NOTE: this page is also available in Dutch.

UPDATE 2014-09-28: added historical reference concerning the British Security Commission, that in 1962 advised that GCHQ should be granted access to medical records as part of personnel security procedures, for instance to be able to determine whether someone has been suffering from depression. That proposal was rejected as “neither necessary nor justified”.

UPDATE 2014-09-19: added a few lines concerning Article 13 Wiv2002, that designates the persons about whom data can be requested using Article 17 Wiv2002, and what sort of data can be processed (health, race, religion, sex life). Data about political opinions obviously can be processed; data about religion, health, race and sexual life cannot, unless it is not only necessary but also “inevitable”.

The Dutch Intelligence & Security Act of 2002, from hereon “Wiv2002”, contains three articles that provide the Dutch General Intelligence & Security Service (AIVD) a legal basis for requesting information from third parties. (For clarity of exposition I disregard the Dutch Military Intelligence & Security Service (MIVD) here.)

First, Article 29 Wiv2002 provides the legal basis for the AIVD to request subscriber data from “providers of public electronic telecommunication networks and telecommunication services” as defined by the Dutch Telecommunications Act (“who’s name and address is this phone number, IP address, etc. registered to”). Note that “public electronic telecommunication networks and telecommunication services” is a complex and restricted group under Dutch law; it applies to many ISP’s (but not the SURFnet NREN, as it is not “public”: it is restricted to educational users) and providers of mobile and landline voice telephony. Google, Twitter, Skype etc. are not “telecommunication services” under Dutch law. Here is the Dutch govt’s list of all providers of public electronic telecommunications networks and here is the list of providers of electronic telecommunication services.

Second, Article 28 Wiv2002 (Decision ex Art.28; Explanatory Memorandum) provides the legal basis for the AIVD to request traffic data from those providers (e.g., for telephony: when did the user call, with whom, at what date and time, for how long, from what location, etc.; for internet: when did the user(‘s modem) log in to their ISP to access the internet, etc.).

Third, Article 17 Wiv2002 provides the legal basis for the AIVD to request information from any government office (police registers, citizen records, land registers, etc.), any civil servant, any party responsible for processing of personal data (in accordance with the Dutch Data Protection Act) and “furthermore anyone who is supposed to be able to provide the required data” — including Google, health insurers, banks, web shops, the grocery store and your neighbors, insofar necessary for the AIVD’s legal tasks, proportional and subsidiary:

Articles 28 and 29 can only be used for the a-task (national security) and d-task (foreign intelligence). Article 17 can be used for all tasks, i.e., also including the b-task (security screenings), the c-task (promoting security measures) and e-task (performing threat and risk analyses). Articles 28 and 29 are “special powers” and have additional safeguards, such as mandatory reporting and mandatory approval. Article 17 is not a special power and does not have such safeguards. For some time I had been wondering:

1. Does Article 17 Wiv2002 only provide the authority to ask for information, or also to demand it?
2. Can Article 17 Wiv2002 be used to acquire, without having to get prior approval from the Dutch minister, private communications from Facebook etc.?

The answer to both questions is “no”. This follows from paragraphs in the new report (.pdf, 2014, in Dutch) by the Dutch Review Committee on the Intelligence and Security Services (CTIVD) on the activities of the AIVD related to social media and webfora (I blogged about that report here and here). Page 8 states (emphasis is mine)

Article 17 provides the AIVD the authority to, in carrying out its tasks or in support of that, address governmental officies, persons and institutions that process data (informants). This also includes companies that process data related to social media. The AIVD may ask such a company from which IP address a certain user logged on from. The company is not obligated to provide the information; the provisioning is voluntary. The AIVD can only ask for information insofar that is necessary for a specific purpose and fulfillment of the legal tasks. Furthermore, the CTIVD is of the opinion that the AIVD can only use an informant insofar accessing the required data or providing it to third parties belongs to the normal tasks of the informant. If it is more than that, the human source needs to be qualified as an agent.

Hence: Article 17 Wiv2002 does not provide the authority to demand information. The answer to my second question is found in the next paragraph::

The generic authority of Article 17 does, in the opinion of the CTIVD, provide insufficient legal basis to make further infringement on privacy, such as in acquiring the content of private communications, such a s restricted-access messages on social media. In the latter case, such a privacy infringement is made, that it is only permissible if additional safeguards apply. This includes mandatory approval, the motivation, mandatory reporting, and the use of the acquired data. The law bounds these safeguards to special powers. Now that such safeguards don’t apply to Article 17, the Article 17 authority does not allow acquiring the contents of restricted messages.

Hence: Article 17 Wiv2002 can not be used to ask for voluntary provisioning of the content of private communication. Requesting the voluntary provisioning of other data is possible: traffic data from Twitter, your purchasing history at a web shop, etc.; is simply a question of what data is available, and where. Article 17 Wiv2002 does not distinguish between the type of data. (Of course, the AIVD is only permitted to ask for data insofar that data is necessary for its tasks, proportional and subsidiary.)

Can financial data be acquired from banks? Yes, because bank secrecy is overruled by the third member. That’s apparent from the following paragraph from  CTIVD report 20 (.pdf, 2009, in Dutch) on financial-economic investigations by the AIVD in the context of the Financial Expert Centrum (FEC) that the AIVD participates in:

From the third member of Article 17 Wiv2002, possible legal requirements concerning the provision of data to the AIVD do not apply. The bank secret, that is important in the financial world, hence can be put aside in the context of data provisioning to the AIVD.

The FEC carries out investigations in the context of the European “freeze lists” conform EC/2580/2001 (.pdf) of funds belonging to persons or organizations that are suspected of involvement in terrorist activities.

Can medical data be acquired? The third member of Article 13 Wiv2002 establishes a prohibition:

The processing of personal data concerning someone’s religion, race, health and sexual life does not take place.

“Health” and “sexual life” mean: sexuality, intimate conduct, medical or psychological conditions (see Article 8 of the European Data Protection Directive 95/46/EC).  Of course, the AIVD being an intelligence & security agency, data about political opinions can be processed. The fourth member of Article 13 Wiv2002 establishes an exemption to the prohibition of processing data about religion, race, health and sexual life:

The processing of data concerning the aspects meant in the third member only takes place in addition to the processing of other data and only insofar it is inevitable for the purposes of the data processing.

So: the AIVD cannot process medical data (or data about religion, race of sex life) on and by itself, but can do so if it is an addition to existing data processing — if doing so is not only necessary but also “inevitable”. Here are some thoughts. Due to legally mandated medical confidentiality, care providers (physicians, psychologists, etc.) may not disclose patient information. Exemptions to this exist: see the KNMG Handreiking beroepsgeheim en politie/justitie. But care providers are not the only ones in possession on medical data.

Health insurers process declarations for drugs and healthcare, and are not subject to medical confidentiality. That information about drug use can be very privacy sensitive, is clear: the use of SSRI’s is associated with anxiety and depression, the use of quetiapine with psychosis, methylphenidate with ADHD, etc. That information about the provided care can be very privacy-sensitive is also clear. During the introduction of the so-called “DBC system”, and secondary care became required to record DBCs: somatic care, surgery, but also mental healthcare. Care providers must on care declarations provide a “performance code”, and that code includes diagnostic information. The performance code has the format AAA BBB CCC DDD, where AAA = care type, BBB = diagnosis, CCC = stay (e.g. in hospital), DDD = treatment. The code lists for DBCs in mental care are available here. The diagnostic main groups as they become known to the health insurers are as follows:

001 = Other disorders in childhood
002 = Pervasive developmental
003 = Attention deficit disorders and behavioral disorders
004 = Group Rest diagnoses
005 = Adjustment disorders
006 = Other Conditions that may be a cause for concern
007 = Delirium, dementia and amnestic and other cognitive disorders
008 = Alcohol-related disorder
009 = Other disorders related to an agent
010 = Schizophrenia and other psychotic disorders
011 = Depressive disorders
012 = Bipolar and other mood disorders
013 = Anxiety Disorders
014 = Personality disorders
015 = Somatoform disorders
016 = Eating Disorder

Health insurers thus possess diagnostic information. Thanks to the very elaborate efforts of Dutch psychiatrist Kaspar Mengelberg (@DeVrijPsych) an opt-out exemption exists for (only) mental care providers. The diagnostic code can be replaced with “000”. However, Mengelberg states that institutional mental care providers (as opposed to self-employed ones) do not use this opt-out arrangement much. And that health insurers bully patients if the care declaration has a masked diagnostic code.

Moreover, there is the Dutch national DBC Information System (DIS). All care providers, including the mental care providers, are required to provide detailed diagnostic information in pseudonimized format to this system. Here (.pdf, 2012, in Dutch) is a visualization of the information flows. Consider the following (.pdf, 2012, in Dutch) concerning that pseudonimization:

As result of the applied pseudonimization, no persons can be identified in the DBC Information System (DIS). For the purposes of the Central Bureau for Statistics (CBS) a situation is created through which the CBS can link DIS-data to Municipal Citizen Registry. (…)

Hence, the CBS can, technically, link DIS-data to individual persons. That is not to say that this will ever happen at the request of the AIVD (one can imagine the scandal that would be). But it is clear to information about health, especially mental health, is relevant to the a- and d-task (who can we influence a target?) and to the b-task (security clearances; some 30-40k happen each year, of which some 1500 at the highest level). To illustrate that, here’s a quote from Richard Aldrich’s book on GCHQ. In 1962, following a high profile spy case (a ranking GCHQ employee had turned KGB agent), the British Security Commission made recommendations for improving personnel security procedures. One of the recommendations was that GCHQ should be granted access to medical records. Aldrich states:

Benson Buffham, a former Deputy Director of NSA who had recently served as the American Liaison Officer to GCHQ, or ‘SUSLO’, visited London to confer on security, and made it very clear that the Americans were keen to see the polygraph arrive at GCHQ. The Security Commission also recommended that vetting teams should be granted access to medical records in order to check for problems such as depression. However, this was shot down immediately by the BMA’s Civil Service Medical Officers Group as ‘neither necessary nor justified’. [Footnote 46: Woods (BMA) to Duffton (SCPS GCHQ Main Branch), RVW/JNLlFB, 15.12.83, MSS.84/3II 9, GCHQ-UR WMRC.]

In conclusion, scenario’s exist where an intelligence agency may want to have access to medical records. (Which is not to say that such access has ever existed.)

Information about health can be acquired through observation and asking around in the social environment of someone, but less risky is having someone read it from a database. Homosexuality used to be an aggravating circumstance in screenings; fortunately we’ve moved past that. But health, mental health in particular, is and remains a relevant topic in security screenings, where it’s all about someone’s reliability and vulnerability to blackmail etc..

In conclusion: in order to obtain medical data, it is not necessary to infringe on medical confidentiality. The question then is: would the CTIVD be of the opinion that Article 17 Wiv2002 permits requesting medical data? Fact is that it is apparent that the banking secret does not apply to requests based on Article 17 Wiv2002.

A little sidestep to the US. The DoD defines (.pdf, 2014) “medical intelligence” as follows:

(…) the product of collection, evaluation, and all-source analysis of worldwide health threats and issues, including foreign medical capabilities, infectious disease, environmental health risks, developments in biotechnology and biomedical subjects of national and military importance, and support to force protection

The National Geospational Agency (NGA) and the NSA provide “support for medical intelligence and medical intelligence-related requirements”. Perhaps that involves the PATRIOT ACT. Plausibly, data about individual persons will occasionally be processed. Even in filling out an ESTA declaration a medical question is asked: “Do you have a communicable disease; physical or mental disorder; or are you a drug abuser or addict?” That same form asks for your name, address and passport information.

Back to the Netherlands, and the main topic of this post. The Dutch government has in 2006 proposed the power to demand data as part of the post-Madrid bill to change the Wiv2002. That bill explicitly also involved provisioning of financial data to the AIVD (Article 29a-1-a). Back then, it was one of the controversial items in the bill, that was eventually revoked. It remains to be seen whether elements of that proposal will re-appear in the bill that the Dutch cabinet is expected to propose later this year. The Dessens Committee, that last year reviewed the Wiv2002, has made no recommendations concerning Article 17 Wiv2002 or Article 29a in the revoked bill.

Related posts:

• 2014-09-05: Overview of legal framework used to assess Dutch intelligence activities involving social media (this blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (this blog)

EOF

I’m reading Richard J. Aldrich’s book GCHQ – The Uncensored Story of Britains Most Secret Intelligence Agency (2010; available as 28MB .pdf here) and thought the following paragraphs about TEMPEST in the 1960s offer an interesting bit of historic perspective to modern day weakening of crypto (such as DUAL_EC) as part of NSA’s Bullrun and GCHQ’s Edgehill program:

What none of these accounts captures is the exquisite dilemma of offence versus defence. With Tempest, the conflicting demands of offensive sigint and defensive communications security were so complex as to make the head spin. The optimum solution was for GCHQ and NSA to be able to read the traffic of minor allies and neutral countries themselves, but to provide them with enough defensive expertise to make their communications immune to similar code-breaking efforts by the sigint specialists of the KGB. Tempest allowed GCHQ and NSA to launch innovative attacks on all sorts of machines that had not yet been broken, but this was only an unalloyed virtue if the Soviets were lagging behind in its use. This, in turn, raised another awkward question: how much did the Soviets know?

[…]

Stannard explained that the most awkward issue presented by Tempest was ‘how we may best distribute our responsibilities for advising our allies, particularly in NATO’. Tempest was a nuisance in terms of security, but of course it was beneficial for offensive sigint operations by GCHQ. The British did not want information about Tempest to spread to ‘countries or organisations from which signal intelligence is required’. Where the balance of advantage fell depended on the relative importance attached to either sigint or security. Understandably, perhaps, there were some arguments between GCHQ and LCSA over this matter. [Footnote 64: ‘What is Being Done About Radiation’, Stannard (D/LCSA), address to 38th mtg of the [Canadian] Cipher Policy Committee, Apr. 1958, File TS 1325-3 ‘Communications Security – Crypto Systems’, Canadian Department of National Defence, (…)]

Furthermore:

By the early 1960s the awkward NATO Tempest question was gradually being resolved. A handbook was provided to the European allies that explained how to install cypher equipment so as to minimise radiation risks from Tempest. [Footnote 65: The handbook was designated AMSP522.] However, LCSA emphasised that, within the inner circle constituted by the British, Americans and Canadians, the standard NATO briefing had always to be accompanied by ‘advice on certain aspects of the problem which it is undesirable to disseminate to NATO at large’. This circumlocutory language suggests that Britain was offering some of its NATO partners incomplete advice, leaving open certain avenues for exploitation. At the same time, GCHQ hoped fervently that the KGB was not using the same techniques. [Footnote 66: LCSC (59) 10 (Final), ‘Radiation: Review of Measures Taken or in Hand’, 19.06.59, File TS 1325-3 ‘Communications Security – Crypto Systems’, Canadian Department of National Defence, (…).]

At last, after two troublesome decades, Britain’s code-breakers and code-makers were finally getting to grips with Tempest. The issue, together with independent cryptography by European NATO allies and neutrals, had presented sensitive and costly problems. However, there had also been enormous achievements, many of which are still shrouded in deep secrecy, which provided continuous access to many streams of diplomatic traffic around the world. The main beneficiaries were K Division at GCHQ, whose task it was to read non-Soviet systems. However, these triumphs also owed much to the work of the unsung heroes of communications security, hiding out in one of Britain’s least-known secret service headquarters in Palmer Street in central London. In 1969, their last year of independent operation before they were merged with GCHQ, Fred Stannard’s colleagues declared that their secretive influence over cypher machines was the surest route to good intelligence: ‘There is no better way to successful Sigint than to influence selected target countries by Comsec advice to use a source of equipment desired by Sigint.’ This, they added with quiet satisfaction, ‘can sometimes be done’. [Footnote 67: Burrough to Ryland, 03.06.69, attached ‘Report of the CESD Working Party’, DEFE 32118, cited in Easter, ‘GCHQ and British External Policy in the 1960s’, p.692.]

EOF

NOTE: this page is also available in English.

UPDATE 2014-09-28: historische referentie toegevoegd: na een grote spionagezaak bij GCHQ adviseerde de Britse Security Commission in 1962 dat GCHQ als onderdeel van veiligheidsprocedures ook medische gegevens zou moeten doorlichten. Dat voorstel is destijds verworpen als “noodzakelijk noch gerechtvaardigd”.

UPDATE 2014-09-19: toegevoegd dat Artikel 13 derde lid de verwerking van gegevens over godsdienst of levensovertuiging, ras, gezondheid en seksuele leven verbiedt, en dat het vierde lid een uitzondering bepaalt van dat verbod. Gegevens over politieke gezindheid mogen door de diensten natuurlijk wél worden verwerkt.

De Wiv2002 heeft drie artikelen die bevoegdheden regelen waarmee de AIVD gegevens kan opvragen bij anderen. (Omwille van leesbaarheid laat ik de MIVD buiten beschouwing.) Ten eerste kan de AIVD op basis van Artikel 29 Wiv2002 abonneegegevens vorderen bij “aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten” in de zin van de Telecommunicatiewet. (op wiens naam staat dit telefoonnummer/IP-adres/enz.). Google, Twitter, Skype etc. zijn geen “aanbieders van openbare telecommunicatienetwerken/-diensten”; denk daarbij eerder aan telco’s (mobiel, vast, huurlijn) en internetproviders — maar dan weer niet SURFnet, want die heeft een besloten gebruikersgroep (studenten en onderwijsinstellingen) en wordt daarom niet als “openbaar” beschouwd. Zie hier de lijst van alle aanbieders van openbare elektronische telecommunicatienetwerken en hier de lijst van alle aanbieders van openbare elektronische telecommunicatiediensten.

Ten tweede kan de AIVD op basis van Artikel 28 Wiv2002 (Besluit ex Art.28; MvT) bij die aanbieders ook verkeersgegevens vorderen (wanneer is gebeld, met wie, op welke dag en tijd, hoe lang, vanaf welke locatie — dit kan evt. in real-time worden aangeleverd via een ‘stomme’ tap; denk verder ook aan metadata van internetverkeer).

Ten derde kan de AIVD op basis van Artikel 17 Wiv2002 om gegevens opvragen bij elk bestuursorgaan (politieregisters, GBA, kadaster, enz.), elke ambtenaar, elke verantwoordelijke voor een gegevensverwerking (in de zin van de Wbp) en “voorts een ieder die geacht wordt de benodigde gegevens te kunnen verstrekken” — dus incluis Google, zorgverzekeraars, banken, webwinkels, de slager en je buren, mits noodzakelijk voor de uitoefening van de taken, proportioneel en subsidiair:

Met Artikel 17 Wiv2002 mogen gegevens worden verzameld met betrekking tot de personen aangeduid in Artikel 13 Wiv2002:

1. De verwerking van persoonsgegevens door de Algemene Inlichtingen- en Veiligheidsdienst kan slechts betrekking hebben op personen:

   1. die aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de democratische rechtsorde, dan wel voor de veiligheid of voor andere gewichtige belangen van de staat; [=ruim]

   2. die toestemming hebben verleend voor een veiligheidsonderzoek; [=beperkt]

   3. omtrent wie dat noodzakelijk is in het kader van het onderzoek betreffende andere landen; [=ruim]

   4. over wie door een andere inlichtingen- of veiligheidsdienst gegevens zijn ingewonnen; [=ruim]

   5. wier gegevens noodzakelijk zijn ter ondersteuning van een goede taakuitvoering door de dienst; [=ruim]

   6. die werkzaam zijn of zijn geweest voor een dienst; [=beperkt]

   7. omtrent wie dat noodzakelijk is in het kader van het opstellen van de dreigings- en risicoanalyses, bedoeld in artikel 6, tweede lid, onderdeel e. [=ruim]

Artikel 28 en 29 mogen alleen voor de a-taak (nationale veiligheid) en d-taak (inlichtingentaak buitenland) worden ingezet. Artikel 17 mag voor alle taken worden ingezet, dus ook de b-taak (veiligheidsonderzoeken), de c-taak (veiligheidsmaatregelen bevorderen) en e-taak (dreigings- en risicoanalyses opstellen). Artikelen 28 en 29 zijn bijzondere bevoegdheden en met extra waarborgen omkleed, zoals een verslagleggingsplicht en een hoger toestemmingsregime. Artikel 17 is geen bijzondere bevoegdheid en niet met zulke waarborgen omkleed. Al enige tijd vroeg ik me twee dingen af:

1. Geeft Artikel 17 Wiv2002 slechts de bevoegdheid tot vragen of ook tot het vorderen van gegevens?
2. Kan Artikel 17 Wiv2002 worden ingezet om — zonder ministeriële goedkeuring — privécommunicatie te verwerven van Facebook enz.?

CTIVD-rapport 39 (.pdf, september 2014) beantwoordt beide vragen ontkennend. Op (genummerde) pagina 8 staat het volgende (markering is van mij):

Artikel 17 geeft de AIVD de bevoegdheid om bij de uitvoering van zijn taak, of ter ondersteuning daarvan, zich te wenden tot bestuursorganen, personen en instellingen die gegevens verwerken (informanten). Hieronder kunnen ook bedrijven worden begrepen die gegevens in verband met sociale media verwerken. Zo kan de AIVD een dergelijk bedrijf vragen vanaf welk IP-adres is ingelogd door een bepaalde gebruiker. Het aangezochte bedrijf is niet verplicht om de informatie te verstrekken; de verstrekking geschiedt vrijwillig. De AIVD mag enkel om informatie vragen voor zover dat noodzakelijk is voor een bepaald doel en ter vervulling van de wettelijke taken. Daarenboven is de Commissie in het algemeen van oordeel dat de AIVD slechts gebruik kan maken van een informant voor zover het tot de normale werkzaamheden van de informant behoort om kennis te nemen van de gevraagde gegevens of deze aan derden te verstrekken. Indien het de normale hoedanigheid van de menselijke bron te buiten gaat, dan dient deze als agent te worden aangemerkt.

Dus: Artikel 17 Wiv2002 biedt geen zelfstandige vorderingsbevoegdheid. Het antwoord op de tweede vraag staat in de paragraaf daarna:

De algemene bevoegdheid van artikel 17 biedt naar het oordeel van de Commissie onvoldoende grondslag om een verdergaande inbreuk te maken op de persoonlijke levenssfeer, zoals bij het verwerven van de inhoud van niet-openbare communicatie bijvoorbeeld van afgeschermde berichten op sociale media. In dat laatste geval wordt een dermate verregaande inbreuk gemaakt op de persoonlijke levenssfeer dat dit slechts geoorloofd is indien daarbij aanvullende waarborgen van toepassing zijn. Het gaat hierbij onder meer om vereisten aan het toestemmingsniveau, de motivering, de verslaglegging en het gebruik van de verworven gegevens. In de wet zijn die waarborgen verbonden met de toepassing van bijzondere bevoegdheden. Nu dergelijke wettelijke waarborgen bij artikel 17 ontbreken, is die bevoegdheid niet toereikend voor het verwerven van de inhoud van afgeschermde berichten.

Dus: Artikel 17 Wiv2002 kan niet worden ingezet om te vragen om vrijwillige verstrekking van de inhoud van niet-openbare communicatie. Vragen om vrijwillige verstrekking van andere gegevens kan wel: verkeersgegevens van Twitter, je aankoopgeschiedenis van een webwinkel. enzovoorts; het is maar net welk van die gegevens beschikbaar zijn. Artikel 17 Wiv2002 maakt zelf geen onderscheid in het soort gegevens dat kan worden gevraagd. (Natuurlijk blijft gelden dat de AIVD alleen gegevens mag verwerven én noodzakelijk bij de uitoefening van de a/b/c/d/e-taken, én proportioneel én subsidiair.)

Mogen met Artikel 17 financiële gegevens worden opgevraagd bij banken? Ja, omdat het bankgeheim door het derde lid buiten werking wordt gesteld. Dat blijkt uit deze paragraaf in CTIVD-rapport 20 (.pdf, 2009) over financieel-economische onderzoeken door de AIVD in de context van het Financieel Expertise Centrum (FEC) waaraan de AIVD deelneemt:

Blijkens het derde lid van artikel 17 WIV 2002 kunnen eventuele bij of krachtens de wet geldende voorschriften ten aanzien van de verstrekking van deze gegevens de AIVD niet worden tegengeworpen. Het bankgeheim, dat in de financiële wereld een belangrijke rol speelt, kan aldus in het kader van de gegevensverstrekking aan de AIVD opzij worden gezet.

Bij het FEC gaat het o.a. om onderzoek in het kader van de Europese bevriezingslijsten conform EC/2580/2001 (.pdf) van tegoeden van personen of organisaties die verdacht worden van betrokkenheid bij terroristische activiteiten.

Mogen met Artikel 17 medische gegevens worden opgevraagd? Het derde lid van Artikel 13 Wiv2002 bepaalt in beginsel een verbod hierop:

De verwerking van persoonsgegevens wegens iemands godsdienst of levensovertuiging, ras, gezondheid en seksuele leven vindt niet plaats.

Onder “gezondheid” en “seksueel leven” worden verstaan: seksualiteit, intiem levensgedrag, medische of psychologische kenmerken (cfr. Artikel 8 van de Europese Data Protection Directive 95/46/EC). Gegevens over politieke overtuigingen mogen door de diensten uiteraard wél worden verwerkt. Het vierde lid van Artikel 13 Wiv2002 bepaalt echter wel een uitzondering van het verbod op verwerking van gegevens over godsdienst of levensovertuiging, ras, gezondheid en seksuele leven:

De verwerking van persoonsgegevens die betrekking hebben op de in het derde lid bedoelde kenmerken vindt slechts plaats in aanvulling op de verwerking van andere gegevens en slechts voor zover dat voor het doel van de gegevensverwerking onvermijdelijk is.

Dus: alléén medische gegevens (c.q. gegevens over godsdienst/levensovertuiging, ras of seksueel leven) mag niet, maar wél als aanvulling op een bestaande gegevensverwerking — mits dat naast noodzakelijk ook “onvermijdelijk” is (het lijkt dan ook niet plausibel dat men bijvoorbeeld op basis van GPS- en belgegevens gedragspatronen probeert te herkennen die sympomatisch zijn voor depressie; iets dat in voorkomend geval een middel zou kunnen zijn om kwetsbaarheid van targets en hun omgeving in kaart te brengen). Toelichting op de onvermijdelijkheidsvereiste staat hier:

In artikel 13, vierde lid, is aansluitend bepaald dat de verwerking van persoonsgegevens die betrekking hebben op de in het derde lid bedoelde kenmerken slechts plaats vindt in aanvulling op de verwerking van andere gegevens en slechts voor zover dat voor het doel van de gegevensverwerking onvermijdelijk is. Met het begrip «onvermijdelijk» wordt beoogd aan te geven dat bij de verwerking van een gegeven als hier bedoeld aan een zwaarder criterium dient te worden voldaan, dan aan het in artikel 12, tweede lid, neergelegde noodzakelijkheidscriterium. Bij het vastleggen van deze categorie gegevens zullen de diensten dus extra terughoudend moeten zijn. Het zal echter onvermijdelijk zijn om bijvoorbeeld de godsdienstige of levensovertuiging van personen of organisaties te registreren in de gevallen dat anti-democratische, staatsgevaarlijke of anti-militaristische activiteiten worden ontplooid waarbij de daders hun godsdienstige overtuiging als motief aanvoeren voor hun activiteiten. Hierbij kan bijvoorbeeld worden gedacht aan de terroristische gifgas-aanslagen in Japan door leden van een godsdienstige sekte, of aan de activiteiten van andere godsdienstige sekten, zoals in de Verenigde Staten (Waco, Texas). Ook zal registratie van de godsdienstige overtuiging onvermijdelijk zijn als het gaat om terroristische activiteiten van bepaalde godsdienstige splintergroeperingen, bijvoorbeeld binnen radicale moslim-organisaties.

Hierbij een paar gedachten over de verwerking van gegevens over seksualiteit, intiem levensgedrag, medische of psychologische kenmerken. Ingevolge het beroepsgeheim mogen zorgverleners (artsen, psychologen, etc.) niet zomaar patiëntgegevens verstrekken. Wel bestaan er uitzonderingsgronden van het medisch beroepsgeheim: zie de KNMG Handreiking beroepsgeheim en politie/justitie. Maar zorgverleners zijn niet de enige die beschikken over medische gegevens.

Zorgverzekeraars verwerken medicijn- en zorgdeclaraties, en vallen niet onder het medisch beroepsgeheim (uitgezonderd artsen die bij zorgverzekeraars werken). Dat kennis over medicijngebruik zeer privacygevoelig kan zijn, is helder: gebruik van SSRI’s wordt geassocieerd met angst en depressie, gebruik van quetiapine met psychose, methylfenidaat met ADHD, enzovoorts. Dat zorgdeclaraties zeer privacygevoelig kunnen zijn, is ook helder. Bij de invoering van de DBC-systematiek werd alle tweedelijns zorgverlening verplicht DBC’s te registreren: somatisch, chirurgie, KNO, maar ook de GGZ. Hierbij moeten zorgverleners op zorgdeclaraties een prestatiecode vermelden, en die code bevat diagnose-informatie. De prestatiecode heeft het formaat AAA BBB CCC DDD, waarbij AAA = zorgtype, BBB = diagnose, CCC = verblijf, DDD = behandeling. De codelijsten voor DBC’s in de GGZ staan hier. De diagnosehoofdgroepen zoals ze bij de zorgverzekeraar bekend worden zijn de volgende:

001 = Overige stoornissen in de kindertijd
002 = Pervasieve ontwikkelingsstoornissen
003 = Aandachtstekortstoornissen en gedragsstoornissen
004 = Restgroep diagnoses
005 = Aanpassingsstoornissen
006 = Andere aandoeningen en problemen die een reden voor zorg kunnen zijn
007 = Delirium, dementie en amnestische en andere cognitieve stoornissen
008 = Aan alcohol gebonden stoornis
009 = Overige aan een middel gebonden stoornissen
010 = Schizofrenie en andere psychotische stoornissen
011 = Depressieve stoornissen
012 = Bipolaire en overige stemmingsstoornissen
013 = Angststoornissen
014 = Persoonlijkheidsstoornissen
015 = Somatoforme stoornissen
016 = Eetstoornis

Zorgverzekeraars beschikken dus over diagnose-informatie. Dankzij de enorme inspanningen van psychiater Kaspar Mengelberg (@DeVrijPsych) bestaat er voor (uitsluitend) GGZ-zorgverleners een opt-out-regeling, waarbij de diagnose-code mag worden vervangen door “000”. Van Mengelberg begreep ik dat GGZ-zorgverleners bij instellingen niet of minder gebruikmaken van deze regeling dan vrijgevestigde psychiaters en psychotherapeuten. En dat zorgverzekeraars patiënten pesten met adminstratief gedoe als er geen volledige DBC op de zorgdeclaratie staat.

Maar dan is er nog het landelijke DBC Informatie Systeem (DIS). Alle zorgverleners, ook de GGZ-zorgverleners, zijn verplicht gedetailleerde diagnose-informatie in gepseudonimiseerde vorm aan te leveren aan dit systeem. Zie hier (.pdf, 2012) een visualisatie van de informatiestromen. Over de pseudonimisatie het volgende (.pdf, 2012, beantwoording van Kamervragen):

Door de toegepaste pseudonimisering zijn in het DBC-Informatiesysteem (DIS) geen personen te herleiden. Voor het CBS is een situatie gecreëerd waardoor het CBS de DIS-gegevens kan koppelen met de Gemeentelijke Basisadministratie (GBA). Dat gaat als volgt in zijn werk. De DIS-gegevens worden eerst opgestuurd aan een zogenaamde trusted third party, die de DIS-pseudoniemen omzet in een speciaal CBS-pseudoniem en deze naar het CBS verstuurt. Het CBS stuurt vervolgens de benodigde GBA-gegevens versleuteld en dus onherkenbaar naar de trusted third party, die deze GBA-gegevens van hetzelfde CBS-pseudoniem voorziet als voor de DIS-gegevens, en de gepseudonimiseerde GBA-gegevens naar het CBS verstuurt. Daarmee kan het CBS dan de DIS-gegevens aan de GBA-gegevens koppelen. De DIS-pseudoniemen worden dus niet geïdentificeerd door deze procedure. Ten behoeve van statistische doeleinden is het CBS wettelijk gerechtigd om persoonsgegevens te verwerken (CBS-wet, artikel 35).

Het CBS is dus, technisch gezien, in staat op DIS-gegevens te koppelen aan geïdentificeerde personen. Identificatie wordt alleen voorkomen door procedurele maatregelen. Dat wil niet zeggen dat identificatie ooit op het verzoek van de AIVD zal gebeuren (je kunt je het schandaal wel indenken). Maar het behoeft geen betoog dat informatie over de gezondheid van personen, zeker de geestelijke gezondheid, relevant is bij het uitoefenen van ten minste de a-taak en d-taak (nationale veiligheid en inlichtingen buitenland: hoe kunnen we een target beïnvloeden?) en voor de b-taak (veiligheidsonderzoeken: is een sollicitant voor deze vertrouwensfunctie beïnvloedbaar? NB: jaarlijks vinden bij de AIVD zo’n dertig- tot veertigduizend veiligheidsonderzoeken plaats, waarvan 1500 op het hoogste A-niveau). Ter illustratie van het laatste punt, hierbij een citaat uit Richard Aldrich’s boek over GCHQ. In de nasleep van een grote spionagezaak bij GCHQ (een senior GCHQ-ambtenaar bleek KGB-agent te zijn geworden) deed de Britse Security Commission in 1962 aanbevelingen voor versterking van personele veiligheidsprocedures. Eén van die aanbevelingen betrof het doorlichten van medische gegevens. Aldrich stelt:

Benson Buffham, a former Deputy Director of NSA who had recently served as the American Liaison Officer to GCHQ, or ‘SUSLO’, visited London to confer on security, and made it very clear that the Americans were keen to see the polygraph arrive at GCHQ. The Security Commission also recommended that vetting teams should be granted access to medical records in order to check for problems such as depression. However, this was shot down immediately by the BMA’s Civil Service Medical Officers Group as ‘neither necessary nor justified’. [Footnote 46: Woods (BMA) to Duffton (SCPS GCHQ Main Branch), RVW/JNLlFB, 15.12.83, MSS.84/3II 9, GCHQ-UR WMRC.]

Kortom, er bestaan scenario’s waarin een inlichtingendienst toegang zou kunnen willen hebben tot medische gegevens. (Waarmee niet is gezegd dat van zulke toegang ooit sprake is geweest.) Informatie over gezondheid kan worden verworven door observatie en navraag in de sociale omgeving, maar minder risicovol is het (laten) raadplegen van medische gegevensbestanden. Vroeger vormde homosexualiteit een bezwarende omstandigheid tijdens antecedenten-/veiligheidsonderzoek; gelukkig zijn we dat stadium voorbij. Maar gezondheid, zeker geestelijke gezondheid, is en blijft natuurlijk een relevant onderwerp voor veiligheidsonderzoeken, waarbij het immers allemaal draait om iemands betrouwbaarheid en kwetsbaarheid voor chantage.

Conclusie: om toegang te krijgen tot medische informatie hoeft geen medisch beroepsgeheim te worden doorbroken. Zie ook Zembla’s De jacht op uw medische gegevens (april 2014). De vraag is of de CTIVD Artikel 17 Wiv2002 voldoende bevoegdheid vindt bieden om medische informatie te krijgen. Het bankgeheim bleek er in elk geval niet van toepassing.

[UPDATE 2017-11-24: de AIVD stelt op haar website sinds kort het volgende t.a.v. medische gegevens, waarin expliciet staat dat medische gegevens noodzakelijk en onvermijdelijk kunnen zijn in de context van radicalisering:

[…] Wij mogen alleen gericht medische gegevens van een persoon verzamelen als dat onvermijdelijk is om een dreiging goed te kunnen inschatten. Het vormt een aanvulling op andere gegevens die al verwerkt zijn.

[…]

In een uiterst geval kan het bijvoorbeeld noodzakelijk zijn om meer te weten over de psychische stoornis en eventuele medicatie van een radicaliserende persoon. Op zo´n moment bekijken wij of wij zijn arts kunnen vragen om de benodigde informatie.

Iedereen kan door de dienst worden gevraagd om informatie te verstrekken die voor onze onderzoeken van belang is. Artsen zijn daar niet van uitgezonderd. De arts beslist dan zelf vrijwillig of hij hieraan wil meewerken. Hij is dat niet verplicht.

[…]

Wij mogen niet inbreken in databestanden met medische gegevens of patiëntendossiers van willekeurige personen door middel van hacken. [sic]

Dus: de diensten mogen een arts om informatie vragen, en de arts mag dat weigeren. De laatste zin over de hackbevoegdheid heeft kenmerken van een (zalvende) halve waarheid, omdat 1) daar ineens wordt gesproken over “willekeurige personen” ipv een “radicaliserende persoon”, en 2) andere bevoegdheden zoals interceptie (artsen hebben trouwens niet de uitzonderingspositie die journalisten en advocaten in de Wiv2017 wél hebben) en informatieverzoeken aan anderen die relevante informatie kunnen hebben over “de psychische stoornis en eventuele medicatie van een radicaliserende persoon”, wat in theorie dus ook DBC-gegevens bij zorgverzekeraars of bij het DIS kan betreffen. Ten overvloede: ]

Een zijstapje naar Amerika. Het DoD hanteert het begrip “medical intelligence” (.pdf, 2014) en definieert dat als volgt:

(…) the product of collection, evaluation, and all-source analysis of worldwide health threats and issues, including foreign medical capabilities, infectious disease, environmental health risks, developments in biotechnology and biomedical subjects of national and military importance, and support to force protection.

De National Geospational Agency (NGA) en NSA leveren daarbij “support for medical intelligence and medical intelligence-related requirements”, allicht gebruikmakend van de mogelijkheden die de PATRIOT ACT biedt (hoeveel medische gegevens over Nederlanders staan eigenlijk op IT-systemen van organisaties die ook in de VS actief zijn?). Het is plausibel dat bij uitzondering nu en dan ook gegevens over individuele, geïdentificeerde personen zullen worden verwerkt. Ook bij het invullen van een ESTA-verklaring wordt op individueel niveau een medische vraag gesteld: “Do you have a communicable disease; physical or mental disorder; or are you a drug abuser or addict?” In datzelfde formulier geef je ook je NAW- en paspoortgegevens.

Terug naar Nederland en het hoofdonderwerp van deze blogpost. De Nederlandse regering heeft in 2006 wél een zelfstandige vorderingsbevoegdheid voorgesteld in het post-Madrid wetsvoorstel tot wijziging van de Wiv2002. Het ging daarbij ook expliciet over verstrekking van financiële informatie aan de AIVD (zie Artikel 29a lid 1, onder a). Destijds was de vorderingsbevoegdheid één van de controversiële onderdelen in het (uiteindelijk ingetrokken) wetsvoorstel waartegen de Eerste Kamer pareerde, onder meer op basis van CBP-advies (.pdf, 2007). Het is nu even afwachten of elementen uit dat ingetrokken wetsvoorstel terugkomen in het voorstel dat het kabinet binnenkort (?) zal doen voor wijziging van de Wiv. De commissie-Dessens heeft in haar evaluatie van de Wiv2002 elk geval geen aanbevelingen gedaan ten aanzien van Artikel 17 Wiv2002 of Artikel 29a in het ingetrokken voorstel.

Uit de kabinetsreactie op het CBP-rapport inzake het post-Madrid voorstel tot wijziging van de Wiv2002 blijkt overigens dat het antwoord van personen/organisaties aan wie een Artikel 17-verzoek is gericht, niet altijd “ja” luidt:

De derde reden die genoemd dient te worden voor het niet voldoen van de vrijwillige arrangementen, hoewel deze situatie zich slechts bij uitzondering voordoet, is het feit dat sommige instanties weigeren informatie te verstrekken aan de diensten. Deze terughoudendheid vindt haar oorsprong wellicht in een verstrekkende servicegerichtheid richting de klanten of afnemers van betrokken instantie. Een verplichte informatieverstrekking biedt op dit punt zeker voordeel voor de betreffende bestuursorganen, financiële dienstverleners en vervoerders. Indien het overleggen van informatie niet op vrijwillige basis, maar op grond van een wettelijke verplichting geschiedt, is er geen enkele ruimte voor enige verwijtbaarheid door klanten aan deze organen en instanties. Uit de contacten die de diensten hebben met potentiële informatieleveranciers blijkt keer op keer dat zij juist vragen om een verplichting tot informatieverstrekking. Zij zijn van mening dat een informatieverplichting kenbaarheid en voorzienbaarheid schept met betrekking tot de gegevensverstrekking, waardoor duidelijk aan klanten en afnemers gepresenteerd kan worden op welke gronden verstrekking kan plaatsvinden.

Verder leesvoer:

• 2014-09-05: Overzicht Wiv2002-toetsingskader AIVD-onderzoek met/op sociale media, webfora (dit blog)
• 2012-xx-xx: De Regionale Inlichtingendienst. Ongecontroleerd balanceren op en over de grens van rechtmatigheid (.pdf, mr. Sven Brinkhoff, Nederlands Juristenblad 87:30)

EOF

UPDATE 2014-09-05: this page is also available in Dutch.

Yesterday I blogged about the new oversight report (.pdf, in Dutch) concerning the activities of the Dutch General Intelligence & Security Service (AIVD) involving social media, such as acquiring the databases of web forums through hacking, human sources and/or exchange with foreign partners. The (non-classified) appendix to that report provides an overview of the legal framework that the oversight committee applied in the course of writing the report. Here is my translation of that overview, including links to the relevant parts of the Dutch Intelligence & Security Act of 2002 (Wiv2002). Feel free to ask questions (bear in mind that I’m not a legal expert, though).

Passive investigation on social media

Requirement	Implementation
Legal basis	Articles 6 and 12 Wiv 2002
Definition	Investigation through open sources
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source or reliability (12)
Limitation	– only use third party data if necessary (13)
	– in case of more than small infringement on rights, review the intent and the nature of the methods and data collection
	– systematic targeted investigation (20)
	– operating under a cover (21)

Observation of persons on social media

Requirement	Implementation
Legal basis	Article 20 Wiv 2002
Definition	Person-focused investigation which, considering duration, location, intensity, frequency or tools must be qualified as systematic
Approval	By team leader
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source or reliability (12)
	– motivation (20)
	– reporting (33)
	– only use third party data if necessary (13)
Limitation	– only use third party data if necessary (13)
	– necessity, proportionality and subsidiarity (18, 31, 32)

Active investigation by agents on social media

Requirement	Implementation
Legal basis	Article 21 Wiv 2002
Definition	Operating with agents on social media, possibly using a cover
Approval	By director or head of unit, extension by team leader
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– motivation
	– reporting (21, sixth member, 33)
Limitation	– necessity, proportionality and subsidiarity (18, 31, 32)
	– prohibition on unacceptable incitement: ‘Tallon criterium’ (21, fourth member)
	– safety of the agent (15)
	– criminal offenses exist only with approval and instruction (21, third member)

Acquisition of social media databases

Requirement	Implementation
Legal basis	Articles 17, 21, 24, 59 Wiv 2002
Definition	The collection of (parts of) databases from social media
Approval	Depends on authority
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– motivation (21, 24)
	– reporting (33)
Limitation	– only use third party data if necessary (13)
	– proportionality and subsidiarity (31, 32)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless article 17 is the legal basis (18)

Using and storing social media databases

Requirement	Implementation
Legal basis	Articles 6 and 12 Wiv 2002
Definition	Analyzing, using, storing the data
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– data security, among others against unauthorized processing (16)
	– authorization policy (16, 35)
Limitation	– removing and destroying when data loses meaning (43)
	– the Commission previously recommended regulating retention periods by law, as well as regulating the processing of metadata
	– only use third party data if necessary (13)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless the data were acquired on the legal basis of article 17 (18)

Exchanging social media data collections

Requirement	Implementation
Legal basis	Articles 36 or 59 Wiv 2002
Definition	Providing data collections to a foreign service and/or receiving data collections from a foreign service
Approval	By team leader, or head of unit (36) of minister (59)
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– keep notes (42)
	– third-party rule (37)
Limitation	– necessary for its own task (36) or
	– in the interest the foreign service represents (59)

Person-focused querying of social media data collections

Requirement	Implementation
Legal basis	Articles 17, 21 and 59 Wiv 2002
Definition	Person-focused searching in databases through human sources or foreign services
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– writing down the instruction to agents (21, sixth member)
	– motivating if comparable to article 28
Limitation	– proportionality and subsidiarity (31, 32)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless article 17 is the legal basis (18)

Related posts:

• 2014-09-14: Article 17 Wiv2002: the AIVD’s legal basis for asking third parties for voluntary provisioning of information (this blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (this blog)

EOF

UPDATE 2014-09-05: this page is also available in English.

Het nieuwe CTIVD-toezichtsrapport (.pdf) inzake onderzoek door de AIVD op sociale media heeft een (openbare) bijlage met daarin een overzicht van de toetsingskaders voor de verschillende methoden die de AIVD toepast — denk daarbij aan het verwerven van de databases van webfora via hacking, menselijke bronnen en/of uitwisseling met internationale partners. Hier is een HTML-versie van dat overzicht, inclusief links naar de wetteksten:

Passief onderzoek op sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 6 en 12 Wiv 2002
Definitie	Onderzoek op open bronnen
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– meer dan geringe inbreuk op grondrechten, zoals de persoonlijke levenssfeer, onder meer te toetsen aan de intentie, de aard van de methoden en de opslag van gegevens
	– stelselmatig (target-)gericht onderzoek (20)
	– opereren onder dekmantel (21)

Observatie van personen op sociale media

Vereiste	Uitwerking
Grondslag	Artikel 20 Wiv 2002
Definitie	Persoonsgericht onderzoek dat naar duur, plaats, intensiteit, frequentie of hulpmiddelen als stelselmatig moet worden aangemerkt
Toestemming	Door teamhoofd
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering (20)
	– verslaglegging (33)
	– gegevens van derden slechts betrekken indien noodzakelijk (13)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– noodzakelijkheid, proportionaliteit en subsidiariteit (18, 31, 32)

Actief onderzoek door agenten op sociale media

Vereiste	Uitwerking
Grondslag	Artikel 21 Wiv 2002
Definitie	Opereren met agenten op sociale media, eventueel met gebruik van dekmantel
Toestemming	Door directeur of unithoofd, verlenging door teamhoofd
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering
	– verslaglegging (21, zesde lid, 33)
Begrenzing	– noodzakelijkheid, proportionaliteit en subsidiariteit (18, 31, 32)
	– verbod op instigatie: ‘Tallon-criterium’ (21, lid 4)
	– veiligheid van de agent (15)
	– strafbare feiten alleen met toestemming en instructie aanwezig is (21, lid 3)

Verwerving van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 17, 21, 24, 59 Wiv 2002
Definitie	De verzameling van (gedeelten van) gegevensverzamelingen van sociale media
Toestemming	Afhankelijk van de bevoegdheid
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering (21, 24)
	– verslaglegging (33)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– proportionaliteit en subsidiariteit (31, 32)
	– noodzakelijk voor de a- of d-taak, tenzij artikel 17 de grondslag vormt (18)

Ontsluiten en bewaren van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 6 en 12 Wiv 2002
Definitie	Analyseren, ontsluiten, bewaren van de gegevens
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– beveiliging van gegevens, o.m. tegen onbevoegde verwerking (16)
	– autorisatiebeleid (16, 35)
Begrenzing	– verwijderen en vernietigen wanneer gegevens betekenis verliezen (43)
	– de Commissie heeft eerder aanbevolen om bij wet in bewaartermijnen te voorzien voor ruwe gegevens alsmede in een regeling voor de verwerking van metagegevens
	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– noodzakelijk voor de a- of d-taak, tenzij de gegevens op grond van artikel 17 zijn verworven (18)

Uitwisselen van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 36 of 59 Wiv 2002
Definitie	Verstrekken van gegevensverzameling aan een buitenlandse dienst en/of ontvangen van gegevensverzameling van een buitenlandse dienst
Toestemming	Door teamhoofd of unithoofd (36) of minister (59)
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– aantekening bijhouden (42)
	– derdepartijregel (37)
Begrenzing	– noodzakelijk voor de eigen taak (36) of
	– in het belang dat de buitenlandse dienst behartigt (59)

(Persoons)gericht bevragen van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 17, 21 en 59 Wiv 2002
Definitie	(Target)gericht zoeken in gegevensverzameling via menselijke bronnen of buitenlandse diensten
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– vastleggen instructie aan agent (21, zesde lid)
	– motiveren indien gelijk te stellen met artikel 28
Begrenzing	– proportionaliteit en subsidiariteit (31, 32)
	– noodzakelijk voor de a- of d-taak, tenzij artikel 17 de grondslag vormt (18)

Gerelateerde berichten:

• 2014-09-12: Artikel 17 Wiv2002: vrijwillige verstrekking van gegevens op verzoek van de AIVD (dit blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (dit blog)

EOF