Data Act, eller Dataforordningen, trådte i kraft i EU 11. januar 2024 og vil være gjeldende i EU fra september 2025.

Dataforordningen fastsetter nye regler som i større grad enn i dag muliggjør virksomheters tilgang til data og gjenbruk av data, og er ment å tilrettelegge for at data i større grad kan gjenbrukes og deles mellom virksomheter, eller i særskilte tilfeller mellom virksomheter og myndighetene.

Dataforordningen regulerer tilgang og deling av ikke-personlig data som i all hovedsak er data fra enheter koblet til internett, som IoT-produkter med tilhørende tjenester og programvare. Forordningen legger også til rette for at brukerne enklere skal få tilgang til data som genereres av slike produkter, og skal gi brukerne økte muligheter til dataportabilitet.

Det er ikke alle virksomheter som er underlagt plikten til å dele data. Forordningen oppstiller unntak som innebærer at mikrovirksomheter (virksomheter med under 10 ansatte og en årlig omsetning på under 2 millioner) og små virksomheter (virksomheter med under 50 ansatte og en årlig omsetning på under 10 millioner) ikke plikter å dele

data eller tilpasse produktene sine for datadeling. Tilsvarende gjelder for mellomstore virksomheter (virksomheter med under 250 ansatte og en årlig omsetning under 50 millioner) som har vært ansett som en mellomstor virksomhet i mindre enn ett år, eller for produkter som en mellomstor virksomhet har hatt på markedet i under 1 år. Mellomstore virksomheter kan dermed sies å ha fått en ettårig karensperiode fra forpliktelsen til å dele data.

Omfattede virksomheter må også bl.a. sikre egne rettigheter til bruk av data, utarbeide rutiner for hvordan data kan utleveres og deles effektivt, samt sørge for at de nye rutinene etter dataforordningen ikke er i strid med andre regelverk virksomheten er underlagt, for eksempel personvernforordningen (GDPR).

Forordningen er vurdert som relevant for EØS og det er derfor forventet at den vil bli innlemmet i EØS-avtalen og dermed implementert i norsk rett på sikt.

Data Governance Act, eller Dataforvaltningsforordningen, ble formelt vedtatt i EU 4. mai 2022, og ble gjeldende i EU den 24. september 2023. Forskjellene mellom DGA og DA er at DGA gir et bredere rammeverk for bruk og deling av offentlig data, mens DA også angir konkrete rettigheter til brukere av tilknyttede enheter (IoT-produkter).

Grunntanken bak DGA er at data som har blitt skapt eller samlet inn av offentlige myndigheter (eller private virksomheter på vegne av det offentlige) skal komme samfunnet som helhet til gode. DGAs formål er dermed å legge til rette for økt datadeling, slik at data, som nevnt ovenfor, frivillig kan deles på tvers av ulike offentlige myndigheter. På denne måten skal DGA sørge for økt potensiale for datadrevet innovasjon i samfunnet ved at data kan deles, samtidig som personvern og informasjonssikkerhet ivaretas.

Forordningen omhandler data i både offentlig og privat sektor, og introduserer flere ulike roller, som igjen har ulike funksjoner og krav. «Data Intermediation Service Providers (DISP)» er tilsynsmyndighetsgodkjente enheter som fungerer som en form for rådgivende datahub, og som muliggjør deling av data mellom de som sitter på dataen («Data Holders») og potensielle brukere av dataen («Data Users»). DISP skal også tilgjengeliggjøre data for eventuelle eiere av personopplysningene («de registrerte»/«Data Subjects») og sørge for ivaretakelse av deres rettigheter etter GDPR. DISP skal også gi råd til Data Holders og Data Users om hvordan de trygt kan dele data og hvilke eventuelle avtaler som kreves.

Forordningen vurderes som EØS-relevant, da den inngår som en regulering av det europeiske indre marked, og forordningen er nå under vurdering i EØS/EFTA-statene. Det forventes at forordningen vil bli implementert i norsk rett på sikt.