Digitale dienstverleners moeten verplicht data afstaan als een rechter uit een Europese lidstaat hen daartoe verzoekt. Dat staat in de omstreden Europese eEvidence‑verordening die op 18 augustus in werking is gegaan. Hoewel de database voor de registratie van dergelijke verzoeken nog niet klaar is, moeten bedrijven al wel aan de wet voldoen, waarschuwt de Rijksdienst voor Ondernemend Nederland. Critici wijzen al langer op privacyrisico’s, disproportionele bevoegdheden en onrealistische deadlines.
De eEvidence-verordening geldt voor aanbieders van internet- en communicatiediensten, cloud- en opslagproviders, online platforms en marktplaatsen en organisaties die domeinnamen of ip-diensten beheren. De wet moet grensoverschrijdende opsporing versnellen door het delen van data, zoals e-mailgegevens, contactinformatie, ip-adressen en communicatiegegevens. Het doel is om deze verzoeken beter op elkaar af te stemmen tussen EU-landen en het proces eenvoudiger te maken voor alle betrokken partijen.
De impact is aanzienlijk. Organisaties moeten hun systemen zo inrichten dat zij Europese verstrekkings- en bewaringsbevelen binnen vastgestelde termijnen kunnen verwerken, inclusief het veilig bewaren van data wanneer een bewaringsbevel wordt afgegeven. Voor een verstrekkingsbevel geldt standaard een termijn van tien dagen. In bepaalde spoedgevallen kan een dienstverlener verplicht worden om binnen acht uur te reageren.
Ook moeten zij zich registreren in de nieuwe Court Database (CDB), zodat autoriteiten hen snel kunnen vinden. In Nederland kan die registratie naar verwachting pas vanaf begin 2027 worden afgerond, omdat de ACM nog geen bevoegdheid heeft om toezicht te houden op de registratieplicht. De verplichtingen uit de Europese verordening gelden vanaf gisteren 2026. Nederlandse dienstverleners kunnen daardoor al te maken krijgen met verzoeken uit andere EU-landen.
Forse kritiek
Hoewel de eEvidence-verordening bedoeld is om grensoverschrijdende opsporing te versnellen, klinkt stevige kritiek vanuit privacy-experts, advocaten, dienstverleners en belangenorganisaties. Zo wijzen critici erop dat justitiële autoriteiten in één EU-land rechtstreeks data kunnen opvragen bij providers in een ander land. Daarbij is niet in alle gevallen voorafgaande toetsing door de autoriteiten van het land waar de provider gevestigd is vereist. Dat kan ertoe leiden dat gegevens worden gedeeld voor feiten die in het land van de provider niet strafbaar zijn, zoals bepaalde uitingen online.
Ook wijzen critici op de korte reactietermijnen: tien dagen standaard en acht uur bij spoed. Volgens privacyorganisaties en cloudproviders zijn deze deadlines ‘agressief’ en in de praktijk moeilijk haalbaar, zeker wanneer het gaat om complexe dataverzoeken of grote hoeveelheden communicatiegegevens.
Rechtsbescherming
Ook zijn er zorgen over fundamentele rechten. Gebruikers worden niet vooraf geïnformeerd dat hun data naar een ander EU-land worden gestuurd, wat volgens critici de transparantie en rechtsbescherming ondermijnt. Bovendien kan de autoriteit in het land waar de provider gevestigd is in bepaalde gevallen bezwaar maken tegen een bevel, terwijl de gegevens in spoedsituaties al kunnen zijn overgedragen. Dat is een constructie die volgens juristen kan leiden tot misbruik of onterechte dataverzameling.
Internationale juristen wijzen verder op mogelijke conflicten met niet-EU-wetgeving, zoals de Amerikaanse Cloud Act en Electronic Communications Privacy Act (ECPA). Omdat de EU-VS-overeenkomst hierover nog steeds niet is afgerond, kunnen providers klem komen te zitten tussen tegenstrijdige wettelijke verplichtingen.
