‘Een versnipperd datalandschap’, ‘onvoldoende centraal beheerd’, ‘onduidelijkheid bij verschillende bevoegdheden’ en ‘onvoldoende zicht op termijnen’. Een aantal kwalificaties die de revue passeren na een onderzoek van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) over de verwerking van bulkdatasets door de AIVD en MIVD. Het rapport verschijnt vandaag onder de misschien wat fantasieloze, maar niets aan duidelijkheid inleverende titel ‘Toezichtsrapport over verwerking van bulkdatasets door de AIVD en MIVD’. De CTIVD maakt melding van verhoogde risico’s en de bulkdatasets vormen een risico voor de privacy.
Risico’s
En die risico’s manifesteren zich op verschillende momenten van de verwerking van de bulkdatasets, zo schrijft de CTIVD. Zo ziet de CTIVD dat het gebruik van bulkdatasets bij de AIVD en MIVD de afgelopen jaren significant is toegenomen. Het gevolg daarvan is een versnipperd datalandschap, waarop geen centrale regie gevoerd wordt.
De diversiteit van de gegevens kan daarbij enorm groot zijn en loopt van bijvoorbeeld gegevens van de Kamer van Koophandel tot gegevens uit hacks, die te koop worden aangeboden op het darkweb. Daarmee bevatten de bulkdatasets bij de AIVD en MIVD gegevens van heel veel personen. En dus, zo stelt Hugo Hillenaar, voorzitter van de CTIVD, vormt de verwerking van gegevens uit bulkdatasets een privacy-inbreuk voor de personen die erin voorkomen. ‘Daar komt bij dat verreweg het merendeel van de mensen die in deze datasets voorkomen, niks te maken hebben met spionage of terrorisme. De waarborgen omtrent gegevensverwerking moeten simpelweg op orde zijn,’ aldus Hillenaar.
Noodzaak
De CTIVD heeft voor het onderzoek een aantal bulkdatasets nader onderzocht en houdt ook toezicht op de bulkdatasets in het kader van de Tijdelijke Wet. De CTIVD constateert net zoals de diensten zelf dat het gebruik van bulkdatasets van groot belang is voor de uitvoering van hun wettelijke taken.
Een paar min of meer bekende voorbeelden van gebruik van bulkdatasets door de diensten maken dat ook duidelijk. Zo konden de diensten IS-uitreizigers in Syrië onderkennen met behulp van locatiedata uit een bulkdataset. Een andere casus vormt die waarin gegevens uit een bulkdataset door de MIVD gebruikt zijn om Nederlandse militairen in Afghanistan te beschermen. Ook bij het onderzoek naar het Syrische chemische wapenprogramma, was een bulkdataset doorslaggevend voor het aanwijzen van een vijftal sleutelfiguren in dit programma. Wellicht bij meer mensen nog in de herinnering: de onderkenning van een cyberoperatie van de Russische militaire inlichtingendienst GRU in april 2018 door de MIVD. Deze operatie richtte zich op het hacken van de Organisatie voor het Verbod op Chemische Wapens (verder: OPCW) in Den Haag. En deze onderkenning was niet mogelijk geweest zonder het gebruik van gegevens uit bulkdatasets.
Van groot belang dus, maar of het allemaal gaat volgens de geldende wet en regelgeving: dat heeft de CTIVD nu dus onderzocht.
Waarborgen
Er zijn ondertussen flink wat wettelijke regelingen, die bepalend zijn voor het verwerken van gegevens uit een bulkdataset. Voldoende waarborgen, zou je verwachten, maar de CTIVD ziet in bepaalde waarborgen nog wel kwesties die beter geregeld kunnen worden. Neem bijvoorbeeld de wettelijk bepaling van wat een bulkdataset is.
Een bulkdataset is een omvangrijke gegevensverzameling waarbij het merendeel van de gegevens betrekking heeft op organisaties en/of personen die geen onderwerp van onderzoek van een dienst zijn en dat ook niet worden
Wat is omvangrijk? Hoe kun je vaststellen wat het merendeel is? Wanneer gaat het om gerichte onderzoeksgegevens en wanneer om gegevens van mensen die niet onderzocht worden? Het lijkt haarkloverij, maar bulkdatasets vallen juist vanwege dat bulk-aspect onder strenge waarborgen en het is dus belangrijk of een dataset ook het stempel bulkdataset krijgt.
Algemene of bijzondere bevoegdheden
Een andere wettelijk bepaling waar wat de CTIVD betreft aan gesleuteld dient te worden, is het verschil tussen bulkdata die met ‘algemene bevoegdheden’ zijn verworven en bulkdatasets die met ‘bijzondere bevoegdheden’ zijn verworven. Het onderscheid in de verwerking wordt bepaald door de verwerving en niet door de inhoud van de bulkdatasets. Ook dat zou bij een wetswijzing anders moeten vindt de CTIVD.
Ontwikkeling
Uit het onderzoek blijkt ook dat er veel wel goed gaat bij de AIVD en MIVD. Zo blijkt er voldoende aandacht te zijn voor datareductie bij de diensten. En ook vindt er een check plaats op de aanwezigheid van gegevens die de diensten niet (zomaar) mogen verwerken, zoals medische gegevens en gegevens die betrekking hebben op communicatie tussen een advocaat en diens cliënt. Daarnaast wordt er goed gekeken naar welke (categorieën) gegevens nodig zijn voor het inlichtingenonderzoek en welke niet. Alleen de noodzakelijke gegevens worden beschikbaar gemaakt. De CTIVD heeft in een steekproef geen verboden (categorieën) gegevens in bulkdatasets aangetroffen.
Toegankelijkheid
Bulkdatasets zijn bovendien niet zo maar voor alle medewerkers van de AIVD of MIVD toegankelijk. Er zijn drie mogelijke toegangsregimes: standaard, beperkt of strikt beperkt. De CTIVD ziet dat zover de AIVD en de MIVD dezelfde bulkdatasets hebben beoordeeld, zij afzonderlijk van elkaar dezelfde toegangsregimes hebben voorgesteld. Positief dus. Standaard, beperkt of strikt beperkt toegankelijk betekent verder dat, naarmate de beperktheid groeit, de kring medewerkers die toegang heeft kleiner wordt, de toestemming noodzakelijker, en de bewaartermijnen korter worden.
Openbaar
De CTIVD ziet geen probleem bij de beoordeling van de zwaarte van de privacy-inbreuk, maar wel bij het tweede criterium dat wordt toegepast binnen de AIVD en MIVD. Dat betreft de mate waarin de bulkdataset voor eenieder toegankelijk is. Dit is dus meebepalend in welk regime de betreffende bulkdataset terechtkomt. Het stempel openbaar werd in enkele gevallen bijvoorbeeld gegeven aan bulkdatasets die (kortstondig) op het internet (tegen betaling) werden aangeboden. Maar, zo stelt de CTIVD, de privacy-inbreuk van dergelijke bulkdatasets kan heel groot zijn, bijvoorbeeld omdat het kan gaan om gegevensuit een datalek. De CTIVD beveelt hier dan ook aan de openbaarheid van gegevens niet altijd bepalend te laten zijn voor de aard van de gegevens noch voor de mate van privacy-inbreuk die de verwerking van deze gegevens met zich meebrengt. Sinds de invoering van de Tijdelijk Wet beoordeelt de CTIVD de verwerking van bulkdatasets. In verreweg de meeste gevallen is de inhoudelijke beoordeling van de privacy-inbreuk en het gekozen toegangsregime navolgbaar voor de CTIVD. In enkele gevallen is de CTIVD het gesprek aangegaan met de diensten.
Praktijk
Ten slotte, en niet onbelangrijk, als eenmaal bepaald is onder welk regime een bulkdataset valt, dienen de AIVD en MIVD natuurlijk ook de toegang tot die bulkdatasets alleen te geven aan medewerkers die daartoe bevoegd zijn. Ook dat heeft de CTIVD onderzocht. Zit er ook daadwerkelijk een slot op de deur voor onbevoegde medewerkers bij het gebruik van bulkdatasets met een beperkt en strikt beperkt toegangsregime? Nee dus, constateert de CTIVD. Het risico bestaat dat dienstmedewerkers van teams zonder geldige teamtoestemming en/of zonder geldig naslagverzoek, onder bepaalde omstandigheden toch toegang kunnen krijgen tot gegevens uit (strikt) beperkte toegangsregimes. In een aantal gevallen hebben deze risico’s zich ook daadwerkelijk verwezenlijkt.
Tijdens de onderzoeksperiode zijn er verschillende gevallen aan het licht gekomen waarbij bleek dat dienstmedewerkers toegang hadden tot gegevens uit bulkdatasets met een (strikt) beperkt toegangsregime, terwijl zij daartoe niet bevoegd waren. Deze voorvallen beschouwt de CTIVD als onrechtmatig. Er was immers sprake van onbevoegde gegevensverwerking.
Conclusie
De CTIVD is helder en duidelijk over haar constateringen. Een aantal belangrijke waarborgen voor het gebruik van bulkdatasets door de AIVD en de MIVD is niet op orde. Daardoor bestaan verhoogde risico’s op onrechtmatigheden en onzorgvuldigheden, die zich in sommige gevallen hebben verwezenlijkt. De dertien aanbevelingen die de CTIVD heeft geformuleerd lezen als een mooie opmaat voor de wetgevers, die bezig zijn met een nieuwe Wet op de Inlichtingen- en Veiligheidsdiensten. De diensten werken al samen met de CTIVD aan verbeterpunten, sommige waarborgen verdienen wel een wettelijke verankering. Zeker gezien de toename van het gebruik van bulkdatasets – iets wat in de toekomst alleen maar zal toenemen. Uiteindelijk komt het erop aan dat ‘de maatschappij en de politiek erop moeten kunnen vertrouwen dat er goede waarborgen zijn voor het werken met bulkdatasets,’ aldus de voorzitter van de CTIVD, Hugo Hillenaar.
Reactie ministers
Na de publicatie van het onderzoek hebben de minister van Binnenlandse Zaken en Koninkrijksrelaties en de minister van Defensie het rapport en een reactie aan de Tweede Kamer gestuurd. Daarin schrijven zij dat ze net als de CTIVD inzien dat het verwerken van databulksets door de AIVD en MIVD een aanzienlijke privacyinbreuk met zich mee kan brengen. Ook zeggen de ministers zich te herkennen in het beeld van de CTIVD dat in de uitvoering en (technische) implementatie van de waarborgen nog winst valt te behalen. Voorafgaand aan en tijdens de uitvoering van het onderzoek van de CTIVD is hieraan gewerkt. Bij de gevonden risico’s en kwetsbaarheden hebben de diensten direct maatregelen getroffen. Het betreft hier maatregelen op het gebied van autorisatiebeheer en toegangsmanagement. De eerste belangrijke stappen naar verbetering op het bulkdatasetdossier zijn zodoende al gezet.
Verder geven de ministers aan dat de AIVD en MIVD verbeteringen met betrekking tot het technisch beheer van bulkdatasets, het bijbehorend datamanagement en de (interne) controle op wie toegang heeft (gehad) tot welke data ter harte nemen en dat ze hoog op de agenda staan van de diensten.
De aanbeveling om de definitie van bulkdatasets tegen het licht te houden nemen de ministers over. De ministers melden dat in het kader van de brede herziening van de Wiv 2017 al de huidige definitie zal worden heroverwogen. Daarbij dient een balans gevonden te worden tussen het aanscherpen van de definitie en het behouden van de noodzakelijke ruimte en operationele flexibiliteit.
Ook over het in dit artikel besproken onderdeel van de openbaarheid van de bulkdatasets nemen de ministers de aanbevelingen over. Zo wordt een bulkdataset voortaan als niet-openbaar aangemerkt, als onduidelijk is geweest of deze openbaar is geweest. De CTIVD constateerde dat dit regelmatig gebeurt bij bulkdatasets verkregen via partnerdiensten uit andere landen. Ook zijn inmiddels de regels rondom het openbaarheidscriterium in het beleid verduidelijkt en aangescherpt. Een andere aanbeveling van de CTIVD is dat niet het openbaar karakter van een bulkdataset, maar de aard van de gegevens en de mate van privacyinbreuk die de verwerking van de gegevens met zich meebrengt doorslaggevend zouden moeten zijn voor het vaststellen van het toegangsregime. Deze aanbeveling wordt ook meegenomen in de herziening van de Wiv 20217
In de situatie dat de bulkdataset verkregen is via de aanschaf na een datalek blijven de ministers overigens wel van mening dat deze bulkdatasets ‘openbaar toegankelijk’ zijn. Ze verwijzen hierbij naar de Memorie van Toelichting bij het Wetboek van Strafvordering, waarbij ‘niet is uitgesloten dat bulkdatasets met daarin gegevens afkomstig uit een datalek en bulkdatasets die tegen betaling beschikbaar worden gesteld, aangemerkt kunnen worden als “openbaar toegankelijk” ’.
In de beleidsreactie geven de ministers uitgebreid per aanbeveling aan welke ze overnemen en beargumenteren ze dit.
CTIVD: AIVD en MIVD moeten bij bulkdataverwerking persoonlijke privacy beter beschermen
Beleidsreactie Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Defensie