Het valt te waarderen dat de redactie van Security.nl zo'n uitgebreid artikel plaatst n.a.v. het jaarverslag van de TIB. Na download van het jaarverslag en vluchtige lezing ervan, rijst uit de tekst het beeld dat de TIB zijn taak gewetensvol probeert te vervullen. Daarvoor is die tekst natuurlijk ook mede bedoeld. De tekst is bedoeld om bij burgers vertrouwen te wekken dat de geheime diensten adequaat gecontroleerd worden.
Het grote probleem blijft dat buitenstaanders (dus bijna alle burgers die gevolgen kunnen ondervinden van het handelen van de AIVD en de MIVD) niet voldoende informatie krijgen om te kunnen inschatten hoe de TIB de door haarzelf genoemde beoordelingscriteria (t.a.v. de rechtmatigheid van geheime onderzoeken) interpreteert en toepast.
Noodzakelijkheid is niet hetzelfde als proportionaliteitIk lees bijvoorbeeld in paragraaf 1.8.2 (Proportionaliteitstoets t.a.v. targets) het volgende:
De TIB heeft geconstateerd dat de proportionaliteitsafweging in de verzoeken steeds vaker een herhaling was van de onderbouwing van de noodzaak voor de inzet. Daarin wordt geconcludeerd dat de inzet van het gekozen middel noodzakelijk en dus proportioneel is waarbij geen aandacht werd besteed aan de mate van inbreuk op de persoonlijke levenssfeer van het target.
Dit is een probleem dat ik reeds vele malen in de context van het privacyrecht ben tegengekomen. Bestuursrechters volgen dan de impliciete benadering van de Autoriteit Persoonsgegevens (AP), en vice versa, namelijk dat uit het voorhanden zijn van enige vorm van "noodzakelijkheid" of zelfs maar een gerechtvaardigd "belang" automatisch ook de proportionaliteit of de subsidiariteit van gegevensverwerking kan worden afgeleid. En omgekeerd, dat uit de proportionaliteit van een verwerking ook de noodzakelijkheid daarvan kan worden afgeleid (waarbij "noodzakelijkheid" kennelijk wordt opgevat als een zeer relatief begrip). Het gevolg hiervan is dat het data-subject (de betrokkene - vergelijkbaar met het "target" in de context van de veiligheidsonderzoeken van AIVD en MIVD) in de praktijk rechteloos achterblijft. Het is op zich goed dat de TIB dit probleem expliciet maakt, en dus niet zoveel mogelijk verdoezelt (zoals veel bestuursrechters doen, bijvoorbeeld in privacy-zaken).
Maar het expliciet maken van het probleem in één of twee alinea's tekst is natuurlijk niet voldoende om het op te lossen of het zelfs maar inzichtelijk te maken.
BulkinterceptieEen ander "spannend" onderwerp in het jaarverslag is bulkinterceptie (het nemen van "snapshots" van kabelverkeer). Ik lees in paragraaf 2.5 bijvoorbeeld:
De TIB heeft aan het eind van kalenderjaar 2022 een snapshotverzoek niet rechtmatig beoordeeld.
In het eerste kwartaal van 2023 is er door de dienst een nieuw aangepast verzoek ingediend voor het maken van snapshots op verschillende klantkanalen op een kabeltraject. De TIB was van oordeel dat de dienst hier een te generieke invulling had gegeven aan het begrip ‘gerichtheid’. Het enkele feit dat een partij wereldwijd internetverkeer aanbiedt, en dus ook in het aandachtsgebied, zonder verdere onderbouwing, is daarvoor onvoldoende. Het vereiste van een zo gericht mogelijke inzet van de verzochte bevoegdheid ingevolge artikel 29, tweede lid, onder h, Wiv 2017 is overschreden. De TIB heeft geoordeeld dat ook de door de minister gegeven toestemming bij het nieuwe aangepaste verzoek niet rechtmatig is verleend.
Je ziet hier dat de inlichtingendienst de ene kant op trekt, door de term "gericht" heel vaag te interpreteren, en dat de TIB dan de andere kant op trekt om de inlichtingendienst enigszins in te tomen. Maar het ontbreekt de TIB daarvoor eigenlijk aan een machtsbasis. Het lijkt of de TIB hierover heel omfloerst en "deniable" een alarmbel luidt, waar zij schrijft:
In het najaar van 2023 heeft de TIB de nieuwe aangepaste kabelverzoeken van beide diensten met betrekking tot het snapshotten van verschillende klantkanalen op kabeltrajecten rechtmatig beoordeeld. De TIB heeft in die beslissingen overwogen dat de TIB uit hetgeen door de minister in een Nota is gesteld begrijpt dat de minister de eerder in 2018 gedane toezegging ten aanzien van Nederland-Nederland verkeer heeft genuanceerd. De TIB is van oordeel dat hierdoor een andere situatie is ontstaan. Voor een Nederlandse burger is niet uit te sluiten dat ook Nederland-Nederland verkeer met behulp van kabelinterceptie kan worden geïntercepteerd in bredere onderzoeken van de diensten. De eerdere grond voor onrechtmatigheid is daarmee weggenomen.
Dus de minister kan in een Nota (bijv. gericht aan het parlement) aangeven zijn eigen toezegging omtrent bepaalde waarborgen niet langer te willen nakomen, en dan wordt het niet nakomen van die toezegging daardoor opeens toch rechtmatig? Dat is dan een kwestie van "Wij van WC-eend duwen u WC-eend door de strot."
Omgang met bulkdatasetsEen volgend onderwerp is de omgang van de inlichtingendiensten met "bulkdatasets", met andere woorden het bewaren en mogelijk analyseren van de persoonsgegevens van talloze onschuldige mensen. Uit de tekst van de TIB hierover blijkt dat hier sprake is van het continu oprekken van een praktijk die de privacy van onschuldige mensen schendt. Ik lees bijvoorbeeld in paragraaf 2.7 (Bulkdatasets en relevantiebeoordeling):
Uit de beschreven werkwijze volgt dat het mogelijk is dat (dezelfde) gegevens van personen die niet in de aandacht van de dienst staan, en dat ook nooit zullen staan, telkens opnieuw door de diensten worden verworven, bewaard en verwerkt. De gegevens die het stempel ‘niet-relevant’ hebben gekregen, worden ongeacht dat stempel kennelijk telkens opnieuw verworven. De TIB is tot een onrechtmatig-heidsoordeel gekomen omdat de werkwijze niet verenigbaar is met de wettelijke systematiek van relevantiebeoordeling zoals bepaald in artikel 27 van de Wiv 2017 en de achterliggende gedachte van die bepaling.
Inmiddels heeft de regering een aanvullend wetsvoorstel op het wetsvoorstel voor de Tijdelijke wet ingediend. Dit wetsvoorstel beoogt een andere systematiek, waarbij de diensten de mogelijkheid krijgen de bewaartermijn van nog niet op
relevante beoordeelde bulkdatasets jaarlijks te verlengen. Vooruitlopend op de inwerkingtreding van dit wetsvoorstel hebben de ministers van BZK en Defensie en de CTIVD bestuurlijke afspraken gemaakt om de wettelijke termijn van anderhalf jaar niet langer te hanteren, maar alvast te handelen als ware de Tijdelijke wet al van toepassing is.
De wet bevalt hen even niet, en dus houden zij zich er niet aan. En de "controlerende" CTIVD vindt dat ook wel best en zegent het af met een rubber stempel. Zie in dit verband ook:
https://www.security.nl/posting/835720/Minister+verlengt+wederom+eindtermijn+bulkdataset+inlichtingendiensten.
Werkdruk TIB en indirecte toetsing door de bestuursrechterTot slot nog enkele opmerkingen over de werkwijze van de TIB zelf, in relatie tot de toetsbaarheid van oordelen (beslissingen) van de TIB door de bestuursrechter.
In paragraaf 1.3 (Werkwijze van de TIB) geeft de TIB een lovenswaardig inkijkje in haar werkpraktijk:
De TIB toetst 52 weken per jaar. Wekelijks ontvangt de TIB van de diensten de verzoeken waarvoor de betreffende minister toestemming heeft verleend. Deze verzoeken ontvangt de TIB aan het begin van de werkweek. De verzoeken worden inhoudelijk voorbereid door de staf van de TIB. Elke woensdag en vrijdag komen de voorzitter en leden van de TIB samen om de verzoeken en de voorbereidingen te bestuderen en een oordeel te geven over de rechtmatigheid van de door de minister verleende toestemming. De TIB streeft ernaar aan het eind van de week alle verzoeken te behandelen. Dat kan zijn het formuleren van een oordeel of het stellen van vragen aan de betreffende dienst (waardoor er op dat moment nog geen beslissing kan worden genomen). Dit laatste vindt plaats als de TIB onvoldoende informatie heeft om een oordeel te geven of wanneer er onduidelijkheid bestaat over de te hanteren waarborgen. In uitzonderlijke gevallen kan de TIB extra tijd nemen om een afweging te maken.
Het gaat hier dus om een héél snelle toetsing van een verzoeken, die in een bijna constante stroom binnenkomen. Het is de vraag of die toetsing op deze manier zorgvuldig genoeg kan gebeuren. Het komt op mij over als een bijna bovenmenselijke taak om op deze manier constant een goede kwaliteit te waarborgen.
Dit hangt natuurlijk ook af van hoe groot de personeelscapaciteit van de TIB is. In paragraaf 1.10 (Samenstelling van de TIB) wordt hierover alleen gezegd:
De leden van de TIB worden ondersteund door een staf, die bereidt de besluitvorming voor en adviseert de commissie.
Hoe groot is die staf? Blijkens paragraaf 5.2 gaat het om misschien acht mensen (inclusief secretariële ondersteuning):
De TIB bestaat sinds 2018 en is sindsdien gegroeid naar 16 personen (leden, plaatsvervangend leden en staf). De TIB zal zich komende tijd steeds moeten blijven ontwikkelen in de permanent veranderende omgeving waar zij werkt. Daarom wordt onder meer een nieuw kennissysteem geïmplementeerd. De werkomgeving van de TIB kenmerkt zich door de dagelijkse omgang met grote aantallen staatsgeheimen en een hoge werkdruk.
In deze omstandigheden zou het geen wonder zijn als de TIB af en toe fouten maakt, en dan met name fouten waarbij aan de geheime diensten te veel ruimte wordt gegeven.
Hoe kunnen burgers toetsen of hun bescherming door een overbelaste TIB niet over de schutting is geworpen naar diezelfde geheime diensten? In paragraaf 4.2 bespreekt de TIB de in de nieuwe Tijdelijke wet opgenomen mogelijkheid voor burgers om een oordeel van de TIB te laten toetsen door de bestuursrechter:
De Tijdelijke wet creëert in artikel 13 de mogelijkheid van beroep bij de Afdeling Bestuursrechtspraak van de Raad van State (hierna: de Afdeling) tegen sommige bindende oordelen van de TIB en de CTIVD. (...) De Afdeling toetst het oordeel van de TIB. In feite vindt hier dus een ‘indirecte’ toetsing plaats. De TIB toetst immers de door de betrokken minister gegeven toestemming, zulks op basis van een aanvraag van de betreffende dienst. In deze ‘gelaagde’ rechtmatigheidsbeoordeling mag er blijkens de wetsgeschiedenis vanuit worden gegaan dat de Afdeling de beslissingen van de TIB en CTIVD met een zekere mate van terughoudendheid zal toetsen.
Dit laatste is het understatement van het jaar. Nederlandse bestuursrechters zijn fameus (of noem het: infaam) als het gaat om hun "terughoudendheid", die vaak beter gekarakteriseerd kan worden als "wegkijken". Denk aan hoe de Afdeling Bestuursrechtspraak van de Raad van State omging met burgers wiens juridische en andere lotgevallen later aan het licht kwamen in het Toeslagenschandaal.
Maar waarom stoort het de TIB kennelijk dat de Raad van State straks het laatste woord heeft? Mijn vermoeden is onder andere dat de TIB goed beseft dat de Raad van State het als regenteske instantie juist als zijn taak ziet om de positie van burgers waar "nodig" nog verder te verzwakken, mocht de TIB wat te kritisch worden ten aanzien van de geheime diensten. De Raad van State is er niet om de onafhankelijkheid van toezichthouders zoals de TIB of de AP te beschermen, maar om die te beperken. Wanneer de burger mag opkomen tegen oordelen van de TIB, dan is de volgende stap natuurlijk dat straks ook een minister mag opkomen tegen oordelen van de TIB - bij de Raad van State waarmee de regering en haar hoge ambtenaren in het Haagse talloze informele connecties hebben.
Daarnaast lijkt er ook iets simpelers aan de hand te zijn. De TIB vervolgt:
De beroepsmogelijkheid bij de rechter ten aanzien van een beslissing van de toezichthouder is een figuur die in het reguliere Nederlandse bestuursrecht vaker voorkomt. Internationaal gezien blijft het echter bijzonder dat door alleen de getoetste partij een beroepsprocedure bij de rechter kan worden gevoerd tegen de onafhankelijke partij die de verzoeken om inzet van bevoegdheden door de inlichtingen- en veiligheidsdiensten voorafgaand bindend toetst. De TIB bestaat immers juist om deze reden uit twee leden met tenminste zes jaar ervaring als rechter. Daarnaast voert de TIB onafhankelijk en effectief toezicht zoals vereist door het EHRM en het Hof van Justitie van de Europese Unie.
Het is duidelijk dat de TIB graag haar professionaliteit erkend wil zien, en ook tegenover buitenlandse collega-toezichthouders voor de dag wil komen als een volwassen toezichthouder die niet onder rechterlijke curatele staat.
Op het punt van rechterlijke toetsing ben ik het met de TIB niet eens. De positie van een burger is zo onvergelijkelijk veel zwakker dan die van een toezichthouder, dat het op zichzelf goed is dat een burger de mogelijkheid heeft om een grotendeels in het geheim tot stand gekomen TIB-oordeel nader te laten toetsen. Alleen is het dan wel jammer dat die nadere toetsing gebeurt door de Raad van State, met een bewezen track-record van vaak inadequate toetsing, zoals ik zelf in privacy-zaken herhaaldelijk heb meegemaakt en zoals andere burgers in het Toeslagenschandaal en in de coronacrisis hebben meegemaakt.
Ondanks mijn principiële instemming met deze bestuursrechtelijke toetsingsmogelijkheid, verwacht ik er daarom in de praktijk heel weinig van. Het lijkt meer op een rituele dans met als politiek doel om een schijn van legitimiteit aan bepaalde praktijken te kunnen verlenen. Want "de Raad van State heeft er toch naar gekeken, dus nu moet u verder niet zeuren". Als ik naar dit jaarverslag kijk, dan voel ik meer vertrouwen in de TIB dan in de Raad van State. Maar ja, het wekken van dat gevoel is natuurlijk ook een belangrijke doelstelling van de TIB met dit verslag.
Conclusie - geen privacy op internetAl met al is mijn afdronk dat je als Nederlandse burger maar beter
niet kunt verwachten enige vorm van privacy te hebben zodra je je op internet begeeft. Ook als zogeheten "non-target" ben je regelmatig feitelijk toch "target", bijvoorbeeld omdat gegevens over jou en jouw internetbezoek in een eindeloos bewaarde bulkdataset worden opgenomen, of omdat je tot één of andere groep behoort die door geheime diensten wordt geassocieerd met veiligheidsrisico's - zonder dat deze groepen en hun vermeende reikwijdte publiekelijk worden benoemd (niet door de diensten en ook niet door de TIB).
Dat er plannen zijn om de TIB en de CTIVD te laten fuseren tot een fraai klinkende "Autoriteit Nationale Veiligheid" (ANV?), maakt dat niet anders. We hebben gezien hoe weinig de Autoriteit Persoonsgegevens (AP) in de praktijk betekent voor onze privacy, vanwege een combinatie van gebrek aan wettelijke bevoegdheden, gebrek aan personeel en gebrek aan een doortastende attitude. Waarom zouden we van een ANV meer verwachten? Hoewel ik dit jaarverslag waardeer als een poging om het inmiddels grotendeels vernietigde vertrouwen van burgers weer een beetje op te bouwen, en ook begrijp dat de TIB eigenlijk geen mandaat heeft om meer te doen, is het helaas niet voldoende.
M.J.