IT- en privacyrecht
LEO doet het bronnenonderzoek voor uw IT- en privacydossiers op de teksten waar dit vak feitelijk op draait: de AVG en de Uitvoeringswet, de AI-verordening met haar gefaseerde — en sinds juli 2026 verschoven — toepassingsdata, de Data Act, de digitaledienstenverordening, de cookieregel van de Telecommunicatiewet en de Cyberbeveiligingswet die op 15 augustus 2026 in werking trad. Drie bronnen zijn speciaal voor dit vakgebied aangelegd; het zware werk in dit vak doen rechtstreeks werkende Europese verordeningen, en die staan in élk profiel al aan. Elke stelling met vindplaats: artikel, lid of ECLI.
De bronnen
Bij een IT- of privacyvraag zet LEO niet ‘alles’ aan, maar de set die bij dit gebied hoort. Drie bronnen dragen een tag van dit vakgebied. Dat is een smalle set, en het is ook de eerlijkste beschrijving van hoe dit vak in elkaar zit: de norm staat in rechtstreeks werkende verordeningen, en die komen binnen via de bronnen die altijd al aanstaan. De drie hieronder leveren de laag eromheen — toezicht, incidentfeiten en de invulling van open normen.
Aangelegd voor IT- en privacyrecht
Levert de boetebesluiten, normuitleg en beleidsregels van de toezichthouder die op grond van artikel 14 UAVG de boetes van artikel 83 AVG oplegt — en die op grond van artikel 14 lid 7 UAVG, in de versie die geldt vanaf 1 september 2026, belanghebbenden moet raadplegen voordat zij zulke beleidsregels vaststelt en in de onderbouwing op die consultatie moet ingaan.
Draagt de richtsnoeren van de EDPB en de technische kaders van ENISA als volledige, doorzoekbare tekst: de laag tussen verordening en praktijk waarin open normen als 'passende technische en organisatorische maatregelen' en 'hoog risico' hun feitelijke invulling krijgen — documenten zonder ECLI en zonder artikelnummer, die daardoor onvindbaar blijven voor onderzoek dat bij wet en rechtspraak ophoudt.
Staat in élk profiel aan
Deze doen altijd mee, ongeacht vakgebied — en in dit gebied dragen ze het leeuwendeel: via EUR-Lex de verordeningen en hun geconsolideerde versies, via wetten.overheid.nl de Nederlandse uitvoeringswetgeving op peildatum, en via het Staatsblad en de Staatscourant de inwerkingtredingsbesluiten waarin de data zelf staan.
NCSC — Security Advisories
Haalt het beveiligingsadvies over een concreet product live op bij het Nationaal Cyber Security Centrum, met de inschaling naar kans en schade en de datum waarop het is uitgegeven — het feitelijke fundament onder de vraag vanaf wélk moment uw cliënt van een kwetsbaarheid wist en wat op dat moment een passende maatregel was.
Wetten.nl
De geldende wettekst op de dag van raadpleging, met de mogelijkheid om een oudere versie op te vragen wanneer het om een feit uit het verleden gaat.
Rechtspraak.nl (ECLI)
Gepubliceerde uitspraken van de Nederlandse rechter, waarnaar wordt verwezen met de ECLI zodat u de vindplaats zelf kunt openen.
Officiële Publicaties (KOOP)
Staatsblad, Staatscourant en Kamerstukken — waar u de parlementaire geschiedenis van een bepaling terugvindt.
Rechtspraak — reglementen en oriëntatiepunten
De procesreglementen en landelijke oriëntatiepunten van de Rechtspraak zelf: hoe een zaak feitelijk loopt, naast wat de wet voorschrijft.
EUR-Lex (EU-recht)
Verordeningen, richtlijnen en de geconsolideerde versies daarvan, inclusief de vraag of een richtlijn al is omgezet.
EHRM (HUDOC)
Rechtspraak van het Europees Hof voor de Rechten van de Mens, voor zaken waarin een verdragsrecht meespeelt.
Verdragenbank
De verdragsteksten zelf, met hun status voor Nederland — of een verdrag in werking is en met welk voorbehoud.
LiDO (Linked Data Overheid)
De verwijzingen tússen regelingen: welke bepaling naar welke andere wijst, zodat een keten van doorverwijzingen niet halverwege afbreekt.
PUC (puc.overheid.nl)
Beleidsregels en werkinstructies van uitvoeringsorganisaties — het niveau onder de wet waar de praktijk zich vaak op richt.
open.overheid.nl
Openbaar gemaakte overheidsdocumenten, waaronder Woo-besluiten en de stukken die daarbij zijn vrijgegeven.
Nederlandse orde van advocaten (advocatenorde.nl)
De verordeningen en beleidsstukken van de NOvA, voor vragen over de beroepsuitoefening zelf.
Gedragsregels Advocatuur (NOvA)
De gedragsregels met hun toelichting, voor de vraag of een handelwijze tuchtrechtelijk houdbaar is.
College voor de Rechten van de Mens (oordelen)
Oordelen over gelijke behandeling — geen rechterlijke uitspraken, maar in de praktijk wel richtinggevend.
KvK Handelsregister
De registerstand van een rechtspersoon: wie tekenbevoegd is, welke rechtsvorm, en of een entiteit nog bestaat.
Juridische literatuur (OpenAlex)
Open toegankelijke wetenschappelijke literatuur, voor wanneer een standpunt onderbouwing uit de doctrine vraagt.
Duits recht (NeuRIS)
Duitse wetgeving en rechtspraak, bruikbaar bij grensoverschrijdende zaken en bij rechtsvergelijking.
Een bron staat hier alleen als hij op dit profiel ook echt activeert. Let daarbij op iets wat u niet zou verwachten: onder het knooppunt IT- en privacyrecht hangen vier deelgebieden — AVG, cybersecurity, AI-verordening, en datadelen en datalekken — en geen van vieren brengt een extra bron mee. Aanvinken van een deelgebied maakt de set dus niet ruimer; het stuurt alleen de vraagstelling. Onder elk antwoord in LEO staat welke bronnen daadwerkelijk meededen; u hoeft ons niet op ons woord te geloven.
Alle 110 officiële bronnen →Eén incident, drie klokken
Sinds 15 augustus 2026 loopt er naast de meldplicht van de AVG een tweede stelsel met eigen termijnen en een eigen ontvanger. Bij hetzelfde incident kunnen ze alle drie tegelijk lopen. LEO zet de bepalingen naast elkaar in plaats van er één te noemen.
Drie klokken, drie ontvangers, en alle drie beginnen te lopen op het moment dat uw cliënt „kennis heeft gekregen”. Welke van de drie loopt, hangt af van de vraag of de entiteit onder de Cyberbeveiligingswet valt — een vraag over bijlagen en sectoren, niet over techniek.
Een vraag uit de praktijk
Bedrijfsjurist · ransomware bij een leverancier · de eerste ochtend
„Onze hostingpartij is vannacht getroffen door ransomware. Ik moet vóór vanmiddag weten wie wát binnen welke termijn moet melden — zij of wij — en waar we op worden afgerekend als we het mis hebben.”
Zo komt het antwoord terug
Is uw hostingpartij verwerker, dan meldt zij niet zelf aan de Autoriteit Persoonsgegevens. Artikel 33 lid 2 AVG verplicht de verwerker de verwerkingsverantwoordelijke zonder onredelijke vertraging te informeren; artikel 33 lid 1 legt de melding aan de toezichthouder bij de verwerkingsverantwoordelijke, uiterlijk 72 uur nadat hij van de inbreuk kennis heeft genomen, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor rechten en vrijheden inhoudt. Lid 3 zegt wat er minimaal in moet, en lid 4 staat uitdrukkelijk toe de informatie in stappen aan te leveren als niet alles tegelijk beschikbaar is — dat is de bepaling die de eerste ochtend werkbaar maakt.
Valt uw organisatie of uw leverancier onder de Cyberbeveiligingswet, dan geldt sinds 15 augustus 2026 een eigen stelsel. Artikel 26 vraagt binnen 24 uur een vroegtijdige waarschuwing aan het CSIRT en de bevoegde autoriteit, artikel 27 binnen 72 uur de eigenlijke melding met een initiële beoordeling en de indicatoren voor aantasting, en artikel 28 daarna nog een tussentijds verslag. Voor een vertrouwensdienst is die tweede termijn 24 uur. Dit staat volledig los van de AVG-melding en gaat naar een andere ontvanger.
De vraag die in de aansprakelijkheidsdiscussie terugkomt, is wanneer u van de kwetsbaarheid wist of had moeten weten. LEO haalt het beveiligingsadvies van het NCSC over het getroffen product erbij, met zijn inschaling naar kans en schade en de datum van uitgifte, en legt dat naast het moment waarop uw leverancier patchte. Dat is geen juridisch oordeel maar een tijdlijn — en tijdlijnen winnen dit soort zaken.
Artikel 82 lid 1 AVG geeft eenieder die materiële of immateriële schade lijdt door een inbreuk op de verordening recht op vergoeding; lid 3 stelt vrij wie bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit. Het Hof van Justitie heeft die bepaling op 4 mei 2023 aan twee kanten begrensd: een inbreuk „op zich volstaat niet voor de toekenning van een recht op schadevergoeding”, maar tegelijk verzet artikel 82 zich tegen een nationale regel of praktijk die immateriële schade pas vergoedt als zij „een bepaalde mate van ernst bereikt”. Een drempelverweer werkt dus niet; een verweer dat er geen schade is, wel.
De vindplaatsen onder dit antwoord
Zo ziet elk antwoord eruit: de stelling, de vindplaats, en de passage zelf — te openen in de bron waar hij op steunt. Niet een link naar een document, maar de zin.
De datum ís de norm
In dit vak is de vraag zelden of iets geldt, maar vanaf wanneer welk hoofdstuk geldt — en die data verschuiven. LEO leest de toepassingsbepaling zelf, inclusief de wijzigingsverordening erbovenop, en zet de controledatum erbij. Dit is de stand op 15 september 2026.
Daarom noemt LEO bij elke bepaling de datum waarop zij van toepassing is, en waar die datum is verschoven de wijzigingsverordening erbij — met de dag waarop hij dat heeft gecontroleerd. In een vak waarin de helft van het advies over timing gaat, is een verordeningsnummer zonder datum geen vindplaats.
Vragen uit dit vak
Incidentrapportages, logbestanden en lijsten van betrokkenen zijn precies de stukken die nergens mogen rondslingeren. Wat u in LEO zet, blijft van u: uw cliëntdata wordt nooit gebruikt om AI-modellen te trainen. Zo is dat geregeld →
Verwerking volledig binnen de AVG. Uw cliëntdata wordt nooit gebruikt om AI-modellen te trainen.
Eigen servers in EU-datacenters (Duitsland en Finland) — geen hyperscaler. TLS 1.2+ in transport en een volledig versleuteld datavolume (LUKS2 full-disk) op elke productiehost, waar ook de back-ups staan.
Certificeringsaudit afgerond in augustus 2026; certificaat verwacht in het vierde kwartaal van 2026. Volg de status in ons Trust Center.
Alle details, subverwerkers en documentatie: trust.prudai.com
