ACM verduidelijkt rechten van gebruikers bij overstap tussen clouddiensten

De Nederlandse toezichthouder Autoriteit Consument & Markt (ACM) heeft een leidraad gepubliceerd voor overstappen tussen clouddiensten. Daarmee wil de ACM aanbieders en gebruikers van clouddiensten duidelijkheid geven over hun rechten en plichten.

De ACM publiceert de leidraad in het kader van de Data Act, een Europese verordening die nu ruim een jaar van kracht is. Deze verordening heeft twee belangrijke uitgangspunten. Klanten kunnen gemakkelijk overstappen én meerdere diensten parallel gebruiken. Vanaf 12 januari 2027 mogen aanbieders bovendien geen kosten meer rekenen voor overstappen.

Maar volgens de ACM zijn gebruikers vaak niet op de hoogte van deze rechten. En voor cloudaanbieders blijkt het lastig om de Data Act goed uit te voeren. De leidraad vertaalt de verplichtingen daarom in concrete handvatten, stelt de toezichthouder.

Vier thema's

De leidraad bestaat uit vier thema's waaronder alle rechten en plichten vallen. Het eerste thema draait om belemmeringen: aanbieders mogen overstappen en parallel gebruik namelijk niet belemmeren. Zij moeten daar onder de Data Act aan meewerken en instaan voor de continuïteit van de dienst.

Het tweede thema gaat in op commerciële verplichtingen. Klanten moeten bijvoorbeeld vooraf weten wat overstappen naar een andere cloudaanbieder kost en hoelang die overstap duurt. Ook moeten ze kunnen rekenen op ondersteuning van hun aanbieder.

Verder behandelt de leidraad de technische verplichtingen. Zo moeten aanbieders gratis api's aanbieden voor gegevensuitwisseling. Het laatste thema is internationale toegang. Daarin staat onder meer dat aanbieders niet-persoonsgebonden gegevens beschermen tegen onrechtmatige toegang of doorgifte door overheden van landen buiten de EU.

Reacties (8)

[RefriedNoodle]

Linkje naar de leidraad zelf. Die had van mij misschien ook wel in het artikel gemogen.

[Super_Fred]

Wat wordt hier precies mee bedoeld? Als ik bijvoorbeeld wil overstappen van Microsoft naar Google? Of van ChatGPT naar Claude? Of van webhoster A naar B?

[burne]

Ja.

Wan allemaal zijn het clouddiensten. Van MS Office Office365 Microsoft 365 naar Google Docs, van Azure naar GCP, etc.. Alles wat groot genoeg is, online is en een equivalent heeft bij een ander moet je helpen met overstappen. Zodat je niet vastzit aan die ene dienstverlener die je data heeft en overstappen zo moeilijk mogelijk maakt.

[fruitbakje]

Uit de leidraad zelf (zie RefriedNoodle in 'ACM verduidelijkt rechten van gebruikers bij overstap tussen clouddiensten')

De belangrijkste uitgangspunten uit de dataverordening zijn dat klanten kunnen overstappen van dataverwerkingsdiensten en meerdere dataverwerkingsdiensten naast elkaar kunnen gebruiken (parallel gebruik). De term ‘dataverwerkingsdienst’ heeft veel overlap met de algemeen gebruikte term ‘clouddienst’, maar komt niet volledig overeen. Gezien deze verschillen wordt in deze leidraad gebruikgemaakt van de term ‘dataverwerkingsdienst’. Dataverwerkingsdiensten zijn digitale diensten die toegang bieden tot een gedeelde pool van computercapaciteit. Dit zijn vaak servers beheerd door een aanbieder van dataverwerkingsdiensten. Voorbeelden van dataverwerkingsdiensten zijn cloudopslag, virtuele desktops en e-maildiensten.

Een M365 of een Google Docs enz. zie ik dan niet echt als een dataverwerkingsdienst zoals hierboven gedefinieerd. Het gaat hier dus echt om CPU's, opslag, netwerkcapaciteit, enz in datacenters die je als gebruiker per seconde aan en uit kan zetten en waar je dus ook per seconde voor betaalt (beetje afhankelijk van wat je precies aan of uit zet, sommige dingen betaal je gewoon per maand of per GB enz enz). Dus ik denk dat het meer IaaS en PaaS is, en niet zozeer SaaS (waar ik dan M365/Google Docs onder schaar)?

[fruitbakje]

Het gaat hier (denk ik, heb de website van de ACM er verder niet op nageslagen) om cloud service providers zoals dus Amazon Web Services, Microsoft Azure, Google Cloud, maar ook OVH cloud en de Schwartzman (Lidl) cloud waarvan ik de naam niet weet. Dit zijn plekken waar je als, in de praktijk voornamelijk, organisatie je servers hebt staan. Waar vroeger organisaties hun eigen servers hadden voor al hun IT infra, maken heel veel organisaties tegenwoordig gebruik van de genoemde bedrijven.

Ja je kan daar dus ook je website of email laten draaien, maar het gaat veeeeeel verder dan dat. Inderdaad ook veel van je AI toepassingen laat je, als organisatie, waarschijnlijk daar draaien.

[kdekker]

AI dingen zijn van later datum dan deze regeling. Ik vraag me ook af wat je wilt exporteren van een AI dienst? Sowieso krijg je bij dezelfde prompt bij dezelfde dienst al vaak niet hetzelfde antwoord en ik zie niet zo goed wat je met geëxporteerde antwoorden kunt doen (cross checks?).

Voor Microsoft en Google waar een hele hoop gegevens in kunnen zitten lijkt me export/import wel zinvol. Al zal het dan nog een hoop werk zijn als formaten en rechten niet op elkaar aansluiten.

[shadvet]

"Daarin staat onder meer dat aanbieders niet-persoonsgebonden gegevens beschermen tegen onrechtmatige toegang of doorgifte door overheden van landen buiten de EU."

Dit is toch ook zo voor wel-persoonsgebonden gegevens? Of worden die vanuit de GDPR afgeschermd in plaats van via deze Data Act?

[fruitbakje]

Kleine overpeinzing met mijn zeer gelimiteerde kennis: Nu zijn er dus 3 partijen die samen zo'n 75% van de markt hebben, namelijk Amazon Web Services (AWS), MS Azure, en Google Cloud [Platform?] (GCP). Alle3 uit de VS. Ja dan wordt je als EU een beetje nerveus want 'Monopolie', en nog erger, een Amerikaanse monopolie.

Dus deze verordening en bijbehorende leidraad zou die monopolie moeten verzachten. Alleen is er natuurlijk niet echt een alternatief voor deze 3 .

Europese alternatieven zoals OVH Cloud en Stackit zijn aanzienlijk duurder. Ik denk dat dit komt door nieuwigheid van deze partijen (de Amerikaanse spelers bestaan al veel langer) en simpelweg een gigantisch verschil in schaalvoordelen die de 3 giganten hebben. En los van de prijs, het is niet voor iedereen even makkelijk van de ene partij naar de andere partij over te stappen, zelfs als die klanten dat zouden willen.

Aan die prijs/schaalvoordelen kan de EU natuurlijk niet zoveel doen (behalve subsidiëren haha). Dat overstappen kunnen ze dus met deze verordening wél makkelijker maken. Is het idee. Met de hoop als er dan klanten overstappen naar Europese alternatieven, dat die alternatieven groeien, ook schaalvoordelen kunnen toepassen, en dus goedkoper kunnen worden (en daardoor beter kunnen concurreren met de grote 3).

Ik dénk dat dit voornamelijk relevant is voor het mkb? Grote organisaties hebben meestal wel grotere IT-afdelingen die zelf de overstappen kunnen doen (als ze niet nu al multicloud-omgevingen hebben, i.e. het parallel gebruik zoals de ACM dat omschrijft).