Wie ooit data bij een grote cloudpartij heeft weggehaald, kent de egress-rekening en de lange mailwisselingen over exportformaten. Daar wil de Autoriteit Consument & Markt (ACM) vanaf. Op 19 oktober publiceerde de toezichthouder een conceptversie van de Leidraad Cloud. Dat document van bijna vijftig pagina’s beschrijft hoe aanbieders zich aan de Europese Data Act moeten houden als klanten willen overstappen of meerdere clouddiensten naast elkaar willen gebruiken.
Wat de ACM Leidraad Cloud van cloudaanbieders vraagt
De Data Act is sinds 12 september 2025 van toepassing. De drie grootste aanbieders bedienen volgens de ACM samen 75 procent van de markt, en hoge overstapkosten, gesloten systemen en ingewikkelde contracten houden klanten vast. De leidraad verdeelt de verplichtingen over vier thema’s. Het gaat om het wegnemen van belemmeringen, contractuele en commerciële afspraken, technische eisen en de bescherming van niet-persoonsgebonden gegevens tegen onrechtmatige toegang door overheden buiten de EU.
De ACM spreekt in de leidraad van een beoogde cultuurverandering. Aanbieders moeten te goeder trouw samenwerken met klanten en met andere aanbieders, ook als een overstap niet in hun eigen belang is. Een aanbieder die aan alle concrete regels voldoet en via een andere route toch drempels opwerpt, overtreedt volgens de leidraad nog steeds de algemene plicht uit artikel 23.
Welke clouddiensten vallen onder de Data Act
De wet spreekt van dataverwerkingsdiensten, een begrip dat grotendeels samenvalt met cloud. De ACM noemt cloudopslag, virtuele desktops en e-maildiensten als voorbeelden. SaaS valt er ook onder zolang de klant de software als dienst afneemt via gedeelde rekencapaciteit. Een videoplatform of de app van een robotstofzuiger valt erbuiten, omdat de rekenkracht daar een bijproduct is van een andere functie. Maatwerkdiensten die voor één klant zijn gebouwd en testversies kunnen van een deel van de verplichtingen worden uitgezonderd. Een configureerbare standaarddienst telt niet als maatwerk.
Termijnen en contracten bij een cloudoverstap
Een paar termijnen springen eruit. De opzegtermijn mag hoogstens twee maanden zijn, de overgangsperiode maximaal 30 kalenderdagen, en daarna houdt de klant nog minstens 30 dagen toegang tot zijn data. Lukt de migratie technisch niet binnen die periode, dan moet de aanbieder dat binnen 14 werkdagen onderbouwd melden en mag de overgang uitlopen tot maximaal zeven maanden. De klant kan de overgangsperiode zelf eenmalig verlengt.
In het contract moet een volledige lijst staan van welke data en digitale activa wel en niet overdraagbaar zijn. Gegevens mogen alleen worden uitgezonderd als er bedrijfsgeheimen op het spel staan, en ook dan mag de overstap er niet door vertragen. Contracten van vóór 12 september 2025 moeten eveneens worden aangepast, met instemming van de klant. Een boete bij het voortijdig opzeggen van een contract voor bepaalde tijd blijft mogelijk. Die mag volgens de ACM niet hoger zijn dan wat de klant tot het einde van de looptijd had moeten betalen.
Aanbieders moet verder gratis API’s beschikbaar stellen, aan klanten en aan andere aanbieders, zonder onderscheid. Voor IaaS geldt de eis van functionele gelijkwaardigheid: de nieuwe omgeving moet bij dezelfde input een vergelijkbaar resultaat geven. Andere diensten moeten binnen twaalf maanden voldoen aan interoperabiliteitsnormen zodra die in een centraal EU-register zijn opgenomen. Tot die tijd volstaat een gangbaar, machineleesbaar formaat.
Overstapkosten vanaf 12 januari 2027 verleden tijd
Tot 12 januari 2027 mogen aanbieders alleen kosten doorberekenen die direct met de overstap samenhangen, zoals dataverkeer en technische ondersteuning. Kosten voor een ingehuurde derde partij hoort daar niet bij. Daarna is overstappen gratis. Bij parallel gebruik blijven de werkelijke kosten voor gegevensoverdracht ook na die datum toegestaan, ondersteuning mag dan niet gefactureerd worden.
Hoe de Data Act zich verhoudt tot AVG, DORA en de Cyberbeveiligingswet
Voor gemengde datasets gelden de Data Act en de AVG tegelijk, en bij een conflict gaat de AVG voor. De Autoriteit Persoonsgegevens wijst er in de leidraad op dat organisaties met vitale processen bij een externe aanbieder soms een plan moeten hebben om in nood snel over te stappen. DNB en de AFM leggen de verbinding met DORA voor de financiële sector en met de Cyberbeveiligingswet, de Nederlandse invulling van NIS2.
Krijgt een aanbieder een verzoek van een buitenlandse overheid om niet-persoonsgebonden data, dan schrijft de leidraad een vaste route voor. Eerst moet de aanbieder nagaan of er een verdrag zoals een MLAT van toepassing is. Is dat er niet, dan volgt een risicoanalyse van het rechtssysteem van dat land. Bij twijfel kan de aanbieder advies vragen bij het ministerie van Economische Zaken en Klimaat.
Reageren op de conceptleidraad kan tot 6 november
Marktpartijen kunnen tot en met 6 november reageren op het concept. De ACM houdt toezicht op aanbieders met hun Europese hoofdkantoor in Nederland en stuurt meldingen over andere partijen door naar de bevoegde toezichthouder. De regels gelden ook voor aanbieders buiten de EU met klanten in Europa. Een gecertificeerd geschillenbeslechtingsorgaan voor dit soort conflicten is er in Nederland nog niet. Nederlandse klanten kunnen wel terecht bij zo’n orgaan in een andere lidstaat.
De leidraad kan nog veranderen, onder meer door het voorstel voor de Digitale Omnibus van de Europese Commissie, dat kleine aanpassingen aan dit deel van de Data Act voorstelt. Bijlage II bevat een nalevingschecklist voor contracten. Die is geschreven voor aanbieders en somt op welke bepalingen een cloudcontract minimaal moet bevatten.
Meer via https://www.acm.nl/nl/publicaties/acm-consulteert-leidraad-cloud
