UPDATE: Nu ik niet meer werk voor de TIB kan deze uitleg van de nieuwe wet weer online. Via dit artikel zijn interviews en podcasts te vinden met meer context.

UPDATE: Het rondetafelgesprek op 5 april 2023 in de Tweede Kamer is hier te bekijken en hier te lezen. En hier mijn spreektekst met voetnoten.

Het kabinet heeft een wetsvoorstel gepubliceerd wat het toezicht en de bevoegdheden van de inlichtingen- en veiligheidsdiensten ingrijpend verandert. Tot 17 april was het mogelijk online een reactie in te dienen, en die zijn hier te vinden. De reacties van het college voor de rechten van de mens en electrospaces.net zijn zeer de moeite waard.

~~Als toezichthouder van de AIVD en MIVD kan ik hier niet inhoudelijk gaan bloggen wat ik persoonlijk vind van deze wijziging~~. Wel heeft de Toetsingscommissie Inzet Bevoegdheden een formele reactie gepubliceerd, en die raad ik van harte aan! Ook de Commissie van Toezicht Inlichtingen- en Veiligheidsdiensten (CTIVD) heeft een reactie gepubliceerd.

In aanvulling kan ik het niet laten om de wet hier zo goed als mogelijk uit te leggen. Ik doe mijn uiterste best om het hier neutraal (of in ieder geval feitelijk) te houden, maar weet dat ik een belanghebbende ben. Als voormalig toezichthouder ben ik erg voor gedegen toezicht namelijk. Ik heb dit stuk op persoonlijke titel en zonder consultatie met mijn toenmalige/voormalige collega’s geschreven. Om alle twijfel weg te nemen, de reactie van de TIB staat dus hier, en ik vind ook dat een prima stuk.

Voor de neutraliteit, als iemand anders ook een inhoudelijke analyse van het wetsvoorstel heeft geschreven, laat het vooral weten, dan zal ik die hier vermelden.

Ok, het voorstel. Dit is een ‘lex specialis’: de Wet op de Inlichtingen- en Veiligheidsdiensten (‘Wiv’) blijft op zichzelf in stand en deze nieuwe ’tijdelijke’ wet definieert uitzonderingen. Ik zeg ’tijdelijk’ omdat veel tijdelijke wetten toch permanent worden op een of andere manier, je moet daar in ieder geval rekening mee houden.

De nieuwe wet geldt voor onderzoeken die (deels) te maken hebben met landen met een offensief cyberprogramma. Praktisch gezien raakt dit veel van het werk van de diensten. Dus dit is geen wet voor uitzonderlijke gevallen.

Het wetsvoorstel zelf is belangrijk, maar de memorie van toelichting is misschien nog wel belangrijker. Bij de vraag of de diensten iets mogen doen geeft deze uitleg vaak de doorslag.

De toestand van de wet is dat de Raad van State advies heeft uitgebracht en er op 1 december en licht gewijzigde versie naar de Tweede Kamer is gestuurd. Er komt ook nog een nota van wijziging, een internetconsultatie en een nieuw Raad van State advies.

Preview

Met dit wetsvoorstel verandert er veel. In dit voorstel:

verschuift veel toetsing vooraf, naar controle achteraf
mogen de diensten, zonder toets vooraf, computers, telefoons en mensen/huishoudens ‘bijhacken’, afluisteren of kopiëren, ook al treft dit onschuldige derden. Dit vergt tot nu toe toestemming vooraf.
hoeven bij het hacken diensten niet meer vooraf technische risico’s, zerodays en onbekende kwetsbaarheden te beschrijven (en ook niet achteraf)
wordt het mogelijk ongericht iedere kabel een jaar lang af te luisteren en op te slaan ter ‘verkenning’. Hier hoeft geen reden meer voor opgegeven te worden. Ook mag deze afgeluisterde data gedeeld worden met buitenlandse diensten voor analyse. Er is nog wel een beetje een toets voor de data echt gebruikt mag worden, maar die is met name een technische ‘indicatie’ van de plannen.
vervalt een beperking op het grootschalig afluisteren van binnenlands internet verkeer
mogen de diensten hun computers en algoritmes, zonder externe toetsing vooraf, naar in bulk afgeluisterd verkeer laten kijken om daar targets te vinden
komt er bindend toezicht achteraf op selecte bevoegdheden
wordt het mogelijk bulkbestanden die niet op relevantie getoetst zijn in principe eindeloos te bewaren (met toestemming CTIVD)
komt er (alleen voor de diensten) een beroepsmogelijkheid bij de Raad van State tegen besluiten van de TIB en CTIVD
worden strategische hacks op bedrijven mogelijk, ’ter voorbereiding’ op andere operaties

Context

In januari van dit jaar schreef een groep wetenschappers in opdracht van het ministerie van binnenlandse zaken het rapport Naar een duurzaam en effectief stelsel van toezicht op de inlichtingen- en veiligheidsdiensten. Daarin lezen we:

“De ontwikkeling van deze jurisprudentie laat zien dat het Europees Verdrag van de Rechten van de Mens (EVRM) tegenwoordig strengere eisen stelt aan de inrichting van een stelsel van toezicht op de inlichtingen- en veiligheidsdiensten. In dit advies worden enkele voorstellen gedaan om het Nederlandse stelsel van toezicht in het licht van deze jurisprudentie duurzaam te versterken.”

Een kritischer beschouwing van hoe goed en nuttig de toetsing vooraf is is te vinden in sectie 4.2 van Toezicht onder de wet op de Inlichtingen- en Veiligheidsdiensten 2017: Een tour de force van Rowin Jansen.

Ook schreef recent Rowin een nadere analyse ‘Van accentverschuiving naar stelselwijziging’ die zeer de moeite waard is.

De uitleg door CTIVD medewerker Jan-Jaap Oerlemans is hier te vinden.

Toetsing vooraf, toezicht achteraf

Ter voorbereiding is het zinvol of eigenlijk noodzakelijk dit artikel over de Wiv 2017 te lezen.

Het nieuwe voorstel verandert het toezicht sterk: veel dingen die nu vooraf en bindend (door de TIB) getoetst worden moeten in de toekomst achteraf bindend van toezicht voorzien worden (door de CTIVD). Het is cruciaal om te begrijpen dat het toezicht achteraf (door de CTIVD) op dit moment niet bindend is. Als men constateert dat het niet goed is volgt een boze brief. Deze brief kan door de ministers genegeerd worden, en dat is ook al gebeurd. In het nieuwe wetsvoorstel wordt een deel van het toezicht achteraf bindend.

Toetsing vooraf kennen we van milieu- en bouwvergunningen bijvoorbeeld. Als je verzoek of aanvraag niet goed of compleet genoeg is krijg je geen toestemming. Toezicht achteraf kennen we bijvoorbeeld van de Autoriteit Persoonsgegevens die proberen de AVG te handhaven. Een toezichthouder probeert achteraf een bestaande situatie te monitoren, maar als dat niet lukt (bijvoorbeeld om capacitaire redenen, of omdat de industrie niet meewerkt), dan gaat de (mogelijk onrechtmatige) praktijk gewoon door.

Ook is toezicht achteraf een stuk meer werk - de toezichthouder moet op zoek naar dingen die niet goed zijn. De toetser vooraf krijgt de aanvragen goed omschreven voorgeschoteld, en stuurt incomplete verzoeken terug zonder beoordeling. Het vergt dus een stuk meer mensen om dezelfde dekking te handhaven.

Er zitten dus een grote verschillen tussen toetsing vooraf en toezicht achteraf. Het is niet zo dat er zonder gevolgen het toezicht op bevoegdheden van vooraf naar achteraf geschoven kunnen worden zonder dat het uitmaakt.

Indien toezicht vooraf en achteraf goed kunnen communiceren en ook de tijd (personele bezetting) krijgen om het arbeidsintensievere toezicht achteraf goed uit te voeren kan het overigens op zich wel goed werken. Veel toezichthouders worstelen overigens met het werven van schaars technisch personeel dat zin heeft in dit soort werk.

Het is in dit wetsvoorstel zo dat de commissie van toezicht melding krijgt van vrijwel iedere inzet die door deze wet mogelijk wordt gemaakt.

Spoed

Veel van de argumenten voor de voorgestelde nieuwe wet draaien om het dynamisch karakter van digitale dreigingen. Wekelijks maken de diensten daarom ook al gebruik van de in de Wiv aangelegde spoedprocedure. Meer hierover is te lezen in het jaarverslag van de toetsingscommissie.

Hou dit vooral in het achterhoofd als mensen zonder details claimen dat ieder verzoek zo lang duurt.

De wet

Artikelen 1, 2 en 3

Artikelen 1, 2 en 3 regelen definities, en wanneer deze wet ingezet kan worden. Een open vraag is hoeveel van de verzoeken onder de nieuwe wet zullen vallen. Lastig te zeggen, maar het zal substantieel zijn. Hier zit gelijk ook wel een probleem - de nieuwe wet kent minder toetsing vooraf. In ruil komt er voor specifieke bevoegdheden nieuw bindend toezicht achteraf. Hier zit dus licht tussen - het kan zo zijn dat een operatie deels zonder toetsing vooraf is begonnen, maar het bindend toezicht achteraf niet dekkend is, want een deel van de operatie viel onder de oude wet. Er is een overgangsbepaling hierover. De Raad van State zegt over deze complexiteit:

“Tot slot acht de Afdeling het geen gegeven dat met de voorgestelde maatregelen de beoogde operationele snelheid en wendbaarheid zal worden bereikt. Het stelsel van toezicht neemt door het voorstel toe in complexiteit en zal, met name tijdens en na de inzet van bevoegdheden, veel extra inspanning vragen.”

Artikel 4: verkennen zonder toets

In afwijking van het bepaalde in artikel 45, derde lid, van de Wiv 2017 wordt de toestemming voor de uitoefening van de bevoegdheid, bedoeld in artikel 45, eerste lid, onder a, van die wet verleend door het hoofd van de betrokken dienst. Het bepaalde in de artikelen 32, tweede lid, en 36, eerste lid, van de Wiv 2017 vindt geen toepassing met betrekking tot die toestemming

In artikel 4 wordt geregeld dat de diensten het internet, telefoons en computers voortaan mogen verkennen zonder daar eerst bij de TIB vooraf toestemming voor te moeten vragen. Wat verkennen inhoudt is niet geheel duidelijk. Is dat portscannen? Of mag je ook wachtwoorden proberen? Artikelen 32 en 36 waren overigens de toets vooraf, die dus niet meer hoeft. Dit is overigens op zich niet heel raar, iedereen scant de hele dag het internet af. Als je een internetaansluiting aanzet gaan de lampjes direct knipperen, ook al doe je niets. Voor een flink deel zijn dit scans op je aansluiting.

Artikel 5: hacken zonder technische risico’s en zonder toetsing ‘bijschrijven’

Bij een verzoek om toestemming als bedoeld in artikel 45, derde lid, juncto eerste lid, onder b, van de Wiv 2017 blijft het bepaalde in artikel 45, vierde lid, aanhef en onder a, van de Wiv 2017 buiten toepassing.

De diensten mogen computers, telefoons en ‘geautomatiseerde werken’ hacken. Dit mogen apparaten van directe targets zijn, maar zoals we in de eerdere uitleg konden lezen kunnen dit ook telefoons of servers van non-targets of derden zijn. Bijvoorbeeld computers van telefoonmaatschappijen of IT dienstverleners. Voor de duidelijkheid, ook nu al kunnen dus ook computers van derden en non-targets afgeluisterd worden (als het echt nodig is).

In de huidige wet moeten de diensten voor ze gaan hacken uitleggen wat de technische risico’s zijn van hun plannen. Bijvoorbeeld hoe ze voorkomen dat hun hack een telefooncentrale/communicatiemiddel verstoort, of een belangrijke internetdienst. Technische risico’s gaan ook over het uitlekken van “zero days”, en de gevolgen als andere landen, diensten of partijen gebruik maken van door de diensten gehackte systemen.

In de voorgestelde wetswijziging hoeft dit alles niet meer omschreven te worden voor men mag gaan hacken.

In aanvulling op het bepaalde in artikel 45, achtste lid, van de Wiv 2017, omvat de verleende toestemming tevens de bevoegdheid om, voor de duur van de verleende toestemming, binnen te dringen in een ander geautomatiseerd werk dat door de desbetreffende persoon of organisatie in gebruik is voor zover dat in de plaats treedt van of een aanvulling is op het geautomatiseerde werk waar oorspronkelijk de toestemming voor is verleend.

In aanvulling hierop mag men volgens dit voorstel ook zonder verdere toestemming vooraf ‘doorhacken’ naar andere apparaten die door het target in gebruik genomen zijn, zonder dat daar verdere toestemming voor gevraagd hoeft te worden. Het is dus een soort wildcard toestemming.

Concreet, als een land of groep al gehacked mocht worden, en die club hackt jouw kabelmodem, dan mag de betrokken dienst in dit voorstel zonder toestemming vooraf ook jouw kabelmodem hacken (en afluisteren, zie verderop).

Artikel 6: jaar lang kabel afluisteren ter analyse, delen met buitenland

Dit gaat over SIGINT, het grootschalig ongericht afluisteren van kabels, radiosignalen en satellieten. In dit artikel staat dat de diensten kunnen verzoeken iedere communicatie een jaar lang af te mogen luisteren, en die communicatie ook ~~een jaar lang~~ zes maanden volledig op mogen slaan. Dit mag gebeuren met als enige rechtvaardiging (en doel) om te bepalen wie gebruik maakt van een verbinding, dit ten behoeve van verdere afluisterverzoeken. Dit alles kan gaan om een kabel, maar ook om een draadloze verbinding. Ook mag deze afgeluisterde data met buitenlandse diensten gedeeld worden ter analyse.

(C) Ildefonso Polo

Vroeger was het zo dat af te luisteren kabels en verbindingen zo “gericht als mogelijk” gekozen moesten worden. Die eis is voor verkenning komen te vervallen, dit mag nu overal op iedere kabel, alleen interesse in verder afluisteren is genoeg reden. Eerder is in discussies veel gesproken over “de kabel naar eng land X”, maar in dit voorstel gaat het echt om iedere kabel (of draadloze verbinding).

Het idee hier is dat met deze jaar lange opname van (bijvoorbeeld) een internetkabel men later toestemming kan vragen om ook kennis te nemen van de communicatie van specifieke mensen, organisaties of computers. Het systeem van de wet is dat het een jaar lang opnemen van verkeer nog geen afluisteren is. Het inlichtingenproces neemt namelijk nog geen kennis van de afgeluisterde gegevens. Dat kennisnemen vergt een aparte toestemming.

Ondertussen is de gedachte in dit stelsel dat het niet erg is om een jaar lang verkeer op een harde schijf te zetten, zolang je er maar niet (te veel) naar kijkt. Je kijkt alleen om te bepalen wie en wat er nou op de verbinding zit. Of zat, want dit gaat ook over verkeer dat 12 6 maanden geleden opgenomen is.

Technisch gezien is het zo dat als alle packets van een internetkabel opgeslagen worden dit leidt tot een nauwkeurig register van wie wanneer welke website bezocht. En ook al kijk je niet te veel naar dit register, het is toch wel een eng idee dat het bestaat, zeker als je het een heel jaar bewaart. Ook diensten worden weleens gehacked, of hebben last van te nieuwsgierig personeel.

Of zoals het Europees hof van de Rechten van de Mens het recent verwoordde:

In this regard, the Court has clearly stated that even the mere storing of data relating to the private life of an individual amounts to an interference within the meaning of Article 8 (see Leander v. Sweden, 26 March 1987, § 48, Series A no. 116)

Het is totaal onduidelijk waarom deze gegevens ~~een heel jaar~~ zes maanden bewaard mogen worden.

Ook de commissie van toezicht kan geen bindend toezicht houden op dit artikel.

Artikel 7: verzwakken toetsingskader bulk afluisteren

Bij de toepassing van de in artikel 26, tweede en vijfde lid, van de Wiv 2017 neergelegde voorwaarde in verband met de uitvoering van de in artikel 48, eerste lid, van die wet, geregelde bevoegdheid tot onderzoeksopdrachtgerichte interceptie, worden met name de navolgende aspecten betrokken: a. een indicatie van de te verwerven gegevensstromen; b. een indicatie van de wijze waarop de reductie van gegevens binnen de gehele keten van verwerving invulling krijgt.

Hier lijkt strikt gezien alleen te staan dat de diensten indicaties moeten geven van wat ze vermoeden te gaan verwerven als een grote kabel ongericht afgeluisterd gaat worden. Uit de memorie van toelichting blijkt dat bedoeld is dat de diensten ook daadwerkelijk alleen technische indicaties hoeven te geven:

Met deze indicatie wordt bedoeld de feitelijke, technische aanduiding van de te intercepteren gegevensstromen, zoals die op het moment van de aanvraag te geven zijn. Een voorbeeld van de feitelijke, technische aanduiding zijn bij kabelinterceptie klantkanalen, waarmee de te intercepteren gegevensstromen aan worden geduid

En ter verduidelijking, de toets die de toezichthouders doen moet zich echt richten op alleen deze twee punten:

Binnen het gegeven toetsingskader moeten [deze] twee aspecten met name, en daarmee het zwaarwegendst, worden betrokken bij de invulling van de toets op gerichtheid en proportionaliteit

Dit is relevant omdat toezichthouders bij hun werk echt naar de wet moeten kijken. Als daar staat ‘doe x’ dan kunnen ze daar niet (makkelijk) van afwijken. Deze bewoording verzwakt de toets op proportionaliteit en ‘zo gericht als mogelijk’.

Waar in het verleden werd beloofd dat men niet Netflix of YouTube zou gaan tappen komt men daar nu op terug:

Het categorisch op voorhand aanmerken van bepaalde gegevensstromen zoals streamingdiensten of gegevenstypen als niet-relevant levert voor de diensten een risico op bij het voldoende zicht kunnen houden op de dreiging. De verplichting tot het filteren op streamingsdiensten en niet-grensoverschrijdende communicatie buiten cyber-defence, bergt het risico van misbruik door actoren in zich. Daardoor is het van belang dat de diensten per geval een afweging kunnen maken welke gegevens gefilterd moeten worden en welke gegevens doorgelaten kunnen worden.

Met de huidige wetsgeschiedenis bestaat er een beperking in het afluisteren van verkeer met oorsprong en bestemming in Nederland.

Deze beperking vervalt in het nieuwe wetsvoorstel.

Artikel 8: Zonder toetsing vooraf algoritmisch/geautomatiseerd zoeken in bulktaps

In afwijking van het bepaalde in artikel 36, eerste lid, van de Wiv 2017 wordt een door Onze betrokken Minister verleende toestemming als bedoeld in artikel 50, vierde lid, van die wet niet voor toetsing voorgelegd aan de toetsingscommissie. Artikel 32, tweede lid, van die wet blijft buiten toepassing.

Zoals eerder genoemd bij artikel 7 bestaat er een stelsel dat de diensten wel data in hun bezit hebben, maar er nog niet voor het inlichtingenproces kennis van mogen nemen. In de huidige Wiv wordt de daadwerkelijke toegang tot die gegevens apart getoetst vooraf in artikel 50.

Deze toegang kan ook plaatsvinden via “geautomatiseerde data analyse” (GDA), waarbij computers en algoritmes dingen met de data mogen doen, bijvoorbeeld om personen op te sporen of te herkennen. De huidige Wiv definieert GDA niet erg goed omdat het een snel bewegend veld is met algoritmes, big data en ‘machinaal leren’. Bij gebrek aan een goede definitie is toen besloten dat de TIB vooraf toetst of een gedetailleerd omschreven specifieke inzet van GDA rechtmatig is (proportioneel voor het doel, noodzakelijk, subsidiair, zo gericht als mogelijk).

In het nieuwe voorstel vervalt deze toets en mag men met computers en algoritmes op zoek in de grote (buiten)bak met data, ook als er geen specifieke toestemming is om specifieke organisaties of mensen af te luisteren. Men noemt dit target discovery.

Artikelen 9 en 10

Gelijk artikel 5 boven maakt artikel 10 het mogelijk niet alleen targets zelf af te luisteren, maar ook apparaten en systemen van andere (onschuldige) mensen die door deze targets gehacked of gebruikt worden. Dus als Herman Acker jouw NAS (foto- of videoserver) thuis hackt, en de dienst had toestemming om Herman af te luisteren, dan hebben ze nu automatisch ook toestemming om jouw hele internetaansluiting af te luisteren (en die van je huisgenoten dus).

Artikel 11 is vergelijkbaar, maar gaat over het maken van kopieën van hele servers, mailboxen, dropboxen, websites. Als Herman Acker de website van een gemeente of stichting hackt, dan mogen de diensten voortaan zonder toetsing vooraf een kopie opvragen van die gehackte server. Ook wordt het mogelijk iedere server die Herman zelf bijhuurt ook ‘bij te schrijven’ (wat niet onredelijk is, dat is zijn eigen server dan).

Artikel 11

De huidige Wiv kent een ‘gesloten stelsel’ van informatieuitwisseling. Hierdoor kunnen de beide toezichthouders slechts moeilijk informatie uitwisselen. In eerdere versies van dit wetsvoorstel bleef dit zo, in de huidige versie mogen de TIB en CTIVD met elkaar praten, maar moeten ze daar wel verslag over uitbrengen.

Dit artikel is aangepast nadat er veel klachten over kwamen tijdens de internetconsultatie.

Artikelen 12 tot en met 15

De commissie van toezicht krijgt met deze tijdelijke wet voor het eerst bindend toezicht, maar alleen op een kleine selectie van de bevoegdheden:

Scannen voor hacken
Technische risico’s op hacken (niet hacken zelf)
Bijschrijven van hacken, tappen en data opvragen
Geautomatiseerde data analyse (GDA) op OOG (bulk) afgeluisterde data

Om dit bindend toezicht heen zit een complex stelsel van beroep en voorlopige voorzieningen.

Ook kunnen de diensten bij de Afdeling Bestuursrechtspraak van de Raad van State in beroep gaan tegen de bindende beslissingen van de TIB. Dit is feitelijk een “tweede kans” bij een onrechtmatigheidsverklaring.

Ik hoop van harte dat iemand anders deze artikelen uit wil leggen, bestuursrecht is niet mijn expertise.

Wat met name spannend is, is het zo dat als de diensten in beroep gaan, ze voorlopig wel door mogen gaan met hun bevoegdheid. Dit zou bedenkelijk zijn. Er is discussie gaande hierover.

Memorie van toelichting

Wetsteksten zijn op zichzelf niet genoeg om te begrijpen wat de bedoeling is. De memorie van toelichting geeft vaak de doorslag bij vragen of een complex geval rechtmatig was of niet. Specifiek kan in de memorie gevonden wat de wetgever bedoelde.

Ik kom hier in een later artikel nog uitgebreider op terug – de memorie omvat belangrijke woorden over hoe de TIB bijvoorbeeld ook echt niet technische risico’s (zerodays of onbekende kwetsbaarheden) mag betrekken in haar toets:

Het gebruik van onbekende kwetsbaarheden hoeft derhalve niet meer te worden beschreven bij toestemmings- of verlengingsaanvragen.

Ook relevant is 2.2.2 in de memorie, alwaar een moeilijk te begrijpen stuk staat over ‘strategische operaties’. Dit zijn hacks waarbij diensten vooraf al posities innemen bij relevante bedrijven (die zelf geen target zijn) omdat dit later nuttig kan zijn.

Afsluitend

Met dit wetsvoorstel verandert er veel. In dit voorstel:

verschuift veel toetsing vooraf, naar controle achteraf, maar mogen de beide toezichthouders alleen met hindernissen met elkaar samenwerken
mogen de diensten, zonder toets vooraf, computers, telefoons en mensen/huishoudens ‘bijhacken’, afluisteren of kopiëren, ook al treft dit onschuldige derden. Dit vergt tot nu toe toestemming vooraf.
hoeven bij het hacken diensten niet meer vooraf technische risico’s, zerodays en onbekende kwetsbaarheden te beschrijven (en ook niet achteraf)
wordt het mogelijk ongericht iedere kabel een jaar lang af te luisteren en op te slaan, zonder opgaaf van reden, met alleen het doel te bepalen welk verkeer er door de kabel gaat. Voor productiegebruik is er nog wel een toets vooraf, maar die ziet grotendeels alleen nog op een ‘indicatie’ van wat er gaat gebeuren.
vervalt een beperking op het grootschalig afluisteren van binnenlands internet verkeer
mogen de diensten hun computers en algoritmes, zonder externe toetsing vooraf, naar in bulk afgeluisterd verkeer laten kijken om daar targets te vinden
komt er beperkt bindend toezicht achteraf op selecte bevoegdheden
wordt het mogelijk bulkbestanden die niet op relevantie getoetst zijn in principe eindeloos te bewaren
komt er (alleen voor de diensten) een beroepsmogelijkheid bij de Raad van State tegen besluiten van de TIB en CTIVD

Ik hoop van harte dat de bovenstaande uitleg bijdraagt tot een zinvolle discussie. Als er onjuistheden in het stuk staan, laat het snel weten (bert@hubertnet.nl) dan kan ik die oplossen!

En ten overvloede nogmaals, dit is mijn eigen persoonlijke samenvatting.

Vervallen artikelen

Voormalig Artikel 6 (VERVALLEN)

Dit artikel is vervallen in de nieuwste versie van de wet.

In een publiek geval kregen de diensten ooit toegang tot vluchtgegevens van grote hoeveelheden mensen. De bulk van deze mensen was geen target van de dienst, en zou dat ook nooit worden. Desondanks kan je je voorstellen dat een dienst een hoop nuttige dingen kan doen met dit soort gegevens.

Als iemand in beeld komt voor onderzoek en claimt niks met (zeg) Luxemburg te maken te hebben dan kan het nuttig zijn om te kijken of deze persoon misschien in het verleden niet veel naar Luxemburg vloog.

De huidige wet is hier erg star in. Na anderhalf jaar moet een dataset regel voor regel op relevantie beoordeeld worden en kan niet integraal relevant verklaard worden. De gedachte hierbij is dat het in een modern land niet mogelijk moet zijn om algemene registers over Jan en alleman bij te houden, terwijl die mensen niks gedaan hebben.

Een paar jaar geleden hebben de diensten, ondanks een uitspraak van de CTIVD, te lang bewaarde datasets niet vernietigd. Die heeft geleid tot een klacht van Bits of Freedom die er toe heeft geleid dat deze bestanden jaren later alsnog vernietigd moesten worden. Extra pijnlijk hierbij is dat bleek dat de diensten ook niet uit konden leggen wat ze nog aan die data hadden.

In de nieuwe wet kunnen bestanden indien nodig oneindig lang bewaard worden, ook al zijn ze niet beoordeeld op relevantie, maar houdt de CTIVD daar wel bindend toezicht op.