Een goed doel belt aan bij je (digitale) voordeur: zou jij je persoons- of bedrijfsgegevens willen doneren? Kleine kans dat je daar volmondig ‘ja’ op zegt, want is dit wel echt een ‘goed’ doel? En wat gebeurt er vervolgens met je gegevens? De Data Governance Act (DGA) van de EU zou een deel van deze twijfels weg moeten nemen door een register van erkende organisaties voor data-altruïsme op te richten. Vier jaar na inwerkingtreding staan er nog maar zeven erkende organisaties in dat register, waarvan niet één uit Nederland.[1] In deel 3 van Dossier DGA leg ik uit wat data-altruïsme is, aan welke eisen je als organisatie moet voldoen om het label te verkrijgen (spoiler: dat kost veel tijd en geld). Ook neem ik de meest recente ontwikkeling van de Digitale Omnibus mee.
Het doel van de DGA is om het vertrouwen van gegevenshouders[2] te vergroten, waardoor ze sneller data gaan delen.[3] Hoofdstuk IV over data-altruïsme is één van de pijlers van de DGA, naast het commercieel hergebruik van beschermde overheidsinformatie (hoofdstuk II), databemiddelingsdiensten (hoofdstuk III) en een Europees Comité voor gegevensinnovatie (hoofdstuk VI). In deel 1 van Dossier DGA heb ik besproken dat het commercieel hergebruik van beschermde overheidsinformatie in Nederland niet mogelijk is. Deel 2 ging over databemiddelingsdiensten en hoe die langzaam van de grond komen.
Wat is data-altruïsme?
De definitie van data-altruïsme in de DGA is het vrijwillig delen van gegevens op basis van toestemming van de datasubjecten zonder een vergoeding te krijgen. Dit is altijd voor doeleinden van algemeen belang, zoals gezondheidszorg, de strijd tegen klimaatverandering en verbetering van openbare diensten.[4] Een voorbeeld van een erkende organisatie voor data-altruïsme is de Belgische Stichting 101 Genomes, waarbij personen hun dna-genoom kunnen delen voor onderzoek naar zeldzame ziekten.[5] Deelnemers geven bij registratie uitgebreide toestemming voor het in kaart brengen van hun genoom, waarna ze thuis een speekselafnameset ontvangen. In het laboratorium wordt het dna van deelnemers omgezet naar een profiel waarmee onderzoekers medisch onderzoek kunnen doen.
Naast deze algemene doeleinden uit de verordening, zijn voor Nederland in de Uitvoeringswet Datagovernanceverordening nog aanvullende doeleinden gedefinieerd. De wetgever heeft gekozen voor doeleinden die in Nederlandse belastingwetgeving als ‘algemeen nut’ worden aangeduid, zoals volkshuisvesting, openbare besluitvorming en jeugd- en ouderenzorg.[6]
Register voor erkende organisaties voor data-altruïsme
Om vertrouwen en transparantie te bevorderen, kunnen organisaties zich vrijwillig laten registreren als een ‘erkende organisatie voor data-altruïsme’ bij de nationale toezichthouder. In Nederland is de Autoriteit Consument & Markt (ACM) daarvoor aangewezen.[7] Voordat de organisatie in het register wordt geplaatst, moet de organisatie voldoen aan een aantal eisen:[8]
- activiteiten in verband met data-altruïsme uitvoeren;
- een rechtspersoon zijn die op grond van het nationale recht is opgericht om doeleinden van algemeen belang te verwezenlijken;
- werken zonder winstoogmerk en juridisch onafhankelijk zijn van enige entiteit met winstoogmerk;
- de activiteiten in verband met data-altruïsme uitvoeren via een structuur die functioneel gescheiden is van haar andere activiteiten;
- voldoen aan het rulebook van de Europese Commissie, uiterlijk 18 maanden na de datum van inwerkingtreding van het rulebook.
Over het rulebook zo meer. Zodra de organisatie voldoet aan bovenstaande eisen, mag zij worden opgenomen in het nationale en EU-register voor erkende organisaties.[9] De registratie is vervolgens geldig in de hele EU. Als organisatie mag je dan het label “in de Unie erkende organisatie voor data-altruïsme” gebruiken en het onderstaande logo tonen in al je online en offline communicatie.
Het rulebook van de Europese Commissie gaat over informatievereisten richting datasubjecten, technische en beveiligingsvereisten voor de opslag en verwerking, en aanbevelingen voor communicatie en interoperabiliteit (de mogelijkheid om op gestandaardiseerde wijze gegevens tussen systemen uit te wisselen).[10] Vier jaar na de inwerkingtreding van de DGA is dit rulebook nog steeds niet uitgebracht door de Europese Commissie. Uit de notulen van het Europees Comité voor gegevensinnovatie blijkt dat het er ook niet gaat komen vanwege te weinig geregistreerde, erkende organisaties.[11]
Verdere vereisten voor organisaties
Zodra een organisatie voldoet aan de bovenstaande vijf – of eigenlijk vier – eisen en is geregistreerd bij de nationale toezichthouder, moet zij jaarlijks blijven voldoen aan bepaalde registratie- en transparantievereisten naar de toezichthouder.[12] Ook moet de organisatie duidelijke informatie verlenen aan datasubjecten over de doeleinden en locatie van de verwerking en datalekken. De gegevens mogen niet voor andere doeleinden dan het algemeen belang worden gebruikt. Verder zorgt de organisatie voor beveiliging van de opslag en de verwerking van gegevens en een instrument om toestemming te verlenen of in te trekken.[13]
Eisen vanuit de AVG
Artikel 1, derde lid, van de DGA benadrukt dat de AVG (en rechten en plichten die daaruit volgen) onverlet blijven en zelfs prevaleert boven de DGA. Dat betekent dat organisaties moeten voldoen aan alle eisen uit de AVG en dat datasubjecten ook dezelfde rechten hebben. Overigens geldt de AVG ook als je geen registratie voor erkende organisaties aanvraagt.
De grondslag voor het verwerken van gegevens voor data-altruïsme zal vaak berusten op basis van toestemming van de gegevenshouders. De DGA verwijst daarvoor expliciet naar de definitie van toestemming in de AVG.[14] Rechtmatige toestemming in de AVG moet voldoen aan een aantal eisen: vrijelijk gegeven, ondubbelzinnig, geïnformeerd en specifiek. De organisatie moet kunnen aantonen dat toestemming op rechtmatige wijze is gegeven. Als hulpmiddel hebben de Autoriteit Persoonsgegevens (AP) en de European Data Protection Board (EDPB) hierover uitgebreide documentatie opgesteld.[15]
Vergeet niet dat voor bijzondere persoonsgegevens (bijvoorbeeld over gezondheid of politieke voorkeur) extra regels gelden. Om deze bijzondere persoonsgegevens te mogen verwerken, heb je uitdrukkelijke toestemming nodig.[16] Ook voor kinderen jonger dan 16 jaar gelden speciale eisen.[17] Hoe je hier het beste mee om kan gaan, staat ook beschreven in de documentatie van de AP en de EDPB. Alle betrokkenen kunnen hun toestemming altijd intrekken. De organisatie moet dan stoppen met de verwerking.
Wat het label jouw organisatie kost
Wil je dat jouw organisatie in het register van erkende data-altruïstische organisaties wordt opgenomen en het label en het logo mag gebruiken? Dan zul je aantoonbaar moeten voldoen aan de eisen van de DGA en daar komen kosten bij kijken. Uit de impactanalyse die is uitgevoerd voor de Europese Commissie blijkt dat de kosten voor voldoen aan de eisen al snel kunnen oplopen van eenmalig €20.000 tot €50.000 en vervolgens €15.000 per jaar om het bij te houden.[18] Het is nog maar de vraag of je met het behalen van het label personen of partijen over de streep trekt om vrijwillig data met jouw organisatie te delen.
Digitale omnibus
In het voorstel van de Digitale Omnibus dat de Europese Commissie in november 2025 heeft gedaan, worden de regels rondom data-altruïsme enigszins versoepeld. De transparantieverplichtingen naar de toezichthouder komen te vervallen, net zoals het rulebook. De overige regels worden samengevoegd met regels over databemiddelingsdiensten en opgenomen in de Data Act (dataverordening).[19] Het blijft noodzakelijk om naar betrokkenen transparant te zijn over de doeleinden en locatie van de verwerking, het geven en intrekken van toestemming en datalekken. Ook blijft de AVG van toepassing. Wat overblijft zijn de vrijwillige registratie en vier van de vijf basiseisen. Dit moet de kosten voor registratie en het label verlagen. De Digitale Omnibus is nog niet aangenomen, dus deze regels kunnen nog veranderen.
Heb jij vertrouwen?
De grootste uitdaging is wellicht om het vertrouwen daadwerkelijk te verdienen. Burgers moeten erop kunnen rekenen dat hun gegevens in goede handen zijn en niet onbedoeld ergens anders belanden. Transparantie en goede communicatie over hoe je omgaat met gegevens zijn daarom belangrijk. Of het aanvragen van het label je geld nu waard is, betwijfel ik. Binnenkort wordt het waarschijnlijk wel makkelijker en dus aantrekkelijker om aan te vragen.
Voetnoten
[1] Peildatum 3 augustus 2026, https://digital-strategy.ec.europa.eu/nl/policies/data-altruism-organisations.
[2] Artikel 2 lid 8 DGA: gegevenshouders zijn personen of partijen die het recht hebben om toegang te verlenen tot bepaalde persoonsgegevens of niet-persoonsgebonden gegevens, of die te delen.
[3] Overweging 5 DGA.
[4] Artikel 2 onder 16 DGA.
[5] Stichting 101 Genomes, https://f101g.org/nl/.
[6] Artikel 5 Uitvoeringswet Datagovernanceverordening; Kamerstukken II 2023/24, 36451, nr. 3, p. 29 (MvT).
[7] Artikel 23 lid 1 DGA in samenhang met artikel 2 lid 6 onderdeel b Uitvoeringswet Datagovernanceverordening.
[8] Artikel 18 DGA.
[9] Artikel 17 en 19 DGA.
[10] Artikel 22 DGA.
[11] Meeting Minutes of the 5th meeting of the European Data Innovation Board (EDIB), 11 december 2024, p. 1 onderaan, https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&meetingId=59029&fromExpertGroups=3903.
[12] Artikel 20 DGA.
[13] Artikel 21 DGA.
[14] Artikel 2 lid 5 DGA in samenhang met art. 4 lid 11 en art. 7 AVG; zie ook overweging 50 DGA.
[15] Grondslag toestemming, Autoriteit Persoonsgegevens, https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/grondslag-toestemming; Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, EDPB, https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_nl.
[16] Artikel 9 lid 2 onder a AVG.
[17] Artikel 8 AVG.
[18] Impact Assessment Report, SWD(2020) 295 final, p. 39-40.
[19] Voorstel voor de Digitale Omnibus, COM(2025) 837 final: hoofdstuk VII bis (nieuw) in Verordening (EU) 2023/2854 (dataverordening).
Gerelateerde artikelen
