Nieuwe inlichtingenwet verplicht onlineplatforms en clouddiensten tot afgifte van gegevens

Het kabinet legt de Wet bescherming nationale veiligheid vandaag ter consultatie voor: de AIVD en MIVD krijgen erin de bevoegdheid om gegevens te vorderen bij onlineplatforms, clouddiensten en financiële ondernemingen, en weigeren wordt strafbaar.

Voor een organisatie die gebruikersdata beheert verandert daarmee wat er in de postbus kan liggen. Nu rust de verstrekkingsplicht alleen op aanbieders van communicatiediensten. Het voorstel trekt hem door naar onlineplatforms en naar banken en andere financiële ondernemingen, en een opdracht kan ook landen bij iedereen die bedrijfsmatig gegevens van derden opslaat waar die derde zelf rechtstreeks bij kan. Leveren gebeurt in beginsel terstond, tenzij de vordering iets anders bepaalt. Je administratie- en personeelskosten kun je declareren bij het Rijk.

Wie een vordering kan krijgen

Een vordering is een schriftelijke opdracht van het hoofd van een dienst om aangewezen gegevens te verstrekken, met een wettelijke plicht om eraan te voldoen. Het voorstel legt die plicht bij vier groepen:

• Aanbieders van communicatiediensten. Deze plicht bestaat al. Nieuw is dat ze ook geldt voor partijen op wie de Telecommunicatiewet geen medewerkingsplicht legt.
• Onlineplatforms. De definitie volgt die uit de Europese digitaledienstenverordening: een hostingdienst die op verzoek van een gebruiker informatie opslaat en verspreidt bij het publiek. De toelichting noemt daarbij logbestanden, koopgeschiedenis, locatieregistraties van randapparatuur en door de gebruiker opgeslagen berichten, bestanden, foto's en reviews, met als voorbeeld een handelaar of consument op een onlinemarktplaats.
• Opslagdienstverleners. Iedere persoon of instantie die bedrijfsmatig gegevens van derden opslaat waar die derde zelf rechtstreeks geautomatiseerde toegang toe heeft. In de toelichting is dat een clouddienst met bestanden of e-mail.
• Financiële ondernemingen. Krediet- en financiële instellingen kunnen identificerende gegevens, saldogegevens en transactiegegevens moeten leveren over de personen of organisaties die in de vordering staan.

Boven op die vier staat een noodventiel. Bij een zwaarwegende noodzaak mogen de diensten gegevens vorderen bij bestuursorganen, ambtenaren en voorts een ieder die geacht wordt de benodigde gegevens te kunnen verstrekken, ter bescherming van het maatschappelijk leven of van de gereedstelling en veiligheid van de krijgsmacht. Het kabinet noemt dat een ultimum remedium en geeft als voorbeeld een vordering bij een mogelijk slachtoffer van een kwaadwillende actor. Vrijwillige samenwerking blijft de norm; dit artikel is voor de gevallen waarin de dreiging te acuut is om die route af te wachten.

Een bewaarplicht zit er niet in. Wat je niet hebt, hoef je ook niet te leveren.

Twee jaar cel op opzettelijk weigeren

Niet voldoen aan een vordering is strafbaar gesteld. Gebeurt het opzettelijk, dan is het een misdrijf met maximaal twee jaar gevangenisstraf of een geldboete van de vierde categorie. Ontbreekt dat opzet, dan blijft het een overtreding met maximaal zes maanden hechtenis of dezelfde boete. Die vierde categorie ligt sinds 1 januari 2026 op 27.500 euro.

Dezelfde strafbepaling dekt de plicht om mee te werken aan ontsleuteling. Wie redelijkerwijs geacht wordt te weten hoe een systeem of een berichtenstroom is versleuteld, kan de opdracht krijgen die kennis te delen of de versleuteling ongedaan te maken. Het voorstel sluit daarbij uitdrukkelijk uit dat de diensten via die weg een achterdeur kunnen afdwingen: een opdracht ziet niet op het inbouwen van toegang of het afzwakken van de versleuteling, en aanbieders hoeven de encryptie in hun systemen niet te verzwakken.

Wat de toets vooraf verliest

Daar staat de andere helft van het nieuws tegenover. Ten opzichte van de Wiv 2017 vervalt de toets vooraf op het verkennen en binnendringen van geautomatiseerde werken, zolang er geen gegevens uit worden overgenomen. Dat overnemen zelf, in de wettekst uitwinning genoemd, blijft wel vooraf getoetst.

Er komt ook een apart regime voor tegenstanders. De ministers kunnen een organisatie aanwijzen die doelen nastreeft tegen Nederland of in opdracht van zo'n land handelt. Die aanwijzing wordt eenmaal op rechtmatigheid getoetst, geldt maximaal een jaar en is telkens met een jaar te verlengen. Daarna verleent het hoofd van de dienst zelf de toestemming voor bijzondere bevoegdheden tegen die organisatie, op een paar zware bevoegdheden na, en vervalt de toets per inzet.

De TIB en de CTIVD gaan op in een College van toetsing en toezicht, waarin een afdeling toetsing van twee leden binnen twee weken een bindend oordeel geeft. Twee nieuwe bevoegdheden krijgen juist wel een toets vooraf: de noodvordering en het bevragen van bijzondere bulkgegevens. Voor bedrijven is nog een detail van belang: voor het vorderen van historische gebruiksgegevens is geen rechtmatigheidstoets vereist.

Beveiligingsexpert Bert Hubert, oud-lid van de toetsingscommissie, vindt dat de wet vol nieuwe bevoegdheden staat terwijl toetsing en toezicht enorm worden afgeschaald.

Wat het aan uren kost

Bij het voorstel zit een bedrijfseffectentoets van Sira Consulting, en die zet er getallen bij. Het bureau schat dat 300 tot 1.500 onlineplatforms en 1.500 tot 4.800 financiële ondernemingen onder de nieuwe plicht vallen. Een gemiddelde gegevensvordering kost een platform 267 euro aan tijd en een financiële onderneming 67,20 euro. Bij de zwaarste rekenvariant, 6.000 vorderingen per jaar, komt dat voor de platforms samen uit op 1,6 miljoen euro.

Twee bevindingen daarin zeggen meer dan die totalen. Bij een ruime uitvraag rekenen de onderzoekers met 13,75 uur werk per verzoek. En voor gegevens die pas na de opdracht ontstaan hebben platforms naar eigen zeggen helemaal geen functionaliteit: die moeten handmatig worden verzameld, wat volgens de respondenten buitenproportioneel veel tijd kost. Op een enkeling na wilde of kon niemand daar een schatting voor geven.

De kostenvergoeding uit de wet vangt dat maar deels op. De bevraagde platforms gaven aan er geen gebruik van te zullen maken. Bij sommige staat intern beleid het niet toe, bij andere kost de aanvraag meer tijd dan hij oplevert.

Reageren kan tot 11 oktober

De internetconsultatie loopt van 28 augustus tot en met 11 oktober 2026 en staat open voor burgers, bedrijven en organisaties. Naast de wettekst staan de memorie van toelichting, het beleidskompasformulier en de bedrijfseffectentoets online. Minister Yeşilgöz-Zegerius van Defensie noemde de diensten bij de start de poortwachters van Nederland en zei dat "met deze wet ons mes scherper wordt".

Wat hier verschuift is minder de hoeveelheid bevoegdheden dan het adres waarop ze landen. Inlichtingenwerk haalde zijn gegevens tot nu toe vooral bij telecomaanbieders; dit voorstel verlegt dat naar de bredere digitale economie, naar marktplaatsen, hosters, clouddiensten en banken. Meewerken aan een onderzoek van de AIVD of MIVD wordt daarmee voor een gewoon bedrijf een proces met een eigenaar, een termijn en een strafbepaling, in plaats van een uitzondering.

Dat loopt door een tweede beweging heen. De toezichthouder stelde deze zomer vast dat de diensten persoonsgegevens uit bulkbestanden in meerdere gevallen te lang bewaarden en dat groepen medewerkers er onrechtmatig bij konden, en Bits of Freedom las in datzelfde rapport dat de diensten mogelijk hun eigen AI-modellen trainen met data van burgers. De gegevens die straks op vordering het pand verlaten, gaan dus naar organisaties waarvan het eigen databeheer nog onder de loep ligt. Precies dat spanningsveld staat de komende zes weken open voor reacties.