Eigendom op data bestaat niet in het Nederlandse recht. Artikel 5:1 BW verbindt eigendom aan zaken, en artikel 3:2 BW definieert een zaak als een voor menselijke beheersing vatbaar stoffelijk object. Data is niet stoffelijk. De Netherlands Commercial Court, een kamer van de rechtbank Amsterdam, redeneerde precies zo op 21 april 2023 in ECLI:NL:RBAMS:2023:2540. Digitale gegevens zijn geen zaken, dus revindicatie is niet mogelijk. (Het hof heeft dat vonnis in juni 2025 vernietigd op een heel ander punt, namelijk de uitleg van het contract, en liet de eigendomsvraag uitdrukkelijk onbeslist.) Data kan dus geen eigendom zijn. En ook op Europees niveau geldt dat. Zoals de Europese analyse van data-eigenaarschap onder de Data Act aangeeft: "The actual meaning of data ownership is however not defined in any EU level legislation, nor is it clear what the scope of such an ownership right would be."
Dan zetten we het toch gewoon in het contract?
Die reflex is begrijpelijk. Als de wet geen eigendom op data kent, dan regelen we het contractueel. Zo staat het bijvoorbeeld ook in maatregel G13 van de VNG-handreiking voor clouddiensten. Dat snap ik heel goed. Want je wilt zeker weten dat jouw dienstverlening en jouw data beschikbaar blijven.
Het probleem is dat je met een contractsbepaling geen eigendomsrecht kunt vestigen op iets waarop geen eigendom kan rusten. Je krijgt dan schijnzekerheid: een zin waar iedereen tevreden mee is, maar waar niemand iets aan heeft op het moment dat het misgaat. Want wat doe je met die zin als de leverancier failliet gaat? Als je je data niet in een bruikbaar formaat terugkrijgt? Als je wilt weten of jouw gegevens ook zijn gebruikt om een model te trainen?
Bij eigendom hoort namelijk een gevolg. Je gaat naar de rechter en revindiceert: je eist je zaak op bij degene die haar zonder recht onder zich heeft (artikel 5:2 BW). Bij data kan dat niet.
Terug naar de eerder benoemde uitspraak, want die illustreert het punt beter dan ik het kan uitleggen. Het contract in die zaak bepaalde dat de onderzoeksdata eigendom van de opdrachtgever zou worden. De rechtbank oordeelde dat er geen eigendomsrecht op die digitale gegevens kon bestaan. En toch kreeg de opdrachtgever zijn data, want de rechtbank las in diezelfde bepaling wel een geldige verplichting om mee te werken aan overdracht. Het eigendomsrecht ontbrak. De verplichting deed het werk.
Dat is de les. Die bepaling werkte ondanks de eigendomsterm, niet dankzij die term, en alleen omdat een rechter hem kon vertalen naar iets afdwingbaars. Schrijf je die verplichting meteen zelf op, dan hoef je niet op die vertaling te hopen. Wat de gemeente nodig heeft is dus geen eigendom maar zeggenschap, en zeggenschap bestaat uit iets anders dan een titel. Het bestaat uit verplichtingen van de leverancier die je kunt afdwingen. Toegang. Een kopie. Een leesbaar formaat. Een beschrijving van het datamodel. Een verbod om jouw data voor eigen doeleinden te gebruiken. Vernietiging op jouw verzoek, met bewijs.
De GIBIT heeft dit al afgevangen
En dat is precies waar de GIBIT al jaren staat. Wat opvalt als je de voorwaarden erop naleest: het woord eigendom komt er in relatie tot data niet in voor. Dat is geen omissie, dat is een keuze.
In de GIBIT 2023 staat het in artikel 20.2:
Alle rechten op de met de ICT Prestatie van Opdrachtgever afkomstige verwerkte gegevens (blijven) rusten bij Opdrachtgever, ongeacht waar deze gegevens staan opgeslagen en ongeacht of de gegevens na initiële ontvangst zijn bewerkt of niet.
Rechten, niet eigendom. En daarna volgt de uitwerking die het bruikbaar maakt. Artikel 21 verplicht de leverancier tot toegang tot de verwerkte gegevens, de autorisaties en de specifieke instellingen. Artikel 21.2 legt vast hoe: aanlevering in een duurzaam en origineel bestandsformaat met metadata, koppelingen met documentatie, of een volledige beschrijving van de onderliggende datamodellen. Artikel 24.14 regelt teruggave of verwijdering bij het einde van de overeenkomst. Artikel 26.6 geeft de gemeente de keuze om de data te laten vernietigen tegen afgifte van bewijs van vernietiging, en artikel 26.7 bepaalt dat dat hoe dan ook kosteloos gebeurt. Artikel 30.2 verbiedt de leverancier gegevens met een bewaartermijn te verwijderen zonder toestemming van de gemeente.
In de GIBIT 2025 is dezelfde lijn strakker en breder gemaakt. Artikel 21.2:
Alle rechten op Data die afkomstig zijn van Opdrachtgever, ten behoeve van Opdrachtgever zijn verzameld of door Leverancier worden verzameld bij het gebruik van de ICT Prestatie door Opdrachtgever, (blijven) rusten bij Opdrachtgever, ongeacht waar deze Data staan opgeslagen en ongeacht of de Data na initiële ontvangst zijn bewerkt of niet.
Let op de uitbreiding. Het gaat nu ook over data die bij het gebruik van de dienst ontstaat, niet alleen over data die de gemeente heeft aangeleverd. Dat is bij SaaS geen detail.
Het hele artikel 22 heet vervolgens "Toegang tot Data en autorisaties" en doet het werk. Artikel 22.2 verplicht de leverancier de gemeente kosteloos in staat te stellen data in te zien en op te slaan, onder meer door op eerste verzoek een kopie te verstrekken. Artikel 22.3 eist een algemeen leesbaar elektronisch bestandsformaat, documentatie met een juiste, volledige en gedetailleerde beschrijving van de onderliggende datamodellen, en naleving van de Woo en de Who. Artikel 22.5 geeft de gemeente expliciet het recht die data voor eigen gebruik op te slaan, verder te gebruiken, openbaar te maken en aan derden te verstrekken.
En dan artikel 22.8, dat de zeggenschap sluit voor het geval de leverancier zelf ook toegang tot de data heeft. De leverancier gebruikt die data uitsluitend voor de uitvoering van de overeenkomst en de nakoming van eigen wettelijke verplichtingen. Hij vernietigt de data op eerste verzoek, tegen afgifte van een verklaring van vernietiging. Hij vernietigt niets zonder verzoek van de gemeente. En na het einde van de overeenkomst mag hij pas vernietigen nadat hij de gemeente tweemaal, met minstens dertig dagen tussenpauze, schriftelijk en expliciet de kans heeft gegeven de data op te halen, met aanzegging van de datum.
Zo ziet zeggenschap er in de praktijk uit. Vier afdwingbare verplichtingen in één artikel, waar één zin over eigendom niets had opgeleverd. Artikel 29.6 doet hetzelfde voor de exit en artikel 33.2 voor de bewaartermijnen. Wat daarbij komt: sinds 12 september 2025 legt de Europese Dataverordening vergelijkbare verplichtingen rechtstreeks op aan aanbieders van clouddiensten: exporteren op verzoek, een overstap binnen dertig dagen. Ook die verordening wijst geen eigenaar aan.
Papier is niet genoeg
Nu de kant waar het ongemakkelijk wordt. Een contract regelt de juridische laag. Regie over je data heeft meerdere lagen. Mijn collega Ron Bartels zei het scherp: het gaat erom dat je controle hebt over je systemen en over je data op geografisch, juridisch en operationeel gebied. Artikel 22 GIBIT dekt de tweede. Dat helpt je niet als je datawarehouse in een cloud staat die op last van een buitenlandse overheid kan worden afgesloten.
Wat wij daaraan doen? Het Centric Dataplatform gaat mee naar de soevereine cloud, met datacenters in Nederland en tooling die daarbij past. We hadden voor de publieke cloud gekozen en die keuze hebben we teruggedraaid, inclusief de investeringen die daarbij horen. Dat is geen goedkope beslissing. Het is wel de enige die consistent is met wat we onze klanten adviseren.
Er is nog een derde laag die vaak vergeten wordt. Recht op je data is weinig waard als je niet weet wat die data betekent. Artikel 22.3 sub ii vraagt daarom om een beschrijving van de datamodellen. De Dataverordening gaat op dit punt nog een stap verder: artikel 26 verplicht cloudaanbieders een permanent online register bij te houden van hun datastructuren en dataformaten, en artikel 30 eist export in een gestructureerd, algemeen gebruikt en machineleesbaar formaat. Beschrijven op verzoek is niet meer genoeg. Dat is waarom wij aan onze klanten Entity-Relation Diagrams leveren. En we gaan nóg een stap verder. Wij hebben de mapping tussen het Gemeentelijk Gegevensmodel en de data in Centric Financiën kosteloos beschikbaar gesteld aan de GGM-community, waar zo'n 150 gemeenten in samenwerken. Voor de tweehonderd gemeenten die Centric Financiën gebruiken betekent dat direct meer grip op hun data. En de mapping voor de andere Centric-applicaties volgt binnenkort.
Daar zijn we niet gestopt. Centric Financiën is de eerste Centric-applicatie met een GGM-transformatie als dienst: een semantische laag die de gegevens uit de applicatie vertaalt naar de definities van het GGM Model Financiën, op te halen via API's, beschikbaar voor SaaS en on-premises. Gemeenten hoeven zelf geen transformaties te bouwen of te onderhouden. Updates in het GGM of in de applicatie verwerken wij. De andere applicaties volgen, en we roepen andere leveranciers op hetzelfde te doen.
Tot slot
"Jouw data" blijft een prima uitdrukking, zolang iedereen weet dat het een afkorting is. Van rechten die bij de gemeente rusten, van een leverancier die de data alleen mag gebruiken waarvoor hij is ingehuurd, van toegang en een kopie op eerste verzoek, van een leesbaar formaat met een beschreven datamodel, en van vernietiging op verzoek met bewijs daarvan. Dat is een stuk minder pakkend en een stuk meer waard.
Wat daarmee nog niet is opgelost: een contract reikt zo ver als je het kunt afdwingen. Als de partij achter je leverancier buiten het bereik van de Nederlandse of Europese rechter zit, is een eis om 'eigenaarschap' leeg. Waar het wel om gaat: waar je spullen staan en wie er iets mee kan. Daarmee moet het gesprek over gemeentelijke clouddiensten beginnen.
