UPDATE 2017-09-13: Verduidelijking ‘misbruik van recht’ jurisprudentie bij informatieverzoeken (uitspraak RvS; verrijkte versie)

UPDATE 2015-07-01: Wat maakt een verzoek om informatie een Wob-verzoek (door Cornelis van der Sluis, op LinkedIn)

UPDATE 2015-06-01: Wet openbaarheid van bestuur – een uitleg (door De Onderzoeksredactie, mbt de totstandkoming van het artikel Don’t Lecture us about Russia)

Met toestemming van FOIA/Wob-expert Roger Vleugels citeer ik hieronder “Wobben in 10 minuten”, een handout die Vleugels vorige week verstrekte aan deelnemers van zijn Wob-actualiseringscollege “De Wob in de steigers”. In dat college werden onder meer behandeld het nieuwe Wob-wetsvoorstel van GroenLinks+D66; gepercipieerd en werkelijk Wob-misbruik; en de rapporten “Kosten en baten voor de overheid van wijzigingen van de Wet openbaarheid van bestuur” (.pdf, SEO Economisch Onderzoek, 2013) en “Prettig contact over de Wob” (Instituut Maatschappelijke Innovatie, 2013).

Voor wie nog nooit van Roger Vleugels (Twitter: @RogerVleugels) heeft gehoord, deze regels uit zijn LinkedIn-profiel geven een indicatie:

Since 1986 I lecture in the Netherlands on the Wob: Wet openbaarheid van bestuur [The Dutch FOIA: Freedom of information act]. Since 2000 also abroad on FOIAs in up to twenty countries. In my legal practice I filed more than 4,500 FOIA/Wob requests for and with my clients, most of them press organisations, but also for NGOs, researchers and private persons.

Vleugels publiceert de (gratis) periodieken Fringe en Fringe Spitting: zie hier (.pdf) de bestellijst en de colofon uit een Fringe Special publicatie van deze maand. In de colofon staat hoe je je kunt abonneren op zijn (gratis) periodieken; en een indicatie voor vrijwillige donaties. Indien/zodra de nieuwe Wob er is komt de (betaalde) `Basiscursus Wob’ van Vleugels weer beschikbaar voor vrije inschrijving: daar ga ik me dan zeker voor aanmelden.

Hieronder volgt `Wobben in 10 minuten’. Hyperlinks en tekst in [] zijn van mij.

Wobben in 10 minuten
Wobben werkt langzaam en is dus niet geschikt voor nieuwsdienstwerk of onderwerpen met een korte journalistieke levenscyclus. Hoe langzaam? De eerste beslissing op basis van een bezoek moet verschijnen binnen 2×28 dagen na indiening. Deze wettelijke maximumtermijn wordt in 60% van alle zaken niet gehaald. In 35% van alle zaken zal die eerste beslissing bevredigend zijn; in alle andere wordt het doorprocederen via bezwaar, beroep en hoger beroep. De bezwaarfase kost alleen al dik een kwartaal. Ander gezegd: verzoek en bezwaar vergen tezamen een half jaar. Wobben vergt: pro-actieve agendavoering, vooruit plannen.

1. Het moet gaan om al in documenten vastliggende bestaande informatie
Je kunt dus te vroeg Wobben. Niet erg, want je mag in dat geval opnieuw beginnen. Nodeloos. (Normaal mag hetzelfde twee keer vragen niet: ne bis in idem beginsel.)

2. De organen die onder de Wob vallen
Alle bestuursorganen, inclusief alle zelfstandige bestuursorganen, vallen onder de Wob. Kortom alle organen van de uitvoerende macht, met andere woorden de wetgevende en de controlerende niet, dus parlement en zittende magistratuur niet. Ook niet de Hoge Colleges van Staat.

3. Documenten die onder de Wob vallen
Alle documenten vallen onder de Wob; en iedere vorm van vastleggen is een document, dus ook emails of audio/video. Er zijn geen vormen van vastleggen die geen document in de zin der Wob zijn. De Wob is de moedertoegangswet en geldt altijd behalve indien er in een andere wet een exclusief openbaarmakingsregime vast ligt of die andere wet een lex specialis is ten opzichte van de Wob. Voorbeelden: de Wetgeving inzake AIVD/MIVD en delen van de belastingwetgeving.

4. Voldragen vraagstelling
De meest gemaakte fout bij het Wobben is een slechte vraagstelling; vaak te vaag of te smal. Knoop je niet op in je vraag:

• Vraag om kopie of inzage. Niet om beide. Denk om een bijzondere vorm; digitale kopie;
• Stel een niet-limitatieve vraag. Vraag om alles inzake een onderwerp. Werk in de vraag nooit met een eindige opsomming. Gebruik hierbij de term “waaronder”;
• Laat het in de vraag nooit bij de vraag om alles specificeer wel in niet-limitatieve zin;
• Vraag nooit alleen het document, of alle documenten inzake een onderwerp op, maar overweeg altijd ook op te vragen: onderliggende documenten, omgevingsdocumenten en vervolgdocumenten;
• Overweeg subsidiaire vragen. B.v. niet alleen het document in integrale vorm, maar ook partieel of samengevat (b.v. zonder namen of zonder derdeninformatie).

5. Anticipeer in het verzoek op de inzet van weigergronden
Cruciaal voor succesvol Wobben is analytische scherpte, vroegtijdig beginnen en vooral anticiperen op met name de uitzonderingsgronden en beperkingen. [Uitzonderingsgronden zijn gedefinieerd in Art.10 Wob, beperkingen in Art.11 Wob.]

Absolute uitzonderingsgronden

art. 10.1.a    De eenheid van de Kroon
art. 10.1.b    De veiligheid van de Staat
art. 10.1.c    Bedrijfs-/fabricagegegevens vertrouwelijk bij de overheid
art. 10.1.d    Persoonsgegevens zoals bedoeld in Wbp

Relatieve uitzonderingsgronden

art. 10.2.a    Diplomatie
art. 10.2.b    Economische en financiële belangen van Staat
art. 10.2.c    Lopende opsporing en vervolging van strafbare feiten
art. 10.2.d    Inspectie, controle en toezicht door de overheid
art. 10.2.e    Privacy en derdenbescherming
art. 10.2.f    Voorkoming van voorkennis
art. 10.2.g    Voorkoming onevenredige bevoordeling of benadeling

Beperkingen

art. 11.1    Intern beraad voor zover persoonlijke beleidsopvattingen
art. 11.2    Niet-anonimiseerbare persoonlijke beleidsopvattingen
art. 11.3    Adviezen van commissies indien vertrouwelijk

6. Loketkeuze
Sta stil bij waar je het verzoek indient. Gouden regels: Bij het orgaan dat in dat onderwerp het zwakst staat en/of het meest geneigd is tot verstrekken en/of weinig obstructie pleegt. Dien bij het gekozen orgaan hoog in, dus bij directie, B&W of minister.

7. 2×28 dagen wachten?
Je hebt recht op antwoord binnen 28 dagen. Dat wordt nagenoeg nooit gehaald; bijna in alle zaken wordt met 28 dagen verdaagd. Vaak op onwettige gronden maar daar bestaat geen effectief tegengif tegen. Zeer van belang is dat je niet gaat wachten op de eerste beslissing, want dan gaat het sowieso ook over die tweede 28 dagen heen, maar dat je omstreeks dag 20 begint met bellen en dat vanaf dan wekelijks doet. Stay polite. Pappen en nathouden is de meest effectieve manier om snelheid te genereren.

8. Ga in bezwaar indien het antwoord onder de maat is of uitblijft.
Doe dit altijd, als de journalistieke levenscyclus van je onderwerp het aankan. Doe je dat niet dan krijg je direct de naam van: watje, procedeert toch niet door, waarmee afwijzen een effectief instrument is om je te stoppen. Krijg je geen antwoord dan kun je op dag 29 of 57 in bezwaar, maar je kunt ook een ingebrekestelling indienen overeenkomstig de Wet dwangsom en beroep. Dit werkt vaak omdat er een voorwaardelijk boetesysteem in zit dat tot enige snelheid maant, én als die snelheid uitblijft ontvang je een boete die tot 1260 euro per Wob kan oplopen. Maar ja, ik ben tegen die wet.

Voel je welkom in de wereld van Kafka.

EOF

UPDATE 2017-04-21: US Army FM 3-12 “Cyberspace and Electronic Warfare Operations” (2017) now supersedes FM 3-38 (2014). FM 3-12 is available here (11.7MB .pdf; mirror).

The first edition of U.S. Army Field Manual 3-38 on “Cyber Electromagnetic Activities” is available here (.pdf; mirror). Steven Aftergood blogged about it. Table of contents:

• INTRODUCTION
• FUNDAMENTALS OF CYBER ELECTROMAGNETIC ACTIVITIES
  • Cyber Electromagnetic Activities Defined
  • CEMA in an Operational Environment
  • The Information Environment
  • Cyber Electromagnetic Activities in Unified Land Operations
• ROLES, RESPONSIBILITIES AND ORGANIZATION
  • The Commander’s Role in CEMA
  • The Cyber Electromagnetic Activities Element
  • Key Personnel in Planning and Coordinating CEMA
  • The Cyber Electromagnetic Activities Working Group
  • Additional Key Personnel in The CEMA Working Group
  • The Soldier’s Role In CEMA
• CYBERSPACE OPERATIONS
  • Functions of Cyberspace Operations
  • Offensive Cyberspace Operations
  • Defensive Cyberspace Operations
  • Department of Defense Information Network Operations
  • Operations In and Through Cyberspace
• ELECTRONIC WARFARE
  • Electronic Attack
  • Electronic Protection
  • Electronic Warfare Support
  • Tasks and Terminology
• SPECTRUM MANAGEMENT OPERATIONS
  • Electromagnetic Spectrum Operations
  • Spectrum Management Operations Functions

EOF

Hieronder citeer ik voor eigen doeleinden enkele paragrafen uit CTIVD-toezichtsrapporten 31 (sep 2010 – aug 2011) en 35 (sep 2011 – aug 2012) over het toezicht op de inzet door de AIVD van Artikel 27-3 WIV2002 (SIGINT-selectie; selectie op identiteit, nummer of technisch kenmerk na ongerichte interceptie van niet-kabelgebonden communicatie). Dit bericht is complementair aan wat ik hier en hier berichtte over het toezicht op de inzet van dat artikel. Vetgedrukte markering is van mij.

Toezichtsrapport 31 – periode sep 2010 – aug 2011

Van pagina 5-6:

Het aantal operaties waarin artikel 27 Wiv 2002 is ingezet is in de loop van de periode september 2010 tot en met augustus 2011 sterk gestegen. Dit is mede te verklaren door toenemende technische mogelijkheden en toenemende bekendheid met dit bijzondere inlichtingenmiddel. De stijging is op alle onderzoeksterreinen te zien waarin van artikel 27 Wiv 2002 gebruik wordt gemaakt.

Voor deze inzet van de bevoegdheid tot selectie op basis van ongericht ontvangen niet-kabelgebonden telecommunicatie (hierna: de selectie van Sigint) past de wet hetzelfde regime toe als voor de inzet van een tap of een microfoon aangezien in beide gevallen gericht kennis wordt genomen van de inhoud van de communicatie van personen en organisaties. [Voetnoot 7: Kamerstukken II 1997/98, 25 877, nr. 3, p. 44-45.] In toezichtsrapport 19 stelde de Commissie vast dat de AIVD niet zorgvuldig omging met de selectie van Sigint. Veelal werd niet toegelicht aan wie de nummers en technische kenmerken toebehoorden en waarom deze telecommunicatie diende te worden geselecteerd. De Commissie kwam hierop tot de slotsom dat zij onvoldoende kennis droeg van de motivering van de selectie, waardoor zij geen oordeel kon geven over de rechtmatigheid van de selectie van Sigint op grond van artikel 27 lid 3 sub a en b Wiv 2002. De Commissie beval dringend aan de verzoeken om toestemming dan wel verlenging voor de inzet van deze bijzondere bevoegdheden te voorzien van een op de selectiecriteria toegespitste motivering. [Voetnoot 8: Toezichtsrapport van de CTIVD nr. 19 […], Kamerstukken II 2008/09, 29 924, nr. 29 (bijlage) § 7, beschikbaar op www.ctivd.nl.] In haar reactie op dit rapport gaf de minister van BZK aan het met de Commissie eens te zijn, maar tevens zorgen te hebben over de praktische uitvoerbaarheid van de aanbeveling. De minister zegde toe dat de AIVD hieromtrent in nader overleg zou treden met de Commissie. [Voetnoot 9: Kamerstukken II 2008/09, 29 924, nr. 29, p. 5 en 6.] In toezichtsrapport 26 inzake de uitvoering van de inlichtingentaak buitenland door de AIVD stelde de Commissie vast dat voor wat betreft de toepassing van artikel 27 Wiv 2002 in het kader van die taak nog steeds in veel gevallen niet was gespecificeerd aan wie een kenmerk toebehoorde en waarom het van belang was kennis te nemen van de informatie die via dit specifieke kenmerk kon worden verworven. Wel bleek de Commissie dat naarmate Sigint-operaties langer liepen, de AIVD beter kon aangeven aan wie de kenmerken toebehoorden en beter kon onderbouwen waarom de inzet ten aanzien van deze personen gelegitimeerd was. De Commissie benadrukte dat de AIVD er ernstig naar dient te streven om zo snel mogelijk te specificeren tegen welke persoon of organisatie Sigint wordt ingezet. [Voetnoot 10: Toezichtsrapport van de CTIVD nr. 26 inzake de rechtmatigheid van de uitvoering van de inlichtingentaak buitenland door de AIVD, Kamerstukken II 2010/11, 29 924, nr. 68 (bijlage), § 5.4, beschikbaar op www.ctivd.nl.] In toezichtsrapport 28 inzake de inzet van Sigint door de MIVD heeft de Commissie vervolgens het juridisch kader uitgewerkt voor het gehele proces van de verwerking van Sigint. Ook in dat toezichtsrapport was de Commissie genoodzaakt te concluderen, ditmaal ten aanzien van de MIVD, dat zij geen oordeel kon geven over de rechtmatigheid van de toepassing van artikel 27 omdat zij onvoldoende kennis draagt van de motivering. [Voetnoot 11: Toezichtsrapport van de CTIVD nr. 28 inzake de inzet van Sigint door de MIVD, Kamerstukken II 2011/12, 29 924, nr. 74 (bijlage), § 8.3.4, beschikbaar op www.ctivd.nl.]

De Commissie heeft in het onderhavige onderzoek de Sigint-operaties bestudeerd en komt tot dezelfde constateringen als in de toezichtsrapporten 19 en 26. Zij onthoudt zich dan ook opnieuw van een oordeel over de rechtmatigheid van de selectie van Sigint door de AIVD.

De Commissie zal in het volgende diepteonderzoek naar de inzet van de afluisterbevoegdheid en de bevoegdheid tot de selectie van Sigint door de AIVD nagaan in hoeverre de motivering van de selectie van Sigint is verbeterd. Zij stelt zich op het standpunt dat de AIVD, na het kader dat en de aanknopingspunten die de Commissie in met name de toezichtsrapporten 19 en 28 heeft gegeven, in staat moet zijn om de inzet van deze bevoegdheid afdoende te motiveren. De Commissie heeft vernomen dat een wijziging van de Wiv 2002 in de maak is waarin onder meer de bepalingen inzake de inzet van Sigintmiddelen zullen worden herzien. De Commissie ziet met belangstelling uit naar het voorstel voor de wetswijziging. Deze ontwikkelingen nemen evenwel niet weg dat de AIVD dient te voldoen aan de eisen die de huidige Wiv 2002 stelt aan de selectie van Sigint.

Toezichtsrapport 35 – periode sep 2010 – aug 2011

Van pagina 4-8:

Het aantal operaties in het kader waarvan artikel 27 Wiv 2002 is ingezet is gedurende de periode van september 2011 tot en met augustus 2012 vrijwel constant gebleven. Ten opzichte van de voorafgaande periode van september 2010 tot en met augustus 2012 is een beperkte toename waar te nemen. Het gebruik van de bevoegdheid tot selectie op basis van ongericht ontvangen niet-kabelgebonden telecommunicatie (hierna: de selectie van Sigint) is betrekkelijk gering ten opzichte van de bevoegdheid ex artikel 25 Wiv 2002.

[…]

In het voorgaande toezichtsrapport inzake de toepassing van de afluisterbevoegdheid en de selectie van Sigint, toezichtsrapport nr. 31, heeft de Commissie zich onthouden van een oordeel over de rechtmatigheid. [Voetnoot 11: Toezichtsrapport van de CTIVD nr. 31 […], Kamerstukken II 2011/12, 29 924, nr. 86 (bijlage), § 3.2, beschikbaar op www.ctivd.nl.] Wel gaf zij aan dat in het volgende diepteonderzoek naar de inzet van de afluisterbevoegdheid en de bevoegdheid tot de selectie van Sigint door de AIVD, dat wil zeggen het onderhavige onderzoek, de Commissie zal nagaan in hoeverre de motivering van de selectie van Sigint is verbeterd.

In het onderhavige toezichtsrapport heeft de Commissie één specifieke operatie waarin de selectie van Sigint is toegepast nader onderzocht. Zij geeft derhalve geen oordeel over de rechtmatigheid van de toepassing van de selectie van Sigint in het algemeen. De samenhang met een andere operatie waaraan de Commissie in dit diepteonderzoek in het bijzonder aandacht heeft besteed, heeft haar doen besluiten om ook de selectie van Sigint hierbij te betrekken. De Commissie heeft in de door haar onderzochte operatie een aantal onrechtmatigheden geconstateerd. Daarnaast heeft de Commissie vastgesteld dat sprake is van onzorgvuldigheden ten aanzien van de motivering. De bevindingen in dit kader zijn weergegeven in paragraaf 6.

[…]

6 Toepassing van de bevoegdheid tot selectie van Sigint
De Commissie heeft een specifieke operatie waarin de bevoegdheid tot selectie van Sigint is toegepast nader onderzocht. De Commissie constateert dat binnen de onderzochte operatie Sigint is geselecteerd aan de hand van een groot aantal kenmerken dat betrekking heeft op personen en organisaties. Door middel van selectie aan de hand van deze kenmerken tracht de AIVD informatie te verzamelen. Deze kenmerken zijn ingedeeld in verschillende categorieën. De Commissie constateert dat iedere categorie betrekking heeft op een organisatie en dat onder een bepaalde categorie alle kenmerken zijn geschaard die (zijdelings) zijn gerelateerd aan de betrokken organisatie. De verschillende organisaties worden door de AIVD als belangrijk knooppunt van informatie gezien.

De Commissie heeft zich in het onderhavige rapport geconcentreerd op één van deze categorieën. Zij stelt vast dat onder deze categorie een substantieel aantal kenmerken is gevat waarbij ter motivering enkel is aangegeven dat het een telecommunicatiekenmerk betreft dat toebehoort aan een bepaalde persoon gelieerd aan een organisatie. Een aantal van deze kenmerken behoort toe aan een bijzondere categorie personen onder wie (beperkt) verschoningsgerechtigden. De Commissie constateert dat een motivering die is toegesneden op het individuele kenmerk in het geheel ontbreekt en dat evenmin een motivering is opgenomen waarin door de AIVD aandacht is besteed aan het feit dat het in bepaalde gevallen gaat om een bijzondere categorie personen. De Commissie acht dit onzorgvuldig. De Commissie sluit niet uit dat in een aantal gevallen een adequate motivering wel mogelijk zou zijn geweest en dat aldus sprake is van een tekortkoming op het procedurele vlak zonder dat er sprake is van een inhoudelijk ontoelaatbare inzet van artikel 27 Wiv 2002. Zij is evenwel van oordeel dat in een substantieel aantal andere gevallen een adequate motivering niet mogelijk was, zodat de toepassing van artikel 27 Wiv 2002 ten aanzien van deze kenmerken als onrechtmatig moet worden aangemerkt. Deze onrechtmatigheid is gelegen in de bijzondere categorie personen jegens wie de bijzondere bevoegdheid is toegepast. De Commissie beveelt aan dat de uit de operatie voortgekomen gegevens ten aanzien van deze gevallen ingevolge artikel 43 Wiv 2002 worden verwijderd en vernietigd.

De Commissie stelt voorts vast dat de kenmerkenlijst ten aanzien van deze categorie in de loop der tijd niet of nauwelijks is veranderd ondanks dat veel van deze kenmerken nauwelijks of geen opbrengst hebben opgeleverd. De afwezigheid van enige opbrengst kan zijn gelegen in de aard van het middel Sigint. De communicatie kan door het bereik van de satellietschotels niet intercepteerbaar zijn. De Commissie acht het acceptabel de kenmerken te handhaven mits op gezette tijden wordt heroverwogen of handhaving van de desbetreffende kenmerken nog steeds voldoet aan de wettelijke vereisten voor de toepassing van de bijzondere bevoegdheid en deze heroverweging schriftelijk wordt vastgelegd. Voor zover de selectie van bepaalde kenmerken wel communicatie heeft opgeleverd maar deze communicatie niet relevant bleek te zijn dient de AIVD deze kenmerken uit de Sigint-last te halen.

De Commissie constateert dat de AIVD ten aanzien van de proportionaliteit en subsidiariteit in de aanvraag overweegt dat de toepassing van selectie van Sigint de AIVD in staat stelt om op een betrekkelijk eenvoudige en efficiënte manier inlichtingenmatig onderzoek te verrichten waarbij het afbreukrisico beperkt blijft, zeker in vergelijking tot andere bijzondere bevoegdheden. Hieruit concludeert de AIVD dat de selectie van Sigint ruimschoots aan de principes van subsidiariteit en proportionaliteit voldoet. In het verlengde van wat de Commissie in dit verband heeft opgemerkt in paragraaf 4 van dit toezichtsrapport is de Commissie van oordeel dat niet afdoende is gemotiveerd dat is voldaan aan de vereisten van proportionaliteit en subsidiariteit. Zo komt de belangenafweging tussen het na te streven doel en het nadeel voor de betrokken persoon, welke wordt vereist door artikel 31, derde lid, Wiv 2002 niet tot uiting in de motivering van de aanvraag. Dit geldt eveneens voor de overweging dat niet met een minder ingrijpende bevoegdheid kon worden volstaan zoals vereist door artikel 32 Wiv 2002, waarbij de specifieke omstandigheden van de betrokken persoon dienen te worden betrokken en het afbreukrisico geen rol speelt. De Commissie is van oordeel dat dit onzorgvuldig is.

EOF

UPDATE 2014-02-16: citaten toegevoegd uit werk van Anton Ekker uit 2003 en uit werk van Bert-Jaap Koops uit 2013 over de privacygevoeligheid van verkeersgegevens. Take-away: behalve over verzameling van verkeersgegevens moet het debat ook gaan over analyse, koppeling en ander gebruik van de verkeersgegevens waarbij sprake kan zijn van toenemende privacygevoeligheid. Het onderscheid tussen verkeersgegevens en inhoud is in toenemende mate problematisch, en sommige verkeersgegevens verdienen bescherming onder Art.13 Gw (correspondentiegeheim).

In maart wordt de kabinetsreactie verwacht op het in december verschenen rapport van de Commissie Dessens (.pdf) met de evaluatie van de WIV2002. Met alle recente mediaberichten over metadata en de toenemende privacygevoeligheid van zulke gedragsgegevens is het goed om eraan te herinneren dat ook cie-Dessens hier al enige aandacht aan had besteed in haar rapport — wellicht met dank aan Bits of Freedom, die ook zijn geraadpleegd door de commissie (p.83; vetgedrukte markering is van mij):

Op basis van de artikelen 28 en 29 kunnen de diensten verkeers- en abonneegegevens opvragen bij aanbieders van openbare telecommunicatienetwerken en -diensten. De AIVD en de MIVD hebben daarvoor geen toestemming van hun minister nodig. De bevoegdheid is rechtstreeks in handen van het hoofd van de dienst gelegd (artikel 28) of het verzoek mag door of namens het hoofd van de dienst worden gedaan (artikel 29). Voor in het bijzonder de bevoegdheid als bedoeld in artikel 28 geldt dat deze door de diensten veelal wordt ingezet ter voorbereiding op de inzet van de bevoegdheid om gericht telecommunicatie af te tappen (artikel 25). Bij het opvragen van abonneegegevens op basis van artikel 29 zal de inbreuk op de privacy oppervlakkig zijn. De inbreuk zal veelal ook nog beperkt zijn als verkeersgegevens worden opgevraagd op basis van artikel 28. Om die reden ziet de evaluatiecommissie vooralsnog geen aanleiding om voor dergelijke verzoeken een hoger toestemmingsniveau aan te bevelen.

De evaluatiecommissie wil er echter wel op wijzen dat tegenwoordig meer dan voorheen wordt aangenomen dat het opvragen van verkeersgegevens (direct of indirect) inzicht kan geven in de persoonlijke levenssfeer van burgers. Dat is bijvoorbeeld denkbaar als van een gebruiker veel en verschillende soorten telecommunicatiegerelateerde gegevens worden opgevraagd over een langere periode. Daardoor zou een breder beeld kunnen worden verkregen van bepaalde communicatie- en/of gedragspatronen van een persoon, waardoor een verdergaande inbreuk wordt gemaakt op de persoonlijke levenssfeer. Als door het uitoefenen van de bevoegdheid van artikel 28 zodanig structureel verkeersgegevens in kaart worden gebracht dat dit leidt tot een dergelijke verdergaande inbreuk op de privacy, geeft de evaluatiecommissie in overweging om te onderzoeken of daaraan nadere voorwaarden zouden moeten worden gesteld.

De vraag is: hoe moet dit uitwerken in de nieuwe Wiv? Is het voor de dienst werkbaar als ook Artikel 28 onder Ministeriële toestemming zou vallen? Dat zou in elk geval een instrument opleveren (toestemmingsverzoeken) waarmee de CTIVD structureel toezicht kan houden. Dat toezicht op basis van toestemmingsverzoeken werkt weliswaar niet goed bij Artikel 27-3 (SIGINT-selectie; selectie op identiteit, nummer of technisch kenmerk na ongerichte interceptie van niet-kabelgebonden communicatie), maar (voor ten minste de AIVD) wél voor Artkel 25 (gerichte interceptie).

Anton Ekker legt in het hoofdstuk “Publiekrechtelijke bescherming van verkeersgegevens” van de publicatie Verkeersgegevens – Een juridische en technische inventarisatie (.pdf, 2003) uit waarom verkeersgegevens privacygevoelig zijn:

4 VERKEERSGEGEVENS EN PRIVACY
Waarom zijn verkeersgegevens eigenlijk privacygevoelig? Het antwoord op deze vraag houdt verband met de mogelijkheid om verkeersgegevens te koppelen aan andere feitelijke gegevens en persoonsgegevens. Zodoende kan men veel te weten komen over het communicatiegedrag van personen, hun feitelijk handelen en soms ook over de inhoud van de communicatie. Er zijn globaal drie stadia te onderscheiden:

1. ‘Ruwe’ verkeersgegevens: de gegenereerde gegevens bevinden zich in het systeem van de transporteur maar zijn nog niet gekoppeld aan persoonsgegevens. Zij kunnen betrekking hebben op alle objecten die zijn weergegeven in de rechterkolom van tabel 1. Blijkens de definitie van verkeersgegevens in artikel 2 sub b van de richtlijn kunnen lokatiegegevens slechts als verkeersgegevens worden aangemerkt voor zover zij zijn verwerkt voor het overbrengen van communicatie of voor facturering. Deze zinsnede roept vragen op. Wat is bijvoorbeeld de status van lokatiegegevens die worden gegenereerd wanneer de eindapparatuur op stand-by staat? Men zou kunnen stellen dat deze lokatiegegevens niet worden verwerkt voor ‘het overbrengen van communicatie’, maar om contact te houden met het netwerk. De richtlijn geeft echter nergens uitsluitsel over de vraag of deze gegevens verkeersgegevens zijn en of zij onder het communicatiegeheim vallen.
2. Verwerkte verkeersgegevens: de verkeersgegevens zijn gekoppeld aan identificerende gegevens, bijvoorbeeld voor het doeleinde van facturering. Nu zeggen ze iets over het (communicatie)gedrag van een bepaalde zender en ontvanger. De nummers of adressen staan immers op naam van bepaalde personen. Voorbeelden:
   • Alice heeft Bob om zes uur ’s avonds opgebeld.
   • Alice heeft Bob om tien uur ’s ochtends een e-mail gestuurd.
   • Alice en Bob hebben van 2 tot 3 uur ’s middags samen deelgenomen aan een chat-sessie.

   In het geval van mobiele communicatie is bovendien te achterhalen vanaf welke plaats is gecommuniceerd:

   • Alice heeft Bob om 3 uur ’s middags opgebeld vanaf Den Haag Centraal Station, terwijl Bob zich bevond op het Museumplein te Amsterdam en zich verplaatste richting het Leidseplein.

3. Verkeersgegevens gecombineerd met andere gegevens: de verwerkte verkeersgegevens worden gecombineerd met aanvullende informatie over zender of ontvanger. Soms kan zodoende worden vastgesteld wat (ongeveer) de inhoud van de communicatie is geweest:
   • Alice heeft gebeld met haar advocaat, haar psycholoog, het ziekenhuis, de nummerinformatie van de PTT, de Sociale Dienst, het Bureau Kredietregistratie,of het alarmnummer van de brandweer.
   • Alice heeft ingelogd op de website van Alcoholics Anonymous en deelgenomen aan een chatsessie.
   • Alice heeft ingelogd op de website van de gemeente Amsterdam en op een bulletin-board kritiek geuit op het parkeerbeleid van de gemeente.
   • Alice heeft van de website van een politieke partij het partijprogramma gedownload en een folder besteld waarmee zij lid kan worden van die partij.

Bij het Wiv-debat moet het dus niet alleen gaan over verzameling van gegevens maar ook over de analyse, koppeling en ander gebruik van verzamelde gegevens, aangezien hierbij sprake kan zijn van toenemende privacygevoeligheid.

Ook relevant is de vraag of verkeersgegevens onder bescherming van Artikel 13 Grondwet (correspondentiegeheim) zouden moeten vallen. “Van oudsher vallen verkeersgegevens volgens de grondwetgever niet onder de reikwijdte van artikel 13 Gw”, aldus Bert-Jaap Koops in Juridische kwalificatie van verkeersgegevens in het licht van artikel 13 Grondwet (.pdf, 2013). De cie-Dessens stelt met dat argument dat Art.28 WIV2002 niet onder Ministeriële toestemming hoeft te vallen. Koops stelt het volgende over het onderscheid tussen inhoud en verkeersgegevens (p.51):

Los van de vraag of verkeersgegevens, als onderdeel van het communicatieproces, als zodanig wel of niet beschermwaardig onder artikel 13 Gw worden geacht, is de vraag wat er precies onder ‘verkeersgegevens’ en ‘inhoud’ moet worden verstaan. Onder de ‘inhoud’ van communicatie kan worden verstaan dat deel van de communicatie dat valt onder de verantwoordelijkheid van de verzender of ontvanger (en niet van de transporteur). Verkeersgegevens zijn gegevens die vallen onder de verantwoordelijkheid van de transporteur (als transporteur). Gelet op de ratio van bescherming door artikel 13 Gw vallen onder inhoud ook (verkeers)gegevens die de strekking weergeven van (een deel van) datgene wat valt onder de verantwoordelijkheid van de verzender of ontvanger.

[…]

[…] In beginsel is een tweeledig afbakeningscriterium te formuleren dat juridisch voldoende abstractieniveau heeft en dat inhoudelijk goed werkt om de kern van het onderscheid tussen inhoud en verkeersgegevens te duiden. Het hoofdcriterium is onder wiens verantwoordelijkheid de gegevens vallen: inhoud is datgene wat onder verantwoordelijkheid van de verzender valt; verkeersgegevens zijn gegevens die onder verantwoordelijkheid van de transporteur (als transporteur) vallen. Het nevencriterium is dat verkeersgegevens die (juridisch-)technisch onder het begrip verkeersgegevens vallen, onder artikel 13 Gw als inhoud moeten worden behandeld wanneer zij de strekking weergeven van (een deel van) datgene wat valt onder de verantwoordelijkheid van de verzender. Het nevencriterium kan daarbij als volgt worden toegepast:

• verkeersgegevens behorend bij telefonie die onder het beschermingsregime van verkeersgegevens vallen, kunnen limitatief worden opgesomd (bijvoorbeeld: nummer verzender/ontvanger, datum/tijdstip/duur, soort dienst); de overige telefoniegerelateerde verkeersgegevens vallen onder het beschermingsregime van inhoud;
• locatiegegevens bij mobiele telefonie vormen een sui generis-categorie die te contextafhankelijk is om in te delen naar inhoud/verkeersgegeven; hiervoor dient de wetgever een zelfstandige keuze te maken;
• verkeersgegevens behorend bij email die onder het beschermingsregime van verkeersgegevens vallen, kunnen limitatief worden opgesomd (bijvoorbeeld: emailadres verzender/ontvanger, datum/tijdstip, volume); de overige emailgerelateerde verkeersgegevens vallen onder het beschermingsregime van inhoud;
• verkeersgegevens behorend bij Internet (met uitzondering van email) vallen integraal onder het beschermingsregime van inhoud.

Voor dit moment lijkt dit een indeling te bieden die recht doet aan de ratio van het correspondentiegeheim, voldoende abstractieniveau heeft vanuit het perspectief van de (grond)wetgever, en in de technisch-juridische werkelijkheid uitvoerbaar zou moeten zijn.

Koops is dus van mening dat “verkeersgegevens behorend bij Internet (met uitzondering van email)” onder Art.13 Gw moeten vallen. Verder stelt Koops dat een alternatief onderscheid kan worden gehanteerd, namelijk tussen gebruikersgegevens en communicatiegerelateerde gegevens:

In plaats van een onderscheid tussen verkeersgegevens en inhoud van communicatie, zou dan een onderscheid tussen gebruikersgegevens en communicatiegerelateerde gegevens gehanteerd kunnen worden om de reikwijdte van het correspondentiegeheim te omschrijven. Communicatiegerelateerde gegevens zijn gegevens die samenhangen met concrete communicatiehandelingen en raken daarom direct de vrijheid om vertrouwelijk te kunnen communiceren; deze vallen integraal onder artikel 13 Gw. Gebruikersgegevens zijn gegevens over het telecommunicatiegebruik in meer algemene zin: het betreft gegevens over de gebruiker, zoals welke telefoonnummers, emailadressen en IP-adressen iemand in gebruik heeft en factuurgegevens; ook geaggregeerde verkeersgegevens zouden onder het begrip ‘gebruikersgegevens’ kunnen worden geschaard. Deze gegevens raken de vrijheid vertrouwelijk te communiceren niet of nauwelijks, omdat ze niet samenhangen met concrete keuzes om gebruik te maken van een communicatiemiddel, en vallen daarom buiten de reikwijdte van artikel 13 Gw. Een onderscheid tussen communicatiegerelateerde gegevens en gebruikersgegevens zou voor de langere termijn een bruikbaarder afbakeningscriterium kunnen bieden dan een onderscheid tussen (niet inhoudgerelateerde) verkeersgegevens en inhoud van communicatie.

Afsluitend blikt Koops vooruit op de toekomst:

Tot slot moet echter ook een tweede kanttekening worden geplaatst, namelijk dat Internetcommunicatie niet langer een fenomeen is dat zich uitsluitend in de relationele privacy van het correspondentiegeheim laat vangen. Het Internet is verknoopt met alle aspecten van wat burgers zijn en doen, en dat zal met de ontwikkeling van het Internet der dingen alleen maar toenemen. Internetcommunicatie biedt een steeds indringender inzicht in de persoonlijke levenssfeer, ook zonder dat kennis wordt genomen van inhoud; daarnaast zijn inmiddels ook opgeslagen gegevens (die losstaan van communicatie in de zin van relationele privacy) kwetsbaar voor kennisneming door derden. Informatie- en communicatietechnologie roept aldus vragen op over grondwettelijke bescherming van niet alleen de relationele privacy, maar ook de ruimtelijke en lichamelijke privacy. Het is daarom de vraag of er nog voldoende reden is om inhoud van communicatie als een zelfstandige categorie met meer egards te behandelen dan andere vormen van privacygevoelige gegevens in het digitale tijdperk. Voor de kortere termijn heeft het wellicht nog zin om communicatie-inhoud – met inbegrip van verkeersgegevens die nauw verband houden met die inhoud – bijzondere bescherming te verlenen ten opzichte van andere vormen van digitale kwetsbaarheid. Voor de langere termijn – en dat is een termijn die past bij het perspectief van de grondwetgever – is het ook noodzakelijk om de systematiek van de privacygrondrechten over de hele linie opnieuw te doordenken, om effectief tegenwicht te bieden aan alle nieuwe vormen waarin de overheid zicht kan krijgen op de persoonlijke levenssfeer van burgers.

De bevindingen van Koops verdienen een plaats in het Wiv-debat over verkeersgegevens. Dat verkeersgegevens minder privacygevoelig zijn dan (ook) de inhoud, zal in veel gevallen kloppen. Maar laat het debat niet defused raken door opmerkingen als “het zijn maar verkeersgegevens”. Laten we in plaats daarvan gebruik maken van de opening die de cie-Dessens biedt in diens kanttekening bij Artikel 28.

EOF

UPDATE 2014-03-11: today, a new CTIVD oversight report was published, together with the Dutch cabinet’s response to the Dessens report. The report covers exercises of various telecom-related powers by the AIVD and MIVD. Concerning the undirected (bulk) collection of phone metadata from wireless sources, the CTIVD has now established that it has not been motivated as required by law: nothing is known about necessity, proportionality or subsidiarity of such collection. IMHO the new report — which only exists as a result of Snowden’s revelations — reemphasizes that up until today, oversight on Dutch SIGINT is broken.
UPDATE 2014-02-10: here (.pdf, in Dutch) are the answers from the Minister of the Interior and the Minister of Defense to the Parliamentary Questions concerning the metadata and the incorrect information supplied by the Minister of the Interior in October/November 2013. These will be debated in Parliament tomorrow.
UPDATE 2014-02-09b: post updated with citations from CTIVD report Nr. 28 and information about Article 26 WIV2002. If you see errors in my post, please report them to koot at cyberwar dot nl.
UPDATE 2014-02-09: also see this excellent post by Peter Koop (@electrospaces).

As reported on Dutchnews it was the Netherlands, not the U.S., who gathered info from 1.8 million phone calls. It concerns foreign intelligence, collected in the context of counter-terrorism and military operations abroad (e.g. Afghanistan). The legal powers exercised by (likely) the Dutch military intelligence & security agency MIVD in collecting the metadata involve Article 26 (SIGINT ‘search’) and Article 27 (SIGINT ‘selection’) of the Dutch Intelligence & Security Act of 2002 (WIV2002).

The MIVD published slides (.pdf, in Dutch), dated December 18th 2013, on the topic of interception, metadata and the WIV2002. Slide 5 lists Article 24-27 from the WIV2002 (italic parts are mine):

• Art. 24: directed penetration of automated work (requires permission from head of service or Minister)
  • This is the power the AIVD exercises to hack jihadist internet fora.  
• Art. 25: directed interception from the cablebound and non-cablebound (requires permission from Minister)
  • E.g. directional microphone, telephone tap (landline, GSM), data tap (IP, email).
    • One smartphone can technically involve two taps: one for voice, one for data. 
• Art. 26: exploration of interception from the ether (=’SIGINT search’)
  • source or destination must be foreign (i.e., domestic communication cannot be explored)
  • exploring and determining whether data is relevant to the agency’s statutory duties
• Art. 27-1: undirected interception from the ether
  • interception itself is undirected
  • to see what to target, for instance through metadata analysis or encryption detection
• Art. 27-3 (=’SIGINT selection’)
  • selecting and inspecting content (requires permission from Minister)
  • 27-3-a: selection by identity (name of person or organization)
  • 27-3-b: selection by technical characteristic (some identifying number, e.g. phone number or IP address)
  •  27-3-c: selection by keywords. Minister annually approves list of topics -> AIVD/MIVD determine the exact keywords per topic.

The oversight carried out by the Review Committee on the Intelligence and Security Services (CTIVD) on lawfulness of exercise of the Article 27-3 power by the general intelligence & security service AIVD is structurally broken: this is evident from CTIVD oversight reports 19, 26, 31 and 35 that cover 2008 to 2013. A single-page extract of the relevant paragraphs is available here (.pdf, in Dutch). Key problem: the oversight is based on analysis of motivation expressed in permission requests that the AIVD sends to the Minister of the Interior to get permission for exercising the Article 27-3 powers, and those requests keep lacking proper motivation.
Concerning the MIVD, CTIVD oversight report 28 (.pdf, in Dutch, 2011) describes problems in (among others) the exercise of Article 26 and Article 27 between 2007 and 2010. For oversight on the exercise of the Article 27 selection powers by the MIVD the same problem exists as for the AIVD: requests for permission (sent to the Minister of Defense in case of the MIVD) are insufficiently motivated, withholding the CTIVD from making a statement about legality. The Article 26 searching power is intended to identify the radio/satellite channels to include in bulk data collection. The report states the following concerning the exercise of Article 26 by the MIVD:

“The CTIVD notes that the reason for and purpose of conducting a SIGINT search focused on SIGINT selection can vary. At least the following common practices can be distinguished:

1. The searching of the bulk of communication to determine whether it is possible to generate the desired data using the selection criteria for which permission has been granted;
2. The searching of the bulk of communication to identify targets;
3. The searching of the bulk of communication for data from which, in the context of an expected new area of investigation, future selection criteria can be derived. “

Original Dutch: “De Commissie constateert dat de aanleiding voor en het doel van het uitvoeren van een searchactiviteit gericht op selectie gelegen kunnen zijn in meerdere zaken. Zij onderscheidt in ieder geval de volgende gangbare praktijken:
1. Het searchen van de bulk aan communicatie om te bepalen of met de selectiecriteria waarvoor toestemming is verkregen de gewenste informatie kan worden gegenereerd
2. Het searchen van de bulk aan communicatie om potentiële ‘targets’ te identificeren of te duiden;
3. Het searchen van de bulk aan communicatie naar gegevens waaruit, in het kader van een verwacht nieuw onderzoeksgebied, toekomstige selectiecriteria kunnen worden afgeleid.” 

The CTIVD stated that (1) is permissible and that (2) and (3) are not permissible (hence: unlawful); and that all three variations were observed in daily practice at the MIVD.

None of the above means that the bulk metadata collection by the NSO or the sharing of the data with the NSA is unlawful. It does mean that the Dutch Parliament should pay real close attention to the matter of oversight on the exercise of special powers, notably Article 24-27, in the upcoming debate on the renewal of the WIV2002. That debate will likely result in expansion of the legal power of undirected interception to cablebound communications, enabling the Dutch services to carry out TEMPORA-like programs. To my knowledge, the CTIVD has never investigated the lawfulness of the exercise of the hacking power provided by Article 24 WIV2002 — the article cited by the AIVD as being the power exercised to hack jihadist internet fora. The Dutch Parliament should also specifically pay attention to oversight on Article 24 WIV2002, considering that no public oversight information exists concerning the exercise of this power over the last decade.

The remainder of this post provides details and background on last week’s revelation that it was not the Americans, but the Dutch who collected the 1.8M telephony metadata records.

On February 4th 2014, a short letter (.pdf, in Dutch) was sent to the Dutch parliament by the minister of Defense (responsible for military intelligence & security agency MIVD) and the minister Interior (responsible for general intelligence & security agency AIVD). My translation of the letter:

On August 5th, the German weekly magazine Der Spiegel published a graph that would originate from one of the documents brought out by Snowden. The data available at that time made it likely that the number of 1.8 million would point to metadata of telephone traffic between the United States and The Netherlands. [Note: that graph published by Der Spiegel originates from BOUNDLESS INFORMANT. It shows “Netherlands – last 30 days” and the number “1.831.506”. The minister of the Interior claimed on Dutch television (October 30th 2013) and in Parliament (November 6th 2013) that it was not the Netherlands, but the U.S. who collected this data, and hence that such data had not shared by the AIVD with the NSA. He warned the U.S. that spying on allies is `unacceptable’. (Although in intelligence circles it is a widely known and accepted fact that friends do spy on friends to a certain extent.)]

Original Dutch: “Op 5 augustus jl. heeft het Duitse weekblad Der Spiegel een grafiek gepubliceerd die afkomstig zou zijn uit één van de documenten die door Snowden naar buiten zijn gebracht. De toen beschikbare gegevens maakten het aannemelijk dat het getal van 1,8 miljoen zou wijzen op metadata van telefoonverkeer tussen de Verenigde Staten en Nederland.”

However, additional information and according to further research and analysis of the published data have led to the following conclusion. The graph in question points out circa 1.8 million records of metadata that have been collected by the National Sigint Organization (NSO) in the context of counter-terrorism and military operations abroad. It is therefore expressly data collected in the context of statutory duties. The data are legitimately shared with the United States in the light of international cooperation on the issues mentioned above.

Original Dutch: “Aanvullende informatie en vervolgens nader onderzoek en analyse van de gepubliceerde gegevens hebben echter geleid tot de volgende conclusie. De bedoelde grafiek wijst op circa 1,8 miljoen records metadata die door de Nationale Sigint Organisatie (NSO) zijn verzameld in het kader van terrorismebestrijding en militaire operaties in het buitenland. Het betreft dus uitdrukkelijk data verzameld in het kader van de wettelijke taakuitoefening. De gegevens zijn rechtmatig gedeeld met de Verenigde Staten in het licht van internationale samenwerking op de hierboven genoemde onderwerpen.”

According to this WikiLeaks-disclosed cable of 2007 the NSO “will be comparable to the NSA in the U.S.” Some 120 people are currently reportedly involved in the NSO. The Ministry of Defense and the Ministry of the Interior are responsibly for the NSO. The NSO is governed by the Ministry of Defense and directed by the head of the MIVD and the head of the AIVD. The NSO is absorbed by the Dutch Joint Sigint Cyber Unit (JSCU) that will have some 350 employees. The NSO has two stations for interception: 1) satellite traffic is intercepted in Burum; 2) high-frequency radio traffic is intercepted at a Dutch military base in Eibergen. The NSO itself has no legal ground for sharing the data they collect: the data must have been shared by either the AIVD or the military MIVD. Considering that the letter mentions “military operations abroad”, the MIVD is likely the sharing party.

In Snowden-documents, the Netherlands is listed as a Third Party member of the (14 Eyes group that form the) SIGINT Seniors Europe (SSEUR). Peter Koop notes:

“Being a 3rd Party means that there’s a formal bilateral agreement between NSA and a foreign (signals) intelligence agency. Probably the main thing that distinguishes this from other, less formal ways of cooperating, is that among 3rd party partners, there’s also exchange of raw data, and not just of finished intelligence reports or other kinds of support. Also both parties have a Special Liaison Officer (SLO) assigned at each others agency.

It’s not quite clear what the initial 3rd Party agreements are called, but we know that later on specific points are often laid down in a Memorandum of Understanding (MoU). An example is the Memorandum of Understanding between NSA and the Israeli signals intelligence unit, which was published by The Guardian on September 11, 2013.”

In the full Signal Profile diagram (.pdf) from BOUNDLESS INFORMANT about the Netherlands that was published today by NRC Handelsblad, the Sigint Activity Designator (SIGAD) “US-985Y” allegedly refers to the metadata that the MIVD provides to the NSA. Next to “US-985Y”, we see “1.831.506 Records” mentioned. The metadata concerns PSTN traffic, which can concern both mobile and landline communications. [UPDATE: the Minister stated that it did involve metadata about mobile calls, but about radio traffic and calls made via satellite phones.] Considering that the current Dutch law only permits undirected interception of non-cablebound communications (satellite and HF radio), landline traffic can only be legally intercepted if the end-to-end communication with the landline contains at least one wireless hop (e.g. Inmarsat).

The Dutch Parliament submitted a list of questions (.doc, in Dutch) that must be answered by the minister of the Interior (Ronald Plasterk / @RPlasterk) by February 10th, with the support of the minister of Defense (Jeanine Hennis / @JeanineHennis). On February 11th, the minister of the Interior will have to discuss these matters — and notably, explain the incorrect claims he made last October and November.

EOF