Voorzieningenrechter schorst AP-last onder dwangsom aan Northwave: eerst bevoegdheden bij hostingprovider uitputten

Waar het over gaat

Een grote hostingprovider meldde in augustus 2023 een datalek en schakelde Northwave in voor onderzoek. De AP vorderde het onderzoeksrapport bij de provider, die volgens de AP niet volledig meewerkte. De AP vorderde daarna inlichtingen bij Northwave zelf en legde in februari 2024 een last onder dwangsom op. De voorzieningenrechter oordeelt dat de AP zich op grond van artikel 58, eerste lid, onder a, AVG in eerste instantie tot de normadressaat moet wenden, hier de hostingprovider. De AP had haar bevoegdheden tegenover de provider niet uitgeput en had de aangekondigde last onder dwangsom aan de provider nooit opgelegd. Inlichtingen vorderen bij een derde die niet onder toezicht van de AP staat is dan redelijkerwijs niet nodig (artikel 5:13 Awb, subsidiariteit). De last wordt geschorst tot twee weken na de beslissing op bezwaar; de AP betaalt griffierecht en proceskosten.

Wat dit betekent voor de praktijk

De AP moet voor informatie eerst bij de verwerkingsverantwoordelijke of verwerker zelf zijn en haar middelen daar uitputten, voordat zij met dwangmiddelen bij een leverancier of adviseur aanklopt. Incident-response- en forensische bedrijven kunnen een inlichtingenvordering aanvechten als de AP de eigen middelen tegenover de organisatie onder toezicht nog niet heeft benut. Het blijft een voorlopig oordeel, en de verwerkingsverantwoordelijke zelf moet gevorderde onderzoeksrapporten wel verstrekken. Leg daarom contractueel vast wie richting de AP rapporteert en hoe met onderzoeksrapporten wordt omgegaan.

De AVG-artikelen waar het om gaat

• Artikel 31: Medewerking met de toezichthoudende autoriteit
• Artikel 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit
• Artikel 58: Bevoegdheden