Overwegingen bij COM(2018)225 - Europees bevel tot verstrekking en het Europees bevel tot bewaring van elektronisch bewijsmateriaal in strafzaken - Hoofdinhoud
Dit is een beperkte versie
U kijkt naar een beperkte versie van dit dossier in de EU Monitor.
| dossier | COM(2018)225 - Europees bevel tot verstrekking en het Europees bevel tot bewaring van elektronisch bewijsmateriaal in strafzaken. |
|---|---|
| document | COM(2018)225   |
| datum | 12 juli 2023 |
(2) Maatregelen om elektronisch bewijsmateriaal te verkrijgen en te bewaren worden steeds belangrijker voor onderzoek en vervolging in strafzaken in de hele Unie. Doeltreffende mechanismen om elektronisch bewijsmateriaal te verkrijgen, zijn van essentieel belang om criminaliteit te bestrijden, maar moeten tegelijk aan voorwaarden worden onderworpen met het oog op de volledige eerbiediging van de grondrechten en -beginselen die zijn erkend in het Handvest van de grondrechten van de Europese Unie zoals dat in de Verdragen is verankerd, en met name de beginselen van noodzakelijkheid en evenredigheid, en het recht op eerlijke rechtsbedeling, gegevensbescherming, briefgeheim en bescherming van de persoonlijke levenssfeer.
(3) In de Gezamenlijke verklaring van de EU-ministers van Justitie en Binnenlandse Zaken en van de vertegenwoordigers van de EU-instellingen over de terreuraanslagen op 22 maart 2016 in Brussel werd benadrukt dat bij voorrang manieren moesten worden gezocht om sneller en doeltreffender digitaal bewijsmateriaal te verkrijgen en veilig te stellen, en dat concrete maatregelen moesten worden vastgesteld om deze zaak aan te pakken.
(4) In zijn conclusies van 9 juni 2016 onderstreepte de Raad dat digitaal bewijsmateriaal steeds belangrijker wordt voor de strafvervolging, dat de bescherming van de cyberruimte tegen misbruik en criminele activiteiten van groot belang is voor onze economieën en samenlevingen, en dat rechtshandhavings- en gerechtelijke instanties en daarom doeltreffende middelen moeten hebben om criminele handelingen in de cyberruimte op te sporen en te vervolgen.
(5) In de gezamenlijke mededeling over weerbaarheid, afschrikking en defensie van 13 september 2017 27 heeft de Commissie erop gewezen dat doeltreffend onderzoek naar en vervolging van cybercriminaliteit belangrijke afschrikmiddelen tegen cyberaanvallen zijn en dat het huidige procedurele kader beter moet aansluiten bij het internettijdperk. De huidige procedures kunnen de snelheid van cyberaanvallen soms niet aan, waardoor er een bijzondere behoefte aan snelle grensoverschrijdende samenwerking is ontstaan.
(6) Het Europees Parlement heeft deze bezorgdheid verwoord in zijn resolutie over de strijd tegen cybercriminaliteit van 3 oktober 2017 28 , waarin wordt gewezen op de problemen die het momenteel versnipperde wettelijke kader kan opleveren voor dienstverleners die willen voldoen aan verzoeken van rechtshandhavingsautoriteiten en waarin de Commissie wordt verzocht een voorstel voor een Europees rechtskader voor e-bewijs voor te leggen met voldoende waarborgen voor de rechten en vrijheden van alle betrokkenen.
(7) Op een netwerk gebaseerde diensten kunnen vanuit om het even welke plaats worden geleverd en vereisen geen fysieke infrastructuur, gebouwen of personeel in het betrokken land. Als gevolg daarvan wordt relevant bewijsmateriaal vaak opgeslagen buiten de staat waar het onderzoek wordt gevoerd, of door een buiten die staat gevestigde dienstverlener. Vaak is er geen ander verband tussen de in de betrokken staat onderzochte zaak en de staat van de plaats van opslag of van de belangrijkste vestiging van de dienstverlener.
(8) Als gevolg van dit ontbrekende verband worden verzoeken om justitiële samenwerking vaak gericht aan landen die een groot aantal dienstverleners hosten, maar verder geen enkele link hebben met de betrokken zaak. Voorts is het aantal verzoeken sterk toegenomen in het licht van de steeds vaker gebruikte netwerkdiensten, die van nature grensoverschrijdend zijn. Als gevolg daarvan duurt het verkrijgen van elektronisch bewijsmateriaal door middel van justitiële samenwerking vaak erg lang, zelfs langer dan aanknopingspunten beschikbaar zijn. Bovendien is er geen duidelijk kader voor samenwerking met dienstverleners, terwijl bepaalde dienstverleners uit derde landen directe verzoeken om niet-inhoudelijke gegevens aanvaarden, zoals toegestaan op grond van hun toepasselijk nationaal recht. Als gevolg daarvan doen alle lidstaten een beroep op het kanaal voor samenwerking met dienstverleners wanneer dat voorhanden is, en gebruiken zij verschillende nationale instrumenten, voorwaarden en procedures. Bovendien hebben sommige lidstaten voor inhoudelijke gegevens unilaterale maatregelen genomen, terwijl andere een beroep blijven doen op justitiële samenwerking.
(9) Het versnipperde rechtskader levert problemen op voor dienstverleners die willen voldoen aan verzoeken van rechtshandhavingsautoriteiten. Er is derhalve behoefte aan een Europees rechtskader voor elektronisch bewijsmateriaal om dienstverleners die onder het toepassingsgebied van het instrument vallen, te verplichten om autoriteiten direct te antwoorden, zonder de betrokkenheid van een justitiële autoriteit van de lidstaat van de dienstverlener.
(10) Krachtens deze verordening uitgevaardigde bevelen dienen te worden gericht aan daartoe aangewezen wettelijke vertegenwoordigers van dienstverleners. Wanneer een in de Unie gevestigde dienstverlener geen wettelijke vertegenwoordiger heeft aangewezen, kunnen de bevelen worden gericht aan elke vestiging van de betrokken dienstverlener in de Unie. Deze terugvaloptie beoogt de doeltreffendheid van het systeem te verzekeren in geval de dienstverlener (nog) geen specifieke vertegenwoordiger heeft aangewezen.
(11) Het mechanisme van de Europese bevelen tot verstrekking en bewaring van elektronisch bewijsmateriaal in strafzaken kan alleen werken op basis van een hoog niveau van wederzijds vertrouwen tussen de lidstaten, wat een essentiële voorwaarde vormt voor de goede werking van dit instrument.
(12) Deze verordening eerbiedigt de grondrechten en neemt de beginselen in acht die met name in het Handvest van de grondrechten van de Europese Unie zijn erkend. Het gaat onder meer om het recht op vrijheid en veiligheid, het recht op eerbiediging van het privéleven en het familie- en gezinsleven, de bescherming van persoonsgegevens, de vrijheid van ondernemerschap, het recht op eigendom, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van verdediging, het legaliteitsbeginsel en evenredigheidsbeginsel, en het recht om niet tweemaal in een strafrechtelijke procedure voor hetzelfde strafbare feit te worden berecht of gestraft. Ingeval de uitvaardigende lidstaat over aanwijzingen beschikt dat in een andere lidstaten mogelijk een parallelle strafprocedure wordt gevoerd, raadpleegt hij de autoriteiten van deze lidstaat overeenkomstig Kaderbesluit 2009/948/JBZ van de Raad 29 .
(13) Met het oog op de volledige eerbiediging van de grondrechten verwijst deze verordening uitdrukkelijk naar de noodzakelijke normen betreffende de verkrijging van persoonsgegevens, de verwerking van die gegevens, de rechterlijke toetsing van het gebruik van de onderzoeksmaatregel waarin dit instrument voorziet en de beschikbare rechtsmiddelen.
(14) Deze verordening moet worden toegepast onverminderd de procedurele rechten in strafzaken die zijn vastgesteld bij de Richtlijnen 2010/64/EU 30 , 2012/13/EU 31 , 2013/48/EU 32 , 2016/343 33 , 2016/800 34 en 2016/1919 35 van het Europees Parlement en de Raad.
(15) Bij dit instrument worden de regels vastgesteld op grond waarvan een bevoegde justitiële autoriteit in de Europese Unie een dienstverlener die in de Unie diensten aanbiedt, door middel van een Europees verstrekkings- of bewaringsbevel kan gelasten elektronisch bewijs te verstrekken of te bewaren. Deze verordening is van toepassing op alle gevallen waarin de dienstverlener in een andere lidstaat is gevestigd of vertegenwoordigd. Voor binnenlandse situaties waarin de bij deze verordening ingestelde instrumenten niet kunnen worden gebruikt, mag de verordening geen beperking inhouden van de bevoegdheden die het nationale recht de nationale bevoegde instanties reeds biedt om op hun grondgebied gevestigde of vertegenwoordigde dienstverleners te dwingen.
(16) De voor strafrechtelijke procedures meest relevante dienstverleners zijn aanbieders van elektronische-communicatiediensten en specifieke aanbieders van diensten van de informatiemaatschappij die contacten tussen gebruikers mogelijk maken. Bijgevolg dienen beide groepen onder deze verordening te vallen. Aanbieders van elektronische-communicatiediensten worden omschreven in het voorstel voor een richtlijn tot vaststelling van het Europees wetboek voor elektronische communicatie. Het gaat onder meer om persoonlijke communicatie zoals diensten op het gebied van voice-over-IP, instant messaging en e-mail. De hier opgenomen categorieën diensten van de informatiemaatschappij zijn die waarvoor de opslag van gegevens een wezenlijk onderdeel is van de aan de gebruiker verleende dienst, en hebben met name betrekking op sociale netwerken voor zover zij niet als elektronische-communicatiediensten kunnen worden aangemerkt, onlinemarktplaatsen die transacties tussen hun gebruikers (zoals consumenten of ondernemingen) mogelijk maken en andere hostingdiensten, ook wanneer de dienst via cloud computing wordt verleend. Diensten van de informatiemaatschappij waarvoor de opslag van gegevens geen bepalend onderdeel is van de aan de gebruiker verleende dienst, en slechts van ondergeschikt belang is, zoals juridische, architectonische, ingenieurs- en accountingdiensten die online op afstand worden verleend, dienen van het toepassingsgebied van deze verordening te worden uitgesloten, zelfs indien zij onder de definitie van diensten van de informatiemaatschappij kunnen vallen, overeenkomstig Richtlijn (EU) 2015/1535.
(17) In veel gevallen worden gegevens niet langer opgeslagen of verwerkt op een apparaat van een gebruiker, maar beschikbaar gemaakt via een cloudgebaseerde infrastructuur die overal vandaan toegankelijk is. Om deze diensten aan te bieden, hoeven dienstverleners niet in een specifiek rechtsgebied te zijn gevestigd of over servers te beschikken. De toepassing van deze verordening mag derhalve niet afhangen van de werkelijke plaats waar de dienstverlener is gevestigd of de opslag- of verwerkingsvoorzieningen zijn gelegen.
(18) Aanbieders van internetinfrastructuurdiensten die verband houden met de toewijzing van namen en nummers, zoals registrators en registers van domeinnamen en aanbieders van privacy- en proxydiensten, of regionale internetregisters van internetprotocol("IP")adressen, zijn met name van belang voor de identificatie van actoren achter kwaadwillige of gecompromitteerde websites. Zij zijn in het bezit van gegevens die voor strafprocedures bijzonder relevant zijn, aangezien dat de identificatie mogelijk maakt van individuen of entiteiten die schuilgaan achter websites die voor criminele activiteiten worden gebruikt, of slachtoffers van criminele activiteiten in het geval van een gecompromitteerde website die door criminelen is gekaapt.
(19) Deze verordening regelt alleen het verzamelen van opgeslagen gegevens, dat wil zeggen de gegevens waarover een dienstverlener beschikt op het moment van ontvangst van het certificaat inzake het Europees verstrekkingsbevel of inzake het Europees bewaringsbevel. Zij legt geen algemene verplichting tot bewaring van gegevens op, en staat evenmin toe dat gegevens worden onderschept of gegevens worden verkregen die zijn opgeslagen na de ontvangst van een certificaat inzake het verstrekkings- of bewaringsbevel. De gegevens moeten worden verstrekt, ongeacht of zij zijn versleuteld.
(20) De categorieën van gegevens die onder deze verordening vallen, omvatten abonneegegevens toegangsgegevens, transactiegegevens (de drie categorieën die worden aangeduid als niet-inhoudelijke gegevens) en inhoudelijke gegevens. Dit onderscheid wordt, zij het niet wat betreft toegangsgegevens, in de wetgeving van veel lidstaten gemaakt, alsook in het rechtskader van VS, dat dienstverleners toestaat op vrijwillige basis niet-inhoudelijke gegevens te delen met buitenlandse rechtshandhavingsinstanties.
(21) Het is passend om toegangsgegevens in deze verordening als een specifieke gegevenscategorie te behandelen. Toegangsgegevens worden met hetzelfde doel verlangd als abonneegegevens, namelijk om de daarachter schuilgaande gebruiker te identificeren, en de grondrechten zijn bij beide categorieën in vergelijkbare mate in het geding. Toegangsgegevens worden doorgaans geregistreerd als onderdeel van een registratie van gebeurtenissen (met andere woorden een serverlog), ter aanduiding van de aanvang en de beëindiging van een toegangssessie van een gebruiker inzake een dienst. Het gaat vaak om een individueel IP-adres (statisch of dynamisch) of andere identificator die de tijdens de toegangssessie gebruikte netwerkinterface aanwijst. Indien de gebruiker onbekend is, dienen deze gegevens vaak te worden verkregen voordat abonneegegevens betreffende die identificator kunnen worden opgevraagd bij de dienstverlener.
(22) Transactiegegevens daarentegen worden doorgaans verlangd om informatie te verkrijgen over de contacten en verblijfplaats van de gebruiker en kunnen dienen om een profiel van een betrokkene op te stellen. Toegangsgegevens op zich kunnen niet dienen voor een soortgelijk doel; zij onthullen bijvoorbeeld geen enkele informatie over gesprekspartners van de gebruiker. Vandaar dat dit voorstel een nieuwe categorie gegevens introduceert, die net als abonneegegevens moeten worden behandeld wanneer het verkrijgen van deze gegevens eenzelfde doel heeft.
(23) Alle gegevenscategorieën bevatten persoonsgegevens en vallen dus onder de waarborgen van het gegevensbeschermingsacquis van de Unie, maar de intensiteit van het effect op de grondrechten varieert, met name tussen abonneegegevens en toegangsgegevens enerzijds en transactiegegevens en inhoudelijke gegevens anderzijds. Terwijl abonneegegevens en toegangsgegevens nuttig zijn om in een onderzoek de eerste aanwijzingen te verkrijgen over de identiteit van een verdachte, zijn transactiegegevens en inhoudelijke gegevens het meest relevant als bewijsmateriaal. Het is derhalve van essentieel belang dat het instrument op al deze gegevenscategorieën van toepassing is. Omdat de mate waarin de grondrechten in het geding zijn, verschilt, worden verschillende voorwaarden verbonden aan het verkrijgen van abonnee- en toegangsgegevens enerzijds en transactiegegevens en inhoudelijke gegevens anderzijds.
(24) Het Europees verstrekkingsbevel en het Europees bewaringsbevel zijn onderzoeksmaatregelen die uitsluitend mogen worden genomen in het kader van een specifieke strafprocedure tegen de specifieke bekende of nog onbekende daders van een concreet strafbaar feit dat reeds heeft plaatsgevonden, na een individuele beoordeling van de evenredigheid en noodzaak in het individuele geval.
(25) Deze verordening doet geen afbreuk aan de onderzoeksbevoegdheden van autoriteiten in burgerlijke of administratieve procedures, ook wanneer deze procedures tot sancties kunnen leiden.
(26) Deze verordening dient van toepassing te zijn op dienstverleners die diensten aanbieden in de Unie, en de bevelen waarin deze verordening voorziet, mogen alleen worden uitgevaardigd voor gegevens die betrekking hebben op in de Unie aangeboden diensten. Diensten die uitsluitend buiten de Unie worden aangeboden, vallen niet binnen het toepassingsgebied van deze verordening, zelfs niet indien de dienstverlener in de Unie is gevestigd.
(27) Om te bepalen of een dienstverlener diensten aanbiedt in de Unie, dient te worden nagegaan of de dienstverlener rechtspersonen of natuurlijke personen in een of meer lidstaten in staat stelt om zijn diensten te gebruiken. Enkel de toegankelijkheid van een online-interface, zoals de toegankelijkheid van de website van de dienstverlener of een intermediair of van een e-mailadres en van andere contactgegevens, in een of meer lidstaten afzonderlijk, mag echter niet voldoende zijn om de toepassing van deze verordening te rechtvaardigen.
(28) Ook een reële link met de Unie dient relevant te zijn om het toepassingsgebied van deze verordening te bepalen. Een dergelijke reële link met de Unie moet worden geacht te bestaan wanneer de dienstverlener een vestiging heeft in de Unie. Wanneer er geen vestiging in de Unie is, moet de vervulling van het criterium van een reële link worden beoordeeld op basis van het bestaan van een aanzienlijk aantal gebruikers in een of meer lidstaten, of de toespitsing van activiteiten op een of meer lidstaten. De toespitsing van activiteiten op een of meer lidstaten kan worden bepaald op basis van alle relevante omstandigheden, waaronder factoren als het gebruik van een taal of een munteenheid die in een lidstaat algemeen gangbaar is, of de mogelijkheid om goederen of diensten te bestellen. De toespitsing van activiteiten op een lidstaat zou ook kunnen worden afgeleid uit de beschikbaarheid van een applicatie ("app") in de desbetreffende nationale app store, uit het feit dat er plaatselijk wordt geadverteerd of wordt geadverteerd in de taal die in die lidstaat wordt gebruikt, of uit de wijze van beheer van relaties met cliënten, zoals het verstrekken van klantenservice in de taal die in die lidstaat algemeen gangbaar is. Een reële link moet ook worden aangenomen wanneer een dienstverlener zijn activiteiten richt op een of meer lidstaten, als omschreven in artikel 17, lid 1, onder c), van Verordening (EU) nr. 1215/2012 betreffende de rechterlijke bevoegdheid, de erkenning en de tenuitvoerlegging van beslissingen in burgerlijke en handelszaken 36 . Het verlenen van de dienst met het enkele doel om het in Verordening (EU) 2018/302 37 neergelegde discriminatieverbod na te leven, kan daarentegen niet, op die grond alleen, worden beschouwd als het richten of toespitsen van activiteiten op een bepaald grondgebied binnen de Unie.
(29) Een Europees verstrekkingsbevel mag alleen worden uitgevaardigd indien dit noodzakelijk en evenredig is. Bij de beoordeling daarvan moet ermee rekening worden gehouden of het bevel wel beperkt is tot wat noodzakelijk is voor het bereiken van het legitieme doel relevante en noodzakelijke gegevens te verkrijgen om uitsluitend in het individuele geval als bewijsmateriaal te dienen.
(30) Bij het uitvaardigen van een Europees verstrekkings- of bewaringsbevel moet steeds een rechterlijke instantie betrokken zijn, hetzij tijdens de uitvaardigingsprocedure, hetzij tijdens de bekrachtigingsprocedure. Gelet op het gevoeliger karakter van transactiegegevens en inhoudelijke gegevens is bij de uitvaardiging of bekrachtiging van Europese verstrekkingsbevelen betreffende deze gegevens rechterlijke toetsing vereist. Aangezien abonnee- en toegangsgegevens minder gevoelig zijn, kunnen Europese verstrekkingsbevelen voor openbaarmaking van die gegevens ook door bevoegde openbare aanklagers worden uitgevaardigd of bekrachtigd.
(31) Om dezelfde reden moet een onderscheid worden gemaakt met betrekking tot het materiële toepassingsgebied van deze verordening: Bevelen tot verstrekking van abonnee- en toegangsgegevens kunnen voor alle strafbare feiten worden uitgevaardigd, terwijl striktere voorwaarden dienen te gelden voor toegang tot transactiegegevens en inhoudelijke gegevens in verband met het gevoeliger karakter van deze gegevens. Een drempel maakt een meer evenredige aanpak mogelijk, net als een aantal andere in de verordening voorstel opgenomen ex-ante- en ex-postvoorwaarden en waarborgen ter eerbiediging van het evenredigheidsbeginsel en de rechten van de betrokken personen. Een drempel mag echter geen beperking vormen voor de doeltreffendheid van het instrument en het gebruik ervan door beroepsbeoefenaars. Wanneer alleen bevelen mogen worden uitgevaardigd voor onderzoek naar feiten waarop een maximumgevangenisstraf van ten minste drie jaar staat, blijft het toepassingsgebied van het instrument beperkt tot ernstiger misdrijven, zonder dat de mogelijkheden voor het gebruik ervan door beroepsbeoefenaars buitensporig worden ingeperkt. Op die manier wordt een groot aantal strafbare feiten die de lidstaten blijkens de lagere maximumstraffen als minder ernstig beschouwen, van het toepassingsgebied uitgesloten. Een drempel heeft ook het voordeel dat hij gemakkelijk in de praktijk kan worden toegepast.
(32) Er zijn specifieke strafbare feiten waarbij het bewijsmateriaal doorgaans uitsluitend beschikbaar is in elektronische vorm, die een bijzonder vluchtig karakter heeft. Dit is het geval bij cybergerelateerde criminaliteit, ook die welke eventueel op zich niet als ernstig wordt beschouwd, maar die uitgebreide of aanzienlijke schade kan berokkenen, met name in gevallen waarin de individuele gevolgen gering zijn, maar de algehele schade omvangrijk is. In de meeste gevallen waarin het strafbaar feit door middel van een informatiesysteem wordt gepleegd, zou de toepassing van dezelfde drempel als voor andere soorten strafbare feiten, hoofdzakelijk tot straffeloosheid leiden. Dit rechtvaardigt dat de verordening ook wordt toegepast op strafbare feiten waarop minder dan 3 jaar gevangenisstraf staat. Daarnaast geldt voor aanvullende terrorismegerelateerde strafbare feiten als omschreven in Richtlijn (EU) 2017/541 de minimumdrempel van 3 jaar maximumstraf niet.
(33) Daarnaast moet ook worden bepaald dat het Europees verstrekkingsbevel alleen mag worden uitgevaardigd wanneer voor hetzelfde strafbare feit in een vergelijkbare binnenlandse situatie in de uitvaardigende staat een soortgelijk bevel beschikbaar is.
(34) In gevallen waarin de verlangde gegevens worden opgeslagen of verwerkt als onderdeel van een infrastructuur die door een dienstverlener wordt verstrekt aan een bedrijf of een andere entiteit die geen natuurlijke persoon is, doorgaans in het geval van hostingdiensten, dient het Europees verstrekkingsbevel uitsluitend te worden gebruikt wanneer andere onderzoeksmaatregelen tegen het bedrijf of de entiteit niet aangewezen zijn, met name wanneer daarmee het onderzoek zou kunnen worden geschaad. Dit is met name van belang wanneer het gaat om grotere entiteiten, zoals ondernemingen of overheidsinstellingen, die gebruikmaken van de diensten van dienstverleners voor de verschaffing van hun IT-bedrijfsinfrastructuur of -diensten of een combinatie van beide. De eerste adressaat van een Europees verstrekkingsbevel dient in dergelijke situaties het bedrijf of de andere entiteit te zijn. Dat bedrijf of deze andere entiteit is mogelijk geen dienstverlener die binnen het toepassingsgebied van deze verordening valt. In gevallen waarin het echter niet opportuun is het bevel aan die entiteit te richten, bijvoorbeeld omdat zij wordt verdacht van betrokkenheid bij de betreffende zaak of er aanwijzingen zijn voor collusie met het oog op het onderzoek, dienen de bevoegde autoriteiten het bevel om de gewenste gegevens te verstrekken, te kunnen richten tot de dienstverlener die de betrokken infrastructuur levert. Deze bepaling doet geen afbreuk aan het recht om de dienstverlener te bevelen de gegevens te bewaren.
(35) Voorrechten en immuniteiten, die zowel betrekking kunnen hebben op categorieën personen (zoals diplomaten) als op specifiek beschermde relaties (zoals de vertrouwelijkheid van de communicatie tussen advocaat en cliënt), worden ook vermeld in andere instrumenten inzake wederzijdse erkenning, zoals het Europees onderzoeksbevel. Het bereik en de gevolgen ervan verschillen naargelang van het toepasselijke nationale recht waarmee rekening moet worden gehouden op het tijdstip van de uitvaardiging van het bevel, aangezien de uitvaardigende autoriteit het bevel slechts kan uitvaardigen indien een soortgelijk bevel beschikbaar zou zijn in een vergelijkbare binnenlandse situatie. Naast dit basisbeginsel moet in de uitvaardigende staat met voorrechten en immuniteiten die in de lidstaat van de dienstverlener toegangsgegevens, transactiegegevens en inhoudelijke gegevens beschermen, zoveel mogelijk op dezelfde wijze rekening worden gehouden als wanneer zij krachtens het nationale recht van de uitvaardigende staat zouden gelden. Dit is met name relevant indien het recht van de lidstaat waar het bevel aan de dienstverlener of zijn wettelijke vertegenwoordiger wordt geadresseerd, in een hoger niveau van bescherming voorziet dan het recht van de uitvaardigende staat. De bepaling zorgt ook voor bescherming van de gevallen waarin de openbaarmaking van de gegevens de fundamentele belangen van die lidstaat, zoals nationale veiligheid en defensie, zou kunnen aantasten. Als extra waarborg dient met deze aspecten niet alleen rekening te worden gehouden bij het uitvaardigen van het bevel, maar ook daarna, wanneer de relevantie en de ontvankelijkheid van de betrokken gegevens in de relevante fase van de strafprocedure worden beoordeeld en, wanneer een tenuitvoerleggingsprocedure plaatsvindt, door een tenuitvoerleggingsautoriteit.
(36) Het Europees bewaringsbevel kan voor elk strafbaar feit worden uitgevaardigd. Het heeft als doel te voorkomen dat relevante gegevens worden verwijderd, gewist of gewijzigd in situaties waarin het bewerkstelligen van de verstrekking van deze gegevens meer tijd kan kosten, bijvoorbeeld omdat er gebruik zal worden gemaakt van kanalen voor justitiële samenwerking.
(37) Europese verstrekkings- en bewaringsbevelen dienen te worden gericht aan de door de dienstverlener aangewezen wettelijke vertegenwoordiger. Wanneer er geen wettelijke vertegenwoordiger is aangewezen, kunnen bevelen aan een vestiging van de dienstverlener in de Unie worden gericht. Dit kan het geval zijn wanneer er geen wettelijke verplichting voor de dienstverlener bestaat om een wettelijke vertegenwoordiger aan te wijzen. Ingeval de wettelijke vertegenwoordiger zijn verplichting in noodsituaties niet nakomt, kan het Europees verstrekkings- of bewaringsbevel ook worden gericht aan de dienstverlener, naast of in plaats van handhaving van het oorspronkelijke bevel overeenkomstig artikel 14. Ingeval de wettelijke vertegenwoordiger zijn verplichting niet nakomt in andere situaties dan noodsituaties, maar waarin er duidelijke risico's bestaan dat gegevens verloren zullen gaan, kan een Europees verstrekkings- of bewaringsbevel ook worden gericht aan elke vestiging van de dienstverlener in de Unie. Vanwege deze verschillende mogelijke scenario’s, wordt de algemene term 'adressaat' in de bepalingen gebruikt. Wanneer een verplichting, zoals die inzake vertrouwelijkheid, niet alleen geldt voor de adressaat, maar ook voor de dienstverlener, indien deze niet de adressaat is, wordt dit in de betrokken bepaling vermeld.
(38) Europese verstrekkings- en bewaringsbevelen dienen aan de dienstverlener te worden doorgegeven door middel van een certificaat inzake het Europees verstrekkingsbevel (CEV) of een certificaat inzake het Europees bewaringsbevel (CEB), dat dient te worden vertaald. De certificaten dienen dezelfde verplichte informatie te bevatten als de bevelen, met uitzondering van de gronden voor de noodzaak en de evenredigheid van de maatregel of verdere bijzonderheden over de zaak, teneinde het onderzoek niet in gevaar te brengen. Aangezien deze echter onderdeel vormen van het bevel zelf, kunnen zij door de verdachte later tijdens de strafprocedure worden aangevochten. Waar nodig dient een certificaat te worden vertaald in (één van) de officiële ta(a)l(en) van de lidstaat van de adressaat, of in een andere officiële taal die de dienstverlener heeft aangegeven te zullen aanvaarden.
(39) De bevoegde uitvaardigende autoriteit dient het CEV of het CEB rechtstreeks aan de adressaat door te geven, op zodanige wijze dat dit schriftelijk kan worden vastgelegd en de dienstverlener de echtheid ervan kan vaststellen, zoals bij aangetekende brief, beveiligde e-mail en platforms of andere beveiligde kanalen, met inbegrip van die welke door de dienstverlener ter beschikking worden gesteld, in overeenstemming met de regels voor de bescherming van persoonsgegevens.
(40) De gevraagde gegevens dienen binnen 10 dagen na ontvangst van het CEV aan de autoriteiten te worden doorgegeven. De dienstverlener dient kortere termijnen in acht te nemen in noodgevallen en wanneer de uitvaardigende autoriteit andere redenen aangeeft om af te wijken van de termijn van 10 dagen. Naast het onmiddellijke gevaar dat de gevraagde gegevens worden gewist, kunnen ook met een lopend onderzoek verband houdende omstandigheden een dergelijke reden vormen, bijvoorbeeld wanneer de gevraagde gegevens verband houden met andere dringende onderzoeksmaatregelen die niet kunnen worden uitgevoerd zonder de ontbrekende gegevens of anderszins daarvan afhangen.
(41) Om dienstverleners in staat te stellen formele problemen aan te pakken, is het nodig te voorzien in een procedure voor de communicatie tussen de dienstverlener en de uitvaardigende rechterlijke autoriteit in gevallen waarin het CEV mogelijk onvolledig is, kennelijke fouten bevat of onvoldoende informatie bevat voor de uitvoering van het bevel. Mocht de dienstverlener om een andere reden de informatie niet volledig of niet op tijd verstrekken, bijvoorbeeld omdat hij van oordeel is dat er sprake is van een conflict met een verplichting krachtens het recht van een derde land, of omdat hij meent dat het Europees verstrekkingsbevel niet is uitgevaardigd overeenkomstig de voorwaarden van deze verordening, dient hij zich te wenden tot de uitvaardigende autoriteit en passende redenen aan te voeren. Derhalve moet de communicatieprocedure voorzien in ruime mogelijkheden voor de correctie of heroverweging van het CEV door de uitvaardigende autoriteit in een vroeg stadium. Om de beschikbaarheid van de gegevens te garanderen, moet de dienstverlener de gegevens bewaren als hij kan vaststellen welke gegevens worden gezocht.
(42) Na ontvangst van een certificaat inzake het Europees bewaringsbevel ("CEB") moet de dienstverlener de gevraagde gegevens ten hoogste 60 dagen bewaren, tenzij de uitvaardigende autoriteit de dienstverlener in kennis stelt van het feit dat zij de procedure heeft aangevangen voor de uitvaardiging van een aansluitend verstrekkingsverzoek, in welk geval de bewaring moet worden voortgezet. De termijn van 60 dagen moet de indiening van een officieel verzoek mogelijk maken. Dit houdt in dat er op zijn minst een aantal formele stappen moeten zijn genomen, zoals het versturen van een verzoek om wederzijdse rechtshulp ter vertaling. Na ontvangst van die informatie moeten de gegevens worden bewaard zolang dat nodig is in afwachting van de verstrekking van de gegevens in het kader van een aansluitend verstrekkingsverzoek.
(43) Dienstverleners en hun wettelijke vertegenwoordigers dienen de vertrouwelijkheid te waarborgen en moeten, wanneer de uitvaardigende autoriteit daarom verzoekt, ervan afzien de persoon wiens gegevens worden verlangd, te informeren, teneinde het strafonderzoek te beschermen, in overeenstemming met artikel 23 van Verordening (EU) 2016/679 38 . Gebruikersinformatie is echter een essentieel element om toetsing en beroep in rechte mogelijk te maken en dient, wanneer er geen risico bestaat dat de lopende onderzoeken in gevaar worden gebracht, door de autoriteit te worden verstrekt indien de dienstverlener werd gevraagd de gebruiker niet in kennis te stellen, overeenkomstig de nationale maatregel tot omzetting van artikel 13 van Richtlijn (EU) 2016/680 39 .
(44) Ingeval de adressaat het bevel niet naleeft, kan de uitvaardigende autoriteit het volledige bevel, met inbegrip van de motivering van de noodzaak en de evenredigheid, vergezeld van het certificaat, doorgeven aan de bevoegde autoriteit van de lidstaat waar de adressaat van het certificaat verblijft of is gevestigd. Deze lidstaat dient het ten uitvoer te leggen overeenkomstig zijn nationaal recht. De lidstaten moeten voorzien in doeltreffende, evenredige en afschrikkende geldelijke sancties in geval van inbreuk op de verplichtingen uit hoofde van deze verordening.
(45) De tenuitvoerleggingsprocedure is een procedure waarin de adressaat bezwaar kan maken tegen de tenuitvoerlegging op basis van een beperkt aantal gronden. De tenuitvoerleggingsautoriteit kan weigeren het bevel te erkennen en ten uitvoer te leggen op basis van dezelfde gronden, of indien er krachtens zijn nationaal recht voorrechten en immuniteiten van toepassing zijn of de openbaarmaking de fundamentele belangen van de staat, zoals nationale veiligheid en defensie, zou kunnen aantasten. De tenuitvoerleggingsautoriteit moet de uitvaardigende autoriteit raadplegen alvorens op basis van deze gronden het bevel te erkennen of ten uitvoer te leggen. In geval van niet-naleving kunnen de autoriteiten sancties opleggen. Deze sancties moeten evenredig zijn, ook in het licht van specifieke omstandigheden, zoals herhaalde of systematische niet-naleving.
(46) Onverminderd hun verplichtingen inzake gegevensbescherming mogen dienstverleners niet aansprakelijk worden gesteld in de lidstaten voor schade van hun gebruikers of derden die uitsluitend voortkomt uit het te goeder trouw naleven van een CEV of een CEB.
(47) Naast de personen van wie de gegevens worden gevraagd, kunnen ook de dienstverleners en derde landen door de onderzoeksmaatregel worden getroffen. Om de courtoisie ten aanzien van de soevereine belangen van derde landen te waarborgen, de betrokkene te beschermen en tegenstrijdige verplichtingen voor dienstverleners aan te pakken, voorziet dit instrument in een mechanisme voor rechterlijke toetsing wanneer de naleving van een Europees verstrekkingsbevel dienstverleners zou beletten een wettelijke verplichting uit hoofde van het recht van een derde staat na te leven.
(48) Te dien einde moet een adressaat, wanneer hij van mening is dat het Europees verstrekkingsbevel in het specifieke geval zou leiden tot de schending van een wettelijke verplichting die voortvloeit uit het recht van een derde land, de uitvaardigende autoriteit door middel van een gemotiveerd bezwaar informeren met gebruikmaking van de daarvoor bestemde formulieren. De uitvaardigende autoriteit moet dan het Europees verstrekkingsbevel toetsen in het licht van het gemotiveerde bezwaar, rekening houdend met dezelfde criteria die de bevoegde rechtbank in acht zou moeten nemen. Wanneer de autoriteit besluit het bevel in stand te houden, dient de procedure te worden doorverwezen naar de bevoegde rechtbank, zoals aangewezen door de desbetreffende lidstaat, die vervolgens het bevel beoordeelt.
(49) Om te bepalen of er sprake is van een tegenstrijdige verplichting in de specifieke omstandigheden van de onderzochte zaak, dient de bevoegde rechter waar nodig een beroep te doen op passende externe deskundigheid, bijvoorbeeld wanneer bij de toetsing vragen rijzen over de uitlegging van het recht van het betrokken derde land. Dit kan onder meer door de centrale autoriteiten van dat land te raadplegen.
(50) Deskundigheid op het gebied van uitlegging zou ook kunnen worden verkregen door middel van adviezen van deskundigen, indien deze beschikbaar zijn. Informatie en jurisprudentie over de uitlegging van het recht van derde landen en over collusieprocedures? in de lidstaten dienen beschikbaar te worden gesteld op een centraal platform, zoals het Siriusproject en/of het Europees justitieel netwerk. Op die manier kunnen rechterlijke instanties gebruik maken van de ervaring en deskundigheid die andere rechtbanken hebben opgedaan inzake dezelfde of soortgelijke kwesties. Dit mag niet beletten dat de derde staat waar nodig opnieuw wordt geraadpleegd.
(51) Wanneer er sprake is van tegenstrijdige verplichtingen, dient de rechtbank te bepalen of de tegenstrijdige bepalingen van het derde land de openbaarmaking van de betrokken gegevens beletten omdat de bescherming van de grondrechten van de betrokken personen of de fundamentele belangen van het derde land in verband met de nationale veiligheid of defensie, daarom vragen. Bij deze beoordeling moet de rechtbank in aanmerking nemen of het recht van het derde land niet zozeer de grondrechten of fundamentele belangen van het derde land op het gebied van nationale veiligheid of verdediging beoogt te beschermen, als wel er kennelijk op is gericht andere belangen te beschermen of illegale activiteiten af te schermen tegen verzoeken om rechtshandhaving in het kader van strafrechtelijk onderzoek. Wanneer de rechtbank tot de conclusie komt dat tegenstrijdige bepalingen van het derde land de openbaarmaking van de betrokken gegevens beletten omdat de bescherming van de fundamentele rechten van de betrokken personen of de fundamentele belangen van het derde land in verband met de nationale veiligheid of defensie, daarom vragen, dient zij het derde land te raadplegen via zijn centrale autoriteiten, die al bijna overal ter wereld in het kader van wederzijdse rechtshulp bestaan. De rechtbank dient een termijn vast te stellen waarbinnen het derde land bezwaar moet maken tegen de uitvoering van het Europees verstrekkingsbevel; indien de autoriteiten van het derde land niet reageren binnen de (verlengde) termijn, ondanks een aanmaning waarin zij in kennis worden gesteld van de gevolgen van het niet verstrekken van een antwoord, houdt de rechtbank het bevel in stand. Indien de autoriteiten van het derde land bezwaar maken tegen de openbaarmaking, dient de rechtbank het bevel in te trekken.
(52) In alle andere gevallen van tegenstrijdige verplichtingen die geen verband houden met fundamentele rechten van de betrokkene of fundamentele belangen van het derde land in verband met de nationale veiligheid of defensie, dient de rechtbank bij haar beslissing over het al dan niet in stand houden van het Europees verstrekkingsbevel een aantal elementen af te wegen die bedoeld zijn voor het vaststellen van de sterkte van de band met een van de twee betrokken jurisdicties, de respectieve belangen bij het verkrijgen van de gegevens of juist het voorkomen van de openbaarmaking daarvan, en de mogelijke gevolgen van de naleving van het bevel voor de dienstverlener. Belangrijk bij cybergerelateerde strafbare feiten is dat de plaats waar het strafbare feit werd gepleegd, zowel de plaats(en) omvat waar de handeling werd verricht, als de plaats(en) waar de effecten van het strafbare feit zijn ingetreden.
(53) De in artikel 9 bedoelde voorwaarden zijn ook van toepassing wanneer er sprake is van tegenstrijdige verplichtingen die voortvloeien uit het recht van een derde land. Tijdens deze procedure dienen de gegevens te worden bewaard. Indien het bevel wordt ingetrokken, kan een nieuw bewaringsbevel worden uitgevaardigd waarmee de uitvaardigende autoriteit de verstrekking van gegevens via andere kanalen, zoals wederzijdse rechtshulp, kan pogen te verkrijgen.
(54) Het is van essentieel belang dat alle personen wier gegevens worden opgevraagd in het kader van een strafrechtelijk onderzoek of een strafprocedure, toegang hebben tot een doeltreffende voorziening in rechte, overeenkomstig artikel 47 van het Handvest van de grondrechten van de Europese Unie. Voor verdachten en beklaagden dient het recht op een doeltreffende voorziening in rechte te worden uitgeoefend tijdens de strafprocedure. Dit kan van invloed zijn op de ontvankelijkheid of, naar gelang van het geval, het gewicht in de procedure van het op die manier verkregen bewijsmateriaal. Bovendien genieten zij alle procedurele waarborgen die op hen van toepassing zijn, zoals het recht op informatie. Andere personen die geen verdachte of beklaagde zijn, dienen ook recht te hebben op een doeltreffende voorziening in rechte. Daarom moet ten minste worden voorzien in de mogelijkheid om de rechtmatigheid van een Europees verstrekkingsbevel te betwisten, met inbegrip van de noodzaak en de evenredigheid van het bevel. Deze verordening mag geen beperking inhouden van de mogelijke gronden tot betwisting van de rechtmatigheid van het bevel. Van deze rechtsmiddelen dient gebruik te worden gemaakt in de uitvaardigende staat overeenkomstig het nationale recht. Regels inzake voorlopige maatregelen moeten door het nationale recht worden beheerst.
(55) Bovendien kan de adressaat tijdens de tenuitvoerleggingsprocedure en bij de daaropvolgende voorziening in rechte, de tenuitvoerlegging van een Europees verstrekkings- of bewaringsbevel op een beperkt aantal gronden aanvechten, waaronder het feit dat het niet door een bevoegde autoriteit is uitgevaardigd of bekrachtigd of het feit dat het kennelijk in strijd is met het Handvest van de grondrechten van de Europese Unie of kennelijk misbruik oplevert. Een bevel bijvoorbeeld, waarbij wordt gevraagd inhoudelijke gegevens te verstrekken met betrekking tot een onbepaalde kring van personen in een geografisch gebied of zonder link met concrete strafprocedures zou op kennelijke wijze de voorwaarden negeren voor de uitvaardiging van een Europees verstrekkingsbevel.
(56) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 1, van het VWEU heeft eenieder recht op bescherming van zijn persoonsgegevens. Bij de implementatie van deze verordening dienen de lidstaten ervoor te zorgen dat persoonsgegevens worden beschermd en uitsluitend mogen worden verwerkt overeenkomstig Verordening (EU) 2016/679 en Richtlijn (EU) 2016/680.
(57) De krachtens deze verordening verkregen persoonsgegevens moeten uitsluitend worden verwerkt als dat nodig is voor en in verhouding staat tot de doeleinden inzake het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of de tenuitvoerlegging van strafrechtelijke sancties en de uitoefening van de rechten van de verdediging. De lidstaten moeten er met name voor zorgen dat een passend gegevensbeschermingsbeleid en passende gegevensbeschermingsmaatregelen van toepassing zijn op de doorgifte van persoonsgegevens door bevoegde autoriteiten aan dienstverleners voor de toepassing van deze verordening, met inbegrip van maatregelen om de beveiliging van de gegevens te waarborgen. Dienstverleners moeten ervoor zorgen dat dit ook het geval is voor de doorgifte van persoonsgegevens aan bevoegde autoriteiten. Alleen bevoegde personen mogen via een authenticatieprocedure toegang hebben tot informatie die persoonsgegevens bevat. Het gebruik dient te worden overwogen van mechanismen die authenticiteit waarborgen, zoals aangemelde nationale systemen voor elektronische identificatie of vertrouwensdiensten, overeenkomstig Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG.
(58) De Commissie moet een evaluatie van deze verordening uitvoeren, die dient te zijn gebaseerd op de vijf criteria doelmatigheid, doeltreffendheid, relevantie, samenhang en meerwaarde voor de EU, en de basis dient te vormen voor effectbeoordelingen van opties voor eventuele verdere maatregelen. Er dient regelmatig informatie te worden verzameld, waarmee bij de evaluatie van deze verordening rekening kan worden gehouden.
(59) Het gebruik van vooraf vertaalde standaardformulieren vergemakkelijkt de samenwerking en de uitwisseling van informatie tussen de justitiële autoriteiten en dienstverleners, zodat zij elektronisch bewijsmateriaal sneller en doeltreffender kunnen beveiligen en doorgeven, en tegelijkertijd op een gebruikersvriendelijke manier kunnen voldoen aan de nodige veiligheidsvoorschriften. Dit leidt tot lagere vertaalkosten en draagt bij tot een hoge kwaliteit. Op dezelfde wijze zouden antwoordformulieren een gestandaardiseerde uitwisseling van informatie mogelijk moeten maken, met name wanneer dienstverleners niet in staat zijn om het bevel na te leven, omdat de account niet bestaat of omdat er geen gegevens beschikbaar zijn. De formulieren zouden ook het verzamelen van statistische gegevens moeten vergemakkelijken.
(60) Teneinde doeltreffend te voorzien in een eventuele behoefte aan verbetering van de inhoud van een CEV, een CEB of van het formulier dat moet worden gebruikt om informatie te verstrekken over de onmogelijkheid om het CEV of CEB uit te voeren, moet, overeenkomstig artikel 290 van het Verdrag betreffende de werking van de Europese Unie, aan de Commissie de bevoegdheid worden gedelegeerd om handelingen vast te stellen tot wijziging van de bijlagen I, II en III bij deze verordening. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel akkoord van 13 april 2016 over beter wetgeven 40 . Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.
(61) De op deze verordening gebaseerde maatregelen mogen niet prevaleren boven Europese onderzoeksbevelen overeenkomstig Richtlijn 2014/41/EU van het Europees Parlement en de Raad 41 voor het verkrijgen van elektronische bewijsmateriaal. De autoriteiten van de lidstaten dienen het instrument te kiezen dat het best past bij hun situatie; het is mogelijk dat zij de voorkeur geven aan het gebruik van het Europees onderzoeksbevel wanneer zij een reeks van verschillende soorten onderzoeksmaatregelen verlangen, met inbegrip van, maar niet beperkt tot de verstrekking van elektronisch bewijsmateriaal uit een andere lidstaat.
(62) Als gevolg van technologische ontwikkelingen kunnen binnen een paar jaar nieuwe vormen van communicatie gangbaar zijn of kunnen er leemtes ontstaan in de toepassing van deze verordening. Daarom is het belangrijk te voorzien in een evaluatie van de toepassing ervan.
(63) Daar de doelstelling van deze verordening, namelijk het beter grensoverschrijdend veiligstellen en verkrijgen van elektronisch bewijsmateriaal, niet voldoende door de lidstaten kan worden verwezenlijkt gelet op het grensoverschrijdende karakter ervan, maar beter door de Unie kan worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel, gaat deze verordening niet verder dan nodig is om deze doelstellingen te verwezenlijken.
(64) Overeenkomstig artikel 3 van het Protocol betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, dat aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie is gehecht, [heeft het Verenigd Koninkrijk/Ierland laten weten dat het wenst deel te nemen aan de aanneming en toepassing van deze verordening] of [neemt het Verenigd Koninkrijk/Ierland, onverminderd artikel 4 van dat protocol, niet deel aan de aanneming van deze verordening, die derhalve niet bindend is voor, noch van toepassing is op deze lidstaat.].
(65) Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, neemt Denemarken niet deel aan de vaststelling van deze verordening, die derhalve niet bindend is voor, noch van toepassing is op deze lidstaat.
(66) De Europese Toezichthouder voor gegevensbescherming werd geraadpleegd in overeenstemming met artikel 28, lid 2, van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad 42 en heeft op [...] advies uitgebracht 43 ,