UPDATE 2015-07-02: the Dutch government released a draft intelligence bill, which implements (some of) the outcomes of the review by the Dessens Committee, into public consultation. Details here.

Between February 2013 and December 2013, the ‘Dessens Committee’ reviewed the Dutch Intelligence & Security Act of 2002 (aka `WIV2002′). On December 2nd their final report was published (.pdf, in Dutch). The conclusions and recommendations in that report will be debated in Dutch Parliament in January 2014. Eventually a bill will emerge for revising the WIV2002.

The report is an excellent 196-page read that covers the entire WIV2002, relevant parts of Parliamentary history, reflection on oversight in other countries, collaboration between the AIVD and MIVD, collaboration with foreign agencies, oversight on spy involvement in crime as part of investigations, and more. In this post I only address the parts concerning SIGINT (undirected interception) and wiretapping (directed interception).

As was generally expected, the committee recommends that SIGINT powers be extended from only non-cablebound (current situation) to cablebound communication as well. The report does not mention the annually recurring SIGINT oversight failure I described here, but does suggest changes to strengthen the oversight, including a proper specification of the motivation includes in the request for Ministerial approval for exercise of special powers. Lack of motivation was one of the main problems that led me to state that oversight on SIGINT is currently “still broken”. Other issues remain IMHO, including composition of the Review Committee on the Intelligence and Security Services (CTIVD) — which will be entirely composed of former crimefighters as of January 1st 2014 (a former District Attorney, a former police chief and a former chairman of the Attorneys General). More on that later. [UPDATE 2014-12-26: based on oversight reports that have been published by the new committee throughout 2014, I revoke these initial doubts.]

Below is my translation of the Dessens Committee’s conclusions and recommendations concerning the use of special powers in the digital world (wiretapping, SIGINT, hacking). Parts in [] are mine. Below that is my translation of the new legal system for interception that is proposed (note: the Dessens Committee did not propose a bill: a bill will probably emerge after the Parliamentary debate on surveillance etc. that is scheduled in January 2014).

I welcome your questions, corrections and requests for translation: koot at cyberwar dot nl (email) or @mrkoot (Twitter).

WARNING: this is an unofficial translation.

8.5 Conclusions and recommendations concerning the use of special powers in the digital world

The committee finds that the WIV2002, regarding the interception rules in Article 26 and Article 27, is ‘technology-dependent’ and has become outdated by technological advances and new communication possibilities. Technological development is here to stay, will only increase, and offers both advantages and disadvantages, including to the intelligence and security services.

Original Dutch: “De evaluatiecommissie constateert dat de Wiv wat betreft de interceptiebepalingen 26 en 27 Wiv ‘techniekafhankelijk’ is opgesteld en door de voortschrijdende technologie en nieuwe communicatiemogelijkheden gedateerd is. Technologisering is niet meer weg te denken, neemt alleen maar toe en biedt zowel voor- als nadelen, ook voor de I&V-diensten.”

The committee concludes that the current distinction between “ether” and “cable”, resulting in technology-dependent interception provisions of the WIV2002 no longer fitting the rapidly advancing technological developments in the field of data traffic and communication. The current system of interception provisions does little justice to the necessary powers in the context of national security in the year 2013, but also no (longer) provides the necessary safeguards that should apply in the exercise of special powers. The potential effects of medium-dependent or technology-dependent constraints are too great to ignore. The committee finds that undirected interception of cablebound communications should be allowed, under simultaneous review and strengthening of the legal safeguards of permission and oversight, linked to the interception provisions.

Original Dutch: “De evaluatiecommissie komt tot de conclusie dat het huidige onderscheid tussen ‘de ether’ en ‘de kabel’, resulterend in techniekafhankelijke interceptiebepalingen van de Wiv, niet meer rijmt met de snel voortschrijdende technologische ontwikkelingen op het gebied van dataverkeer en communicatie. Het systeem van interceptiebepalingen doet anno 2013 te weinig recht aan de noodzakelijke bevoegdheden in het kader van de nationale veiligheid maar voldoet ook niet (meer) aan de noodzakelijke waarborgen die moeten gelden bij de uitoefening van genoemde bijzondere bevoegdheden. De potentiële gevolgen van medium- of techniekafhankelijke beperkingen zijn te groot om te veronachtzamen. De evaluatiecommissie vindt dat ongerichte kabelgebonden interceptie van communicatie moet worden toegestaan, onder gelijktijdige herziening en versteviging van de wettelijke waarborgen van toestemming en toezicht, verbonden aan de interceptiebepalingen.”

The committee is of the opinion that as the invasion of privacy and the confidentiality of communications is more intrusive, the authorization procedure and supervision should be stronger embedded. It should be the intrusiveness of cognizance of communication, and not the transport medium or the current state of technology, that determines the requirements for obtaining permission and the supervision of legality.

Original Dutch: “De evaluatiecommissie is van mening dat naarmate de inbreuk op de privacy en het communicatiegeheim indringender is, de toestemmingsprocedure en het toezicht ook sterker ingebed moeten zijn. Hierbij moet de indringendheid van kennisname van communicatie, en niet meer het transportmedium of de stand der techniek, bepalend zijn voor de toestemmingsvereisten en het toezicht op rechtmatigheid.”

In the opinion of the committee, a new dichotomy could be created that replaces the current Articles 25, 26 and 27. This dichotomy is related to the type of (interception) activity, the intrusiveness of cognizance of communication and hence the degree of privacy infringement and the associated requirements for obtaining permission. Undirected interception of cablebound communications and several variations of ‘search’ (as established by the Review Committee on the Intelligence and Security Services (CTIVD)) can be part of this dichotomy. Section 5.3.2 outlines a conceptual framework to this end. The committee recommends requiring Ministerial permission for ‘search’, and additional requirements and immediate supervision by the CTIVD as the invasion of privacy is more targeted and more pervasive. At the stage where infringements are potentially most intrusive, oversight occurs immediately after the permission has been granted.

Original Dutch: “Er zou naar de opvatting van de evaluatiecommissie een nieuwe tweedeling gemaakt kunnen worden, die de huidige artikelen 25, 26 en 27 vervangt. Deze tweedeling houdt verband met het type (interceptie)activiteit, de indringendheid van kennisname van communicatie en daarmee de mate van privacyinbreuk, en de hieraan gekoppelde toestemmingsvereisten. Ongerichte kabelgebonden interceptie en de verschillende varianten van search (zoals geconstateerd door de CTIVD) kunnen van deze tweedeling dan deel uitmaken. In paragraaf 5.3.2 is hiervoor een conceptueel raamwerk geschetst. De evaluatiecommissie beveelt een ministeriële toestemming aan voor search, alsook aanvullende toestemmingsvereisten en onmiddellijk toezicht door de CTIVD naarmate de inbreuk op de privacy gerichter en indringender wordt. In de fase waarin de inbreuken potentieel het meest indringend zijn vindt het toezicht onmiddellijk na de toestemmingverlening plaats.”

Extending this line of reasoning of the conceptual framework, the committee recommends that the requirements for permission in Article 24 [=legal power to hack systems] and the oversight on these powers be aligned with the second phase of the legal framework for interception. This means that permission for the use of Article 24 powers should be given by the Minister himself and that the CTIVD immediately oversees the mandates. The committee also recommends that immediate oversight also be applied to the powers provided by Article 20, paragraph 3, and Article 22, paragraph 6, The committee also recommends to act with restrain concerning delegation of authority for exercising powers that can infringe on rights.

Original Dutch: “In het verlengde van de bovenstaande gedachtelijn van het conceptueel raamwerk beveelt de evaluatiecommissie aan om het toestemmingsvereiste in artikel 24 en het toezicht op deze bevoegdheden in lijn te brengen met de tweede fase van het interceptieraamwerk dat is geschetst. Dat betekent dat de toestemming voor de inzet van artikel 24 door de minister zelf moet worden gegeven en de CTIVD onmiddellijk toezicht houdt op de lastgevingen. De evaluatiecommissie beveelt aan om het onmiddellijk toezicht ook op de bevoegdheden ex artikel 20, lid 3, en 22, lid 6, te laten zien. De evaluatiecommissie beveelt verder aan om terughoudend te zijn met het (door)mandateren van bevoegdheden die inbreuk kunnen maken op grondrechten.”

The committee recommends that the legislature, in drafting a new bill to amend the WIV2002, explicitly accounts for the criteria defined by the motion Franken. Considering that it will be new legislation involving a restriction of privacy rights, the committee recommends that in the legislative process and in the final decision, the requirements of the motion Franken are included, as already promised by the Minister of Interior.

Original Dutch: “De evaluatiecommissie adviseert de wetgever, bij het formuleren van een nieuw wetsvoorstel tot wijziging van de Wiv 2002, om zich nadrukkelijk rekenschap te geven van (de criteria in) de motie-Franken. Aangezien het hier zal gaan om nieuwe wetgeving waarbij sprake is van een beperking van het recht op eerbiediging van de persoonlijke levenssfeer, beveelt de evaluatiecommissie aan dat in het wetgevingsproces en in de uiteindelijke besluitvorming hierover de vereisten van de motie-Franken worden meegenomen, zoals reeds toegezegd door de Minister van BZK.”

The committee has examined whether the oversight of the use of special powers is currently sufficiently strong. The committee has also included in this Article 13 of the Dutch Constitution [confidentiality of mail], the jurisprudence of the ECHR and developments in the neighboring countries involved in this issue. An analysis has been made of the different variants of oversight before and after the use of intelligence means. On this basis, the committee recommends to strengthen the oversight afterwards. In the view of the committee, reinforced oversight (afterwards) combined with better designed control (before) and other permission requirements result in better consistency of safeguards in the use of special powers.

Original Dutch: “De evaluatiecommissie heeft zich gebogen over de vraag of het huidige toezicht op de inzet van bijzondere bevoegdheden voldoende sterk is. De evaluatiecommissie heeft bij dit vraagstuk ook artikel 13 van de Grondwet, de jurisprudentie van het EHRM en ontwikkelingen in de landen om ons heen betrokken. Er is een analyse gemaakt van de verschillende varianten van toezicht vooraf en achteraf op de inzet van inlichtingenmiddelen. Op basis daarvan doet de evaluatiecommissie de aanbeveling om het toezicht achteraf te versterken. In de visie van de evaluatiecommissie zal verstevigd toezicht (achteraf), gecombineerd met beter vormgegeven sturing (vooraf) en andere toestemmingsvereisten resulteren in een betere samenhang van waarborgen bij de inzet van bijzondere bevoegdheden.”

The committee recommends making the assessments of legality by the CTIVD legally binding. The committee finds that the legally binding assessment by the CTIVD must cover all special powers. The committee believes it is not desirable that the WIV2002 leaves open the possibility that Ministers lay down opinions of CTIVD beside them. If the CTIVD concludes that a charge is issued illegally, the intelligence service should immediately cease the use of this special power. An exception should apply to the authority to open letters and other consignments (Article 23, first paragraph), for which a judicial approval should be asked, and for the use of special powers to trace the sources of journalists. In these situations a judicial approval will be prescribed. The legislature may also consider giving the CTIVD the power to suspend a mandate at first. There are situations where the (il)legality of a mandate is not immediately clear, and explanation or a more detailed justification is needed to use a specific power. In addition, the committee recommends that the CTIVD immediately oversees the mandates in the second phase of the legal framework for interception outlined by the committee. The committee recommends performing oversight as soon as possible after the permission is granted, because with these powers a major invasion of privacy potentially occurs. It is thereby necessary to expand the CTIVD, at least with respect to the departmental support.

Original Dutch: “De evaluatiecommissie beveelt daarbij aan om de rechtmatigheidsoordelen van de CTIVD een juridisch bindende kracht te geven. De evaluatiecommissie vindt dat het bindend rechtmatigheidsoordeel van de CTIVD moet zien op alle bijzondere bevoegdheden. De evaluatiecommissie acht het namelijk niet wenselijk dat de Wiv de mogelijkheid openlaat dat ministers een dergelijk rechtmatigheidsoordeel van de CTIVD naast zich neer leggen. Als de CTIVD tot de conclusie komt dat een afgegeven last onrechtmatig is, moet de dienst de uitvoering van deze bijzondere bevoegdheid, voor zover deze op dat moment al is aangevangen, direct staken. Een uitzondering moet gelden voor de bevoegdheid om brieven en andere geadresseerde zendingen te openen, waarvoor een rechterlijke last moet worden gevraagd (artikel 23, eerste lid, Wiv), en voor de inzet van bijzondere bevoegdheden om de bronnen van journalisten te achterhalen, als ook in die situaties een rechterlijke last zal worden voorgeschreven. De wetgever kan daarbij ook overwegen om de mogelijkheid te creëren dat de CTIVD de bevoegdheid krijgt om een lastgeving eerst te schorsen. Er zijn situaties denkbaar waarin de (on)rechtmatigheid van een lastgeving niet direct glashelder is en zij behoefte heeft aan een nadere uitleg of een uitgebreidere motivering van de noodzaak om een bepaalde bevoegdheid in te zetten. Daarnaast beveelt de evaluatiecommissie aan dat de CTIVD onmiddellijk toezicht uitoefent op de lastgevingen in de tweede fase van het interceptiestelsel dat de evaluatiecommissie heeft geschetst. De evaluatiecommissie beveelt aan om dit toezicht zo snel mogelijk na de toestemmingverlening te verrichten omdat bij deze bevoegdheden potentieel een grote inbreuk op de privacy plaatsvindt. Het is daarbij noodzakelijk om de CTIVD navenant uit te breiden, in ieder geval voor wat betreft de ambtelijke ondersteuning.”

The committee explains the following about the dichotomy they suggest as a replacement for Articles 25, 26 and 27:

5.3.2 Framework for a future legal system for interception
(…)

The first article, the first step in a new system, would give intelligence services the power to intercept telecommunications and test the data for usefulness/fitness. The committee finds that the power to ‘search’ must be subject to Ministerial approval. The committee is of the opinion that also in an exploration using general keywords, you should be able to justify what you’re looking for and why. Purpose and necessity must be demonstrated here too. The committee considers a mandate to be necessary for search. The mandate is possibly long-term but delineated in time and can be quite generic in nature but must be bound to a particular investigation. The committee herewith aligns with a judgement in CTIVD-report 28: “The fact that during search, contents of communication are [only] known for a brief period and do not involve the entire contents of the communications, does not change the fact that indeed infringement is made on the right to confidentiality of telephone and telegraph communications laid down in Article 13 of the Constitution.” From this, the CTIVD concludes that searching requires advance authorization in the sense of Article 13 of the Constitution. The committee emphasizes the recommendation to introduce a required mandate in a new legal system for interception that involves increased powers.

Original Dutch: “Een eerste artikel, de eerste trede in een nieuw stelsel, zou de diensten de bevoegdheid kunnen geven om telecommunicatie te mogen intercepteren en de gegevens te toetsen op bruikbaarheid. De evaluatiecommissie vindt dat de bevoegdheid tot ‘search’ onderworpen moet zijn aan ministeriële toestemming. De evaluatiecommissie is van mening dat je ook bij een verkenning met algemene zoektermen moet kunnen beargumenteren waarnaar je op zoek bent en waarom. Nut en noodzaak moeten ook hier kunnen worden aangetoond. Een lastgeving voor search, die eventueel langlopend maar wel afgebakend in tijd en vrij generiek van aard kan zijn maar in ieder geval gekoppeld moet zijn aan een bepaald onderzoek, acht de commissie dus noodzakelijk. Hiermee sluit de evaluatiecommissie aan bij een oordeel van de CTIVD in haar toezichtrapport nr. 28: ‘Ook het gegeven dat bij het searchen voor een korte tijd wordt kennisgenomen van de inhoud van de communicatie en dat het niet gaat om de volledige inhoud van de communicatie doet niets af aan het feit dat wel degelijk inbreuk wordt gemaakt op het in artikel 13 van de Grondwet neergelegde telefoon- en telegraafgeheim’. De CTIVD concludeert hieruit dat aan de uitoefening van de bevoegdheid te searchen een machtiging in de zin van artikel 13 van de Grondwet vooraf dient te gaan. De evaluatiecommissie benadrukt de aanbeveling om bij de introductie van een nieuw stelsel van interceptiebepalingen, waarbij sprake is van verruimde mogelijkheden, een lastgeving voor search in te voeren.”

By allowing search of cablebound communications, the intelligence services, even for the sole fact that the cable infrastructure is privately owned and the necessity to funnel the huge amount of data traffic (i.e., filtering for relevance to their tasks), end up in the situation that they need to make agreements with telecom providers about cable infrastructures and internet exchanges. The committee is of the opinion that the choice of a provider and the choice of an exchange or cable, to then ‘search’ it, must be subject to Ministerial permission, that then also involves an order for the provider to provide access to a particular cable.

 

Original Dutch: “Met het toestaan van kabelgebonden search komen de diensten in de situatie, alleen al vanwege het feit dat de kabelinfrastructuur in private handen is en vanwege de noodzaak om de enorme hoeveelheid dataverkeer te trechteren (dat wil zeggen te filteren op relevantie voor hun taakuitvoering), dat zij afspraken moeten maken met telecomaanbieders over kabelinfrastructuren en internetknooppunten. De evaluatiecommissie is van mening dat de keuze van een aanbieder en de keuze van een knooppunt of kabel, om daarop vervolgens te ‘searchen’ onderworpen moet zijn aan een ministeriële toestemming, die tevens een opdracht inhoudt voor de provider om toegang te verlenen tot een bepaalde kabel.”

The second step in a new legal system for interception could be said to be the phase in which the collected data are used. This [‘usage’] phase both the analysis (step 2a) and the subject-oriented in-depth investigation (step 2b). The analysis (2a) concerns the data that are collected via the aforementiond power of search. With a new Ministerial approval, the intelligence services could determine the relevance of certain traffic through metadata analysis and selection. In step 2a, further funneling or filtering of the (streams of) communication to be examined takes place through a further selection based on numbers, technical characteristics or keywords. This step includes elements of the current Article 27 but at the same time provides a legal basis for the two variations of search [already] carried out by the MIVD that are contended by the CTIVD and involve an additional, and sometimes new selection.

The committee is strongly in favor of a proper specification of the motivation that must precede the analysis step (2a). With the [introduction of] permission of undirected interception of cablebound communication, the intelligence services must provide  insight in the actual considerations[/deliberation] concerning necessity, proportionality and subsidiarity, and must include these in requests for permission sent to the Minister, specifying the person, organization, region or phenomenon that the investigation is targeting. Hence the committee is of the opinion that this power can only be exercised by the intelligence services after a new Ministerial approval. It involves a more invasive infringement on privacy than the aforementioned power of search, meaning that in the view of the committee, a new safeguard is necessary in the form of Ministerial approval.

Original Dutch: “De tweede trede in een nieuw stelsel van interceptiebepalingen zou aangeduid kunnen worden als de fase waarin de gegevens die zijn binnen gehaald, worden gebruikt. In deze gebruikfase vindt zowel de analyse plaats (trede 2a) als het subjectgerichte diepteonderzoek (trede 2b). De analyse (2a) heeft betrekking op de data die via de voornoemde searchbevoegdheid zijn verkregen. Met een nieuwe ministeriële toestemming zouden de diensten via metadata-analyse en selectie de relevantie van bepaald verkeer kunnen vaststellen. In fase 2a vindt aldus door een nadere selectie aan de hand van nummers, technische kenmerken of trefwoorden een verdere trechtering of filtering van de te onderzoeken communicatie(stromen) plaats. Deze fase herbergt elementen van het huidige art. 27 Wiv in zich maar geeft tegelijkertijd een wettelijke basis aan de twee door de CTIVD ‘betwiste’ search-varianten van de MIVD waarin sprake is van aanvullende, soms nieuwe selectie.
De evaluatiecommissie is sterk voorstander van een deugdelijke specificatie van de motivering die vooraf moet gaan aan de analysestap (trede 2a). Zo zullen de diensten, met het toestaan van ongerichte kabelgebonden interceptie, ruim inzicht moeten geven in de daadwerkelijk gemaakte afwegingen omtrent noodzakelijkheid, proportionaliteit en subsidiariteit en deze moeten opnemen in de verzoeken om toestemming aan de minister, toegespitst op de persoon, organisatie, regio of fenomeen waar het onderzoek op is gericht. De evaluatiecommissie is dan ook van oordeel dat deze bevoegdheid alleen kan worden ingezet door de diensten na een nieuwe ministeriële toestemming. Het gaat hier om een verdergaande inbreuk op de privacy dan de voornoemde searchbevoegdheid waardoor naar het oordeel van de evaluatiecommissie een nieuwe waarborg in de vorm van een ministeriële toestemming noodzakelijk is.”

Step 2b in a new legal system for interception should concern the actual use at the subject[/person] level of collected communication data and directed intercepts, as currently laid down in Article 25. The intelligence services would be permitted to examine the contents of the intercepted communication after Ministerial approval. In this last step, the communication that is considered to be relevant has been filtered with the aim of further, subject-oriented, investigation. In this step, the Ministerial approval must comply with the safeguards related to the largest infringement on citizen rights. The committee therefore considers it to be a safeguard if the intelligence services apply a functional separation [/separation of duty] between those who collect the data (in step 1) and those who process the data for the purpose of use (in step 2). The committee finds it reassuring that an organizational and/or functional separation will exist between an ‘interception unit’ (the Joint Sigint Cyber Unit) and its two clients, the AIVD and MIVD. Both services are ultimately the institutions that determine whether intercepts are relevant, processed into intelligence products and distributed to intelligence consumers.

Original Dutch: “Deel b van de tweede trede (2b) in een herzien stelsel van interceptiebepalingen zou toezien op het daadwerkelijk op subjectniveau gebruiken van verzamelde communicatiegegevens en gerichte interceptie, zoals vastgelegd in het huidige artikel 25. Hierbij zouden de diensten de inhoud van geïntercepteerde communicatie mogen onderzoeken na een nieuwe ministeriële toestemming. In deze laatste stap is het relevant geachte communicatieverkeer gefilterd ten behoeve van verder, op het subject gericht, onderzoek. In deze stap zou een afgegeven ministeriële toestemming moeten voldoen aan de waarborgen die gelden bij de meest vergaande inbreuk op de grondrechten van burgers. De evaluatiecommissie beschouwt het ook als een waarborg als er bij de diensten een functionele scheiding wordt aangebracht tussen diegenen die communicatiegegevens verwerven (in trede 1) en zij die deze gegevens verwerken ten behoeve van het gebruik (in trede 2). De commissie vindt het vertrouwenwekkend dat er straks een organisatorische en/of functionele scheiding is tussen een ‘interceptie-eenheid’ (straks de Joint Sigint Cyber Unit) en twee opdrachtgevers, zijnde de AIVD en de MIVD. Beide diensten zijn uiteindelijk ook de instanties die bepalen of de intercepts relevant zijn, verwerkt worden tot inlichtingenproducten en verspreid worden naar afnemers.”

Related:

• 2013-11-09: Oversight on Dutch SIGINT is still broken (blog)

EOF