Achtergrond - Door deze omstreden EU-wet kunnen landen sneller aan je digitale gegevens komen

In dit artikel:

De Europese eEvidence-verordening moet het voor justitiële autoriteiten eenvoudiger en sneller maken om digitaal bewijs in strafzaken op te vragen bij bedrijven in andere EU-landen. Een Franse autoriteit kan bijvoorbeeld rechtstreeks gegevens vorderen bij Google, ook als die in Ierland zijn opgeslagen. Daarvoor is geen tussenkomst van de autoriteiten in het vestigingsland meer nodig.

Rechterlijke instanties, waaronder het Openbaar Ministerie, kunnen een informatieverstrekkingsbevel opleggen. Bedrijven moeten daar binnen tien dagen aan voldoen of het bevel aanvechten; in spoedgevallen geldt een termijn van acht uur. Bij niet-naleving kunnen boetes oplopen tot 2 procent van de wereldwijde omzet. Met een afzonderlijk bewaringsbevel kunnen gegevens eerst zestig dagen worden veiliggesteld, met mogelijke verlengingen van dertig dagen. Bedrijven moeten zich registreren in de Europese Court Database; in Nederland houdt de Autoriteit Consument & Markt daarop toezicht.

De wet geldt alleen voor strafzaken. Het kan gaan om identificerende gegevens, zoals een IP-adres of telefoonnummer, maar ook om chatberichten, e-mails, locatiegegevens en cloudbestanden. Identificerende informatie mag in iedere strafzaak worden opgevraagd. Inhoudelijke gegevens zijn beperkt tot misdrijven waarop minimaal drie jaar gevangenisstraf staat en bepaalde cyber- en terroristische misdrijven.

Hoewel de verordening officieel op 18 augustus van toepassing is, zijn veel lidstaten nog niet klaar. Nederland verwacht de invoering pas in het eerste kwartaal van 2027 af te ronden. De Europese Commissie kwam in 2018 met het voorstel, omdat het verkrijgen van digitaal bewijs uit een andere lidstaat gemiddeld tien maanden duurt. De nieuwe procedure moet dat terugbrengen tot maximaal tien dagen.

Privacyorganisaties, de Nederlandse Orde van Advocaten, EDRi, journalisten- en medische organisaties vrezen echter voor aantasting van privacy, de bescherming van klokkenluiders en de vertrouwelijkheid van medische gegevens. Zij betwijfelen of bevelen binnen de korte termijnen voldoende op rechtmatigheid worden gecontroleerd. Voor inhoudelijke en verkeersgegevens is soms goedkeuring door een tweede lidstaat nodig, maar die controle geldt niet voor identificatiegegevens en kent uitzonderingen. Bovendien hoeft het woonland van een verdachte niet te worden geïnformeerd: bij een Nederlandse verdachte in een Franse zaak wordt bijvoorbeeld Ierland, waar de aanbieder gevestigd is, wel maar Nederland niet op de hoogte gebracht.