UPDATE 2014-01-09: nieuwe post toegevoegd met de tien handvatten voor het balanceren van veiligheid en privacy.

In 2007 verscheen het rapport Veiligheid en privacy – Een zoektocht naar een nieuwe balans (.pdf, 2007, Muller, Kummeling en Bron; mirror), waarbij het CBP een speciale conferentie organiseerde. Het rapport bevat een discussie van tien stellingen vanuit het privacyperspectief en tien stellingen vanuit het veiligheidsperspectief.

De stellingen zijn (bijvoorbeeld) handig ter inspiratie en raadpleging voor het debat over vernieuwing van de Wet op de inlichtingen- en veiligheidsdiensten van 2002 (Wiv2002). Eén van de auteurs, E.R. Muller, is trouwens ook lid van de cie-Dessens die de Wiv2002 in het afgelopen jaar heeft geëvalueerd. Om die reden citeer ik hieronder alle stellingen, en bij elk van de stellingen de consequenties die de stelling heeft voor veiligheid en veiligheidsbeleid (voor de stellingen vanuit privacyperspectief) of voor privacy en privacybeleid (voor de stellingen vanuit veiligheidsperspectief).

Deze stellingnames zijn onder meer relevant in het toezichtsvraagstuk. Ter herinnering: is de status quo is dat het toezicht op SIGINT faalt.

De roodgemarkeerde delen acht ik persoonlijk het meest relevant voor het debat over de Wiv-vernieuwing, specifiek: de wettelijke inkadering van de hackbevoegdheid (Art. 24 Wiv2002), de afluisterbevoegdheid (Art.25 Wiv2002) en de SIGINT-bevoegdheden (Art.26/27 Wiv2002).

Stellingen P1 t/m P10 zijn vanuit het privacyperspectief, stellingen V1 t/m V10 zijn vanuit het veiligheidsperspectief.

In een volgende post volgen de tien handvatten die Muller, Kummeling en Bron in hun rapport geven voor de balans tussen veiligheid en privacy.

Het privacyperspectief

P1. Privacy is een basisvoorwaarde voor het functioneren van een democratische rechtsstaat

Consequenties voor veiligheid en veiligheidsbeleid:
– In het kader van de zoektocht naar de balans tussen privacy en veiligheid dient de privacy net zo’n dominant perspectief als veiligheid te zijn omdat dit de beste garantie biedt op een discussie met respect voor behoud van noodzakelijke vrijheden.
– Anders dan sommige politici beweren gaat veiligheid niet per se boven privacy. Het benadrukken van het belang van privacy is het benadrukken van vertrouwen in de rechtsstaat.

P2. Privacy en veiligheid zijn keerzijden van dezelfde medaille

Consequenties voor veiligheid en veiligheidsbeleid:
– Bij veiligheidsbevorderende maatregelen dient beseft te worden dat de maatregelen op zichzelf kunnen aantasten wat zij beogen te beschermen.
– Vrijheid is een meerduidig begrip en betekent niet alleen ‘afwezigheid van terrorisme’. Inbreuken op vrijheden dienen zo gering mogelijk te zijn, vanuit welk perspectief ook bekeken.

P3. Privacy blijft, want privacybesef en -behoefte zijn diepgeworteld in de samenleving

Consequenties voor veiligheid en veiligheidsbeleid:
– Het beroep op de publieke opinie (‘de burgers willen het’) legitimeert niet in algemene zin privacybeperkende maatregelen.
– Pas na een uitvoerig publiek (parlementair) debat, waarna burgers daadwerkelijk geïnformeerd kunnen zijn over de inhoud van bepaalde maatregelen en na daadwerkelijke, verantwoorde, raadpleging van burgers kan de stelling worden betrokken ‘dat het volk het wil’.
– Helderheid over de omvang van privacybeperking is nodig: in voorstellen wordt wel benadrukt wat men ‘wint’ (veiligheid) maar niet wat men ‘verliest’ (vrijheid). Er dient aandacht te komen voor het gegeven dat wat de samenleving als geheel verliest, misschien groter is dan wat de samenleving wint.

P4. Bij discussies over privacy en veiligheid is nuancering noodzakelijk

Consequenties voor veiligheid en veiligheidsbeleid:
– Privacy is niet lastiger te definiëren dan andere grondrechten en is net als andere grondrechten onderwerp van afwegingen.
– De veiligheidsclaim verdient nuancering: niet elke veiligheidsbehoefte vergt vergaande inbreuken op het grondrecht privacy.

P5. Uitgangspunt bij het denken over privacy in Nederland dient niet zozeer de Grondwet te zijn, als wel het EVRM

Consequenties voor veiligheid en veiligheidsbeleid:
– Bij de motivering van privacybeperkende maatregelen zal sterker gelet moeten worden op proportionaliteit en subsidiariteit. Daarbij gaat het er niet alleen om dat een grotere dreiging een zwaarder ingrijpen rechtvaardigt, maar ook dat een zwaarder ingrijpen een steviger motivering en meer waarborgen vereist.
– Gelet op het primaat van de vrijheid zal op degenen die inbreuken willen maken op de vrijheid omwille van de veiligheid de bewijslast van de noodzaak daartoe moeten liggen.

P6. De nuchtere noodzakelijke afweging van belangen, i.h.b. de proportionaliteit, staat te zeer onder de invloed van de dreiging van terrorisme

Consequenties voor veiligheid en veiligheidsbeleid:
– Bij privacybeperkende maatregelen, zouden beperkte strekking, tijdelijkheid en evaluatie steeds het uitgangspunt moeten zijn
– De vaststelling van de proportionaliteit en subsidiariteit van inbreuken is geen taak voor inlichtingen- en veiligheidsdiensten. Zij vragen om een diepgaand publiek (politie, parlementair) debat.

P7. De huidige (informationele) privacybescherming staat niet in de weg aan een effectieve bestrijding van terrorisme

Consequenties voor veiligheid en veiligheidsbeleid:
– Er kan niet op voorhand worden gesteld dat uitbreiding van bevoegdheden met betrekking tot de garing en verwerking van gegevens nodig is: de wet biedt al voldoende mogelijkheden.
– Met het oprekken van bestaande wetgeving in de praktijk moet worden opgepast. Het inzetten van AIVD-informatie in het strafrecht is een voorbeeld van een grens die bereikt wordt, immers voor het verzamelen van AIVD-informatie is geen redelijk vermoeden van schuld nodig.
– Juist omdat er zoveel mogelijk is, zal de gegevensverwerking transparant en controleerbaar moeten zijn en daarvoor zijn vele verbeteringen mogelijk. Zie ook stelling 8.

P8. Privacybeperkende maatregelen en technieken hebben onvermijdelijk ongewenste neveneffecten

Consequenties voor veiligheid en veiligheidsbeleid:
– De huidige veiligheidspolitiek kent een aantal ongewenste neveneffecten, die deels kunnen worden voorkomen door de balans met privacy te zoeken.
– Veiligheidsbeleid dreigt te worden gebaseerd op verouderde gegevens en kan verregaande consequenties voor onschuldige burgers hebben.
– Veiligheidsbeleid wordt zwaar belast door de noodzaak nieuw verkregen informatie te onderzoeken. De focus op het kernprobleem dreigt daardoor verloren te gaan.
– Er zal verschuiving van criminaliteit plaatsvinden die erop gericht is toegang te krijgen tot de over het individu opgeslagen informatie.

P9. De extra complexiteit van de bescherming van de informationele privacy vereist dat er ruim baan wordt gegeven voor de onafhankelijke toezichthouder, het CBP

Consequenties voor veiligheid en veiligheidsbeleid:
– Gelet op het belang van grondrechten voor de democratische samenleving (stelling 1) en het feit dat privacy en veiligheid de keerzijden van dezelfde medaille vormen (stelling 2) dient het CBP in een zo vroeg mogelijk stadium van het wetgevingsproces te worden ingeschakeld en dient het ruim baan te krijgen voor het weergeven van standpunten in het politieke en publieke debat.

P10. Het probleem is niet de noodzaak tot extra informatie, maar de onmogelijkheid om de reeds beschikbare info op een zinvolle wijze te gebruiken

Consequenties voor veiligheid en veiligheidsbeleid:
– Veiligheidsinstanties dienen bereid te zijn de kwaliteit van hun eigen interne organisatie en de mogelijkheden van verbetering daarin te betrekken bij de afweging of extra bevoegdheden noodzakelijk zijn.

Het veiligheidsperspectief

V1. Veiligheid blijft

Consequenties voor privacy en privacybeleid:
– Veiligheid zal een van de belangrijkste zorgen van de burgers blijven. Veiligheid zal nooit volledig zijn.
– Subjectieve onveiligheid is dominant zichtbaar in het dagelijks leven van burgers. Subjectieve privacyschending is net zo actueel, maar wordt niet direct gevoeld.
– Privacy zal ook komende jaren onder druk blijven staan door constante en intensieve aandacht voor veiligheid. Privacy vormt geen grote zorg voor de burgers. Privacybeperkingen ten behoeve van veiligheid worden door burgers niet zichtbaar als ernstig ervaren. Individuele burgers worden zelf nauwelijks direct geconfronteerd met ongewenste beperkingen van privacy.

V2. Veiligheid wordt breder en integraler

Consequenties voor privacy en privacybeleid:
– Privacy staat niet alleen in relatie tot sociale veiligheid maar ook in relatie tot fysieke veiligheid. Fysieke veiligheidsrisico’s en privacyschendingen zijn geen onderwerp van discussie.
– Een breed concept veiligheid zal meer intensief koppelen van informatie betekenen en dus verzamelen, analyseren en verspreiden van meer informatie. De toegankelijkheid van alle verzamelde informatie wordt intensiever en gaat over de grenzen van sectoren heen. De rol van informatieverzamelaars en beheerders van bestanden wordt steeds crucialer.

V3. Veiligheid is informatie en technologie

Consequenties voor privacy en privacybeleid:
– Informatie is macht in het veiligheidsbeleid. De grote rol van informatie binnen veiligheidsbeleid maakt privacy cruciaal.
– Subjectiviteit van onveiligheid is cruciaal, datzelfde kan gesteld worden ten aanzien van de subjectiviteit van privacyschendingen. De relatie tussen mediaberichtgeving en privacy is cruciaal voor de beeldvorming van privacybeleid. Er is te weinig bekend bij media en burgers over privacy en privacyschendingen en er is geen privacymonitor in de veiligheidssector.
– De mogelijkheden voor rechtsbescherming tegen privacyschendingen zijn moeizaam en beperkt. Het CBP heeft het officiële monopolie op privacybescherming; andere (overheids) instanties voelen zich daardoor niet verantwoordelijk en particuliere instanties spelen geen of een beperkte rol.

V4. Veiligheidszorg is management van verwachtingen

Consequenties voor privacy en privacybeleid:
– Privacy is ook management van verwachtingen; privacybeleid doet niets aan management van verwachtingen. Er is geen goed zicht op de feitelijke verwachtingen van burgers ten aanzien van privacy.
– Politici, politie en justitie doen onjuiste uitspraken over privacy en veiligheid. Er bestaat te weinig kennis bij deze groepen over precieze mogelijkheden en echte beperkingen. Politici die aangeven dat niet iedere privacybescherming moet worden opgegeven in de strijd voor veiligheid zijn schaars.
– Er is geen gedeeld beeld van een acceptabel privacyniveau bij welke dreiging van veiligheid, zowel op micro- als op macroniveau. Er is geen gedeeld beeld van privacyrisico’s bij burgers, bedrijven, politiek, bestuur en ambtenaren.

V5. Veiligheidszorg is big business

Consequenties voor privacy en privacybeleid:
– Financiële belangen maken dat het bon ton is om je af te zetten tegen privacy. Privacy kost velen geld; het streven is dure privacy te minimaliseren. Aan privacybescherming is geen geld te verdienen: privacy is very small business. Weinigen zijn financieel afhankelijk van privacybescherming.
– Er is geen concurrentie tussen privacybeschermers; er is een monopolie.
– Veiligheid is een product; onduidelijk is of dat ook van privacy gezegd kan worden.

V6. Veiligheidszorg betekent steeds meer en verdergaande bevoegdheden voor veiligheidsorganisaties

Consequenties voor privacy en privacybeleid:
– De groei van bevoegdheden in het kader van veiligheidsbeleid zal doorgaan evenals de roep om beperking van privacy.
– In de praktijk bestaat er een grondrecht op veiligheid. Het formele grondrecht op privacy vinden burgers minder belangrijk dan het feitelijke grondrecht op veiligheid.
– Er is weinig onderzoek naar de effectiviteit van de ‘veiligheidsbevorderende’ bevoegdheden alsmede naar het werkelijke effect van meer bevoegdheden op de privacy.
– Er is geen ondergrens gedefinieerd van privacybescherming bij stijgende onveiligheid. De mogelijkheden van tijdelijke privacybeperkingen zijn niet goed in beeld gebracht.

V7. Veiligheidszorg is een brede verantwoordelijkheid

Consequenties voor privacy en privacybeleid:
– Bij privacybescherming past ook geen overheidsmonopolie. Burgers en bedrijven moeten een eigen verantwoordelijkheid hebben ten aanzien van privacybescherming zodat privacybescherming – net als veiligheid – een brede verantwoordelijkheid voor velen wordt.
– Privacybescherming wordt te veel extern opgelegd en is te weinig een eigen norm.
– Er wordt te weinig aandacht besteed aan en er zijn te weinig voorzieningen voor de preventie van privacyschendingen. Organisaties kunnen maar beperkt advies vragen hoe verantwoord om te gaan met privacy in relatie tot veiligheid.

V8. Veiligheidszorg is lokaal en internationaal

Consequenties voor privacy en privacybeleid:
– Privacybescherming is net als veiligheidsbeleid niet alleen lokaal en nationaal maar ook internationaal. Privacynormen zouden een meer internationaal karakter moeten hebben.
– Er is te weinig inzicht in de wijze waarop de relatie privacy en veiligheid in andere landen vorm is gegeven en er bestaat te weinig beeld over de verschillen en overeenkomsten in de waarde die aan privacy wordt gehecht in de verschillende landen; het ontbreekt aan een helder vergelijkende studie.
– De bestaande internationale instrumenten, zoals OESO-richtlijnen, Verdrag van Straatsburg, EU-richtlijnen, zijn vooral gericht op het faciliteren van gegevensuitwisseling in het kader van economisch verkeer of het toezicht op het vreemdelingenverkeer (Schengen-SIS). De relatie veiligheid en privacy is op internationaal niveau nog onvoldoende doordacht.

V9. Nederlands veiligheidsbestel is onvolkomen

Consequenties voor privacy en privacybeleid:
– Veranderingen in het veiligheidsbestel hebben consequenties voor de privacybescherming. De complexiteit van de samenwerking stelt specifieke eisen aan de privacybescherming. Het veiligheidsbestel moet aansluiting zoeken bij het privacybestel.
– Privacybescherming speelt ten onrechte geen rol in het debat over het veiligheids- en politiebestel.
– Privacybescherming moet zich ook richten op andere organisaties in de veiligheidsketen en op de verschillende fasen in de veiligheidsketen.

V10. Veiligheid en veiligheidszorg zijn cruciale indicatoren voor de kwaliteit van een samenleving

Consequenties voor privacy en privacybeleid:
– Privacy en privacybeleid zijn tevens cruciale indicatoren voor de kwaliteit van een samenleving.
– Er bestaat een balans tussen het belang van veiligheid en van privacy afhankelijk van de specifieke situatie en tijdstip.
– Er is behoefte aan een algemene privacyindicator waarmee wordt aangegeven welke activiteiten worden verricht om de privacy te realiseren.

EOF

On Wednesday November 27th 2013 at SPUI25 in Amsterdam, a symposium took place entitled “NSA: vadertje staat, beschermt u wel?” (English: “NSA: the friendly govt that protects you?”). These were the speakers:

• Simon Davies (privacy advocate, founder of Privacy International, guest at the University of Amsterdam until April 2014);
• Marieke de Goede (Professor of Politics at the University of Amsterdam);
• Christiaan Alberdingk Thijm (lawyer, founding partner of bureau Brandeis);
• Nico van Eijk (Professor of Media and Telecommunications Law at the University of Amsterdam).

I could not attend the symposium myself, but fortunately Jeroen van der Ham was kind enough to keep notes, and to let me publish those. One of the more remarkable paragraphs:

Simon [Davies] calls for aggressive action, civil disobedience, to destroy the infrastructure that makes this possible. We have moved beyond institutional solutions, and harder measures are required.

Here are Jeroen’s full notes:

The evening takes place in a packed SPUI25 in Amsterdam, with many young interested law students, and other curious attendees. After a brief introduction by prof. Nico van Eijk, Simon Davies takes the stages and enlightens us on how we got here.In 1976 it all started in a hotelroom in the famous hotel of Watergate. The Church commission investigated the approach of the NSA and concluded that the NSA was engaged in unlawful activities, and oversight was lacking. There was little public outcry when it became clear that the NSA would stop spying on American citizens.

In 1982 the novel The Puzzle Palace was published detailing many of the goings on inside the NSA. Again there was almost no outcry. In 1988 The New Statesman published a column describing the existence of the ECHELON program. December 1997, Simon Davies (finally) published the column “Spies like US”, which warns about the extent of the ECHELON program in Europe. This finally lead to a EU report in 2001, published just before the summer break, which was consequently largely ignored. Summarizing, there has been almost no political or journalistic covering of these affairs, until now. Snowden embodies two important pillars on which a strong journalistic covering of the NSA affair can be built:

1. Snowden is an interesting `dramatis persona`, his past and future are very much unclear, and his present is the stuff of spy novels.
2. The media very much owns this story. Snowden has worked with journalists who know own the files, and there is nothing that prevents this story from coming out further, or to be questioned.

This is very much in contrast with the revelations published by the Observer based on interviews with Wayne Madsen. A crafted barrage of critique on the person and the source made the Observer pull the story, just a day after it published it on its front page.

Simon concludes that the world has changed. In 1976 the intelligence agencies were like angels/demons who would sweep in on the world to grab bits and pieces of intelligence. In 2001 this changed into large silos of data that the agencies sifted through, yet there was no exchange of data on a large scale.

Now in 2013 the world is enveloped in a large matrix of surveillance, with frequent exchange of information between almost all intelligence agencies.

Simon calls for aggressive action, civil disobedience, to destroy the infrastructure that makes this possible. We have moved beyond institutional solutions, and harder measures are required.

Marieke de Goede draws a parallel with the Terrorism Financing Tracking Program (TFTP) which was revealed in 2006 when it became clear that SWIFT was secretly sharing all finance information with the US intelligence agencies.

In the US the public outcry over this died down quickly when it became clear that most US citizens were not affected, only if they transferred money to foreigners.

Marieke argues that there are three important points in these kind of stories:

1. Shoot the messenger: the source is attacked as much as possible, be it the newspaper, the leaker, etc. This was obvious in the Snowden affaire. 
2. Focus on Analystics: Where is the data collected from and what is it used for. In PRISM and SYNAPSE it became clear that the NSA is “pulling an intelligence string” where they take one piece of intelligence and try to use their haystack to discover relations to others.
3. What can the concept of ‘Privacy’ do? After the TFTP affair the EU fought for a new agreement with the US regarding the financial transaction data.

It has now become clear that in practice the oversight has become effectively worthless. Finally Marieke points to an overview article by Bigo et al [0].

Just before the panel discussion Christiaan Alberdingk Thijm provides a summary of the lawsuit against the Dutch government. They wanted to litigate the NSA, but it is more realistic to target the AIVD/MIVD. They are targeting the exchange program the AIVD and MIVD have with the NSA where they receive illegally obtained intelligence. Their defense is that it is not common for agencies to ask where data comes from, meaning that agencies may obtain & use intelligence that was not collected in accordance with the rule of law [1].

In the suit they are asking that this exchange of illegally obtained information is stopped, any data gathered in this way is deleted, and to allow citizens inquiry into whether they were wiretapped. If the AIVD and MIVD are unsure about where data comes from, that they do not use it.

The panel discussion starts with an addition by Simon Davies saying that the whole matrix is the result of political risk aversion. The matrix may not be the best metaphor, Simon would welcome better suggestions.

He suggests that we look to technology to evade detection, and perhaps even go on the offensive to create uncertainty in surveillance. I remark that the technology activists are saying that technology (encryption) only postpones the problem, it does not eliminate it. We need a more widespread attack on this problem.

Oversight is probably not a solution. The FISA court has already shown to be virtually worthless, and the hard-fought arrangements regarding SWIFT are also practically useless since the NSA can either not provide an answer, or someone is a “nexus of terrorism”, in which case they will not answer either.

Even worse, the existence of these kind of arrangements can be seen as legitimization of the data collection!

It is pointed out that we are dealing with an international problem, with differing national laws. Christiaan also points to similar cases where the European Court decided that national security is not an end-all argument, e.g. the Klass case [2].

The question raises whether ‘terrorism’ is just an excuse, to which Simon answers that it is, but were it not for terrorism, then some other excuse would be found.

It was an interesting and lively debate, with unfortunately a slightly depressing outcome.

[0] http://www.ceps.eu/book/mass-surveillance-personal-data-eu-member-states-and-its-compatibility-eu-law
[1] https://www.aivd.nl/algemene-onderdelen/serviceblok/veelgestelde-vragen/#WaaromgebruiktdeAIVDinformatievanbuitenlandsedienstendiemisschiennietopeennettemanierisverkregen
[2] http://hub.coe.int/c/document_library/get_file?uuid=ec21d8f2-46a9-4c6e-8184-dffd9d3e3e6b&groupId=10227

EOF

UPDATE 2013-12-28: toegevoegd: de motie van Schouw (D66) over falend Art.27-toezicht, en de reactie van Plasterk daarop.

In het rapport van de cie-Dessens (.pdf) wordt zwaar geleund op (uitbreiding van de status quo van) toezicht door de CTIVD ter bescherming van democratische beginselen zoals privacy. Toestemmingsverzoeken die de diensten aan de Minister sturen voor inzet van afluister- en SIGINT-bevoegdheden spelen de hoofdrol in dit toezicht. De CTIVD toetst achteraf aan de hand van die verzoeken de inzet van de bijzondere bevoegdheden op noodzakelijkheid, proportionaliteit en subsidiariteit. Ik hoop dat de leden van de CTIVD voldoende kaas hebben gegeten van deze aspecten van het EVRM: per 1 januari 2014 bestaat de CTIVD uit een ex-korpschef, een ex-OvJ en een ex-voorzitter van de PG.

De cie-Dessens adviseert “deugdelijke specificatie” (p.81) van de motivatie die volgens de Wiv2002 in de toestemmingsverzoeken moet staan; wellicht is het de commissie niet ontgaan dat toezicht op SIGINT-selectie al jarenlang faalt a.g.v. gebrekkige motivatie, hoewel het rapport daar nauwelijks melding van maakt (zie ook dit bericht van Bits of Freedom). In antwoord op (o.a.) een motie van Kamerlid Gerard Schouw (D66) antwoordde (.pdf) Plasterk op 16 december (de vetgedrukte markering is van mij):

Allereerst merk ik op dat de CTIVD altijd een oordeel velt over de rechtmatigheid van de informatiewinning door de AIVD en de MIVD. Slechts ten aanzien van de selectie van sigint (art. 27 lid 3 sub a en b Wiv 2002) heeft de CTIVD aangegeven geen oordeel te kunnen geven.De regering hecht er, evenals de Kamer, zeer aan dat de CTIVD ook tot een rechtmatigheidsoordeel kan komen over de selectie van sigint. Op dit vlak zijn en worden maatregelen getroffen. Deze zijn erop gericht de CTIVD in staat te stellen in toekomstige rapporten tot een oordeel te komen.

Mij is niet bekend wat die maatregelen zijn. En ik ben nog niemand tegengekomen die weet wat Dessens bedoelt met “deugdelijke specificatie“ van motivatie. Juist omdat zo zwaar geleund wordt op de motivatie, is het jammer dat de cie-Dessens geen nadere toelichting heeft gegeven van dit begrip. Zeker in het licht van uitbreiding van SIGINT-bevoegdheden tot kabelgebonden communicatie dient dit toezichtsprobleem serieus te worden genomen. Misschien kunnen de “Just Intelligence Principles” van Ross Bellaby nog eens expliciet worden meegenomen in het zoeken naar een oplossing.

Voor mijn eigen doeleinden citeer ik hieronder uit CTIVD-rapport 28 – De inzet van Sigint door de MIVD (.pdf, 2011) twee hoofdstukken die grotendeels ook van toepassing zijn op de AIVD. (En natuurlijk werken de AIVD en MIVD per 1 januari 2014 inzake SIGINT e.d. samen in de Joint Sigint Cyber Unit (JSCU), die ook de NSO administratief zal absorberen.) Het gaat om deze hoofdstukken:

• Hoofdstuk 4 beschrijft de bevoegdheden in Artikel 25 (gerichte interceptie mbv microfoon, telefoontap of internettap), Artikel 26 (SIGINT search) en Artikel 27 (SIGINT selectie). Hierbij wordt beschreven welke informatie de AIVD/MIVD moet opnemen in toestemmingsverzoeken aan de Minister voor inzet van deze bevoegdheden. Het toezicht door de CTIVD vindt plaats op basis van deze toestemmingsverzoeken. In het kort komt het hier op neer:
  

  Een Artikel 25-toestemmingsverzoek (afluisteren) dient te bevatten:

  • een aanduiding van de bevoegdheid en, voor zover van toepassing, een nummer als bedoeld in artikel 1.1, onder bb, van de Telecommunicatiewet [=”cijfers, letters of andere symbolen, al dan niet in combinatie, die bestemd zijn voor toegang tot of identificatie van gebruikers, netwerkexploitanten, diensten, netwerkaansluitpunten of andere netwerkelementen”];
  • gegevens betreffende de identiteit van de persoon of organisatie waarop de bevoegdheid wordt ingezet;
  • de motivatie van het verzoek.

  Geldigheid: max. drie maanden. Daarna moet opnieuw toestemming worden gevraagd.

  Een Artikel 27-toestemmingsverzoek voor SIGINT-selectie op identiteit, of selectie op nummer of technisch kenmerk dient te bevatten (NB: dit is het type toestemmingsverzoek waarin de motivatie in de periode 2008-heden structureel onvoldoende blijkt en waarover de CTIVD zich structureel onthoudt van een rechtmatigheidsoordeel):

  • gegevens betreffende de identiteit van een persoon dan wel een organisatie;
  • OF: een nummer als bedoeld in artikel 1.1, onder bb, van de Telecommunicatiewet, dan wel enig technisch kenmerk;
  • de motivatie van het verzoek.

  Geldigheid: max. drie maanden. Daarna moet opnieuw toestemming worden gevraagd.

  Een Artikel 27-toestemmingsverzoek voor SIGINT-selectie op trefwoorden dient te bevatten:

  • een nauwkeurige omschrijving van het onderwerp;
  • de motivatie van het verzoek.

  Geldigheid: een jaar. Daarna moet opnieuw toestemming worden gevraagd. De Minister keurt een lijst van onderwerpen goed, de diensten bepalen vervolgens zelf de trefwoorden waarop wordt geselecteerd.

• Hoofdstuk 5 beschrijft het toetsingskader voor beoordeling van rechtmatigheid van inzet van bevoegdheden, in het bijzonder noodzakelijkheid, proportionaliteit en subsidiariteit. De CTIVD beoordeelt (ex post) de toestemmingsverzoeken binnen dit kader.

De voetnoten heb ik in-line gezet en van hyperlinks voorzien. Ik verwijs zoveel mogelijk naar webpagina’s, maar sommige bronnen bestaan alleen in PDF-formaat. Waar een voetnoot verwijst naar bepaalde pagina van een Kamerstuk: download de PDF-versie van het Kamerstuk van de webpagina waar ik naar link (“Authentieke versie downloaden (pdf)”) en zoek naar die pagina.

4. De inbreukmakende bijzondere bevoegdheden

4.1 De bevoegdheid tot gerichte interceptie

Artikel 25 lid 1 Wiv 2002 verleent de MIVD de bevoegdheid tot het met een technisch hulpmiddel gericht aftappen, ontvangen, opnemen en afluisteren van elke vorm van gesprek, telecommunicatie of gegevensoverdracht door middel van een geautomatiseerd werk, ongeacht waar een en ander plaatsvindt. Bij de formulering van dit wetsartikel is er voor gekozen vrij algemene bewoordingen te hanteren zodat bijvoorbeeld ook elektronische communicatie daar onder begrepen kan worden. [Voetnoot 41: Kamerstukken II 1997/98, 25 877, nr. 3, p. 41.] Eveneens is in het eerste lid de bevoegdheid opgenomen om de versleuteling van de gesprekken, telecommunicatie of gegevensoverdracht ongedaan te maken.

Artikel 25 maakt geen onderscheid tussen kabelgebonden en niet-kabelgebonden communicatie. De gerichte interceptie van beide vormen van communicatie door de MIVD wordt dus toegestaan. De afdeling Sigint past de bevoegdheid toe ten aanzien van niet- kabelgebonden communicatie. Het gaat hier met name om High Frequency (HF-) radioverkeer.

Dat bij de inzet van de bevoegdheid tot gerichte interceptie van onder meer HF-verkeer een inbreuk wordt gemaakt op het recht op privacy in de zin van artikel 8 EVRM is in veel gevallen[Voetnoot 42: Militair berichtenverkeer vormt een uitzondering in deze.] evident. De zwaarte van de inbreuk is afhankelijk van de concrete omstandigheden van het geval en is vergelijkbaar met de zwaarte van de inbreuk die wordt gemaakt op de persoonlijke levenssfeer door de inzet van een telefoontap. Daarbij dient wel in aanmerking te worden genomen dat HF-verkeer doorgaans communicatie tussen overheidsdiensten of organisaties betreft, wat minder privacygevoelig is dan wanneer communicatie tussen twee individuele personen wordt afgetapt.[Voetnoot 43: Het EHRM heeft bevestigd dat activiteiten van professionele of zakelijke aard eveneens gerekend kunnen worden tot de persoonlijke levenssfeer. EHRM 25 oktober 2007 (Van Vondel/Nederland), par. 48: “The Court reiterates that the term “private life” must not be interpreted restrictively. In particular, respect for private life comprises the right to establish and develop relationships with other human beings; furthermore, there is no reason of principle to justify excluding activities of a professional or business nature from the notion of “private life”. There is therefore a zone of interaction of a person with others, even in a public context, which may fall within the scope of “private life”.” Zie ook EHRM 2 september 2010 (Uzun/Duitsland), par. 43-48.] Overigens is dit betrekkelijk omdat niet op voorhand kan worden vastgesteld waarover wordt gecommuniceerd. Bovendien kan gesteld worden dat doordat bij een overheidsdienst of organisatie meerdere personen gebruikmaken van dezelfde communicatieverbindingen, de inbreuk plaatsvindt ten aanzien van de privacy van een groter aantal individuen dan bij een telefoontap op een individueel target het geval zou zijn. De bevoegdheid tot gerichte interceptie wordt door de MIVD ook ingezet ten aanzien van individuele personen.

De bevoegdheid tot gerichte interceptie mag slechts worden uitgeoefend indien daarvoor toestemming is verleend aan de directeur van de MIVD door de minister van Defensie (lid 2). Voor zover de communicatie of gegevensoverdracht niet plaatsvindt op of met plaatsen die in gebruik zijn door Defensie, dient de toestemming van de minister in overeenstemming met de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) te worden verleend (lid 3).[Voetnoot 44: In het wetsvoorstel Post-Madrid maatregelen werd t.a.v. dit artikel het overeenstemmingsvereiste vervangen door een instemmingvereiste van de minister van BZK of namens deze het hoofd van de AIVD. Dit wetsvoorstel is inmiddels ingetrokken.] In artikel 25 lid 8 zijn twee uitzonderingen hierop geformuleerd. Voor de gerichte interceptie van niet-kabelgebonden telecommunicatie met een oorsprong of bestemming in het buitenland (voornamelijk HF-radioverkeer) door de MIVD is geen overeenstemming met de minister van BZK nodig. Voor de gerichte interceptie van militair berichtenverkeer is in het geheel geen toestemming vereist aangezien het een “continue activiteit” betreft, waarvan “het evident is dat dit voor een goede taakuitvoering van de MIVD noodzakelijk is en waarbij het stellen van het toestemmingsvereiste geen enkele toegevoegde waarde heeft”.[Voetnoot 45: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 20-21.]

In de wetsgeschiedenis is uitgelegd dat het militaire berichtenverkeer in de praktijk als volgt wordt herkend. Militaire eenheden die gebruik maken van radioverbindingen zullen in verband met de aard van hun opdracht er naar streven hun operatie of oefeningen te versluieren. Radioverbindingen die gebruikt worden voor commandovoering zullen zo min mogelijk informatie prijs willen geven. Om dit doel te bereiken wordt gebruik gemaakt van werkwijzen en verbindingsprocedures die afwijken van internationaal gebruikte reguliere procedures en werkwijzen. Door middel van analyse van deze militaire procedures en werkwijzen wordt hierover kennis vergaard. Aan de hand van deze kennis kan, tezamen met locatiebepalingen van de radiozender en metingen van transmissiesignalen, militair berichtenverkeer worden geïdentificeerd.[Voetnoot 46: idem]

Het verzoek om toestemming door de directeur van de MIVD aan de minister van Defensie moet volgens artikel 25 lid 4 Wiv 2002 in ieder geval bevatten:

a) een aanduiding van de bevoegdheid en, voor zover van toepassing, het nummer;
b) gegevens betreffende de identiteit van de persoon of organisatie waarop de bevoegdheid wordt ingezet;
c) de redenen van het verzoek.In het geval er geen sprake is van interceptie aan de hand van een onder a bedoeld nummer maar van interceptie aan de hand van een technisch kenmerk (frequentie), hoeft, volgens de wetsgeschiedenis, dit technisch kenmerk niet vermeld te worden. Personen en organisaties communiceren veelal via meerdere en wisselende frequenties. Het stellen van het vereiste van vermelding van het technisch kenmerk zou in de praktijk ertoe leiden dat zeer regelmatig een (hernieuwd of aanvullend) verzoek om toestemming zou moeten worden ingediend. Dit levert een onwenselijke en onwerkbare situatie op.[Voetnoot 47: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 18-19.]

In de wetsgeschiedenis is gesteld dat bij de redengeving voor de gewenste uitoefening van de bevoegdheid niet alleen duidelijk moet worden gemaakt waarom de desbetreffende persoon of organisatie gelet op de taakstelling van de dienst wordt onderzocht (noodzakelijkheid), maar ook waarom juist de inzet van het in het verzoek aangegeven middel wordt verlangd en waarom niet met een ander – gelet op de omstandigheden van het geval – minder ingrijpend middel kan worden volstaan (subsidiariteit). Aan de hand van de in het verzoek verstrekte gegevens, moet de minister in staat zijn om een verantwoorde beslissing te nemen omtrent de vraag of hij al dan niet toestemming geeft. De toestemming wordt verleend voor een periode van ten hoogste drie maanden en kan telkens worden verlengd. Dat impliceert volgens de wetgever dat, indien het noodzakelijk wordt geacht de inzet van het desbetreffende middel na afloop van deze drie maanden te continueren, opnieuw toestemming dient te worden gevraagd door het hoofd van de dienst. [Voetnoot 48: Kamerstukken II 1997/98, 25 877, nr. 3, p. 43.]

Lid 6 voorziet in de gevallen dat de gegevens over de identiteit van de persoon of organisatie waarop de bevoegdheid wordt ingezet niet bekend zijn ten tijde van het indienen van het verzoek om toestemming aan de minister. In die gevallen wordt toestemming slechts verleend onder de voorwaarde dat de desbetreffende gegevens zo spoedig mogelijk worden aangevuld.

In paragraaf 7.2 wordt beschreven hoe de MIVD in de praktijk de bevoegdheid tot gerichte interceptie inzet.

4.2 De bevoegdheid tot ongerichte interceptie en nadere selectie

Volgens artikel 27 lid 1 Wiv 2002 is de MIVD bevoegd tot het met een technisch hulpmiddel ongericht ontvangen en opnemen van niet-kabelgebonden telecommunicatie. ‘Ongerichte’ interceptie wil zeggen dat de interceptie zich niet richt op berichten die afkomstig zijn van een bepaalde persoon of organisatie of gerelateerd zijn aan een technisch kenmerk, maar dat bijvoorbeeld al het berichtenverkeer dat via een bepaald satellietkanaal wordt verzonden als het ware uit de ether wordt gehaald en vervolgens in computers wordt opgeslagen.[Voetnoot 49: Idem, p. 44.] Artikel 27 geeft niet de bevoegdheid kabelgebonden telecommunicatie ongericht te intercepteren.

Voor de bevoegdheid tot ongerichte interceptie is, ingevolge artikel 27 lid 2 Wiv 2002, geen toestemming vereist als bedoeld in artikel 19. Er wordt hier nog geen kennis genomen van de inhoud van de telecommunicatie waardoor er volgens de wetgever nog geen sprake is van een inbreuk op de persoonlijke levenssfeer, meer in het bijzonder het telefoon- en telegraafgeheim. Van een dergelijke inbreuk is volgens de wetgever pas sprake op het moment dat de gegevens geselecteerd worden. De wetgever merkt bij deze bevoegdheid op weinig toegevoegde waarde te zien in het stellen van een toestemmingsvereiste. Een dergelijk toestemmingsvereiste zou slechts betrekking hebben op het satellietkanaal ten aanzien waarvan de interceptie plaatsvindt en heeft dan weinig inhoudelijke betekenis.[Voetnoot 50: Kamerstukken II 1997/98, 25 877, nr. 3, p. 44.]

Met de ontvangen en opgenomen telecommunicatie kan door de MIVD niets worden gedaan, behalve dat eventuele versleuteling van de gegevens ongedaan gemaakt mag worden (artikel 27 lid 1 Wiv 2002). In artikel 27 leden 3 tot en met 6 Wiv 2002 zijn de mogelijkheden voor de selectie van de telecommunicatie opgenomen. Het betreft hier de mogelijkheid tot selectie aan de hand van (a) gegevens betreffende de identiteit van een persoon of een organisatie, (b) een nummer of technisch kenmerk, en (c) aan een nader omschreven onderwerp gerelateerde trefwoorden (lid 3).

Bij de selectie van gegevens onder a of b is sprake van ‘gerichte’ selectie van gegevens. De wetgever heeft dan ook bepaald dat hetzelfde regime moet worden toegepast als bij gerichte interceptie ingevolge artikel 25 Wiv 2002: voordat gegevens kunnen worden geselecteerd aan de hand van één van de genoemde criteria moet toestemming aan de minister worden gevraagd door het hoofd van de dienst. Het verzoek om toestemming dient aan een aantal minimumeisen te voldoen, dezelfde als bij gerichte interceptie. Voor zover het gaat om selectie op – kort gezegd – naam of nummer, is in artikel 26, vierde lid, bepaald, dat het verzoek ten minste de gegevens als bedoeld onder a of b dient te bevatten, waarop de selectie dient te worden toegepast en voorts de reden waarom de selectie dient te worden toegepast. De toestemming geldt voor een periode van drie maanden en kan telkens worden verlengd (lid 4). [Voetnoot 51: Idem, p. 44-45.]

Dat bij de inzet van de bevoegdheid van selectie inbreuk wordt gemaakt op het recht op privacy in de zin van artikel 8 EVRM is evident. De zwaarte van de inbreuk op de privacy die wordt gemaakt door de ‘gerichte’ selectie van gegevens is afhankelijk van de concrete omstandigheden van het geval en kan niet zonder meer gelijk worden gesteld aan de zwaarte van de inbreuk die wordt gemaakt op de persoonlijke levenssfeer door de inzet van een telefoontap. Daarbij speelt een rol dat bij selectie na ongerichte interceptie niet alle communicatie van een bepaalde persoon of organisatie wordt ontvangen en opgenomen, maar slechts datgene wat in de bulk wordt aangetroffen en dus ‘bij toeval’ wordt onderschept. Dit neemt niet weg dat selectie na ongerichte interceptie wel degelijk zeer inbreukmakend kan zijn. Wanneer een dienst de communicatie van veel verschillende satellieten kan opvangen en heel goed in staat is die bulk aan communicatie te filteren, is het in potentie wel degelijk mogelijk alle communicatie van een bepaalde persoon of organisatie te ontvangen. Het verschil met de telefoontap zit dan nog in het moment van kennisnemen van de communicatie. Bij een telefoontap is dit doorgaans real time, dat wil zeggen op het moment van communiceren, terwijl bij selectie na ongerichte interceptie sprake is van het achteraf kennisnemen van de inhoud van de communicatie. Ook dit onderscheid is overigens betrekkelijk aangezien het veelvuldig voorkomt dat een telefoontap pas op een later moment wordt uitgeluisterd en het bij selectie van communicatie niet altijd zeker is dat het bericht door de ontvanger is gelezen op het moment van kennisnemen door de MIVD.[Voetnoot 52: Een e-mail bericht kan bijvoorbeeld lange tijd ongelezen in de inbox blijven staan.]

Voor de selectie van gegevens onder c (trefwoorden) geldt een ander regime: de toestemming kan worden verleend voor een periode van maximaal een jaar en kan telkens worden verlengd. De wetgever heeft bij de selectie van gegevens onder c voor een ander regime gekozen omdat hier geen sprake is van een gerichte zoekactie naar gegevens die betrekking hebben op bijvoorbeeld een concrete persoon waarbij direct de persoonlijke levenssfeer in het geding is. Het gaat slechts om de selectie van gegevens die in algemene zin van belang zijn voor onderzoeken van de MIVD, bijvoorbeeld de proliferatie van chemische wapens. [Voetnoot 53: Kamerstukken II 1997/98, 25 877, nr. 3, p. 45.]

Het toestemmingsverzoek dient ten minste een nauwkeurige omschrijving van het onderwerp en de reden van de selectie te bevatten (lid 5). Volgens de wetsgeschiedenis waarborgen deze voorwaarden dat de minister over het voor het verlenen van de toestemming benodigde inzicht beschikt. Voor dat inzicht hebben de aan de onderwerpen gerelateerde trefwoorden geen toegevoegde waarde. Een aan een onderwerp gerelateerde trefwoordenlijst zal in de regel bestaan uit (combinaties van) specifieke technische termen en aanduidingen in diverse talen. Aangezien de trefwoorden dikwijls kunnen wijzigen is voorts bepaald dat de trefwoorden kunnen worden vastgesteld door het hoofd van de dienst of namens deze een door hem aangewezen ambtenaar (lid 6). Een dergelijke lijst wordt zodanig opgesteld dat het selectiesysteem optimaal wordt gebruikt om de gewenste informatie te vinden. Het opstellen van de trefwoorden zal in de praktijk worden gedaan door terzake deskundige analisten. De bevoegdheid om de trefwoorden vast te stellen ligt echter bij het hoofd van de dienst dan wel een door hem aangewezen ambtenaar.[Voetnoot 54: Kamerstukken II 2000/01, 25 877, nr. 14, p. 33-34.] In het Ondermandaat- en machtigingsbesluit MIVD 2009 zijn het hoofd en de analisten van de afdeling Sigint gemachtigd om de trefwoorden vast te stellen.[Voetnoot 55: Staatscourant nr. 7168, Artikel 3 lid 1 sub e en sub j.] In de wetsgeschiedenis is voorts bepaald dat van de selectie onder c zeer selectief (voornamelijk beperkt tot satellietverkeer) en terughoudend gebruik gemaakt zal worden.[Voetnoot 56: Kamerstukken II 1997/98, 25 877, nr. 3, p. 45.]

Artikel 27 lid 7 Wiv 2002 bepaalt dat een of beide Kamers der Staten-Generaal alsmede de commissie van toezicht vertrouwelijk worden geïnformeerd over de verleende toestemming voor de selectie aan de hand van trefwoorden met opgave van het onderwerp en de reden van selectie.

In het achtste lid van artikel 27 Wiv 2002 is neergelegd dat de toestemming voor de selectie van gegevens door de MIVD van telecommunicatie met een oorsprong en bestemming in Nederland wordt verleend in overeenstemming met de minister van BZK.

Het is niet uitgesloten dat gegevens die aan de hand van de selectiecriteria niet zijn geselecteerd, en waarvan dus ook niet van de daadwerkelijke inhoud kennis kan worden genomen, niettemin relevante informatie bevatten die aan de hand van nader vast te stellen selectiecriteria alsnog zouden kunnen worden geselecteerd. Dergelijke nader vast te stellen selectiecriteria kunnen voortkomen uit informatie die aan andere bronnen van een dienst is ontleend of is ontleend aan op een later tijdstip ontvangen en opgenomen gegevens.[Voetnoot 57: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 26-27.]

Een voorbeeld uit de wetsgeschiedenis. Bij het zoeken op trefwoorden worden soms berichten geselecteerd, waaruit blijkt dat een schip chemicaliën of goederen vervoert die kunnen worden gebruikt voor de productie van massavernietigingswapens, zonder dat echter uit de onderschepte berichten duidelijk wordt wie leverancier of afnemer van de goederen is. Met behulp van nieuwe trefwoorden, die ontleend worden aan de in eerste instantie onderschepte berichten, kan vervolgens worden bezien of aanvullende informatie over leverancier en afnemer kan worden gevonden in al eerder geïntercepteerd, maar niet geselecteerd berichtenverkeer. Bovendien is het soms mogelijk om langs deze weg vast te stellen of de relatie tussen de leverancier en de afnemer al langer bestaat. Indien de gegevens afkomstig uit ontvangen en opgenomen telecommunicatie als bedoeld in artikel 27 lid 1 Wiv 2002 na de eerste selectie al zouden moeten worden vernietigd, zou een nadere selectie – zoals hiervoor geschetst – met als mogelijkheid een verdere verrijking en aanvulling van voor actuele onderzoeken relevante informatie niet kunnen plaatsvinden. Dit achtte de wetgever een onwenselijke situatie. Onder voorwaarden dient een dergelijke nadere selectie, die dus een zekere bewaartermijn voor de desbetreffende gegevens met zich brengt, mogelijk te zijn.[Voetnoot 58: Idem.]

Gegevens die ongericht zijn geïntercepteerd maar niet zijn geselecteerd mogen, ingevolge artikel 27 lid 9 Wiv 2002, worden bewaard voor een periode van maximaal een jaar ten behoeve van nadere selectie. Hieraan zijn in de wet twee voorwaarden gesteld. De selectie mag slechts plaatsvinden in het kader van een onderzoek op grond van een reden als bedoeld in lid 4 sub b of met betrekking tot een onderwerp als bedoeld in lid 5 sub a waarvoor op het moment van het ontvangen en opnemen van de desbetreffende gegevens toestemming was verleend (lid 9 sub a). De wetgever heeft het niet wenselijk geacht dat de hier bedoelde gegevens ook beschikbaar komen voor selectie ten behoeve van onderzoeken van een dienst, die op het moment van het ontvangen en opnemen van de telecommunicatie niet actueel waren; de interceptie vond immers indertijd plaats ten behoeve van op dat moment actuele onderzoeken. De selectie moet voorts voor de goede uitoefening van het desbetreffende onderzoek dringend worden gevorderd (lid 9 sub b). Volgens de wetsgeschiedenis zijn deze voorwaarden opgenomen omdat een nadere selectie op geïntercepteerde gegevens niet onbeperkt en ongeclausuleerd mogelijk is. Artikel 8 EVRM staat hieraan in de weg.[Voetnoot 59: Idem.]

In samenhang met de aanbeveling van de Commissie om wettelijk te voorzien in een verlenging van de in het negende lid opgenomen bewaartermijn[Voetnoot 60: Toezichtsrapport nr. 5A. De rechtmatigheid van het MIVD-onderzoek naar proliferatie van massavernietigingswapens en overbrengingsmiddelen, door de Commissie vastgesteld op 10 augustus 2005, beschikbaar op www.ctivd.nl, paragraaf 4.2.5.] werd in het wetsvoorstel Post Madrid maatregelen een wijziging opgenomen. Deze wijziging voorzag in een verlenging van de termijn van één jaar naar drie jaren.[Voetnoot 61: Kamerstukken II 2005/06, 30553, nr. 3, p. 30.] Het wetsvoorstel is inmiddels ingetrokken.

Artikel 27 lid 10 Wiv 2002 verklaart lid 9 van overeenkomstige toepassing op gegevens waarvan de versleuteling nog niet ongedaan is gemaakt, met dien verstande dat de bewaartermijn van één jaar pas aanvangt met ingang van het moment waarop de versleuteling ongedaan is gemaakt.

In paragraaf 8.3 wordt beschreven hoe de MIVD in de praktijk de bevoegdheid tot selectie na ongerichte interceptie inzet.

4.3 De bevoegdheid tot searchen

Artikel 26 Wiv 2002 voorziet in een regeling om niet-kabelgebonden telecommunicatie die zijn oorsprong of bestemming heeft in andere landen met een technisch hulpmiddel te ontvangen en op te nemen, aan de hand van een technisch kenmerk ter verkenning van de communicatie. Het gaat hier om de bevoegdheid om te ‘searchen’. Bij het searchen wordt getracht te achterhalen wat de aard van de telecommunicatie is die over bepaalde frequenties loopt (technische kenmerken) en welke persoon of organisatie de telecommunicatie verzendt (de identiteit van de afzender). Het gaat hier onder meer om het verkennen van HF- radioverkeer en satellietcommunicatie. Slechts een klein gedeelte van dit verkeer is van belang voor de taakuitoefening door de MIVD. Het searchen is er daarom eveneens op gericht om vast te stellen of het gaat om telecommunicatie waarvan kennisneming noodzakelijk is voor een goede taakuitvoering door de MIVD. Om dit te kunnen vaststellen moet kennis worden genomen van de inhoud van de telecommunicatie. Dit wordt in artikel 26 lid 1 Wiv 2002 dan ook nadrukkelijk door de wetgever toegestaan.[Voetnoot 62: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 21-22. ] Tot de bevoegdheid om te searchen behoort volgens artikel 26 lid 1 Wiv 2002 overigens ook de bevoegdheid om versleuteling van de telecommunicatie ongedaan te maken.

Onderscheid dient te worden gemaakt tussen searchen ten behoeve van gerichte interceptie en searchen ten behoeve van ongerichte interceptie. Het gaat hier om het searchen van HF- radioverkeer respectievelijk het searchen van satellietcommunicatie.

4.3.1 Searchen ten behoeve van gerichte interceptie

Tijdens het searchen van HF-radioverkeer wordt steekproefsgewijs van de inhoud van berichten kennisgenomen en wordt een uitzending slechts kort gevolgd. De activiteit is niet te vergelijken met afluisteren. In de wetsgeschiedenis wordt het searchen van HF- radioverkeer vergeleken met het draaien aan een radioknop om te achterhalen welke organisatie op welke frequentie uitzendt.[Voetnoot 63: Kamerstukken II 2000/01, 25 877, nr. 14, p. 30.] De minister van Defensie heeft toen uitgelegd dat er een heel wezenlijk verschil is tussen het zoeken met als doel te weten wat er op de markt beschikbaar is, zodat op het moment dat er voor een bepaald doel gerichte informatie moet worden ingewonnen, die informatie beschikbaar is, en het gericht inwinnen van informatie. Hij stelde daarbij dat wanneer er echt wordt geluisterd, de communicatie wordt opgeslagen, wordt vertaald en in een breder kader wordt geplaatst, doelgericht voor een bepaalde operatie informatie wordt verzameld. Dat valt onder het regime van toestemming. Alleen het bijeenbrengen van mogelijkheden valt onder het regime van ’aan de knop draaien’.[Voetnoot 64: Kamerstukken II 2000/01, 25 877, nr. 72, p. 4-6.]

Het searchen van HF-radioverkeer ondersteunt het proces van gerichte interceptie (ex artikel 25) doordat het searchen duidelijk maakt over welke frequenties wiens communicatie loopt. Het gaat hier in wezen om het in kaart brengen van bepaalde delen van de ether. Een voorbeeld. Wanneer de MIVD de communicatie van organisatie X wil intercepteren kan de MIVD door te searchen achterhalen welke frequentie of frequenties organisatie X gebruikt om te communiceren. De MIVD kan vervolgens – met toestemming van de minister – de bevoegdheid van artikel 25 inzetten en deze communicatie daadwerkelijk gericht intercepteren. Het searchen dient er dus toe de gerichte interceptie mogelijk te maken (op welke frequentie communiceert organisatie X) dan wel te optimaliseren (één frequentie was al bekend, maar organisatie X blijkt nog twee andere te gebruiken). Het verschil tussen artikel 25 en 26 zit hier in het aan gerichte interceptie voorafgaande traject.[Voetnoot 65: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 21-22. ]

Het langer volgen van een uitzending dan strikt noodzakelijk is om de identiteit van de communicerende personen of organisaties vast te stellen is niet toelaatbaar. Het searchen zou dan immers ontaarden in een niet toegestane vorm van gericht kennisnemen van de inhoud van de communicatie.[Voetnoot 66: Kamerstukken II 2000/01, 25 877, nr. 14, p. 35.]

Wanneer de MIVD bij het searchen van HF-radioverkeer stuit op communicatie die de dienst wil gebruiken, dan mag dat in beginsel. Het gebruik van de communicatie moet dan wel noodzakelijk zijn voor een goede taakuitvoering. Bovendien moet worden voldaan aan de vereisten van proportionaliteit en subsidiariteit. De MIVD dient volgens artikel 26 lid 4 Wiv 2002 binnen twee dagen een verzoek hiertoe in te dienen bij de minister en dient te wachten met het daadwerkelijk gebruiken van de informatie tot de minister toestemming heeft gegeven. De MIVD mag in de tussentijd de communicatie wel blijven ontvangen en opnemen, maar mag daarvan dus niet verder kennisnemen. Als de minister geen toestemming geeft, moet de communicatie die is ontvangen en opgenomen ingevolge artikel 26 lid 5 Wiv 2002 terstond worden vernietigd.

4.3.2 Searchen ten behoeve van ongerichte interceptie

Het searchen van satellietcommunicatie is van een andere orde. De MIVD kan niet alle satellietcommunicatie die door de ether gaat ontvangen en opnemen maar dient daarin keuzes te maken. Het searchen dient ertoe deze keuzes te optimaliseren. Door te searchen wordt bijvoorbeeld achterhaald uit welke regio de communicatie die over een bepaald satellietkanaal verloopt afkomstig is, naar welke regio de communicatie wordt verzonden en wat voor soort communicatie het betreft (spraak, fax, internet etc.).

Het searchen van satellietcommunicatie ondersteunt het proces van ongerichte interceptie (ex artikel 27) doordat met het searchen kan worden bekeken over welke satellietkanalen voor de taakuitvoering van de MIVD mogelijk relevante communicatie verloopt. Vanwege het searchen kan het satellietverkeer dat wordt ontvangen en opgenomen worden beperkt tot bepaalde kanalen.[Voetnoot 67: Kamerstukken II, 2000/01, 25 877, nr. 59, p. 12.]

Nadat de MIVD een aantal satellietkanalen heeft gekozen en de communicatie die daarover verloopt heeft ontvangen en opgenomen, kan de MIVD – met toestemming van de minister – de bevoegdheid van artikel 27 lid 3 Wiv 2002 inzetten. Uit de grote hoeveelheid satellietcommunicatie (bulk) die is ontvangen en opgenomen kan de MIVD dan die berichten selecteren waarvan het kennisnemen voor de taakuitvoering van de MIVD noodzakelijk is.

4.3.3 Kennisnemen van de inhoud

In het tweede lid van artikel 26 Wiv 2002 is bepaald dat voor het searchen geen toestemming als bedoeld in artikel 19 is vereist. Volgens de wetsgeschiedenis bij artikel 26 Wiv 2002 is de reden hiervoor dat de aard van de activiteit voor een deel vergelijkbaar is met het ongericht ontvangen en opnemen van niet-kabelgebonden telecommunicatie ex artikel 27 Wiv 2002. De ongerichtheid zit hier niet zo zeer in het feit dat men verschillende frequenties of satellietkanalen scant maar dat men veeleer op voorhand niet weet welke communicatie (aard en inhoud) men daarbij van wie (persoon of organisatie) tegenkomt.[Voetnoot 68: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 22. ] De wetgever merkt bovendien op dat een toestemmingsvereiste geen toegevoegde waarde zou hebben. Het searchen is niet gericht op een bepaalde persoon of organisatie. Ook is er geen specifieke reden voor het searchen aan te wijzen (vergelijk artikel 25 lid 4 sub c Wiv 2002). Dit betekent dat het toestemmingsvereiste alleen betrekking zou hebben op het algemene doel van het searchen, zoals in artikel 26 lid 1 Wiv 2002 is opgenomen. [Voetnoot 69: Idem, p. 23]

Om de identiteit van de afzender en de relevantie van de communicatie voor de taakuitvoering van de MIVD te kunnen vaststellen, moet kennis worden genomen van de inhoud van de telecommunicatie. Dit wordt in artikel 26 lid 1 Wiv 2002 dan ook nadrukkelijk door de wetgever toegestaan. Het kennisnemen van de communicatie geschiedt volgens de wetsgeschiedenis steekproefsgewijs en voor korte duur. Kennisnemen van de inhoud van de communicatie is in dat geval niet een doel op zichzelf, maar slechts een hulpmiddel.[Voetnoot 70: Kamerstukken II 2000/01, 25 877, nr. 14, p. 36-37.] Het langer volgen van een uitzending dan strikt noodzakelijk is om de identiteit van de personen of organisaties vast te stellen is niet toelaatbaar. Het searchen zou dan immers ontaarden in een niet toegestane vorm van gericht kennisnemen van de inhoud van de communicatie. [Voetnoot 71: Idem, p. 35.]

In de wetsgeschiedenis wordt gesteld dat van een inbreuk op het telefoongeheim pas sprake is, indien het kennisnemen van de inhoud van een telefoongesprek gericht is op de inhoud zelf. Indien van de inhoud van een telefoongesprek kennis wordt genomen louter als kortstondig onderdeel van een onderzoek naar de identiteit van de personen of instellingen die met elkaar communiceren, is dat geen inbreuk op het telefoongeheim. Het is veeleer vergelijkbaar met een onderzoek naar verkeersgegevens. Een dergelijk onderzoek is volgens de wetgever wel te beschouwen als een inbreuk op het recht op privacy, zoals neergelegd in artikel 10 van de Grondwet, maar niet als een inbreuk op het in artikel 13 van de Grondwet neergelegde telefoon- en telegraafgeheim.[Voetnoot 72: Idem.] Door de wetgever is eveneens de vergelijking getrokken tussen het searchen en het inluisteren op telefoongesprekken door een aanbieder van telecommunicatienetwerken en -diensten teneinde vast te stellen of een verbinding goed verloopt. Het zou te ver zou gaan om het telefoongeheim zo ruim op te vatten dat ook deze technische controle en herstelwerkzaamheden, waarbij wel iets van een gesprek moet worden opgevangen, als een inbreuk daarop zouden moeten worden aangemerkt.[Voetnoot 73: Kamerstukken II 1999/2000, 25 877, nr. 9, p. 23. ]

Naar het oordeel van de Commissie gaat de wetgever met dit standpunt voorbij aan het feit dat het searchen wel degelijk is gericht op de inhoud van de communicatie. Er wordt immers aan de hand van de inhoud getracht de identiteit van de afzender en de relevantie van de communicatie voor de taakuitvoering van de MIVD vast te stellen. Bij een onderzoek naar verkeersgegevens is dit expliciet niet het geval, daarbij wordt in het geheel geen kennis genomen van de inhoud van een bericht. Ook de vergelijking met technische controle- en herstelwerkzaamheden door een aanbieder van telecommunicatienetwerken en –diensten gaat niet op aangezien het kennisnemen van de inhoud in die gevallen een niet beoogd gevolg is van de werkzaamheden. De werkzaamheden zijn er niet op gericht.

Ook het gegeven dat bij het searchen voor een korte tijd wordt kennisgenomen van de inhoud van de communicatie en dat het niet gaat om de volledige inhoud van de communicatie doet niets af aan het feit dat wel degelijk inbreuk wordt gemaakt op het in artikel 13 van de Grondwet neergelegde telefoon- en telegraafgeheim. Dit ongeacht de verschillende interpretaties die aan het object en de reikwijdte van het grondrecht worden gegeven (zie paragraaf 3.2). Voornoemde omstandigheden kunnen enkel een rol spelen bij het waarderen van de zwaarte van de inbreuk die wordt gemaakt. Trekt men hier de vergelijking met een postbode die een envelop opent en deze, na vluchtig gekeken te hebben naar de strekking van de ingesloten brief, weer sluit, dan is de conclusie dat het briefgeheim niet is geschonden evenmin gerechtvaardigd.

Dit oordeel van de Commissie leidt tot de conclusie dat aan de uitoefening van de bevoegdheid te searchen een machtiging in de zin van artikel 13 van de Grondwet vooraf dient te gaan. Zoals hierboven beschreven is in de wetsgeschiedenis opgemerkt dat een toestemmingsvereiste echter geen toegevoegde waarde zou hebben. Het searchen is niet gericht op een bepaalde persoon of organisatie. Ook is er geen specifieke reden voor het searchen aan te wijzen.[Voetnoot 74: Idem.] De wetgever heeft het dan ook weinig zinvol geacht een machtiging te vereisen die betrekking zou hebben op het algemene doel van het searchen. De bevoegdheid te searchen is in de Wiv 2002 wel als bijzondere bevoegdheid opgenomen. De inzet van de bevoegdheid dient daarmee te voldoen aan de vereisten van noodzakelijkheid, proportionaliteit en subsidiariteit.

Zoals in paragraaf 3 is besproken vallen metagegevens niet onder het huidige telefoon- en telegraafgeheim, maar zijn zij wel onderdeel van de privacy. Voor zover metagegevens aangemerkt kunnen worden als persoonsgegevens, vallen zij onder de bescherming van artikel 10 van de Grondwet. Ook het Europees Hof plaatst metagegevens binnen de reikwijdte van de in artikel 8 EVRM neergelegde bescherming van het privéleven. Dit betekent dat terughoudend omgegaan dient te worden met de verwerking van metagegevens. Metagegevens die betrekking hebben op de identiteit van de communicerende persoon of organisatie mogen alleen worden verwerkt indien dat noodzakelijk is voor een goede taakuitvoering door de MIVD (artikel 26 lid 3 Wiv 2002).

In paragraaf 7.4 wordt beschreven hoe de MIVD in de praktijk de bevoegdheid tot searchen inzet.

5. Toetsingskader in de Wiv 2002

Het bijzondere aan de bovengenoemde bevoegdheden van de MIVD is onder meer daarin gelegen dat deze in een aantal opzichten, met name waar het gaat om de concrete uitoefening, een geheim karakter hebben. Dit betekent evenwel niet dat van normering daarvan zou moeten worden afgezien, integendeel. Normering wordt vereist door artikel 8 EVRM en de daaromtrent ontwikkelde jurisprudentie door het EHRM. Dit heeft zijn uitwerking gekregen in, onder meer, de vereisten van noodzakelijkheid, proportionaliteit en subsidiariteit die zijn neergelegd in de Wiv 2002.

5.1 Het noodzakelijkheidscriterium

In artikel 12 lid 2 Wiv 2002 is bepaald dat de verwerking van gegevens slechts plaatsvindt voor een bepaald doel en slechts voor zover dat noodzakelijk is voor een goede uitvoering van deze wet of de Wet veiligheidsonderzoeken. Dit noodzakelijkheidsvereiste geldt voor alle werkzaamheden van de MIVD die in het kader van de taakuitoefening worden verricht.

In artikel 18 Wiv 2002 is het noodzakelijkheidsvereiste specifiek voor de inzet van bijzondere bevoegdheden neergelegd. Bijzondere bevoegdheden mogen slechts worden uitgeoefend voor zover dat noodzakelijk is voor de goede uitvoering van de a-, de c- en de e-taak van de MIVD. Deze taken zijn als volgt in de wet opgenomen:

“De Militaire Inlichtingen- en Veiligheidsdienst heeft in het belang van de nationale veiligheid tot taak:
a. het verrichten van onderzoek:
1°. omtrent het potentieel en de strijdkrachten van andere mogendheden, ten behoeve van een juiste opbouw en een doeltreffend gebruik van de krijgsmacht;
2°. naar factoren die van invloed zijn of kunnen zijn op de handhaving en bevordering van de internationale rechtsorde voor zover de krijgsmacht daarbij is betrokken of naar verwachting betrokken kan worden;
[…]
c. het verrichten van onderzoek dat nodig is voor het treffen van maatregelen:
1°. ter voorkoming van activiteiten die ten doel hebben de veiligheid of paraatheid van de krijgsmacht te schaden;
2°. ter bevordering van een juist verloop van mobilisatie en concentratie der strijdkrachten;
3°. ten behoeve van een ongestoorde voorbereiding en inzet van de krijgsmacht als bedoeld in onderdeel a, onder 2°.
[…]
e. het verrichten van onderzoek betreffende andere landen, ten aanzien van onderwerpen
met een militaire relevantie die door Onze Minister-President, Minister van Algemene Zaken, in overeenstemming met Onze betrokken Ministers, zijn aangewezen;”

De a-taak van de MIVD betreft het vergaren van inlichtingen door de dienst. De a-taak onder 1 is nog afkomstig van de oude Wiv uit 1987 en ziet vooral op de klassieke algemene verdedigingstaken van de krijgsmacht. Bij de wetswijziging in 2002 is de a-taak aangevuld met een nieuw element. De a-taak onder 2 is een direct gevolg van de nieuwe taakstelling van de krijgsmacht na het einde van de Koude Oorlog, waardoor de inlichtingenbehoefte zich ook richtte op de handhaving en bevordering van de internationale rechtsorde. Het gaat hier met name om onderzoek ten behoeve van de uitvoering van internationale crisisbeheersings- en vredesoperaties. Dit betekent dat de MIVD inlichtingen moet kunnen inwinnen over de veiligheidssituatie in landen waar Nederland onder meer in bondgenootschappelijk verband dergelijke operaties uitvoert of waarvan de redelijke verwachting bestaat dat Nederland wordt gevraagd te gaan deelnemen aan zulke operaties.[Voetnoot 75: Kamerstukken II 2005/06, 30553, nr. 3, p. 12.]

De c-taak van de MIVD ziet op het doen van onderzoek in het kader van contra-inlichtingen en veiligheid. Het gaat hier om het waarborgen van de veiligheid en paraatheid van de krijgsmacht en het doen van onderzoek naar mogelijke dreigingen die zich daartegen richten, zoals spionage, sabotage, subversie en terrorisme. Onderzoek in het kader van de c- taak richt zich op zowel concrete als op potentiële dreigingen ten aanzien van de krijgsmacht en daarmee de nationale veiligheid.[Voetnoot 76: Zie ook toezichtsrapport nr. 25. Het handelen van de MIVD jegens twee geschorste medewerkers, Kamerstukken II 2009/10, 29 924, nr. 59 (bijlage), beschikbaar op www.ctivd.nl, paragraaf 3.2.]

De e-taak van de MIVD is de inlichtingentaak buitenland. Deze taak heeft betrekking op onderzoek betreffende andere landen ten aanzien van onderwerpen met een overwegend militaire relevantie die door de minister-president in overeenstemming met de minister van Defensie en de minister van BZK zijn aangewezen. De invulling van de e-taak door de MIVD overlapt voor een belangrijk deel de verantwoordelijkheid onder de a-taak. Zo kan een onderwerp dat in eerste instantie uitsluitend is aangewezen onder de inlichtingentaak buitenland op een zeker moment ook tot de inlichtingenbehoefte van het ministerie van Defensie gerekend worden en prioriteit krijgen onder de a-taak van de MIVD. Ook andersom is dit mogelijk.

Bij een onderzoek in het kader van de a-taak of de e-taak van de MIVD hoeft er niet altijd sprake te zijn van een bedreiging van de nationale veiligheid. Alleen het belang van de nationale veiligheid is voldoende voor het verrichten van onderzoek in het kader van de a- taak van de MIVD. Wat de e-taak betreft, kan in beginsel elk onderwerp waarbij het belang van de nationale veiligheid in het geding is een onderwerp vormen dat wordt aangewezen en waarnaar de MIVD onderzoek dient te verrichten.[Voetnoot 77: Kamerstukken II 1997/98, 25 877, nr. 3, p 10-11.]

De vraag dient zich aan of voor de inzet van bijzondere bevoegdheden in het kader van de a- en de e-taak van de MIVD een belang van de nationale veiligheid ook voldoende is. Rechtspraak van het EHRM toont aan dat er voor de rechtvaardiging van inbreukmakende heimelijke activiteiten door inlichtingen- en veiligheidsdiensten geen sprake hoeft te zijn van een daadwerkelijke aantasting van de nationale veiligheid. Wel dient er volgens het EHRM minstens sprake te zijn van de mogelijkheid dat de nationale veiligheid wordt aangetast, met andere woorden van een potentiële aantasting van de nationale veiligheid. Als er in het geheel geen aantasting van de nationale veiligheid verwacht kan worden, dan kan een inbreuk op de privacy niet worden gerechtvaardigd.[Voetnoot 78: Zie o.a. EHRM 6 september 1978 (Klass e.a./Duitsland) en EHRM 26 maart 1987 (Leander/Zweden).]

De Commissie heeft in haar onderzoeken naar de uitvoering van artikel 25 en 27 Wiv 2002[Voetnoot 79: Toezichtsrapport nr. 19. De toepassing door de AIVD van artikel 25 WIV 2002 (aftappen) en artikel 27 WIV 2002 (selectie van ongericht ontvangen niet-kabelgebonden telecommunicatie), Kamerstukken II 2008/09, 29 924, nr. 29 (bijlage), beschikbaar op www.ctivd.nl.] en naar de inlichtingentaak buitenland [Voetnoot 80: Toezichtsrapport nr. 26. De rechtmatigheid van de uitvoering van de inlichtingentaak buitenland door de AIVD, Kamerstukken II 2010/11, 29 924, nr. 67 (bijlage), beschikbaar op www.ctivd.nl.] deze jurisprudentielijn en de betekenis daarvan voor de AIVD uiteengezet. De Commissie heeft in die onderzoeken geconstateerd dat bijzondere bevoegdheden uitsluitend mogen worden ingezet in het kader van onderzoek naar onderwerpen die potentieel tot een aantasting van de nationale veiligheid zullen leiden. Hoe die aantasting zich uiteindelijk zal concretiseren is bij de inlichtingentaak buitenland moeilijker in te schatten dan bij de veiligheidstaak. De internationale ontwikkelingen en politieke intenties die in het kader van de inlichtingentaak buitenland worden onderzocht zullen immers vaak pas op lange(re) termijn een nadelig effect kunnen hebben op de nationale veiligheid van Nederland.

De Commissie hanteert een zelfde lijn voor de inzet van bijzondere bevoegdheden in het kader van de inlichtingentaak (buitenland) van de MIVD. Bij de inzet van bijzondere bevoegdheden in het kader van de a-taak en de e-taak dient aangegeven te worden waar de potentiële dreiging voor de nationale veiligheid uit bestaat.

Een element van het noodzakelijkheidsvereiste voor de inzet van bijzondere bevoegdheden is, behalve in artikel 18 Wiv 2002, ook neergelegd in artikel 32 Wiv 2002. Daarin is bepaald dat de inzet van een bijzondere bevoegdheid onmiddellijk wordt gestaakt indien het doel waartoe de bevoegdheid is uitgeoefend is bereikt. Dit betekent dat de MIVD voorafgaande aan de inzet van een bijzondere bevoegdheid een doel dient te hebben waarvoor de bijzondere bevoegdheid wordt ingezet en dat de verwachting dient te bestaan dat de opbrengst van de inzet van de bijzondere bevoegdheid bijdraagt aan het bereiken van dat doel. Na aanvang van de inzet van de bijzondere bevoegdheid dient te worden bezien of de opbrengst ook daadwerkelijk bijdraagt aan het doel. Is dat niet het geval dan moet de inzet van de bijzondere bevoegdheid worden beëindigd. Bij een verzoek om verlenging van de inzet van een bijzondere bevoegdheid dient dan ook nadrukkelijk aandacht te worden besteed aan de opbrengst van de bijzondere bevoegdheid en de meerwaarde daarvan voor het onderzoek.

5.2 De vereisten van subsidiariteit en proportionaliteit

Artikel 31 lid 1 Wiv 2002 bepaalt dat een bijzondere bevoegdheid pas mag worden ingezet als de beoogde verzameling van gegevens niet of niet tijdig op andere wijze, zonder de inzet van een bijzondere bevoegdheid, kan plaatsvinden. Het gaat hier om het gebruik van open bronnen of om het raadplegen van informatiebronnen waartoe aan de MIVD toegang is verleend, zoals politieregisters of de gemeentelijke basisadministratie. Als de MIVD de gewenste gegevens kan verzamelen door middel van deze bronnen, is het niet nodig een bijzondere bevoegdheid in te zetten. De afweging of dit het geval is, dient plaats te vinden voordat een bijzondere bevoegdheid wordt aangevraagd.
Van het niet of niet tijdig kunnen verzamelen van gegevens langs bedoelde twee wegen, is volgens de wetsgeschiedenis ook sprake indien er gerede twijfel bestaat over de volledigheid of betrouwbaarheid van de gegevens die men wel heeft verkregen langs die twee wegen. De beoordeling dat gegevens niet tijdig kunnen worden verzameld op deze manier is (mede) afhankelijk van de tijdsdruk die er bestaat om een bepaalde dreiging weg te nemen. Het spreekt voor zich dat de tijdsdruk erg groot dient te zijn om inderdaad van de raadpleging van de in artikel 31 lid 1 Wiv 2002 geschetste informatiebronnen af te mogen zien.[Voetnoot 81: Kamerstukken II 1997/98, 25 877, nr. 3, p. 52.]

De voorwaarde dat de inbreuk die door de inzet van de bevoegdheid gemaakt wordt zo licht mogelijk dient te zijn – ook bekend als het subsidiariteitsvereiste – is in de Wiv 2002 terug te vinden in artikel 31 lid 2 en in artikel 32. In artikel 31 lid 2 is bepaald dat slechts die bevoegdheid wordt uitgeoefend die, gelet op de omstandigheden van het geval, waaronder de ernst van de bedreiging van de door een dienst te beschermen belangen, in vergelijking met andere beschikbare bevoegdheden voor de betrokkene het minste nadeel oplevert. Dit komt terug in artikel 32 Wiv 2002, waarin onder meer is neergelegd dat de uitoefening van een bijzondere bevoegdheid wordt gestaakt indien met de uitoefening van een minder ingrijpende bevoegdheid kan worden volstaan.

In het pakket aan bijzondere bevoegdheden dat de MIVD ter beschikking staat valt niet zonder meer een hiërarchische structuur aan te brengen in de mate van inbreuk voor de betrokkene. De wetgever heeft echter wel verschillende gradaties aangebracht in de toestemming die moet worden gegeven voor de inzet van een bijzondere bevoegdheid. Een hoger toestemmingsniveau kan een zwaardere inbreuk op de rechten van de betrokkene impliceren. Gerichte interceptie (artikel 25 Wiv 2002) en selectie na ongerichte interceptie (artikel 27 Wiv 2002) kunnen dan beschouwd worden als zwaardere bijzondere bevoegdheden, omdat uitsluitend de minister van Defensie bevoegd is om toestemming te geven voor de inzet van de bevoegdheid. Dit ligt in het verlengde van de bescherming van het telefoon- en telegraafgeheim door artikel 13 van de Grondwet. Voor bepaalde andere bevoegdheden, zoals observatie of de inzet van een agent, is door mandatering toestemming op een lager niveau toegestaan, waardoor deze als lichtere bijzondere bevoegdheden kunnen worden gezien.

De zwaarte van de inbreuk wordt echter vooral bepaald door de technische en praktische invulling van een bijzondere bevoegdheid en de duur en opbrengst van de inzet. Wordt een frequentie bijvoorbeeld slechts kort geïntercepteerd of levert de selectie van ongerichte interceptie geen enkele treffer op, dan is de daadwerkelijke inbreuk minder groot dan wanneer de MIVD gedurende een jaar iedere maand de telefonieverkeersgegevens van een persoon opvraagt. Dit neemt overigens niet weg dat ook indien de inzet van de bijzondere bevoegdheid slechts korte tijd plaatsvindt en de opbrengst nihil is, er wel degelijk een inbreuk wordt gemaakt. Per geval zal moeten worden beoordeeld hoe zwaar de inbreuk is en of wordt voldaan aan het subsidiariteitsvereiste. Dit dient duidelijk terug te komen in de motivering voor de inzet van een bijzondere bevoegdheid en de motivering voor de verlenging van die inzet.[Voetnoot 82: Zie ook toezichtsrapport nr. 19. De toepassing door de AIVD van artikel 25 WIV 2002 (aftappen) en artikel 27 WIV 2002 (selectie van ongericht ontvangen niet-kabelgebonden telecommunicatie), Kamerstukken II 2008/09, 29 924, nr. 29 (bijlage), beschikbaar op www.ctivd.nl, paragraaf 4.2.]

Het proportionaliteitsvereiste houdt in dat de inbreuk die wordt gemaakt op de rechten van anderen in een redelijke verhouding dient te staan tot het doel dat met de inbreuk wordt gediend. Dit vereiste is in de Wiv 2002 tot uitdrukking gebracht in artikel 31, waarin is bepaald dat de uitoefening van een bevoegdheid achterwege blijft, indien de uitoefening ervan voor de betrokkene een onevenredig nadeel in vergelijking met het daarbij na te streven doel oplevert (lid 3) en dat de uitoefening van een bevoegdheid evenredig dient te zijn aan het daarmee beoogde doel (lid 4). Er dient dus een afweging plaats te vinden tussen het belang dat de MIVD heeft bij de inzet van de bijzondere bevoegdheid en de belangen van degene op wie de bijzondere bevoegdheid is gericht. De belangen van de betrokkene betreffen in ieder geval het recht op bescherming van diens privacy, maar kunnen ook andere rechten omvatten.[Voetnoot 83: Men kan hier bijvoorbeeld denken aan het verschoningsrecht of de diplomatieke onschendbaarheid.] Ook de proportionaliteitsafweging dient duidelijk terug te komen in de motivering voor de inzet van een bijzondere bevoegdheid en de motivering voor de verlenging van die inzet.

Over de inlichtingentaak buitenland van de AIVD stelt de CTIVD in rapport 31 overigens nog het volgende (voetnoot op genummerde pagina 103; de vetgedrukte markering is van mij):

De inlichtingentaak buitenland is ruimer geformuleerd [dan de veiligheidstaak, die is beperkt tot personen of organisaties door de doelen die zij nastreven dan wel door hun activiteiten aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de nationale veiligheid]. Er mag onderzoek ingesteld worden naar personen en organisaties als dit noodzakelijk is en in het kader van het onderzoek dat op basis van het Aanwijzingsbesluit van de minister president wordt verricht naar andere landen. Van een ernstig vermoeden van een gevaar voor de nationale veiligheid is geen sprake, een belang voor de nationale veiligheid is voldoende. In de rapporten 19 en 26 heeft de Commissie op basis van uitspraken van het EHRM geconstateerd dat er voor de inzet van bijzondere bevoegdheden meer nodig is. Om de inbreuk op de persoonlijke levenssfeer te rechtvaardigen moet een potentiële aantasting van de nationale veiligheid worden vastgesteld.

EOF

The EU Committee on Civil Liberties, Justice and Home Affairs (LIBE) Working Document on Democratic oversight of Member State intelligence services & EU intelligence (.pdf, Dec 12) suggests the following questions for debate:

• Given the extent of international cooperation by intelligence agencies in the EU it is crucial that the scope of this activity is subject to adequate control allowing oversight bodies to scrutinise international intelligence cooperation. There is a threat that with international cooperation, intelligence agencies in EU Member States may be able to receive communications that they could not otherwise lawfully gather themselves. As stated, the third party rule can serve as a barrier to proper oversight mechanisms if the established oversight committee is deemed as a third party. How can it be ensured that information received from a foreign or international agency is subject to adequate oversight? Would it be possible that oversight bodies were not considered as third parties? 

• How can national security measures, with a disposition towards the use of obscurity/ambiguity, be embedded in a democratic framework of parliamentary and judicial oversight? 

• What should the role and powers of the European Parliament be to exercise parliamentary oversight? Should the European Parliament create a specialized (sub-)committee that is able to receive and scrutinize classified information? How could the EP’s “power of the purse” (budget right) be used most effectively to support the possible increased role of scrutiny for the EP?

• If more cooperation and exchange of information takes place among national intelligence services, is it still effective to have exclusively national rules and oversight mechanisms for intelligence services within the EU? How to best organize within Europe collaborative oversight of intelligence services? 

• Can national oversight mechanisms, given the technological developments and the mobility of data, ensure that the civil rights of all EU citizens are respected by the different national intelligence services? If not, is there a need for minimum European standards or rules that intelligence services should adhere to regarding information exchange, data protection, transparency and oversight? 

EOF

Weekblad De Groene Amsterdammer is een deelnemer van klokkenluider-website Publeaks.nl. Die website is in september 2013 opgericht. In de colofon van De Groene staat standaard een verwijzing naar deze website:

Vertrouwelijke informatie kunt u ook naar ons sturen via publeaks.nl

In De Groene van 12 december 2013 staat de volgende oproep van de redactie:

Oproep aan Groene-lezers
Informatie over beleggingen en investeringen van zorgverzekeraars voor onderzoek naar het zorgstelselSinds augustus doen journalisten, in het kader van de masterclass onderzoeksjournalistiek onder leiding van Marcel Metze, bij De Groene Amsterdammer onderzoek naar de precieze invloed van zorgverzekeraars op de kostenontwikkelingen en financiële stromen in de zorgsector.

Om een goed begrip te krijgen van de positie van de zorgverzekeraars binnen het zorgstelsel is inzicht in de beleggingen en investeringen van deze bedrijven vereist. Beleggingslijsten kunnen bijvoorbeeld zeer behulpzaam zijn. Ook niet-zorggerelateerde investeringen kunnen van belang zijn.

Mensen die toegang hebben tot deze documenten kunnen via de beveiligde website publeaks.org de inkoopcontracten uploaden. Deze website is speciaal gemaakt zodat mensen met vertrouwelijke maar maatschappelijk relevante informatie deze met journalisten kunnen delen op een veilige en anonieme basis.

Wij hopen zeer dat u ons aan informatie kunt helpen.

Is dit de eerste keer dat vanuit de media zo’n specifieke oproep wordt gedaan om documenten te lekken?

EOF

UPDATE 2020-07-16: MinBuZa: Kamerbrief antwoord op motie over cybersurveillancetechnologie en exportcontrole

UPDATE 2015-12-09: more news regarding the US: The Force Awakens: Dec 8 Wassenaar Meeting Notes.

UPDATE 2015-07-16: on the US implementation that exceeds what was agreed on in the Wassenaar Arrangement: Coalition of Security Companies Forms to Oppose Wassenaar Rules (Threatpost)

UPDATE 2015-06-08: on the US implementation that exceeds what was agreed on in the Wassenaar Arrangement: Bug Bounties in Crosshairs of Proposed US Wassenaar Rules (Threatpost)

UPDATE 2015-05-26: Wassenaar Restrictions on Speech (Adam Shostack)

UPDATE 2015-05-25: Why changes to Wassenaar make oppression and surveillance easier, not harder (Halvar Flake)

UPDATE 2014-11-07: EU catches up, takes steps to control export of intrusion spyware, IP monitoring (Privacy International)

UPDATE 2013-12-13b: Privacy International covered Wassenaar here (Dec 6), here (Dec 9) and here (Dec 9) and published A guide to the Wassenaar Arrangement (Dec 10). Kudos to Eric King (@e3i5) for pointing this out!

UPDATE 2013-12-13: Collin D. Anderson points out that states have to codify the Wassenaar controls, and that “engagement is pretty key to avoiding harm and getting some use out of the regulations”. If you live in one of the 41 states that participate in the Wassenaar Arrangement, perhaps it’s a good idea to get engaged in your government’s codification of the export control on intrusion software. These are the participating states: Argentina, Australia, Austria, Belgium, Bulgaria, Canada, Croatia, Czech Republic, Denmark, Estonia, Finland, France, Germany, Greece, Hungary, Ireland, Italy, Japan, Latvia, Lithuania, Luxembourg, Malta, Mexico, Netherlands, New Zealand, Norway, Poland, Portugal, Republic of Korea, Romania, Russian Federation, Slovakia, Slovenia, South Africa, Spain, Sweden, Switzerland, Turkey, Ukraine, United Kingdom, and the United States.

============ ORIGINAL POST IS BELOW THIS LINE ============

As of December 4th 2013 “intrusion software” is export-controlled as a “dual-use” technology under the Wassenaar Arrangement. “A group of 41 countries, including all EU member states, the US and Russia, has decided to control the export of certain intrusive technologies”, states the blog of MEP Marietje Schaake (D66 party).

The List of Dual-Use Goods and Technologies of December 4th 2013 (.pdf) states that controls do not apply to technology available to the general public or to “basic scientific research” (does anyone know whether this indeed in practice exempts penetration testing and the security research community, academic and non-academic, as we know it today?). The primary aim of the export control is to prevent export to authoritarian regimes of “technology to spy on and repress their population”; the same technology “can also be used against us in a cyber-attack or for corporate espionage”. The blog states:

“That is a crucial first step, but this agreement does require more work. It lacks precision and the terms that are used are open for interpretation. Because of this, some dangerous technologies will not be controlled, whereas other harmless ones might be. We need clear definitions so that we do not inhibit the transfer of harmless software that helps people gain access to information or freedom of speech.”

I first cite some context from page 3, and below that, the parts that cover “intrusion software”:

GENERAL TECHNOLOGY NOTE
The export of “technology” which is “required” for the “development”, “production” or “use” of items controlled in the Dual-Use List is controlled according to the provisions in each Category. This “technology” remains under control even when applicable to any uncontrolled item.

Controls do not apply to that “technology” which is the minimum necessary for the installation, operation, maintenance (checking) or repair of those items which are not controlled or whose export has been authorised.

[…]

Controls do not apply to “technology” “in the public domain”, to “basic scientific research” or to the minimum necessary information for patent applications.

GENERAL SOFTWARE NOTE

The Lists do not control “software” which is any of the following:

1. Generally available to the public by being:

a. Sold from stock at retail selling points without restriction, by means of:

1. 1. Over-the-counter transactions;
   2. Mail order transactions;
   3. Electronic transactions; or
   4. Telephone call transactions; and

 b. Designed for installation by the user without further substantial support by the supplier;

Note: Entry 1 of the General Software Note does not release “software” controlled by Category 5 – Part 2 (“Information Security”).

2. “In the public domain”; or

3. The minimum necessary “object code” for the installation, operation, maintenance (checking) or repair of those items whose export has been authorised.

Note: Entry 3 of the General Software Note does not release “software” controlled by Category 5 – Part 2 (“Information Security”).

Page 72-74 mention “intrusion software” on the dual-use list:

DUAL-USE LIST – CATEGORY 4 – COMPUTERS
[…]

4.A SYSTEMS, EQUIPMENT AND COMPONENTS

4.A.5. Systems, equipment, and components therefor, specially designed or modified for the generation, operation or delivery of, or communication with, “intrusion software“.

4.D SOFTWARE
Note: The status of “software” for equipment described in other Categories is dealt with in the appropriate Category.

4.D.1. “Software” as follows:

a. “Software” specially designed or modified for the “development” or “production” of equipment or “software” specified by 4.A. or 4.D.

[…]

4.D.2. “Software” specially designed or modified to support “technology” specified by 4.E.

[…]

4.D 4. “Software” specially designed or modified for the generation, operation or delivery of, or communication with, “intrusion software“.

4. E. TECHNOLOGY

4. E. 1. “Technology” as follows:

1. “Technology” according to the General Technology Note, for the “development”, “production” or “use” of equipment or “software” specified by 4.A. or 4.D.

a. […]

b. […]

c. “Technology” for the “development” of “intrusion software“.

Page 209 defines “intrusion software” :

DEFINITIONS

Cat 4 “Intrusion software“: “Software” specially designed or modified to avoid detection by ‘monitoring tools’, or to defeat ‘protective countermeasures’, of a computer or network- capable device, and performing any of the following:

a. The extraction of data or information, from a computer or network- capable device, or the modification of system or user data; or

b. The modification of the standard execution path of a program or process in order to allow the execution of externally provided instructions.

Notes:

1. “Intrusion software” does not include any of the following:
   a. Hypervisors, debuggers or Software Reverse Engineering (SRE) tools;
   b. Digital Rights Management (DRM) “software”; or
   c. “Software” designed to be installed by manufacturers, administrators or users, for the purposes of asset tracking or recovery.
2. Network-capable devices include mobile devices and smart meters.

Technical Notes

1. ‘Monitoring tools’: “software” or hardware devices, that monitor system behaviours or processes running on a device. This includes antivirus (AV) products, end point security products, Personal Security Products (PSP), Intrusion Detection Systems (IDS), Intrusion Prevention Systems (IPS) or firewalls.

2. ‘Protective countermeasures’: techniques designed to ensure the safe execution of code, such as Data Execution Prevention (DEP), Address Space Layout Randomisation (ASLR) or sandboxing.

EOF

On November 18th 2013, two Dutch MP’s asked questions to Dutch administration about the capacity of the antennas on U.S. embassy in The Hague — and whether the antennas are used to spy on communication in the vicinity of that embassy, notably including the `Binnenhof‘, which is the center of Dutch politics. Below is my translation of the Dutch govt’s answers (.pdf, in Dutch) that were published on December 9th 2013.

Questions from members Van Raak (SP) and Segers (ChristenUnie) to the Prime Minister and the Minister of the Interior about the capacity of the antennas on the roof of the U.S. embassy in The Hague (submitted November 18th 2013)1. Have you taken note of the Radio 1 program ‘Met het oog op morgen’ having addressed the topic of the capacity of the antennas on the roof of the U.S. embassy?
Yes.

2. Have you taken note of the fact that these antennas allow interception of data traffic in the wider area of the embassy, hence including the Binnenhof and the Ministry of General Affairs, and can be intercepted and decoded, so that this information can be made legible and audible?
I cannot confirm the facts mentioned in the question. As I said earlier in response to spoken questions from Mr. Van Raak (SP) of October 29th, it is technically possible to intercept telephone traffic in the vicinity of a building. The fact that this is technically possible, does not mean it actually happens. Antennas are commonly placed on an embassies for their own communication.

3. Is the interception, decoding and examination of data traffic by an embassy in the Netherlands legal?
The conducting of intelligence operations by foreign powers in the Netherlands is not acceptable, unless formal approval is requested in accordance with the applicable procedures. It is possible that other countries believe that there is a good reason to gather intelligence in the Netherlands. In such a case, the country needs to address a request to the Minister of the Interior and Kingdom Relations (via the AIVD) or the Minister of Defense (via the MIVD). The request will then be evaluated within the framework of Dutch law. The government considers any activity outside that legal framework to be unacceptable. The two services carry out a structural investigation of espionage by foreign powers in the Netherlands. Also see Parliamentary Paper 30997 No. 63.

4. Are your prepared to ask the U.S. Ambassador whether the antennas on the roof of the embassy are used for the purposes stated above? If not, why not? If so, would you please inform us about the outcome of that conversation?
The Ministry of the Interior will contact the U.S. embassy. I will inform you about the outcomes. I will have to take any confidentially of this information into account.

5. Do you have any reason to believe that, like the U.S. embassies elsewhere in the world, the U.S. embassy in The Hague has eavesdropped on telephone conversations and intercepted data traffic?
At present, there is no reason to assume that the U.S. does not comply with the aforementioned agreements. As stated in the answer to question 3, the conducting of intelligence operations by foreign powers in the Netherlands is only allowed after prior approval by the Minister of the Interior or the Minister of Defense. This was recently put forward again during regular contacts with the U.S. embassy.

EOF

UPDATE 2015-07-02: the Dutch government released a draft intelligence bill, which implements (some of) the outcomes of the review by the Dessens Committee, into public consultation. Details here.

Between February 2013 and December 2013, the ‘Dessens Committee’ reviewed the Dutch Intelligence & Security Act of 2002 (aka `WIV2002′). On December 2nd their final report was published (.pdf, in Dutch). The conclusions and recommendations in that report will be debated in Dutch Parliament in January 2014. Eventually a bill will emerge for revising the WIV2002.

The report is an excellent 196-page read that covers the entire WIV2002, relevant parts of Parliamentary history, reflection on oversight in other countries, collaboration between the AIVD and MIVD, collaboration with foreign agencies, oversight on spy involvement in crime as part of investigations, and more. In this post I only address the parts concerning SIGINT (undirected interception) and wiretapping (directed interception).

As was generally expected, the committee recommends that SIGINT powers be extended from only non-cablebound (current situation) to cablebound communication as well. The report does not mention the annually recurring SIGINT oversight failure I described here, but does suggest changes to strengthen the oversight, including a proper specification of the motivation includes in the request for Ministerial approval for exercise of special powers. Lack of motivation was one of the main problems that led me to state that oversight on SIGINT is currently “still broken”. Other issues remain IMHO, including composition of the Review Committee on the Intelligence and Security Services (CTIVD) — which will be entirely composed of former crimefighters as of January 1st 2014 (a former District Attorney, a former police chief and a former chairman of the Attorneys General). More on that later. [UPDATE 2014-12-26: based on oversight reports that have been published by the new committee throughout 2014, I revoke these initial doubts.]

Below is my translation of the Dessens Committee’s conclusions and recommendations concerning the use of special powers in the digital world (wiretapping, SIGINT, hacking). Parts in [] are mine. Below that is my translation of the new legal system for interception that is proposed (note: the Dessens Committee did not propose a bill: a bill will probably emerge after the Parliamentary debate on surveillance etc. that is scheduled in January 2014).

I welcome your questions, corrections and requests for translation: koot at cyberwar dot nl (email) or @mrkoot (Twitter).

WARNING: this is an unofficial translation.

8.5 Conclusions and recommendations concerning the use of special powers in the digital world

The committee finds that the WIV2002, regarding the interception rules in Article 26 and Article 27, is ‘technology-dependent’ and has become outdated by technological advances and new communication possibilities. Technological development is here to stay, will only increase, and offers both advantages and disadvantages, including to the intelligence and security services.

Original Dutch: “De evaluatiecommissie constateert dat de Wiv wat betreft de interceptiebepalingen 26 en 27 Wiv ‘techniekafhankelijk’ is opgesteld en door de voortschrijdende technologie en nieuwe communicatiemogelijkheden gedateerd is. Technologisering is niet meer weg te denken, neemt alleen maar toe en biedt zowel voor- als nadelen, ook voor de I&V-diensten.”

The committee concludes that the current distinction between “ether” and “cable”, resulting in technology-dependent interception provisions of the WIV2002 no longer fitting the rapidly advancing technological developments in the field of data traffic and communication. The current system of interception provisions does little justice to the necessary powers in the context of national security in the year 2013, but also no (longer) provides the necessary safeguards that should apply in the exercise of special powers. The potential effects of medium-dependent or technology-dependent constraints are too great to ignore. The committee finds that undirected interception of cablebound communications should be allowed, under simultaneous review and strengthening of the legal safeguards of permission and oversight, linked to the interception provisions.

Original Dutch: “De evaluatiecommissie komt tot de conclusie dat het huidige onderscheid tussen ‘de ether’ en ‘de kabel’, resulterend in techniekafhankelijke interceptiebepalingen van de Wiv, niet meer rijmt met de snel voortschrijdende technologische ontwikkelingen op het gebied van dataverkeer en communicatie. Het systeem van interceptiebepalingen doet anno 2013 te weinig recht aan de noodzakelijke bevoegdheden in het kader van de nationale veiligheid maar voldoet ook niet (meer) aan de noodzakelijke waarborgen die moeten gelden bij de uitoefening van genoemde bijzondere bevoegdheden. De potentiële gevolgen van medium- of techniekafhankelijke beperkingen zijn te groot om te veronachtzamen. De evaluatiecommissie vindt dat ongerichte kabelgebonden interceptie van communicatie moet worden toegestaan, onder gelijktijdige herziening en versteviging van de wettelijke waarborgen van toestemming en toezicht, verbonden aan de interceptiebepalingen.”

The committee is of the opinion that as the invasion of privacy and the confidentiality of communications is more intrusive, the authorization procedure and supervision should be stronger embedded. It should be the intrusiveness of cognizance of communication, and not the transport medium or the current state of technology, that determines the requirements for obtaining permission and the supervision of legality.

Original Dutch: “De evaluatiecommissie is van mening dat naarmate de inbreuk op de privacy en het communicatiegeheim indringender is, de toestemmingsprocedure en het toezicht ook sterker ingebed moeten zijn. Hierbij moet de indringendheid van kennisname van communicatie, en niet meer het transportmedium of de stand der techniek, bepalend zijn voor de toestemmingsvereisten en het toezicht op rechtmatigheid.”

In the opinion of the committee, a new dichotomy could be created that replaces the current Articles 25, 26 and 27. This dichotomy is related to the type of (interception) activity, the intrusiveness of cognizance of communication and hence the degree of privacy infringement and the associated requirements for obtaining permission. Undirected interception of cablebound communications and several variations of ‘search’ (as established by the Review Committee on the Intelligence and Security Services (CTIVD)) can be part of this dichotomy. Section 5.3.2 outlines a conceptual framework to this end. The committee recommends requiring Ministerial permission for ‘search’, and additional requirements and immediate supervision by the CTIVD as the invasion of privacy is more targeted and more pervasive. At the stage where infringements are potentially most intrusive, oversight occurs immediately after the permission has been granted.

Original Dutch: “Er zou naar de opvatting van de evaluatiecommissie een nieuwe tweedeling gemaakt kunnen worden, die de huidige artikelen 25, 26 en 27 vervangt. Deze tweedeling houdt verband met het type (interceptie)activiteit, de indringendheid van kennisname van communicatie en daarmee de mate van privacyinbreuk, en de hieraan gekoppelde toestemmingsvereisten. Ongerichte kabelgebonden interceptie en de verschillende varianten van search (zoals geconstateerd door de CTIVD) kunnen van deze tweedeling dan deel uitmaken. In paragraaf 5.3.2 is hiervoor een conceptueel raamwerk geschetst. De evaluatiecommissie beveelt een ministeriële toestemming aan voor search, alsook aanvullende toestemmingsvereisten en onmiddellijk toezicht door de CTIVD naarmate de inbreuk op de privacy gerichter en indringender wordt. In de fase waarin de inbreuken potentieel het meest indringend zijn vindt het toezicht onmiddellijk na de toestemmingverlening plaats.”

Extending this line of reasoning of the conceptual framework, the committee recommends that the requirements for permission in Article 24 [=legal power to hack systems] and the oversight on these powers be aligned with the second phase of the legal framework for interception. This means that permission for the use of Article 24 powers should be given by the Minister himself and that the CTIVD immediately oversees the mandates. The committee also recommends that immediate oversight also be applied to the powers provided by Article 20, paragraph 3, and Article 22, paragraph 6, The committee also recommends to act with restrain concerning delegation of authority for exercising powers that can infringe on rights.

Original Dutch: “In het verlengde van de bovenstaande gedachtelijn van het conceptueel raamwerk beveelt de evaluatiecommissie aan om het toestemmingsvereiste in artikel 24 en het toezicht op deze bevoegdheden in lijn te brengen met de tweede fase van het interceptieraamwerk dat is geschetst. Dat betekent dat de toestemming voor de inzet van artikel 24 door de minister zelf moet worden gegeven en de CTIVD onmiddellijk toezicht houdt op de lastgevingen. De evaluatiecommissie beveelt aan om het onmiddellijk toezicht ook op de bevoegdheden ex artikel 20, lid 3, en 22, lid 6, te laten zien. De evaluatiecommissie beveelt verder aan om terughoudend te zijn met het (door)mandateren van bevoegdheden die inbreuk kunnen maken op grondrechten.”

The committee recommends that the legislature, in drafting a new bill to amend the WIV2002, explicitly accounts for the criteria defined by the motion Franken. Considering that it will be new legislation involving a restriction of privacy rights, the committee recommends that in the legislative process and in the final decision, the requirements of the motion Franken are included, as already promised by the Minister of Interior.

Original Dutch: “De evaluatiecommissie adviseert de wetgever, bij het formuleren van een nieuw wetsvoorstel tot wijziging van de Wiv 2002, om zich nadrukkelijk rekenschap te geven van (de criteria in) de motie-Franken. Aangezien het hier zal gaan om nieuwe wetgeving waarbij sprake is van een beperking van het recht op eerbiediging van de persoonlijke levenssfeer, beveelt de evaluatiecommissie aan dat in het wetgevingsproces en in de uiteindelijke besluitvorming hierover de vereisten van de motie-Franken worden meegenomen, zoals reeds toegezegd door de Minister van BZK.”

The committee has examined whether the oversight of the use of special powers is currently sufficiently strong. The committee has also included in this Article 13 of the Dutch Constitution [confidentiality of mail], the jurisprudence of the ECHR and developments in the neighboring countries involved in this issue. An analysis has been made of the different variants of oversight before and after the use of intelligence means. On this basis, the committee recommends to strengthen the oversight afterwards. In the view of the committee, reinforced oversight (afterwards) combined with better designed control (before) and other permission requirements result in better consistency of safeguards in the use of special powers.

Original Dutch: “De evaluatiecommissie heeft zich gebogen over de vraag of het huidige toezicht op de inzet van bijzondere bevoegdheden voldoende sterk is. De evaluatiecommissie heeft bij dit vraagstuk ook artikel 13 van de Grondwet, de jurisprudentie van het EHRM en ontwikkelingen in de landen om ons heen betrokken. Er is een analyse gemaakt van de verschillende varianten van toezicht vooraf en achteraf op de inzet van inlichtingenmiddelen. Op basis daarvan doet de evaluatiecommissie de aanbeveling om het toezicht achteraf te versterken. In de visie van de evaluatiecommissie zal verstevigd toezicht (achteraf), gecombineerd met beter vormgegeven sturing (vooraf) en andere toestemmingsvereisten resulteren in een betere samenhang van waarborgen bij de inzet van bijzondere bevoegdheden.”

The committee recommends making the assessments of legality by the CTIVD legally binding. The committee finds that the legally binding assessment by the CTIVD must cover all special powers. The committee believes it is not desirable that the WIV2002 leaves open the possibility that Ministers lay down opinions of CTIVD beside them. If the CTIVD concludes that a charge is issued illegally, the intelligence service should immediately cease the use of this special power. An exception should apply to the authority to open letters and other consignments (Article 23, first paragraph), for which a judicial approval should be asked, and for the use of special powers to trace the sources of journalists. In these situations a judicial approval will be prescribed. The legislature may also consider giving the CTIVD the power to suspend a mandate at first. There are situations where the (il)legality of a mandate is not immediately clear, and explanation or a more detailed justification is needed to use a specific power. In addition, the committee recommends that the CTIVD immediately oversees the mandates in the second phase of the legal framework for interception outlined by the committee. The committee recommends performing oversight as soon as possible after the permission is granted, because with these powers a major invasion of privacy potentially occurs. It is thereby necessary to expand the CTIVD, at least with respect to the departmental support.

Original Dutch: “De evaluatiecommissie beveelt daarbij aan om de rechtmatigheidsoordelen van de CTIVD een juridisch bindende kracht te geven. De evaluatiecommissie vindt dat het bindend rechtmatigheidsoordeel van de CTIVD moet zien op alle bijzondere bevoegdheden. De evaluatiecommissie acht het namelijk niet wenselijk dat de Wiv de mogelijkheid openlaat dat ministers een dergelijk rechtmatigheidsoordeel van de CTIVD naast zich neer leggen. Als de CTIVD tot de conclusie komt dat een afgegeven last onrechtmatig is, moet de dienst de uitvoering van deze bijzondere bevoegdheid, voor zover deze op dat moment al is aangevangen, direct staken. Een uitzondering moet gelden voor de bevoegdheid om brieven en andere geadresseerde zendingen te openen, waarvoor een rechterlijke last moet worden gevraagd (artikel 23, eerste lid, Wiv), en voor de inzet van bijzondere bevoegdheden om de bronnen van journalisten te achterhalen, als ook in die situaties een rechterlijke last zal worden voorgeschreven. De wetgever kan daarbij ook overwegen om de mogelijkheid te creëren dat de CTIVD de bevoegdheid krijgt om een lastgeving eerst te schorsen. Er zijn situaties denkbaar waarin de (on)rechtmatigheid van een lastgeving niet direct glashelder is en zij behoefte heeft aan een nadere uitleg of een uitgebreidere motivering van de noodzaak om een bepaalde bevoegdheid in te zetten. Daarnaast beveelt de evaluatiecommissie aan dat de CTIVD onmiddellijk toezicht uitoefent op de lastgevingen in de tweede fase van het interceptiestelsel dat de evaluatiecommissie heeft geschetst. De evaluatiecommissie beveelt aan om dit toezicht zo snel mogelijk na de toestemmingverlening te verrichten omdat bij deze bevoegdheden potentieel een grote inbreuk op de privacy plaatsvindt. Het is daarbij noodzakelijk om de CTIVD navenant uit te breiden, in ieder geval voor wat betreft de ambtelijke ondersteuning.”

The committee explains the following about the dichotomy they suggest as a replacement for Articles 25, 26 and 27:

5.3.2 Framework for a future legal system for interception
(…)

The first article, the first step in a new system, would give intelligence services the power to intercept telecommunications and test the data for usefulness/fitness. The committee finds that the power to ‘search’ must be subject to Ministerial approval. The committee is of the opinion that also in an exploration using general keywords, you should be able to justify what you’re looking for and why. Purpose and necessity must be demonstrated here too. The committee considers a mandate to be necessary for search. The mandate is possibly long-term but delineated in time and can be quite generic in nature but must be bound to a particular investigation. The committee herewith aligns with a judgement in CTIVD-report 28: “The fact that during search, contents of communication are [only] known for a brief period and do not involve the entire contents of the communications, does not change the fact that indeed infringement is made on the right to confidentiality of telephone and telegraph communications laid down in Article 13 of the Constitution.” From this, the CTIVD concludes that searching requires advance authorization in the sense of Article 13 of the Constitution. The committee emphasizes the recommendation to introduce a required mandate in a new legal system for interception that involves increased powers.

Original Dutch: “Een eerste artikel, de eerste trede in een nieuw stelsel, zou de diensten de bevoegdheid kunnen geven om telecommunicatie te mogen intercepteren en de gegevens te toetsen op bruikbaarheid. De evaluatiecommissie vindt dat de bevoegdheid tot ‘search’ onderworpen moet zijn aan ministeriële toestemming. De evaluatiecommissie is van mening dat je ook bij een verkenning met algemene zoektermen moet kunnen beargumenteren waarnaar je op zoek bent en waarom. Nut en noodzaak moeten ook hier kunnen worden aangetoond. Een lastgeving voor search, die eventueel langlopend maar wel afgebakend in tijd en vrij generiek van aard kan zijn maar in ieder geval gekoppeld moet zijn aan een bepaald onderzoek, acht de commissie dus noodzakelijk. Hiermee sluit de evaluatiecommissie aan bij een oordeel van de CTIVD in haar toezichtrapport nr. 28: ‘Ook het gegeven dat bij het searchen voor een korte tijd wordt kennisgenomen van de inhoud van de communicatie en dat het niet gaat om de volledige inhoud van de communicatie doet niets af aan het feit dat wel degelijk inbreuk wordt gemaakt op het in artikel 13 van de Grondwet neergelegde telefoon- en telegraafgeheim’. De CTIVD concludeert hieruit dat aan de uitoefening van de bevoegdheid te searchen een machtiging in de zin van artikel 13 van de Grondwet vooraf dient te gaan. De evaluatiecommissie benadrukt de aanbeveling om bij de introductie van een nieuw stelsel van interceptiebepalingen, waarbij sprake is van verruimde mogelijkheden, een lastgeving voor search in te voeren.”

By allowing search of cablebound communications, the intelligence services, even for the sole fact that the cable infrastructure is privately owned and the necessity to funnel the huge amount of data traffic (i.e., filtering for relevance to their tasks), end up in the situation that they need to make agreements with telecom providers about cable infrastructures and internet exchanges. The committee is of the opinion that the choice of a provider and the choice of an exchange or cable, to then ‘search’ it, must be subject to Ministerial permission, that then also involves an order for the provider to provide access to a particular cable.

 

Original Dutch: “Met het toestaan van kabelgebonden search komen de diensten in de situatie, alleen al vanwege het feit dat de kabelinfrastructuur in private handen is en vanwege de noodzaak om de enorme hoeveelheid dataverkeer te trechteren (dat wil zeggen te filteren op relevantie voor hun taakuitvoering), dat zij afspraken moeten maken met telecomaanbieders over kabelinfrastructuren en internetknooppunten. De evaluatiecommissie is van mening dat de keuze van een aanbieder en de keuze van een knooppunt of kabel, om daarop vervolgens te ‘searchen’ onderworpen moet zijn aan een ministeriële toestemming, die tevens een opdracht inhoudt voor de provider om toegang te verlenen tot een bepaalde kabel.”

The second step in a new legal system for interception could be said to be the phase in which the collected data are used. This [‘usage’] phase both the analysis (step 2a) and the subject-oriented in-depth investigation (step 2b). The analysis (2a) concerns the data that are collected via the aforementiond power of search. With a new Ministerial approval, the intelligence services could determine the relevance of certain traffic through metadata analysis and selection. In step 2a, further funneling or filtering of the (streams of) communication to be examined takes place through a further selection based on numbers, technical characteristics or keywords. This step includes elements of the current Article 27 but at the same time provides a legal basis for the two variations of search [already] carried out by the MIVD that are contended by the CTIVD and involve an additional, and sometimes new selection.

The committee is strongly in favor of a proper specification of the motivation that must precede the analysis step (2a). With the [introduction of] permission of undirected interception of cablebound communication, the intelligence services must provide  insight in the actual considerations[/deliberation] concerning necessity, proportionality and subsidiarity, and must include these in requests for permission sent to the Minister, specifying the person, organization, region or phenomenon that the investigation is targeting. Hence the committee is of the opinion that this power can only be exercised by the intelligence services after a new Ministerial approval. It involves a more invasive infringement on privacy than the aforementioned power of search, meaning that in the view of the committee, a new safeguard is necessary in the form of Ministerial approval.

Original Dutch: “De tweede trede in een nieuw stelsel van interceptiebepalingen zou aangeduid kunnen worden als de fase waarin de gegevens die zijn binnen gehaald, worden gebruikt. In deze gebruikfase vindt zowel de analyse plaats (trede 2a) als het subjectgerichte diepteonderzoek (trede 2b). De analyse (2a) heeft betrekking op de data die via de voornoemde searchbevoegdheid zijn verkregen. Met een nieuwe ministeriële toestemming zouden de diensten via metadata-analyse en selectie de relevantie van bepaald verkeer kunnen vaststellen. In fase 2a vindt aldus door een nadere selectie aan de hand van nummers, technische kenmerken of trefwoorden een verdere trechtering of filtering van de te onderzoeken communicatie(stromen) plaats. Deze fase herbergt elementen van het huidige art. 27 Wiv in zich maar geeft tegelijkertijd een wettelijke basis aan de twee door de CTIVD ‘betwiste’ search-varianten van de MIVD waarin sprake is van aanvullende, soms nieuwe selectie.
De evaluatiecommissie is sterk voorstander van een deugdelijke specificatie van de motivering die vooraf moet gaan aan de analysestap (trede 2a). Zo zullen de diensten, met het toestaan van ongerichte kabelgebonden interceptie, ruim inzicht moeten geven in de daadwerkelijk gemaakte afwegingen omtrent noodzakelijkheid, proportionaliteit en subsidiariteit en deze moeten opnemen in de verzoeken om toestemming aan de minister, toegespitst op de persoon, organisatie, regio of fenomeen waar het onderzoek op is gericht. De evaluatiecommissie is dan ook van oordeel dat deze bevoegdheid alleen kan worden ingezet door de diensten na een nieuwe ministeriële toestemming. Het gaat hier om een verdergaande inbreuk op de privacy dan de voornoemde searchbevoegdheid waardoor naar het oordeel van de evaluatiecommissie een nieuwe waarborg in de vorm van een ministeriële toestemming noodzakelijk is.”

Step 2b in a new legal system for interception should concern the actual use at the subject[/person] level of collected communication data and directed intercepts, as currently laid down in Article 25. The intelligence services would be permitted to examine the contents of the intercepted communication after Ministerial approval. In this last step, the communication that is considered to be relevant has been filtered with the aim of further, subject-oriented, investigation. In this step, the Ministerial approval must comply with the safeguards related to the largest infringement on citizen rights. The committee therefore considers it to be a safeguard if the intelligence services apply a functional separation [/separation of duty] between those who collect the data (in step 1) and those who process the data for the purpose of use (in step 2). The committee finds it reassuring that an organizational and/or functional separation will exist between an ‘interception unit’ (the Joint Sigint Cyber Unit) and its two clients, the AIVD and MIVD. Both services are ultimately the institutions that determine whether intercepts are relevant, processed into intelligence products and distributed to intelligence consumers.

Original Dutch: “Deel b van de tweede trede (2b) in een herzien stelsel van interceptiebepalingen zou toezien op het daadwerkelijk op subjectniveau gebruiken van verzamelde communicatiegegevens en gerichte interceptie, zoals vastgelegd in het huidige artikel 25. Hierbij zouden de diensten de inhoud van geïntercepteerde communicatie mogen onderzoeken na een nieuwe ministeriële toestemming. In deze laatste stap is het relevant geachte communicatieverkeer gefilterd ten behoeve van verder, op het subject gericht, onderzoek. In deze stap zou een afgegeven ministeriële toestemming moeten voldoen aan de waarborgen die gelden bij de meest vergaande inbreuk op de grondrechten van burgers. De evaluatiecommissie beschouwt het ook als een waarborg als er bij de diensten een functionele scheiding wordt aangebracht tussen diegenen die communicatiegegevens verwerven (in trede 1) en zij die deze gegevens verwerken ten behoeve van het gebruik (in trede 2). De commissie vindt het vertrouwenwekkend dat er straks een organisatorische en/of functionele scheiding is tussen een ‘interceptie-eenheid’ (straks de Joint Sigint Cyber Unit) en twee opdrachtgevers, zijnde de AIVD en de MIVD. Beide diensten zijn uiteindelijk ook de instanties die bepalen of de intercepts relevant zijn, verwerkt worden tot inlichtingenproducten en verspreid worden naar afnemers.”

Related:

• 2013-11-09: Oversight on Dutch SIGINT is still broken (blog)

EOF

UPDATE 2014-02-21: according to this (.pdf) declassified document “Recall from OVSC1100, the Overview of Signals Intelligence Authorities, that we learned that in addition to E.O. 12333, NSA may perform SIGINT functions under various FISA authorities to include NSA FISA, FBI FISA, FISA Amendments Act (FAA) Section 702, 704, and 705(b). While there are specific rules governing when and how these authorities may be applied, each of these authorities has the potential to provide a valuable and unique complement to our E.O. 12333 collection resources. Similarly, the BR and PR/TT Bulk Metadata Programs provide analysts with another opportunity to gain unique collection on a target. By leveraging as many of these various collection authorities available to them as permitted, analysts can fill existing knowledge gaps on their target. (…) One prime example of how an analyst leveraged several of these collection authorities to close crucial knowledge ga ps on a target occurred in Fall 2009, when a CT analyst pieced together information obtained from E.O. 12333, FAA 702, and BR FISA authorities to reveal a terrorist plot on the New York subway system, which was subsequently disrupted by the FBI.”
UPDATE 2014-01-{23,24}: in the U.S., the Privacy & Civil Liberties Oversight Board (PCLOB), an ‘independent federal privacy watchdog’ has found the telephony metadata collection under Section 215 to be illegal in their new report (.pdf, Jan 23). NY Times reported about it here, WaPo here, Ars Technica here, FAS here.
UPDATE 2014-01-17: DNI declassified 24 FISC orders approving NSA’s collection, use of telephony metadata under FISA Section 501, commonly referred to as ‘Section 215’, as does the EU-US Working Group report. Journalist Marcy Wheeler (@emptywheel) notes: “Of particular note, though, they seem to be withholding the BR 09-15 primary order, which was right in the middle of PATRIOT reauthorization, when NSA kept disseminating results in violation of Reggie Walton’s orders.”

UPDATE 2013-12-16: a partially declassified list of EU participants to the Working Group can be found here (.pdf).
UPDATE 2013-12-09: here is an excerpt from Viviane Reding’s speech (.doc) during the Civil Liberties Committee hearing of December 9th on Data Protection and U.S. Surveillance European Parliament/Strasbourg (original emphasis):

[…]

Let’s be honest. Some questions were not answered. The report is clear on this point. We know little about the use of some US legal bases on data collection (such as executive orders), the existence of other surveillance programmes, as well as limitations applicable to these programmes.

Many questions were answered. They are the raw material, the basis, of the recommendations that the Commission has made.

I would draw three main conclusions from the discussions.

First, the U.S. confirmed that these programmes exist and that their scope is broad. We had long discussions about the purpose of the surveillance programmes, and the conditions under which data can be collected and processed under U.S. law.

Second, the conditions and safeguards which apply are discriminatory. They protect EU citizens only to a limited extent. Whilst there are procedures regarding the targeting and minimisation of data collection for U.S. citizens, these procedures do not apply to EU citizens, even when they have no connection with terrorism, crime or any other unlawful or dangerous activity. In addition, while U.S. citizens benefit from constitutional protections, these do not apply to EU citizens not residing in the U.S.

Third, while some judicial oversight exists, it is of little added value from the perspective of a European. The orders of the Foreign Intelligence Surveillance Court, the FISA Court, are secret and companies providing assistance are required to maintain secrecy. There are no avenues (judicial or administrative), for either EU or U.S. data subjects to be informed whether their personal data is being collected or further processed. There are no opportunities for individuals to obtain access, rectification or erasure of data, or administrative or judicial redress.

While there are oversight mechanisms by the three branches of the U.S. Government, it is clear that they have loopholes. You are aware of the internal U.S. debates on this point.

In any case, there is no judicial oversight at all on the collection of foreign intelligence outside the U.S., which is conducted under the sole competence of the Executive Branch.

[…]

In addition, the following four steps for rebuilding trust in EU-US data flows “stand out” (for details, see the original document):

1. a swift adoption of the EU Data Protection Reform.
2. we must make Safe Harbour safer.
3. we have to agree strong data protection rules in the law enforcement context.
4. we must ensure that European concerns are addressed in the ongoing U.S. reform process.

 
============ ORIGINAL POST IS BELOW THIS LINE ============

The EU co-chairs of the ad hoc EU-US Working Group on Data Protection presented (.pdf, Nov 27) their findings in a report. The Working Group was established “to establish the facts about US surveillance programmes and their impact on fundamental rights in the EU and personal data of EU citizens” (p.2).

Summary of main findings (cited from p.26/27; original emphasis):

1. Under US law, a number of legal bases allow large-scale collection and processing, for foreign intelligence purposes, including counter-terrorism, of personal data that has been transferred to the US or is processed by US companies. The US has confirmed the existence and the main elements of certain aspects of these programmes, under which data collection and processing is done with a basis in US law that lays down specific conditions and safeguards. Other elements remain unclear, including the number of EU citizens affected by these surveillance programmes and the geographical scope of surveillance programmes under Section 702.
2. There are differences in the safeguards applicable to EU data subjects compared to US data subjects, namely:
   • i. Collection of data pertaining to US persons is, in principle, not authorised under Section 702. Where it is authorised, data of US persons is considered to be “foreign intelligence” only if necessary to the specified purpose. This necessity requirement does not apply to data of EU citizens which is considered to be “foreign intelligence” if it relates to the purposes pursued. This results in lower threshold being applied for the collection of personal data of EU citizens.
   • ii. The targeting and minimisation procedures approved by FISC under Section 702 are aimed at reducing the collection, retention and dissemination of personal data of or concerning US persons. These procedures do not impose specific requirements or restrictions with regard to the collection, processing or retention of personal data of individuals in the EU, even when they have no connection with terrorism, crime or any other unlawful or dangerous activity. Oversight of the surveillance programmes aims primarily at protecting US persons.
   • iii. Under both Section 215 and Section 702, US persons benefit from constitutional protections (respectively, First and Fourth Amendments) that do not apply to EU citizens not residing in the US.
3. Moreover, under US surveillance programmes, different levels of data protection safeguards apply to different types of data (meta-data vs. content data) and different stages of data processing (initial acquisition vs. further processing/analysis).
4. A lack of clarity remains as to the use of other available legal bases, the existence of other surveillance programmes as well as limitative conditions applicable to these programmes. This is especially relevant regarding Executive Order 12333.
5. Since the orders of the FISC are classified and companies are required to maintain secrecy with regard to the assistance they are required to provide, there are no avenues, judicial or administrative, for either EU or US data subjects to be informed of whether their personal data is being collected or further processed. There are no opportunities for individuals to obtain access, rectification or erasure of data, or administrative or judicial redress. 
6. Various layers of oversight by the three branches of Government apply to activities on the base of Section 215 and Section 702. There is judicial oversight for activities that imply a capacity to compel information, including FISC orders for the collection under Section 215 and annual certifications that provide the basis for collection under Section 702. There is no judicial approval of individual selectors to query the data collected under Section 215 or tasked for collection under Section 702. The FISC operates ex parte and in camera. Its orders and opinions are classified, unless they are declassified. There is no judicial oversight of the collection of foreign intelligence outside the US under Executive Order 12333, which are conducted under the sole competence of the Executive Branch.”

For my own purposes I keep my notes here (emphasis is mine):

1. AIM AND SETTING UP OF THE WORKING GROUP

p.2: “Given the central position of US information and communications technology companies in the EU market, the transatlantic routing of electronic data flows, and the volume of data flows across the Atlantic, significant numbers of individuals in the EU are potentially affected by the US programmes.”

p.3: “The report is based on information provided by the US during the meetings of the ad hoc EU-US working group, as well as on publicly available documents, including classified documents disclosed in the press but not confirmed by the US. (…) The US was provided with an opportunity to comment on possible inaccuracies in the draft. The final report has been prepared under the sole responsibility of the EU-co chairs.”

p.3: “The scope of the discussions was also limited by operational necessities and the need to protect classified information, particularly information related to sources and methods. The US authorities dedicated substantial time and efforts to responding to the questions asked by the EU side on the legal and oversight framework in which their Signal Intelligence capabilities operate.”

2. THE LEGAL FRAMEWORK

p.4: “Two legal authorities that serve as bases for the collection of personal data by US intelligence agencies are: Section 702 of the Foreign Intelligence Surveillance Act of 1978 (FISA) (as amended by the 2008 FISA Amendments Act, 50 U.S.C. § 1881a); and Section 215 of the USA PATRIOT Act 2001 (which also amended FISA, 50 U.S.C. 1861). The FISA Court has a role in authorising and overseeing intelligence collection under both legal authorities.”

p.5: “The US further clarified that not all intelligence collection relies on these provisions of FISA; there are other provisions that may be used for intelligence collection. The Group’s attention was also drawn to Executive Order 12333, issued by the US President in 1981 and amended most recently in 2008, which sets out certain powers and functions of the intelligence agencies, including the collection of foreign intelligence information. No judicial oversight is provided for intelligence collection under Executive Order 12333, but activities commenced pursuant to the Order must not violate the US constitution or applicable statutory law.“

2.1. Section 702 FISA (50 U.S.C. § 1881a)

p.5: “Section 702 FISA provides a legal basis for the collection of “foreign intelligence information” regarding persons who are “reasonably believed to be located outside the United States. (…) Under Section 702, information is obtained “from or with the assistance of an electronic communication service provider”.

p.5: “The US confirmed that it is under Section 702 that the National Security Agency (NSA) maintains a database known as PRISM. This allows collection of electronically stored data, including content data, by means of directives addressed to the main US internet service providers and technology companies providing online services, including, according to classified documents disclosed in the press but not confirmed by the US, Microsoft, Yahoo, Google, Facebook, PalTalk, AOL, Apple, Skype and YouTube.“

p.6: “The US also confirmed that Section 702 provides the legal basis for so-called “upstream collection“; this is understood to be the interception of Internet communications by the NSA as they transit through the US (e.g. through cables, at transmission points).”

p.6: “Section 702 does not require the government to identify particular targets or give the Foreign Intelligence Surveillance Court (hereafter ‘FISC’) Court a rationale for individual targeting. Section 702 states that a specific warrant for each target is not necessary.

The US stated that no blanket or bulk collection of data is carried out under Section 702, because collection of data takes place only for a specified foreign intelligence purpose.“

p.10: “Declassified FISC opinions confirm that US intelligence agencies have recourse to methods of collection under Section 702 that have a wide reach, such as the PRISM collection of data from internet service providers or through the “upstream collection” of data that transits through the US.”

The EU asked for specific clarifications on the issue of collection of or access to data not located or not exclusively located in the US; data stored or otherwise processed in the cloud; data processed by subsidiaries of US companies located in the EU; and data from Internet transmission cables outside the US. The US declined to reply on the grounds that the questions pertained to methods of intelligence collection.“

2.2. Section 215 US Patriot Act (50 U.S.C. § 1861)

p.10/11: “Section 215 of the USA-Patriot Act 2001 (…) permits the Federal Bureau of Investigation (FBI) to make an application for a court order requiring a business or another entity to produce “tangible things”, such as books, records or documents, where the information sought is relevant for an investigation to obtain foreign intelligence information not concerning a United States person or to protect against international terrorism or clandestine intelligence activities.

The US confirmed that this provision serves as the basis for a programme of intelligence collection via orders obtained by the FBI from the FISC directing certain telecommunications service providers to provide specified non-content telephony “meta-data”. For that programme, the information is stored by the NSA and queried only for counter-terrorism purposes.

That programme is limited to the collection of call detail records, or telephony “meta-data” maintained by specified telecommunications service providers. These records cover information such as telephone numbers dialled and the numbers from which calls are made, as well as the date, time and duration of calls, but do not include the content of the calls, the names, address or financial information of any subscriber or customer, or any cell site location information. According to the explanations provided by the US, this means that the intelligence agencies cannot, through this programme, listen to or record telephone conversations.

(…) The US also explained that, although the collection is broad in scope, the further processing of the meta-data acquired under this programme is limited to the purpose of investigation of international terrorism. It was stated that the bulk records may not be accessed or queried by intelligence agencies for any other purpose.”   

2.3 Executive Order 12333

p.12: “The US indicated that Executive Order 12333 serves as the basis for other surveillance programmes, the scope of which is at the discretion of the President. (…)”

p.12: “(…) The EU requested information in particular with regard to the application of Executive Order 12333 to bulk data collection, its impact on individuals in the EU and any applicable safeguards. The US explained that the part that covers signals intelligence annexed to the relevant regulation setting forth procedures under 12333 is classified, as are the supplementary procedures on data analysis, but that the focus of these procedures is on protecting information of US persons. (…)”

p.12: “The US confirmed that judicial approval is not required under Executive Order 12333 and that there is no judicial oversight of its use, except in limited circumstances such as when information is used in a legal proceeding. Executive oversight is exercised under Executive Order 12333 by the Inspector-Generals of each agency (…) The US was unable to provide any quantitative information with regard to the use or impact on EU citizens of Executive Order 12333. (…)”

p.13: “The US further confirmed that in the US there are other legal bases for intelligence collection where the data of non-US persons may be acquired but did not go into details as to the legal authorities and procedures applicable.“

3. COLLECTION AND FURTHER PROCESSING OF DATA

p.13: “(…) the US stated that the collection of personal information based on Section 702 FISA and Section 215 Patriot Act is subject to a number of procedural safeguards and limitative conditions. Under both legal authorities, according to the US, privacy is protected by a multi-layered system of controls on what is collected and on the use of what is collected, and these controls are based on the nature and intrusiveness of the collection.”

p.13: “It appeared from the discussions that there is a significant difference in interpretation between the EU and the US of a fundamental concept relating to the processing of personal data by security agencies. For the EU, data acquisition is synonymous with data collection and is a form of processing of personal data. Data protection rights and obligations are already applicable at that stage. Any subsequent operation carried out on the data collected, such as storage or consultation by human eyes, constitutes further processing. As the US explained, under US law, the initial acquisition of personal data does not always constitute processing of personal data; data is “processed” only when it is analysed by means of human intervention. This means that while certain safeguards arise at that moment of acquisition, additional data protection safeguards arise at the time of processing.“

3.1. Section 702 FISA

3.1.1. Certification and authorization procedure

p.14: “Section 702 does not require individual judicial orders or warrants authorizing collection against each target. Instead, the FISC approves annual certifications submitted in writing by the Attorney General and the Director of National Intelligence. Both the certifications and the FISC’s orders are secret, unless declassified under US law. The certifications, which are renewable, identify categories of foreign intelligence information sought to be acquired. They are therefore critical documents for a correct understanding of the scope and reach of collection pursuant to Section 702.

The EU requested, but did not receive, further information regarding how the certifications or categories of foreign intelligence purposes are defined and is therefore not in a position to assess their scope. The US explained that the specific purpose of acquisition is set out in the certification, but was not in a position to provide members of the Group with examples because the certifications are classified. (…) The FISC does not scrutinise the substance of the attestation or the need to acquire data against the purpose of the acquisition, e.g. whether it is consistent with the purpose or proportionate, and in this regard cannot substitute the determination made by the Attorney General and the Director of National Intelligence. Section 702 expressly specifies that certifications are not required to identify the specific facilities, places, premises, or property to which an acquisition of data will be directed or in which it will be conducted.

On the basis of FISC-approved certifications, data is collected by means of directives addressed to electronic communications services providers to provide any and all assistance necessary. On the question of whether data is “pushed” by the companies or “pulled” by the NSA directly from their infrastructure, the US explained that the technical modalities depend on the provider and the system they have in place; providers are supplied with a written directive, respond to it and are therefore informed of a request for data. (…)”

p.15: “According to the US, under Section 702, once communications from specific targets that are assessed to possess, or that are likely to communicate, foreign intelligence information have been acquired, the communications may be queried. This is achieved by tasking selectors that are used by the targeted individual, such as a telephone number or an email address. The US explained that there are no random searches of data collected under Section 702, but only targeted queries. Query terms include names, email addresses, telephone numbers, or keywords. When query terms are used to search databases, there is no requirement of reasonable suspicion neither of unlawful activity nor of a specific investigation. The applicable criterion is that the query terms should be reasonably believed to be used to return foreign intelligence information. The US confirmed that it is possible to perform full-text searches of communications collected, and access both content information and metadata with respect to communications collected.

(…) There is no judicial scrutiny of the selectors tasked, e.g. their reasonableness or their use. The EU requested further information on the criteria on the basis of which selectors are defined and chosen, as well as examples of selectors, but no further clarifications were provided.“

p.16: “Finally, the FISC review does not include review of potential measures to protect the personal information of non-US persons outside the US.”

3.1.2. Quantitative indicators

p.17: “(…) The US did not discuss the specific number of certification or selectors. Additionally, the US was unable to quantify the number of individuals in the EU affected by the programmes.

The US confirmed that 1.6% of all global internet traffic is “acquired” and 0.025% of it is selected for review; hence 0.0004% of all global internet traffic is looked at by NSA analysts. The vast majority of global internet traffic consists of high-volume streaming and downloads such as television series, films and sports1. Communications data makes up a very small part of global internet traffic. The US did not confirm whether these figures included “upstream” data collection.”

3.1.3. Retention Periods

p.17: “The US side explained that “unreviewed data” collected under Section 702 is generally retained for five years, although data collected via upstream collection is retained for two years.”

p.18: “The EU asked what happens to “non-responsive” information (i.e. data collected that does not respond to query on the basis of a query term). The US responded that it is not “collecting” non-responsive information. According to the US, information that is not reviewed pursuant to a query made to that database normally will “age off of the system”. It remains unclear whether and when such data is deleted.“

3.1.4. Onward transfers and sharing of information

(…)

3.1.5. Effectiveness and added value

(…)

3.1.6. Transparency and remedies ex-post

(…)

3.1.7. Overarching limits on strategic surveillance of data flows

p.19: “The EU asked whether surveillance of communications of people with no identified link to serious crime or matters of state security is limited, for example in terms of quantitative limits on the percentage of communications that can be subject to surveillance. The US stated that no such limits exist under US law.“

3.2. Section 215 US Patriot Act

(…)

3.2.1. Authorization procedure

(…)

3.2.2. Quantitative indicators

p.20: “The US explained that only a very small fraction of the telephony meta-data collected and retained under the Section 215-authorised programme is further reviewed, because the vast majority of the data will never be responsive to a terrorism-related query. It was further explained that in 2012 less than 300 unique identifiers were approved as meeting the “reasonable, articulable suspicion” standard and were queried. According to the US, the same identifier can be queried more than once, can generate multiple responsive records, and can be used to obtain second and third-tier contacts of the identifier (known as “hops”). The actual number of queries can be higher than 300 because multiple queries may be performed using the same identifier. The number of persons affected by searches on the basis of these identifiers, up to third-tier contacts, remains therefore unclear.”

3.2.3. Retention periods

p.21: “The US explained that, in principle, data collected under Section 215 is retained for five years, with the exception for data that are responsive to authorized queries. In regard to data that are responsive to authorized queries, the data may be retained pursuant to the procedures of the agency holding the information, e.g. the NSA or another agency such as the FBI with whom NSA shared the data.”

3.2.4. Onward transfers and sharing of information

p.22: “According to the US, the orders for the production of telephony meta-data, among other requirements, prohibit the sharing of the raw data and permit NSA to share with other agencies only data that are responsive to authorized queries for counterterrorism queries.”

4. OVERSIGHT AND REDRESS MECHANISMS

4.1. Executive oversight

p.23: “Once the data is collected, a number of executive oversight mechanisms and reporting procedures apply. There are internal audits and oversight controls (e.g. the NSA employs more than 300 personnel who support compliance efforts). Each of the 17 agencies that form the intelligence community, including the Office of the Director of National Intelligence has a General Counsel and an Inspector General. The independence of certain Inspectors General is protected by a statute and who can review the operation of the programmes, compel the production of documents, carry out on-site inspections and address Congress when needed. Regular reporting is done by the executive branch and submitted to the FISC and Congress.

As an example, the NSA Inspector-General in a letter of September 2013 to Congress referred to twelve compliance incidents related to surveillance under Executive Order 12333.In this context, the US drew the Group’s attention to the fact that since 1 January 2003 nine individuals have been investigated in relation to the acquisition of data related to non-US persons for personal interests. The US explained that these employees either retired, resigned or were disciplined.”

4.2. Congressional oversight

(…)

4.3. Judicial oversight: FISC role and limitations

(…)

EOF