Door Redactie: De minister reageerde op Kamervragen van de SP over de voorbereiding van de Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma. Het wetsvoorstel geeft de inlichtingendiensten mogelijkheden die afwijken van de Wet op de inlichtingen- en veiligheidsdiensten (Wiv 2017) voor onderzoek naar landen met een offensief cyberprogramma.
In het document (met de misleidende titel) "Nota van wijziging Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma" (PDF:
https://www.internetconsultatie.nl/nvwtijdelijkewetcyber/document/9835) lees ik heel andere dingen.
Enkele passages daaruit (waarbij ik verwijzingen naar wetsartikelen heb verwijderd en hier en daar tekst vet en cursief heb gemaakt):
Op 2 december 2022 is bij de Tweede Kamer het voorstel voor een Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma ingediend (hierna: Tijdelijke wet).
In het aan de Koning uitgebrachte nader rapport is aangegeven dat het (ingediende) wetsvoorstel bij nota van wijziging nog zou worden aangevuld met een regeling inzake bulkdatasets die door de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en Militaire Inlichtingen- en Veiligheidsdienst (MIVD) met bijzondere bevoegdheden worden verworven en een regeling van een bindende toets ex ante van verleende toestemmingen voor de real time interceptie van verkeers- en locatiegegevens (de zogeheten stomme tap).
Deze nota van wijziging voorziet daarin.
[...]
Het gaat dan concreet om
(1) het opnemen van de mogelijkheid om m.b.t. [...] bulkdatasets [...] de beoordelingstermijn ten behoeve van de toets op relevantie, telkens met een jaar te verlengen,
(2) een overgangsregeling te treffen voor door de diensten verworven bulkdatasets voor inwerkingtreding van de wet [...] alsmede
(3) een regeling voor een bindende ex ante toets op verleende toestemmingen voor de uitoefening van de bijzondere bevoegdheid tot real time interceptie van verkeers- en locatiegegevens (de zogeheten stomme tap).
[...]
Een belangrijk verschil is wel dat het hier gaat om wijzigingen die een bredere werking hebben dan waar het ingediende wetsvoorstel in voorziet, namelijk ook voor alle andere inlichtingenonderzoeken van de diensten.
Dat eerste punt wordt verduidelijkt onderaan p9:
Bovendien geldt dat – in afwijking van artikel 27, eerste lid, Wiv 2017 – de gegevens niet zo spoedig mogelijk op relevantie dienen te worden onderzocht.
Dat is opmerkelijk in het licht van de tekst onderaan p10:
In dit systeem is dus geen vooraf vastgestelde bewaartermijn voorzien, maar wordt deze per bulkdataset ad hoc bepaald waarbij enerzijds rekening kan worden gehouden met de aard en inhoud van de bulkdataset en de betekenis daarvan door de voor de diensten uit te voeren inlichtingenonderzoeken en anderzijds de noodzaak de inbreuk op de persoonlijke levenssfeer van de personen omtrent wie gegevens in de bulkdataset zijn opgenomen tot een minimum te beperken. Daarbij blijft de algemene norm gelden dat niet relevante gegevens worden verwijderd en vernietigd.
Nee, die algemene norm blijft niet gelden, want het onderzoek naar de relevantie van te bewaren gegevens kan eindeloos worden uitgesteld. Hoe kun je dan een weging maken of het bewaren proportioneel is i.r.t. privacyaspecten?
Momenteel geldt nog:
Bulkdatasets die verworven zijn door middel van de inzet van bijzondere bevoegdheden moeten [...] binnen een jaar (met een mogelijke eenmalige verlenging van een half jaar [...] worden beoordeeld op relevantie {5}.
Deze termijn is in de praktijk problematisch, omdat de gegevens in bulkdatasets vaak langer van waarde zijn voor de onderzoeken van de diensten. Het is voor de diensten daarom noodzakelijk om bulkdatasets langer te kunnen gebruiken dan anderhalf jaar, omdat de gegevens in deze bulkdatasets ook na verloop van deze termijn nog van grote waarde kunnen zijn voor de beantwoording van onderzoeksvragen. Het verstrijken van de beoordelingstermijn kan er dan ook toe leiden dat mogelijk waardevolle gegevens moeten worden vernietigd.
{5} Voor bulkdata verworven met de bijzondere bevoegdheid van onderzoeksopdrachtgerichte interceptie, geldt [...] een andere regeling met een termijn van drie jaar.
[...]
Zoals ook uit artikel 27 van de Wiv 2017 blijkt, wil het om deze reden vernietigen van de set niet zeggen dat deze gegevens niet relevant zijn voor de onderzoeken van de diensten, enkel dat de relevantie van deze gegevens niet binnen deze termijn kan worden beoordeeld. Door de huidige regeling wordt de nationale veiligheid, zowel ten aanzien van huidige als toekomstige dreigingen geraakt.
Als je niet onderzoekt of data relevant is, weet je dat niet.
Gegevens uit bulkdatasets zijn vaak een noodzakelijke schakel om reeds bij de diensten aanwezige gegevens van meerwaarde te laten zijn.
Wat is "vaak"?
Bij het doen van onderzoek naar ongekende dreigingen is een belangrijk onderdeel daarvan het identificeren van personen en organisaties achter die dreiging. Een kenmerkende eigenschap van bulkdatasets is dat niet op voorhand te bepalen is welke gegevens uit die bulkdatasets relevant zijn voor een concreet inlichtingenonderzoek, maar dat alle gegevens potentieel van waarde kunnen zijn.
Dat noem ik een sleepnet.
Nergens lees ik iets over de
risico's van het veel langer bewaren en voor veel meer onderzoeken ontsluiten van deze bulkgegevens. Waarbij "locatiegegevens", naar ik aanneem, geen betrekking hebben op mensen buiten Nederland - die dus ook in verkeerde handen kunnen vallen.
Het lijkt er op dat er minstens 3 soorten data worden verzameld:
1)
zonder bijzondere bevoegdheden;
2) bulkdata met bijzondere bevoegdheden;
3) OOG (Onderzoeksopdrachtgerichte interceptie).
Opmerkelijk is dat de Minister in haar betoog, onder "Kabelinterceptie", verwijst naar dat laatste. Dwaalspoor?
Zie ook
https://security.nl/posting/779073 over onze nieuwe internetconsultatiedemocratie.