ACM registreert voor het eerst een 'databemiddelaar' vanwege Europese wet

De Nederlandse Autoriteit Consument en Markt heeft voor het eerst een Nederlands bedrijf goedgekeurd dat onder de Europese databemiddelingsverordening, de DGA, mag werken als bemiddelaar. Het gaat om FRC Burgersdijk.

De ACM zegt dat zij de eerste databemiddelaarsdienst heeft goedgekeurd en dat die 'binnenkort' in het officiële register van de Europese Commissie komt te staan. Het bedrijf, FRCB B.V., werkt al langer als databemiddelaar, maar wordt nu officieel erkend onder de DGA.

De goedkeuring is onderdeel van de Data Governance Act, ofwel de databemiddelingsverordening, die in 2023 van kracht werd. De wet draait om zogenaamde databemiddeling tussen meerdere partijen. Twee bedrijven, overheidsinstellingen of publieke instanties kunnen ervoor kiezen om zelf onderling data uit te wisselen, maar dat is vaak lastig. Vooral als er regels zoals wetgeving of compliance om de hoek komen kijken kan het voordelig zijn een zogenoemde databemiddelaar in te schakelen. De industrie van databemiddelaars is in opkomst, maar nu nog niet goed gereguleerd.

De databemiddelingsverordening schrijft regels voor waaraan databemiddelaars moeten voldoen. Het gaat dan om regels over betrouwbaarheid, toegankelijkheid of neutraliteit. Onderdeel van de verordening is dat bedrijven aan de Europese richtlijnen moeten voldoen. Daarvoor moeten ze zich in sommige gevallen registreren. In Nederland is de ACM daarvoor de officiële toezichthouder. Dat betekent dat de ACM de regels handhaaft, maar ook de registraties goedkeurt. Bedrijven die zich als officiële databemiddelingsdienst registreren moeten bij de ACM aankloppen voor goedkeuring.

Nu heeft de ACM voor het eerst zo'n goedkeuring verleend. Het bedrijf FRCB mag daarom een Europees logo en een apart label gebruiken in de bedrijfsvoering. De ACM zegt dat zij ook 'enkele registratieverzoeken [heeft] ontvangen van diensten die niet voldeden aan de definitie van een databemiddelingsdienst'. De toezichthouder roept andere partijen op om zich ook te registreren of om te onderzoeken of ze dat moeten doen.

Reacties (24)

[slaay]

Van de website van de ACM over wat een databemiddelaar nu precies is:

Voorbeelden van databemiddelingsdiensten die u moet registreren:

• een marktplaats waar partijen hun data kunnen aanbieden aan andere partijen
• technologie die gebruikers toegang geeft tot persoonlijke data van individuele gebruikers (ook wel ‘PIMs’ genoemd)
• een datacoöperatie, unie, stichting of datapool waar de leden onderling data met elkaar delen
• infrastructuur of een app waarmee partijen data met elkaar kunnen delen.

[Reactie gewijzigd door slaay op 7 februari 2025 11:03]

[alienfruit]

Ja, we zijn ook bezig met een aanvraag. Om bepaalde diensten aan te kunnen bieden via de financiële sector, onboarding, overstappen makkelijker te maken. Vaak moet je de klantgegevens meerdere keren invullen. Het idee is dat de benodigde informatie op een centrale plek wordt opgeslagen waar uit de verschillende apps kunnen putten en informatie kunnen bijschrijven. Tot dat de onboarding of andere taak uitgevoerd is. We beginnen met UK en EU en later NA/Azië.

[Reactie gewijzigd door alienfruit op 7 februari 2025 12:23]

[Dubbeldrank]

Interessante casus om daar op te vragen of er persoonsgegevens van mij bekend zijn, en daar een permanente claim neer te leggen op het 'recht op vergetelheid'. Ik vraag me af in hoeverre dit mogelijk is.

[xcode35]

Ik verwacht dat er dingen zoals communicatie tussen ziekenhuis en je huisarts daar ook onder vallen? In dat geval zou ik niet willen dat deze mensen niet met elkaar mogen praten als dat voor mij van levensbelang is.

[The Zep Man]

Niet voor alles is expliciete toestemming nodig. Jouw leven redden is een gerechtvaardigd belang.

Voorbeelden van belangen die kwalificeren als gerechtvaardigd zijn het belang om:
• een veilig en gezond leven te hebben of eigendommen te beschermen in een dreigende (‘real and hazardous’, stelt de EDPB-guideline) situatie;

Dus als het ziekenhuis jou van de straat schraapt en jouw huisarts belt met vragen waarop het antwoord jouw leven kan redden, dan mag jouw huisarts gewoon gegevens verstrekken.

[Reactie gewijzigd door The Zep Man op 7 februari 2025 12:16]

[ollie1965]

Ik zou het gerechtvaardig belang niet zo uitleggen.
Ja de privacy van een persoon mag geschonden worden als er een Vitaal Belang is.
En dan ook niet meer dan nodig is om op dat moment het leven te redden. Dus als je op de SEH binnenkomt met een zeer extreme allergische reactie dan heeft men geen reden om eventueel het dossier van de psychiater te openen

[The Zep Man]

Ik zou het gerechtvaardig belang niet zo uitleggen.

Dat doe ik niet. Dat doet de AP. Als je het voorbeeld leest, dan zie je dat dat in lijn is met wat je verder schrijft.

[Reactie gewijzigd door The Zep Man op 7 februari 2025 12:50]

[bilgy_no1]

Het punt is dat "Vitaal belang" een andere grondslag is voor het delen van gegevens dan "Gerechtvaardigd belang".

In het geval van "Gerechtvaardigd belang" gaat het om de belangen van de verwerkingsverantwoordelijke partij of een derde. Dit belang mag dan niet zwaarder wegen dan de belangen en/of fundamentele vrijheden en grondrechten van de betrokkene wiens persoonsgegevens worden verzameld.

In het geval van "Vitaal belang" kan het verzamelen van de gegevens juist noodzakelijk zijn in het belang van de betrokkene wiens persoonsgegevens worden verzameld.

Het is een fundamenteel verschil.

[ollie1965]

Ik bedoel te zeggen dat gerechtvaardig belang niet een grond (1 van de 6) kan zijn om medische gegevens in te zien.
Om medische gegevens in te zien moet men de grond Vitaal Belang gebruiken.

[MSalters]

permanente claim op het 'recht op vergetelheid'

Zo'n type claim heb je zelf verzonnen, dus nee, dat is onmogelijk. Dit is simpelweg geen verplichting die jij eenzijdig aan een bedrijf kan opleggen. Elke juridische basis ervoor ontbreekt.

[drdelta]

Nouja, er is het Recht op gegevens verwijderen. Met, natuurlijk, een aantal haken en ogen.

[MSalters]

En dat is dus een eenmalige actie, niet permanent.

[drdelta]

Absoluut. Ik ben echter wel benieuwd of er een redelijkheid clausule oid is opgenomen, zodat je inderdaad niet dagelijks een dergelijke claim in kunt/mag dienen, waarop gereageerd moet worden, etc.

[Martijntjeh]

Duidelijk! :-D

Dus eigenlijk precies een club die geblokkeerd wordt door adblockers?

[SirBlade]

Nee. dit bedrijf laat de backends van andere organisaties met elkaar communiceren. Bij voorbeeld de gemeente die aan een bank doorgeeft dat iemand verhuist or overleden is. Als consument zal je hier nooit direct mee te maken hebben.

[Martijntjeh]

Duidelijk. Wat moet ik hiervan vinden? Efficiëntie omdat de bank dan op de hoogte gehouden wordt? Of een schending van iemands privacy? ( Overigens ik probeer hier niet te zeuren, maar oprecht weet ik niet wat ik moet denken… )

[EraYaN]

Eerder dat de gemeente niet meer direct met alle banken hoeft te dealen. Het uitwisselen gebeurde toch wel.

[SinergyX]

Eerder het idee dat deze informatie enkel en alleen tussen deze 2 partijen gaat, middels een geregisteerd 'platform' en er niemand 'meeleunt' op deze informatie.

[SirBlade]

Er zijn 342 gemeentes in 56 banken in Nederland. Als je die informatie gaat uitwisselen zonder een tussenpersoon moeten er 19152 verbindingen voor geconfigureerd. Als het via een tussenpersoon loop volstaan 398 verbindingen. De kans op datalekken is dan vele malen groter.

[drdelta]

Blijkt als een perfect voorbeeld van iets waarbij de centrale overheid gemeenten kan helpen.

[CAPSLOCK2000]

Duidelijk. Wat moet ik hiervan vinden? Efficiëntie omdat de bank dan op de hoogte gehouden wordt? Of een schending van iemands privacy? ( Overigens ik probeer hier niet te zeuren, maar oprecht weet ik niet wat ik moet denken… )

Ik heb zelf geen duidelijke mening maar ik zie voordelen en gevaren.
Het meest simpele nadeel is dat er een extra partij is die je data in handen heeft en kan laten lekken.
Daar staat tegenover dat het hopelijk specialisten zijn die dat goed beveiligen en alle regels controleren.
Als verschillende partijen data willen uitwisselen kan het handiger zijn om dat door zo'n specialist te laten doen dan dat al die partijen onderling koppelingen moeten leggen.

Een voordeel van de constructie is dat het minder makkelijk wordt om data op de verkeerde manier te gebruiken (bv zonder toestemming). Het nadeel is het risico dat bedrijven alle verantwoordelijkheid naar een tussenpartij toeschuiven en zelf niet meer nadenken.

[cat_byte]

Het risico dat ik zie, is dat deze (commerciële) tussenpartij niet mijn privacy beschermen maar geld verdienen als doel heeft. Opdrachtgevers/klanten zullen naar verwachting de maximale hoeveelheid informatie willen uitwisselen. De tussenpartij zal hier zoveel mogelijk aan tegemoet willen komen, waarbij de grenzenvan de AVG opgezocht zullen worden. I.c.m. een AP die ernstige capaciteitstekorten kent, ben ik er niet gerust op.

[litebyte]

Ahh..okay, een soort van beurs voor het handelen in (privacy gevoelige) prive data?

[Reactie gewijzigd door litebyte op 7 februari 2025 11:05]

[kodak]

Dat er met verplichtingen problemen zijn is niet vreemd. Maar ik lees nu niet dat er de genoemde problemen relevant zijn dat na 1,5 jaar pas één bedrijf voldoet. De wetgeving is er niet alleen omdar het aantal bedrijven kan toenemen maar ook omdat bestaande bedrijven moeten voldoen.