Dataforordningen gjelder fra 12. september 2025 i EU. Hovedgrepet er at brukeren av et tilkoblet produkt skal kunne få tilgang til data som produktet genererer, og i bestemte tilfeller be om at data deles med en tredjepart. Dette kan endre hvordan produsenter, tjenesteleverandører og virksomhetskunder organiserer dataflyt rundt maskiner, kjøretøy, sensorer og andre nettforbundne produkter.

Forordningen bygger ikke på at all informasjon skal frigis uten begrensninger. Den forutsetter ordnede tilgangsmekanismer og tar hensyn til sikkerhet, forretningshemmeligheter og andre beskyttelsesbehov. Slike hensyn skal inngå i gjennomføringen, men kan ikke brukes som et generelt grunnlag for å nekte all tilgang til produktdata.

Et annet område er deling med tredjeparter. Brukeren kan få en mer praktisk rolle i å bestemme hvem som mottar relevante data, mens datainnehaveren må håndtere forespørsler, avtaleforhold og tekniske grensesnitt. Virksomheter bør derfor kartlegge hvilke data som produseres, hvem som kontrollerer dem, og hvilke formål deling kan støtte.

For skytjenester legger reglene til rette for leverandørbytte og interoperabilitet. Dette berører bindingstid, tekniske avhengigheter, uttak av data og muligheten til å flytte arbeidsbelastninger. En overgang kan fortsatt kreve planlegging av identiteter, sikkerhetskontroller, logger, kryptering og integrasjoner.

Forordningen inneholder også vern mot urimelige kontraktsvilkår i avtaler mellom virksomheter. Standardvilkår som ensidig forskyver risiko eller begrenser rettighetene på en urimelig måte, kan derfor måtte vurderes på nytt. Innkjøp, produktdesign og leverandørstyring bør ses samlet.

Det finnes dessuten sikkerhetsgarantier knyttet til tilgang fra tredjeland. Virksomheter bør analysere hvor data, administrasjonsfunksjoner og underleverandører befinner seg, og hvilke forespørsler som kan oppstå. Dette er en del av implementeringen av regelverket, ikke et argument for å holde alle data utilgjengelige.

Norske virksomheter må skille mellom EU-anvendelse og norsk rett. Norge trengte EØS-innlemmelse og nasjonal gjennomføring, mens selskaper med EU-produkter eller skykunder likevel kunne bli berørt gjennom virksomhet i EU. Den konkrete territorielle og kontraktsmessige rekkevidden måtte derfor vurderes for hver leveranse.

Kilder

Europakommisjonen: «EU Data Act gives users control over connected-device data», 12. september 2025.

EUR-Lex: «Forordning (EU) 2023/2854 – dataforordningen», 22. desember 2023.

Til diskusjon

Hvilke produktdata bør virksomheten gjøre tilgjengelige, og hvordan kan tilgang kombineres med sikkerhet, forretningshemmeligheter og kontrollert leverandørbytte?