Preview document (🔗 origineel)

---

No. W04.23.00073/I

's-Gravenhage, 10 mei 2023

Bij Kabinetsmissive van 27 maart 2023, no.2022001014, heeft Uwe Majesteit, op voordracht van de Minister van Binnenlandse Zaken en Koninkrijksrelaties mede namens de Minister van Defensie, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt de nota van wijziging bij het wetsvoorstel houdende regels inzake specifieke wettelijke voorzieningen voor het uitvoeren van onderzoeken door de Algemene Inlichtingen- en Veiligheidsdienst en de Militaire Inlichtingen- en Veiligheidsdienst naar landen met een offensief cyberprogramma tegen Nederland of Nederlandse belangen (Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma), met toelichting.

De nota van wijziging voorziet in een uitbreiding van het voorstel voor een tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma. De plicht in de Wiv 2017 om bulkdatasets binnen anderhalf jaar op relevantie te beoordelen en anders te vernietigen wordt geschrapt. Op grond van de nota van wijziging kan de bewaartermijn van bulkdatasets door de betrokken minister op grond van een beargumenteerd verzoek van de diensten jaarlijks verlengd worden. De CTIVD houdt hierop bindend toezicht.

Deze regeling geldt voor alle inlichtingenonderzoeken van de AIVD en de MIVD, en dus niet alleen voor onderzoeken naar landen met een offensief cyberprogramma. Ook de reeds verworven bulkdatasets komen onder dit nieuwe regime te vallen. Daarnaast introduceert de nota van wijziging, ter uitvoering van jurisprudentie van het Hof van Justitie van de EU, een bindende onafhankelijke ex ante toets voor het realtime verzamelen van verkeers- en locatiegegevens.

Het wetsvoorstel krijgt met deze voorstellen een ruimere reikwijdte: het heeft niet langer uitsluitend betrekking op landen met een offensief cyberprogramma. In verband daarmee krijgt het voorstel ook een nieuwe naam: Tijdelijke wet specifieke voorzieningen onderzoeken AIVD en MIVD.

De Afdeling advisering van de Raad van State merkt op dat voorgestelde verruiming van de mogelijkheid bulkdatasets te bewaren een zorgvuldige afweging vereist. Het gaat hier immers om zeer grote hoeveelheden persoonsgegevens die voor het merendeel betrekking hebben op personen die geen voorwerp van onderzoek zijn en ook nooit zullen zijn. De Afdeling begrijpt het belang van bulkdatasets voor een goede taakuitoefening van de diensten. De toelichting is op dit punt echter niet toereikend, mede gelet op de aard en omvang van de bulkgegevens. Uit de toelichting wordt onder meer niet duidelijk waarom de bestaande regeling reeds op dit moment voor alle inlichtingenonderzoeken tijdelijk gewijzigd moet worden. Zij adviseert dit alsnog dragend te motiveren.

Een regeling voor het bewaren en vernietigen van bulkdatasets dient met solide waarborgen te zijn omgeven. In de nota van wijziging ligt het zwaartepunt bij het toezicht van de CTIVD op de jaarlijkse verlenging van de bewaartermijn. De voorgestelde regeling zelf echter kent in concrete zin weinig begrenzing. De Afdeling adviseert de criteria waaraan de verlengingsverzoeken worden getoetst in de wet neer te leggen. Om duidelijk te maken dat de inbreuk op de persoonlijke levenssfeer van de burger eindig is, adviseert zij daarnaast te voorzien in een wettelijke eindtermijn met een nauwkeurig begrensde mogelijkheid om daarvan bij wijze van uitzondering af te wijken.

In het licht van deze opmerkingen dient de nota van wijziging te worden heroverwogen.

1. Achtergrond en inhoud

Voorgeschiedenis wetsvoorstel

Vooruitlopend op een algehele herziening van de Wiv 2017 is het voorstel voor een tijdelijke wet onderzoeken Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) naar landen met een offensief cyberprogramma in procedure.¹ Dat wetsvoorstel voorziet in een tijdelijk, van de Wiv 2017 afwijkend regime. Het bestaande regime van de Wiv 2017 belemmert de diensten, zo heeft de regering toegelicht, om het onderzoek naar landen met een offensief cyberprogramma effectief uit te voeren. Voor dit deel van de werkzaamheden van de diensten wil de regering de toegezegde herziening van de Wiv 2017 naar aanleiding van het rapport van de Evaluatiecommissie Jones-Bos van 2021 niet afwachten.²

Het doel van het wetsvoorstel is meer operationele snelheid en wendbaarheid mogelijk te maken, terwijl het niveau van toezicht gelijk blijft. Het voorstel verruimt daartoe de inzetmogelijkheden van enkele cyberbevoegdheden, brengt verschuivingen aan in het stelsel van toezicht en creëert voor geschillen tussen de minister(s) en de toezichthouder(s) een beroepsprocedure bij de Afdeling bestuursrechtspraak van de Raad van State. Het voorstel voor een tijdelijke wet is op 1 december 2022 ingediend bij de Tweede Kamer. De minister kondigde in het nader rapport aan dat de bepalingen inzake het bewaren en vernietigen van bulkdatasets uit het voorstel zouden worden gehaald.

Bulkdatasets

Uit de nu voorliggende nota van wijziging blijkt dat wordt voorgesteld om de regeling een bredere toepassing te geven dan in het oorspronkelijke conceptvoorstel werd beoogd.³ De voorgestelde regeling heeft betrekking op het bewaren en vernietigen van bulkdatasets die in het kader van alle inlichtingenonderzoeken zijn verzameld. Een bulkdatasets is gedefinieerd als “een omvangrijke gegevensverzameling waarvan het merendeel van de gegevens betrekking heeft op organisaties of personen die geen onderwerp van onderzoek van de diensten zijn en dat ook nooit zullen worden”.⁴ De Wiv 2017 schrijft voor dat deze bulkdatasets binnen een termijn van anderhalf jaar op relevantie moeten worden beoordeeld.⁵ Dat is in de praktijk problematisch omdat het niet uitvoerbaar bleek de relevantie van bulkdatasets binnen anderhalf jaar te beoordelen en deze sets vaak langer dan die termijn van waarde zijn voor de onderzoeken van de diensten.

Na inwerkingtreding van de Wiv 2017 is op grond van deze overwegingen aanvankelijk ervoor gekozen om bepaalde bulkdatasets in zijn geheel of grotendeels als relevant te beoordelen. De afdeling toezicht van de CTIVD heeft daarop het in zijn geheel of grotendeels relevant beoordelen vanwege het aflopen van de wettelijke maximale beoordelingstermijn als onrechtmatig gekwalificeerd. De CTIVD onderkende weliswaar de operationele belangen om bulkdatasets langer te bewaren, maar was van oordeel dat de kern van bulkdata – dat zij gegevens bevat van personen en organisaties die geen onderwerp van onderzoek zijn – eraan in de weg staat dat zij in het geheel relevant worden verklaard.⁶ In het verlengde daarvan heeft de afdeling klachtbehandeling van de CTIVD naar aanleiding van een klacht van burgerrechtenvereniging Bits of Freedom in 2022 bepaald dat de diensten niet zorgvuldig en in strijd met de wet hebben gehandeld bij het periodiek (her)beoordelen van meerdere bulkdatasets. Deze bulkdatasets dienden om die reden te worden verwijderd en vernietigd.⁷

De nota van wijziging voorziet nu in de mogelijkheid van een jaarlijkse verlenging van het bewaren van de bulkdatasets. Hiervoor geldt, anders dan op grond van de huidige wet, geen eindtermijn. Zoals reeds vermeld is de nu voorgestelde regeling, anders dan in het oorspronkelijke conceptvoorstel voor een Tijdelijke wet, niet alleen van toepassing op de verlenging van bulkdatasets die zijn verzameld in onderzoeken naar landen met een offensief cyberprogramma maar in bredere zin op bulkdatasets die zijn verzameld in inlichtingenonderzoeken. Daarnaast voorziet de nota van wijziging in een overgangsregeling waarmee alle reeds vergaarde bulkdatasets onder dit regime worden gebracht.⁸

Stomme tap

De nota van wijziging introduceert tot slot een nieuwe procedure voor de inzet van de bevoegdheid tot het realtime verzamelen van verkeers- en locatiegegevens.⁹ Men noemt deze bevoegdheid de “stomme tap” omdat hierbij niet de inhoud van communicatie wordt geïntercepteerd. Ook hier gaat het om inzet in het kader van alle inlichtingenonderzoeken, niet alleen in onderzoeken naar landen met een offensief cyberprogramma. De aanleiding voor deze wijziging is een uitspraak van het Hof van Justitie van de Europese Unie. Het Hof oordeelde dat het realtime verzamelen van verkeers- en locatiegegevens enkel mag plaatsvinden na voorafgaand bindend toezicht door een rechter of een onafhankelijke administratieve autoriteit.¹⁰ Op basis van de Wiv 2017 is voor deze bevoegdheid geen voorafgaande bindende toets van de Toetsingscommissie Inzet Bevoegdheden (TIB) benodigd. De nota van wijziging voorziet nu in een dergelijke toets. In de tussentijd wordt ervoor gezorgd dat in de praktijk al in lijn met deze wijziging wordt gehandeld.¹¹

2. Noodzaak uitbreiding reikwijdte

Zoals vermeld had de tijdelijke wet tot dusverre een beperkte reikwijdte. Centraal stond de specifieke dreiging die uitgaat van landen met een offensief cyberprogramma en de belemmeringen in de Wiv 2017 om hier effectief onderzoek naar te doen. De Afdeling achtte het in haar eerdere advies over de tijdelijke wet, gelet op de geschetste bijzondere dreiging, “begrijpelijk om thans, vooruitlopend op een definitieve wetswijziging, een aangepast regime voor een beperkt deel van de taken tijdelijk te beproeven”.¹²

Met de nota van wijziging wordt de specifieke reikwijdte van het wetsvoorstel losgelaten en krijgt het voorstel een breder bereik. De tijdelijke wet krijgt dan ook een nieuwe naam: Tijdelijke wet specifieke voorzieningen onderzoeken AIVD en MIVD.¹³ Voor wat betreft de verruiming van de mogelijkheid van het bewaren van bulkdata is, mede gelet op het recht op eerbiediging van de persoonlijke levenssfeer zoals gewaarborgd in artikel 10 van de Grondwet en artikel 8 EVRM,¹⁴ een zorgvuldige afweging van belang. Dit geldt te meer omdat het bij bulkdatatsets gaat om zeer grote hoeveelheden persoonsgegevens die voor het merendeel betrekking hebben op personen die geen voorwerp van onderzoek zijn en ook nooit zullen zijn en bovendien met deze verruiming wordt vooruitgelopen op de herziening van de Wiv 2017 waarin dit thema nog ten principale aan de orde komt.

De Afdeling begrijpt de grote betekenis van bulkdatatsets voor een goede taakuitoefening van de diensten en heeft in dat verband, naast de overwegingen daaromtrent van de commissie Jones-Bos, kennisgenomen van het gezamenlijke pleidooi van de beide toezichthouders (TIB en CTIVD) voor een wettelijke regeling. Niettemin merkt de Afdeling op dat de toelichting op de nota van wijziging, mede gelet op de aard en omvang van de bulkgegevens, niet toereikend is. Zij bevat in het algemeen deel geen zelfstandige en samenhangende motivering voor het feit dat de voorgestelde uitbreiding, in afwijking van de specifieke reikwijdte van de tijdelijke wet, op dit moment noodzakelijk is. De motivering blijft in het artikelsgewijze deel van de toelichting beperkt tot de stelling dat bulkdatasets “niet alleen bij onderzoeken in het cyberdomein een belangrijke functie [vervullen]. Zij vervullen ook in veel andere onderzoeken […] een belangrijke rol in de analyse”.¹⁵ Verdere motivering ontbreekt. Ook wordt uit de artikelsgewijze toelichting niet duidelijk waarom de voorgestelde uitbreiding op dit moment nodig is en niet kan worden gewacht op de herziening van de Wiv 2017.

De Afdeling adviseert in het licht van het voorgaande de uitbreiding van de regeling voor het bewaren en vernietigen van bulkdatasets alsnog dragend te motiveren.

3. Bewaarregime bulkdatasets

Bulkdatasets in de Wiv 2017

De Wiv 2017 bevat verschillende regels voor de verwerking van bulkdatasets, afhankelijk van de wijze waarop de bulkdatasets zijn verzameld. De Evaluatiecommissie Jones-Bos heeft in haar rapport aanbevolen om in de Wiv 2017 één regeling te treffen voor de verwerking van alle bulkdatasets, waarbij wel onderscheid kan worden gemaakt naar type datasets.¹⁶ Zo kan in beginsel, ongeacht de wijze waarop de bulkdata zijn verworven, worden gezorgd voor uniformiteit bij de verwerking. De minister heeft de conclusies en aanbevelingen van de commissie omarmd en heeft toegezegd deze te betrekken bij de herziening van de Wiv 2017.¹⁷

Ook ten aanzien van het bewaren en vernietigen van bulkdatasets gelden in de Wiv 2017 verschillende regimes. Voor bulkdatasets die zijn verworven met bijzondere bevoegdheden schrijft de Wiv 2017 voor dat bulkdatasets zo spoedig mogelijk en binnen maximaal anderhalf jaar worden beoordeeld op relevantie (relevantie-regime). Niet-relevante gegevens worden vernietigd.¹⁸ Gegevens die wel relevant zijn worden verwijderd als zij, gelet op het doel waarvoor zij worden verwerkt, geen betekenis hebben of hun betekenis hebben verloren (betekenis-regime), aldus de huidige wet.¹⁹

Bulkdatasets in de nota van wijziging

De nu voorgestelde regeling beperkt zich tot de bulkdatasets die zijn verworven met zogenoemde bijzondere bevoegdheden, bijvoorbeeld de hackbevoegdheid. De regeling ziet niet op bulkdatasets die zijn verworven met de onderzoeksopdrachtgerichte (OOG) interceptie; deze houden het door de Wiv 2017 voorgeschreven eigen bewaarregime. Ook voor bulkdatasets die zijn verworven met algemene bevoegdheden blijft het algemene bewaarregime in de Wiv 2017 gelden.

Op grond van de nota van wijziging hoeven bulkdatasets niet langer op relevantie te worden beoordeeld. Het voorstel is jaarlijks te bezien of de bulkdataset nog een jaar bewaard mag worden.²⁰ De minister besluit over de verlenging van de bewaartermijn op basis van een beargumenteerd voorstel van de diensten. Voor zover het gaat om het toezicht geldt het regime van het aanhangige voorstel voor een Tijdelijke wet. Dat betekent dat de CTIVD bindend toezicht houdt en dat tegen een negatief bindend oordeel van de CTIVD beroep open staat bij de Afdeling bestuursrechtspraak van de Raad van State.

In haar advies over het voorstel voor de Tijdelijke wet plaatste de Afdeling kanttekeningen bij het daarin voorgestelde bewaarregime voor bulkdatasets. Net als bij haar advisering over de Wiv 2017 wees de Afdeling op jurisprudentie van het EHRM die het belang benadrukt van een zo kort mogelijke bewaartermijn die in wet- en regelgeving dient te worden neergelegd.²¹ Het leek haar aangewezen het aantal mogelijke verlengingen wettelijk te maximeren. Ook achtte zij het noodzakelijk dat de wet met het oog op de beoordeling van het verlengingsverzoek objectieve toetsingscriteria bevat.

Blijkens de toelichting bij de nota van wijziging neemt de regering dit advies niet over. Volgens haar is het niet passend om voor alle bulkdatasets op voorhand eenzelfde maximale bewaartermijn te stellen. De jaarlijkse verlenging per geval biedt de mogelijkheid tot maatwerk per bulkdataset. De toelichting schetst op hoofdlijnen hoe de noodzaak en proportionaliteit van de verlenging zal worden getoetst en formuleert daartoe enkele afwegingsfactoren. Daarbij benadrukt de regering de rol van de CTIVD en de Afdeling bestuursrechtspraak. Zo wordt invulling gegeven aan de eisen van (jurisprudentie over) artikel 8 EVRM, aldus de toelichting.²²

Meer wettelijke waarborgen

De Wiv 2017 bevat diverse mogelijkheden om bulkdatasets te verwerken. Zo kunnen bulkdatasets geautomatiseerd worden geanalyseerd en onder voorwaarden met buitenlandse inlichtingendiensten worden gedeeld.²³ De privacy-inbreuk die met deze verwerking gepaard gaat, is, zoals hiervoor al opgemerkt, in het bijzonder ook van belang omdat het merendeel van de gegevens in bulkdatasets ziet op personen of organisaties die niet bij de AIVD en de MIVD in onderzoek zijn en ook nooit zullen zijn. Het bewaar- en vernietigingsregime voor bulkdatasets dient dan ook met solide waarborgen te zijn omgeven. Dat is eens temeer het geval nu de nota van wijziging de regeling inzake bewaring en vernietiging significant uitbreidt naar alle inlichtingenonderzoeken én naar de in het verleden reeds verzamelde bulkdatasets.

Tegen deze achtergrond bevat het wetsvoorstel nog onvoldoende waarborgen. In de voorgestelde regeling ligt te zeer het zwaartepunt op de alleen in algemene termen vastgelegde noodzakelijkheids- en proportionaliteitsmaatstaf bij de jaarlijkse verlengingen en het toezicht van de CTIVD daarop. Dit zijn betekenisvolle waarborgen maar tegelijkertijd kent het voorstel zélf in concrete zin weinig begrenzing. Gelet op de aard en omvang van bulkdatasets (zie hiervoor) zijn meer waarborgen nodig.

Daartoe adviseert de Afdeling in de eerste plaats de criteria waaraan de verlengingsverzoeken worden getoetst, concreter dan nu het geval is in de wet neer te leggen. Hierbij kan worden aangesloten bij het wettelijk kader voor de inzet van bijzondere bevoegdheden in de Wiv 2017²⁴ en bij de reeds in de toelichting bij de nota van wijzing genoemde factoren.²⁵ Uit dat laatste blijkt dat in elk geval gekeken wordt naar:

1. het gebruik van gegevens uit de bulkdataset door de betrokken dienst in het afgelopen jaar of de afgelopen jaren en

2. de verwachte potentiële bijdrage van gegevens uit de bulkdataset aan onderzoeken van de betrokken dienst in de aankomende periode.

De Afdeling adviseert deze factoren wettelijk te verankeren. Daarnaast kan gedacht worden aan de ernst van de inbreuk die door de betreffende categorie persoonsgegevens op de persoonlijke levenssfeer wordt gemaakt en de periode gedurende welke de bulkdataset op dat moment reeds wordt bewaard.

Verder merkt de Afdeling op dat naast de jaarlijkse verlengingsprocedure, in lijn met hetgeen doorgaans in het algemene gegevensbeschermingsrecht geldt, op enigerlei wijze moet worden voorzien in een eindtermijn. Een eindtermijn biedt duidelijkheid aan zowel de betreffende dienst als de toezichthouder dat de inbreuk op de persoonlijke levenssfeer van de burger eindig is. Daarbij kan mogelijk worden aangesloten bij de bestaande wettelijke bewaartermijn voor gegevens die zijn verkregen met de onderzoeksopdrachtgerichte (OOG) interceptie die de Tijdelijke wet ongewijzigd laat.²⁶ Om recht te doen aan de onderlinge verschillen tussen bulkdatasets kan in aanvulling daarop worden overwogen om een nauwkeurig begrensde bevoegdheid te creëren om bij wijze van uitzondering van de eindtermijn af te wijken indien dringende redenen met het oog op de nationale veiligheid dat strikt noodzakelijk maken.

Daarom adviseert de Afdeling de nota van wijziging ook op dit punt aan te passen.

De Afdeling advisering van de Raad van State heeft een aantal bezwaren bij de nota van wijziging en adviseert deze niet bij de Tweede Kamer der Staten-Generaal in te dienen, tenzij deze is aangepast.





De vice-president van de Raad van State,

---

1. Kamerstukken II 2022/23, 36263, nrs. 1-3. Op 10 mei 2022 bracht de Afdeling advies uit daarover uit.↩︎

2. Kamerstukken II 2020/21, 34588, nr. O.↩︎

3. Kamerstukken II 2022/23, 36263, nr. 4, p. 24↩︎

4. Voorgesteld artikel 1, onder f.↩︎

5. Artikel 27, derde lid, Wiv 2017↩︎

6. CTIVD, Voortgangsrapportage IV: De implementatie van de Wiv 2017 (rapport 69), 5 augustus 2020, p. 12.↩︎

7. Beslissing klacht Bits of Freedom over het handelen van de AIVD en de MIVD, 15 juni 2022, www.ctivd.nl.↩︎

8. Voorgesteld artikel 14c.↩︎

9. Voorgesteld artikel 14e.↩︎

10. Hof van Justitie van de Europese Unie, 6 oktober 2020, in de gevoegde zaken C-511/18, C-512/18 en C-520/18 (Quadrature du Net e.a.),↩︎

11. Toelichting, onderdeelsgewijs, I.↩︎

12. Kamerstukken II 2022/23, 36263, nr. 4, punt 3.↩︎

13. Voorgestelde wijziging van het opschrift, zie onder A.↩︎

14. Op het relevante constitutionele kader is de Afdeling ingegaan in haar eerdere advies over de tijdelijke wet. Zie Kamerstukken II 2022/23, 36263, nr. 4, punt 2.↩︎

15. Toelichting, onderdeelsgewijs, I.↩︎

16. Rapport Evaluatiecommissie Wiv 2017, bijlage bij Kamerstukken 2020/21, 34588, nr. 88, paragraaf 4.↩︎

17. Kamerstukken II 2020/21, 34 588, O.↩︎

18. Artikel 27, eerste en derde lid, Wiv 2017.↩︎

19. Artikel 20, eerste lid, Wiv 2017.↩︎

20. Voorgesteld artikel 14b.↩︎

21. EHRM 25 mei 2021 (GK), Big Brother Watch t. Verenigd Koninkrijk, nrs. 58170/13 62322/14 24960/15, ECLI:CE:ECHR:2021:0525JUD005817013, paragraaf 405 en 423. Zie ook EHRM 4 december 2015, nr. 47143/06, Roman Zakharov t. Rusland, paragraaf 255. Zij deed dit ook al in haar advies over de Wiv 2017, zie Advies van de Afdeling advisering van 21 september 2016 over de Wiv 2017 (W04.16.0097/I), Kamerstukken II 2016/17, 34588, nr. 4, punt 4f.↩︎

22. Toelichting, onderdeelsgewijs, I.↩︎

23. Artikel 89, tweede lid, en artikel 60 Wiv 2017.↩︎

24. Artikel 29 Wiv 2017.↩︎

25. Toelichting, onderdeelsgewijs, I.↩︎

26. De maximum bewaartermijn is hier drie jaar. Zie artikel 48 lid 5 Wiv 2017.↩︎