WK 2026: Scoor de beste deals! Stel jouw winnende opstelling samen met behulp van ons advies.

ACM legt uit hoe bedrijven data van iot-apparaten beschikbaar moeten stellen

De Nederlandse Autoriteit Consument en Markt heeft een leidraad opgesteld waarmee bedrijven kunnen voldoen aan de Europese Dataverordening. De leidraad is bedoeld voor fabrikanten van bijvoorbeeld iot-apparatuur, maar zal er in de praktijk toe leiden dat eindgebruikers meer zeggenschap krijgen over de gegevens die door zulke apparaten worden verzameld.

Dit nieuws in het kort

  • De Autoriteit Consument en Markt geeft met de leidraad invulling aan de Europese Dataverordening.
  • De Dataverordening verplicht fabrikanten de data die een product verzamelt beschikbaar te stellen.
  • Fabrikanten van iot-apparatuur weten nu hoe ze dat specifiek moeten doen.

De ACM heeft de Leidraad Data Delen van verbonden producten en gerelateerde diensten uitgebracht. Die is gericht op bedrijven en fabrikanten die in Nederland actief zijn met 'verbonden apparaten'. Dat zijn in de praktijk iot-apparaten zoals slimme thermostaten, maar ook auto's vallen eronder, naast industriële toepassingen. De ACM noemt melkrobots van boeren als voorbeeld.

De leidraad geeft invulling aan de Europese Dataverordening. Die werd in september 2023 van kracht en treedt in september van dit jaar officieel in werking. De ACM houdt in Nederland toezicht op naleving van die verordening. De Dataverordening is bedoeld om Europese burgers meer controle en inzicht te geven in de gegevens die door slimme apparaten worden verzameld. Ook diensten die daarbij horen, zoals apps of abonnementen, vallen onder de Dataverordening.

De Dataverordening kan worden gezien als een antwoord op veelgehoorde kritiek op de AVG. Daarin staat namelijk beschreven hoe bedrijven en overheden data mogen verwerken. In tegenstelling tot wat vaak wordt gedacht zegt de AVG niets over de zeggenschap die burgers of gebruikers hebben over die gegevens. Ook geldt de AVG alleen voor persoonsgegevens en niet zomaar voor gebruikersdata.

Wat staat er in de leidraad?

In de leidraad staat beschreven wanneer en op welke manier fabrikanten gebruikersdata beschikbaar moeten maken aan eindgebruikers. De leidraad is in drie onderdelen gesplitst:

1. Informatieplicht

Dit bepaalt dat fabrikanten bij de verkoop of huur al duidelijk moeten aangeven welke gegevens er worden verzameld en op welke manier, hoe gebruikers die gegevens kunnen opvragen en met andere diensten kunnen delen, en bijvoorbeeld in welke taal en welk formaat dat moet gebeuren.

2. Toegangsverplichting

De toegangsverplichting heeft de meeste impact op eindgebruikers. Hierin wordt bepaald dat fabrikanten gegevens eenvoudig toegankelijk moeten maken voor gebruikers en welke gegevens fabrikanten precies beschikbaar moeten maken. Daarin staan bijvoorbeeld uitzonderingen voor bedrijfsgeheimen, maar in principe moeten fabrikanten onder dit onderdeel alle gegevens beschikbaar maken.

3. Voorwaarden

In dit onderdeel van de leidraad bepaalt de ACM specifieke voorwaarden voor het verstrekken van al die gegevens. Daarin staat bijvoorbeeld dat fabrikanten gebruikersgegevens niet mogen gebruiken voor commerciële doeleinden en wordt beschreven wat de relatie met derde partijen is.

Smarthome stock (bron: Kenneth Cheung/Getty Images)

Wat heb je hier als burger of koper aan?

De ACM legt met de leidraad uit wat bedrijven moeten doen met dataverzameling. Een gemiddelde consument heeft niets aan de leidraad zelf, maar gaat daar in de toekomst wel veel van merken bij het aanschaffen van nieuwe producten. Die nieuwe producten moeten namelijk aan de leidraad voldoen.

De ACM geeft in een persbericht een duidelijk praktijkvoorbeeld van waar de Dataverordening voor bedoeld is. "In de praktijk betekent dit bijvoorbeeld dat de eigenaar van een auto toegang krijgt tot de gegevens die de auto verzamelt en deze kan delen met een garage naar keuze voor reparatie. Of bijvoorbeeld dat een akkerbouwer de gegevens van sensoren in de bodem en zijn oogstmachine makkelijk kan delen met een innovatief bedrijf, dat vervolgens advies geeft over optimale irrigatie en bemesting. Zo kan de akkerbouwer kosten besparen en de milieubelasting terugdringen."

Door Tijs Hofmans

Nieuwscoördinator

15-05-2026 • 12:20

22

Submitter: CLB

Reacties (22)

Sorteer op:

Weergave:

De voorbeelden zijn alleen voor industriële toepassingen, lekker dan..

En dan nog, bedrijven vinden sensordata bedrijfsgeheimen. Immers kan iemand dan zien hoe nauwkeurig de data is, hoe vaak er wordt gepolst en wat de structuur van de data is. Gaat de ACM hier ook iets van vinden?


Ik ben voornamelijk benieuwd hoe ze de voorwaarden gaan handhaven. "Daarin staat bijvoorbeeld dat gebruikers hun gegevens niet mogen gebruiken voor commerciële doeleinden en wordt beschreven wat de relatie met derde partijen is."

Wat zijn commerciële doeleinden? De boer boert voor commercie, telt dat dan? De garage waar je de telemetrie aan aanlevert werkt niet gratis en doet hier z'n voordeel mee. En mag ik, als burger wel mij eigen data verkopen of reseller?
En dan nog, bedrijven vinden sensordata bedrijfsgeheimen. Immers kan iemand dan zien hoe nauwkeurig de data is, hoe vaak er wordt gepolst en wat de structuur van de data is. Gaat de ACM hier ook iets van vinden?
Raw sensor data is geen bedrijfsgeheim. Hoe dat verwerkt wordt kan wel een bedrijfsgeheim zijn. Denk bijvoorbeeld aan een digitale camera: iedereen kan het RAW bestand lezen, maar hoe een camerafabrikant daar betere JPEGs van maakt dan een concurrent die dezelfde sensor gebruikt is het bedrijfsgeheim. Maar je kunt wel met die RAW bestand proberen zelf een beeld te maken.
Daar staat dan wel weer tegenover dat ruwe sensordata op zichzelf niet altijd nuttig is zonder verdere verwerking. Kennis van de sensor, de ontwerpkeuzes en het grotere systeem waarin de sensor zich bevindt zijn wel belangrijk om te weten hoe de ruwe sensorwaarden geïnterpreteerd moeten worden om tot iets betekenisvols te komen. Kan me goed voorstellen dat bedrijven dat soort ruwe data niet zomaar willen vrijgeven om gezeik te voorkomen met consumenten die interne waarden verkeerd gaan interpreteren. Voor een camera kan ik me niet voorstellen dat er zoveel mis kan gaan, maar ik kan me genoeg producten voorstellen waarbij dit wel een redelijke zorg is.
Over bedrijfsgeheimen, ik denk dat punt 3. Voorwaarden hiervoor is. Handhaving of niet als de EU eindgebruikers verbied om zelfs hun eigen data te verkopen dan kan de fabrikant niet een grote grondslag leggen op bedrijfsgeheimen.

Tegenover de concurrentie hoeven ze het sowieso niet te verbergen, die zijn pienter genoeg om al hun concurrenten al te hebben uitgeplozen. Ik vermoed dat het vooral bedoeld is om te ontmoedigen dat er niet een partij ontstaat die geld geeft voor jou data en hier zelf op grotere schaal modellen mee bouwt waarvan ze de data op hetzelfde niveau als bijvoorbeeld Samsung kunnen nabootsen.
Iedereen mag natuurlijk doen wat hij wil met de data van de eigen sensoren. Het (cloud) bedrijf wat de data verzameld mag de data niet aan derden verkopen, maar wel gratis toegang verlenen. Derde partijen mogen de data verwerken, maar niet gebruiken voor het maken van persoonlijke profielen. Jij mag je eigen data gewoon verkopen. De partij waar jij het aan verkoopt wordt als tweede partij gezien en die moet zich houden aan de voorwaarden die jij zelf opstelt.

De boer mag zijn eigen data dus gewoon gebruiken, zelfs voor commerciële doeleinden. De data die jij aan de garage geeft mag de garage ook gewoon gebruiken en als jij ermee akkoord gaat mogen die ook opslaan en verkopen. De autofabrikant mag de data ook aan de garage geven, maar daar geen geld voor vragen.
Ik ben benieuwd hoe dit invloed heeft op bv Daikin devices. Daikin levert geen lokale meer API (die hebben ze verwijderd op een bepaald moment uit hun firmware), maar alles moet via hun cloud. Ze geven dan via hun publieke API maar gedeeltelijke toegang tot je data en je device, niet alles kan via die API, hun eigen app kan meer aansturen dan je via hun publieke API kan. Daarnaast verzamelen ze nog meer data die zelfs niet in hun eigen app zichtbaar is. Hopelijk verplicht dit ze om alle data beschikbaar te maken via hun cloud API of zelfs weer de lokale API beschikbaar te maken.

[Reactie gewijzigd door jwillemsen op 15 mei 2026 12:49]

zoals ik het lees zijn ze niet verplicht om op een bepaalde manier data aan te leveren, enkel dat het kan. Dus dat wordt waarschijnlijk gewoon in de app van hen. Verwacht niet dat je opeens de lokale api terugkrijg oid.

ik zou gewoon een alternatief aanschaffen (faikout, espaltherma, p1p2mgtt, whatever fits)
Lees de EU richtlijn dan maar eens. De data moet zowel machine als humaan leesbaar en interpreteerbaar zijn. Alleen weergeven in de eigen app voldoet dus niet aan de richtlijn/wet
Sorry maar dat is een beetje naief, elke manier die wordt verzonnen kan door elke advocaat wel worden verdedigd omdat iets theoretisch gezien gewoon door een OCR gehaald kan worden en er dan iets van structuur uit komt rollen.

Als je ergens van aan kan is dat bedrijven er alles aan doen om aan de letter van de wet te voldoen en niet aan de geest.

Ik moet het nog zien.
Heb je de richtlijn gelezen ? Want jouw opmerking m.b.t. OCR slaat dan kant noch wal.

Zeker zijn richtlijnen vanuit de EU vaak erg aan de naïeve kant, maar deze heeft het nou eens wel goed beschreven.

En zeker, fabrikanten zullen er best veel aan doen om het de gebruiker zo lastig mogelijk te maken, maar momenteel sta je als gebruiker volledig in je hemd als je inzage in je data wil. Met deze richtlijn en wet sta je in elk geval sterker.
Mijn initiele opmerking ging ook niet zozeer over de specifieke regels die hier zou gelden, maar dat ik de OP zou aanraden om naar alternatieven te zoeken.

Dit staat compleet los van het feit dat er regels moeten komen en dat we blij moeten zijn met alles wat meer is dan 'vrije markt fix het maar'.

Ik betwijfel of je zelf wel de richtlijn hebt gelezen (waar ik wel van uit ging), immers had je anders wel erbij gezegd waarom de opmerking 'kant nog wal raakt'. Het was overduidelijk een hyperbool dus ik betwijfel niet dat het zo is, maar het enige wat ik nu hebt is 'deze heeft het wel goed beschreven'. Verder zonder een argument waarom dat zo zou zijn (het liefst nog een quote en waar het in de richtlijn zou staan). Anders is het voor mij enkel hearsay en kan ik daar niet zoveel mee.

Ik denk dat wij nog de enige zijn die eventuele vervolgen lezen, dus ik laat het hierbij. Maar als je komt met een betere beschrijving van de regels die zouden gelden dan lees ik dat nog wel graag.
Off topic; Mijn Daikin werkt nog steeds lokaal met de oude Daikin Hass koppeling. Niet de Onecta…
[b]1. Informatieplicht. [/b]

...

Hoe gebruikers die gegevens kunnen opvragen en met andere diensten kunnen delen,
En zonder tussenkomst van (de clouddiensten) van de fabrikant?

[Reactie gewijzigd door Piemol op 15 mei 2026 12:27]

Een lokale API zou wel een mooie toevoeging zijn. Vooral als je het device off-cloud / local-only wilt gebruiken, en zeker nadat de fabrikant er officieel de stekker uit getrokken heeft.

Hopelijk komt daar nog een verplichting voor!
Veel fabrikanten implementeren juist geen lokale API, omdat het best wat moeite kost die veilig te houden.

Maar zodra meer gebruikers van dit recht gebruik gaan maken, en gewoon elke dag data gaan opvragen, zal de fabrikant vanzelf bedenken dat een lokale API voor hem uiteindelijk goedkoper is.

Vandaar dat deze wet ook voor bestaande apparaten moet gaan gelden.
Het klinkt voor de normale gebruiker allemaal heel mooi, maar wie niet weet hoe een (router based) firewall werkt, en niet behendig is met Linux, Home Assistant, is dit toch feitelijk niks anders dan je privacy en/of controle afdragen van de big tech (Cloud) naar de EU?
Het biedt de mogelijkheid om niet-cloud based applicaties te maken die de data inzichtelijk maken voor de gebruiker. Er staat niet dat de EU die data moet beheren.
Nee, de informatieplicht geldt naar elke gebruiker toe. Ook een gebruiker die die info nooit op zal vragen, gaat dus overzichtjes krijgen waarin hij kan zien dat z'n TV screenshots verzamelt, etc. Fabrikanten moeten dus met de billen bloot.

Voor zoverre ze hier vaag over gaan zijn, zijn er wel techies en onderzoeksjournalisten die dit opvragen gaan doen en gaan delen wat ze zoal tegen komen. En voor zoverre er gegevens verzameld blijken die niet in de inzage inbegrepen zaten, kan een fabrikant zich niet meer achter vage woorden verschuilen. Dan is echt de wet overtreden, met boetes tot gevolg.

En dat is allemaal nog voordat zo'n datatoegang geautomatiseerd nuttig wordt voor veel meer gebruikers.
Wellicht begrijp ik het niet goed, maar ik vind het heel raar dat je als gebruikers de gegevens die over jou gaan niet mag gebruiken voor commerciële doeleinden.

Er staat verder niet vermeld of deze bedrijven dit wel mogen, maar zoals ik het nu lees kan ik niet geloven wat ik lees. Als ik mezelf als voorbeeld neem dan zijn het toch "mijn" gegevens?

[Reactie gewijzigd door Mit-46 op 15 mei 2026 16:09]

Wellicht begrijp ik niet goed, maar ik vind het heel raar dat je als gebruikers de gegevens die over jou gaan niet mag gebruiken voor commerciële doeleinden.

Er staat verder niet vermeld of deze bedrijven dit wel mogen, maar zoals ik het nu lees kan ik niet geloven wat ik lees. Als ik mezelf als voorbeeld neem dan zijn het toch "mijn" gegevens?
Fabrikanten vinden steeds vaker dat ze voor altijd de baas zijn van alles wat ze maken.
Apple en Google bepalen welke software jij op je telefoon mag draaien.
TV-fabrikanten proberen te voorkomen dat je films kopieert of hun reclames tegenhoudt en sluiten je dus buiten.
Tesla wil z'n AI verbeteren en niet verantwoordelijk gehouden worden voor menselijke fouten, dus verzamelen ook vanalles en nog wat en zien dat als hun eigendom.

Mijn voorspelling is dat bedrijven deze "ronde" nog gaan verliezen maar dat de volgende generatie apparaten alleen wordt verhuurd en niet verkocht zodat de gebruiker zelf nooit eigenaar is maar slechts huurder, en dus minder rechten heeft over het apparaat en niet of slechts beperkt werkt als je daar geen toestemming voor geeft.
Wat men niet wil is dat een derde partij met jouw credentials die data gaat ophalen, en dan een nieuwe dienst er mee aan jou gaat leveren.
En daar hebben we de zoveelste fopspeen waar de consument geen zak aan heeft.

"We verzamelen dit en dat van je". Ja en dan? "Als je daar niet mee akkoord gaat dan moet je het product niet gebruiken"? Dat doet uiteraard iedereen gewoon en dan sta je alsnog voor het blok. Helemaal als bepaalde technologie en/of apparaten in die context van overheidswegen verplicht wordt.

Als ze nou gewoon eens verbieden dat fabrikanten op eigen houtje data mogen verzamelen of functionaliteit mogen beperken als klanten niet uidrukkelijk zelf kiezen voor data delen, etc.

Producten zouden gewoon moeten werken zonder al die privacy-schendende misdadigheid. Zo moeilijk is het niet maar het laat zich raden waarom alles zo omslachting en zinloos moet zijn. Het zijn alleen maar fopspenen en rookgordijnen om het argeloze volk de illusie te geven dat privacy en veiligheid er nog toe doen. Maar intussen wordt het, stapje voor stapje, allemaal de nek omgedraaid.

Om te kunnen reageren moet je ingelogd zijn