Belangrijkste aandachtspunten voor dienstverleners
De inwerkingtreding van de e-Evidenceverordening (EU) 2023/1543 (de Verordening) betekent een ingrijpende verandering in de manier waarop opsporingsinstanties grensoverschrijdend toegang kunnen krijgen tot elektronisch bewijs. Dienstverleners die actief zijn binnen de EU doen er goed aan om:
- Zich voor te bereiden op EPO’s vanaf 18 augustus 2026, ook wanneer hun wettelijke vertegenwoordiger is gevestigd in een lidstaat die de benodigde uitvoeringswetgeving nog niet heeft afgerond.
- Er rekening mee te houden dat implementatieachterstanden geen vrijbrief vormen voor niet-naleving. De Verordening is rechtstreeks toepasselijk en andere lidstaten kunnen proberen EPO’s uit te vaardigen, ongeacht de implementatiestatus van het land waar de wettelijke vertegenwoordiger is gevestigd.
- De AVG-gevolgen te beoordelen van het verstrekken van gegevens op basis van een EPO, met name zolang het IT-systeem nog niet operationeel is en naleving van een EPO mogelijk wordt gezien als een vrijwillige verstrekking van persoonsgegevens.
- Proactief contact te onderhouden met autoriteiten. Een constructieve en te goeder trouw gevoerde dialoog met de betrokken autoriteiten is de meest effectieve manier om handhavingsrisico’s in deze overgangsperiode te beperken.
- Wetgevende ontwikkelingen te blijven volgen in Nederland en andere lidstaten, aangezien het uitvoeringskader nog verder wordt uitgewerkt.’
Samen met Richtlijn (EU) 2023/1544 creëert de Verordening een geharmoniseerd kader voor het grensoverschrijdend verzamelen van elektronisch bewijs in strafprocedures. Binnen dit kader kan een rechterlijke autoriteit in een EU-lidstaat rechtstreeks een EPO uitvaardigen aan de wettelijke vertegenwoordiger van een dienstverlener in een andere lidstaat. Daarmee kan de verstrekking worden gevorderd van abonnementsgegevens, verkeersgegevens of inhoudsgegevens. De Verordening beoogt de vaak trage en omslachtige procedures voor wederzijdse rechtshulp te vervangen die tot nu toe werden gebruikt voor grensoverschrijdende verzoeken om elektronisch bewijs.
De Nederlandse implementatiekloof
Hoewel de Verordening vanaf 18 augustus 2026 rechtstreeks van toepassing is, hebben veel lidstaten de nationale wetgeving die nodig is voor een volledig operationeel systeem nog niet afgerond. Een belangrijk onderdeel van het Nederlandse implementatiepakket, dat naar verwachting pas begin 2027 in werking treedt, is de aanwijzing van de Autoriteit Consument & Markt (ACM) als bevoegde toezichthouder op de verplichting voor aanbieders van communicatiediensten en andere dienstverleners die in Nederland zijn gevestigd of actief zijn om een wettelijke vertegenwoordiger te registreren. Het doel van deze registratie is een aanspreekpunt beschikbaar te hebben voor de uitvaardiging van EPO’s.
Omdat het Nederlandse implementatiepakket nog niet van kracht is, kunnen bedrijven momenteel nog niet voldoen aan deze registratieverplichting in Nederland. Ook heeft de ACM op dit moment nog geen bevoegdheid om op deze verplichting toe te zien of deze te handhaven.
IT-systeem
Een ander probleem, dat zich in de hele EU voordoet, is dat het gedecentraliseerde IT-systeem dat bedoeld is voor de indiening van EPO’s nog niet operationeel is. De Europese Commissie heeft zelf erkend dat er praktische en veiligheidsgerelateerde complicaties bestaan. Daardoor kunnen autoriteiten die EPO’s willen uitvaardigen dit formeel nog niet via het voorgeschreven systeem doen. Ook kunnen de autoriteiten in de ontvangende lidstaat hun toezichthoudende of toetsende rol onder de Verordening nog niet volledig vervullen.
Andere lidstaten kunnen toch EPO’s uitvaardigen
Van belang is dat het ontbreken van Nederlandse uitvoeringswetgeving andere EU-lidstaten niet noodzakelijk belemmert om EPO’s uit te vaardigen. Verschillende landen, waaronder Duitsland, Zweden, Kroatië, Italië, Litouwen en Slowakije, hebben hun uitvoeringswetgeving inmiddels vastgesteld. Deze wetgeving treedt op 18 augustus 2026 in werking.
Hoewel de Europese Commissie in richtsnoeren heeft aangegeven dat dit formeel nog niet mogelijk zou zijn zolang het IT-systeem ontbreekt, kunnen autoriteiten alsnog proberen EPO’s uit te vaardigen vanaf die datum. Zij kunnen dienstverleners daarbij verzoeken alternatieve manieren aan te wijzen waarop dergelijke bevelen kunnen worden ontvangen totdat het IT-systeem operationeel is.
De Verordening verplicht lidstaten ervoor te zorgen dat niet-naleving van een EPO kan worden bestraft met boetes tot 2% van de wereldwijde jaaromzet. In Nederland geldt bovendien dat, hoewel de Uitvoeringswet elektronisch bewijsmateriaal nog niet in werking is getreden, het niet voldoen aan een EPO dat is uitgevaardigd door een bevoegde autoriteit technisch gezien mogelijk al strafbaar kan zijn op grond van het bestaande Wetboek van Strafrecht. Dat risico bestaat dus ook zonder dat het Nederlandse implementatiepakket volledig van kracht is.