WODC-evaluatie telt 330 verwijderbevelen met uurtermijn voor hostingdiensten

De ATKM stuurde in 2024 en 2025 ongeveer 330 verwijderbevelen naar aanbieders van hostingdiensten, die de aangewezen terroristische inhoud binnen één uur ontoegankelijk moesten maken. Dat staat in de wetsevaluatie die het WODC op 7 september publiceerde.

De wet raakt een bredere groep bedrijven dan het woord hosting doet vermoeden. De EU-verordening rekent elke dienst die informatie van een gebruiker opslaat en openbaar toegankelijk maakt tot de aanbieders van hostingdiensten: klassieke webhosters, maar ook sociale platforms, videodiensten, berichtendiensten, cloudopslag en gamingplatformen. Bied je zoiets aan binnen de EU, dan kan er een bevel in je postbus liggen met een klok van zestig minuten, moet je een contactpunt aanwijzen en heb je vanuit een land buiten de EU een wettelijke vertegenwoordiger nodig. Diensten zonder eigen opslagfunctie, zoals zoekmachines, vallen er niet onder.

Wat er in twee jaar op de mat lag

De naleving is hoog. Van de circa 330 bevelen uit 2024 en 2025 werden er vrijwel allemaal binnen de wettelijke termijn van een uur opgevolgd. Overschrijdingen betroffen twee gevallen in 2024 en ongeveer dertien in 2025, meestal een vertraging van enkele minuten. Boetes of dwangsommen zijn tot nu toe niet opgelegd.

Eén bevel staat niet gelijk aan één plaatje of één zin. Naar aanleiding van een bevel kan een aanbieder meerdere soorten inhoud weghalen, of een heel kanaal sluiten. Het gaat om materiaal als aanmoedigingen om een aanslag te plegen of instructies om bommen te maken.

Dat volume is voor Nederlandse begrippen fors. Van de 1.703 verwijderbevelen die alle bevoegde autoriteiten in de EU in 2024 en 2025 verstuurden, kwamen er ongeveer 330 van de ATKM, oftewel 20 procent. Tegelijk bereikt de toezichthouder maar een deel van het probleem: de ATKM schat dat driekwart van de gesignaleerde inhoud afvalt, omdat het in een grijs gebied van zorgwekkende maar niet eenduidig terroristische uitingen zit of omdat de inhoud al offline is.

De klok van zestig minuten

De uurtermijn is de scherpste verplichting in het pakket, en het knelpunt zit bij de kleinere partijen. Grote platforms verwerken bevelen grotendeels geautomatiseerd, met een mens als laatste toets. Kleinere aanbieders hebben minder juridische capaciteit om een bevel snel te beoordelen, al zijn er geen concrete klachten geregistreerd.

De last staat niet altijd in verhouding tot het volume. Eén geïnterviewd platform richtte een systeem in met medewerkers in verschillende tijdzones die permanent bereikbaar zijn, om altijd binnen het uur te kunnen handelen. Het kreeg tot nu toe een handvol bevelen uit de hele EU, vrijwel allemaal tijdens kantooruren. Dat platform pleit voor een heroverweging van de uurregel, of op zijn minst een norm die rekening houdt met het moment van verzenden. Voor kleinere hosters noemen de onderzoekers de open source tool AbuseIO als laagdrempelige manier om de afhandeling te ondersteunen, al is onduidelijk hoeveel Nederlandse aanbieders die daadwerkelijk gebruiken.

Het verschil met de zelfregulering is groot. De internetsector legde zichzelf eind augustus vast op bevestiging, beoordeling en verwijdering van onmiskenbaar onrechtmatige inhoud binnen één werkdag, met vijf werkdagen als uiterste grens bij een langere beoordeling. Een verwijderbevel van de ATKM loopt in zestig minuten af, en aan de inhoudelijke beoordeling ervan kom je als aanbieder niet te pas.

Instrumenten die stilliggen

Een groot deel van het wettelijk instrumentarium is nog nooit gebruikt. Het blootstellingsbesluit, waarmee een aanbieder die in twaalf maanden twee of meer definitieve bevelen kreeg tot structurele maatregelen kan worden verplicht, is niet één keer uitgevaardigd. De onderzoekers noemen dat een gemiste kans en adviseren een kader te ontwikkelen, omdat juist dit besluit structurele gedragsverandering bij aanbieders kan afdwingen.

Er zijn ook geen bezwaar- of beroepsprocedures gestart tegen een verwijderbevel. Daardoor heeft nog geen rechter getoetst hoe de ATKM de wettelijke criteria uitlegt. Bij een bevel uit een andere lidstaat heb je als aanbieder 48 uur om je eigen toezichthouder om een toetsing te vragen, en die kan er binnen 72 uur ook op eigen initiatief naar kijken. De inhoud moet in de tussentijd gewoon binnen het uur weg.

De sancties liggen wel klaar. De ATKM publiceerde in juni 2026 een dwangsom- en boetebeleid. Het niet naleven van een bevel levert in beginsel een boete van maximaal 5.500 euro op, maar bij systematische of aanhoudende overtreding loopt dat op tot 1,1 miljoen euro of 4 procent van de jaaromzet, met daarnaast een dwangsom tot 20.000 euro. Het ontbreken van een contactpunt is met een maximum van 110.000 euro en een dwangsom van 15.000 euro zwaarder beboetbaar dan één gemist bevel.

Nederland kiest het bevel, de rest van de EU het verzoek

Bij de oprichting van de ATKM is bewust gekozen om alleen met bindende bevelen te werken en niet met het lichtere, niet-bindende verwijderverzoek. Dat drukt het Nederlandse volume. Duitsland verstuurde in 2024 245 bevelen en daarnaast bijna 30.000 verzoeken. EU-breed liep het aantal bevelen terug van 1.022 in 2024 naar 681 in 2025, terwijl het aantal verzoeken in dezelfde periode steeg van 22.346 naar 45.734.

De onderzoekers adviseren het ministerie van Justitie en Veiligheid om de haalbaarheid van het verwijderverzoek als aanvullend instrument te onderzoeken, en de ATKM om in te zetten op geautomatiseerde detectie, omdat handmatige detectie nu de voornaamste bottleneck in het primaire proces vormt. Ook het budget en de bezetting van de toezichthouder zijn volgens hen onvoldoende voor de middellange termijn.

Wat er met die adviezen gebeurt, blijkt later dit jaar: de beleidsreactie volgt via het halfjaarbericht terrorisme en extremisme. De Europese Commissie evalueert intussen de verordening zelf, met uitkomsten die eind 2026 worden verwacht. Twee sporen wijzen daarbij dezelfde kant op: meer automatisering aan de kant van de toezichthouder, en een discussie over een breder mandaat richting extremistische inhoud die nu buiten de definitie valt. Voor wie inhoud van gebruikers opslaat en publiek toegankelijk maakt, verandert dat niets aan het enige instrument dat in de praktijk wel wordt gebruikt: een bevel met een klok van zestig minuten, dat op elk moment van de dag kan binnenkomen.