Juridische aandachtspunten bij het slimmer maken van producten en monitoring op afstand

Van machine naar datastroom

Het begint allemaal met data. Zodra je machines gaat monitoren, ontstaan er datastromen: sensordata, gebruiksdata, statusinformatie en soms zelfs gedragsinformatie. De eerste stap is dan ook om goed in kaart te brengen:

• Welke data je verzamelt
• Waar die data vandaan komt
• Waar die data naartoe gaat
• Wie erbij kan
• Hoe lang je die data bewaart

Zo’n inventarisatie klinkt misschien technisch, maar heeft direct juridische gevolgen. Het bepaalt namelijk met welke wet- en regelgeving je te maken krijgt en welke risico’s en belangen een rol spelen. Daarnaast helpt inzicht in datastromen om afhankelijkheden zichtbaar te maken: draait alles in jouw eigen omgeving, of is er sprake van cloudplatformen en externe leveranciers?

Verwerking van data

Een inventarisatie van de soorten data, bronnen daarvan, datastromen, opslaglocaties en gebruikte technieken helpt je te bepalen welke data hoe verwerkt wordt en welke wet- en regelgeving daarop van toepassing is. Tussen opdrachtgever en opdrachtnemer zal bepaald moeten worden welke data de opdrachtgever nodig heeft voor het doel waarvoor hij de monitoring inzet.

Data: niet van wie, maar voor wie

Een vraag die vaak snel op tafel komt is: “Van wie is de data?”

Het antwoord is juridisch minder eenvoudig dan je zou verwachten. In veel gevallen bestaat er namelijk geen klassiek eigendomsrecht op data. Belangrijker is daarom de vraag: wie mag wat met die data doen?

In de praktijk betekent dit dat je expliciete afspraken moet maken over:

• Wie de data mag gebruiken
• Voor welk doel
• Of data gebruikt mag worden voor productverbetering
• Of analyses gedeeld mogen worden met andere klanten

Dit is met name relevant voor leveranciers van slimme producten. Zij willen vaak data gebruiken om hun systemen te verbeteren, terwijl klanten juist controle willen houden over hun bedrijfsinformatie.

De sleutel zit in balans: duidelijke afspraken over gebruiksrechten, gecombineerd met geheimhouding en afspraken over intellectueel eigendom. Dus afspraken over de feitelijke zeggenschap en verantwoordelijkheid zijn belangrijker dan discussies over het eigendom.

Toegang tot data: cruciaal voor je bedrijfsvoering

Voor de afnemer van een monitoringoplossing is toegang tot data vaak cruciaal. De data vormt immers de basis voor onderhoud, aansturing en optimalisatie. Het is belangrijk om niet alleen technisch, maar ook juridisch te borgen dat die toegang behouden blijft.

Denk aan:

• Het opslaan van data in een eigen omgeving (of een kopie daarvan)
• Afspraken over beschikbaarheid (uptime)
• Afspraken over export en dataportabiliteit
• Continuïteitsregelingen (zoals escrow)

Zeker wanneer data uitsluitend bij de leverancier wordt opgeslagen, ontstaat een afhankelijkheid die risico’s met zich meebrengt.

Om dit te beperken kun je allereerst denken aan technische maatregelen, zoals (een kopie van de) data op eigen (virtuele) servers, Sharepoint-omgevingen of in cloud-tenants. De gegenereerde data kan doorgaans vrij moeiteloos zowel naar zo’n soort opslag van de leverancier gestuurd worden als ook naar soortgelijke opslag aan de kant van de afnemer.

Daarnaast zijn juridische afspraken over de toegang tot data net zo belangrijk. Zo zou je moeten afspreken dat die data ook daadwerkelijk naar je eigen opslag gestuurd wordt. Als er sprake is van hosting is het belangrijk om uptime-afspraken te maken over de beschikbaarheid van die data, de opdrachtgever heeft daar immers in dat geval zelf geen controle over. Aanvullend kun je ook denken aan continuïteitsafspraken (escrow) voor het geval de opdrachtnemer niet meer in staat is om de hosting beschikbaar te houden.

De keten achter slimme oplossingen

Wat in de praktijk vaak wordt onderschat, is dat een IIoT-oplossing zelden uit één component bestaat. Het is eerder een keten:

hardware → connectiviteit → platform → analytics → dashboard

Elke schakel in die keten kan afkomstig zijn van een andere leverancier. Daarmee ontstaan meerdere afhankelijkheden.

Voor bedrijven betekent dit dat zij moeten nadenken over vragen als:

• Wat gebeurt er als een leverancier wegvalt?
• Kunnen we overstappen naar een alternatief?
• Hebben we toegang tot onze eigen data in zo’n scenario?

Het voorkomen van vendor lock-in wordt daarmee een strategisch én juridisch thema. Denk aan het gebruik van open standaarden, goede exit-afspraken en heldere verantwoordelijkheidsverdeling.

Cybersecurity: van IT-issue naar juridisch risico

Zodra machines verbonden zijn met internet, ontstaat er een nieuw risicodomein: cybersecurity.

Een hack, storing of datalek kan niet alleen technische gevolgen hebben, maar ook leiden tot schadeclaims, contractuele discussies en reputatieschade.

Daarom is het belangrijk om vooraf afspraken te maken over:

• Wie verantwoordelijk is voor beveiliging
• Hoe updates en patches worden uitgevoerd
• Hoe snel incidenten moeten worden opgelost
• Wie aansprakelijk is bij schade

Cybersecurity is daarmee niet alleen een IT-vraagstuk, maar een integraal onderdeel van contractering en risicobeheersing. Meer informatie over cybersecurity hier: smartindustry.nl/cybersecurity

Privacy: ook machines kunnen persoonsgegevens genereren

Hoewel monitoring vaak gericht is op machines, kunnen er toch persoonsgegevens in het spel zijn.

Denk bijvoorbeeld aan:

• Gebruikersaccounts van operators
• Locatiegegevens
• Prestatie- of gebruiksdata gekoppeld aan medewerkers

In dat geval is de AVG van toepassing.

Dat brengt verplichtingen met zich mee, zoals:

• Het vaststellen van rollen (verantwoordelijke/verwerker)
• Het sluiten van verwerkersovereenkomsten
• Transparantie richting betrokkenen
• Dataminimalisatie

In sommige gevallen is zelfs een DPIA nodig, bijvoorbeeld bij grootschalige monitoring of profiling. Meer informatie over persoonsgegevens en het verwerken ervan volgens de AVG? Download de whitepaper Wat moet je weten over de AVG

Nieuwe verdienmodellen, nieuwe contracten

Met slimme producten verschuift het businessmodel. In plaats van verkoop ontstaat steeds vaker een dienstverleningsmodel: pay-per-use, monitoring-as-a-service of equipment-as-a-service.

Dat heeft directe gevolgen voor contracten.

Naast klassieke afspraken over prijs en levering, worden nu ook zaken belangrijk zoals:

• Beschikbaarheid van systemen
• Responstijden bij storingen
• Prestaties van algoritmes
• Doorlopende dienstverlening

Service Level Agreements (SLA’s) spelen hierin een centrale rol en moeten concreet en meetbaar zijn.

Afhankelijkheden van derden

Bedrijfscontinuïteit, beschikbaarheid van data en digitale soevereiniteit spelen allemaal een belangrijke rol als er afhankelijkheden met derden zijn. Zodra derden producten en/of diensten leveren waardoor jij niet zelfstandig de controle hebt over die producten of diensten, is er sprake van een afhankelijkheid.

Het omschakelen naar een smart onderhoudssysteem gaat gepaard met een significante eenmalige investering afhankelijk van de grootte van jouw bedrijf en het aantal kritische machines dat men wenst te monitoren. Het is aan te raden de continuïteit van deze investering, en daarmee bedoelen we de beschikbaarheid tot de software en data, te borgen. Dit kan eenvoudig met een escrowregeling van onze ambassadeur Software Borg.

Deze regelingen zien erop toe dat in het geval van een calamiteit bij de leverancier de eindgebruiker blijvend gebruik kan maken van de software (voor eigen gebruik) en daarmee toegang behoud tot zijn data. Software Borg zorgt bij een escrowregeling dat de broncode en alle benodigde systeem-gegevens in bewaring worden gebracht en toetst hierbij het geheel op volledigheid, bruikbaarheid en overdraagbaarheid. Software Borg werkt hierbij nauw samen met de notaris. Dit zodat het intellectueel eigendom van de licentiegever goed wordt beschermd en enkel wordt afgegeven als de continuïteit van het gebruik in het geding is. Meer informatie over dit onderwerp vind je hier: smartindustry.nl/kennisbank/escrow-oplossingen

Wetgeving is in beweging

Tot slot is het belangrijk om te beseffen dat de juridische kaders rondom data en slimme systemen volop in ontwikkeling zijn.

Denk aan Europese regelgeving zoals:

• De Data Act
• AI-regelgeving
• Cybersecurityrichtlijnen zoals NIS2

Dit betekent dat oplossingen en contracten niet statisch kunnen zijn. Flexibiliteit en toekomstbestendigheid zijn essentieel.

Van rem naar randvoorwaarde

Juridische vraagstukken worden soms gezien als een rem op innovatie. In de praktijk is het tegenovergestelde waar. Bedrijven die hun datastromen, verantwoordelijkheden en afspraken goed op orde hebben:

• Kunnen sneller opschalen
• Lopen minder risico
• Bouwen beter vertrouwen op bij klanten

De belangrijkste les? Betrek juridische aandachtspunten niet pas achteraf, maar vanaf het begin.

Zo wordt de juridische kant geen obstakel, maar juist een fundament onder succesvolle Smart Industry-toepassingen.