coverstory EFCO zich intensief bemoeid met de totstandkoming van de Europese DSA en de DMA: de Digital Services Act en de Digital Markets Act.” ‘De richtlijn Pakketreizen vereist dat je de zaken juridisch goed op orde hebt’ Burgers beschermen De DSA, die in 2024 in werking trad, is vooral gericht op het beschermen van burgers. De DSA bevat bepalingen tegen verslavende algoritmes, zorgt voor online veiligheid (bijvoorbeeld voor kinderen) en biedt transparantie in wie op webwinkels de eigenlijke verkoper van een product is. Relevant voor ondernemers is vooral de DMA, die sinds 2023 in werking is in de EU. De DMA is gericht op de allergrootste techbedrijven, de ‘gatekeepers’. Voorbeelden zijn Alphabet (Google, YouTube), Apple, Meta (Facebook, Instagram), Microsoft, Amazon en Booking.com. De DMA verbiedt deze Amerikaanse bedrijven onder meer om eigen producten of diensten hoger op de ranglijst te zetten dan die van concurrenten. Daarnaast mogen gegevens van gebruikers niet zomaar gedeeld of verkocht worden. En ten slotte, heel belangrijk, zijn gatekeepers verplicht om zakelijke gebruikers toegang te geven tot hun eigen gegenereerde data. Dat betekent dat recreatieondernemers zicht houden op de gasten die bij hen boeken, wat groot voordeel kan bieden als het gaat om acties, extra voordelen of het stimuleren van vervolgbezoek. “Bij een mogelijke herziening van de DMA willen wij als EFCO zeker ons geluid weer laten horen, uiteraard samen met andere partijen als de Europese horecakoepel en de commissie Europa van MKB Nederland. Op die manier leveren we ook input. Dat is nog niet eenvoudig, want de grote techbedrijven hebben enorm veel lobby- en marketingpower en hebben nu ook de Amerikaanse president achter zich staan.” De DMA en DSA zijn er primair om consumenten te beschermen. Daar hebben ondernemers ook voordeel van, maar de beide wetten roepen ook extra plichten op. “Ze stellen bijvoorbeeld weer extra eisen aan het opslaan van privégegevens van gasten”, legt Van Disseldorp uit. “Wat mag je bewaren en hoe lang? Dat is een nadeel, maar toch ben ik blij dat we als consument en bedrijf beschermd worden. Als je die grote techbedrijven hun gang laat gaan, krijgen ze teveel macht over je data, toch een van de schatten van je bedrijf.” Cyberveiligheid Een Europese richtlijn die niet zozeer voor het MKB bestemd is maar soms toch impact heeft, is NIS2, in Nederland vertaald in de Cyberveiligheidswet (Cbw). “Dat gaat over cyberveiligheid van bedrijven in essentiële sectoren, met een bepaalde omvang qua omzet en medewerkers”, vertelt Joost Bosman, jurist van HISWA-RECRON. “Bedrijven uit de sector watersport en recreatie vallen daarbuiten. Maar de wet legt de grote bedrijven die er wél onder vallen, zoals energiebedrijven, wel een ketenbeding op. Ofwel: ook toeleveranciers moeten kunnen aantonen dat ze de cyberveiligheid op orde hebben. Anders kunnen gegevens – bijvoorbeeld over medewerkers die aan een activiteit deelnemen – van het essentiële bedrijf via de toeleveranciers toch nog uitlekken. Daarom kan het voorkomen dat bijvoorbeeld een buitensportbedrijf bij een boeking IT-beveiligingsinformatie moet aanleveren. Overigens komt dat op dit moment nog maar heel zelden voor – de wet is pas net in werking getreden.” Maar hoe toon je dan aan dat de IT veilig is? Bosman: “Ik kan me voorstellen dat je met een ISO 27001-certicifering genoeg aantoont. Dat is de internationale norm voor cyberveiligheid. Maar het 06-2026 | Recreactie 17 >
18 Online Touch Home