensgebruikers handelen;
b) belangenconflicten worden voorkomen door duidelijke bevoegdheden, onverenigbaarheden en een beleid inzake verbonden partijen;
c) Er controle- en inspraakrechten voor relevante belanghebbenden bestaan die zijn afgestemd op de categorieën van artikel 10.
(2) De lidstaten faciliteren of verlangen hiervoor in het bijzonder:
– de oprichting van een raad van toezicht of een adviesraad,
– Verplichtingen inzake transparantie en openbaarmaking met betrekking tot de eigendoms- en zeggenschapsstructuur,
– De plicht tot trouw en neutraliteit van de vennoten en bestuursleden ten opzichte van het statutaire doel.
(3) De Commissie stelt richtlijnen vast inzake interpretatie en Best Practice, met inachtneming van de nationale vennootschapsrechtelijke regelingen.”

4. De actuele open houding van de DGA ten aanzien van de rechtsvorm leidt tot rechtsonzekerheid en een gebrek aan vergelijkbaarheid.

Een in de hele Unie erkende, bijzondere vorm met beperkte aansprakelijkheid zou het vertrouwen en de homogeniteit van de markt kunnen bevorderen. Daarom stellen wij een nieuwe vennootschapsrechtelijke vorm voor: de „Europese datatrust”. Een dergelijk optioneel Europees vennootschapsmodel zou uniforme Governance-standaarden invoeren, zonder de lidstaten hun autonomie op het gebied van het vennootschapsrecht te ontnemen – vergelijkbaar met de SE (Societas Europaea) of de SCE (Europese coöperatie). Twee wijzigingsvoorstellen die hierop gericht zijn, omvatten een nieuwe overweging 33a en een nieuw artikel 12b.

Nieuwe overweging 33a:

„Ter bevordering van uniforme minimumnormen voor de vennootschapsrechtelijke organisatie van databemiddelingsdiensten kunnen de lidstaten voorzien in een bijzondere nationale rechtsvorm of benaming (Europese datatrust / European Data Trust – EDaT), die op aansprakelijkheidsbeperking, neutraliteit en transparantie gericht is.“

Nieuw artikel 12b DGA – Europese Datatrustmaatschappij (EDaT):

„(1) De lidstaten kunnen een bijzondere rechtsvorm of een wettelijk beschermde benaming instellen voor aanbieders van databemiddelingsdiensten.
(2) Deze rechtsvorm moet aan de volgende minimumkenmerken voldoen:
– aansprakelijkheidsbeperking,
– onafhankelijk toezichthoudend orgaan,
– een strikt verbod op het eigen gebruik van bemiddelde gegevens,
– meer transparantie ten opzichte van de toezichthouder en in het register volgens art. 11.
(3) Ondernemingen die aan de voorwaarden voldoen, mogen de aanduiding „EDaT“ voeren.”

5. Art. 12, let. a), DGA schrijft neutraliteit voor, maar er ontbreekt een juridisch afdwingbare verankering van de dataneutraliteit in de interne verhoudingen van de vennootschap.

Door gegevensneutraliteit op te nemen als een uitvloeisel van de trouwplicht in het vennootschapsrecht wordt het vennootschapsrecht uitgebreid, wordt de interne binding van de organen versterkt en worden neutraliteitsverplichtingen ook op civielrechtelijk vlak afdwingbaar.

Voorstel tot aanvulling op art. 12, let. a), DGA:

„Deze verplichting geldt binnen de vennootschap als een uiting van de vennootschapsrechtelijke loyaliteitsplicht van de bestuursleden en vennoten; zij moet in de statuten worden vastgelegd en bij de samenstelling van het bestuur in aanmerking worden genomen.“

6. De vereisten van artikel 18, lid 2, let. c), DGA („zonder winstoogmerk” bij juridische onafhankelijkheid) leiden totfinancieringsproblemen en een gebrek aan Governance-kwaliteit.

Artikel 18 van de DGA (altruïstische databemiddelingsorganisaties) zou moeten worden gepreciseerd. De hieronder voorgestelde, preciserende aanvulling maakt zelfstandige Governance-structuren mogelijk en voorkomt dat altruïstische databemiddelaars feitelijk worden uitgesloten van professionele bedrijfsvormen.

Art. 18, lid 2, let. c), DGA – nieuw:

„handelt zonder winstoogmerk; dit staat niet in de weg dat bijkomende economische activiteiten uitsluitend worden uitgeoefend ter financiering van de altruïstische doelen, mits hierdoor geen belangenconflicten met het altruïstische doel ontstaan en er geen winstuitkering plaatsvindt; de juridische onafhankelijkheid van organisaties die winstdoeleinden nastreven, blijft onaangetast.”

7. 7. Artikel 11, lid 6, schrijft voor dat bij de aanmelding onder meer de rechtsvorm, de eigendomsstructuur en relevante dochterondernemingen moeten worden vermeld; de Commissie houdt een openbaar register bij (artikel 11, lid 14). Tot nu toe ontbreken echter details over het bestuur (toezichthoudende organen, conflictpreventie).

Een dergelijke openbaarmaking van het bestuur van databemiddelingsdiensten bevordert de transparantie en het vertrouwen. Zij zorgt ervoor dat de vennootschapsrechtelijke organisatie voor gegevensverstrekkers en -gebruikers begrijpelijk is, zonder dat er extra registratieverplichtingen worden ingevoerd.

Voorstel tot aanvulling van artikel 11, lid 6, DGA (nieuwe letters h tot en met k):

„h) Informatie over de raad van toezicht/adviesraad (samenstelling, benoemingslogica, onafhankelijkheidscriteria),
i) Beleid inzake belangenconflicten en regels betreffende transacties met gelieerde partijen,
j) Trouw- en neutraliteitsverplichtingen in de interne verhoudingen (vastgelegd in de statuten),
k) centrale Compliance-maatregelen (bijv. interoperabiliteit, beveiliging, logboekregistratie) met betrekking tot artikel 12.”

Aanvullingsvoorstel bij art. 11, lid 14 – zin (nieuw):

„De in lid 6, let. a-c, f en h-k genoemde gegevens worden in dit register gepubliceerd.“

8. De materiële vereisten uit art. 12 houden geen verband met de belangen van een concreet functionerende interne organisatie, maar zouden daar wel mee moeten worden gekoppeld.

Nieuwe overweging 33b – Vennootschapsrecht en Data Governance:

„Aangezien het vertrouwen in databemiddelingsdiensten in belangrijke mate afhangt van hun vennootschapsrechtelijke organisatie, zouden passende bestuursmechanismen (neutraliteit als loyaliteitsplicht, onafhankelijke toezichthoudende organen, transparantie over eigendoms- en zeggenschapsstructuren) de interne structuur van deze diensten moeten kenmerken. Hiermee wordt het in de artikelen 10-12 verankerde kader voor neutraliteit en onafhankelijkheid op een functionele manier gewaarborgd.”

9. Artikel 12 is tot nu toe zo geformuleerd dat het modellen van een op transacties gebaseerde datatrust niet precies genoeg omvat.

Er wordt een – in de eerste plaats verduidelijkende – aanvulling voorgesteld, waarin de diensten van de transactiegebaseerde trust (en soortgelijke activiteiten) worden aangemerkt als een onderdeel van de activiteiten van gegevensbemiddelaars.

Dt. „(e) Datatransmissiediensten kunnen een aanbod van aanvullende specifieke hulpmiddelen en diensten voor gegevenshouders of betrokkenen omvatten, met name om de gegevensuitwisseling te vergemakkelijken, bijvoorbeeld tijdelijke opslag, neutrale aggregatie, analyse, onderhoud, conversie, anonimisering en pseudonimisering; deze hulpmiddelen worden uitsluitend gebruikt op uitdrukkelijk verzoek of met toestemming van de gegevenshouder of de betrokkene, en de in dit verband aangeboden hulpmiddelen van derden worden niet voor andere doeleinden gebruikt;”

Eng.„(e) diensten op het gebied van gegevensbemiddeling kunnen het aanbieden van aanvullende specifieke hulpmiddelen en diensten aan gegevenshouders of betrokkenen omvatten, met als specifiek doel de uitwisseling van gegevens te vergemakkelijken, zoals tijdelijke opslag, waardevrije aggregatie, evaluatie, curatie, conversie, anonimisering en pseudonimisering, waarbij dergelijke hulpmiddelen uitsluitend worden gebruikt op uitdrukkelijk verzoek of met uitdrukkelijke toestemming van de gegevenshouder of de betrokkene en waarbij hulpmiddelen van derden die in dat kader worden aangeboden, niet voor andere doeleinden worden gebruikt;“

10. In de praktijk blijken bovendien onduidelijke begrippen en inconsistenties een belemmering te vormen. Voorbeelden hiervan zijn: Er bestaan verschillende interpretaties van het begrip „zakelijke relaties“ („commercial relationships“) tussen gegevenseigenaren en gegevensgebruikers in het kader van de definitie van gegevensbemiddelingsdiensten in artikel 2, lid 11, van de DGA. In de discussie wordt bijvoorbeeld als doorslaggevend beschouwd of de zakelijke relatie een zekere duurzaamheid heeft, of beide partijen handelen in het kader van hun commerciële of zelfstandige beroepsactiviteit, of het doel van het gegevensgebruik commercieel is, of dat er sprake is van een ruiltransactie in die zin dat de gegevenseigenaar een tegenprestatie ontvangt, bijvoorbeeld een vergoeding of toegang tot andere gegevens.

Deze onduidelijkheden rond een zo centraal begrip als „commercial relationships“, dat bepalend is voor het toepassingsgebied van de DGA, zouden moeten worden weggenomen.

11. Ook op het gebied van toegevoegde-waarde-diensten rijzen er nog vragen. Overeenkomstig art. 12, let. a), gebruiken aanbieders van datatransmissiediensten de gegevens uitsluitend om deze ter beschikking te stellen aan gegevensgebruikers. Een uitzondering hierop is te vinden in artikel 12, let. e), dat aanvullende diensten toestaat, zoals bijvoorbeeld conversie, anonimisering en pseudonimisering.

Vanwege uiteenlopende taalversies van de DGA is het onduidelijk of deze aanvullende diensten uitsluitend of met name ter vergemakkelijking van de gegevensuitwisseling zijn toegestaan. Dit moet worden opgehelderd. Daarnaast zou het echter ook wenselijk kunnen zijn om laagdrempelige diensten met toegevoegde waarde, zoals het samenstellen en standaardiseren van inhoud, als toegestaan te beschouwen.

12. Ook de omvang en aangewezen persoon voor de verplichtingen voor een aangemeten voortzetting van de databemiddelingsdiensten in geval van insolventie, art. 12, let. h), zijn onduidelijk. De norm is bedoeld voor aanbieders van datatransmissiediensten, zodat het onduidelijk blijft of ook de curator, die in geval van insolventie bevoegd is om over de activa te beschikken, hierdoor gebonden is.

Uit de regeling blijkt niet eenduidig of het doel ervan is dat de vorderingen van de gegevensverstrekkers en gegevensgebruikers in de rangorde van vorderingen van schuldeisers prioriteit moeten krijgen. De genoemde onduidelijkheden zouden moeten worden weggenomen. Alleen een regeling voor insolventiegevallen die gericht is op duurzaamheid versterkt het vertrouwen in nieuwe intermediairs/tussenpersonen.

13. In het juridisch-politieke debat over het gebruik van gegevens die in het bezit zijn van overheidsinstanties wordt keer op keer aangedrongen op een verplichting tot het ter beschikking stellen van gegevens.

Het is terecht dat noch de Open Data-richtlijn noch de Data Governance Act een „harde, strikte“ verplichting tot het openbaar maken van gegevens oplegt. Dat zou zo moeten blijven.

Men zou echter de kosten-baten-verhouding van het verstrekken van Open DataOpen Data, auch als offene Daten bezeichnet, sind Daten, die ohne Einschränkungen öffentlich zugänglich sind und unter einer Lizenz bereitgestellt... moeten onderzoeken. Hierbij moet men bedenken dat het beschikbaar stellen en continu bijhouden van dynamische gegevens via krachtige API’s een aanzienlijke technische, personele en financiële inspanning met zich meebrengt. Vooral voor gemeenten, die vaak te maken hebben met krappe budgetten en beperkte IT-middelen, zou deze eis onhaalbaar kunnen zijn. Tegen deze achtergrond zou men zich kunnen afvragen of de beschikbare middelen niet doelmatiger zouden kunnen worden geïnvesteerd in het opzetten van een gestandaardiseerde en gemoderniseerde basisinfrastructuur (in plaats van in „openheid“). Een dergelijke geconsolideerde basis zou vervolgens in een volgende stap de weg kunnen banen voor een bredere en mogelijk kostenefficiëntere API-verstrekking.

Anderzijds is het kritieke karakter van gegevens en van de verstrekking daarvan tegenwoordig anders dan nog maar een paar jaar geleden. De veranderde geopolitieke situatie is inmiddels een uitdaging gebleken voor het ‘Open’-concept. Dit geldt voor de wetenschap („Open Science“), maar ook voor de publieke sector in het algemeen. Zo zouden principiële veiligheidsbedenkingen nodig kunnen zijn, wanneer het bijv. om gedetailleerde gemeentelijke data gaat. Trefwoord „kritieke infrastructuren“ (KRITIS): Ook realtime verkeerslichtschakelingen uit stad X, HVD-gegevens van het stuwmeerbeheer van waterbeheersinstantie Y, het draagvermogen en de bouwkundige staat van bruggen in stad Z enz. kunnen veiligheidsrelevante informatie bevatten.

Ten slotte rijst de vraag of de toegang tot gegevens van de publieke sector voor alle aanvragers in gelijke mate moet worden gewaarborgd, of dat er beperkingen moeten gelden voor ondernemingen die in derde landen zijn gevestigd of voor ondernemingen die als ‘poortwachters’ zijn aangewezen (analoog aan de in het kader van de Data ActDer Data Act (dt. Datenverordnung) ist ein Rechtsakt der Europäischen Union. Er gehört zur Datenstrategie, die die Kommission im Jahre... te verstrekken bedrijfsgegevens, art. 5, lid 3, Data Act).

Prof. Dr. Steffen Augsberg (Universiteit van Gießen)
Prof. Dr. Johannes Buchheim (Universiteit van Marburg)
Prof. Dr. Petra Gehring (TU Darmstadt)
Prof. Dr. Anne Lauber-Rönsberg (TU Dresden)
Prof. Dr. Florian Möslein (Universiteit van Marburg)
Prof. Dr. Sebastian Omlor (Universiteit van Marburg)