De z.g.n. 'Sleepwet'

--

Op 11 juli  2017 heeft de Eerste Kamer ingestemd met het wetsvoorstel van minister Plasterk (PvdA) en minister Hennis (VVD) waarmee de geheime diensten straks grootschalig het internet mogen afluisteren. De afgeluisterde gegevens mogen drie jaar lang bewaard worden en onbeperkt gekoppeld worden aan andere gegevens. Daarnaast mogen de diensten elk geautomatiseerd apparaat hacken en gegevens daarvan kopiëren. Ook krijgen de inlichtingendiensten officieel de bevoegdheid een geheime DNA databank in te richten. Op 14 februari ging de Tweede Kamer al akkoord met het wetsvoorstel.

Grootschalig afluisteren

De geheime diensten mogen volgens dit wetsvoorstel het internet straks grootschalig en ongericht afluisteren (artikel 48). Hoe grootschalig of ongericht wordt niet aangegeven. Dat zal volgens de ministers afhangen van de 'onderzoeksopdracht' die de geheime diensten van de ministers krijgen. In de toelichting schrijven de ministers hierover dat "de diensten zich richten op een geografisch gebied of op bepaalde datastromen". Dat zijn de enige beperkingen die gegeven worden. De minister noemt als voorbeelden dat de (privé)communicatie via een bepaalde app, social medium of game kan worden afgeluisterd. Ook kan bijvoorbeeld alle communicatie van en naar een bepaald land worden afgeluisterd. Maar het is volgens de minister niet de bedoeling om "alle communicatie in de stad Den Haag een maand lang te verzamelen, om dan te bezien of voor de diensten relevante gegevens zijn binnengehaald".

De AIVD zal 'Deep Packet Inspection' gebruiken om bij het afluisteren een ruwe selectie op het internetverkeer uit te voeren. Voor het grootschalig afluisteren van internet zal de AIVD aftappunten maken op het internet, waarschijnlijk bij grote internetknooppunten. De verzamelde ruwe gegevens mogen, na eventuele ontsleuteling, maximaal drie jaar worden bewaard en kunnen in die periode op verschillende criteria worden doorzocht (artikel 49 en 50). Gegevens mogen ook gekoppeld worden aan andere gegevens die de AIVD heeft of mag opvragen en op basis van criteria, algoritmen of profielen worden doorzocht (artikel 60).

Toestemmingscommissie TIB

De ministers moeten langs de toestemmingscommissie TIB voordat afgeluisterd mag worden. Deze commissie TIB bestaat uit drie mensen, waarvan er tenminste twee rechter moeten zijn geweest (artikel 33). De toestemming van het TIB is maximaal een jaar geldig, maar kan telkens worden verlengd.

Het verzamelen en selecteren van gegevens vindt in theorie in drie fasen plaats. Ten eerste het grootschalig afluisteren van internet zelf, daarna het selecteren van de verzamelde gegevens op bepaalde kenmerken en vervolgens het inhoudelijk bekijken van de communicatie. Voor elke fase is aparte toestemming van de commissie TIB nodig, maar zowel de toezichthouder CTIVD als de Raad van State vinden het onderscheid in drie fasen nogal kunstmatig, omdat je de ene fase niet uitvoert zonder de andere.

Het TIB toetst alleen de inzet van meer indringende bijzondere bevoegdheden zoals het grootschalig afluisteren, maar ook het doorzoeken van iemands woning, het DNA-onderzoek voor de eigen DNA databank of het hacken van apparaten van mensen. Over 'minder' indringende bevoegdheden, waaronder de inzet van geheim agenten (inclusief de vergunning om strafbare feiten te plegen) (artikel 41) en het observeren en volgen van mensen (artikel 40) kan de minister zelf beslissen.

Extra bescherming

De inzet van bijzondere bevoegdheden tegen een journalist of advocaat mag alleen met toestemming van de rechter (artikel 30). Ook voor het openen van brieven moet de AIVD langs de rechter (artikel 44). Deze laatste uitzondering is opgenomen, omdat dit expliciet in artikel 13 van de Grondwet is vastgelegd. Brieven versturen wordt nog eens de meest privacy-vriendelijke manier van communiceren.

Gegevens als betaalmiddel

De ruwe, grootschalig afgeluisterde gegevens mogen aan andere inlichtingendiensten worden gegeven (artikel 64). Opvallend genoeg hoeft de toestemmingscommissie TIB hiervoor geen toestemming te geven. De AIVD kan ook in opdracht van een buitenlandse inlichtingendienst gegevens verzamelen als die daar om vraagt en de minister akkoord gaat (artikel 89). Een nieuwe bevoegdheid is dat de AIVD op verzoek van "een externe partij" in de opgeslagen gegevens mag terugzoeken of er iets over een bepaalde persoon of instantie bekend is. Het moet hierbij wel om "een risico voor de nationale veiligheid gaan" (artikel 8 en 63).

DNA-databank

De inlichtingendiensten mogen een geheime DNA-databank beginnen om mensen te kunnen identificeren op gevonden cel-materiaal (artikel 43). Het cel-materiaal zelf mag drie maanden bewaard worden, maar de daaruit gemaakte DNA-profielen mogen maximaal dertig jaar worden bewaard. Er zijn geen criteria vastgelegd wie er wel of niet in de databank terecht kan komen. Feitelijk kan dat iedereen zijn die onderwerp van onderzoek is of daar met zijn 'cel-materiaal' bij in de buurt is geweest. De DNA-profielen mogen ook met buitenlandse inlichtingendiensten of andere instanties worden gedeeld.

Hacken van computer, netwerk of mobieltje

De geheime diensten mogen inbreken in alle geautomatiseerde apparaten (artikel 45). Denk hierbij aan computers, 'the cloud', maar ook bijvoorbeeld de slimme koelkast of pacemaker. De minister benadrukt in de toelichting dat hierbij geen enkele beperking zal worden gehanteerd.

Om dit te bereiken mogen ze alle hackmiddelen inzetten, waaronder bijvoorbeeld zero-day kwetsbaarheden, malware of social engineering. Kwetsbaarheden in software die de AIVD kan gebruiken, hoeven niet te worden gemeld om die kwetsbaarheden te laten verhelpen. Ook mogen de diensten van een netwerk of systeem van een onverdachte derde gebruik maken om via die weg bij hun doelwit binnen te dringen. Als gegevens versleuteld zijn, kan de AIVD mensen die kunnen helpen de gegevens te ontsleutelen, verplichten mee te werken op straffe van een gevangenisstraf van maximaal twee jaar (artikel 143). Gegevens die de geheime dienst aantreft, mogen ze kopiëren naar hun eigen systemen om in alle rust te analyseren. Gegevens mogen maximaal een jaar bewaard worden (artikel 27). De duur van deze inbraak- en afluister bevoegdheid is niet vastgelegd. De geheime dienst mag zo lang als ze nodig vindt een PC, mobieltje of netwerk doorzoeken.

Automatisch aftappen databases

De inlichtingendiensten mogen bij iedereen relevante gegevens opvragen (artikel 39). Dit mag ook door een directe koppeling aan te brengen op de gegevensbestanden van een organisatie, zodat de gegevens automatisch vergeleken kunnen worden met gegevens die al bij de AIVD bekend zijn. In de praktijk kan dit tot permanente achterdeuren in (communicatie-)diensten leiden. Voor de inzet hiervan is geen speciale toestemming van de toestemmingscommissie TIB of de minister nodig.

Meewerken is verplicht

Aanbieders van communicatiediensten worden verplicht mee te werken aan zowel de afluisteroperatie (artikel 36) als aan het hacken door de AIVD (artikel 53). Ook moeten aanbieders toegang geven tot opgeslagen gegevens van en over gebruikers als de AIVD daar om vraagt. (artikel 54/55/56). Aanbieders van diensten zijn verplicht gegevens te ontsleutelen als zij de mogelijkheid daarvoor hebben (artikel 57). Als een aanbieder medewerking weigert kan hij voor maximaal twee jaar de cel in (artikel 143).

Opsporing strafbare feiten

De AIVD mag gevonden gegevens over strafbare feiten verzamelen en doorgeven aan het Openbaar Ministerie (artikel 66). Daarbij hoeft niet direct sprake te zijn van een dreiging tegen de nationale veiligheid. Een vergelijkbare bevoegdheid van de Engelse geheime dienst bleek te zijn ingezet om illegaal downloaden tegen te gaan.

Toezichthouder in twee delen

De toezichthouder CTIVD bestaat uit twee gescheiden afdelingen, waarvan de ene is belast met toezicht houden en de ander met klachtenafhandeling. De twee afdelingen hebben als ze daarom vragen rechtstreekse toegang tot medewerkers en gegevens van de AIVD. De afdeling toezicht onderzoekt hoe de AIVD bevoegdheden gebruikt en maakt daarvan toezichtsrapporten met aanbevelingen (artikel 113). De afdeling toezicht kan geen bindende oordelen geven. De afdeling klachtafhandeling komt alleen in actie als er misstanden (door klokkenluiders) of klachten worden gemeld (artikel 114 e.v.). De oordelen van de afdeling klachtafhandeling zijn wel bindend en moeten door de minister opgevolgd worden (artikel 124).

Er is geen aparte evaluatieverplichting in het wetsvoorstel opgenomen. Daarmee wordt één van de criteria van de Motie Franken genegeerd.

Raad van State zeer kritisch

De Raad van State (RvS) is zeer kritisch over het wetsvoorstel en vraagt zich af of dit wetsvoorstel aan de vereisten van het Europees Verdrag voor de Rechten van de Mens (EVRM) zal voldoen. Het Nederlandse stelsel van inlichtingendiensten is nog nooit door het Europese Hof beoordeeld, maar het Europese Hof heeft in een eerdere situatie (PDF) grootschalig afluisteren vanwege het abstracte begrip "nationale veiligheid" als onrechtmatig bestempeld.

De Raad van State ziet op zichzelf wel de noodzaak dat de AIVD ook het internet mag afluisteren, maar is niet overtuigd dat het grootschalig afluisteren wel proportioneel is. Omdat dat per geval door de geheime toestemmingscommissie TIB zal worden beoordeeld, zal ook voor de buitenwereld onduidelijk blijven of de inzet proportioneel is. Ook is de bewaartermijn van drie jaar van verzamelde gegevens volgens de RvS onrechtmatig lang.

De RvS heeft daarnaast ernstige bedenkingen over de effectiviteit van het toezicht. De RvS denkt dat de TIB te weinig kennis heeft en daarom "nagenoeg altijd" ja zal zeggen. De TIB heeft geen directe toegang tot gegevens van de AIVD en MIVD en zal alleen kunnen beslissen op basis van de gegevens die de diensten hen geven. Enigszins vergelijkbare geheime rechtbanken in Amerika krijgen om die reden ook stevige kritiek.

De RvS vindt dat de toezichthoudende afdeling van de toezichthouder (CTIVD) bindende oordelen moet kunnen geven, die de minister alleen onder 'zwaarwegende omstandigheden' en na het inlichten van de Tweede Kamer kan overrulen. Plasterk heeft dit advies naast zich neergelegd.

RvS en WRR zeer kritisch over gebruik Big Data

Zowel de Raad van State (RvS) als de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) hebben stevige kritiek over de invoering van big data met dit wetsvoorstel. De WRR constateert dat de gangbare waarborgen zoals doelbinding en dataminimalisatie onvoldoende soelaas bieden om persoonsgegevens te beschermen in big data-verwerkingen. Er zouden extra waarborgen moeten komen voor het gebruik van algoritmen en de beslissingen die daaruit komen rollen.

Het automatisch filteren en analyseren van grote verzamelingen gekoppelde gegevens is volgens de RvS niet proportioneel en kan ertoe leiden dat burgers het gevoel krijgen dat hun vrijheid en meer in het bijzonder hun persoonlijke levenssfeer wordt aangetast. Als reactie daarop zullen zij vervolgens hun gedrag gaan aanpassen (‘chilling effect’). Dat gevoel kan volgens de Raad van State worden versterkt doordat de methoden en technieken van gegevensverwerking die door de overheid worden gebruikt voor de burger geheim zijn. Daarnaast dreigt dit een glijdende schaal te worden als er uit de analyse ineens andere mogelijkheden voor de overheid opduiken waarvoor de gegevens nooit verzameld zijn.

Het automatisch filteren van grote verzamelingen gekoppelde gegevens kan ook vertekende uitkomsten geven waardoor bepaalde groepen mensen stelselmatig onterecht negatief in beeld komen. Plasterk en Hennis denken dit te ondervangen door in artikel 60 op te nemen dat nooit op basis van alleen de uitkomsten van dergelijk geautomatiseerde data-analyse maatregelen tegen iemand mogen worden genomen.

De RvS twijfelt of dit geheel de toets van een rechter kan doorstaan.

Privacy Impact Assessment

Voor dit wetsvoorstel is een stevige Privacy Impact Assessment (PIA) uitgevoerd met veel kritische aanbevelingen. Minister Plasterk schrijft in zijn toelichting bij het wetsvoorstel: "Naar aanleiding van daartoe strekkende aanbevelingen uit de PIA is de voorgestelde regeling opnieuw tegen het licht gehouden en is geconcludeerd dat deze op onderdelen qua structuur kan worden verbeterd en […] kan worden versterkt." Dat is een mooie bekentenis van de minister dat het uitvoeren van een Privacy Impact Assessment wel degelijk noodzakelijk is. Vorig jaar nog vond Plasterk een PIA maar onnodig gedoe.

Plasterk en Hennis hebben de aanbevelingen van de PIA gedeeltelijk opgevolgd. De onderstaande punten hebben ze niet overgenomen.
• De noodzaak voor een DNA databank is niet aangetoond, dus die zou er niet moeten komen.
• Hacken via onverdachte burgers om bij de computer van de verdachte te komen is een onacceptabele inbreuk op iemands privacyrechten.
• Er zou al direct bij het grootschalig afluisteren scherper geselecteerd moeten worden, zodat het grootschalig afluisteren minder onverdachte burgers raakt. De ministers gaan hier niet in mee omdat ze gegevens beschikbaar willen hebben om later in terug te kunnen zoeken als de geheime diensten daar aanleiding toe zien.
• Het verstrekken van een verzameling ruwe, ongeëvalueerde gegevens aan een buitenlandse inlichtingendienst is een onacceptabele inbreuk op privacy van onverdachte mensen. De gegevens zouden eerst geanalyseerd moeten worden, zodat alleen de relevante gegevens worden verstrekt. Plasterk en Hennis erkennen dat wel. "Wij ontkennen niet dat de verstrekking van ongeëvalueerde gegevens aan buitenlandse collegadiensten vanuit privacyperspectief bezien niet onproblematisch is." Maar ze vinden het toch noodzakelijk omdat ruwe gegevens nu eenmaal het betaalmiddel tussen inlichtingendiensten vormt.
• Het opslaan van documenten in de 'cloud' is vergelijkbaar met het opslaan van gegevens thuis. De AIVD zou zich aan dezelfde regels als een huisdoorzoeking moeten houden als het toegang wil.
• Ook de afdeling toezicht van de toezichthouder CTIVD zou bindende adviezen moeten kunnen geven. De ministers vinden dit niet nodig omdat er al een commissie TIB is die vooraf toestemming moet geven.

Eerste Kamer van mening veranderd

Het wetsvoorstel van de ministers staat op gespannen voet met de motie die de Eerste Kamer op 7 oktober 2014 aannam. Daarin wordt de regering opgeroepen af te zien van "ongeclausuleerde, ongerichte en grootschalige surveillance" van het internet. Voor de motie stemden PvdA, CDA, ChristenUnie, GroenLinks, SP, D66, 50PLUS, PvdD en de OSF. Alleen VVD en PVV stemden tegen. Inmiddels zijn er verkiezingen geweest en is de stemming in de Eerste Kamer omgeslagen gezien de ruime meerderheid die op 11 juli 2017 voor dit voorstel stemde.

Langlopend debat

Eind 2011 kondigden minister van Defensie Hillen (CDA) en minister van Binnenlandse Zaken Spies (CDA) al een herziening van de Wiv 2002 aan om de afluisterbevoegdheden te verruimen. In een rapport van de toezichthouder wordt gesteld dat de huidige wet niet meer toereikend is vanwege de "toegenomen digitalisering van de samenleving".

Tijdens het debat van 10 februari 2015 bleken zowel de PvdA als de VVD zich te kunnen vinden in het eerste voorstel van de ministers, maar drongen wel aan op het versterken van het toezicht op de inlichtingendiensten. Ook de ChristenUnie wil dat het toezicht verbeterd wordt en pleitte voor een onafhankelijke rechter die voor elke afluisteroperatie toestemming zou moeten geven. D66 en het CDA toonden zich kritisch en wilden dat de minister het wetsvoorstel eerst verder zou uitwerken. De partijen vroegen de minister onder andere om een Privacy Impact Assessment te laten uitvoeren. Het CDA wil ook een betere onderbouwing van de noodzaak voor deze extra bevoegdheden.

In de aanloop naar het debat van 10 februari 2015 stuurde Privacy Barometer een brief naar de Tweede Kamer met acht suggesties voor een effectieve geheime dienst.

Alleen door de lucht

Op dit moment mogen de inlichtingendiensten alle signalen uit de lucht vangen en die ongelimiteerd verwerken. Maar dat mogen ze niet op vaste netwerken, waar het overgrote deel van het internetverkeer plaatsvindt. Daar mogen ze alleen zeer specifiek bepaalde personen of organisaties afluisteren. Opmerkelijk is wel dat de inlichtingendiensten alvast apparatuur aanschafte om het internet te kunnen afluisteren. Door de onthullingen van Edward Snowden in het voorjaar van 2013 werd duidelijk dat de Amerikaanse en Britse inlichtingendiensten geen enkele beperking voelen bij het aftappen en verwerken van informatie. Hierdoor is het debat over de bevoegdheden van de inlichtingendiensten en de controle daarop aanzienlijk toegenomen.

Een eerder wetsvoorstel om de Wiv 2002 te wijzigen strandde in de Eerste Kamer, met name vanwege privacy bezwaren.

[ Bron: privacybarometer.nl ]