UPDATE 2015-07-02: the Dutch government released an intelligence bill into public consultation. Details here.

UPDATE 2014-10-07: the votes are in: all motions were adopted by the Senate, except the motion filed by senator Strik (GroenLinks). It’ll be interesting to see how the Dutch govt will respond to the Senate’s requests for an investigation on the independence and reliability of standardization bodies such as the IETF (perhaps due to the discussion on Kevin Igoe, associated with NSA, being co-chair of IETF’s Crypto Forum Research Group), NIST (of DUAL_EC fame) and the GSM Association.

On Tuesday September 23rd, the Dutch Senate discussed topics concerning privacy and intelligence & security services. The full transcripts are here (part 1; in Dutch) and here (part 2; in Dutch). The following motions were filed, and will be voted on during the plenary meeting of Tuesday October 7th (h/t @AndreasUdo):

• [ADOPTED] Senator Franken (CDA) filed a motion (.pdf, in Dutch) requesting the government to abstain from extending interception powers in a way that would permit “unconditional, indiscriminate and large-scale” surveillance of cable communications. Note that Dutch intelligence & security services are currently permitted to carry out bulk interception/search only of non-cablebound communications, such as HF radio and satellite. Oversight on the exercise on that power is currently broken. Nonetheless, the government is currently dreaming up a bill that may extend this power to include cable communications. Think of GCHQ’s Tempora and NSA’s DANCINGOASIS, but on way smaller budget and in a different intelligence culture.
• [ADOPTED] Senator De Vries (Labour Party) filed a motion (.pdf, in Dutch) requesting the government to investigate the independence and reliability of bodies that standardize security protocols, mentioning IETF, NIST, GSM Association as examples. Think of the DUAL_EC controversy here.
• [ADOPTED] Senator De Vries (Labour Party) filed a motion (.pdf, in Dutch) requesting the government to create safeguards concerning the decision-making on the disclosure or non-disclosure of vulnerabilities found by the Dutch intelligence & security services (think of the JSCU). The senator states that the decision to disclose or not disclose a vulnerability cannot be made by the services themselves, because the interest of all internet users has to be taken into account; thus implying that the services cannot be relied upon to take the interest of all internet users sufficiently into account.

In addition, the following motions were filed:

• [ADOPTED] Senator Franken (CDA) filed a motion (.pdf, in Dutch) requesting the government to ensure that the current and future legal framework and oversight mechanisms are compliant to the European Convention on Human Rights (ECHR) and EU legislation concerning data protection. In that same motion, the senator requested to government to protect citizens against observation by Dutch or foreign services in a way that violates the ECHR and to guarantee that the rule of law is not weakened as a result of extraterritorial use of a foreign law. N0 specific examples are mentioned, but one EO 12333 and FISA come to mind.
• [WITHDRAWN] Senator Strik (GroenLinks) filed a motion (.pdf) requesting the government to “investigate the usefulness and necessity of independent oversight on government institutions that are not covered by the Dutch Review Committee on the Intelligence and Security Services (CTIVD), but that do carry out similar tasks that involve infringement on the right to privacy”.
• [ADOPTED] Senator Gerkens (Socialist Party) filed a motion (.pdf, in Dutch) requesting the government to commission the Rathenau Institute to investigate the desirability of a committee that can advise on the ethical aspects of digitization; considering the Internet of Things, that will connect “everything and everyone”, will bring opportunities but also threats; considering that the effects of this digital development on society will be not only technological, but also societal, social-legal and social-psychological.

EOF

Dutch news site Nu.nl reports (Sep 22, in Dutch) that Dutch journalists and ‘publicists’ will get the legal right to source protection. Here’s a translation of that report (and below that, links to the documents, which are in Dutch):

Related:

• 2014-09-22: Wetsvoorstel met Toelichting nader rapport inzake bronbescherming in strafzaken (Rijksoverheid, in Dutch)
  2014-09-22: Advies Raad van State inzake bronbescherming in strafzaken (Rijksoverheid, in Dutch)
  2014-09-22: Advies OM inzake bronbescherming in strafzaken (Rijksoverheid, in Dutch)
• 2014-09-22: Nader rapport inzake Voorstel van wet tot wijziging van het Wetboek van Strafvordering bronscherming in strafzaken (Rijksoverheid, in Dutch)

EOF

Na de bomaanslagen van 2004 in Madrid diende het kabinet een voorstel tot wijziging van de Wiv2002 in. Dat voorstel werd uiteindelijk ingetrokken na kritiek van het CBP (.pdf, 2007; kabinetsreactie) en de Eerste Kamer. Voor eigen doeleinden geef ik hieronder een overzicht van de belangrijkste onderdelen uit dat voorstel, de standpunten van het CBP en de standpunten van het kabinet.

Nota bene: voor zover mij bekend is er geen aanleiding om te verwachten dat elementen uit het ingetrokken voorstel zullen terugkeren in het Wiv-wijzigingsvoorstel dat het kabinet binnenkort (?) indient. De cie-Dessens heeft geen aanbevelingen gedaan die een herhaling zijn van elementen uit het post-Madrid voorstel.

Artikel 12 Wiv2002 geeft de AIVD de bevoegdheid om überhaupt gegevens te verwerken. In het post-Madrid voorstel werd Artikel 12a ingevoegd, dat expliciet een bevoegdheid geeft tot data-analyse (vergelijken, zoeken naar profielen, zoeken naar patronen) met geautomatiseerde gegevensbestanden:

Artikel 12a

1. Tot de bevoegdheid, bedoeld in artikel 12, eerste lid, behoort tevens de bevoegdheid van de diensten tot het uitvoeren van geautomatiseerde data-analyse met betrekking tot
   1. gegevens uit eigen geautomatiseerde gegevensbestanden,
   2. gegevens uit voor een ieder toegankelijke informatiebronnen,
   3. gegevens uit geautomatiseerde gegevensbestanden waartoe de diensten rechtstreeks toegang hebben, en
   4. gegevens uit daartoe door derden verstrekte geautomatiseerde gegevensbestanden of delen van geautomatiseerde gegevensbestanden.
2. Ten behoeve van de verwerking, bedoeld in het eerste lid, kunnen de gegevens in ieder geval:
   1. op geautomatiseerde wijze onderling met elkaar worden vergeleken dan wel in combinatie met elkaar worden vergeleken,
   2. worden doorzocht aan de hand van profielen, en
   3. worden vergeleken met het oog op het opsporen van bepaalde patronen.
3. Gegevens afkomstig uit geautomatiseerde gegevensbestanden van derden als bedoeld in het eerste lid, onderdeel d, die uitsluitend zijn verstrekt ten behoeve van een verwerking als bedoeld in het tweede lid, onder b of c, en na die verwerking niet meer relevant zijn voor het desbetreffende onderzoek van een dienst, worden vernietigd. Van de vernietiging wordt een verslag opgemaakt.

De AIVD mag dit al op basis van de Wiv2002: de explicitering door het voorgestelde Artikel 12a is dan ook primair “gelegen in de wens tot vergroting van de kenbaarheid en voorzienbaarheid van deze specifieke vormen van gegevensverwerking“, aldus voornoemde kabinetsreactie.

Artikel 13 Wiv2002 beperkt de gegevensverwerking tot, heel kort door de bocht, targets. In het voorstel werd deze beperking opgeheven:

Aan artikel 13 wordt een nieuw lid toegevoegd, luidende:

5. De verwerking van persoonsgegevens door de diensten in het kader van de toepassing van de bevoegdheid, bedoeld in de artikelen 12a, tweede lid, en 29b kan ook betrekking hebben op andere personen dan bedoeld in het eerste en tweede lid.

Artikel 17 Wiv2002 geeft de AIVD de bevoegdheid een verzoek om vrijwillige verstrekking van gegevens in te dienen bij bestuursorganen en willekeurige derden. Het voorstel breidde dit artikel uit met de bepaling dat ook zo’n verzoek kan worden voldaan door “het verlenen van rechtstreekse geautomatiseerde toegang”:

In artikel 17 wordt onder vernummering van het derde lid tot vierde lid een nieuw lid ingevoegd, luidende:

3. Aan een verzoek als bedoeld in het eerste lid kan worden voldaan door het verlenen van rechtstreekse geautomatiseerde toegang aan de dienst tot de desbetreffende gegevens dan wel door het verstrekken van geautomatiseerde gegevensbestanden of delen van geautomatiseerde gegevensbestanden.

Ook zou Artikel 17a worden ingevoegd, dat de AIVD de bevoegdheid zou hebben gegeven tot het vorderen van gegevens bij per AMvB aan te wijzen bestuursorganen:

Artikel 17a

1. Bij algemene maatregel van bestuur op voordracht van Onze betrokken Ministers, gedaan in overeenstemming met Onze Minister wie het mede aangaat, kunnen bestuursorganen worden aangewezen, die verplicht zijn om desgevraagd gegevens te verstrekken aan een dienst ter uitvoering van de taak van de desbetreffende dienst, dan wel ter ondersteuning van een goede taakuitvoering.
2. In de algemene maatregel van bestuur, bedoeld in het eerste lid, wordt in ieder geval bepaald:
   1. op welke door het bestuursorgaan, dan wel een onderdeel daarvan, verwerkte gegevens de verplichting betrekking heeft;
   2. de termijn waarbinnen de gegevens dienen te worden verstrekt;
   3. de wijze waarop de gegevensverstrekking dient plaats te vinden.
3. Onder de wijze van verstrekking als bedoeld in het tweede lid, onderdeel c, wordt tevens de mogelijkheid begrepen tot het verlenen van rechtstreekse geautomatiseerde toegang tot de desbetreffende gegevens. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de ter zake door het bestuursorgaan te treffen technische en organisatorische maatregelen.
4. De verstrekking van gegevens ingevolge dit artikel geschiedt kosteloos, voor zover bij de algemene maatregel van bestuur, bedoeld in het tweede lid, niet anders is bepaald.
5. Op de verstrekking van gegevens als bedoeld in dit artikel is artikel 17, vierde lid, van overeenkomstige toepassing.
6. De voordracht voor een krachtens het eerste lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.

Daarover stelde het CBP:

Het principe van kenbaarheid is met het voornemen bij AMvB nadere invulling te geven aan het wetsvoorstel in dit geval geenszins gediend. Het betekent immers niet alleen onduidelijkheid voor de sectoren die het betreft, maar ook voor de burger, terwijl de Minister aanzienlijke speelruimte heeft om invulling te geven aan deze categorieën. Bovendien schuilt hierin het risico dat de drempel de categorieën uit te breiden, lager ligt dan indien deze zouden zijn neergelegd in het wetsvoorstel zelf.

Nut en noodzaak van de voorhanden zijnde gegevens voor een goede taakuitvoering van de diensten dienen bij de aan te wijzen categorieën aanwezig te zijn. Nu de noodzaak van de voorgestelde maatregelen zelf onvoldoende is onderbouwd, geeft de stelling dat nut en noodzaak van de bij de aan te wijzen categorieën dienstverleners voorhanden zijnde gegevens bepalend dient te zijn, weinig vertrouwen.

Ook merkte het CBP op dat Artikel 17a niet is omkleed met de waarborgen die wel van toepassing op bijzondere bevoegdheden:

Ten aanzien van de bijzondere bevoegdheden, waar de artikelen 28 Wiv 2002 e.v. onder vallen, bestaat een wettelijk verankerd toetsingskader (artikel 31 Wiv 2002), de verplichting een verslag te maken van de uitoefening van een bijzondere bevoegdheid (artikel 33 Wiv 2002) en een onafhankelijke toezichthouder, de CTIVD. Behalve het toezicht door de CTIVD, zijn de andere twee waarborgen niet van toepassing op de verruiming van de verstrekking door bestuursorganen (artikel 17a in het wetsvoorstel).

Artikel 29 Wiv2002 regelt de bevoegdheid tot het vorderen van abonneegegevens bij aanbieders van openbare elektronische telecommunicatiediensten en -netwerken. In het voorstel werden hierna Artikel 29a en Artikel 29b ingevoegd, die de AIVD de bevoegdheid zouden hebben gegeven ook bij financiële bedrijven en vervoersbedrijven gegevens te vorderen:

Artikel 29a

1. De diensten zijn bevoegd zich te wenden tot een persoon of instantie behorende tot de bij algemene maatregel van bestuur, op voordracht van Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties en Onze Minister van Defensie gezamenlijk, na overleg met Onze Minister die het aangaat, aangewezen categorieën van personen en instanties, die:
   1. beroeps- of bedrijfsmatige financiële diensten verlenen, of
   2. beroeps- of bedrijfsmatig werkzaam zijn als vervoerder, met het verzoek gegevens te verstrekken met betrekking tot een in het verzoek aangegeven gebruiker van de door hen verleende diensten.
2. Onder een gebruiker wordt in dit artikel verstaan: de natuurlijke persoon of rechtspersoon die met een persoon of instantie als bedoeld in het eerste lid een overeenkomst is aangegaan met betrekking tot de levering of het gebruik van de door hen te verlenen diensten of die feitelijk gebruik maakt van die diensten.
3. Voor de uitoefening van de bevoegdheid, bedoeld in het eerste lid, is geen toestemming vereist als bedoeld in artikel 19.
4. De persoon of instantie aan wie een verzoek om gegevensverstrekking als bedoeld in het eerste lid is gericht, is verplicht aan het verzoek te voldoen.
5. Bij de algemene maatregel van bestuur, bedoeld in het eerste lid, wordt in ieder geval tevens bepaald:
   1. op welke soorten gegevens de verplichting betrekking heeft;
   2. de termijn waarbinnen de gegevens dienen te worden verstrekt;
   3. de wijze waarop de gegevensverstrekking dient plaats te vinden;
   4. de vergoeding van kosten.
6. Een verzoek wordt schriftelijk gedaan door het hoofd van de desbetreffende dienst en bevat:
   1. gegevens waarmee de gebruiker kan worden geïdentificeerd;
   2. een omschrijving van de gegevens die verstrekt dienen te worden;
   3. de periode waarover de gegevens verstrekt dienen te worden.
7. Op de verstrekking van gegevens ingevolge een verzoek als bedoeld in het eerste lid is artikel 17, vierde lid, van overeenkomstige toepassing.
8. De voordracht voor een krachtens het eerste lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.

Artikel 29b

1. De diensten zijn bevoegd om ten behoeve van de uitoefening van de bevoegdheid, bedoeld in artikel 12a, tweede lid, onder b of c, zich te wenden tot:
   1. een bestuursorgaan als bedoeld in artikel 17a, eerste lid,
   2. een aanbieder van communicatiediensten als bedoeld in artikel 28, eerste lid, en
   3. een persoon of instantie die behoort tot een ingevolge artikel 29a, eerste lid, aangewezen categorie van personen of instanties, met het schriftelijke verzoek tot verstrekking van een in dat verzoek omschreven geautomatiseerd gegevensbestand of delen van een geautomatiseerd gegevensbestand.
2. De in het eerste lid bedoelde bevoegdheid mag slechts worden uitgeoefend, indien door Onze betrokken Minister daarvoor op een daartoe strekkend verzoek toestemming is verleend aan het hoofd van de dienst.
3. Het verzoek tot het verlenen van toestemming als bedoeld in het tweede lid bevat ten minste:
   1. een nauwkeurige aanduiding van degene tot wie het verzoek om verstrekking van geautomatiseerde gegevensbestanden zich richt;
   2. een nauwkeurige omschrijving van het geautomatiseerde gegevensbestand dan wel deel van het geautomatiseerde gegevensbestand waarvan de verstrekking wordt verlangd met dien verstande dat deze geen andere soorten gegevens kunnen bevatten dan waartoe het desbetreffende bestuursorgaan, de aanbieder van communicatiediensten, of de persoon of instantie op grond van bepalingen van deze wet reeds verplicht zijn tot verstrekking;
   3. de reden waarom de uitoefening van de bevoegdheid wordt verlangd.
4. Degene aan wie een verzoek om gegevensverstrekking als bedoeld in het eerste lid is gericht, is verplicht aan het verzoek te voldoen.
5. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot in ieder geval:
   1. de termijn waarbinnen de verstrekking van het geautomatiseerde gegevensbestand dient plaats te vinden;
   2. de vergoeding van de kosten, met dien verstande dat op de verstrekking van gegevens door bestuursorganen als bedoeld in het eerste lid, onder a, artikel 17a, vierde lid, van overeenkomstige toepassing is.
6. Op de verstrekking van gegevens ingevolge een verzoek als bedoeld in het eerste lid is artikel 17, vierde lid, van overeenkomstige toepassing.
7. De voordracht voor een krachtens het vijfde lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.

Over data-analyse op basis van gevorderde persoonsgegevens stelde het CBP:

Bedrijven en instellingen, zowel in de publieke als in de private sector, hebben de neiging om steeds meer persoonsgegevens te verzamelen, te gebruiken en uit te wisselen. Daarnaast worden ook wettelijke verplichtingen geschapen om gegevens gedurende een bepaalde periode te bewaren. Het wetsvoorstel schept de mogelijkheid voor de diensten om rechtstreekse geautomatiseerde toegang te verkrijgen tot de gegevens die bij de aangezochte persoon of instantie berusten: hiermee wordt een on line- en real time verbinding bedoeld, waarbij zonder menselijke tussenkomst gegevens verstrekt kunnen worden. Op deze wijze kan een grote hoeveelheid gegevens vergaard worden uit externe databases, mede ten behoeve van data- analyse. Deze combinatie leidt tot consequenties die niet of niet voldoende lijken te zijn onderkend.

De eerste consequentie die het CBP voorzag:

In de eerste plaats heeft deze combinatie tot gevolg dat de diensten steeds meer gegevens zullen moeten analyseren om de eenvoudige reden dat steeds meer gegevens beschikbaar zijn; zoeken naar een speld in een hooiberg. Het is niet aannemelijk dat de effectiviteit van het doorzoeken van informatie hiermee gediend is. Gewaarschuwd dient dan ook te worden voor de hooggespannen verwachtingen van technologische toepassingen en de verplichting die op verantwoordelijken kan worden gelegd. (…)

De kabinetsreactie hierop:

Op dit punt lijkt het CBP impliciet uit te gaan van de veronderstelling dat de diensten geen of onvoldoende ervaring hebben met het uitvoeren van data-analyses op grote hoeveelheden gegevens en dat het wetsvoorstel ertoe dient om het mogelijk te maken grotere hoeveelheden gegevens binnen te halen. Geen van deze veronderstellingen is juist. De diensten hebben al geruime tijd ervaring met data-analyses op grote hoeveelheden gegevens die worden verstrekt op basis van de huidige wet. Zoals in de memorie van toelichting vermeld en ook hiervoor gememoreerd beschikken de diensten op grond van de huidige wet over de mogelijkheid data-analyses uit te voeren, maar heeft de regering ervoor gekozen deze mogelijkheid thans ook expliciet in de wet op te nemen teneinde zodoende de kenbaarheid te vergroten en de toepassing ervan op onderdelen met extra waarborgen te omgeven.

Hiervoor heb ik er voorts al op gewezen dat de verplichting tot gegevensverstrekking die het wetsvoorstel introduceert niet zozeer ingegeven is door de wens over meer gegevens en bestanden te beschikken als wel om de nadelen van vrijwillige gegevensverstrekking te ontlopen. Er is dan ook geen sprake van de hooggespannen verwachtingen waar het CBP voor waarschuwt, maar van een reële inschatting van mogelijkheden tot verbetering gebaseerd op de huidige ervaringen. Het lijkt mij goed om op deze plaats aan de hand van enkele voorbeelden inzicht te geven in het belang van geautomatiseerde data-analyse voor een goede taakuitvoering.

Op aanbeveling van de Commissie-Oord (veiligheid burgerluchtvaart) en na wijziging daartoe van de Wet veiligheidsonderzoeken is thans de zogeheten dynamisering van het veiligheidsonderzoek mogelijk gemaakt. Zoals bekend dienen personen die werken op het beveiligde gebied van Schiphol een veiligheidsonderzoek te ondergaan, waarbij onder meer wordt gekeken naar de justitiële antecedenten van de persoon door raadpleging van het Justitieel Documentatiesysteem (JDS). De dynamisering maakt het mogelijk om periodiek (bijvoorbeeld een keer per maand) de justitiële gegevens (en de politiegegevens) van de in het beveiligde gebied werkzame personen te checken. Dit betekent dat er dus periodiek vele tienduizenden personen dienen te worden nageslagen in de desbetreffende bestanden van politie en justitie. Dat kan alleen nog maar door toepassing van geautomatiseerde data-analyse. Aan de hand van de in de Beleidsregel veiligheidsonderzoeken voor de burgerluchthaven expliciet genoemde strafbare feiten worden daartoe criteria aangewezen. Via een daartoe te ontwikkelen data-mining applicatie wordt aan de kant van de AIVD een geautomatiseerd selectiemechanisme toegepast waardoor alleen die personen worden uitgeselecteerd die voldoen aan de vooraf gestelde criteria. De aldus geselecteerde personen worden vervolgens aan een nader onderzoek onderworpen ter beantwoording van de vraag of de feiten en omstandigheden inderdaad zodanig zijn, dat tot intrekking van de verklaring van geen bezwaar, en daarmee van de toegangspas tot het beveiligde gebied, dient te worden overgegaan. De resultaten van geautomatiseerde data-analyse leiden dus nimmer automatisch tot conclusies, maar vormen het startpunt voor verder onderzoek.

Een ander voorbeeld betreft de voorlegging van visumaanvragen. De AIVD krijgt van het ministerie van Buitenlandse Zaken jaarlijks ongeveer 21 000 visumaanvragen voorgelegd. Dit zijn visumaanvragen van de landen op de 5A-lijst, een bijlage bij de Gemeenschappelijke Visuminstructies van de Beneluxlanden. Als over een aanvrager bij de dienst informatie aanwezig is die relevant is voor de beslissing over de aanvraag, dan brengt de dienst daarover een ambtsbericht uit aan het ministerie van Buitenlandse Zaken. Dit dient binnen vijf werkdagen te gebeuren. Het zal duidelijk zijn dat de zoekslag die noodzakelijk is voor het binnen zo korte termijn beschikbaar krijgen van de mogelijk voor de aanvraag relevante informatie alleen mogelijk is door het toepassen van geautomatiseerde data-analyse. Hierbij is het mogelijk dat de dienst de gegevens die verstrekt worden ten behoeve van deze visumaanvragen doorzoekt aan de hand van profielen. Ter illustratie kan genoemd worden het profiel van personen afkomstig uit een risicogebied, binnen een bepaalde leeftijdscategorie en met een technische achtergrond. Dat betekent uiteraard geenszins dat personen die voldoen aan een dergelijk profiel automatisch niet meer in aanmerking kunnen komen voor een visum. De uitkomst van het profielonderzoek zal slechts de basis vormen voor verder onderzoek naar de achtergrond en mogelijke beweegredenen van die groep personen om een visum voor Nederland aan te vragen.

De tweede consequentie die het CBP voorzag:

In de tweede plaats is niet gegarandeerd dat de kwaliteit van de gegevens die worden binnengehaald, van dien aard is dat daaruit, op zichzelf of in samenhang met andere gegevens bezien, conclusies kunnen worden getrokken die overeenkomen met de werkelijkheid. Hierin schuilt een groot risico voor de burger. Gegevens kunnen immers in een andere context dan waarin zij verzameld zijn of bewaard worden, een volstrekt onjuist beeld geven van die burger of groep burgers. Het risico op valse positieve en valse negatieve uitkomsten is aanzienlijk. Dit is schadelijk voor die betreffende burger(s), maar ook schadelijk voor de samenleving als geheel omdat hierdoor het vertrouwen van de burgers in de overheid wordt aangetast. De vraag is dan ook, gelet op die mogelijke onwenselijke gevolgen, of het middel data-analyse reeds voldoende is ontwikkeld voor gebruik in het veiligheidsdomein.

De kabinetsreactie hierop:

Ik ben het met het CBP eens dat aan data-analyse als zodanig, en zeker aan het gebruik van profielen, het risico is verbonden dat het teveel valse treffers oplevert. Dat zou kunnen inhouden dat personen onterecht als target kunnen worden aangemerkt. Bij de data-analyse door de diensten is het echter nooit de computer die bepaalt of iemand een target is. De resultaten die worden verkregen door de data-analyse zijn namelijk niet definitief, maar worden gebruikt ter advisering of ondersteuning van verder onderzoek. Na het uitvoeren van data-analyse zal altijd verder onderzoek plaatsvinden, waarbij de uitkomsten van de data-analyse verder worden vergeleken met aanvullende informatie. In alle gevallen is er sprake van een menselijke beoordeling alvorens de uitkomsten van data-analyse verder worden gebruikt.

De derde consequentie die het CBP voorzag:

Data-analyse bergt in de derde plaats ook het risico van zogenaamde function creep in zich: enerzijds worden technologieën die aanvankelijk gericht waren op een bepaalde doelgroep, in casu degenen die een gevaar vormden voor de nationale veiligheid, gaandeweg toegepast op (bijna) iedereen, terwijl anderzijds verzamelde gegevens voor een bepaald doel ten behoeve van een ander doel verstrekt en verwerkt worden. In het wetsvoorstel wordt geëxpliciteerd dat data- analyse een ieder kan betreffen (artikel 13, vijfde lid in het wetsvoorstel). Binnen de Artikel 29- werkgroep is in het kader van de Richtlijn Dataretentie (2006/24/EG) het standpunt ingenomen dat de mogelijkheid van datamining op de communicatie- en bewegingspatronen van onverdachte personen zou moeten worden uitgesloten. Het CBP heeft in het kader van de begrenzing van de toegang tot bewaarde gegevens eveneens op dit standpunt gewezen in zijn advies op het Wetsontwerp implementatie Europese Richtlijn Dataretentie d.d. 22 januari 2007. Wat betreft function creep in het kader van doelbinding dient opgemerkt te worden dat met name overheidsinstanties over gegevens van burgers kunnen beschikken op grond van een wettelijke verplichting tot het uitoefenen van een specifieke overheidstaak. In het doelgebonden gebruik zijn de nodige waarborgen voor die burger gelegen, die door het gebruik van data-analyse teniet worden gedaan.

Kabinetsreactie hierop:

Hoewel ik met het College het gevaar van function creep vermag in te zien, ben ik van mening dat de activiteiten van de inlichtingen- en veiligheidsdiensten met zoveel wettelijke waarborgen, waaronder onafhankelijk toezicht op de rechtmatigheid, zijn omgeven, dat dit gevaar nu juist in dit geval een uiterst hypothetisch karakter heeft. Zo dient, zoals ik al eerder heb aangegeven, alle gegevensverwerking door de diensten, dus ook de data-analyse, te voldoen aan de eisen die zijn neergelegd in artikel 12 van de WIV 2002. Dat betekent dat gegevensverwerking slechts plaats vindt voor een bepaald doel, noodzakelijk voor een goede uitvoering van de WIV 2002 of de Wet veiligheidsonderzoeken (WVO), in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze. De gegevens die worden geanalyseerd zijn onderzocht op hun betrouwbaarheid en eventueel voorzien van bronvermelding.

Het is echter onvermijdelijk dat bij het verzamelen en doorzoeken van externe gegevensbestanden ten dienste van de goede taakuitvoering van de inlichtingen- en veiligheidsdiensten, ook gegevensverwerking plaats vindt met betrekking tot personen waarop het onderzoek van de dienst zich niet richt. Onder meer onder toepassing van data-analysetechnieken kunnen deze personen er uit worden gefilterd, zodat alleen die personen resteren waarvoor de dienst belangstelling heeft. Wat vroeger handmatig gebeurde kan nu – gelukkig – op geautomatiseerde wijze. Niettemin worden met betrekking tot deze onverdachte personen ook hun gegevens verwerkt overeenkomstig de definitie die in artikel 1. onderdeel f, WIV 2002 van gegevensverwerking wordt gegeven: elke handeling of elk geheel van handelingen met betrekking tot gegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. Tot nog toe wordt de grondslag voor deze verwerking gevonden in artikel 13, eerste lid, onderdeel e, WIV 2002 (personen wier gegevens noodzakelijk zijn ter ondersteuning van een goede taakuitvoering door de dienst). Nu in het wetsvoorstel wordt voorgesteld een expliciete wettelijke basis te geven aan de geautomatiseerde data-analyse door de diensten, wordt ook voorzien in een aanvulling van artikel 13 die buiten twijfel stelt in het kader van die data-analyse ook persoonsgegevens van onverdachte personen verwerkt kunnen worden. Daartoe is artikel 13, vijfde lid, in het wetsvoorstel opgenomen.

Tot slot enkele passages vanuit het veiligheidsperspectief, eveneens uit de kabinetsreactie:

Zoals reeds in de memorie van toelichting uiteengezet hebben de aanslagen in New York, Madrid en Londen, maar ook na enkele voorvallen in Nederland zelf, onmiskenbaar aan het licht gebracht dat de mogelijkheden tot het tijdig onderkennen van terroristische dreigingen en het waar mogelijk voorkomen van op handen zijnde terroristische aanslagen dienen te worden vergroot. De nu voorgestelde wijzigingen van de WIV 2002 passen binnen het samenhangend geheel van maatregelen en beleid ter verdere intensivering van de terrorismebestrijding dat door het vorige kabinet is ingezet (zie Kamerstukken II 2003/04, 27 925, nr. 123) en behoren tot de noodzakelijk te treffen maatregelen. De voorstellen tot wijziging van de WIV 2002 zijn aangekondigd in de brief van mijn ambtsvoorganger van 15 juli 2004 aan de Voorzitter van de Tweede Kamer der Staten-Generaal (Kamerstukken II, 2003/04, 29 200 VII, nr. 61). De voorstellen dragen bij aan de mogelijkheden van de diensten tot het handhaven en verbeteren van de eerder genoemde informatiepositie en tot het op efficiëntere en effectievere wijze verwerken van gegevens. Uiteraard slechts met het oog op het hoofddoel van de diensten: het afwenden van dreigingen voor de nationale veiligheid.

Het afwenden van dreigingen vindt zijn startpunt uiteraard in het verrichten van onderzoek naar organisaties en personen welke aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de nationale veiligheid. De diensten richten zich bij dit onderzoek met name op het in kaart brengen van de volgende aspecten van het gedrag van die personen en organisaties: identificatie, verplaatsing, communicatie en financiën. Zonder om begrijpelijke redenen in te kunnen gaan op concrete voorbeelden, kan als illustratie dienen de situatie dat de diensten over informatie beschikken dat een groep personen het idee heeft opgevat om ergens in Nederland om ideologische redenen een aanslag te plegen. In deze situatie is het uiteraard zaak voor de diensten om helderheid te krijgen over de omvang van deze groep, de personen die deel uitmaken van de groep, het potentiële doelwit en de beoogde datum van de aanslag etc. Om hier volledig zicht op te krijgen zullen de diensten de beschikking moeten hebben over gegevens omtrent de identiteit van de leden, hun reisbewegingen, de wijze waarop de leden communiceren en de inhoud van deze communicatie en tot slot de financiële mogelijkheden van de groep. Het behoeft geen verdere uitleg wat in een dergelijke situatie de gevolgen kunnen zijn indien de diensten niet beschikken over de mogelijkheden om de benodigde gegevens voorhanden te krijgen. Het gaat derhalve om gegevens die noodzakelijk zijn voor een goede taakuitvoering door de diensten.

EOF

UPDATE 2017-08-17: in de definitieve Wiv20xx, zoals gepubliceerd (.pdf; mirror) in Staatsblad onder de titel “Wiv2017”, is Artikel 60 Wiv2002 als Artikel 91 beland. “Artikel 60-ambtenaren” wordt dus “Artikel 91-ambtenaren”.

UPDATE 2015-07-02: het nieuwe Wiv-wetsvoorstel is in publieke consultatie gebracht. Artikel 60 wordt vervangen door Artikel 79. Indien dat artikel ongewijzigd in de definitieve Wiv20xx belandt zal op termijn wellicht worden gesproken over “Artikel 79-ambtenaren” in plaats van “Artikel 60-ambtenaren”.

UPDATE 2014-10-07: de motie van Strik c.s. is ingetrokken.

UPDATE 2014-09-23: senatoren Strik (GL), Van Boxtel (D66), Franken (CDA), K.G. de Vries (PvdA) en Gerkens (SP) hebben vandaag een motie (.pdf) ingediend met aan de regering het verzoek “onderzoek te verrichten naar nut en noodzaak van onafhankelijk toezicht op overheidsinstanties die nu niet onder het toezicht van de CTIVD vallen, maar die wel soortgelijke taken verrichten die de bescherming van de persoonlijke levenssfeer van burgers kunnen raken, en de Kamer hierover te informeren”.

Artikel 60 Wiv2002 geeft daartoe aangewezen ambtenaren bij de politie, KMar en Belastingdienst de bevoegdheid werkzaamheden verrichten ten behoeve van de AIVD. Bij de politie gaat het ten minste om de inlichtingendienst van de Landelijke Eenheid en om de Regionale Inlichtingendiensten (RID’en). Bij de KMar gaat het om de Directeur Operaties, het hoofd van het Cluster Intelligence, het personeel van de Bijzondere Dienst (BD/KMar) en het personeel van de Brigade Speciale Beveiligingsopdrachten. Bij de Belastingdienst gaat het ten minste om FIOD-ECD en douane, recent samengevoegd in de Inlichtingendienst (ID) Belastingdienst.

Artikel 60-werkzaamheden worden uitgevoerd onder verantwoordelijkheid van de Minister van BZK, en omvatten onder andere informatieverzameling namens de AIVD. De CT-Infobox is (.pdf, 2007) gedeeltelijk georganiseerd op basis van Artikel 60 Wiv2002.

CTIVD-rapport 16 (.pdf, 2007) — zie hier (2008) de reactie van de minister — ziet op de Artikel 60-samenwerking tussen de AIVD, de KMar en de RID’en.

Even een kort zijstapje over RID’en. Deze hebben een openbare ordetaak en een AIVD-taak .Van oudsher hebben RID’en een rol gespeeld bij BVD/AIVD-activiteiten, waarbij de scheiding tussen BVD/AIVD-inlichtingenwerk en de openbare ordetaak een permanent “twee petten”-vraagstuk is. Denk daarbij aan extremistische uitingen/demonstraties die de openbare orde (whatever that may be) kunnen verstoren: soms is dat zowel een vraagstuk van openbare orde als een aandachtsgebied van de AIVD. Anno 2008 waren er 319 RID’ers belast met de uitvoering van inlichtingenactiviteiten. De CTIVD stelt over RID’ers:

Bij de taak ingevolge de Wiv2002 moeten de RID’ers worden beschouwd als waren zij AIVD’ers.

De AIVD stelt over RID’ers ongeveer hetzelfde:

Er wordt dan ook vanuit de AIVD alles aan gedaan om de medewerkers van de RID-en en de BD-Kmar als directe collega’s te beschouwen en als zodanig ook te bejegenen.

Ten tijde van het onderzoek onderhavig aan CTIVD-rapport 16 hebben de RID’en aangegeven nauwer betrokken te willen zijn bij de uitoefening van bijzondere bevoegdheden Wiv2002:

In het onderzoek van de Commissie is naar voren gekomen dat sommige RID’en de wens voelen om nauwer bij de inzet van bijzondere bevoegdheden door de AIVD betrokken te worden. Als voorbeeld wordt door sommigen genoemd het observeren van personen en/of zaken, maar bijvoorbeeld ook het uitwerken van telefoontaps van de AIVD.

Momenteel is de AIVD aan het beoordelen op welke wijze de RID’en uitgebreider dan thans het geval is zouden kunnen worden ingeschakeld bij de inzet van bijzondere bevoegdheden. Zolang de AIVD toestemming verleent voor de inzet van de bevoegdheden en daar toezicht op uitoefent, en ook wordt voldaan aan de overige voorschriften uit de WIV 2002, bestaat daar vanuit het oogpunt van rechtmatigheid geen bezwaar tegen.

In recente jaren is de rol van RID’en versterkt in het project RID 2015, zo lezen we ook in deze kamerbrief (2012):

Het afgelopen jaar heeft de AIVD samen met de Nationale Politie i.o. de ontwikkeling naar een effectievere en efficiëntere inzet van de RID-en in gang gezet door middel van het project RID 2015. De stappen die in 2012 gezet worden maken onderdeel uit van een langlopend traject waarbij het einddoel is om in 2015 een RID nieuwe stijl gereed te hebben. Deze RID nieuwe stijl wordt hét regionale knooppunt van inlichtingen, informatie en kennis met betrekking tot de nationale veiligheid, in de context van de eigen regio.

De werkzaamheden van een RID worden jaarlijks in een RID-specifiek “Inlichtingen Behoefteplan” (IBP) vastgesteld.

Hieronder volgt een verzameling van de relevante teksten uit de Wiv2002, aangevuld met citaten uit kamerstukken en CTIVD-rapport 16.

Het eerste lid van Artikel 60 Wiv2002 geeft de politie, KMar en Belastingdienst de bevoegdheid werkzaamheden te verrichten ten behoeve van de AIVD:

1. De korpschef, de politiechef van een regionale eenheid, de commandant van de Koninklijke marechaussee, de directeur-generaal van de rijksbelastingdienst van het Ministerie van Financiën verrichten werkzaamheden ten behoeve van de Algemene Inlichtingen- en Veiligheidsdienst.

2. Onze Ministers onder wie de in het eerste lid genoemde ambtenaren ressorteren, onderscheidenlijk de korpschef en de korpsbeheerder van het politiekorps van Bonaire, Sint Eustatius en Saba wijzen in overeenstemming met Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties ondergeschikten van deze ambtenaren aan tot de feitelijke uitvoering van en het toezicht op de aldaar bedoelde werkzaamheden.

3. De in dit artikel bedoelde werkzaamheden worden verricht onder verantwoordelijkheid van Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties en overeenkomstig de aanwijzingen van het hoofd van de Algemene Inlichtingen- en Veiligheidsdienst.

4. Met betrekking tot het optreden van ambtenaren van politie ter uitvoering van de in dit artikel bedoelde werkzaamheden blijft hoofdstuk 7 van de Politiewet 2012 buiten toepassing.

Het tweede lid bepaalt dat ambtenaren worden aangewezen voor feitelijke uitvoering van en het toezicht van deze werkzaamheden. Deze ambtenaren krijgen dan “Artikel 60-status” en worden ook wel aangeduid als “Artikel 60-ambtenaren” of “Artikel 60-functionarissen”. Ze kunnen “onder bepaalde voorwaarden ongehinderd toegang tot het gebouw van de AIVD hebben”. Het derde lid bepaalt dat de Artikel 60-werkzaamheden worden verricht onder de verantwoordelijkheid van de Minister van BZK.

Uit de verwoording van het tweede lid van Artikel 19 Wiv2002 volgt dat Artikel 60-ambtenaren niet zelfstandig bijzondere bevoegdheden cfr Wiv2002 mogen inzetten (observatie, dekmantels, afluisteren, hacken, etc.: zie Paragraaf 3.2.2 Wiv2002; Artikel 20 t/m 30 Wiv2002):

1. De uitoefening door een dienst van een bevoegdheid als bedoeld in deze paragraaf is slechts toegestaan, indien, voor zover bij deze paragraaf niet anders is bepaald, Onze betrokken Minister of namens deze het betrokken hoofd van een dienst daartoe toestemming heeft gegeven.

2. Het hoofd van een dienst kan aan hem ondergeschikte ambtenaren bij schriftelijk besluit aanwijzen die de toestemming, bedoeld in het eerste lid, namens hem verlenen. Onze betrokken Minister wordt een afschrift van het besluit gezonden.

3. De toestemming wordt, voor zover bij of krachtens de wet niet anders is bepaald, verleend voor een periode van ten hoogste drie maanden en kan telkens op een daartoe strekkend verzoek worden verlengd voor eenzelfde periode.

In Kamerstukken II 2000/01, 25 877, nr.14 wordt dat toegelicht (waarschuwing: let hier op het woord “zelfstandig”):

Wat de uitoefening van bevoegdheden betreft, die aan de BVD/AIVD toekomen merken wij het volgende op. De bijzondere bevoegdheden die in het wetsvoorstel WIV aan de AIVD toekomen kunnen nimmer zelfstandig door de RID’en – dat wil zeggen de functionarissen die op grond van [Artikel 60] van het wetsvoorstel werkzaamheden verrichten voor de AIVD – worden uitgeoefend. De uitoefening van de bijzondere bevoegdheden door de AIVD is onderworpen aan de procedurele vereisten die in het wetsvoorstel – per bijzondere bevoegdheid nader uitgewerkt – daaraan zijn gesteld. Of het wenselijk is een bepaalde bijzondere bevoegdheid in het kader van een bepaald onderzoek (teamopdracht) uit te oefenen zal in beginsel door het voor dat onderzoek verantwoordelijke BVD/AIVD-teamhoofd dienen te worden vastgesteld en door deze vervolgens met inachtneming van de daarvoor geldende regels voor goedkeuring aan de daarvoor aangewezen instanties dienen te worden voorgelegd. Zoals in artikel 19 van het wetsvoorstel is bepaald zal toestemming voor de uitoefening van bijzondere bevoegdheden dienen te worden verleend door de minister of namens deze het hoofd van de AIVD; met betrekking tot bepaalde bijzondere bevoegdheden is sub-mandaat mogelijk. De werkzaamheden van de medewerkers van de RID dienen te passen in een team-opdracht die door het hoofd van de BVD is vastgesteld; deze werkzaamheden richting de RID’en vinden hun uitwerking in het jaarlijks door het hoofd van de BVD na overleg met de korpschef vast te stellen activiteitenplan. De uitvoering van deze werkzaamheden geschiedt vervolgens op aanwijzingen van het hoofd van de BVD (in de praktijk via aansturing door het desbetreffende teamhoofd). Concluderend kan worden gesteld dat de RID’en niet zelfstandig tot de uitoefening van de in het wetsvoorstel geregelde bijzondere bevoegdheden kunnen overgaan.

Uit CTIVD-rapport 16 wordt duidelijk dat de RID’en bijzondere bevoegdheden cfr. Wiv2002 wel in opdracht van de AIVD uitvoeren(p.10):

Ook bij de inzet van bijzondere bevoegdheden (artikel 20 tot en met 30 WIV 2002) door de AIVD kunnen de RID’en een rol spelen. Het betreft hier enkel een uitvoerende rol: de bijzondere bevoegdheden kunnen niet zelfstandig door de RID’en worden ingezet. Mandatering van de (beslissing tot) inzet van bijzondere bevoegdheden aan de RID’en is volgens de wetsgeschiedenis niet mogelijk.

Het gaat dan bijvoorbeeld om het uitvoeren van observatie (Artikel 20 Wiv2002) door de KMar.

Artikel 9 Wiv2002 verbiedt Artikel 60-ambtenaren het uitvoeren van opsporingsbevoegdheden tijdens Artikel 60-werkzaamheden:

Artikel 13 Wiv2002 legt beperkingen op aan het soort gegevens dat mag worden verwerkt en over wie:

Artikel 62 Wiv2002 verplicht alle politie-/KMar-/Belastingdienst-ambtenaren die geen Artikel 60-status hebben informatie die van belang kan zijn voor de AIVD te verstrekken aan de relevante Artikel 60-ambtenaar:

De ambtenaren van politie, de ambtenaren van de rijksbelastingdienst, bevoegd inzake de douane en de ambtenaren van de Koninklijke marechaussee doen mededeling van de te hunner kennis gekomen gegevens die voor een dienst van belang kunnen zijn, aan de in artikel 60, eerste lid, bedoelde ambtenaar aan wie zij ondergeschikt zijn. In afwijking van de eerste zin vindt de mededeling van ambtenaren van politie die zijn tewerkgesteld bij een regionale eenheid plaats aan de politiechef van de desbetreffende regionale eenheid. De in artikel 60, eerste lid, bedoelde ambtenaar waaraan de mededeling is gedaan, zendt de gegevens aan die dienst.

Artikel 63 Wiv2002 bepaalt dat de AIVD (op verzoek van het AIVD-hoofd) technische ondersteuning mag bieden aan “met opsporing van strafbare feiten belaste instanties” (politie, FIOD, Marrechaussee):

1. De diensten zijn bevoegd op schriftelijk verzoek van het daartoe bevoegde gezag tot het verlenen van technische ondersteuning aan de met opsporing van strafbare feiten belaste instanties. Artikel 58, derde lid, is van overeenkomstige toepassing.

2. Onze betrokken Minister is bevoegd zich te wenden tot Onze Minister van Veiligheid en Justitie met het schriftelijke verzoek tot het verlenen van technische ondersteuning aan de betrokken dienst bij de uitvoering van diens taak door een of meerdere landelijke eenheden van de politie. Artikel 58, derde lid, is van overeenkomstige toepassing.

In Kamerstukken II 2000/01, 25 877, nr.8  wordt dat toegelicht:

Met het verlenen van technische ondersteuning wordt bedoeld het ter beschikking stellen van technische apparatuur waarover de instantie die om de desbetreffende ondersteuning vraagt niet zelf beschikt dan wel – voor zover deze er zelf wel over beschikt deze apparatuur reeds voor andere doeleinden heeft ingezet. Daartoe kan ook de ondersteuning door personeel worden gerekend, zij het dat die gerelateerd dient te zijn aan de verlangde technische ondersteuning. Gedacht moet dan bijvoorbeeld worden aan de ter beschikkingstelling van personeel dat gespecialiseerd is in de bediening van de desbetreffende technische apparatuur.

EOF

UPDATE 2017-12-12: Besluit op WOB-verzoek informatie over het Platform Interceptie-Decryptie Siganaalanalyse (PIDS) (Rijksoverheid.nl)

In Nederland is rond de millenniumwisseling door de Ministeriële Commissie voor de Inlichtingen- en Veiligheidsdiensten (MICIV) — thans de Raad voor de Inlichtingen- en Veiligheidsdiensten (RIV) — een interdepartementaal bureau op het gebied van interceptie, decryptie en signaalanalyse georganiseerd: het Platform Interceptie-Decryptie en Signaalanalyse (PIDS). Het bestaat uit een Beleidsgroep, een Technologiegroep en een Stafbureau. Het PIDS ressorteert binnen MinVenJ onder de Directie Instrumentatie Rechtspleging en Rechtshandhaving (DGRR-DIRR) c.q. de Justitiële Informatiedienst (JustID) aldaar (bron). Het MIVD-jaarverslag 2013 (.pdf) zegt het volgende over het PIDS:

Op het gebied van data- en telecommunicatie participeert de MIVD, namens het ministerie van Defensie in het Platform Interceptie Decryptie en Signaalanalyse (PIDS) en het Platform 13. PIDS is een interdepartementaal samenwerkingsverband van een groot aantal actoren in zowel het opsporing- en veiligheidsdomein als de I&V-diensten. Het primaire doel is het gezamenlijk doen van wetenschappelijk technologisch onderzoek om instrumenten te ontwikkelen en toe te passen in de opsporingspraktijk of bij het vergaren van inlichtingen. Op het gebied van het oplossen van complexe zaken is dan ook sprake van een trapsgewijze inzet van de nationaal beschikbare capaciteit. Dit betekent dat de bij de MIVD beschikbare rekencapaciteit in voorkomend geval ook, conform Wiv2002, wordt ingezet voor de (operationele) opsporing door daartoe bevoegde diensten.

Vanuit PIDS is er deelname aan ETSI-standaardisatie op het gebied van Lawful Interception (ETSI TC LI). Dat is passend binnen het takenpakket (.pdf, 2010) van PIDS:

• Het Stafbureau levert een bijdrage aan het aftap- & cryptobeleid en de uitwerking daarvan in nationale wet- en regelgeving dienaangaande ten behoeve van de PIDS-partners.
• Het Stafbureau is het gezamenlijk aanspreekpunt voor de telecommunicatiemarktpartijen voor met name de operationele behoeftestelling vanuit de opsporings- en I&V-diensten.
• Het Stafbureau vervult een ondersteunende en informatievoorzienende functie voor nationaal en internationaal overleg binnen het PIDS-werkveld.
• Het Stafbureau heeft een beheerstaak voor het samenwerkingsverband voor de operationele interceptie- en cryptoproblematiek. Het Stafbureau adviseert de Beleidsgroep over de beleidsmatige en beheersmatige aangelegenheden, bereidt de besluitvorming door de Beleidsgroep voor en bewaakt de uitvoering van de besluitvorming. Tevens heeft het Stafbureau een signalerende functie vanuit de praktijk naar de Beleidsgroep en de afzonderlijke deelnemers van het PIDS.
• Het Stafbureau coördineert beleidsondersteunend onderzoek op het gebied van interceptie, decryptie en signaalanalyse. Het bureau ontwikkelt de kaders voor onderzoeksplannen waarin de gezamenlijke onderzoeksbehoeften van de behoeftestellende organisaties zijn verdisconteerd.

Dit takenpakket is vastgesteld door het Comité Verenigde Inlichtingendiensten Nederland (CVIN). In 2001 voerde PIDS de volgende activiteiten uit (zie onder het zevende item vermelding van ETSI):

1. TNO-onderzoek. Dit is een inventariserend onderzoek naar de interceptie van moderne communicatietechnologieën.
2. Stratix-onderzoek. Dit is een feasability studie naar de opzet van een conceptstructuur en een overdrachtsprotocol ten behoeve van de interceptie van het INTERNET. [NB: het Kamerstuk vermeldt “Statix”, dat moet “Stratix” zijn]
3. Organiseren van bijeenkomsten van het Landelijk overleg Tapkamerbeheerders.
4. Het voorbereiden van de vergaderingen van de Beleidsgroep PIDS.
5. Meewerken aan het tot stand komen van het actieplan terreurbestrijding en veiligheid.
6. Technische en beleidsmatige ondersteuning ten behoeven van het project Landelijke Interceptie Organisatie (LIO).
7. Participatie in nationale en internationale overlegstructuren waaronder:
   • Europees standaardisatieoverleg (ETSI) Werkgroep Politiële samenwerking binnen de Europese Unie (PCWG). [=Europese Police Cooperation Working Group]
   • Project rechtmatige toegang van aanbieders van Versleutelingsdiensten (TTP).
   • Het Overleg Post en Telecommunicatie deelorgaan aftappen (OPTdaf).
   • Internationale Expertgroep (Standing technical Committee) International Law Enforcement Telecommunication Seminar (ILETS) Diverse overleggen met telecomaanbieders.

Verder blijkt uit weer een ander document (.pdf, 2004) dat PIDS in 2004 aan KPMG Information Risk Management heeft verzocht “een onderzoek [te verrichten] naar verschillende modellen voor het opslaan en bewaren van historische verkeersgegevens ten behoeve van opsporingsdiensten en inlichtingen- en veiligheidsdiensten in Nederland”. Het eindrapport staat hier (.pdf, 2004).

In dit andere document (.pdf, 2010) staat het volgende over PIDS:

De feitelijke bezetting van het bureau is 4.5 FTE, waarvan 4 vaste medewerkers van Justitie, aangevuld met een vertegenwoordiger van de MIVD die part-time gedetacheerd is. Voor concrete taken kan daarnaast een beroep worden gedaan op de capaciteit van AIVD en politie (KLPD). Dit is echter geen structurele capaciteit.

De periferie van het PIDS omvat onder meer politie/KLPD, het OM, de AIVD en MIVD:

Zie hier (.pdf mirror) een MIVD-vacature voor een “Medewerker ontcijfering” voor de Afdeling SIGINT (AS), Bureau Onderzoek, Sectie Ontcijfering, waarin een verwijzing staat naar PIDS.

Naast het PIDS is er nog “Platform 13”, waarin overleg plaatsvindt tussen de overheid en enkele aanbieders van telecommunicatiediensten. Het getal 13 verwijst naar het betreffende hoofdstuk uit de Telecommunicatiewet waar de activiteit van het platform betrekking op heeft: onder meer overleg over de investerings-, exploitatie- en onderhoudskosten gerelateerd aan tappen. Het MIVD-jaarverslag zegt het volgende over Platform 13:

Defensie participeert ook in het overleg tussen overheidspartijen en een zestal aanbieders van telecommunicatiediensten, het zogenaamde Platform 13. Dit overleg vloeit voort uit hoofdstuk 13 van de Telecommunicatiewet en de daaraan gerelateerde Vergoedingenregeling. Defensie benadert aanbieders nooit zelf voor het aansluiten van taps. Verzoeken van de KMAR worden door de landelijke eenheid van de Nationale Politie doorgezet aan de aanbieders. Verzoeken van de MIVD worden door de AIVD doorgezet. Ook in 2014 wordt het overleg tussen de overheidspartijen en de aanbieders voortgezet.

Politietaps worden aldus Agentschap Telecom aangeleverd aan de afdeling Interceptie en Sensing (I&S; 98 fte anno 2012) van de Landelijke Eenheid. De AIVD heeft een eigen tapkamer (mede namens de MIVD) en, naar we redelijk mogen aannemen, één of meer eigen ‘T1 handlers’ voor inkomend (internet)tapverkeer — uitgaande van de ETSI-specificatie Transport of Intercepted IP Traffic (TIIT) v1.2.0 (.pdf) zou het gaan om één of meer IP-adressen waar op TCP-poort 1904 wordt geluisterd naar inkomende TLS-gebaseerde, X.509-geauthenticeerde TIIT-verbindingen.

EOF

NOTE: this page is also available in Dutch.

UPDATE 2014-09-28: added historical reference concerning the British Security Commission, that in 1962 advised that GCHQ should be granted access to medical records as part of personnel security procedures, for instance to be able to determine whether someone has been suffering from depression. That proposal was rejected as “neither necessary nor justified”.

UPDATE 2014-09-19: added a few lines concerning Article 13 Wiv2002, that designates the persons about whom data can be requested using Article 17 Wiv2002, and what sort of data can be processed (health, race, religion, sex life). Data about political opinions obviously can be processed; data about religion, health, race and sexual life cannot, unless it is not only necessary but also “inevitable”.

The Dutch Intelligence & Security Act of 2002, from hereon “Wiv2002”, contains three articles that provide the Dutch General Intelligence & Security Service (AIVD) a legal basis for requesting information from third parties. (For clarity of exposition I disregard the Dutch Military Intelligence & Security Service (MIVD) here.)

First, Article 29 Wiv2002 provides the legal basis for the AIVD to request subscriber data from “providers of public electronic telecommunication networks and telecommunication services” as defined by the Dutch Telecommunications Act (“who’s name and address is this phone number, IP address, etc. registered to”). Note that “public electronic telecommunication networks and telecommunication services” is a complex and restricted group under Dutch law; it applies to many ISP’s (but not the SURFnet NREN, as it is not “public”: it is restricted to educational users) and providers of mobile and landline voice telephony. Google, Twitter, Skype etc. are not “telecommunication services” under Dutch law. Here is the Dutch govt’s list of all providers of public electronic telecommunications networks and here is the list of providers of electronic telecommunication services.

Second, Article 28 Wiv2002 (Decision ex Art.28; Explanatory Memorandum) provides the legal basis for the AIVD to request traffic data from those providers (e.g., for telephony: when did the user call, with whom, at what date and time, for how long, from what location, etc.; for internet: when did the user(‘s modem) log in to their ISP to access the internet, etc.).

Third, Article 17 Wiv2002 provides the legal basis for the AIVD to request information from any government office (police registers, citizen records, land registers, etc.), any civil servant, any party responsible for processing of personal data (in accordance with the Dutch Data Protection Act) and “furthermore anyone who is supposed to be able to provide the required data” — including Google, health insurers, banks, web shops, the grocery store and your neighbors, insofar necessary for the AIVD’s legal tasks, proportional and subsidiary:

Articles 28 and 29 can only be used for the a-task (national security) and d-task (foreign intelligence). Article 17 can be used for all tasks, i.e., also including the b-task (security screenings), the c-task (promoting security measures) and e-task (performing threat and risk analyses). Articles 28 and 29 are “special powers” and have additional safeguards, such as mandatory reporting and mandatory approval. Article 17 is not a special power and does not have such safeguards. For some time I had been wondering:

1. Does Article 17 Wiv2002 only provide the authority to ask for information, or also to demand it?
2. Can Article 17 Wiv2002 be used to acquire, without having to get prior approval from the Dutch minister, private communications from Facebook etc.?

The answer to both questions is “no”. This follows from paragraphs in the new report (.pdf, 2014, in Dutch) by the Dutch Review Committee on the Intelligence and Security Services (CTIVD) on the activities of the AIVD related to social media and webfora (I blogged about that report here and here). Page 8 states (emphasis is mine)

Article 17 provides the AIVD the authority to, in carrying out its tasks or in support of that, address governmental officies, persons and institutions that process data (informants). This also includes companies that process data related to social media. The AIVD may ask such a company from which IP address a certain user logged on from. The company is not obligated to provide the information; the provisioning is voluntary. The AIVD can only ask for information insofar that is necessary for a specific purpose and fulfillment of the legal tasks. Furthermore, the CTIVD is of the opinion that the AIVD can only use an informant insofar accessing the required data or providing it to third parties belongs to the normal tasks of the informant. If it is more than that, the human source needs to be qualified as an agent.

Hence: Article 17 Wiv2002 does not provide the authority to demand information. The answer to my second question is found in the next paragraph::

The generic authority of Article 17 does, in the opinion of the CTIVD, provide insufficient legal basis to make further infringement on privacy, such as in acquiring the content of private communications, such a s restricted-access messages on social media. In the latter case, such a privacy infringement is made, that it is only permissible if additional safeguards apply. This includes mandatory approval, the motivation, mandatory reporting, and the use of the acquired data. The law bounds these safeguards to special powers. Now that such safeguards don’t apply to Article 17, the Article 17 authority does not allow acquiring the contents of restricted messages.

Hence: Article 17 Wiv2002 can not be used to ask for voluntary provisioning of the content of private communication. Requesting the voluntary provisioning of other data is possible: traffic data from Twitter, your purchasing history at a web shop, etc.; is simply a question of what data is available, and where. Article 17 Wiv2002 does not distinguish between the type of data. (Of course, the AIVD is only permitted to ask for data insofar that data is necessary for its tasks, proportional and subsidiary.)

Can financial data be acquired from banks? Yes, because bank secrecy is overruled by the third member. That’s apparent from the following paragraph from  CTIVD report 20 (.pdf, 2009, in Dutch) on financial-economic investigations by the AIVD in the context of the Financial Expert Centrum (FEC) that the AIVD participates in:

From the third member of Article 17 Wiv2002, possible legal requirements concerning the provision of data to the AIVD do not apply. The bank secret, that is important in the financial world, hence can be put aside in the context of data provisioning to the AIVD.

The FEC carries out investigations in the context of the European “freeze lists” conform EC/2580/2001 (.pdf) of funds belonging to persons or organizations that are suspected of involvement in terrorist activities.

Can medical data be acquired? The third member of Article 13 Wiv2002 establishes a prohibition:

The processing of personal data concerning someone’s religion, race, health and sexual life does not take place.

“Health” and “sexual life” mean: sexuality, intimate conduct, medical or psychological conditions (see Article 8 of the European Data Protection Directive 95/46/EC).  Of course, the AIVD being an intelligence & security agency, data about political opinions can be processed. The fourth member of Article 13 Wiv2002 establishes an exemption to the prohibition of processing data about religion, race, health and sexual life:

The processing of data concerning the aspects meant in the third member only takes place in addition to the processing of other data and only insofar it is inevitable for the purposes of the data processing.

So: the AIVD cannot process medical data (or data about religion, race of sex life) on and by itself, but can do so if it is an addition to existing data processing — if doing so is not only necessary but also “inevitable”. Here are some thoughts. Due to legally mandated medical confidentiality, care providers (physicians, psychologists, etc.) may not disclose patient information. Exemptions to this exist: see the KNMG Handreiking beroepsgeheim en politie/justitie. But care providers are not the only ones in possession on medical data.

Health insurers process declarations for drugs and healthcare, and are not subject to medical confidentiality. That information about drug use can be very privacy sensitive, is clear: the use of SSRI’s is associated with anxiety and depression, the use of quetiapine with psychosis, methylphenidate with ADHD, etc. That information about the provided care can be very privacy-sensitive is also clear. During the introduction of the so-called “DBC system”, and secondary care became required to record DBCs: somatic care, surgery, but also mental healthcare. Care providers must on care declarations provide a “performance code”, and that code includes diagnostic information. The performance code has the format AAA BBB CCC DDD, where AAA = care type, BBB = diagnosis, CCC = stay (e.g. in hospital), DDD = treatment. The code lists for DBCs in mental care are available here. The diagnostic main groups as they become known to the health insurers are as follows:

001 = Other disorders in childhood
002 = Pervasive developmental
003 = Attention deficit disorders and behavioral disorders
004 = Group Rest diagnoses
005 = Adjustment disorders
006 = Other Conditions that may be a cause for concern
007 = Delirium, dementia and amnestic and other cognitive disorders
008 = Alcohol-related disorder
009 = Other disorders related to an agent
010 = Schizophrenia and other psychotic disorders
011 = Depressive disorders
012 = Bipolar and other mood disorders
013 = Anxiety Disorders
014 = Personality disorders
015 = Somatoform disorders
016 = Eating Disorder

Health insurers thus possess diagnostic information. Thanks to the very elaborate efforts of Dutch psychiatrist Kaspar Mengelberg (@DeVrijPsych) an opt-out exemption exists for (only) mental care providers. The diagnostic code can be replaced with “000”. However, Mengelberg states that institutional mental care providers (as opposed to self-employed ones) do not use this opt-out arrangement much. And that health insurers bully patients if the care declaration has a masked diagnostic code.

Moreover, there is the Dutch national DBC Information System (DIS). All care providers, including the mental care providers, are required to provide detailed diagnostic information in pseudonimized format to this system. Here (.pdf, 2012, in Dutch) is a visualization of the information flows. Consider the following (.pdf, 2012, in Dutch) concerning that pseudonimization:

As result of the applied pseudonimization, no persons can be identified in the DBC Information System (DIS). For the purposes of the Central Bureau for Statistics (CBS) a situation is created through which the CBS can link DIS-data to Municipal Citizen Registry. (…)

Hence, the CBS can, technically, link DIS-data to individual persons. That is not to say that this will ever happen at the request of the AIVD (one can imagine the scandal that would be). But it is clear to information about health, especially mental health, is relevant to the a- and d-task (who can we influence a target?) and to the b-task (security clearances; some 30-40k happen each year, of which some 1500 at the highest level). To illustrate that, here’s a quote from Richard Aldrich’s book on GCHQ. In 1962, following a high profile spy case (a ranking GCHQ employee had turned KGB agent), the British Security Commission made recommendations for improving personnel security procedures. One of the recommendations was that GCHQ should be granted access to medical records. Aldrich states:

Benson Buffham, a former Deputy Director of NSA who had recently served as the American Liaison Officer to GCHQ, or ‘SUSLO’, visited London to confer on security, and made it very clear that the Americans were keen to see the polygraph arrive at GCHQ. The Security Commission also recommended that vetting teams should be granted access to medical records in order to check for problems such as depression. However, this was shot down immediately by the BMA’s Civil Service Medical Officers Group as ‘neither necessary nor justified’. [Footnote 46: Woods (BMA) to Duffton (SCPS GCHQ Main Branch), RVW/JNLlFB, 15.12.83, MSS.84/3II 9, GCHQ-UR WMRC.]

In conclusion, scenario’s exist where an intelligence agency may want to have access to medical records. (Which is not to say that such access has ever existed.)

Information about health can be acquired through observation and asking around in the social environment of someone, but less risky is having someone read it from a database. Homosexuality used to be an aggravating circumstance in screenings; fortunately we’ve moved past that. But health, mental health in particular, is and remains a relevant topic in security screenings, where it’s all about someone’s reliability and vulnerability to blackmail etc..

In conclusion: in order to obtain medical data, it is not necessary to infringe on medical confidentiality. The question then is: would the CTIVD be of the opinion that Article 17 Wiv2002 permits requesting medical data? Fact is that it is apparent that the banking secret does not apply to requests based on Article 17 Wiv2002.

A little sidestep to the US. The DoD defines (.pdf, 2014) “medical intelligence” as follows:

(…) the product of collection, evaluation, and all-source analysis of worldwide health threats and issues, including foreign medical capabilities, infectious disease, environmental health risks, developments in biotechnology and biomedical subjects of national and military importance, and support to force protection

The National Geospational Agency (NGA) and the NSA provide “support for medical intelligence and medical intelligence-related requirements”. Perhaps that involves the PATRIOT ACT. Plausibly, data about individual persons will occasionally be processed. Even in filling out an ESTA declaration a medical question is asked: “Do you have a communicable disease; physical or mental disorder; or are you a drug abuser or addict?” That same form asks for your name, address and passport information.

Back to the Netherlands, and the main topic of this post. The Dutch government has in 2006 proposed the power to demand data as part of the post-Madrid bill to change the Wiv2002. That bill explicitly also involved provisioning of financial data to the AIVD (Article 29a-1-a). Back then, it was one of the controversial items in the bill, that was eventually revoked. It remains to be seen whether elements of that proposal will re-appear in the bill that the Dutch cabinet is expected to propose later this year. The Dessens Committee, that last year reviewed the Wiv2002, has made no recommendations concerning Article 17 Wiv2002 or Article 29a in the revoked bill.

Related posts:

• 2014-09-05: Overview of legal framework used to assess Dutch intelligence activities involving social media (this blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (this blog)

EOF

I’m reading Richard J. Aldrich’s book GCHQ – The Uncensored Story of Britains Most Secret Intelligence Agency (2010; available as 28MB .pdf here) and thought the following paragraphs about TEMPEST in the 1960s offer an interesting bit of historic perspective to modern day weakening of crypto (such as DUAL_EC) as part of NSA’s Bullrun and GCHQ’s Edgehill program:

What none of these accounts captures is the exquisite dilemma of offence versus defence. With Tempest, the conflicting demands of offensive sigint and defensive communications security were so complex as to make the head spin. The optimum solution was for GCHQ and NSA to be able to read the traffic of minor allies and neutral countries themselves, but to provide them with enough defensive expertise to make their communications immune to similar code-breaking efforts by the sigint specialists of the KGB. Tempest allowed GCHQ and NSA to launch innovative attacks on all sorts of machines that had not yet been broken, but this was only an unalloyed virtue if the Soviets were lagging behind in its use. This, in turn, raised another awkward question: how much did the Soviets know?

[…]

Stannard explained that the most awkward issue presented by Tempest was ‘how we may best distribute our responsibilities for advising our allies, particularly in NATO’. Tempest was a nuisance in terms of security, but of course it was beneficial for offensive sigint operations by GCHQ. The British did not want information about Tempest to spread to ‘countries or organisations from which signal intelligence is required’. Where the balance of advantage fell depended on the relative importance attached to either sigint or security. Understandably, perhaps, there were some arguments between GCHQ and LCSA over this matter. [Footnote 64: ‘What is Being Done About Radiation’, Stannard (D/LCSA), address to 38th mtg of the [Canadian] Cipher Policy Committee, Apr. 1958, File TS 1325-3 ‘Communications Security – Crypto Systems’, Canadian Department of National Defence, (…)]

Furthermore:

By the early 1960s the awkward NATO Tempest question was gradually being resolved. A handbook was provided to the European allies that explained how to install cypher equipment so as to minimise radiation risks from Tempest. [Footnote 65: The handbook was designated AMSP522.] However, LCSA emphasised that, within the inner circle constituted by the British, Americans and Canadians, the standard NATO briefing had always to be accompanied by ‘advice on certain aspects of the problem which it is undesirable to disseminate to NATO at large’. This circumlocutory language suggests that Britain was offering some of its NATO partners incomplete advice, leaving open certain avenues for exploitation. At the same time, GCHQ hoped fervently that the KGB was not using the same techniques. [Footnote 66: LCSC (59) 10 (Final), ‘Radiation: Review of Measures Taken or in Hand’, 19.06.59, File TS 1325-3 ‘Communications Security – Crypto Systems’, Canadian Department of National Defence, (…).]

At last, after two troublesome decades, Britain’s code-breakers and code-makers were finally getting to grips with Tempest. The issue, together with independent cryptography by European NATO allies and neutrals, had presented sensitive and costly problems. However, there had also been enormous achievements, many of which are still shrouded in deep secrecy, which provided continuous access to many streams of diplomatic traffic around the world. The main beneficiaries were K Division at GCHQ, whose task it was to read non-Soviet systems. However, these triumphs also owed much to the work of the unsung heroes of communications security, hiding out in one of Britain’s least-known secret service headquarters in Palmer Street in central London. In 1969, their last year of independent operation before they were merged with GCHQ, Fred Stannard’s colleagues declared that their secretive influence over cypher machines was the surest route to good intelligence: ‘There is no better way to successful Sigint than to influence selected target countries by Comsec advice to use a source of equipment desired by Sigint.’ This, they added with quiet satisfaction, ‘can sometimes be done’. [Footnote 67: Burrough to Ryland, 03.06.69, attached ‘Report of the CESD Working Party’, DEFE 32118, cited in Easter, ‘GCHQ and British External Policy in the 1960s’, p.692.]

EOF

NOTE: this page is also available in English.

UPDATE 2014-09-28: historische referentie toegevoegd: na een grote spionagezaak bij GCHQ adviseerde de Britse Security Commission in 1962 dat GCHQ als onderdeel van veiligheidsprocedures ook medische gegevens zou moeten doorlichten. Dat voorstel is destijds verworpen als “noodzakelijk noch gerechtvaardigd”.

UPDATE 2014-09-19: toegevoegd dat Artikel 13 derde lid de verwerking van gegevens over godsdienst of levensovertuiging, ras, gezondheid en seksuele leven verbiedt, en dat het vierde lid een uitzondering bepaalt van dat verbod. Gegevens over politieke gezindheid mogen door de diensten natuurlijk wél worden verwerkt.

De Wiv2002 heeft drie artikelen die bevoegdheden regelen waarmee de AIVD gegevens kan opvragen bij anderen. (Omwille van leesbaarheid laat ik de MIVD buiten beschouwing.) Ten eerste kan de AIVD op basis van Artikel 29 Wiv2002 abonneegegevens vorderen bij “aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten” in de zin van de Telecommunicatiewet. (op wiens naam staat dit telefoonnummer/IP-adres/enz.). Google, Twitter, Skype etc. zijn geen “aanbieders van openbare telecommunicatienetwerken/-diensten”; denk daarbij eerder aan telco’s (mobiel, vast, huurlijn) en internetproviders — maar dan weer niet SURFnet, want die heeft een besloten gebruikersgroep (studenten en onderwijsinstellingen) en wordt daarom niet als “openbaar” beschouwd. Zie hier de lijst van alle aanbieders van openbare elektronische telecommunicatienetwerken en hier de lijst van alle aanbieders van openbare elektronische telecommunicatiediensten.

Ten tweede kan de AIVD op basis van Artikel 28 Wiv2002 (Besluit ex Art.28; MvT) bij die aanbieders ook verkeersgegevens vorderen (wanneer is gebeld, met wie, op welke dag en tijd, hoe lang, vanaf welke locatie — dit kan evt. in real-time worden aangeleverd via een ‘stomme’ tap; denk verder ook aan metadata van internetverkeer).

Ten derde kan de AIVD op basis van Artikel 17 Wiv2002 om gegevens opvragen bij elk bestuursorgaan (politieregisters, GBA, kadaster, enz.), elke ambtenaar, elke verantwoordelijke voor een gegevensverwerking (in de zin van de Wbp) en “voorts een ieder die geacht wordt de benodigde gegevens te kunnen verstrekken” — dus incluis Google, zorgverzekeraars, banken, webwinkels, de slager en je buren, mits noodzakelijk voor de uitoefening van de taken, proportioneel en subsidiair:

Met Artikel 17 Wiv2002 mogen gegevens worden verzameld met betrekking tot de personen aangeduid in Artikel 13 Wiv2002:

1. De verwerking van persoonsgegevens door de Algemene Inlichtingen- en Veiligheidsdienst kan slechts betrekking hebben op personen:

   1. die aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de democratische rechtsorde, dan wel voor de veiligheid of voor andere gewichtige belangen van de staat; [=ruim]

   2. die toestemming hebben verleend voor een veiligheidsonderzoek; [=beperkt]

   3. omtrent wie dat noodzakelijk is in het kader van het onderzoek betreffende andere landen; [=ruim]

   4. over wie door een andere inlichtingen- of veiligheidsdienst gegevens zijn ingewonnen; [=ruim]

   5. wier gegevens noodzakelijk zijn ter ondersteuning van een goede taakuitvoering door de dienst; [=ruim]

   6. die werkzaam zijn of zijn geweest voor een dienst; [=beperkt]

   7. omtrent wie dat noodzakelijk is in het kader van het opstellen van de dreigings- en risicoanalyses, bedoeld in artikel 6, tweede lid, onderdeel e. [=ruim]

Artikel 28 en 29 mogen alleen voor de a-taak (nationale veiligheid) en d-taak (inlichtingentaak buitenland) worden ingezet. Artikel 17 mag voor alle taken worden ingezet, dus ook de b-taak (veiligheidsonderzoeken), de c-taak (veiligheidsmaatregelen bevorderen) en e-taak (dreigings- en risicoanalyses opstellen). Artikelen 28 en 29 zijn bijzondere bevoegdheden en met extra waarborgen omkleed, zoals een verslagleggingsplicht en een hoger toestemmingsregime. Artikel 17 is geen bijzondere bevoegdheid en niet met zulke waarborgen omkleed. Al enige tijd vroeg ik me twee dingen af:

1. Geeft Artikel 17 Wiv2002 slechts de bevoegdheid tot vragen of ook tot het vorderen van gegevens?
2. Kan Artikel 17 Wiv2002 worden ingezet om — zonder ministeriële goedkeuring — privécommunicatie te verwerven van Facebook enz.?

CTIVD-rapport 39 (.pdf, september 2014) beantwoordt beide vragen ontkennend. Op (genummerde) pagina 8 staat het volgende (markering is van mij):

Artikel 17 geeft de AIVD de bevoegdheid om bij de uitvoering van zijn taak, of ter ondersteuning daarvan, zich te wenden tot bestuursorganen, personen en instellingen die gegevens verwerken (informanten). Hieronder kunnen ook bedrijven worden begrepen die gegevens in verband met sociale media verwerken. Zo kan de AIVD een dergelijk bedrijf vragen vanaf welk IP-adres is ingelogd door een bepaalde gebruiker. Het aangezochte bedrijf is niet verplicht om de informatie te verstrekken; de verstrekking geschiedt vrijwillig. De AIVD mag enkel om informatie vragen voor zover dat noodzakelijk is voor een bepaald doel en ter vervulling van de wettelijke taken. Daarenboven is de Commissie in het algemeen van oordeel dat de AIVD slechts gebruik kan maken van een informant voor zover het tot de normale werkzaamheden van de informant behoort om kennis te nemen van de gevraagde gegevens of deze aan derden te verstrekken. Indien het de normale hoedanigheid van de menselijke bron te buiten gaat, dan dient deze als agent te worden aangemerkt.

Dus: Artikel 17 Wiv2002 biedt geen zelfstandige vorderingsbevoegdheid. Het antwoord op de tweede vraag staat in de paragraaf daarna:

De algemene bevoegdheid van artikel 17 biedt naar het oordeel van de Commissie onvoldoende grondslag om een verdergaande inbreuk te maken op de persoonlijke levenssfeer, zoals bij het verwerven van de inhoud van niet-openbare communicatie bijvoorbeeld van afgeschermde berichten op sociale media. In dat laatste geval wordt een dermate verregaande inbreuk gemaakt op de persoonlijke levenssfeer dat dit slechts geoorloofd is indien daarbij aanvullende waarborgen van toepassing zijn. Het gaat hierbij onder meer om vereisten aan het toestemmingsniveau, de motivering, de verslaglegging en het gebruik van de verworven gegevens. In de wet zijn die waarborgen verbonden met de toepassing van bijzondere bevoegdheden. Nu dergelijke wettelijke waarborgen bij artikel 17 ontbreken, is die bevoegdheid niet toereikend voor het verwerven van de inhoud van afgeschermde berichten.

Dus: Artikel 17 Wiv2002 kan niet worden ingezet om te vragen om vrijwillige verstrekking van de inhoud van niet-openbare communicatie. Vragen om vrijwillige verstrekking van andere gegevens kan wel: verkeersgegevens van Twitter, je aankoopgeschiedenis van een webwinkel. enzovoorts; het is maar net welk van die gegevens beschikbaar zijn. Artikel 17 Wiv2002 maakt zelf geen onderscheid in het soort gegevens dat kan worden gevraagd. (Natuurlijk blijft gelden dat de AIVD alleen gegevens mag verwerven én noodzakelijk bij de uitoefening van de a/b/c/d/e-taken, én proportioneel én subsidiair.)

Mogen met Artikel 17 financiële gegevens worden opgevraagd bij banken? Ja, omdat het bankgeheim door het derde lid buiten werking wordt gesteld. Dat blijkt uit deze paragraaf in CTIVD-rapport 20 (.pdf, 2009) over financieel-economische onderzoeken door de AIVD in de context van het Financieel Expertise Centrum (FEC) waaraan de AIVD deelneemt:

Blijkens het derde lid van artikel 17 WIV 2002 kunnen eventuele bij of krachtens de wet geldende voorschriften ten aanzien van de verstrekking van deze gegevens de AIVD niet worden tegengeworpen. Het bankgeheim, dat in de financiële wereld een belangrijke rol speelt, kan aldus in het kader van de gegevensverstrekking aan de AIVD opzij worden gezet.

Bij het FEC gaat het o.a. om onderzoek in het kader van de Europese bevriezingslijsten conform EC/2580/2001 (.pdf) van tegoeden van personen of organisaties die verdacht worden van betrokkenheid bij terroristische activiteiten.

Mogen met Artikel 17 medische gegevens worden opgevraagd? Het derde lid van Artikel 13 Wiv2002 bepaalt in beginsel een verbod hierop:

De verwerking van persoonsgegevens wegens iemands godsdienst of levensovertuiging, ras, gezondheid en seksuele leven vindt niet plaats.

Onder “gezondheid” en “seksueel leven” worden verstaan: seksualiteit, intiem levensgedrag, medische of psychologische kenmerken (cfr. Artikel 8 van de Europese Data Protection Directive 95/46/EC). Gegevens over politieke overtuigingen mogen door de diensten uiteraard wél worden verwerkt. Het vierde lid van Artikel 13 Wiv2002 bepaalt echter wel een uitzondering van het verbod op verwerking van gegevens over godsdienst of levensovertuiging, ras, gezondheid en seksuele leven:

De verwerking van persoonsgegevens die betrekking hebben op de in het derde lid bedoelde kenmerken vindt slechts plaats in aanvulling op de verwerking van andere gegevens en slechts voor zover dat voor het doel van de gegevensverwerking onvermijdelijk is.

Dus: alléén medische gegevens (c.q. gegevens over godsdienst/levensovertuiging, ras of seksueel leven) mag niet, maar wél als aanvulling op een bestaande gegevensverwerking — mits dat naast noodzakelijk ook “onvermijdelijk” is (het lijkt dan ook niet plausibel dat men bijvoorbeeld op basis van GPS- en belgegevens gedragspatronen probeert te herkennen die sympomatisch zijn voor depressie; iets dat in voorkomend geval een middel zou kunnen zijn om kwetsbaarheid van targets en hun omgeving in kaart te brengen). Toelichting op de onvermijdelijkheidsvereiste staat hier:

In artikel 13, vierde lid, is aansluitend bepaald dat de verwerking van persoonsgegevens die betrekking hebben op de in het derde lid bedoelde kenmerken slechts plaats vindt in aanvulling op de verwerking van andere gegevens en slechts voor zover dat voor het doel van de gegevensverwerking onvermijdelijk is. Met het begrip «onvermijdelijk» wordt beoogd aan te geven dat bij de verwerking van een gegeven als hier bedoeld aan een zwaarder criterium dient te worden voldaan, dan aan het in artikel 12, tweede lid, neergelegde noodzakelijkheidscriterium. Bij het vastleggen van deze categorie gegevens zullen de diensten dus extra terughoudend moeten zijn. Het zal echter onvermijdelijk zijn om bijvoorbeeld de godsdienstige of levensovertuiging van personen of organisaties te registreren in de gevallen dat anti-democratische, staatsgevaarlijke of anti-militaristische activiteiten worden ontplooid waarbij de daders hun godsdienstige overtuiging als motief aanvoeren voor hun activiteiten. Hierbij kan bijvoorbeeld worden gedacht aan de terroristische gifgas-aanslagen in Japan door leden van een godsdienstige sekte, of aan de activiteiten van andere godsdienstige sekten, zoals in de Verenigde Staten (Waco, Texas). Ook zal registratie van de godsdienstige overtuiging onvermijdelijk zijn als het gaat om terroristische activiteiten van bepaalde godsdienstige splintergroeperingen, bijvoorbeeld binnen radicale moslim-organisaties.

Hierbij een paar gedachten over de verwerking van gegevens over seksualiteit, intiem levensgedrag, medische of psychologische kenmerken. Ingevolge het beroepsgeheim mogen zorgverleners (artsen, psychologen, etc.) niet zomaar patiëntgegevens verstrekken. Wel bestaan er uitzonderingsgronden van het medisch beroepsgeheim: zie de KNMG Handreiking beroepsgeheim en politie/justitie. Maar zorgverleners zijn niet de enige die beschikken over medische gegevens.

Zorgverzekeraars verwerken medicijn- en zorgdeclaraties, en vallen niet onder het medisch beroepsgeheim (uitgezonderd artsen die bij zorgverzekeraars werken). Dat kennis over medicijngebruik zeer privacygevoelig kan zijn, is helder: gebruik van SSRI’s wordt geassocieerd met angst en depressie, gebruik van quetiapine met psychose, methylfenidaat met ADHD, enzovoorts. Dat zorgdeclaraties zeer privacygevoelig kunnen zijn, is ook helder. Bij de invoering van de DBC-systematiek werd alle tweedelijns zorgverlening verplicht DBC’s te registreren: somatisch, chirurgie, KNO, maar ook de GGZ. Hierbij moeten zorgverleners op zorgdeclaraties een prestatiecode vermelden, en die code bevat diagnose-informatie. De prestatiecode heeft het formaat AAA BBB CCC DDD, waarbij AAA = zorgtype, BBB = diagnose, CCC = verblijf, DDD = behandeling. De codelijsten voor DBC’s in de GGZ staan hier. De diagnosehoofdgroepen zoals ze bij de zorgverzekeraar bekend worden zijn de volgende:

001 = Overige stoornissen in de kindertijd
002 = Pervasieve ontwikkelingsstoornissen
003 = Aandachtstekortstoornissen en gedragsstoornissen
004 = Restgroep diagnoses
005 = Aanpassingsstoornissen
006 = Andere aandoeningen en problemen die een reden voor zorg kunnen zijn
007 = Delirium, dementie en amnestische en andere cognitieve stoornissen
008 = Aan alcohol gebonden stoornis
009 = Overige aan een middel gebonden stoornissen
010 = Schizofrenie en andere psychotische stoornissen
011 = Depressieve stoornissen
012 = Bipolaire en overige stemmingsstoornissen
013 = Angststoornissen
014 = Persoonlijkheidsstoornissen
015 = Somatoforme stoornissen
016 = Eetstoornis

Zorgverzekeraars beschikken dus over diagnose-informatie. Dankzij de enorme inspanningen van psychiater Kaspar Mengelberg (@DeVrijPsych) bestaat er voor (uitsluitend) GGZ-zorgverleners een opt-out-regeling, waarbij de diagnose-code mag worden vervangen door “000”. Van Mengelberg begreep ik dat GGZ-zorgverleners bij instellingen niet of minder gebruikmaken van deze regeling dan vrijgevestigde psychiaters en psychotherapeuten. En dat zorgverzekeraars patiënten pesten met adminstratief gedoe als er geen volledige DBC op de zorgdeclaratie staat.

Maar dan is er nog het landelijke DBC Informatie Systeem (DIS). Alle zorgverleners, ook de GGZ-zorgverleners, zijn verplicht gedetailleerde diagnose-informatie in gepseudonimiseerde vorm aan te leveren aan dit systeem. Zie hier (.pdf, 2012) een visualisatie van de informatiestromen. Over de pseudonimisatie het volgende (.pdf, 2012, beantwoording van Kamervragen):

Door de toegepaste pseudonimisering zijn in het DBC-Informatiesysteem (DIS) geen personen te herleiden. Voor het CBS is een situatie gecreëerd waardoor het CBS de DIS-gegevens kan koppelen met de Gemeentelijke Basisadministratie (GBA). Dat gaat als volgt in zijn werk. De DIS-gegevens worden eerst opgestuurd aan een zogenaamde trusted third party, die de DIS-pseudoniemen omzet in een speciaal CBS-pseudoniem en deze naar het CBS verstuurt. Het CBS stuurt vervolgens de benodigde GBA-gegevens versleuteld en dus onherkenbaar naar de trusted third party, die deze GBA-gegevens van hetzelfde CBS-pseudoniem voorziet als voor de DIS-gegevens, en de gepseudonimiseerde GBA-gegevens naar het CBS verstuurt. Daarmee kan het CBS dan de DIS-gegevens aan de GBA-gegevens koppelen. De DIS-pseudoniemen worden dus niet geïdentificeerd door deze procedure. Ten behoeve van statistische doeleinden is het CBS wettelijk gerechtigd om persoonsgegevens te verwerken (CBS-wet, artikel 35).

Het CBS is dus, technisch gezien, in staat op DIS-gegevens te koppelen aan geïdentificeerde personen. Identificatie wordt alleen voorkomen door procedurele maatregelen. Dat wil niet zeggen dat identificatie ooit op het verzoek van de AIVD zal gebeuren (je kunt je het schandaal wel indenken). Maar het behoeft geen betoog dat informatie over de gezondheid van personen, zeker de geestelijke gezondheid, relevant is bij het uitoefenen van ten minste de a-taak en d-taak (nationale veiligheid en inlichtingen buitenland: hoe kunnen we een target beïnvloeden?) en voor de b-taak (veiligheidsonderzoeken: is een sollicitant voor deze vertrouwensfunctie beïnvloedbaar? NB: jaarlijks vinden bij de AIVD zo’n dertig- tot veertigduizend veiligheidsonderzoeken plaats, waarvan 1500 op het hoogste A-niveau). Ter illustratie van het laatste punt, hierbij een citaat uit Richard Aldrich’s boek over GCHQ. In de nasleep van een grote spionagezaak bij GCHQ (een senior GCHQ-ambtenaar bleek KGB-agent te zijn geworden) deed de Britse Security Commission in 1962 aanbevelingen voor versterking van personele veiligheidsprocedures. Eén van die aanbevelingen betrof het doorlichten van medische gegevens. Aldrich stelt:

Benson Buffham, a former Deputy Director of NSA who had recently served as the American Liaison Officer to GCHQ, or ‘SUSLO’, visited London to confer on security, and made it very clear that the Americans were keen to see the polygraph arrive at GCHQ. The Security Commission also recommended that vetting teams should be granted access to medical records in order to check for problems such as depression. However, this was shot down immediately by the BMA’s Civil Service Medical Officers Group as ‘neither necessary nor justified’. [Footnote 46: Woods (BMA) to Duffton (SCPS GCHQ Main Branch), RVW/JNLlFB, 15.12.83, MSS.84/3II 9, GCHQ-UR WMRC.]

Kortom, er bestaan scenario’s waarin een inlichtingendienst toegang zou kunnen willen hebben tot medische gegevens. (Waarmee niet is gezegd dat van zulke toegang ooit sprake is geweest.) Informatie over gezondheid kan worden verworven door observatie en navraag in de sociale omgeving, maar minder risicovol is het (laten) raadplegen van medische gegevensbestanden. Vroeger vormde homosexualiteit een bezwarende omstandigheid tijdens antecedenten-/veiligheidsonderzoek; gelukkig zijn we dat stadium voorbij. Maar gezondheid, zeker geestelijke gezondheid, is en blijft natuurlijk een relevant onderwerp voor veiligheidsonderzoeken, waarbij het immers allemaal draait om iemands betrouwbaarheid en kwetsbaarheid voor chantage.

Conclusie: om toegang te krijgen tot medische informatie hoeft geen medisch beroepsgeheim te worden doorbroken. Zie ook Zembla’s De jacht op uw medische gegevens (april 2014). De vraag is of de CTIVD Artikel 17 Wiv2002 voldoende bevoegdheid vindt bieden om medische informatie te krijgen. Het bankgeheim bleek er in elk geval niet van toepassing.

[UPDATE 2017-11-24: de AIVD stelt op haar website sinds kort het volgende t.a.v. medische gegevens, waarin expliciet staat dat medische gegevens noodzakelijk en onvermijdelijk kunnen zijn in de context van radicalisering:

[…] Wij mogen alleen gericht medische gegevens van een persoon verzamelen als dat onvermijdelijk is om een dreiging goed te kunnen inschatten. Het vormt een aanvulling op andere gegevens die al verwerkt zijn.

[…]

In een uiterst geval kan het bijvoorbeeld noodzakelijk zijn om meer te weten over de psychische stoornis en eventuele medicatie van een radicaliserende persoon. Op zo´n moment bekijken wij of wij zijn arts kunnen vragen om de benodigde informatie.

Iedereen kan door de dienst worden gevraagd om informatie te verstrekken die voor onze onderzoeken van belang is. Artsen zijn daar niet van uitgezonderd. De arts beslist dan zelf vrijwillig of hij hieraan wil meewerken. Hij is dat niet verplicht.

[…]

Wij mogen niet inbreken in databestanden met medische gegevens of patiëntendossiers van willekeurige personen door middel van hacken. [sic]

Dus: de diensten mogen een arts om informatie vragen, en de arts mag dat weigeren. De laatste zin over de hackbevoegdheid heeft kenmerken van een (zalvende) halve waarheid, omdat 1) daar ineens wordt gesproken over “willekeurige personen” ipv een “radicaliserende persoon”, en 2) andere bevoegdheden zoals interceptie (artsen hebben trouwens niet de uitzonderingspositie die journalisten en advocaten in de Wiv2017 wél hebben) en informatieverzoeken aan anderen die relevante informatie kunnen hebben over “de psychische stoornis en eventuele medicatie van een radicaliserende persoon”, wat in theorie dus ook DBC-gegevens bij zorgverzekeraars of bij het DIS kan betreffen. Ten overvloede: ]

Een zijstapje naar Amerika. Het DoD hanteert het begrip “medical intelligence” (.pdf, 2014) en definieert dat als volgt:

(…) the product of collection, evaluation, and all-source analysis of worldwide health threats and issues, including foreign medical capabilities, infectious disease, environmental health risks, developments in biotechnology and biomedical subjects of national and military importance, and support to force protection.

De National Geospational Agency (NGA) en NSA leveren daarbij “support for medical intelligence and medical intelligence-related requirements”, allicht gebruikmakend van de mogelijkheden die de PATRIOT ACT biedt (hoeveel medische gegevens over Nederlanders staan eigenlijk op IT-systemen van organisaties die ook in de VS actief zijn?). Het is plausibel dat bij uitzondering nu en dan ook gegevens over individuele, geïdentificeerde personen zullen worden verwerkt. Ook bij het invullen van een ESTA-verklaring wordt op individueel niveau een medische vraag gesteld: “Do you have a communicable disease; physical or mental disorder; or are you a drug abuser or addict?” In datzelfde formulier geef je ook je NAW- en paspoortgegevens.

Terug naar Nederland en het hoofdonderwerp van deze blogpost. De Nederlandse regering heeft in 2006 wél een zelfstandige vorderingsbevoegdheid voorgesteld in het post-Madrid wetsvoorstel tot wijziging van de Wiv2002. Het ging daarbij ook expliciet over verstrekking van financiële informatie aan de AIVD (zie Artikel 29a lid 1, onder a). Destijds was de vorderingsbevoegdheid één van de controversiële onderdelen in het (uiteindelijk ingetrokken) wetsvoorstel waartegen de Eerste Kamer pareerde, onder meer op basis van CBP-advies (.pdf, 2007). Het is nu even afwachten of elementen uit dat ingetrokken wetsvoorstel terugkomen in het voorstel dat het kabinet binnenkort (?) zal doen voor wijziging van de Wiv. De commissie-Dessens heeft in haar evaluatie van de Wiv2002 elk geval geen aanbevelingen gedaan ten aanzien van Artikel 17 Wiv2002 of Artikel 29a in het ingetrokken voorstel.

Uit de kabinetsreactie op het CBP-rapport inzake het post-Madrid voorstel tot wijziging van de Wiv2002 blijkt overigens dat het antwoord van personen/organisaties aan wie een Artikel 17-verzoek is gericht, niet altijd “ja” luidt:

De derde reden die genoemd dient te worden voor het niet voldoen van de vrijwillige arrangementen, hoewel deze situatie zich slechts bij uitzondering voordoet, is het feit dat sommige instanties weigeren informatie te verstrekken aan de diensten. Deze terughoudendheid vindt haar oorsprong wellicht in een verstrekkende servicegerichtheid richting de klanten of afnemers van betrokken instantie. Een verplichte informatieverstrekking biedt op dit punt zeker voordeel voor de betreffende bestuursorganen, financiële dienstverleners en vervoerders. Indien het overleggen van informatie niet op vrijwillige basis, maar op grond van een wettelijke verplichting geschiedt, is er geen enkele ruimte voor enige verwijtbaarheid door klanten aan deze organen en instanties. Uit de contacten die de diensten hebben met potentiële informatieleveranciers blijkt keer op keer dat zij juist vragen om een verplichting tot informatieverstrekking. Zij zijn van mening dat een informatieverplichting kenbaarheid en voorzienbaarheid schept met betrekking tot de gegevensverstrekking, waardoor duidelijk aan klanten en afnemers gepresenteerd kan worden op welke gronden verstrekking kan plaatsvinden.

Verder leesvoer:

• 2014-09-05: Overzicht Wiv2002-toetsingskader AIVD-onderzoek met/op sociale media, webfora (dit blog)
• 2012-xx-xx: De Regionale Inlichtingendienst. Ongecontroleerd balanceren op en over de grens van rechtmatigheid (.pdf, mr. Sven Brinkhoff, Nederlands Juristenblad 87:30)

EOF

UPDATE 2014-09-05: this page is also available in Dutch.

Yesterday I blogged about the new oversight report (.pdf, in Dutch) concerning the activities of the Dutch General Intelligence & Security Service (AIVD) involving social media, such as acquiring the databases of web forums through hacking, human sources and/or exchange with foreign partners. The (non-classified) appendix to that report provides an overview of the legal framework that the oversight committee applied in the course of writing the report. Here is my translation of that overview, including links to the relevant parts of the Dutch Intelligence & Security Act of 2002 (Wiv2002). Feel free to ask questions (bear in mind that I’m not a legal expert, though).

Passive investigation on social media

Requirement	Implementation
Legal basis	Articles 6 and 12 Wiv 2002
Definition	Investigation through open sources
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source or reliability (12)
Limitation	– only use third party data if necessary (13)
	– in case of more than small infringement on rights, review the intent and the nature of the methods and data collection
	– systematic targeted investigation (20)
	– operating under a cover (21)

Observation of persons on social media

Requirement	Implementation
Legal basis	Article 20 Wiv 2002
Definition	Person-focused investigation which, considering duration, location, intensity, frequency or tools must be qualified as systematic
Approval	By team leader
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source or reliability (12)
	– motivation (20)
	– reporting (33)
	– only use third party data if necessary (13)
Limitation	– only use third party data if necessary (13)
	– necessity, proportionality and subsidiarity (18, 31, 32)

Active investigation by agents on social media

Requirement	Implementation
Legal basis	Article 21 Wiv 2002
Definition	Operating with agents on social media, possibly using a cover
Approval	By director or head of unit, extension by team leader
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– motivation
	– reporting (21, sixth member, 33)
Limitation	– necessity, proportionality and subsidiarity (18, 31, 32)
	– prohibition on unacceptable incitement: ‘Tallon criterium’ (21, fourth member)
	– safety of the agent (15)
	– criminal offenses exist only with approval and instruction (21, third member)

Acquisition of social media databases

Requirement	Implementation
Legal basis	Articles 17, 21, 24, 59 Wiv 2002
Definition	The collection of (parts of) databases from social media
Approval	Depends on authority
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– motivation (21, 24)
	– reporting (33)
Limitation	– only use third party data if necessary (13)
	– proportionality and subsidiarity (31, 32)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless article 17 is the legal basis (18)

Using and storing social media databases

Requirement	Implementation
Legal basis	Articles 6 and 12 Wiv 2002
Definition	Analyzing, using, storing the data
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– data security, among others against unauthorized processing (16)
	– authorization policy (16, 35)
Limitation	– removing and destroying when data loses meaning (43)
	– the Commission previously recommended regulating retention periods by law, as well as regulating the processing of metadata
	– only use third party data if necessary (13)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless the data were acquired on the legal basis of article 17 (18)

Exchanging social media data collections

Requirement	Implementation
Legal basis	Articles 36 or 59 Wiv 2002
Definition	Providing data collections to a foreign service and/or receiving data collections from a foreign service
Approval	By team leader, or head of unit (36) of minister (59)
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– keep notes (42)
	– third-party rule (37)
Limitation	– necessary for its own task (36) or
	– in the interest the foreign service represents (59)

Person-focused querying of social media data collections

Requirement	Implementation
Legal basis	Articles 17, 21 and 59 Wiv 2002
Definition	Person-focused searching in databases through human sources or foreign services
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– writing down the instruction to agents (21, sixth member)
	– motivating if comparable to article 28
Limitation	– proportionality and subsidiarity (31, 32)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless article 17 is the legal basis (18)

Related posts:

• 2014-09-14: Article 17 Wiv2002: the AIVD’s legal basis for asking third parties for voluntary provisioning of information (this blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (this blog)

EOF

UPDATE 2014-09-05: this page is also available in English.

Het nieuwe CTIVD-toezichtsrapport (.pdf) inzake onderzoek door de AIVD op sociale media heeft een (openbare) bijlage met daarin een overzicht van de toetsingskaders voor de verschillende methoden die de AIVD toepast — denk daarbij aan het verwerven van de databases van webfora via hacking, menselijke bronnen en/of uitwisseling met internationale partners. Hier is een HTML-versie van dat overzicht, inclusief links naar de wetteksten:

Passief onderzoek op sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 6 en 12 Wiv 2002
Definitie	Onderzoek op open bronnen
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– meer dan geringe inbreuk op grondrechten, zoals de persoonlijke levenssfeer, onder meer te toetsen aan de intentie, de aard van de methoden en de opslag van gegevens
	– stelselmatig (target-)gericht onderzoek (20)
	– opereren onder dekmantel (21)

Observatie van personen op sociale media

Vereiste	Uitwerking
Grondslag	Artikel 20 Wiv 2002
Definitie	Persoonsgericht onderzoek dat naar duur, plaats, intensiteit, frequentie of hulpmiddelen als stelselmatig moet worden aangemerkt
Toestemming	Door teamhoofd
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering (20)
	– verslaglegging (33)
	– gegevens van derden slechts betrekken indien noodzakelijk (13)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– noodzakelijkheid, proportionaliteit en subsidiariteit (18, 31, 32)

Actief onderzoek door agenten op sociale media

Vereiste	Uitwerking
Grondslag	Artikel 21 Wiv 2002
Definitie	Opereren met agenten op sociale media, eventueel met gebruik van dekmantel
Toestemming	Door directeur of unithoofd, verlenging door teamhoofd
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering
	– verslaglegging (21, zesde lid, 33)
Begrenzing	– noodzakelijkheid, proportionaliteit en subsidiariteit (18, 31, 32)
	– verbod op instigatie: ‘Tallon-criterium’ (21, lid 4)
	– veiligheid van de agent (15)
	– strafbare feiten alleen met toestemming en instructie aanwezig is (21, lid 3)

Verwerving van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 17, 21, 24, 59 Wiv 2002
Definitie	De verzameling van (gedeelten van) gegevensverzamelingen van sociale media
Toestemming	Afhankelijk van de bevoegdheid
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering (21, 24)
	– verslaglegging (33)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– proportionaliteit en subsidiariteit (31, 32)
	– noodzakelijk voor de a- of d-taak, tenzij artikel 17 de grondslag vormt (18)

Ontsluiten en bewaren van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 6 en 12 Wiv 2002
Definitie	Analyseren, ontsluiten, bewaren van de gegevens
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– beveiliging van gegevens, o.m. tegen onbevoegde verwerking (16)
	– autorisatiebeleid (16, 35)
Begrenzing	– verwijderen en vernietigen wanneer gegevens betekenis verliezen (43)
	– de Commissie heeft eerder aanbevolen om bij wet in bewaartermijnen te voorzien voor ruwe gegevens alsmede in een regeling voor de verwerking van metagegevens
	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– noodzakelijk voor de a- of d-taak, tenzij de gegevens op grond van artikel 17 zijn verworven (18)

Uitwisselen van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 36 of 59 Wiv 2002
Definitie	Verstrekken van gegevensverzameling aan een buitenlandse dienst en/of ontvangen van gegevensverzameling van een buitenlandse dienst
Toestemming	Door teamhoofd of unithoofd (36) of minister (59)
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– aantekening bijhouden (42)
	– derdepartijregel (37)
Begrenzing	– noodzakelijk voor de eigen taak (36) of
	– in het belang dat de buitenlandse dienst behartigt (59)

(Persoons)gericht bevragen van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 17, 21 en 59 Wiv 2002
Definitie	(Target)gericht zoeken in gegevensverzameling via menselijke bronnen of buitenlandse diensten
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– vastleggen instructie aan agent (21, zesde lid)
	– motiveren indien gelijk te stellen met artikel 28
Begrenzing	– proportionaliteit en subsidiariteit (31, 32)
	– noodzakelijk voor de a- of d-taak, tenzij artikel 17 de grondslag vormt (18)

Gerelateerde berichten:

• 2014-09-12: Artikel 17 Wiv2002: vrijwillige verstrekking van gegevens op verzoek van de AIVD (dit blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (dit blog)

EOF