Last onder dwangsom van AP geschorst

Rb. Midden-Nederland 26 maart 2024, IT 4738; ECLI:NL:RBMNE:2024:1904 (Northwave tegen AP) Een grote hostingprovider heeft een datalek gemeld bij de AP en Northwave ingeschakeld om het incident te onderzoeken. De AP heeft de hostingprovider verzocht om het volledige onderzoeksrapport en de executive summary te overleggen, maar de hostingprovider weigerde dit volledig te doen. Hierop heeft de AP inlichtingen gevorderd bij Northwave en een last onder dwangsom opgelegd toen Northwave weigerde de gevraagde documentatie te verstrekken. Northwave betwist de rechtmatigheid van deze vordering en stelde dat de AP zich eerst tot de hostingprovider had moeten wenden. De voorzieningenrechter oordeelt dat de AP zich in eerste instantie tot de hostingprovider moet wenden voor het verkrijgen van de gevraagde inlichtingen. De voorzieningenrechter stelt vast dat de AP haar bevoegdheden ten aanzien van de hostingprovider niet volledig heeft benut, bijvoorbeeld door geen last onder dwangsom op te leggen aan de hostingprovider. De voorzieningenrechter oordeelt dat het subsidiariteitsbeginsel zich verzet tegen het direct vorderen van inlichtingen bij Northwave, aangezien er minder ingrijpende middelen beschikbaar zijn. Hierdoor schorst de voorzieningenrechter de last onder dwangsom die aan Northwave is opgelegd.

11. De voorzieningenrechter is van oordeel dat de AP zich ter uitvoering van haar bevoegdheden in eerste instantie moet wenden tot de normadressaten die in artikel 58, eerste lid, onder a, van de AVG zijn genoemd. In dit geval is de hostingprovider de normadressaat. De voorzieningenechter is verder van oordeel dat de AP ten aanzien van de hostingprovider zijn bevoegdheden ter uitvoering van zijn toezichthoudende taak moet uitoefenen en dat de AP dat niet uitputtend heeft gedaan. De AP heeft dan ook niet aannemelijk gemaakt dat de hostingprovider bij (bijvoorbeeld) het opleggen van een last onder dwangsom de gevorderde informatie niet alsnog zou hebben overgelegd. De voorzieningenrechter vindt het ook niet goed verklaarbaar dat de AP niet eerst een last onder dwangsom aan de hostingprovider heeft opgelegd, de AP had in haar brief van 2 november 2023 aan de hostingprovider immers aangekondigd een last onder dwangsom op te leggen bij het niet voldoen aan de medewerkingsplicht. 

Zo lang niet vaststaat dat de hostingprovider bij een opgelegde last onder dwangsom niet wil meewerken aan de inlichtingenverplichting die zij heeft, vindt de voorzieningenrechter het voor de vervulling van de taak van de AP redelijkerwijs niet noodzakelijk om inlichtingen bij verzoekster te vorderen. Van belang hierbij is dat de AP weet waar het datalek heeft plaatsgevonden en op grond van de mededelingen van de hostingprovider weet heeft van de aanwezigheid van een onderzoeksrapport. De AP staat een ander minder ingrijpend middel ten aanzien van verzoekster ter beschikking, zodat het subsidiariteitsbeginsel zich thans ertegen verzet dat de AP zich met een inlichtingenvordering en een last onder dwangsom wendt tot verzoekster in plaats van tot de hostingprovider. Een grondslag voor het opleggen van een last onder dwangsom bij verzoekster ontbreekt derhalve vooralsnog.