Elke EU-rechter kan nu rechtstreeks uw leverancier bevelen

Wat er op 18 augustus veranderde

Verordening (EU) 2023/1543 is sinds 18 augustus 2026 rechtstreeks van toepassing in de hele Europese Unie en creëert een juridisch instrument dat bekendstaat als het Europees productiebevel. Een rechterlijke instantie in een lidstaat kan nu een dienstverlener die in een andere lidstaat is gevestigd, verplichten abonnee-, verkeers- of inhoudsgegevens af te geven, zonder het verzoek eerst via de thuisregering van de leverancier te laten lopen.

Dat laatste punt is de structurele verandering. Onder de regeling voor wederzijdse rechtshulp die deze verordening vervangt, moest een Franse officier van justitie die data wilde van een in Ierland opgerichte onderneming de Ierse autoriteiten vragen namens hem op te treden, een proces dat maanden kon duren. Onder het Europees productiebevel kan de Franse autoriteit het bevel rechtstreeks naar de Ierse leverancier sturen, die wettelijk verplicht is rechtstreeks te antwoorden. De bijbehorende richtlijn, 2023/1544, moest uiterlijk op 18 februari 2026 zijn omgezet in het nationale recht van elke lidstaat, zes maanden voordat de verordening zelf van kracht werd, zodat nationale rechtbanken en leveranciers op de dag van toepassing over een werkend mechanisme zouden beschikken.

De 8-uursklok uitgelegd

Er gelden twee termijnen, en het verschil daartussen vormt de hele operationele uitdaging. In de standaardprocedure heeft een dienstverlener die een Europees productiebevel ontvangt 10 dagen om eraan te voldoen. In de spoedprocedure, voorbehouden aan gevallen met dreigend gevaar voor leven, fysieke veiligheid of kritieke infrastructuur, krimpt dat venster tot 8 uur.

Een termijn van 8 uur laat geen tijd om externe advocaten in te schakelen, een zaak te laten escaleren via een juridische afdeling met meerdere lagen, of te wachten tot een compliancemedewerker terugkeert van een weekend. Een leverancier heeft een aangewezen wettelijke vertegenwoordiger nodig en een vooraf uitgewerkt escalatietraject voordat het bevel binnenkomt, want dat traject pas na de start van de klok uitwerken verbruikt de klok zelf. De boete van maximaal 2 procent van de wereldwijde omzet geldt voor de leverancier ongeacht diens omvang, waardoor de blootstelling meegroeit met de omzet, niet met de volwassenheid van diens juridische functie.

Waarom het grootste deel van de EU niet klaar is

Slechts vier lidstaten, Kroatië, Italië, Litouwen en Slowakije, hadden op de toepassingsdatum van de verordening de nationale uitvoeringswetgeving aangenomen die nodig is om daadwerkelijk Europese productiebevelen uit te vaardigen of te ontvangen. De overige 23 vallen in twee groepen uiteen: Denemarken, dat wegens zijn blijvende opt-out van EU-maatregelen op het gebied van vrijheid, veiligheid en recht volledig buiten dit kader valt, en de overige lidstaten, die richtlijn 2023/1544 vóór de deadline van 18 februari 2026 simpelweg nog niet hadden omgezet.

De Europese Commissie startte op 27 maart 2026 inbreukprocedures tegen 22 lidstaten wegens het niet tijdig omzetten van de richtlijn. Dat is geen technisch detail dat in een dossier verscholen ligt; het betekent dat rechtbanken en handhavingsautoriteiten in die 22 staten geen duidelijke nationale procedure hebben om een Europees productiebevel te sturen naar een leverancier elders in de EU, en dat leveranciers die in die staten zijn gevestigd geen duidelijke nationale procedure hebben om zo'n bevel te ontvangen en te beantwoorden. De verordening zelf is rechtstreeks van toepassing en wacht niet op de nationale uitvoering om rechtsgevolgen te krijgen, waardoor de verplichting al bestaat terwijl de meeste lidstaten nog bezig zijn het administratieve apparaat op te bouwen om ze uit te voeren.

Wat dit betekent voor een relatie met een in de EU gevestigde leverancier

Een aanname die het beste kan worden losgelaten, is dat het hosten van data binnen de EU, of het uitsluitend zakendoen met in de EU gevestigde leveranciers, de blootstelling aan grensoverschrijdende juridische verzoeken wegneemt. Onder dit kader gebeurt precies het tegenovergestelde. Omdat elke EU-rechterlijke instantie nu een Europees productiebevel kan sturen naar elke in de EU gevestigde leverancier, heeft een bedrijf waarvan het SaaS-platform, de cloudhost, de salarisverwerker of het communicatiemiddel is opgericht in een andere lidstaat dan de eigen lidstaat, er een nieuwe categorie juridisch aanvraagoppervlak bij gekregen, een categorie die in spoedgevallen komt met een klok van 8 uur en een boete van 2 procent van de omzet voor de leverancier die de termijn mist.

Het praktische antwoord is vooraf te weten waar elke leverancier juridisch is gevestigd, of die leverancier een aangewezen contactpunt heeft voor Europese productiebevelen, en hoe diens eigen escalatieplan van 8 uur eruitziet, want een klant die afhankelijk is van de data van een leverancier heeft er rechtstreeks belang bij hoe snel en hoe zorgvuldig die leverancier kan reageren. Aangezien 22 van de 27 lidstaten nog volop in inbreukprocedures zitten over hun eigen omzetting, maakt het nu al stellen van deze vragen aan een leverancier, in plaats van pas nadat een bevel is aangekomen, het verschil tussen een gedocumenteerd incidentresponsplan en een geïmproviseerd plan.

Lees hierna: Apple's tracking-melding staat nu onder tijdsdruk  |  Algoritme ontsloeg chauffeurs. Uber betaalt 825 miljoen.