Eén EU IT Act Eén samenhangend juridisch kader voor de digitale verplichtingen en rechten van de EU — ter vervanging van het huidige versnipperde landschap.

Eén EU IT Act: één samenhangend juridisch kader voor digitale verplichtingen en rechten

Onderwerp. De Commissie wordt verzocht één wetgevingshandeling van de Unie voor te stellen, de EU IT Act, die het digitale en IT-gerelateerde Unie-acquis, zowel opgelegde verplichtingen als toegekende rechten, consolideert tot één per categorie gestructureerd instrument, en Uniehandelingen aan te wijzen die kunnen worden ingetrokken en erin kunnen worden opgenomen.

Achtergrond: een rechtsstatelijk probleem

Naleving van het digitale en IT-gerelateerde acquis van de EU vereist nu het parallel lezen van tientallen overlappende Uniehandelingen. Daaronder: GDPR, ePrivacy Directive, AI Act, Digital Services Act, Digital Markets Act, Data Act, Data Governance Act, Cyber Resilience Act, NIS2 Directive, DORA, eIDAS 2.0, Platform-to-Business Regulation, Open Data Directive, Free Flow of Non-Personal Data Regulation, en de digitale en cyberbeveiligingsbepalingen van de GPSR, RED en Machinery Regulation. Elk instrument brengt zijn eigen gedelegeerde en uitvoeringshandelingen, richtsnoeren, FAQ's, modelclausules, geharmoniseerde normen, 27 nationale omzettingen waar van toepassing, en standpunten van bevoegde autoriteiten met zich mee.

Het probleem is niet alleen versnippering. Omvang is op zichzelf een structurele zorg. Elk digitaal instrument is omvangrijk, voorschrijvend en gedetailleerd op manieren die vaak verder gaan dan nodig om zijn doelstellingen te bereiken. De Verdragsbeginselen van subsidiariteit en evenredigheid (Article 5 TEU) vereisen dat het optreden van de Unie niet verder gaat dan nodig. Het cumulatieve traject van het digitale acquis voldoet niet zichtbaar aan die toets, en een consolidatieoefening die louter dezelfde omvang in één document opnieuw verpakt, zou het probleem dat zij beoogt op te lossen niet oplossen.

Het beginsel dat rechtssubjecten vooraf moeten kunnen weten wat de wet van hen verlangt en wat de wet hun toekent, is fundamenteel. De huidige verkokerde aanpak voldoet daar niet aan. Noch de verplichtingen die worden opgelegd aan wie moet voldoen, noch de rechten die worden toegekend aan wie het acquis beoogt te beschermen, zijn toegankelijk zonder gespecialiseerde juridische bijstand waarover micro-ondernemingen, kmo's, maatschappelijke organisaties en individuele burgers niet beschikken. De Digital Omnibus van de Commissie pakt dit slechts in de marge aan. De richting moet veranderen.

Doelstellingen

1. Eén handeling. De Commissie stelt één wetgevingshandeling van de Unie voor, de EU IT Act, die de voornaamste verplichtingen en rechten van de Unie met betrekking tot digitale en IT-activiteiten samenbrengt. De handeling is het primaire referentie-instrument voor die verplichtingen en rechten.

2. Intrekken en hercodificeren, standaard. De Commissie wijst elke Uniehandeling, richtlijn en verordening aan die kan worden ingetrokken en in de EU IT Act kan worden opgenomen. De standaardpositie is intrekken-en-hercodificeren, niet wijzigen-en-naast-elkaar-laten-bestaan. Wanneer een instrument buiten de IT Act wordt gehouden, wordt de rechtvaardiging uitdrukkelijk vermeld.

3. Evenredigheid en spaarzaamheid bij het opstellen. De EU IT Act wordt opgesteld in overeenstemming met de Verdragsbeginselen van subsidiariteit en evenredigheid (Article 5 TEU), met de aanvullende discipline van wetgevingsspaarzaamheid: alleen wat nodig is, zo beknopt opgesteld als het onderwerp toelaat. Consolidatie mag geen accumulatie betekenen. Wanneer bestaande bepalingen overlappen, dupliceren of onnodige details bevatten, worden deze bij de consolidatie verwijderd. De Commissie publiceert, samen met het voorstel, een kwantitatieve vergelijking van de operationele omvang van de IT Act ten opzichte van de operationele omvang van de handelingen die hij vervangt, en licht elke nettotoename toe.

4. Structuur per categorie. De IT Act wordt georganiseerd in onderdelen die overeenkomen met de onderwerpscategorieën waar rechtssubjecten daadwerkelijk doorheen moeten navigeren, waaronder: persoonsgegevens en privacy; cyberbeveiliging en incidentrespons; systemen voor kunstmatige intelligentie; digitale diensten, platforms en onlinetussenpersonen; gegevenstoegang, -deling en -hergebruik; digitale identiteit en vertrouwensdiensten; digitale producten en aansprakelijkheid.

Elk onderdeel zet, op één plek, zowel de verplichtingen uiteen die worden opgelegd aan wie moet voldoen als de rechten die worden toegekend aan wie het acquis beoogt te beschermen.

5. Gemeenschappelijke definities. Terugkerende begrippen worden eenmaal gedefinieerd voor de hele handeling. Elke afwijking per onderdeel wordt uitdrukkelijk gerechtvaardigd in de overwegingen.

6. Informatiemodel en machineleesbare vorm. De Commissie ontwikkelt en stelt een formeel informatiemodel vast dat de juridische inhoud van de EU IT Act weergeeft. Het model bouwt voort op ELI en Akoma Ntoso. De machineleesbare vorm is gezaghebbend op gelijke voet met de door mensen leesbare vorm.

7. Discipline voor de toekomst. Nieuwe voorstellen van de Unie op IT-gebied nemen, standaard, de vorm aan van wijzigingen van de EU IT Act in plaats van zelfstandige instrumenten.

Verdragsgrondslag

• Article 11(4) TEU (instrument van het initiatief)
• Article 16 TFEU (gegevensbescherming)
• Article 26 TFEU (interne markt)
• Article 114 TFEU (onderlinge aanpassing van wetgeving, primaire rechtsgrondslag)

Buiten het toepassingsgebied

Dit initiatief verzwakt het materiële beschermingsniveau van het bestaande acquis niet — het versterkt die bescherming door zowel verplichtingen als rechten kenbaar te maken aan degenen die het betreft. Het betreft de architectuur, niet de inhoud.