EU-databeskyttelsesloven: Hva september 2026-milestoneet betyr for SMB-er

Hva endret seg 12. september 2026

Den 12. september 2026 nådde EUs datalov sin andre store milepæl. Forordningen har gjeldt generelt siden 12. september 2025, ettersom Europakommisjonen forklarer, men fra 12. september 2026 trådte også den såkalte tilgangsforpliktelsen gjennom design i artikkel 3(1) i kraft. Tilkoblede produkter og relaterte tjenester som bringes på EU-markedet fra denne datoen, må være utformet slik at dataene de genererer er tilgjengelige for brukeren som standard, enkelt, sikkert og kostnadsfritt, i et strukturert og maskinlesbart format, i henhold til en analyse av Heuking.

Regelen gjelder kun nye produkter. Produkter som allerede er på markedet trenger ikke ettermonteres; forpliktelsen gjelder produktgenerasjoner som lanseres etter fristen. Tilkoblede produkter er bredt definert og kan omfatte kjøretøy, husholdningsapparater, bærbare enheter og industrimaskiner, som McCann FitzGerald notater. For produsenter kom datoen én dag etter den andre: Fra 11. september 2026 krever Cyber Resilience Act at produsenter rapporterer aktivt utnyttede sårbarheter og alvorlige hendelser, og starter med en tidlig advarsel innen 24 timer, ettersom Faegre Drinker legger ut.

September-milepælen er ikke slutten på tidslinjen. Fra 12. januar 2027 må leverandører av skytjenester og andre databehandlingstjenester fjerne byttegebyrer fullstendig, ifølge Kommisjon. Fra 12. september 2027 vil datalovens regler om urimelige kontraktsvilkår også gjelde for mange eldre kontrakter: de som ble inngått før 12. september 2025 og som løper på ubestemt tid eller til minst januar 2034, ettersom Tysk Bundesnetzagentur beskriver.

Hvorfor EUs personvernlov er viktig for små bedrifter

De fleste små bedrifter vil ikke bli direkte rammet av regelen om innbygd tilgang. I henhold til dataloven har mikro- og småbedrifter reduserte forpliktelser som produsenter, i henhold til Kommisjon, og Faegre Drinker bemerker at designforpliktelsene i artikkel 3(1) ikke gjelder for produkter laget av mikro- og småbedrifter, underlagt vilkår. Disse vilkårene er viktige, så et voksende maskinvareselskap, eller et som er knyttet til et større konsern, bør sjekke sin egen posisjon i stedet for å anta at det er utenfor virkeområdet.

For mange mindre bedrifter er den mest praktiske effekten kontraktene de signerer. Datalovens regler om urimelige kontraktsvilkår beskytter bedrifter mot datarelaterte klausuler som en sterkere part pålegger uten reelle forhandlinger. Bundesnetzagentur beskriver et vilkår som ensidig pålagt når den ene parten foreslo det, og den andre ikke kunne påvirke innholdet til tross for forsøk på å forhandle. Vilkår som utelukker eller begrenser ansvar for forsettlige handlinger eller grov uaktsomhet er alltid urimelige, og en ytterligere liste over vilkår antas urimelige. I følge Pillsbury, dekker reglene klausuler om datatilgang og -bruk i enhver B2B-kontrakt, selv der data ikke er hovedtemaet, og antatt urimelige vilkår inkluderer å blokkere en part fra å bruke sine egne data eller nekte den tilgang til data under eller etter kontrakten.

Det er her AI-leverandører kommer inn i bildet. Mange små bedrifter kjøper nå AI-verktøy, analyseplattformer eller programvare-som-en-tjeneste-produkter på standardvilkår som sier mye om hvem som kan bruke kundens data, til hvilke formål og med hvilket ansvar. Om en spesifikk klausul faller inn under dataloven avhenger av ordlyden og konteksten, men bedrifter har nå et klarere juridisk rammeverk for å stille spørsmål ved ensidige datavilkår, og skykunder har sterkere bytterettigheter fra tidlig i 2027.

Reglene er fortsatt i bevegelse

Dataloven er også en del av EUs bredere forenklingsagenda. I henhold til forslagene til digital omnibus inkluderer rådets kompromissposisjon lettelser fra skybytteplikter for små og mellomstore bedrifter og små mellomstore leverandører av kontrakter inngått før 12. september 2025, og lavere terskler for å nekte datadeling på grunnlag av forretningshemmeligheter, ettersom Greenberg Traurig rapporterte 15. juli 2026. Teksten var ikke endelig, og per 10. september 2026 var den digitale omnibusen fortsatt under lovgivningsmessig behandling, ifølge McCann FitzGerald. Bedrifter bør planlegge for reglene slik de er i dag og behandle de foreslåtte endringene som mulig, uten sikkerhet.

Det finnes også hjelp med utformingen. I november 2025 publiserte Kommisjonen ikke-bindende modellkontraktsvilkår for datadeling og standardkontraktsklausuler for skytjenester, som dekker bytte, utgang, oppsigelse og sikkerhet, i tillegg til Bryan Cave Leighton Paisner oppsummerer. De er frivillige maler som er utformet for å kunne tilpasses, men de gir mindre bedrifter et nyttig referansepunkt i forhandlinger.

Praktiske neste skritt

Først, hvis du lager eller selger tilkoblede produkter, kartlegg hvilke produkter som vil bli plassert på EU-markedet etter 12. september 2026 og sjekk om forpliktelsen om innebygd tilgang gjelder, inkludert om det finnes noen form for lettelser for små bedrifter i ditt tilfelle. Gjennomgå hvordan brukere kan få tak i dataene sine og hva produktdokumentasjonen din sier om det. Hvis du også er en produsent i henhold til Cyber Resilience Act, sørg for at prosessen for rapportering av hendelser og sårbarheter er på plass, siden de to regimene kan overlappe.

For det andre, gjennomgå de viktigste leverandørkontraktene dine, og begynn med AI-verktøy, skytjenester og programvareplattformer som inneholder forretnings- eller kundedata. Se på klausuler om leverandørens rett til å bruke dataene dine, din rett til å få tilgang til og eksportere dem, ansvarsgrenser og oppsigelse. Legg merke til hvilke kontrakter som ble signert før og etter 12. september 2025, ettersom reglene for urimelige vilkår gjelder forskjellig for hver gruppe.

For det tredje, forbered deg på 12. januar 2027. Hvis du planlegger å bytte en sky- eller programvareleverandør, må du forstå dine utgangsrettigheter og dataeksportordninger nå, og sjekk hvordan leverandøren håndterer byttekostnader i overgangsperioden. Når du forhandler om nye kontrakter, kan Kommisjonens modellvilkår og standardklausuler tjene som en referanse for hva balanserte vilkår ser ut.

Til slutt, følg med på den digitale omnibusen. Hvis den blir tatt i bruk, kan den endre noen forpliktelser, spesielt rundt skybytte for mindre leverandører. Fordi riktig tilnærming avhenger av hver bedrifts produkter, kontrakter og rolle i datakjeden, er det verdt å få råd om din egen situasjon før du gjør endringer.

Brenvard Fra s perspektiv

For Brenvard er dataloven hovedsakelig viktig på kjøpssiden, slik den gjør for de fleste små bedrifter. Vi er avhengige av sky- og programvareleverandører i det daglige arbeidet, og reglene for bytte av kontrakter og urimelige vilkår gir oss, og bedriftene vi jobber med, et bedre forutsetninger når vi gjennomgår disse kontraktene. Det endrer også vår egen rutine: før vi tar i bruk en ny AI- eller programvareverktøy, fortjener klausuler om databruk, eksportrettigheter og utgangsvilkår samme oppmerksomhet som pris og funksjoner. Baksiden er kompleksitet. Kontraktsgjennomgang tar lengre tid når det er flere regler å sjekke mot, og små bedrifter kan bli fristet til å hoppe over det. Vi tror den praktiske gevinsten er klar, men bare for firmaer som faktisk leser dataklausulene før de signerer.

En rolig vei videre

Dataloven blir gradvis til praktiske forpliktelser og praktiske rettigheter. For de fleste små bedrifter handler den umiddelbare oppgaven mindre om å redesigne produkter og mer om å forstå kontrakter, spesielt med AI- og skyleverandører. Brenvard støtter oppstartsbedrifter og mindre bedrifter med denne typen gjennomgang gjennom sin juridisk støtte for små bedrifter, som hjelper team med å prioritere det som er viktig før fristene i 2027 kommer.

Kilder

Europakommisjonen – Forklaring av dataloven (oppdatert 15. desember 2025)
Heuking – Dataloven: Innvendig tilgang blir obligatorisk fra 12. september (1. september 2026)
Faegre Drinker – EU-samsvarsfrister for september 2026 for produsenter av tilkoblede produkter (10. september 2026)
McCann FitzGerald – Utviklingen av dataloven: 2026 og utover (10. september 2026)
Bundesnetzagentur – Ulovlige kontraktsvilkår i henhold til databeskyttelsesloven (tilgjengelig 1. oktober 2026)
Pillsbury / Sourcing Speak – EU-databeskyttelsesloven: Omfang, forpliktelser og håndhevelse (17. september 2025)
Greenberg Traurig – EU-digitalt omnibuspakke foreslår endringer i dataloven (15. juli 2026)
Bryan Cave Leighton Paisner – EU Data Act: Nye modellkontraktsvilkår og standardklausuler (november 2025)