Als de Nederlandse diensten er zo op aan dringen dan is extra waakzaamheid genoodzaakt.
Zo kom ik al direct een paar opmerkelijke verwijzingen tegen in de aanbevelingen van het EP.
1. overwegende dat elke surveillanceactiviteit door middel van spyware achteraf moet worden getoetst door een onafhankelijke toezichthoudende autoriteit, die ervoor moet zorgen dat elke toegestane surveillanceactiviteit wordt uitgevoerd met inachtneming van de grondrechten en in overeenstemming met de voorwaarden die zijn vastgesteld door het HvJ-EU, het Europees Hof voor de Rechten van de Mens (EHRM) en de Commissie van Venetië; overwegende dat deze toezichthoudende autoriteit die achteraf toetst, onmiddellijk de beëindiging van de surveillance dient te gelasten wanneer wordt vastgesteld dat deze onverenigbaar is met bovengenoemde rechten en voorwaarden;
Surveillancectiviteiten moeten volgens de Nederlandse wet nog altijd vooraf worden beoordeeld, niet pas achteraf!
2. overwegende dat de opkomst van versleutelde mobiele communicatietoepassingen heeft geleid tot de opkomst van de spyware-industrie, waarbij de bestaande kwetsbaarheden in besturingssystemen van smartphones worden gebruikt om software te installeren die spyware in de telefoon importeert, onder meer door middel van klikvrije infecties zonder medeweten van of enige actie door de gebruiker, waardoor gegevens kunnen worden geëxtraheerd voordat ze worden versleuteld; overwegende dat het vanwege het ontwerp van dergelijke “zero-click”-spyware uiterst moeilijk is om daadwerkelijk en doeltreffend toezicht te houden op het gebruik ervan;
3. overwegende dat er sterke aanwijzingen zijn dat de regeringen van onder meer Marokko en Rwanda hooggeplaatste burgers van de Unie met spyware hebben bestookt, onder wie de president van Frankrijk, de premier, de minister van Defensie en de minister van Binnenlandse Zaken van Spanje, de voormalige premier van België, de voormalige voorzitter van de Commissie en de voormalige premier van Italië, en Carine Kanimba, de dochter van Paul Rusesabagina;
4. overwegende dat veilig kan worden aangenomen dat alle lidstaten een of meer spywaresystemen hebben gekocht of ingezet; overwegende dat de meeste regeringen in de Europese Unie zullen afzien van onrechtmatig gebruik van spyware, maar dat het risico op misbruik door het ontbreken van een solide rechtskader met waarborgen en toezicht en omdat het technisch ingewikkeld is om infecties op te sporen en de activiteiten van degenen die misbruik maken te volgen, zeer plausibel is;
5. overwegende dat de meeste regeringen en parlementen van de lidstaten het Europees Parlement geen betekenisvolle informatie hebben verstrekt over hun rechtskaders voor het gebruik van spyware die verder gaat dan wat reeds algemeen bekend was, ondanks een verplichting daartoe uit hoofde van artikel 3, lid 4, van het besluit van het Europees Parlement, de Raad en de Commissie van 6 maart 1995 tot vaststelling van de wijze van uitoefening van het enquêterecht van het Europees Parlement; overwegende dat het moeilijk is om de handhaving van de Uniewetgeving en de waarborgen, het toezicht en de rechtsmiddelen te beoordelen, hetgeen een adequate bescherming van de grondrechten van burgers in de weg staat
6. overwegende dat veel spyware-ontwikkelaars en -verkopers in een of meer lidstaten ingeschreven staan of worden ingeschreven; overwegende dat NSO Group bijvoorbeeld aanwezig is in Luxemburg, Cyprus, Nederland en Bulgarije; de moedermaatschappij van Intellexa, Thalestris Limited, in Ierland, Griekenland, Zwitserland en Cyprus; DSIRF in Oostenrijk; QuaDream in Cyprus; Amesys en Nexa Technologies in Frankrijk; Tykelab en RCS Lab in Italië; en FinFisher (inmiddels ter ziele) in Duitsland
7. overwegende dat uit het aantal deelnemers aan wapenbeurzen en ISSWorld die spywaregerelateerde diensten op de markt brachten, blijkt dat de meeste aanbieders van spyware en aanverwante producten en diensten uit derde landen komen en dat een aanzienlijk aantal van hen in Israël gevestigd is (bijv. NSO Group, Wintego, Quadream en Cellebrite), dat er prominente producenten in India (ClearTrail), het Verenigd Koninkrijk (BAe Systems en Black Cube) en de Verenigde Arabische Emiraten (DarkMatter) zijn en dat ook uit de Amerikaanse “Entity List” van bedrijven waarop handelsbeperkingen van toepassing zijn en waarop spywareproducten uit Israël (NSO Group en Candiru), Rusland (Positive Technologies) en Singapore (Computer Security Initiative Consultancy PTE LTD.) staan, eens te meer blijkt dat spywareproducenten uit allerlei verschillende landen komen; overwegende dat de beurs ook wordt bezocht door een breed scala aan Europese overheidsinstanties, waaronder lokale politiediensten
8. overwegende dat naar verluidt grote financiële instellingen geprobeerd hebben producenten van spyware ervan te weerhouden passende mensenrechtennormen en zorgvuldigheidseisen toe te passen en hebben aangespoord spyware te blijven verkopen aan repressieve regimes
9. dringt aan op de oprichting, zonder onnodige vertraging, van een Uniefonds voor geschillenbeslechting om de werkelijke proceskosten te dekken en de personen die doelwit zijn van spyware in staat te stellen passende schadeloosstelling te eisen, met inbegrip van een vergoeding voor het onrechtmatige gebruik van spyware tegen hen, in overeenstemming met de voorbereidende actie die het Parlement in 2017 heeft vastgesteld, om een “EU-fonds voor financiële steun voor het procederen in zaken die verband houden met schendingen van de democratie, rechtsstaat en grondrechten” in het leven te roepen
10. pleit voor een gezamenlijke EU-VS-spionagesoftwarestrategie, met inbegrip van een gezamenlijke witte en/of zwarte lijst van verkopers van spyware wier instrumenten zijn misbruikt of dreigen te worden misbruikt om overheidsfunctionarissen, journalisten en het maatschappelijk middenveld kwaadaardig te treffen, en die tegen het veiligheids- en buitenlands beleid van de Unie opereren, door buitenlandse regeringen met een slechte reputatie op het gebied van mensenrechten, die (geen) toestemming hebben om aan overheidsinstanties te verkopen, gemeenschappelijke criteria voor verkopers om op een van beide lijsten te worden opgenomen, regelingen voor gemeenschappelijke rapportage van de EU en de VS over de sector, gemeenschappelijk toezicht, gemeenschappelijke zorgvuldigheidsverplichtingen voor verkopers en de strafbaarstelling van de verkoop van spyware aan niet-overheidsactoren;
11. onderstreept de noodzaak van traceerbaarheid van en verantwoording voor de uitvoer van spyware en herinnert eraan dat EU-bedrijven alleen spyware mogen uitvoeren die voldoende traceerbaar is om ervoor te zorgen dat de verantwoordelijkheid altijd kan worden toegewezen;
12. herhaalt in deze context dat alle lidstaten Verdrag 108+ hebben ondertekend, waarin normen en verplichtingen zijn vastgelegd voor de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, ook voor doeleinden van nationale veiligheid; wijst erop dat Verdrag 108+ een bindend Europees kader is voor de verwerking van gegevens door inlichtingen- en veiligheidsdiensten; dringt er bij alle lidstaten op aan dit Verdrag onverwijld te ratificeren en de normen ervan reeds in nationaal recht om te zetten en dienovereenkomstig te handelen op het gebied van de nationale veiligheid;
13. veroordeelt ten stelligste het gebruik van spyware door regeringen van lidstaten en leden van regeringsinstanties of staatsinstellingen met het oog op het controleren, chanteren, intimideren, manipuleren en in diskrediet brengen van leden van de oppositie, critici en het maatschappelijk middenveld, het uitschakelen van democratische controle en persvrijheid, het manipuleren van verkiezingen en het ondermijnen van de rechtsstaat door rechters, aanklagers en advocaten voor politieke doeleinden als doelwit te nemen
Enerzijds problematisch natuurlijk, dat tegelijkertijd dergelijke rollen ook als dekmantels worden gebruikt voor uitoefenen van lobby's blijft onbenoemd. Zie bijvoorbeeld Soros zijn invloed in Duitsland, Italië, Griekenland en andere landen: https://strategic-culture.org/news/2016/08/30/soros-ran-us-foreign-policy-post-coup-ukraine/
Opmerkelijk is dat diens netwerk met documenten in de kern zitten van de term "Russlandversteher". Dit roept sterke gelijkenissen op met frames als Putin aanhanger dat in NL wordt geplakt op bepaalde mensen terwijl die niet eens op Putin kunnen stemmen.
14. overwegende dat verschillende sleutelfiguren uit de spyware-industrie de Maltese nationaliteit hebben verworven, waardoor zij gemakkelijker activiteiten kunnen ontplooien in en vanuit de Unie.
Bij punt 10 heb ik bijvoorbeeld weinig illusies als je bedenkt dat in de VS op vlak van spionage activiteiten koninkrijken in koninkrijken aan de touwtjes trekken.
Punt 11 lijkt me technisch nogal verstrekkende consequenties hebben voor elk software gebruik en neigen richting opheffen of ondermijnen van bepaalde privacy waarborgen.
Dit soort passagse vragen dus juist om een fundamenteler en breder debat over waar we met de door de EU mede gepushte verdere digitalisering (geen sprake van problem-action-solution cirkels??), in elk geval geen overhaaste beslissing.