Door deze omstreden EU-wet kunnen landen sneller aan je digitale gegevens komen

iiiii

De eEvidence-verordening is van toepassing. Deze wet moet het makkelijker maken voor EU-lidstaten om aan digitaal bewijsmateriaal te komen in strafzaken. Er klinkt ook kritiek vanuit onder meer privacyorganisaties, omdat ze vrezen dat lidstaten daardoor veel te makkelijk gevoelige gegevens van EU-burgers kunnen opvragen. Zeven vragen over deze omstreden maar toch vrij onbekende wet.

Wat verandert er door deze wet?

Door de eEvidence-verordening kunnen justitiële autoriteiten van lidstaten gemakkelijker digitaal bewijsmateriaal opvragen uit andere lidstaten. Denk bijvoorbeeld aan een strafzaak in Frankrijk waarvoor toegang nodig is tot gebruikersgegevens van Google die in Ierland zijn opgeslagen. Voorheen moesten zulke informatieverzoeken via de autoriteiten van het land waar dat bedrijf is gevestigd, maar dat is nu niet meer nodig.

Bevoegde rechterlijke instanties (zoals het Openbaar Ministerie) kunnen voortaan rechtstreeks een wettelijk 'informatieverstrekkingsbevel' aan bedrijven uitvaardigen in de gehele EU. Die moeten binnen tien dagen het gevraagde bewijsmateriaal leveren (of het bevel aanvechten). In spoedgevallen geldt zelfs een deadline van acht uur. Als bedrijven niet op tijd reageren, riskeren ze hoge boetes: tot twee procent van de wereldwijde omzet.

Naast het verstrekkingsbevel kunnen lidstaten ook een bewaringsbevel uitvaardigen. Dat houdt in dat een autoriteit een bedrijf kan verplichten om bepaalde gegevens te bewaren, zodat ze niet verwijderd worden. Dat is bijvoorbeeld handig als het proces om toegang te krijgen tot de data nog loopt. Met zo'n bevel moet het bedrijf de gegevens zestig dagen veiligstellen, hoewel deze termijn telkens met dertig dagen kan worden verlengd.

Bedrijven waarop deze wet van toepassing is, moeten zich hiervoor registreren in de Europese Court Database. In Nederland houdt de Autoriteit Consument & Markt hier toezicht op. Autoriteiten kunnen in deze database eenvoudig opzoeken bij welke bedrijven ze moeten aankloppen om aan de gewenste informatie te komen. Ook kunnen ze via dit platform de informatiebevelen indienen.

Bron: Mixmagic/iStock/Getty Images

Op welk soort bedrijven is deze wet gericht?

De regels gelden voor veel verschillende bedrijven. Het gaat volgens de wettekst om 'dienstaanbieders die diensten aanbieden in de Europese Unie'. Daaronder vallen:

• aanbieders van elektronischecommunicatiediensten, waaronder telefoon- en internetproviders, e-maildiensten en chatapps;
• andere communicatiediensten, zoals onlinemarktplaatsen, onlinegamingwebsites en onlinekansspelwebsites, waarbij gebruikers met elkaar kunnen communiceren en niet alleen met de dienstverlener zelf;
• diensten voor het opslaan en verwerken van gegevens (bijvoorbeeld via de cloud), op voorwaarde dat dit een significant onderdeel is van de dienstverlening;
• diensten die te maken hebben met internetdomeinen en IP-adressen, zoals registrars en IP-verstrekkers als RIPE NCC.

Wat ga je ervan merken?

De wet richt zich alleen op informatiebevelen in strafzaken. De meeste mensen zullen hier dus weinig van merken. Maar áls er vermoedens zijn dat je betrokken bent bij een misdaad, kunnen lidstaten nu mogelijk makkelijker toegang krijgen tot je online gegevens. Het kan gaan om je IP-adres en telefoonnummer, maar ook om zaken als chatberichten, e-mails en cloudbestanden.

Gegevens die enkel bedoeld zijn om een online gebruiker te identificeren, mogen voor iedere strafzaak worden opgevraagd. Inhoudelijke gegevens (zoals e-mails) mogen alleen worden opgevraagd bij misdrijven waarop een maximale gevangenisstraf van minimaal drie jaar staat, of bij specifieke cyber- en terrorismemisdrijven.

Lidstaten kunnen door de wet gemakkelijker Gmail-gegevens opvragen.

Wanneer gaat de wet precies in?

Hoewel de wet officieel vanaf 18 augustus van toepassing is, halen de meeste lidstaten de implementatiedeadline niet. Nederland verwacht bijvoorbeeld pas in het eerste kwartaal van 2027 klaar te zijn voor de wet. Pas vanaf dan hoeven in Nederland gevestigde bedrijven zich te registreren in de Court Database. Wel kan het zijn dat andere lidstaten vóór die tijd al een informatiebevel sturen naar een Nederlandse aanbieder.

Wie wil dit en waarom?

Aan de wet wordt al geruime tijd gewerkt. De Europese Commissie (EC) diende hiervoor in 2018 al een voorstel in. Het idee was om digitaal bewijsmateriaal in strafzaken sneller te verkrijgen. Het is nu een langdurig juridisch proces om digitaal bewijs uit een andere lidstaat in handen te krijgen. Dat duurt gemiddeld tien maanden, terwijl dergelijk bewijs volgens de EC in bijna de helft van de strafzaken wordt opgevraagd.

Het wetsvoorstel is meermaals aangepast, mede vanwege de kritiek erop. Uiteindelijk bereikten de Commissie en het Europees Parlement in 2023 overeenstemming over een definitieve wettekst. De wet trad dat jaar officieel in werking, maar werd pas drie jaar later van toepassing. Dat moest lidstaten en bedrijven de kans geven om hun werkwijze zo aan te passen dat ze binnen de deadline aan de informatiebevelen kunnen voldoen.

Het kostte gemiddeld tien maanden om gegevens van Amerikaanse techdiensten te ontvangen, maar door eEvidence wordt die tijd verkort naar tien dagen.

Wat is de kritiek op de wet?

Er is veel kritiek op het voorstel, onder andere van de Nederlandse Orde van Advocaten en European Digital Rights (EDRi), die dit een schending van de privacy van Europeanen vinden. Zij stellen dat lidstaten hierdoor veel te makkelijk gevoelige informatie van burgers kunnen opvragen.

Hoewel er wel voorwaarden zijn waaraan een informatiebevel moet voldoen (zoals de voorwaarde dat het de rechten van burgers niet mag schenden), betwijfelen critici of deze voorwaarden zullen worden nageleefd. Ze vrezen dat de krappe deadline lidstaten onvoldoende gelegenheid biedt om informatiebevelen die rechten schenden tijdig te beoordelen en tegen te houden.

Onder meer journalistieke organisaties stellen dat deze wet ernstige gevolgen kan hebben voor klokkenluiders. Met zulke informatiebevelen zouden lidstaten namelijk achter hun identiteit kunnen komen. Ook medische organisaties vrezen dat gevoelige medische informatie niet langer veilig is.

Wat was de reactie op de kritiek?

De wet is de afgelopen jaren meermaals aangepast naar aanleiding van veelgehoorde kritiek. Zo vond onder meer het Europees Comité voor gegevensbescherming (EDPB) dat een tweede lidstaat een informatiebevel altijd moet goedkeuren voordat een aanbieder eraan hoeft te voldoen.

Een dergelijk notificatiesysteem is deels toegevoegd, hoewel dit volgens critici niet ver genoeg gaat. Dit systeem geldt bijvoorbeeld niet voor bevelen die enkel bedoeld zijn 'om de gebruiker te identificeren'. Alleen bij bevelen voor inhouds- of verkeersgegevens (zoals chatberichten of locatiegegevens) is een tweede beoordeling door een andere lidstaat vereist.

Zo'n tweede beoordeling is niet vereist als de vermeende misdaad plaatsvond in de uitvaardigende lidstaat of als de gebruiker in kwestie een inwoner is van die lidstaat. Het maakt daarbij niet uit dat het bedrijf wél in een ander land gevestigd is. Volgens critici is het veel te makkelijk voor lidstaten om zich op deze uitzonderingen te beroepen en zo een controle te vermijden.

Tot slot vereist de wet niet dat de lidstaat waar de verdachte woont op de hoogte wordt gebracht. De wet noemt alleen de lidstaat waar het bedrijf is gevestigd dat aan het informatiebevel moet voldoen. Denk aan een situatie waarin een Nederlandse verdachte betrokken is bij een misdaad in Frankrijk, en de Franse autoriteiten toegang willen tot zijn Gmail-gegevens. In dat geval wordt Ierland ingelicht, maar Nederland niet.

EDRi waarschuwt voor situaties waarin de rechten van een persoon kunnen worden geschonden, omdat de controlerende lidstaat niet weet dat die persoon daar wordt beschermd, bijvoorbeeld door immuniteit.

_{Redactie: Kevin Krikhaar • Eindredactie: Monique van den Boomen}

Reacties (39)

[thunder7]

Dus het forum van de plaatselijke postduivenvereniging, met een stukje 'te koop aangeboden' en een stukje 'stuur een persoonlijk bericht´, moet binnen 8 uur reageren op een spoedverzoek uit Griekenland?

Gelukkig is de boete dan wel weer 0, als er geen omzet is.

[redslow]

Ik denk dat het weer veiliger is om de criminelen dingen via de postduif te doen dan via de computer.

Bij dit soort wetgeving als je kijkt naar de database. Gaming bv je zou maar toevallig op diezelfde server constant zitten als de “verdachten” Wat is dan de kans dat jij niet perongeluk onder een vergrootglas komt.

Wat ik wil zeggen. hoe wilt de EU de nevenschade voorkomen als ieder lidstaat voor zichzelf weer bezig gaat met rotzooien in privé data.

[Terracotta]

Als je continu naar een casino in Ierland gaat en daar tijdens het spel leuke gesprekken hebt met Franse criminelen die daar ook op bezoek gaan, dan lijkt het me niet meer dan logisch dat enkel de Franse en Ierse landen betrokken partijen zijn en de informatie die je in Ierland hebt achtergelaten tussen beide landen uitgewisseld worden.

Soms wordt er gedaan alsof je op het internet je niet in een bepaald land bezig bent, dat klopt niet. Je bevindt je fysiek in een land (met pricacy wetten) waar een bedrijf een dienst aanbiedt, maar waarbij het meeste deel van de verwerking in een ander land (met andere wetten, die niet per se je privacy beschermen want je bent een buitenlander daar) gebeurt, dan kan je er ook niet vanuit gaan dat enkel de wetgeving van het land waar je woont/dan bent dan van tel is.

Als je wil dat enkel de Nederlandse wetten, waar je zelf nog enige democratische inspraak in hebt, voor je gelden, dan blijf je in Nederland en maak je gebruik van Nederlandse dienstleveranciers. Nederlandse en Belgische privacyrechten gaan veelal over het beschermen van de eigen burgers tegen de staat zelf, ze gaan zelden over het beschermen van buitenlanders, al wil dat niet zeggen dat die geen bescherming genieten, zij zijn niet de doelgroep van dat soort wetten.

Het is een eigen keuze geweest om voor elke dienst over het internet naar het buitenland te reizen, die er voor zorgt dat binnenlandse bedrijven moeilijker kunnen concurreren. Privacy was waarschijnlijk geen onderdeel van de analyse waarom we collectief voor bedrijven gekozen hebben, maar ze zijn wel een prijs die we nu betalen aangezien een Ierse staat bvb zich niet naar Nederlandse wetten te schikken hheeft. Vanaf je een grens overgaat zijn er andere wetten van tel en zijn de beschermingen die je land van woonst voorziet amper nog van tel. De EU helpt daar wel, maar lost ook niet alles op aangezien ze ook criminaliteit tegen wil gaan, wat een "onderdeel van de maatschappij" is die net probeert grenzen over te gaan net vanwege het verschil in wetgeving en de moeilijkheid van overheden om aan hun informatie te geraken.

[Reactie gewijzigd door Terracotta op 18 augustus 2026 08:03]

[Triblade_8472]

Wat ik wil zeggen. hoe wilt de EU de nevenschade voorkomen als ieder lidstaat voor zichzelf weer bezig gaat met rotzooien in privé data.

Die zijn daar helemaal niet mee bezig. Kijk naar ChatControl en hoe men alle mogelijke politieke truken uithaalt om het er doorheen te douwen.

Is er enige digitale veiligheid/privacy voor burgers door de EU bewerkstelligt? Alles is erop gericht dit van je af te nemen ter behoeve van de digitale controlestaat van de EU. Het enige voordeel is dat ze de VS meer uitsluiten dan voorheen. Zelfs eigen EU bobo's zijn uitgezonderd van de eigen regels, dan weet je wel hoe ziek dit is.

[TV_NERD]

Ik vraag me ook af of de beheerders van het postduivenforum wel digitaal geletterd genoeg zijn om uberhaupt te weten dat ze zich moeten aanmelden voor de "Europese Court Database". Jammer dat het artikel niet ingaat op de gevolgen voor bedrijven wanneer ze zich totaal niet registeren.

[Chicken]

Ik denk niet dat die kwalificeren om in de Court Database opgenomen te worden. Ze voldoen waarschijnlijk niet aan de criteria van het leveren van de diensten (misschien wel punt 2?). Wel kan de hoster van het forum gevraagd worden de data aan te leveren.

[Reactie gewijzigd door Chicken op 18 augustus 2026 06:24]

[Soldaatje]

Dus het is niet verstandig om dat stukje forum thuis op een raspberrypi te laten draaien in jaren 90-stijl, om kosten te besparen op hosting.

[JayWheel]

Ik denk niet dat een postduif zo snel over is in Griekenland met de benodigde informatie

[Milmoor]

Wat een internet titel van dit artikel. Het werkt blijkbaar, maar ik vindt het geen prettige stijl. Er zit nog geen telwoord in, dan zou het pas echt de nieuwe insteek zijn.

[T0mBa]

Volledig mee eens. Door de click bait titels die tegenwoordig overal de standaard zijn, ben ik behoorlijk allergisch aan "dit" of "deze" in de titel van een artikel. Spijtig dat ook tweakers deze praktijk invoert.

[JanVQ]

Nog even en we zien ook titels als "This computer should not exist!", "I bought a Tesla. What happened next will shock you!", " en andere vermoeiende clickbait.

[Evanesco]

Nou heel goed punt, was me nog niet eens opgevallen. Dat de wet omstreden is zal best, maar de toevoeging “zo komen ze sneller aan je gegevens” is pure stemmingmakerij, maakt het persoonlijk en met maar 1 doel voor ogen: verontwaardiging opwekken. Wat goed lijkt te werken aangezien het anti-EU sentiment met “Nexits” and the like je weer om de oren vliegt. Erg negatieve insteek verder ook, lijkt me dat gegevensuitwisseling hard toe was aan een update als het zo stervenslang duurde om internationale criminaliteit aan te pakken. Niets doen was dus ook niet echt een optie.

[Aemstel]

Ja mee eens. Erg vervelend die clickbait titels. De eerste gedachte is ook direct dat de EU weer iets verschrikkelijks met je uithaalt. Zeker in een tijd waar veel mensen niet verder kijken dan de titel van een artikel, benadert dit misleiding.

[AnonymousGerbil]

Vallen vpn diensten hier ook onder?

[keranoz]

Zat ik mij ook af te vragen. Zou verwachten van wel. Maar hoe zit dat dan als het bedrijf niet registreerd is in de EU? Moeten we ze er dan alsnog aan voldoen?

[DrFurioux]

"Inhoudelijke gegevens (zoals e-mails) mogen alleen worden opgevraagd bij misdrijven waarop een maximale gevangenisstraf van minimaal drie jaar staat"

In het Nederlandse Wetboek van Strafrecht staan veel misdrijven waarop een maximale gevangenisstraf van minimaal drie jaar staat. Dit betekend dus dat de drempel erg laag is om dit soort gevoelige inhoudelijke op te vragen.
Voor bijvoorbeeld mishandeling, moord en witwassen. Maar dus ook: diefstal, fraude en verduistering. En dan gaat het dus alleen maar om verdenking van. Er is dan nog niks bewezen.

Maar, de oplossing zou dan zijn: eigen server en alles via Nextcloud en/of Matrix?

[IStealYourGun]

Er moet ook effectief verdenking zijn. Als jij een eerlijke burger bent dan is de kans nihil. In België zullen dit soort gegevens nog steeds pas kunnen worden opgevraagd worden na een goedkeuring van de procureur. Mark de agent die toevallig wil weten of jij een brave burger bent gaat dit niet zomaar kunnen opvragen met het excuus dat ze denken dat je fraude pleegt. Er gaat om te beginnen al eerst een klacht moeten zijn en daarvoor dus ook een PV.

[Ruw ER]

Andersom vind ik belangrijker, als iemand veroordeeld is, dat het overal bekend is. Benno L kon na zijn lachwekkende strafje van 6 jaar in Nederland vrolijk verdergaan waar hij gebleven was in Duitsland om meer slachtoffers te maken.

[Cobalt]

Dus voor 1 mafkees moeten 500 miljoen Europeanen als crimineel behandeld worden?

[Ruw ER]

Hebben 500 miljoen Europeanen een celstraf gehad?

[mbovenka]

Dat zegt hij dus (juist) niet?

[Dlsruptor]

*zucht*

Kent iemand het boek "Jij heb wél iets te verbergen". Ik las dit ooit met de gedachte dat we nooit zo dom kunnen worden.

[Botmeister]

Dus dit wordt dan de Europese versie van eDiscovery dat in de US al vele jaren draait. Zat ook altijd al standaard in Azure, onderdeel Exchange Online als ik het goed herinner. Nu onderdeel van Purview.

[The Zep Man]

Naast het verstrekkingsbevel kunnen lidstaten ook een bewaringsbevel uitvaardigen. Dat houdt in dat een autoriteit een bedrijf kan verplichten om bepaalde gegevens te bewaren, zodat ze niet verwijderd worden. Dat is bijvoorbeeld handig als het proces om toegang te krijgen tot de data nog loopt.

Door dit soort bevelen is het belangrijk dat VPN providers niet onnodig data verwerken. Wat ze niet verwerken kunnen ze niet verstrekken of bewaren. Zie het bevel richting Mullvad om samen te werken met justitie en dat justitie daar (met volledige samenwerking) met lege handen naar huis terugkeerde.

[rickvdvulkaan]

Wat als ik een eigen kleine b.v heb (x) met aandelen in een andere kleine b.v (y) en met b.v x gebruik maak van self-hosted diensten van bv y die ik zelf heb opgezet/beheer?

[LootersV]

Zou deze wet ook gebruikt kunnen worden om te voorkomen dat een Rutte of Ursula voortaan communicatie vernietigd?