De EU Data Act verbiedt cloud-overstapkosten vanaf 12 januari 2027

Vanaf 12 januari 2027 wordt het onder EU-wetgeving illegaal voor een cloudprovider om een klant iets te rekenen om te vertrekken — inclusief de data-egress-kosten die bedrijven bijna twee decennia lang stilletjes aan hun bestaande provider hebben gebonden. De EU Data Act (Verordening (EU) 2023/2854) verbiedt switching-kosten volledig vanaf die datum, voor infrastructuur, platform en software-as-a-service. Voor een bureau dat stilletjes betaalde om zijn eigen klantdata gegijzeld te houden door de exportkosten van een vendor, is dat achttien maanden om precies te weten wat verandert — en wat niet.

Dit is een samenvatting van een verordening, geen juridisch advies. Bevestig je eigen contractuele positie met juridisch advies voordat je hierop vertrouwt.

Wat is een “switching-kost”, en waarom geeft de EU erom?

Een switching-kost is in de termen van de Data Act elke vergoeding die een aanbieder van gegevensverwerkingdiensten een klant oplegt specifiek voor het overstappen naar een andere provider, of terug naar on-premises infrastructuur. De meest voorkomende vorm is een data-egress-kost — een kost per gigabyte om je eigen data uit de cloud van een provider te exporteren. Die wordt zelden prominent bij aanmelding bekendgemaakt, en schaalt met precies wat het pijnlijk maakt: hoe meer data je bij een provider hebt opgebouwd, hoe meer het kost om te vertrekken.

Hoofdstuk VI van de Data Act (artikelen 23–31) is gebouwd om precies die mechaniek te ontmantelen. Artikel 23 stelt een algemeen recht vast om te wisselen tussen providers, of parallel meerdere providers te gebruiken, zonder onnodige obstakels. Artikel 25 stelt eisen aan hoe switching-voorwaarden er in een contract uit moeten zien — providers moeten een maximale overgangsperiode specificeren en de klant daarbij ondersteunen. Artikel 30 vereist dat providers “redelijke maatregelen” nemen om functionele equivalentie na een overstap te waarborgen, zodat de bestemmingsservice daadwerkelijk kan vervangen wat de klant verlaat. Artikel 29 is degene met de datum januari 2027: het verbiedt switching-kosten volledig, en vervangt een eerder overgangsregime waarin providers alleen de directe kosten mochten terugvorderen die daadwerkelijk zijn gemaakt bij het helpen van de klant vertrekken.

Geldt dit voor SaaS, of alleen voor infrastructuurclouds?

Het geldt voor SaaS. De definitie van “gegevensverwerkingdienst” in de Data Act is bewust breed — het omvat infrastructure-as-a-service, platform-as-a-service en software-as-a-service, niet alleen de ruwe compute-en-opslaglaag die de meeste mensen voor zich zien bij “cloud.” Een SaaS-product gebouwd bovenop een hyperscaler is zelf een gegevensverwerkingdienst onder de Act, wat betekent dat de verplichtingen in twee richtingen lopen: de SaaS-vendor verschuldigt zijn klanten een conform switching-pad, en als die vendor zelf door egress-kosten aan zijn eigen infrastructuurprovider is gebonden, worden die ook verboden.

Dat tweede punt is waar deze regelgeving structureel interessant wordt in plaats van alleen kostenrelevant. Een SaaS-bedrijf dat gegijzeld kan worden door zijn eigen cloudrekening heeft geen duurzame manier om klanten een schone exit te beloven — de kost schuift gewoon één laag omhoog. Vanaf januari 2027 verdwijnt die laag als juridische optie.

Wat is het overgangsregime tot dan?

Tussen nu en 12 januari 2027 mogen providers nog niet volledig verboden zijn om voor een overstap te rekenen — ze zijn beperkt tot de directe kosten die daadwerkelijk zijn gemaakt. Dat betekent de kost van het technische werk bij het helpen van een klant migreren, niet een bestraffende vergoeding berekend om vertrek duur te maken. In de praktijk speelt in deze overgangsperiode het meeste van de huidige geschillen over “verborgen” egress-kosten, omdat “directe kost” een smallere standaard is dan de vaste tarieven per gigabyte die veel providers historisch hebben gerekend.

Wat mag er na het verbod nog wel worden gerekend?

Het verbod is specifiek voor de daad van switching, niet voor cloudprijzen in het algemeen. Providers mogen nog steeds rekenen:

• Standaard abonnements- en gebruikskosten — het verbod raakt niet wat je betaalt om de dienst te gebruiken terwijl je hem gebruikt.
• Proportionele boetes voor voortijdige beëindiging op vaste-termijncontracten, wanneer die vooraf als onderdeel van de deal zijn overeengekomen.
• Echt maatwerk buiten het regulatoire switching-bereik — aangepaste technische ondersteuning, niet-standaard gegevensformaten of diensten die de switching-bepalingen niet dekken.

Wat verdwijnt, is de mogelijkheid om specifiek omdat een klant vertrekt te rekenen, vermomd als technische noodzaak.

Waarom het BYOC-model hier al op vooruitliep

Er is een structurele reden waarom deze regelgeving minder klinkt als een waarschuwing en meer als een bevestiging, als de data van jouw bureau al in een account staat dat jij bezit. Bring Your Own Cloud — het model waarbij het product van een vendor draait op infrastructuur ingericht in jouw Cloudflare-account, in plaats van een gedeelde database die de vendor centraal beheert — verwijdert de switching-kostenvraag voordat die kan opkomen. Er is geen export om een prijs voor te onderhandelen, omdat er nooit een migratiegebeurtenis was: de database was altijd van jou, op jouw account, vanaf de dag dat hij werd aangemaakt. De vendor opzeggen triggert geen datatransfer; het betekent alleen dat de vendor stopt met toegang te hebben tot iets dat nooit van hem was.

Dat is de hele these achter wat een BYOC agency OS eigenlijk is — en het is ook, functioneel, wat de Data Act nu als recht voor iedereen anders wetgeeft. De regelgeving sluit de kloof tussen “jouw data, technisch” en “jouw data, in de praktijk.” Lees meer over hoe dat eigendomsmodel architecturaal werkt op onze beveiligingspagina, of over het bredere lock-in-patroon waar deze wet op mikt in SaaS vendor lock-in en hoe je het vermijdt.

Wat bureaus vóór januari 2027 moeten controleren

1. Lees je huidige cloud- en SaaS-contracten op egress- of exit-kosten, en noteer of ze zijn gestructureerd als vaste kosten of als gespecificeerde “directe kosten” — dat laatste ligt dichter bij wat het overgangsregime al vereist.
2. Vraag vendors direct wat contractueel gebeurt op 12 januari 2027 — bestaande overeenkomsten werken niet automatisch bij, dus een vendor die stil blijft over de vraag is een signaal om op te merken.
3. Scheid “kan ik vertrekken” van “kan ik goedkoop vertrekken.” De Data Act pakt de kost aan. Het garandeert niet dat je data ooit in een draagbaar, niet-proprietair formaat is gestructureerd — dat is een productbeslissing die de wet niet kan wetgeven.
4. Als data-eigendom contractueel telt voor je klanten, vraag of je eigen vendors nu al een exit kunnen aantonen die niets kost behalve het werk — niet omdat de wet het uiteindelijk zal vereisen, maar omdat degenen die het al doen niet wachten tot januari 2027 om het te bewijzen.