Nieuwe EU-dataregels hervormen de digitale economie: de wereldwijde regelgevingsgolf van GDPR tot DSA

EU-regelgeving voor gegevens hervormt digitale economie: wereldwijde regeldrift van GDPR tot DSA

Inleiding

In februari 2023 publiceerde het internationale advocatenkantoor Gibson Dunn het "International Cybersecurity and Data Privacy Outlook and Review 2023", waaruit blijkt dat de totale boetes op grond van de Algemene Verordening Gegevensbescherming (GDPR) van de EU ongeveer 2,92 miljard euro bedragen en dat nieuwe toezichtsinstrumenten zoals de Digital Services Act (DSA), Digital Markets Act (DMA) en de Data Governance Act snel worden ingevoerd. Deze reeks regels hervormt niet alleen de digitale markt van de EU, maar zal via mechanismen zoals grensoverschrijdende gegevensstromen, platformverplichtingen en AI-governance ook de concurrentieregels van de wereldwijde digitale economie herschrijven. Vanuit een industrieel-economisch perspectief analyseert dit artikel hoe deze regeldrift van invloed is op platformbusinessmodellen, de waarde van gegevens en de commerciële toepassing van AI.

Achtergrond

Sinds de inwerkingtreding van de GDPR in 2018 handhaven de Europese toezichthouders steeds strenger. Volgens het Gibson Dunn-rapport bedroeg de hoogste individuele boete die door Europese toezichthouders is opgelegd 405 miljoen euro, met een totaal aan boetes van ongeveer 2,92 miljard euro. In 2023 zijn meerdere belangrijke EU-verordeningen voor de digitale sector in de implementatiefase terechtgekomen:

• NIS 2-richtlijn (gepubliceerd op 14 december 2022): vereist dat lidstaten deze vóór 17 oktober 2024 in nationaal recht omzetten, met betrekking tot energie, vervoer, gezondheid, digitale infrastructuur en andere sectoren, en versterkt de verplichtingen op het gebied van cyberbeveiligingsrisicobeheer en incidentmelding.
• Data Governance Act (aangenomen op 30 mei 2022): van toepassing vanaf 24 september 2023, gericht op het bevorderen van hergebruik van overheidsgegevens en de ontwikkeling van intermediairs voor het delen van gegevens.
• Digital Services Act (DSA) (aangenomen op 19 oktober 2022): de meeste bepalingen zijn van toepassing vanaf 17 februari 2024, vereisen dat platforms illegale inhoud en desinformatie aanpakken; boetes bij overtreding kunnen oplopen tot 6% van de wereldwijde omzet.
• Digital Markets Act (DMA) (aangenomen op 14 september 2022): de meeste bepalingen zijn van toepassing vanaf 2 mei 2023, gericht op 'poortwachtersplatforms'; boetes kunnen oplopen tot 10% van de wereldwijde omzet, en bij herhaalde overtredingen tot 20%.
• Digital Operational Resilience Act (DORA) (aangenomen op 14 december 2022): van toepassing op financiële instellingen en externe ICT-dienstverleners, implementatie vanaf 17 januari 2025.
• Data Act (voorstel van 23 februari 2022): gericht op het bevorderen van het delen van industriële gegevens, bevindt zich nog in het wetgevingsproces.
• Cyber Resilience Act (voorstel van 15 september 2022): stelt cyberbeveiligingseisen aan digitale producten; boetes bij overtreding tot 15 miljoen euro.

Op internationaal niveau werken ook veel landen aan wetgeving en handhaving op het gebied van gegevensbescherming. Zo hebben onder andere Indonesië, Tanzania en Oman nieuwe wetten voor gegevensbescherming aangenomen; de Chinese cyberruimteadministratie heeft een vooraanstaand vervoersplatform een boete van 8 miljard yuan opgelegd op basis van de Persoonsgegevensbeschermingswet, de Cybersecuritywet en de Dataveiligheidswet, een van de hoogste boetes in de regio Azië-Pacific.## Analyse van de digitale economie

Deze regelgevingsmaatregelen zijn geen geïsoleerde juridische acties, maar een teken dat de wereldwijde digitale economie verschuift van 'vrije groei' naar 'regelgestuurd bestuur'. De economische betekenis ligt in het veranderen van de prijsvorming van data-elementen, de grenzen van platformmacht en de beschikbaarheid van AI-trainingsdata.

Ten eerste verandert de hoge boetes van de AVG datacompliance van een 'juridische kostenpost' in een 'operationele barrière'. Bedrijven moeten hun processen voor het verzamelen, verwerken en opslaan van data opnieuw evalueren, waardoor data-intensieve bedrijven worden gedwongen om 'privacy by design'-mechanismen op te zetten. Dit leidt ook tot de opkomst van de PrivacyTech-markt en stimuleert nieuwe bedrijfsmodellen zoals compliance-as-a-service.

Ten tweede richten de DMA en de DSA zich rechtstreeks op marktfalen in de platformeconomie. De DMA verbiedt zelfbevoordeling door poortwachtersplatforms en vereist interoperabiliteit, waarmee de vestingwerken die vroeger werden gevormd door datamonopolies en ecosysteemlock-in worden doorbroken. Dit creëert toegang voor innovatieve mkb-bedrijven, maar kan ook de schaalvoordelen van platformnetwerken verzwakken, wat weer invloed heeft op de waarderingslogica van platforms.

De Data Governance Act en de Data Act proberen de economische waarde van 'data delen' te activeren. Door het opzetten van datatussenpersonen en regels voor wederzijds delen, kan datastromen in de toekomst worden verhandeld als goederen, wat een opkomende markt voor data-elementen creëert. Tegelijkertijd kan het delen van data echter ook privacyrisico's en het lekken van bedrijfsgeheimen veroorzaken; toezichthouders moeten een balans vinden tussen efficiëntie en bescherming.

Bovendien hebben deze regels een diepgaande impact op de commercialisering van AI. De training van AI-modellen is afhankelijk van grote hoeveelheden data, en de legaliteit en transparantie van databronnen worden kernvereisten voor AI-bedrijven op het gebied van compliance. De aanstaande Europese AI-verordening (AI Act) zal de data governance-vereisten voor AI-systemen met een hoog risico verder verfijnen. Daarom vormen de dataregels feitelijk de basis van de AI-economie.

Observaties over bedrijfsmodellen

Regelgeving hervormt de manier waarop bedrijven waarde creëren. In het verleden vertrouwden techgiganten op het vliegwieleffect van 'data verzamelen - producten optimaliseren - meer gebruikers aantrekken'. Tegenwoordig wordt deze cyclus rechtstreeks beïnvloed door het 'dataminimalisatie'-beginsel van de AVG en de 'gebruikerstoestemming'-vereisten van de DMA.

• Advertentiemodel: gerichte advertenties zijn afhankelijk van gebruikersprofielen, en de DMA vereist dat poortwachters expliciete toestemming verkrijgen voordat zij persoonsgegevens verwerken voor gerichte advertenties. Dit zal de efficiëntie van advertentiecampagnes verminderen en de advertentiesector stimuleren om over te schakelen naar contextuele advertenties en privacyversterkende technologieën.
• Abonnementsmodel: wanneer gebruikers niet nauwkeurig kunnen worden gevolgd, zullen meer diensten overschakelen naar abonnements- of hybride modellen. Zo heeft Meta in de EU een advertentievrij abonnement gelanceerd met de optie 'betaal om niet te worden gevolgd'. Dit zou wel eens de standaardtemplate kunnen worden voor platforms om met regelgeving om te gaan.
• Datatussenpersonmodel: de Data Governance Act moedigt 'datatussenpersonen' aan om als neutrale derden te opereren; zij gebruiken data niet voor eigen gewin, maar brengen vraag en aanbod van data bij elkaar. Dit creëert een nieuwe inkomstenstroom, maar de winstgevendheid hangt af van schaalvergroting.
• Compliance-as-a-service: gezien de complexe regelgeving vertrouwen bedrijven op externe experts, softwaretools en clouddiensten voor compliancebeheer; dit is op zichzelf al een sterk groeiende markt.Businessmodelinnovatie is niet langer uitsluitend afhankelijk van de monetarisatie van verkeer, maar zet compliance en transparantie in als onderscheidende waarde. Zo benadrukt Apple privacybescherming als verkoopargument voor het merk en beperkt het advertentietracking, wat feitelijk de machtsstructuur van de mobiele advertentiemarkt verandert.

Marktconcurrentieanalyse

De grootste impact van regulering ligt in de herverdeling van marktmacht. De door de DMA gedefinieerde 'poortwachters'platforms — doorgaans grote techbedrijven met kernplatformdiensten — worden geconfronteerd met een reeks gedragsbeperkingen van wat ze wel en niet mogen doen.

• Google: Het verbod op zelfbevoordeling in zoekresultaten kan de verkeersvoordelen van zijn verticale diensten zoals shopping en maps verzwakken. Tegelijkertijd kunnen interoperabiliteitsvereisten het voor zoektools van derden gemakkelijker maken om toegang te krijgen tot zijn gegevens.
• Apple: App Store en Safari kunnen mogelijk worden verplicht om meer interfaces open te stellen. Hoewel Apple nog niet afzonderlijk als poortwachter is aangewezen, heeft de EU het als potentiële kandidaat aangemerkt.
• Meta: De DSA vereist actievere maatregelen tegen desinformatie, wat de kosten voor contentmoderatie verhoogt; de DMA beperkt de integratie van gegevens over platforms heen, wat het advertentienetwerk beïnvloedt.
• TikTok en andere opkomende platforms: Hoewel zij ook onder de DSA vallen, kunnen zij, omdat zij geen traditionele poortwachters zijn, een relatief gunstige concurrentiepositie verkrijgen, vooral wanneer de EU beoordeelt of zij de drempel voor grote platforms bereiken.

Voor uitdagers verlagen de nieuwe regels de toetredingsdrempels. Zo kunnen kleine sociale netwerken interoperabiliteit met grote platforms eisen, waardoor de overstapkosten voor gebruikers dalen. Maar toezicht kan ook een buitensporige nalevingslast creëren, waardoor het voor het mkb moeilijker wordt om juridische kosten te dragen.

In China oefenen toezichthoudende maatregelen eveneens druk uit op grote platforms. De enorme boete die aan een mobiliteitsplatform is opgelegd, laat zien dat gegevensnaleving een 'verplichte opgave' is geworden voor zowel multinationals als lokale Chinese bedrijven, en dat hun nalevingsvermogen bepaalt of zij markttoegang krijgen.

Data en effecten van regelgeving

Vanuit governanceperspectief bouwt de EU aan een gelaagde 'digitale grondwet': de GDPR reguleert persoonsgegevens, de DSA reguleert de verspreiding van content, de DMA reguleert de marktconcurrentie, de Data Governance Act en de Data Act reguleren de circulatie van niet-persoonlijke gegevens, en NIS2 en DORA versterken de cyberbeveiliging. Deze regelgeving is onderling verweven en vormt een compleet digitaal regelsysteem.

Voor multinationals is de grootste impact de grensoverschrijdende gegevensstroom. Na de Schrems II-uitspraak is de gegevensdoorgifte tussen de EU en de VS afhankelijk van standaardcontractbepalingen (SCC's) en aanvullende maatregelen. Europa en de VS onderhandelen over een nieuw 'Data Privacy Framework', dat bedoeld is om de legitimiteit van de toegang van Amerikaanse inlichtingendiensten tot gegevens aan te pakken. Zonder een adequaatheidsbesluit kunnen bedrijven worden geconfronteerd met druk om gegevens lokaal op te slaan, wat de operationele kosten verhoogt.

Daarnaast stelt de Data Act voor om gebruikers toegang te geven tot gegevens die door verbonden apparaten worden gegenereerd. Dit kan van invloed zijn op de bedrijfsmodellen van het internet der dingen en het industriële internet. Als fabrikanten van apparaten hier adequaat op inspelen, kunnen zij nieuwe inkomsten genereren via datadiensten; zo niet, dan kunnen zij de controle over gegevens verliezen.De onzekerheid van het regelgevingsklimaat is op zichzelf ook een risico. Bedrijven moeten een 'regulatory intelligence'-mechanisme opzetten om de ontwikkelingen in alle rechtsgebieden wereldwijd te volgen, omdat een boete of verbod in een bepaald land gevolgen kan hebben voor hun wereldwijde activiteiten.

Wereldwijde trendobservatie

Deze golf van regelgeving is niet exclusief voor de EU. Brazilië, India, Japan, Zuid-Korea en andere landen stellen wetten voor gegevensbescherming op of werken deze bij. China heeft de Persoonsgegevensbeschermingswet (PIPL) en de Dataveiligheidswet ingevoerd en toont een harde opstelling bij de handhaving. Hoewel de VS geen alomvattende federale privacywet heeft, worden zowel de wetgeving van de staten als de handhaving door de FTC versterkt. De mondiale digitale regelgeving vertoont het 'Brussel-effect' — EU-normen worden vaak de de facto wereldwijde standaard, net zoals de GDPR de wetgeving in Californië en elders heeft beïnvloed.

Op de lange termijn zullen digitale soevereiniteit en de beveiliging van de toeleveringsketen meer lokalisatiemaatregelen aanjagen. Data-lokalisatievereisten kunnen het mondiale internet versplinteren en de nalevingscomplexiteit voor multinationals vergroten. Tegelijkertijd versnelt de AI-regelgeving; de ontwerp-AI-wet van de EU stelt een getrapt risicobeheer voor, wat directe gevolgen heeft voor de kostenstructuur van AI-ontwikkelaars en -gebruikers.

Deze trends tonen aan dat de digitale economie een tijdperk is ingegaan waarin 'naleving gelijk staat aan concurrentievermogen'. Bedrijven moeten juridische, technologische en commerciële aspecten integreren om onder de nieuwe regels groei te kunnen behouden.

DigitalEcoNews Insight

De intensieve invoering van de EU-dataverordeningen in 2023 markeert de verschuiving van de digitale economie van 'het draait om verkeer' naar 'het draait om vertrouwen'. De cumulatieve boetes van 2,92 miljard euro onder de GDPR zijn slechts het begin; de handhaving van de DSA en DMA zal de macht van platforms en de economische waarde hervormen. Voor bedrijven is datagovernance niet langer een backoffice-nalevingskwestie, maar een frontoffice-strategie die bepaalt of een bedrijfsmodel houdbaar is. In de toekomst kunnen mechanismen voor gegevensuitwisseling nieuwe 'data-uitwisselingsplatforms' doen ontstaan, terwijl AI-commercialisering moet zijn gebaseerd op legale databronnen. Wij verwachten dat bedrijven die de complexiteit van regelnaleving weten te beheersen, in de komende tien jaar een concurrentievoordeel zullen behalen, terwijl de ruimte voor regelgevingsarbitrage aanzienlijk zal afnemen. Waardecreatie in de digitale economie zal meer voortkomen uit transparante, veilige en eerlijke regels dan uit datamonopolies.