Wednesday, March 19, 2014

[Dutch] Ongericht kabelgebonden interceptie: de deur naar OPTIC NERVE?

UPDATE 2014-03-21: buitenlandse diensten schijnen voor toegang tot glasvezelkabels bepaalde blokjes te plaatsen in de verbindingen waarbij sprake is van een 'normale' tap, die read-only is. En dan in het bijzonder de variant die niet kan worden opgemerkt aan toename van attenuatie op de plaats waar de tap zich bevindt (misschien kan dat nog wel aan scattering?). If-and-only-if de Nederlandse diensten bij het krijgen van toegang tot glasvezelkabels uitsluitend read-only taps gebruiken, staat vast dat de hackbevoegdheid daarmee niet kan worden uitgeoefend. Zie ook deze uitleg (.pdf) over glasvezeltaps. (Dit laat naturlijk onverlet dat andere aanvalspaden bestaan of kunnen worden opgezet met of zonder vrijwillige of verplichte medewerking van kabelproviders.)  

Is dit gericht of ongericht?
De AIVD en MIVD hebben een bijzondere bevoegdheid waarop het toezicht al vijf jaar faalt. Wat doe je dan? Juist, die bevoegdheid significant uitbreiden. Begin maart heb ik enkele gedachten uitgeschreven. Deze post is een aanvulling daarop.

CTIVD-rapport 38 vermeldt net als eerdere toezichtrapporten het probleem met de motivering van selectie na ongerichte niet-kabelgebonden interceptie (Art.27 WIV2002):
De Commissie heeft al in eerdere toezichtsrapporten vastgesteld dat zowel de AIVD als de MIVD de inzet van de selectiebevoegdheid onvoldoende motiveerden. Het ging hierbij – kort samengevat – om het onvoldoende toespitsen van de motivering voor de selectie op de personen en/of organisaties die in de selectielijst waren opgenomen. De Commissie blijft nadrukkelijk aandacht vragen en behouden voor deze problematiek.
Dit probleem is bekend sinds de nulmeting die de CTIVD in 2008 uitvoerde (CTIVD-rapport 19). Anno 2014 is er nog niet eens een verklaring voor gegeven. Hoe kan het dat zowel de AIVD als MIVD er al vijf jaar (!) niet in slagen die motivering op orde te krijgen? Wat zijn nu precies de maatregelen waarvan Plasterk in december zei (.pdf) dat ze "zijn en worden genomen" en die "erop [zijn] gericht de CTIVD in staat te stellen in toekomstige rapporten tot een oordeel te komen"? Veronderstellend dat de diensten te goeder trouw handelen, dringt zich zo langzamerhand de vraag op of het misschien eenvoudigweg niet mogelijk is om de manier waarop deze bevoegdheid tot nu toe is ingezet overtuigend te motiveren op een manier waaruit overtuigend blijkt dat de inzet past binnen een democratie, en niet in strijd is met, zeg, het EVRM. Aangezien het recht dient om de macht te beteugelen, is het een probleem als over inzet van de ongerichte bevoegdheid geen uitspraak over rechtmatigheid kan worden gedaan.

En nu dreigt precies die bevoegdheid uitgebreid te worden naar kabelgebonden communicatie; dat volgens Dessens naar schatting 80%-90% van het internationale dataverkeer betreft. De bevoegdheid tot ongerichte interceptie van kabelgebonden communicatie zal inhouden dat telecomaanbieders en internetknooppunten op last van de Minister verplicht worden de diensten toegang te verlenen tot hun kabelnetwerk. Daar schuilt een nog niet besproken onderwerp: de mogelijkheden die die netwerkkoppelingen met zich meebrengen voor het uitoefenen van de hackbevoegdheid van de diensten.

Onder de bevoegdheid tot ongerichte interceptie valt ook de bevoegdheid versleuteling ongedaan te maken. Gaan de diensten daartoe ongerichte c.q. breed gerichte MitM-aanvallen uitvoeren om het verkeer te kunnen doorzoeken op identiteiten van personen en organisaties (Art.27 lid 1), nummers en technische kenmerken (Art.27 lid 2) en trefwoorden (Art.27 lid 3)? Gaan de diensten gericht QUANTUM INSERT-achtige technieken toepassen om targets (en hopelijk zo min mogelijk non-targets) stiekem om te leiden naar valse versies van LinkedIn en Facebook en daar te infecteren met spionagesoftware? Gaan de Nederlandse diensten, in een streven naar de maximaal haalbare informatiepositie, experimenten uitvoeren zoals het Britse OPTIC NERVE, waarbij GCHQ in zes maanden tijd webcambeelden verzamelde van wereldwijd miljoenen gebruikers?

Niet dat hiervan op voorhand kan worden gezegd dat het in strijd is met democratische beginselen: dat hangt af van motivatie (noodzaak/proportionaliteit/subsidiariteit), waarborgen en toezicht. Ik wens de CTIVD veel technisch inzicht toe. Waakzaamheid is geboden. Zo ook bij SIGINT search (Art.26 WIV2002): onder de huidige wet is searchen alleen toegestaan indien afzender en/of ontvanger van de communicatie zich buiten Nederland bevindt. Blijft die eis gehandhaafd bij search van kabelgebonden communicatie?

CTIVD-rapport 38 vermeldt ook dat juridische leemtes zijn ontstaan:
Wel constateert de Commissie dat technologische ontwikkelingen het vandaag de dag mogelijk maken om bestaande bevoegdheden op nieuwe, niet altijd door de wetgever voorziene, manieren in te zetten. Hiermee hangt samen dat door de digitalisering van de samenleving en de daarmee verband houdende sterke intensivering van het communicatieverkeer veel meer gegevens op het gebied van telecommunicatie beschikbaar zijn. De potentiële inbreuk die de diensten met deze methoden kunnen maken op de persoonlijke levenssfeer gaat dan ook veel verder dan in 2002 mogelijk was. Dit heeft tot gevolg dat op een aantal vlakken de werkwijzen van de diensten thans onvoldoende waarborgen bieden voor de bescherming van de persoonlijke levenssfeer, terwijl hierbij strikt genomen de Wiv 2002 niet wordt overschreden.
Wie helpt de wetgever bij het voorzien van onvoorziene leemtes en onvoorziene manieren waarop een vernieuwde Wiv kan worden ingezet? Hoe wordt die worst gedraaid, beste Hennis en Plasterk? Ik acht het uitgesloten dat de wetgever kan voorzien hoe de netwerkkoppelingen over vijf of tien jaar ingezet zullen gaan worden door de diensten. Het Internet of Things zal thans onvoorzienbare nieuwe mogelijkheden en vraagstukken met zich meebrengen. Het is tekenend dat het kabinet in ruim drie maanden nog geen besluit heeft kunnen nemen over het punt van techniekonafhankelijke interceptie. Het beste dat we kunnen verwachten, en waarop we actief moeten aansturen, is dat Nederlandse parlementariërs en regering serieus invulling geven aan deze aanbeveling die het Europees Parlement op 12 maart 2014 heeft aangenomen:
[Het Europees Parlement] neemt nota van de herziening van de Nederlandse Wet op de inlichtingen- veiligheidsdiensten 2002 (verslag van de commissie-Dessens van 2 december 2013); spreekt zijn steun uit voor de aanbevelingen van de commissie die erop zijn gericht de transparantie van en de controle en het toezicht op de Nederlandse inlichtingendiensten te versterken; dringt er bij de Nederlandse regering op aan af te zien van een zodanige uitbreiding van de bevoegdheden van de inlichtingendiensten dat een ongerichte en grootschalige surveillance van kabelgebonden communicatie van onschuldige burgers mogelijk zou worden, met name gezien het feit dat een van de grootste internetknooppunten ter wereld (AMS-IX) in Amsterdam is gevestigd; maant tot voorzichtigheid bij de vaststelling van het mandaat en de capaciteiten van de nieuwe Joint Sigint Cyber Unit, evenals voorzichtigheid met de aanwezigheid en werkzaamheden van medewerkers van Amerikaanse inlichtingendiensten op Nederlands grondgebied;
Wordt vervolgd.

Aanbevolen leesvoer (tips zijn welkom):

Tuesday, March 18, 2014

Progress of offensive cyber capabilities in the Netherlands' armed forces

On March 17th 2014, the Dutch Minister of Defense sent a letter (.pdf, in Dutch) to the Parliament concerning the progress of the development of offensive cyber capabilities in the Dutch armed forces. Below is my translation of the main body of that letter. Hyperlinks and parts in [] are mine. Dutch readers: if you have suggestions for improvement of my translation, please contact me, I'll update this post.
[...]

What is the digital domain?

Original Dutch: "Wat is het digitale domein?"
The National Cyber Security Strategy identifies the digital domain ("cyberspace") as the set of digital information, information infrastructures, computers, systems, applications and the interaction between information technology and the physical world through which information exchange takes place. Not only the Internet is meant by this, but also all the networks and digital devices that are not connected to the Internet. One can think of (highly classified) networks, but also the digital systems in vehicles, factories, vital infrastructures and sensor, weapon and command and control systems, among others.

Original Dutch: "De Nationale Cybersecurity Strategie duidt het digitale domein (“cyberspace”) aan als het geheel van digitale informatie, informatie-infrastructuren, computers, systemen, toepassingen en de interactie tussen informatietechnologie en de fysieke wereld waarover communicatie en informatie-uitwisseling plaatsvindt. Hiermee wordt dus niet alleen het internet bedoeld, maar ook alle niet met internet verbonden netwerken of andere digitale apparaten. Hierbij kan onder andere worden gedacht aan (hoog gerubriceerde) netwerken, maar ook aan de digitale systemen in voertuigen, fabrieken, vitale infrastructuren en sensor-, wapen- en commandovoeringsystemen."
Offensive cyber capabilities
Original Dutch: "Offensieve cybercapaciteiten"
The Ministry of Defense must have the knowledge and capabilities to act offensively in the digital domain in support of military operations. This involves the development of (knowledge of) complex, highly technical means and techniques that are aimed at increasing military capability.
Original Dutch: "Defensie moet over de kennis en capaciteiten beschikken om ter ondersteuning van militaire operaties offensief te kunnen optreden in het digitale domein. Het gaat hierbij om het ontwikkelen van (kennis over) complexe en hoogtechnologische middelen en technieken die er specifiek op zijn gericht het eigen militaire vermogen te vergroten."
Offensive cyber capabilities are the digital means intended to influence or deny the opponent's actions. These capabilities can be used to support conventional military capabilities. The use of such capabilities is subject to the relevant mandate and Rules of Engagement. The legal framework is no different from those concerning the use of conventional military means. Offensive cyber capabilities are distinguished from conventional means in that they can often be deployed only once, are developed for one specific purpose and have a limited lifetime. The development and use often require extensive and longterm intelligence gathering. Advanced (offensive) cyber capabilities are hardly comparable to the widespread, relatively accessible tools for cybercrime. It often concerns complex means that are knowledge-intensive and time-consuming to develop, mostly because cyber capabilities must be very accurate in order to prevent collateral damage. This does not mean that less complex and possibly more accessible cyber capabilities cannot be used during operations. But this, too, requires a good intelligence position."
Original Dutch: "Offensieve cybercapaciteiten zijn de digitale middelen die tot doel hebben het handelen van de tegenstander te beïnvloeden of onmogelijk te maken. Deze capaciteiten kunnen in een militaire operatie worden ingezet ter ondersteuning van conventionele militaire capaciteiten. De inzet valt onder het desbetreffende mandaat en de geldende Rules of Engagement. De juridische kaders zijn niet anders dan die voor de inzet van conventionele middelen. Offensieve cybercapaciteiten onderscheiden zich van conventionele capaciteiten omdat ze vaak eenmalig inzetbaar zijn, specifiek voor één doel worden ontwikkeld en een beperkte levensduur hebben. Voor de ontwikkeling en inzet is veelal uitgebreide en langdurige inlichtingenvergaring noodzakelijk. Hoogwaardige (offensieve) cybercapaciteiten zijn nauwelijks vergelijkbaar met de wijd verbreide, relatief laagdrempelige instrumenten voor cybercrime. Het gaat veelal om complexe middelen waarvan de ontwikkeling kennisintensief en tijdrovend is, vooral omdat offensieve cybercapaciteiten zeer nauwkeurig moeten zijn om onbedoelde nevenschade te voorkomen. Dit laat onverlet dat in operaties ook kan worden gebruikgemaakt van minder complexe en mogelijk laagdrempelige cybercapaciteiten. Maar ook hiervoor is een goede inlichtingenpositie onontbeerlijk."
Offensive cyber capabilities distinguish themselves from cyber means involved in and used for the protection of networks. They also differ from digital intelligence gathering and counter-intelligence activities. In the development of various types of cyber capabilities (defensive, offensive and intelligence) the consistency must be kept in mind. For offensive cyber operations and digital intelligence gathering, similar techniques and methods are often used, albeit with a different purpose and within a different legal framework. Therefore, intensive cooperation with the Military Intelligence and Security Service (MIVD) is necessary in the development of offensive cyber capabilities. A challenge in the deployment of offensive means is that at any time the adversary can discover and mitigate their own vulnerability, and that account must be taken of side effects for our own systems and those of allies or third parties.
Original Dutch: "Offensieve cybercapaciteiten onderscheiden zich van cybermiddelen die worden ingezet op en ter bescherming van de eigen netwerken. Ook verschillen zij van digitale inlichtingenvergaring en van contra-inlichtingenactiviteiten. Bij de ontwikkeling van verschillende typen cybercapaciteiten (defensief, offensief en inlichtingen) moet wel de samenhang in het oog worden gehouden. Voor offensieve cyberoperaties en digitale inlichtingenvergaring worden veelal vergelijkbare technieken en methoden gebruikt, zij het met een ander oogmerk en binnen een ander wettelijk kader. Daarom is bij de ontwikkeling van offensieve cybercapaciteiten intensieve samenwerking met de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) noodzakelijk. Een uitdaging bij de inzet van offensieve middelen is dat de tegenstander op elk moment zijn eigen kwetsbaarheid kan ontdekken en beperken, en dat rekening moet worden gehouden met neveneffecten voor eigen systemen en die van bondgenoten of derden."

Offensive cyber in military operation

Original Dutch: "Offensieve cyber in militaire operaties"


Cyber capabilities wwill be an integral part of the overall military capability of the Dutch armed forces. They can not replace conventional military capabilities. The combined use of conventional and cyber capabilities can improve the effectiveness of the overall military operation, and thus the military capability to act.
Original Dutch: "Cybercapaciteiten zullen integraal deel uitmaken van het totale militaire vermogen van de Nederlandse krijgsmacht. Zij kunnen conventionele militaire capaciteiten niet vervangen. De gecombineerde inzet van conventionele en cybercapaciteiten kan de effectiviteit van de totale militaire operatie, en dus het militaire handelingsvermogen, vergroten."
The planning and execution of operations in the cyber domain are largely similar to those of conventional military operations. In general, an operation begins with an exploratory phase in which intelligence is collected, among others on the digital capabilities of a potential adversary. Then, the likeliness of the intended effect and the possible risks and side effects are analyzed. By means of this the necessary offensive cyber capabilities are designed and developed. This concerns, for instance, very complex software that could disable an enemy weapon system or military communication systems. It may also involve relatively simple software. If the opponent has systems connected to the internet, the operation could be carried out via this way. If not, access to the opponent's digital environment will have to be obtained by different means. Then, the phase of influencing, disruption or destruction of the opponent systems can begin.
Original Dutch: "De planning en uitvoering van operaties in het cyberdomein komen grotendeels overeen met die van traditionele militaire operaties. In het algemeen begint een operatie met een verkennende fase waarin inlichtingen worden verzameld, onder andere over de digitale capaciteiten van een potentiële tegenstander. Vervolgens worden de kansen op het beoogde effect alsmede mogelijke risico’s en neveneffecten geanalyseerd. Aan de hand hiervan worden de benodigde offensieve cybercapaciteiten ontworpen en ontwikkeld. Het gaat hierbij bijvoorbeeld om zeer complexe software die een vijandelijk wapensysteem of militaire communicatiesystemen zou kunnen uitschakelen. Het kan ook gaan om relatief eenvoudige programmatuur. Indien de opponent systemen aan het internet heeft gekoppeld, kan de operatie via deze weg worden ingezet. Zo niet, dan zal eerst op andere wijze toegang tot de desbetreffende digitale omgeving moeten worden verkregen. Vervolgens kan de fase van beïnvloeding, verstoring of destructie van het systeem van de tegenstander beginnen."
Prior to the deployment of an offensive cyber capability, it is important to extensively test for efficacy and undesirable side effects. This takes place in a shielded digital practice environment.
Original Dutch: "Voorafgaand aan de inzet van een offensieve cybercapaciteit is het belangrijk deze uitvoerig te testen op effectiviteit en ongewenste neveneffecten. Dit gebeurt in een afgeschermde digitale oefenomgeving."
A doctrine for military operations in the digital domain has been established last year in general terms. This year, the doctrine will be further developed and assessed during exercises where cyber is integrated. It is expected that the doctrine will be completed in the course of 2015. The doctrine will address, among other things, integration of cyber resources in the planning of military operations. The Defense Cyber Command (DCC) will appoint a cyber adviser to operational commanders who advises on the possibilities and vulnerabilities of systems, and the possible use of cyber means and the desired effects. These effects may be across the entire spectrum of military operations."
Original Dutch: "Een doctrine voor het militair optreden in het digitale domein is vorig jaar op hoofdlijnen tot stand gekomen. Dit jaar wordt de doctrine verder uitgewerkt en getoetst tijdens oefeningen waarin cyber wordt geïntegreerd. Naar verwachting is de doctrine in de loop van 2015 gereed. De doctrine zal onder andere ingaan op het integreren van cybermiddelen in de operationele planning van militaire operaties. Zo zal het Defensie Cyber Commando (DCC) een cyberadviseur aan operationele commandanten ter beschikking stellen die adviseert over de mogelijkheden en kwetsbaarheden van de eigen systemen en de mogelijke wijze van inzet van cybermiddelen en de beoogde effecten. Dit kunnen effecten zijn in het gehele spectrum van militair optreden."

State of affairs
Original Dutch: "Stand van zaken"
Last August, I informed you about the status of the Defense Cyber Strategy (Parliamentary Papers 33321, No.2). In that letter I reported that the focus of the Defense Cyber Strategy initially lies with the defensive cyber capabilities (protection of networks, systems and information) and the expansion of the information capacity of the digital domain. The development of these two components proceeds as planned and will continue in 2014 and 2015. As reported in the note 'In the interest of the Netherlands', the Ministry of Defense will put more emphasis on developing the ability to conduct cyber operations, including by accelerated establishment of the DCC.
Original Dutch: "In augustus jl. heb ik u geïnformeerd over de stand van zaken van de Defensie Cyber Strategie (kamerstuk 33321, nr. 2). In die brief heb ik gemeld dat het zwaartepunt van de Defensie Cyber Strategie aanvankelijk ligt bij de defensieve cybercapaciteiten (de bescherming van netwerken, systemen en informatie) en de uitbreiding van de inlichtingencapaciteit voor het digitale domein. De ontwikkeling van deze twee componenten verloopt zoals voorzien en zal voortgaan in 2014 en 2015. Zoals gemeld in de nota ‘In het belang van Nederland’ zal Defensie zich nadrukkelijker richten op het ontwikkelen van het vermogen cyberoperaties uit te voeren, onder andere door het versneld oprichten van het DCC."
The DCC will begin in Q3/2014 with a staff element, an operations department, a technology department and the Defense Cyber Expertise Center (DCEC). The operations department will build capabilities to support units during deployment and exercises. The technology department will develop cyber capabilities in close cooperation with the MIVD. These will not yet be available in 2014, beceause the recruitment and training of the necessary personnel has not yet been completed.
Original Dutch: "Het DCC zal al in het derde kwartaal van 2014 beginnen met een stafelement, een afdeling operaties, een afdeling technologie en het Defensie Cyber Expertise Centrum (DCEC). De afdeling operaties zal de capaciteit opbouwen om eenheden gedurende de inzet en oefeningen te ondersteunen. De technische afdeling zal in nauwe samenwerking met de MIVD offensieve cybercapaciteiten ontwikkelen. In 2014 zullen die nog niet beschikbaar zijn omdat de werving en opleiding van het hiervoor noodzakelijke personeel nog niet is afgerond."
To achieve the desired acceleration, the Taskforce Cyber will merge into the DCC. In addition, the DCC, within the existing financial framework, will be extend with additional staff, including a number of training places and functions for cyber reservists. [Some 150 cyber reservist positions are expected.]  It is expected that the DCC will be operational by the end of 2015.
Original Dutch: "Om de beoogde versnelling te bereiken zal de Taskforce Cyber opgaan in het DCC. Daarnaast wordt het DCC, binnen de huidige financiële kaders, uitgebreid met extra personeel, waaronder een aantal opleidingsplaatsen en functies voor cyberreservisten. Naar verwachting zal het DCC eind 2015 operationeel zijn."
[...]
EOF

Monday, March 3, 2014

[Dutch] Enkele gedachten bij ongerichte interceptie door IVD's

UPDATE 2014-03-11: today, a new CTIVD oversight report was published, together with the Dutch cabinet's response to the Dessens report. The report covers exercises of various telecom-related powers by the AIVD and MIVD. Concerning the undirected (bulk) collection of phone metadata from wireless sources, the CTIVD has now established that it has not been motivated as required by law: nothing is known about necessity, proportionality or subsidiarity of such collection. IMHO the new report --- which only exists as a result of Snowden's revelations --- reemphasizes that up until today, oversight on Dutch SIGINT is broken.  

UPDATE 2014-03-09: Bart Jacobs schrijft in zijn essay Gerichtheid moet in het DNA van inlichtingendiensten zitten (.pdf, 6 maart 2014): "[...] Waarom is er wereldwijd zoveel onrust ontstaan over de onthullingen van Edward Snowden? Ik denk in essentie omdat ze aantonen dat de Amerikaanse en Britse inlichtingendiensten NSA en GCHQ deze gerichtheid uit het oog verloren hebben. De techniek lijkt ze te benevelen, waardoor ze het gevoel verloren hebben voor wat gepast, geaccepteerd, of zelfs gerechtvaardigd is. [...]". Gegeven wat in het ruwe bronmateriaal van Snowden is te vinden is Jacobs' analyse moeilijk te weerspreken.

Noodzakelijkheid, proportionaliteit en subsidiariteit: dat zijn de drie voorwaarden waaraan moet worden voldaan voordat de inzet door de AIVD en MIVD van bijzondere bevoegdheden zoals gerichte interceptie ('aftappen'), ongerichte interceptie ('sleepnettaps') en binnendringen in geautomatiseerd werk ('hacken') door toezichthouder CTIVD als rechtmatig wordt beoordeeld. Is de inzet van de bevoegdheid noodzakelijk voor het onderzoek waarbinnen het wordt ingezet? Weegt de privacyinbreuk op tegen het belang van het onderzoek? Is er een minder inbreukmakend alternatief om hetzelfde doel te bereiken? Deze afwegingen worden (als het goed is) gemaakt door de AIVD en de MIVD voorafgaand aan elke inzet van een bijzondere bevoegdheid. Bij enkele van de onthulde programma's van de NSA en GCHQ kunnen vragen worden gesteld over noodzakelijkheid, proportionaliteit en subsidiariteit.

Scheidend CTIVD-voorzitter Bert van Delden werd in december 2013 geciteerd op Nu.nl:
De toezichthouder deed de afgelopen tijd onderzoek naar de activiteiten van de Nederlandse diensten. 'NSA-achtige praktijken' kwam Van Delden daarbij niet tegen. (...) De werkwijze van de Amerikanen is volgens hem niet vergelijkbaar met die van de Nederlanders. Dat verschil is niet alleen een kwestie van cultuur, maar komt volgens hem ook door het 'bijna onbeperkte budget' van de Amerikaanse afluisterdienst NSA.
Geen 'NSA-achtige praktijken' door de Nederlandse diensten, dus? Hierover het volgende. Ten eerste: de notie van 'budgetgrootte' is relatief. Gegevensverwerking wordt steeds goedkoper, en dus kun je met gelijkblijvend budget steeds meer doen. Het plaatje hieronder uit het AIVD-jaarverslag over 2012 geeft de ontwikkeling van het budget weer: van 50 miljoen euro in 2000 tot 200 miljoen euro in 2012; en thans wat gecorrigeerd door bezuinigingen (als die gehandhaafd blijven).


Van Delden werd in hetzelfde artikel nogmaals geciteerd:
'Je moet niet bezuinigingen op onze veiligheidsdiensten, maar je moet ze ook geen honderden miljoenen geven, want dan gaan ze zulke dingen doen', waarschuwt de vertrekkende CTIVD-voorzitter.
Budgetgrootte als bepalende factor voor de interne cultuur, dus.

Ten tweede is het begrip 'NSA-achtige praktijken' natuurlijk vaag. De AIVD zal behoeften en ambities hebben die vergelijkbaar zijn met die van de NSA: al was het maar om quid pro quo te kunnen blijven spelen met buitenlandse diensten. Zo blijkt uit het boek The Snowden Files nogmaals dat GCHQ zich zorgen maakt over de eigen informatiepositie in relatie tot behoud van het Britse "lidmaatschap" van de Five Eyes community. Ze blijven daarom zoeken naar verbetering en uitbreiding van methoden voor digitale spionage onder programma's als Mastering The Internet en Global Telecoms Exploitation. Zoals Constant Hijzen opmerkt over wat via Snowden is onthuld:
Dit is geen schandaal, maar een praktijk die het gevolg is van de recente technologisering en groei van het inlichtingen- en veiligheidsapparaat.
Bekend is dat GCHQ de AIVD in 2008 adviseerde over de juridische aspecten van bulkinterceptie:
The Dutch have some legislative issues that they need to work through before their legal environment would allow them to operate in the way that GCHQ does. We are providing legal advice on how we have tackled some of these issues to Dutch lawyers.
Uit deze woorden blijkt strikt genomen niet dat de AIVD zou willen werken "in the way that GCHQ does". Dat blijkt echter wel uit ARGO II, zie ook hier (de supercomputer waarover de MIVD+AIVD nu beschikken voor de verwerking van grote hoeveelheden data, naar verluidt geleverd door het Israëlische NICE Systems) en het uitzicht op een bevoegdheid voor ongerichte interceptie van kabelgebonden communicatie (die het tappen van glasvezelverbindingen mogelijk zal maken) en uit de verwijzingen naar grote gegevensstromen in recente AIVD-jaarverslagen. Het jaarverslag over 2010 vermeldt:
(...) Op een aantal ICT-gebieden moet de AIVD excelleren om het verdergaande technologiegebruik door onderzoekssubjecten het hoofd te kunnen bieden. Dit geldt in het bijzonder voor de strategisch-operationele doelen waarbij ook internationale informatiestromen verwerkt moeten worden. Op deze gebieden moet innovatieve technologie worden ingezet om te kunnen omgaan met de uitdagingen van cryptotechnologie, grootschalige data-analyse en cyberwarfare. De AIVD verwacht dat deze uitdagingen de komende jaren de ICT-ontwikkelagenda zullen blijven bepalen.
Het AIVD-jaarverslag over 2011 vermeldt:
Het werk van de AIVD is in hoge mate afhankelijk van het vermogen om snel grote hoeveelheden informatie te verwerken en te analyseren. Zo kunnen vroegtijdig bedreigingen van de nationale veiligheid worden onderkend. De AIVD moet daarom kunnen beschikken over moderne, kostenefficiënte en goedwerkende informatiesystemen die ten aanzien van de ondersteuning van operationeel inlichtingenwerk internationaal voorop lopen. Om dit te realiseren heeft de AIVD in 2011 een structurele ICT-investeringsimpuls gekregen die wordt aangewend voor het versterken van de capaciteit van Signals intelligence (Sigint), het verwerken van omvangrijke internationale datastromen, ICT-voorzieningen voor Regionale Inlichtingendiensten en waarborgen voor de continuïteit van de informatiesystemen van de dienst. (...) Een nieuwe versie van het AIVD-systeem voor de verwerking en analyse van Sigint-opbrengsten is opgeleverd.
Het AIVD-jaarverslag over 2012 vermeldt:
Overheden moeten kunnen inspelen op de snelle veranderingen in de digitale infrastructuur en de voortdurende aanwas van nieuwe communicatiekanalen: discussiefora, sociale media, ‘cloud computing’. Terroristen, extremisten en inlichtingendiensten van andere landen maken gebruik van deze communicatiekanalen, en beveiligen hun communicatie bovendien met steeds betere encryptie. hierdoor wordt het gemakkelijker om activiteiten aan het oog van opsporingsinstanties en inlichtingen- en veiligheidsdiensten te onttrekken.

Deze ontwikkelingen van digitale technologieën en de groeiende omvang van datastromen (‘big data’) nopen tot permanente investeringen, zowel in materiaal als in kennis en expertise. de investeringsimpuls van de afgelopen jaren is in 2012 voortgezet. er zijn investeringen gedaan voor het onderscheppen, beheren, verwerken en bewerken van grote informatiestromen. Bij deze investeringen kiest de aivd doelbewust voor het aangaan en uitbouwen van strategische samenwerkingsallianties met nationale en internationale partners.

(...)
De aivd heeft een systeem ontwikkeld waarin zeer snel nieuwe bronnen ontsloten en doorzoekbaar gemaakt kunnen worden. hoewel het systeem opgezet is voor sigint-data, is het zo ontworpen dat het ook gebruikt kan worden om grote hoeveelheden data uit andere bronnen snel op te slaan en doorzoekbaar te maken.
Voor nadere analyse van deze grote hoeveelheden data heeft de aivd applicaties ontwikkeld die rapportages en statistieken over specifieke trends kunnen produceren. Op het gebied van de analyse van sigint-data zijn wij samenwerkingsverbanden aangegaan met buitenlandse collega-diensten.
De AIVD en MIVD zijn dus, net als de NSA en GCHQ, bezig met grote gegevensstromen. Dat waren ze al binnen de in 2003 opgerichte Nationale Sigint Organisatie (NSO) met ARGO I, maar dat wordt dankzij ARGO II en nieuwe bevoegdheden straks uitgebreid binnen de Joint Sigint Cyber Unit (JSCU).

Ze kunnen niet anders, waarschijnlijk. In het Dessens-rapport wordt losjes geschat dat 80%-90% van het digitale maatschappelijke verkeer momenteel buiten het ongerichte blikveld van de diensten valt. Het toestaan van ongerichte kabelgebonden interceptie betekent wel dat ook in Nederland waakzaamheid is geboden tegen 'NSA-achtige praktijken'. De Nederlandse wetgeving is al redelijk ruim; hoewel ik moet toegeven dat ik niet tot in detail weet in hoeverre 'NSA-achtige praktijken' in Nederland juridisch mogelijk zijn zoals in de VS mogelijk zijn dankzij FISA Section 702 (de juridische basis voor PRISM), PATRIOT Section 215 (de juridische basis voor bulkverzameling van metadata van telefoongesprekken) en Executive Order 12333 (dat de president de bevoegdheid geeft foreign intelligence programma's uit te laten voeren buiten het zicht van het in de VS gebruikelijke rechterlijke toezicht en waarover de VS informatie weigert te verstrekken aan de EU). Heeft Ashkan Soltani's betoog dat technologie, niet wetgeving, de remmende factor is voor Amerikaanse spionage ook relevantie voor Nederland?

In het Tempora-programma heeft GCHQ zich vanaf 2008 toegang verschaft tot inmiddels zo'n 200 glasvezelverbindingen. Ze zouden anno 2011 van 46 verbindingen gelijktijdig (alle?) data kunnen verzamelen en de volledige data tot drie dagen bewaren, de metadata tot dertig dagen. Het mag worden verondersteld dat de Nederlandse diensten een gelijksoortig programma opbouwen zodra ze de wettelijke bevoegdheid krijgen. Selectie uit ongericht verzamelde gegevens mag onder het huidige Artikel 27 derde lid WIV2002 op identiteit (persoon of organisatie), nummer, technisch kenmerk of trefwoorden. "Nut en noodzaak moeten altijd worden aangetoond", vindt de cie-Dessens.

In het OPTIC NERVE programma heeft GCHQ in zes maanden tijd webcambeelden verzameld van wereldwijd 1.8 miljoen gebruikers van Yahoo webcam chat zonder dat die gebruikers ergens van werden verdacht. GCHQ wil er nieuwe targets mee ontdekken, en experimenteren met gezichtsherkenning om bestaande targets te vinden in de gegevensstromen. Gaan de Nederlandse diensten ook dit soort dingen doen? Is dat noodzakelijk? Is het proportioneel? Is er een minder inbreukmakend alternatief om het (niet nader bekende) doel te bereiken?

Het ontbreekt aan informatie waarmee de buitenstaander dat kan bepalen. Dat bemoeilijkt een eerlijk debat --- de andere kant van het verhaal, die van de diensten, mist. Het ontbreken van informatie houdt dystopische straw man argumenten overeind: redeneringen van het type "ik wil niet in een wereld leven waar X", waarbij X gewoon simpelweg niet aan de orde is, maar dat niet kenbaar is voor wie het argument maakt. Het zou goed kunnen zijn dat ongerichte kabelgebonden interceptie "onder de streep" volstrekt redelijk en wenselijk is, gegeven de taakstellingen van de diensten en de actuele situatie in de wereld: dat die nieuwe bevoegdheid aantoonbaar bijdraagt aan de veiligheid van onze strijdkrachten in het buitenland, aan het voorkomen van terroristische aanslagen in het binnenland, en nimmer wordt gebruikt op een manier die in strijd is met democratische beginselen.

Van de MIVD is bekend dat ze "generieke identiteiten" gebruikte om binnen ongericht geïntercepteerde niet-kabelgebonden data nieuwe targets te ontdekken: een praktijk die de CTIVD niet rechtmatig achtte, en vervolgens de facto adviseerde te legaliseren. [De exacte bewoording van de CTIVD luidde (.pdf): "De Commissie geeft in overweging te bezien of het, met inachtneming van de privacybescherming, noodzakelijk is dat aan de MIVD (en de AIVD) ruimere bevoegdheden worden toegekend die beter aansluiten op deze (gewenste) praktijk").] Hoe sterk is onze democratie op dat punt? Het gebruik van generieke identiteiten als sleepnet zal in elk geval één van de onderdelen van de nieuwe Wiv zijn die op gespannen voet staat met democratische beginselen. Het hangt natuurlijk allemaal samen met wat de samenleving van de diensten verwacht: zie ook de betogen van Constant Hijzen.

Bij bevoegdheden die toestemming van de Minister van BZK of Defensie eisen wordt de afweging over noodzakelijkheid, proportionaliteit en subsidiariteit (als het goed is) verwoord in het toestemmingsverzoek. Het rechtmatigheidstoezicht op deze bevoegdheden door de CTIVD vindt primair plaats op basis van die toestemmingsverzoeken. Uit de toezichtsrapporten blijkt dat dit mechanisme in praktijk bij de AIVD goed werkt voor de inzet voor gerichte interceptie. Uit die rapporten blijkt ook dat dit mechanisme vooralsnog niet goed werkt voor ongerichte interceptie: de CTIVD onthoudt zich al jarenlang van een rechtmatigheidsuitspraak als gevolg van gebrekkige motivatie in de toestemmingsverzoeken. (Over de inzet van de hackbevoegdheid is weinig bekend; er is geen CTIVD-rapport dat in enige omvang ziet op de inzet van dat artikel.)

Voor het gericht monitoren van jihadistische fora hebben onze diensten in elk geval geen bevoegdheid tot ongerichte interceptie nodig, daartoe volstaat de hackbevoegdheid (Artikel 24 WIV2002) in combinatie met andere bestaande bevoegdheden. Misschien zou de hackbevoegdheid  een nieuw juridisch jasje kunnen krijgen dat beter rekening houdt met de aard van systemen en infrastructuur die zowel door (enkele) targets als (heel veel) non-targets wordt gebruik. En waarin nader wordt geregeld wat onze diensten mogen doen met gehackte systemen. Of de diensten Computer Network Exploitation (CNE) mogen bedrijven in de vorm van het achterlaten van malware op computernetwerken, zoals de NSA al op >50,000 netwerken heeft gedaan en zoals bij Belgacom is aangetroffen. Of de diensten ongerichte MitM-aanvallen mogen uitvoeren.

Iets dat juridisch mag (c.q. juridisch kan worden rechtgepraat met taalspelletjes) is niet automatisch moreel goed. De AIVD moet vooral onderscheid maken tussen targets en non-targets, ook al in de fase van verzameling: het principe van discriminatie in de Just Intelligence Principles van Ross Bellaby. Hoe zit het, in het licht van de opkomst van intelligencegestuurd politiewerk (.pdf), eigenlijk met de vervagende grens tussen inlichtingen en opsporing, de scheiding die bewust na WOII is ingevoerd en in Artikel 9 WIV2002 is vastgelegd? Welke juridisch nét toegestane gegevensverzamelingen, -koppelingen en -verrijkingen liggen in het verschiet, indachtig Travel Intelligence en het (destijds weliswaar verworpen) post-Madrid voorstel om gegevens te kunnen vorderen bij private partijen? Vragen genoeg. Voor nu moeten we allemaal met belangstelling uitkijken naar de kabinetsreactie op het Dessens-rapport (die verschijnt mogelijk op 10 maart) en het nieuwe Wiv-wetsvoorstel.

EOF

Sunday, February 23, 2014

[Dutch] Roger Vleugels: Wobben in 10 minuten

Met toestemming van FOIA/Wob-expert Roger Vleugels citeer ik hieronder "Wobben in 10 minuten", een handout die Vleugels vorige week verstrekte aan deelnemers van zijn Wob-actualiseringscollege "De Wob in de steigers". In dat college werden onder meer behandeld het nieuwe Wob-wetsvoorstel van GroenLinks+D66, gepercipieerd en werkelijk Wob-misbruik, en de rapporten "Kosten en baten voor de overheid van wijzigingen van de Wet openbaarheid van bestuur" (.pdf, SEO Economisch Onderzoek, 2013) en "Prettig contact over de Wob" (Instituut Maatschappelijke Innovatie, 2013).

Voor wie nog nooit van Roger Vleugels heeft gehoord, deze regels uit zijn LinkedIn-profiel geven een indicatie (hij is ook actief op Twitter):
Since 1986 I lecture in the Netherlands on the Wob: Wet openbaarheid van bestuur [The Dutch FOIA: Freedom of information act]. Since 2000 also abroad on FOIAs in up to twenty countries. In my legal practice I filed more than 4,500 FOIA/Wob requests for and with my clients, most of them press organisations, but also for NGOs, researchers and private persons.
Vleugels publiceert de (gratis) periodieken Fringe en Fringe Spitting: zie hier (.pdf) de bestellijst en de colofon uit een Fringe Special publicatie van deze maand. In de colofon staat hoe je je kunt abonneren op zijn (gratis) periodieken; en een indicatie voor vrijwillige donaties. Indien/zodra de nieuwe Wob er is komt de (betaalde) `Basiscursus Wob' van Vleugels weer beschikbaar voor vrije inschrijving: daar ga ik me dan zeker voor aanmelden.

Hieronder volgt `Wobben in 10 minuten'. Hyperlinks en tekst in [] zijn van mij.
Wobben in 10 minuten
Wobben werkt langzaam en is dus niet geschikt voor nieuwsdienstwerk of onderwerpen met een korte journalistieke levenscyclus. Hoe langzaam? De eerste beslissing op basis van een bezoek moet verschijnen binnen 2x28 dagen na indiening. Deze wettelijke maximumtermijn wordt in 60% van alle zaken niet gehaald. In 35% van alle zaken zal die eerste beslissing bevredigend zijn; in alle andere wordt het doorprocederen via bezwaar, beroep en hoger beroep. De bezwaarfase kost alleen al dik een kwartaal. Ander gezegd: verzoek en bezwaar vergen tezamen een half jaar. Wobben vergt: pro-actieve agendavoering, vooruit plannen.

1. Het moet gaan om al in documenten vastliggende bestaande informatie
Je kunt dus te vroeg Wobben. Niet erg, want je mag in dat geval opnieuw beginnen. Nodeloos. (Normaal mag hetzelfde twee keer vragen niet: ne bis in idem beginsel.)

2. De organen die onder de Wob vallen
Alle bestuursorganen, inclusief alle zelfstandige bestuursorganen, vallen onder de Wob. Kortom alle organen van de uitvoerende macht, met andere woorden de wetgevende en de controlerende niet, dus parlement en zittende magistratuur niet. Ook niet de Hoge Colleges van Staat.

3. Documenten die onder de Wob vallen
Alle documenten vallen onder de Wob; en iedere vorm van vastleggen is een document, dus ook emails of audio/video. Er zijn geen vormen van vastleggen die geen document in de zin der Wob zijn. De Wob is de moedertoegangswet en geldt altijd behalve indien er in een andere wet een exclusief openbaarmakingsregime vast ligt of die andere wet een lex specialis is ten opzichte van de Wob. Voorbeelden: de Wetgeving inzake AIVD/MIVD en delen van de belastingwetgeving.

4. Voldragen vraagstelling
De meest gemaakte fout bij het Wobben is een slechte vraagstelling; vaak te vaag of te smal. Knoop je niet op in je vraag:
  • Vraag om kopie of inzage. Niet om beide. Denk om een bijzondere vorm; digitale kopie;
  • Stel een niet-limitatieve vraag. Vraag om alles inzake een onderwerp. Werk in de vraag nooit met een eindige opsomming. Gebruik hierbij de term "waaronder";
  • Laat het in de vraag nooit bij de vraag om alles specificeer wel in niet-limitatieve zin;
  • Vraag nooit alleen het document, of alle documenten inzake een onderwerp op, maar overweeg altijd ook op te vragen: onderliggende documenten, omgevingsdocumenten en vervolgdocumenten;
  • Overweeg subsidiaire vragen. B.v. niet alleen het document in integrale vorm, maar ook partieel of samengevat (b.v. zonder namen of zonder derdeninformatie).
5. Anticipeer in het verzoek op de inzet van weigergronden
Cruciaal voor succesvol Wobben is analytische scherpte, vroegtijdig beginnen en vooral anticiperen op met name de uitzonderingsgronden en beperkingen. [Uitzonderingsgronden zijn gedefinieerd in Art.10 Wob, beperkingen in Art.11 Wob.]

Absolute uitzonderingsgronden

art. 10.1.a    De eenheid van de Kroon
art. 10.1.b    De veiligheid van de Staat
art. 10.1.c    Bedrijfs-/fabricagegegevens vertrouwelijk bij de overheid
art. 10.1.d    Persoonsgegevens zoals bedoeld in Wbp

Relatieve uitzonderingsgronden

art. 10.2.a    Diplomatie
art. 10.2.b    Economische en financiële belangen van Staat
art. 10.2.c    Lopende opsporing en vervolging van strafbare feiten
art. 10.2.d    Inspectie, controle en toezicht door de overheid
art. 10.2.e    Privacy en derdenbescherming
art. 10.2.f    Voorkoming van voorkennis
art. 10.2.g    Voorkoming onevenredige bevoordeling of benadeling

Beperkingen

art. 11.1    Intern beraad voor zover persoonlijke beleidsopvattingen
art. 11.2    Niet-anonimiseerbare persoonlijke beleidsopvattingen
art. 11.3    Adviezen van commissies indien vertrouwelijk

6. Loketkeuze
Sta stil bij waar je het verzoek indient. Gouden regels: Bij het orgaan dat in dat onderwerp het zwakst staat en/of het meest geneigd is tot verstrekken en/of weinig obstructie pleegt. Dien bij het gekozen orgaan hoog in, dus bij directie, B&W of minister.

7. 2x28 dagen wachten?
Je hebt recht op antwoord binnen 28 dagen. Dat wordt nagenoeg nooit gehaald; bijna in alle zaken wordt met 28 dagen verdaagd. Vaak op onwettige gronden maar daar bestaat geen effectief tegengif tegen. Zeer van belang is dat je niet gaat wachten op de eerste beslissing, want dan gaat het sowieso ook over die tweede 28 dagen heen, maar dat je omstreeks dag 20 begint met bellen en dat vanaf dan wekelijks doet. Stay polite. Pappen en nathouden is de meest effectieve manier om snelheid te genereren.

8. Ga in bezwaar indien het antwoord onder de maat is of uitblijft.
Doe dit altijd, als de journalistieke levenscyclus van je onderwerp het aankan. Doe je dat niet dan krijg je direct de naam van: watje, procedeert toch niet door, waarmee afwijzen een effectief instrument is om je te stoppen. Krijg je geen antwoord dan kun je op dag 29 of 57 in bezwaar, maar je kunt ook een ingebrekestelling indienen overeenkomstig de Wet dwangsom en beroep. Dit werkt vaak omdat er een voorwaardelijk boetesysteem in zit dat tot enige snelheid maant, én als die snelheid uitblijft ontvang je een boete die tot 1260 euro per Wob kan oplopen. Maar ja, ik ben tegen die wet.


Voel je welkom in de wereld van Kafka.


EOF

Thursday, February 20, 2014

Fird edition of US Army FM 3-38 - "Cyber Electromagnetic Activities"

The first edition of U.S. Army Field Manual 3-38 on "Cyber Electromagnetic Activities" is available here (mirror) (.pdf). Steven Aftergood blogged about it. Table of contents:
  • INTRODUCTION
  • FUNDAMENTALS OF CYBER ELECTROMAGNETIC ACTIVITIES
    • Cyber Electromagnetic Activities Defined
    • CEMA in an Operational Environment
    • The Information Environment
    • Cyber Electromagnetic Activities in Unified Land Operations
  • ROLES, RESPONSIBILITIES AND ORGANIZATION
    • The Commander's Role in CEMA
    • The Cyber Electromagnetic Activities Element
    • Key Personnel in Planning and Coordinating CEMA
    • The Cyber Electromagnetic Activities Working Group
    • Additional Key Personnel in The CEMA Working Group
    • The Soldier's Role In CEMA
  • CYBERSPACE OPERATIONS
    • Functions of Cyberspace Operations
    • Offensive Cyberspace Operations
    • Defensive Cyberspace Operations
    • Department of Defense Information Network Operations
    • Operations In and Through Cyberspace
  • ELECTRONIC WARFARE
    • Electronic Attack
    • Electronic Protection
    • Electronic Warfare Support
    • Tasks and Terminology
  • SPECTRUM MANAGEMENT OPERATIONS
    • Electromagnetic Spectrum Operations
    • Spectrum Management Operations Functions
Enjoy reading!

EOF

Saturday, February 15, 2014

[Dutch] Meer context bij toezicht op selectie na ongerichte interceptie door AIVD uit CTIVD-rapporten 31 en 35

Hieronder citeer ik voor eigen doeleinden enkele paragrafen uit CTIVD-toezichtsrapporten 31 (sep 2010 - aug 2011) en 35 (sep 2011 - aug 2012) over het toezicht op de inzet door de AIVD van Artikel 27-3 WIV2002 (SIGINT-selectie; selectie op identiteit, nummer of technisch kenmerk na ongerichte interceptie van niet-kabelgebonden communicatie). Dit bericht is complementair aan wat ik hier en hier berichtte over het toezicht op de inzet van dat artikel. Vetgedrukte markering is van mij.

Toezichtsrapport 31 - periode sep 2010 - aug 2011

Van pagina 5-6:
"Het aantal operaties waarin artikel 27 Wiv 2002 is ingezet is in de loop van de periode september 2010 tot en met augustus 2011 sterk gestegen. Dit is mede te verklaren door toenemende technische mogelijkheden en toenemende bekendheid met dit bijzondere inlichtingenmiddel. De stijging is op alle onderzoeksterreinen te zien waarin van artikel 27 Wiv 2002 gebruik wordt gemaakt.

Voor deze inzet van de bevoegdheid tot selectie op basis van ongericht ontvangen niet-kabelgebonden telecommunicatie (hierna: de selectie van Sigint) past de wet hetzelfde regime toe als voor de inzet van een tap of een microfoon aangezien in beide gevallen gericht kennis wordt genomen van de inhoud van de communicatie van personen en organisaties. [Voetnoot 7: Kamerstukken II 1997/98, 25 877, nr. 3, p. 44-45.] In toezichtsrapport 19 stelde de Commissie vast dat de AIVD niet zorgvuldig omging met de selectie van Sigint. Veelal werd niet toegelicht aan wie de nummers en technische kenmerken toebehoorden en waarom deze telecommunicatie diende te worden geselecteerd. De Commissie kwam hierop tot de slotsom dat zij onvoldoende kennis droeg van de motivering van de selectie, waardoor zij geen oordeel kon geven over de rechtmatigheid van de selectie van Sigint op grond van artikel 27 lid 3 sub a en b Wiv 2002. De Commissie beval dringend aan de verzoeken om toestemming dan wel verlenging voor de inzet van deze bijzondere bevoegdheden te voorzien van een op de selectiecriteria toegespitste motivering. [Voetnoot 8: Toezichtsrapport van de CTIVD nr. 19 [...], Kamerstukken II 2008/09, 29 924, nr. 29 (bijlage) § 7, beschikbaar op www.ctivd.nl.] In haar reactie op dit rapport gaf de minister van BZK aan het met de Commissie eens te zijn, maar tevens zorgen te hebben over de praktische uitvoerbaarheid van de aanbeveling. De minister zegde toe dat de AIVD hieromtrent in nader overleg zou treden met de Commissie. [Voetnoot 9: Kamerstukken II 2008/09, 29 924, nr. 29, p. 5 en 6.] In toezichtsrapport 26 inzake de uitvoering van de inlichtingentaak buitenland door de AIVD stelde de Commissie vast dat voor wat betreft de toepassing van artikel 27 Wiv 2002 in het kader van die taak nog steeds in veel gevallen niet was gespecificeerd aan wie een kenmerk toebehoorde en waarom het van belang was kennis te nemen van de informatie die via dit specifieke kenmerk kon worden verworven. Wel bleek de Commissie dat naarmate Sigint-operaties langer liepen, de AIVD beter kon aangeven aan wie de kenmerken toebehoorden en beter kon onderbouwen waarom de inzet ten aanzien van deze personen gelegitimeerd was. De Commissie benadrukte dat de AIVD er ernstig naar dient te streven om zo snel mogelijk te specificeren tegen welke persoon of organisatie Sigint wordt ingezet. [Voetnoot 10: Toezichtsrapport van de CTIVD nr. 26 inzake de rechtmatigheid van de uitvoering van de inlichtingentaak buitenland door de AIVD, Kamerstukken II 2010/11, 29 924, nr. 68 (bijlage), § 5.4, beschikbaar op www.ctivd.nl.] In toezichtsrapport 28 inzake de inzet van Sigint door de MIVD heeft de Commissie vervolgens het juridisch kader uitgewerkt voor het gehele proces van de verwerking van Sigint. Ook in dat toezichtsrapport was de Commissie genoodzaakt te concluderen, ditmaal ten aanzien van de MIVD, dat zij geen oordeel kon geven over de rechtmatigheid van de toepassing van artikel 27 omdat zij onvoldoende kennis draagt van de motivering. [Voetnoot 11: Toezichtsrapport van de CTIVD nr. 28 inzake de inzet van Sigint door de MIVD, Kamerstukken II 2011/12, 29 924, nr. 74 (bijlage), § 8.3.4, beschikbaar op www.ctivd.nl.]
De Commissie heeft in het onderhavige onderzoek de Sigint-operaties bestudeerd en komt tot dezelfde constateringen als in de toezichtsrapporten 19 en 26. Zij onthoudt zich dan ook opnieuw van een oordeel over de rechtmatigheid van de selectie van Sigint door de AIVD.

De Commissie zal in het volgende diepteonderzoek naar de inzet van de afluisterbevoegdheid en de bevoegdheid tot de selectie van Sigint door de AIVD nagaan in hoeverre de motivering van de selectie van Sigint is verbeterd. Zij stelt zich op het standpunt dat de AIVD, na het kader dat en de aanknopingspunten die de Commissie in met name de toezichtsrapporten 19 en 28 heeft gegeven, in staat moet zijn om de inzet van deze bevoegdheid afdoende te motiveren. De Commissie heeft vernomen dat een wijziging van de Wiv 2002 in de maak is waarin onder meer de bepalingen inzake de inzet van Sigintmiddelen zullen worden herzien. De Commissie ziet met belangstelling uit naar het voorstel voor de wetswijziging. Deze ontwikkelingen nemen evenwel niet weg dat de AIVD dient te voldoen aan de eisen die de huidige Wiv 2002 stelt aan de selectie van Sigint."

Toezichtsrapport 35 - periode sep 2010 - aug 2011

Van pagina 4-8:
"Het aantal operaties in het kader waarvan artikel 27 Wiv 2002 is ingezet is gedurende de periode van september 2011 tot en met augustus 2012 vrijwel constant gebleven. Ten opzichte van de voorafgaande periode van september 2010 tot en met augustus 2012 is een beperkte toename waar te nemen. Het gebruik van de bevoegdheid tot selectie op basis van ongericht ontvangen niet-kabelgebonden telecommunicatie (hierna: de selectie van Sigint) is betrekkelijk gering ten opzichte van de bevoegdheid ex artikel 25 Wiv 2002.

[...]

In het voorgaande toezichtsrapport inzake de toepassing van de afluisterbevoegdheid en de selectie van Sigint, toezichtsrapport nr. 31, heeft de Commissie zich onthouden van een oordeel over de rechtmatigheid. [Voetnoot 11: Toezichtsrapport van de CTIVD nr. 31 [...], Kamerstukken II 2011/12, 29 924, nr. 86 (bijlage), § 3.2, beschikbaar op www.ctivd.nl.] Wel gaf zij aan dat in het volgende diepteonderzoek naar de inzet van de afluisterbevoegdheid en de bevoegdheid tot de selectie van Sigint door de AIVD, dat wil zeggen het onderhavige onderzoek, de Commissie zal nagaan in hoeverre de motivering van de selectie van Sigint is verbeterd.

In het onderhavige toezichtsrapport heeft de Commissie één specifieke operatie waarin de selectie van Sigint is toegepast nader onderzocht. Zij geeft derhalve geen oordeel over de rechtmatigheid van de toepassing van de selectie van Sigint in het algemeen.
De samenhang met een andere operatie waaraan de Commissie in dit diepteonderzoek in het bijzonder aandacht heeft besteed, heeft haar doen besluiten om ook de selectie van Sigint hierbij te betrekken. De Commissie heeft in de door haar onderzochte operatie een aantal onrechtmatigheden geconstateerd. Daarnaast heeft de Commissie vastgesteld dat sprake is van onzorgvuldigheden ten aanzien van de motivering. De bevindingen in dit kader zijn weergegeven in paragraaf 6.

[...]

6 Toepassing van de bevoegdheid tot selectie van Sigint
De Commissie heeft een specifieke operatie waarin de bevoegdheid tot selectie van Sigint is toegepast nader onderzocht. De Commissie constateert dat binnen de onderzochte operatie Sigint is geselecteerd aan de hand van een groot aantal kenmerken dat betrekking heeft op personen en organisaties. Door middel van selectie aan de hand van deze kenmerken tracht de AIVD informatie te verzamelen. Deze kenmerken zijn ingedeeld in verschillende categorieën. De Commissie constateert dat iedere categorie betrekking heeft op een organisatie en dat onder een bepaalde categorie alle kenmerken zijn geschaard die (zijdelings) zijn gerelateerd aan de betrokken organisatie. De verschillende organisaties worden door de AIVD als belangrijk knooppunt van informatie gezien.

De Commissie heeft zich in het onderhavige rapport geconcentreerd op één van deze categorieën. Zij stelt vast dat onder deze categorie een substantieel aantal kenmerken is gevat waarbij ter motivering enkel is aangegeven dat het een telecommunicatiekenmerk betreft dat toebehoort aan een bepaalde persoon gelieerd aan een organisatie. Een aantal van deze kenmerken behoort toe aan een bijzondere categorie personen onder wie (beperkt) verschoningsgerechtigden. De Commissie constateert dat een motivering die is toegesneden op het individuele kenmerk in het geheel ontbreekt en dat evenmin een motivering is opgenomen waarin door de AIVD aandacht is besteed aan het feit dat het in bepaalde gevallen gaat om een bijzondere categorie personen. De Commissie acht dit onzorgvuldig. De Commissie sluit niet uit dat in een aantal gevallen een adequate motivering wel mogelijk zou zijn geweest en dat aldus sprake is van een tekortkoming op het procedurele vlak zonder dat er sprake is van een inhoudelijk ontoelaatbare inzet van artikel 27 Wiv 2002. Zij is evenwel van oordeel dat in een substantieel aantal andere gevallen een adequate motivering niet mogelijk was, zodat de toepassing van artikel 27 Wiv 2002 ten aanzien van deze kenmerken als onrechtmatig moet worden aangemerkt. Deze onrechtmatigheid is gelegen in de bijzondere categorie personen jegens wie de bijzondere bevoegdheid is toegepast. De Commissie beveelt aan dat de uit de operatie voortgekomen gegevens ten aanzien van deze gevallen ingevolge artikel 43 Wiv 2002 worden verwijderd en vernietigd.

De Commissie stelt voorts vast dat de kenmerkenlijst ten aanzien van deze categorie in de loop der tijd niet of nauwelijks is veranderd ondanks dat veel van deze kenmerken nauwelijks of geen opbrengst hebben opgeleverd. De afwezigheid van enige opbrengst kan zijn gelegen in de aard van het middel Sigint. De communicatie kan door het bereik van de satellietschotels niet intercepteerbaar zijn. De Commissie acht het acceptabel de kenmerken te handhaven mits op gezette tijden wordt heroverwogen of handhaving van de desbetreffende kenmerken nog steeds voldoet aan de wettelijke vereisten voor de toepassing van de bijzondere bevoegdheid en deze heroverweging schriftelijk wordt vastgelegd. Voor zover de selectie van bepaalde kenmerken wel communicatie heeft opgeleverd maar deze communicatie niet relevant bleek te zijn dient de AIVD deze kenmerken uit de Sigint-last te halen.

De Commissie constateert dat de AIVD ten aanzien van de proportionaliteit en subsidiariteit in de aanvraag overweegt dat de toepassing van selectie van Sigint de AIVD in staat stelt om op een betrekkelijk eenvoudige en efficiënte manier inlichtingenmatig onderzoek te verrichten waarbij het afbreukrisico beperkt blijft, zeker in vergelijking tot andere bijzondere bevoegdheden. Hieruit concludeert de AIVD dat de selectie van Sigint ruimschoots aan de principes van subsidiariteit en proportionaliteit voldoet. In het verlengde van wat de Commissie in dit verband heeft opgemerkt in paragraaf 4 van dit toezichtsrapport is de Commissie van oordeel dat niet afdoende is gemotiveerd dat is voldaan aan de vereisten van proportionaliteit en subsidiariteit. Zo komt de belangenafweging tussen het na te streven doel en het nadeel voor de betrokken persoon, welke wordt vereist door artikel 31, derde lid, Wiv 2002 niet tot uiting in de motivering van de aanvraag. Dit geldt eveneens voor de overweging dat niet met een minder ingrijpende bevoegdheid kon worden volstaan zoals vereist door artikel 32 Wiv 2002, waarbij de specifieke omstandigheden van de betrokken persoon dienen te worden betrokken en het afbreukrisico geen rol speelt. De Commissie is van oordeel dat dit onzorgvuldig is."



EOF

Thursday, February 13, 2014

[Dutch] Metadata: de cie-Dessens had het min of meer al begrepen!

UPDATE 2014-02-16: citaten toegevoegd uit werk van Anton Ekker uit 2003 en uit werk van Bert-Jaap Koops uit 2013 over de privacygevoeligheid van verkeersgegevens. Take-away: behalve over verzameling van verkeersgegevens moet het debat ook gaan over analyse, koppeling en ander gebruik van de verkeersgegevens waarbij sprake kan zijn van toenemende privacygevoeligheid. Het onderscheid tussen verkeersgegevens en inhoud is in toenemende mate problematisch, en sommige verkeersgegevens verdienen bescherming onder Art.13 Gw (correspondentiegeheim).

In maart wordt de kabinetsreactie verwacht op het in december verschenen rapport van de Commissie Dessens (.pdf) met de evaluatie van de WIV2002. Met alle recente mediaberichten over metadata en de toenemende privacygevoeligheid van zulke gedragsgegevens is het goed om eraan te herinneren dat ook cie-Dessens hier al enige aandacht aan had besteed in haar rapport --- wellicht met dank aan Bits of Freedom, die ook zijn geraadpleegd door de commissie (p.83; vetgedrukte markering is van mij):
Op basis van de artikelen 28 en 29 kunnen de diensten verkeers- en abonneegegevens opvragen bij aanbieders van openbare telecommunicatienetwerken en -diensten. De AIVD en de MIVD hebben daarvoor geen toestemming van hun minister nodig. De bevoegdheid is rechtstreeks in handen van het hoofd van de dienst gelegd (artikel 28) of het verzoek mag door of namens het hoofd van de dienst worden gedaan (artikel 29). Voor in het bijzonder de bevoegdheid als bedoeld in artikel 28 geldt dat deze door de diensten veelal wordt ingezet ter voorbereiding op de inzet van de bevoegdheid om gericht telecommunicatie af te tappen (artikel 25). Bij het opvragen van abonneegegevens op basis van artikel 29 zal de inbreuk op de privacy oppervlakkig zijn. De inbreuk zal veelal ook nog beperkt zijn als verkeersgegevens worden opgevraagd op basis van artikel 28. Om die reden ziet de evaluatiecommissie vooralsnog geen aanleiding om voor dergelijke verzoeken een hoger toestemmingsniveau aan te bevelen.
De evaluatiecommissie wil er echter wel op wijzen dat tegenwoordig meer dan voorheen wordt aangenomen dat het opvragen van verkeersgegevens (direct of indirect) inzicht kan geven in de persoonlijke levenssfeer van burgers. Dat is bijvoorbeeld denkbaar als van een gebruiker veel en verschillende soorten telecommunicatiegerelateerde gegevens worden opgevraagd over een langere periode. Daardoor zou een breder beeld kunnen worden verkregen van bepaalde communicatie- en/of gedragspatronen van een persoon, waardoor een verdergaande inbreuk wordt gemaakt op de persoonlijke levenssfeer. Als door het uitoefenen van de bevoegdheid van artikel 28 zodanig structureel verkeersgegevens in kaart worden gebracht dat dit leidt tot een dergelijke verdergaande inbreuk op de privacy, geeft de evaluatiecommissie in overweging om te onderzoeken of daaraan nadere voorwaarden zouden moeten worden gesteld.
De vraag is: hoe moet dit uitwerken in de nieuwe Wiv? Is het voor de dienst werkbaar als ook Artikel 28 onder Ministeriële toestemming zou vallen? Dat zou in elk geval een instrument opleveren (toestemmingsverzoeken) waarmee de CTIVD structureel toezicht kan houden. Dat toezicht op basis van toestemmingsverzoeken werkt weliswaar niet goed bij Artikel 27-3 (SIGINT-selectie; selectie op identiteit, nummer of technisch kenmerk na ongerichte interceptie van niet-kabelgebonden communicatie), maar (voor ten minste de AIVD) wél voor Artkel 25 (gerichte interceptie).

Anton Ekker legt in het hoofdstuk "Publiekrechtelijke bescherming van verkeersgegevens" van de publicatie Verkeersgegevens - Een juridische en technische inventarisatie (.pdf, 2003) uit waarom verkeersgegevens privacygevoelig zijn:

4 VERKEERSGEGEVENS EN PRIVACY
Waarom zijn verkeersgegevens eigenlijk privacygevoelig? Het antwoord op deze vraag houdt verband met de mogelijkheid om verkeersgegevens te koppelen aan andere feitelijke gegevens en persoonsgegevens. Zodoende kan men veel te weten komen over het communicatiegedrag van personen, hun feitelijk handelen en soms ook over de inhoud van de communicatie. Er zijn globaal drie stadia te onderscheiden:
  1. ‘Ruwe’ verkeersgegevens: de gegenereerde gegevens bevinden zich in het systeem van de transporteur maar zijn nog niet gekoppeld aan persoonsgegevens. Zij kunnen betrekking hebben op alle objecten die zijn weergegeven in de rechterkolom van tabel 1. Blijkens de definitie van verkeersgegevens in artikel 2 sub b van de richtlijn kunnen lokatiegegevens slechts als verkeersgegevens worden aangemerkt voor zover zij zijn verwerkt voor het overbrengen van communicatie of voor facturering. Deze zinsnede roept vragen op. Wat is bijvoorbeeld de status van lokatiegegevens die worden gegenereerd wanneer de eindapparatuur op stand-by staat? Men zou kunnen stellen dat deze lokatiegegevens niet worden verwerkt voor ‘het overbrengen van communicatie’, maar om contact te houden met het netwerk. De richtlijn geeft echter nergens uitsluitsel over de vraag of deze gegevens verkeersgegevens zijn en of zij onder het communicatiegeheim vallen.
  2. Verwerkte verkeersgegevens: de verkeersgegevens zijn gekoppeld aan identificerende gegevens, bijvoorbeeld voor het doeleinde van facturering. Nu zeggen ze iets over het (communicatie)gedrag van een bepaalde zender en ontvanger. De nummers of adressen staan immers op naam van bepaalde personen. Voorbeelden:

    • Alice heeft Bob om zes uur ’s avonds opgebeld.
    • Alice heeft Bob om tien uur ’s ochtends een e-mail gestuurd.
    • Alice en Bob hebben van 2 tot 3 uur ’s middags samen deelgenomen aan een chat-sessie.

    In het geval van mobiele communicatie is bovendien te achterhalen vanaf welke plaats is gecommuniceerd:

    • Alice heeft Bob om 3 uur ’s middags opgebeld vanaf Den Haag Centraal Station, terwijl Bob zich bevond op het Museumplein te Amsterdam en zich verplaatste richting het Leidseplein.
     
  3. Verkeersgegevens gecombineerd met andere gegevens: de verwerkte verkeersgegevens worden gecombineerd met aanvullende informatie over zender of ontvanger. Soms kan zodoende worden vastgesteld wat (ongeveer) de inhoud van de communicatie is geweest:

    • Alice heeft gebeld met haar advocaat, haar psycholoog, het ziekenhuis, de nummerinformatie van de PTT, de Sociale Dienst, het Bureau Kredietregistratie,of het alarmnummer van de brandweer.
    • Alice heeft ingelogd op de website van Alcoholics Anonymous en deelgenomen aan een chatsessie.
    • Alice heeft ingelogd op de website van de gemeente Amsterdam en op een bulletin-board kritiek geuit op het parkeerbeleid van de gemeente.
    • Alice heeft van de website van een politieke partij het partijprogramma gedownload en een folder besteld waarmee zij lid kan worden van die partij.
Bij het Wiv-debat moet het dus niet alleen gaan over verzameling van gegevens maar ook over de analyse, koppeling en ander gebruik van verzamelde gegevens, aangezien hierbij sprake kan zijn van toenemende privacygevoeligheid.

Ook relevant is de vraag of verkeersgegevens onder bescherming van Artikel 13 Grondwet (correspondentiegeheim) zouden moeten vallen. "Van oudsher vallen verkeersgegevens volgens de grondwetgever niet onder de reikwijdte van artikel 13 Gw", aldus Bert-Jaap Koops in Juridische kwalificatie van verkeersgegevens in het licht van artikel 13 Grondwet (.pdf, 2013). De cie-Dessens stelt met dat argument dat Art.28 WIV2002 niet onder Ministeriële toestemming hoeft te vallen. Koops stelt het volgende over het onderscheid tussen inhoud en verkeersgegevens (p.51):
[...]

Los van de vraag of verkeersgegevens, als onderdeel van het communicatieproces, als zodanig wel of niet beschermwaardig onder artikel 13 Gw worden geacht, is de vraag wat er precies onder ‘verkeersgegevens’ en ‘inhoud’ moet worden verstaan. Onder de ‘inhoud’ van communicatie kan worden verstaan dat deel van de communicatie dat valt onder de verantwoordelijkheid van de verzender of ontvanger (en niet van de transporteur). Verkeersgegevens zijn gegevens die vallen onder de verantwoordelijkheid van de transporteur (als transporteur). Gelet op de ratio van bescherming door artikel 13 Gw vallen onder inhoud ook (verkeers)gegevens die de strekking weergeven van (een deel van) datgene wat valt onder de verantwoordelijkheid van de verzender of ontvanger.

[...]

[...] In beginsel is een tweeledig afbakeningscriterium te formuleren dat juridisch voldoende abstractieniveau heeft en dat inhoudelijk goed werkt om de kern van het onderscheid tussen inhoud en verkeersgegevens te duiden. Het hoofdcriterium is onder wiens verantwoordelijkheid de gegevens vallen: inhoud is datgene wat onder verantwoordelijkheid van de verzender valt; verkeersgegevens zijn gegevens die onder verantwoordelijkheid van de transporteur (als transporteur) vallen. Het nevencriterium is dat verkeersgegevens die (juridisch-)technisch onder het begrip verkeersgegevens vallen, onder artikel 13 Gw als inhoud moeten worden behandeld wanneer zij de strekking weergeven van (een deel van) datgene wat valt onder de verantwoordelijkheid van de verzender. Het nevencriterium kan daarbij als volgt worden toegepast:
  • verkeersgegevens behorend bij telefonie die onder het beschermingsregime van verkeersgegevens vallen, kunnen limitatief worden opgesomd (bijvoorbeeld: nummer verzender/ontvanger, datum/tijdstip/duur, soort dienst); de overige telefoniegerelateerde verkeersgegevens vallen onder het beschermingsregime van inhoud; 
  • locatiegegevens bij mobiele telefonie vormen een sui generis-categorie die te contextafhankelijk is om in te delen naar inhoud/verkeersgegeven; hiervoor dient de wetgever een zelfstandige keuze te maken; 
  • verkeersgegevens behorend bij email die onder het beschermingsregime van verkeersgegevens vallen, kunnen limitatief worden opgesomd (bijvoorbeeld: emailadres verzender/ontvanger, datum/tijdstip, volume); de overige emailgerelateerde verkeersgegevens vallen onder het beschermingsregime van inhoud;
  • verkeersgegevens behorend bij Internet (met uitzondering van email) vallen integraal onder het beschermingsregime van inhoud.
Voor dit moment lijkt dit een indeling te bieden die recht doet aan de ratio van het correspondentiegeheim, voldoende abstractieniveau heeft vanuit het perspectief van de (grond)wetgever, en in de technisch-juridische werkelijkheid uitvoerbaar zou moeten zijn.
Koops is dus van mening dat "verkeersgegevens behorend bij Internet (met uitzondering van email)" onder Art.13 Gw moeten vallen. Verder stelt Koops dat een alternatief onderscheid kan worden gehanteerd, namelijk tussen gebruikersgegevens en communicatiegerelateerde gegevens:
In plaats van een onderscheid tussen verkeersgegevens en inhoud van communicatie, zou dan een onderscheid tussen gebruikersgegevens en communicatiegerelateerde gegevens gehanteerd kunnen worden om de reikwijdte van het correspondentiegeheim te omschrijven. Communicatiegerelateerde gegevens zijn gegevens die samenhangen met concrete communicatiehandelingen en raken daarom direct de vrijheid om vertrouwelijk te kunnen communiceren; deze vallen integraal onder artikel 13 Gw. Gebruikersgegevens zijn gegevens over het telecommunicatiegebruik in meer algemene zin: het betreft gegevens over de gebruiker, zoals welke telefoonnummers, emailadressen en IP-adressen iemand in gebruik heeft en factuurgegevens; ook geaggregeerde verkeersgegevens zouden onder het begrip ‘gebruikersgegevens’ kunnen worden geschaard. Deze gegevens raken de vrijheid vertrouwelijk te communiceren niet of nauwelijks, omdat ze niet samenhangen met concrete keuzes om gebruik te maken van een communicatiemiddel, en vallen daarom buiten de reikwijdte van artikel 13 Gw. Een onderscheid tussen communicatiegerelateerde gegevens en gebruikersgegevens zou voor de langere termijn een bruikbaarder afbakeningscriterium kunnen bieden dan een onderscheid tussen (niet inhoudgerelateerde) verkeersgegevens en inhoud van communicatie.
Afsluitend blikt Koops vooruit op de toekomst:
Tot slot moet echter ook een tweede kanttekening worden geplaatst, namelijk dat Internetcommunicatie niet langer een fenomeen is dat zich uitsluitend in de relationele privacy van het correspondentiegeheim laat vangen. Het Internet is verknoopt met alle aspecten van wat burgers zijn en doen, en dat zal met de ontwikkeling van het Internet der dingen alleen maar toenemen. Internetcommunicatie biedt een steeds indringender inzicht in de persoonlijke levenssfeer, ook zonder dat kennis wordt genomen van inhoud; daarnaast zijn inmiddels ook opgeslagen gegevens (die losstaan van communicatie in de zin van relationele privacy) kwetsbaar voor kennisneming door derden. Informatie- en communicatietechnologie roept aldus vragen op over grondwettelijke bescherming van niet alleen de relationele privacy, maar ook de ruimtelijke en lichamelijke privacy. Het is daarom de vraag of er nog voldoende reden is om inhoud van communicatie als een zelfstandige categorie met meer egards te behandelen dan andere vormen van privacygevoelige gegevens in het digitale tijdperk. Voor de kortere termijn heeft het wellicht nog zin om communicatie-inhoud – met inbegrip van verkeersgegevens die nauw verband houden met die inhoud – bijzondere bescherming te verlenen ten opzichte van andere vormen van digitale kwetsbaarheid. Voor de langere termijn – en dat is een termijn die past bij het perspectief van de grondwetgever – is het ook noodzakelijk om de systematiek van de privacygrondrechten over de hele linie opnieuw te doordenken, om effectief tegenwicht te bieden aan alle nieuwe vormen waarin de overheid zicht kan krijgen op de persoonlijke levenssfeer van burgers.
De bevindingen van Koops verdienen een plaats in het Wiv-debat over verkeersgegevens. Dat verkeersgegevens minder privacygevoelig zijn dan (ook) de inhoud, zal in veel gevallen kloppen. Maar laat het debat niet defused raken door opmerkingen als "het zijn maar verkeersgegevens". Laten we in plaats daarvan gebruik maken van de opening die de cie-Dessens biedt in diens kanttekening bij Artikel 28. 

EOF