Toezichthouder moet eerst normadressaat aanspreken voordat derden worden betrokken.
De AP vordert inlichtingen bij een hostingprovider na een datalek. De hostingprovider voldoet volgens AP niet aan de medewerkingsverplichting. De AP vordert vervolgens inlichtingen bij een derde die niet is onderworpen aan het toezicht door AP en legt die derde een last onder dwangsom op. De voorzieningenrechter vindt het voor de vervulling van de taak van de AP redelijkerwijs niet noodzakelijk om inlichtingen bij die derde te vorderen. De AP moet eerst zijn bevoegdheden ten aanzien van de hostingprovider uitoefenen.
Rechtsvraag
De centrale vraag is of de Autoriteit Persoonsgegevens (AP) redelijkerwijs inlichtingen mag vorderen bij een derde partij (Northwave Nederland B.V.) die niet direct onder haar toezicht valt, in plaats van de normadressaat (de hostingprovider).
Regel
- art. 5:20, Awb (verplichting medewerking toezichthouder)
- art. 5:13, Awb (evenredigheidsbeginsel bij gebruik bevoegdheden toezichthouder)
- art. 58, AVG (bevoegdheden toezichthoudende autoriteit)
- art. 16, UAVG (last onder bestuursdwang)
Toepassing
- art. 5:20, Awb (verplichting medewerking toezichthouder) De voorzieningenrechter erkent dat de AP op basis van dit artikel de bevoegdheid heeft om inlichtingen te vorderen en dat Northwave in beginsel verplicht is hieraan mee te werken. Echter, de rechter benadrukt dat deze medewerkingsplicht beperkt wordt door het evenredigheidsbeginsel.
- art. 5:13, Awb (evenredigheidsbeginsel bij gebruik bevoegdheden toezichthouder) De rechter oordeelt dat de AP haar bevoegdheden niet heeft uitgeoefend binnen de grenzen van het evenredigheidsbeginsel. De AP had eerst haar bevoegdheden moeten uitputten om de benodigde informatie van de hostingprovider te verkrijgen, alvorens zich te richten tot Northwave.
- art. 58, AVG (bevoegdheden toezichthoudende autoriteit) De rechter stelt dat de AP haar toezichthoudende bevoegdheden in eerste instantie moet richten tot de normadressaat (de hostingprovider) zoals bedoeld in artikel 58 van de AVG. De AP heeft niet aannemelijk gemaakt dat de hostingprovider niet zou voldoen aan een last onder dwangsom.
- art. 16, UAVG (last onder bestuursdwang) De voorzieningenrechter vindt dat de AP eerst een last onder dwangsom aan de hostingprovider had moeten opleggen, zoals aangekondigd, voordat zij Northwave als derde partij met een dergelijke last confronteerde.
Conclusie
De voorzieningenrechter concludeert dat het bezwaar van Northwave een redelijke kans van slagen heeft en schorst het besluit van de AP om een last onder dwangsom op te leggen. De AP heeft niet voldoende onderbouwd waarom het noodzakelijk was om inlichtingen bij Northwave te vorderen, zonder eerst uitputtend haar bevoegdheden jegens de hostingprovider te gebruiken.
Wetsartikelen
- art. 58 AVG
- art. 5:16 Awb
- art. 5:20 lid 1 Awb
- art. 5:13 Awb
- art. 58 lid 1 AVG
Tijdlijn
- 25-08-2023 De AP ontvangt een melding van een grote hostingprovider over een datalek en wordt geïnformeerd dat Northwave Nederland B.V. is ingeschakeld voor onderzoek.
- 27-09-2023 De AP vordert inlichtingen van de hostingprovider, waaronder een kopie van de executive summary en het volledige onderzoeksrapport van Northwave Nederland B.V.
- 10-10-2023 De hostingprovider legt een brief van Northwave Nederland B.V. en een appendix aan de AP over.
- 02-11-2023 De AP stuurt een rappel naar de hostingprovider en dreigt met een last onder dwangsom en/of bezoek van toezichthouders.
- 19-01-2024 Northwave Nederland B.V. ziet geen reden om documentatie aan de AP te verstrekken in de aanloop naar een geplande bespreking.
- 23-01-2024 De AP stuurt Northwave Nederland B.V. een voornemen tot het opleggen van een last onder dwangsom.
- 12-02-2024 De AP neemt het besluit om een last onder dwangsom op te leggen aan Northwave Nederland B.V.
- 24-02-2024 Northwave Nederland B.V. maakt bezwaar tegen het besluit van de AP en verzoekt om een voorlopige voorziening.
- 12-03-2024 De voorzieningenrechter behandelt het verzoek van Northwave Nederland B.V. op zitting.
- 26-03-2024 De voorzieningenrechter schorst het besluit van de AP tot twee weken na de beslissing op bezwaar en kent een proceskostenvergoeding toe aan Northwave Nederland B.V.