De EU heeft een verordening die zich richt op het delen van private data. Die verordening heeft de onduidelijke naam Data Governance Act (‘DGA’) [1], maar gaat eigenlijk over data delen.

Ik begrijp niet goed wat men met die verordening wil. Het lijkt een variant op ‘open overheid’ [2] te zijn, zo valt uit de inleiding [3] op de website van de Commissie af te leiden, met de bekende marketingverhalen over de te verwachten voordelen [4]. De bedoeling is dat het een manier is om buiten de grote IT-bedrijven van buiten de EU aan data te komen [5].

Databemiddeling
In de DGA wordt een nieuwe activiteit gereguleerd, nl. databemiddeling, wat gebeurt door de databemiddelingsdienstverlener (databemiddelaar), in het Engels wordt het een ‘data intermediary’ genoemd. De databemiddelaar zit tussen degene die de data heeft (de datahouder) en aan de andere kant de datagebruiker, degene die denkt leuke dingen te kunnen doen met de data.
Waarom databemiddeling een interessant verdienmodel zou zijn, wordt mij uit de informatie van de Commissie niet duidelijk.

De enige eis waaraan de databemiddelaar moet voldoen is aanmelding bij de nationale overheid (artikel 10 en 11 DGA), in Nederland gebeurt dat bij de Autoriteit Consument & Markt (ACM). De onderneming komt dan op een door de Commissie gehouden lijst terecht. Er gelden wel voorschriften (artikel 12 DGA), maar de DGA voorziet niet in controle (bijvoorbeeld beveiligingsaudits).

De datahouder
De datahouders kunnen natuurlijke personen zijn, maar de vraag is dan wel waarom zij hun persoonsgegevens zouden willen delen. Wat worden zij er beter van? Het ligt meer voor de hand dat de datahouders bedrijven zijn, waarbij aan de orde is dat sommige bedrijven beschikken over heel veel persoonsgegevens van klanten. Willen en mogen zij die klantgegevens wel delen? In ieder geval is daar toestemming van iedere klant voor nodig [6].
Als de datahouders hun data gratis afgeven, wordt dat door de Commissie ‘data altruïsme’ genoemd. Ook hier is de vraag waarom datahouders dit zouden willen doen. Als ik het goed begrijp worden die altruïstische data afgegeven aan data altruïsme organisaties [7].

Databemiddelaars in Nederland
Er is een Europees register van databemiddelaars [8]. Er zijn de volgende Nederlandse organisaties aangemeld, hierna volgen de namen, aanmeldingsgegevens en een toelichting:

• Datakeeper B.V, de voormalige dochter-bv van de Rabobank, die een digitaal inlogmiddel + digitale kaartenbak aanbiedt [9].
• Dexes, “Dexes provides partner registry, identification, clearing, authorisation and catalogue services“.
• Fairsfair.io, “fairsfair.io provides a decentralised ‘transaction broker’. This is a plug-and-play API, establishing interoperability and compliance. Multiple organisations can collaborate on value adding services offered to natural persons and amongst legal entities“.
• Future Insight Group B.V., biedt het Open Urban Platform (Clearly.Hub) aan, “an Open Urban Platform that supports governments with data-driven decision-making and brings together 3D, GIS, BIM and sensor data into one digital ecosystem“.
• Luminis Technologies, “Trusted Data Sharing (…) Federated Data Spaces“.
• Stichting Health-RI, “Health-RI aims to create a national health data infrastructure for research, policy and innovation“.
• Stichting Ontwikkeling Schluss, model is niet geheel duidelijk, het lijkt op het bieden aan natuurlijke personen bieden van een datacollectie afkomstig van bijvoorbeeld de bank (transactiegegevens) en de werkgever (salarisstroken). Die gegevens kunnen dan worden geleverd aan bedrijven die persoonsgegevens willen hebben zoals banken, verhuurders en verzekeringsmaatschappijen [10].
• Poort8, “NoodleBar, developed by Poort8, is a cutting-edge dataspace solution designed to facilitate secure, controlled, and efficient data sharing among businesses (…) Data intermediation services provided: NoodleBar dataspace components, iSHARE compliant Authorization Register, HeyWim Container Tracking and more“.
• WeCity, “supporting and developing tools for smart city managers (…) An open platform offers companies the opportunity to offer their solutions in new markets, and that helps cities to solve spatial, environmental and social issues. WeCity brings together suppliers and buyers in a reliable, open ecosystem for data, sensors and solutions“.
• Yivi, bekend van het digitale inlogmiddel + digitale kaartenbak voor burgers, wat een EUDI-wallet zal worden.

Data altruïsten
Via de Europese Commissie is te zien wie zich als erkende data altruïstische organisaties hebben aangemeld [10]. Het betreft momenteel twee Belgische organisaties op het gebied van gezondheid, één Oostenrijkse, één Spaanse en één Ierse organisatie.

Tot slot
De grote vraag bij al dit data delen is of je als datahouder er wel zeker van kunt zijn dat de databemiddelaar respectievelijk de data altruïstische organisatie wel veilig is en zorgvuldig omgaat met de data. Anders gebeurt er hetzelfde als wat we al bij de internationale advertentiebedrijven zien: gegevens vliegen ongecontroleerd de wereld over en kunnen naar hartenlust misbruikt worden. De EU is goed in mooie concepten (zoals de AVG) maar blijft achter als het om handhaving gaat. Zou dit bij de DGA ook aan de orde zijn?

Noten:

[1] Nederlandstalige versie van de DGA.
[2] Geregeld in de Open Data Richtlijn.
[3] De pagina Data Governance Act explained: “The Data Governance Act provides a framework to enhance trust in voluntary data sharing for the benefit of businesses and citizens.”
[4] “The economic and societal potential of data is enormous: it can enable new products and services based on novel technologies, make production more efficient, and provide tools for combatting societal challenges.“.
[5] “The framework offers an alternative model to the data-handling practices of the Big Tech platforms which have a high degree of market power because they control large amounts of data.“, aldus de in [3] genoemde pagina.
[6] Zie het Proximus arrest van het Europese hof.
[7] “Entities that make available relevant data based on data altruism will be able to register as ‘data altruism organisations recognised in the Union’. These entities must have a not-for-profit character and meet transparency requirements as well as offer specific safeguards to protect the rights and interests of citizens and companies who share their data.“, aldus de in [3] genoemde pagina.
[8] Hier te vinden.
[9] Je zou verwachten dat men zich richt op witwasbestrijding en financiële sector, maar dat blijkt niet uit de beschrijving.
[10] Valt af te leiden uit “Schluss’ data intermediation service is primarily aimed at individuals (…) Data requesters (service providers) – Organizations, businesses, or individuals that require access to specific personal data to deliver a service. This includes situations like opening a bank account, applying for rental support, or purchasing insurance.“.
[11] Commissie: EU register of recognised data altruism organisations.