In May 2013, the Dutch government proposed legislation — specifically this document (.pdf, in Dutch) — that would grant Dutch law enforcement the power to break into “automated works” (computers, smartphones, etc.), for instance using FinFisher. The Dutch intelligence agencies already have that power since 2002. The Dutch LE agencies do not. But lack of legal authority notwithstanding, some hacking by Dutch police has been seen in practice: for instance to take down Bredolab (2010) and to fight child porn on Tor (2011). This is confirmed by the finding that the Dutch police indeed has currently active FinFisher licenses; and by yesterday’s answers (in Dutch) to Parliamentary questions on this topic (h/t @rejozenger).

The proposed legislation is flawed, as is apparent from the contributions to the public consultation that closed in July 2013, and from this post by Bits of Freedom. The legislation also proposes granting the law enforcement the authority to force suspects of certain crimes (such as terrorism & child porn) to decrypt their data, under penalty of three years imprisonment or a fine of the fourth category (some 20k euro). Prior to the proposal, professor Bert-Jaap Koops was commissioned by the Dutch govt to carry out a study (.pdf, 2012, in Dutch) of infringement on nemo tenetur (the right not to self-incriminate) in other countries. Koops established three possible ways forward; the Dutch govt chose the toughest of the three.

In February 2014, Dutch Data Protection Authority (CBP) published (.pdf) a critical advice that addresses issues concerning necessity and proportionality of the proposed hacking power. The CBP recommends the government to not submit the proposal to Parliament in its current form. The report contains a few considerations that are interesting also to anyone unfamiliar with the proposal or even Dutch law.

Here is my translation of the interesting parts from the CBP’s advice (TL;DR: the proposal is insufficiently substantiated; there are flaws concerning necessity and proportionality):

1.4 Review of necessity, proportionality and subsidiarity

Necessity

With regard to the need to demonstrate necessity, the proposal argues on the basis of the technological developments that existing investigative powers are insufficient and necessitate more power. Although it is argued that law enforcement is in urgent need of this new power, and some scenarios are brought forward that existing powers provide no solace, insufficient concrete evidence is provided that demonstrates an urgent need for society to introduce these infringing measures. The considerations underlying the proposed powers are indeed largely based on a number of concrete scenarios, but those do not in itself sufficiently justify granting new powers. The urgency referred to in Article 8 of the ECHR also requires an independent contemplation and substantiation that transcends casuistry. The necessity (“pressing social need”) for the introduction of this new authority should be established conclusively in objective terms, and is currently insufficiently substantiated. The Dutch Data Protection Agency recommends including the missing considerations. Furthermore, the CBP considers the following.

Insufficient distinction is made between encryption of files and data by suspects, encryption of communication flows in transit, and the fact that people store data elsewhere, in the cloud. This distinction is essential to determine to what extent the power is necessary, and whether no other means exist to achieve the same goal that make a lesser infringement on privacy of those involved. In the Netherlands, all providers of public electronic communication networks and services are required to provide decrypts of communication they themselves encrypt. In case an investigation requires urgent access to data that are managed by foreign providers such as Google, Skype or Facebook, it is insufficiently substantiated that these data would not cooperate with legal requests. The fact that they have or can provide access to the decrypted content of email and files on their servers, or can be asked to cooperate with intercepting the communication of a specific suspect. In case the suspect has encrypted data himself using software such as PGP or TrueCrypt, the investigators could use existing authorities, or use the proposed authority to force the suspect to decrypt the data. The necessity of exercising the power of breaking into computers is insufficiently substantiated, considering the size and severity of the privacy infringement it produces. Considering the use of Tor networks to encrypt communication in transit, it needs to be substantiated why other often-used methods of fighting serious crime are not effective (the requirement of subsidiarity).

When fighting botnets, scenarios are conceivable that command-and-control servers are located abroad, or that their location cannot be determined. In those cases, the existing powers do not suffice, and making the systems inaccessible through remote intrusion of an automated work may offer a solution. Also in case of specific scenarion, for instance an ongoing DDoS attack on a bank or another essential service, it is conceivable that this combination of powers can offer a solution. Also in case of bulletproof hosting providers, other means are insufficient. However, the reasoning that insufficient means are available in the case of bulletproof hosting providers, does not warrant the conclusion that law enforcement needs to have access to all data stored in the cloud.

Proportionality

Concerning proportionality, the proposal ignores the size of the privacy infringement that will result from the introduction of this power. That infringement concerns the large amount and the nature of the personal data on the one hand, and on the other hand the large circle of persons whose right to privacy is infringed upon. The mandatory consideration of whether the severity of the privacy infringement is proportional to the objectives sought is missing in the proposal. According to the proposal, the power to carry out investigation in an automated work can only be used for the objectives mentioned under a to e. The objective under a (establishing the presence of data or determining the identity or location of the automated work or the user) is characterized as non-far-reaching, but once access has been obtained, the result will be far-reaching, and law enforcement has unlimited access to all available digital data. That also holds for the other objectives. After access is obtained through the use of spyware, that access cannot be restricted to the objectives stated in the warrant. This is not only disproportional, but also results in excessive processing of police data (Article 3, second paragraph, Police Data Act).
1.5 Safeguards

Given the extent of the power and the severity of the privacy infringement, the use of the power must have strict safeguards. The proposal provides several safeguards, including a clause that restricts the use of the power to suspects of crimes of a certain severity, the clause that the power can only be used for specific objectives, the mandatory specification of the grounds for the warrant, and the requirement of prior approval from the prosecutor by the magistrate. In addition to these safeguards, the CBP also considers the following safeguards to be essential.

Controls and logging

An important safeguard is the verifiability of the exercise of the power throughout the entire process, from requesting approval to using the power. Article 4, third paragraph of the Police Data Act, requires that adequate technical and organizational measures are taken, requires that a comprehensive auditing system be set up for accountability during the entire process. In addition, knowledge of and insight into the used software is necessary. Quality and reliability, as well as possibly hidden vulnerabilities must be subject of constant evaluation. Besides the “regular” journaling and reporting, logging is important. Considering logging, it is argued that at all times it can be checked what technical actions were taken, such that at a later moment there can be no doubt about the nature and consequences of the actions that have been taken [6].

However, logging can as of yet not always result in showing all relevant actions [7]. It als holds that useful logging requires that the precise way in which the software works must be known, including the source code.

Legal protection; criminal system

This new power is placed in Title IV concerning any special coercive measures. These coercive measures are characterized by a certain knowability of its application to the person involved. The proposed power, on the contrary, is characterized by covert application, and therefore undeniable has the character of a special investigatory power. The special investigatory powers are placed in separate titles in the Code of Criminal Procedure, since the introduction of this system in 2000 by the Special Investigation Powers Act. The basic principle of this law is that investigation powers that carry a large risk to the integrity and verifiability of the investigation, or infringe upon fundamental rights of citizens, require a specific basis in the Code of Criminal Procedure. The interests and fundamental rights at stake require this. The title of general provisions that applies to all special investigatory powers contains specific safeguards that — at least partially — are withheld by the proposed placement in the title of coercive means.

Notification of individuals, oversight and review of effectiveness

Notification afterwards to the individual is, also considering the flawed current practice in which the mandatory notification often does note take place, a scant safeguard for the required accountability of use of the power. Taking into account the implications of the exercise of the power, it is also recommended that the proposal provides a control instrument, that allows direct and effective oversight on the way the power is used, among others through means of a requirement to regularly provide statistics and overviews. In this regards, the inclusion of a sunset clause is indispensable.

We are yet to see what the government will do with this advice. The government submitted its proposal to the Dutch Council of State for (other) advice. After that, it may or may not be submitted to Parliament.

Some related topics: Europol recently published a report that warns of the risks of encryption and anonymity to law enforcement, and Bruce Schneier observed that the crypto wars are back.

EOF

UPDATE 2014-10-16: turns out one of the stories mentioned in Aldrich’s book is a hoax. Thanks to Nick R for pointing me to this comment left at Bruce Schneier’s blog. I removed the story from the below post and apologize for spreading false information.

I’m reading Richard J. Aldrich’s book GCHQ – The Uncensored Story of Britains Most Secret Intelligence Agency (2010). Earlier I quoted a few of Aldrich’s paragraphs that discuss TEMPEST in the 1960s. I’m currently reading Chapter 24 (“The New Age of Ubiquitous Computing”) and think the following two examples by Aldrich of criminal use of computers in the 1990s are interesting to share here.

Aldrich’s first example is of a drug cartel using an IBM AS400 mainframe to analyze phone records to discover informants:

Second and last, Aldrich cites cyber attacks on banks in the City of London by blackmailers:

In 1995 GCHQ also found itself investigating cyber attacks on banks in the City of London. Working with the Department of Trade and Industry and the Bank of England, it began to probe crimes which the banks were extremely anxious to hide. Outwardly, they claimed to be secure, but in fact they had paid out millions of pounds to blackmailers who had gained entry to their systems and threatened to wipe their computer databases. GCHQ was hampered by limited cooperation from the banks, which were reluctant to admit the extent to which they had been damaged, for fear of undermining the confidence of investors. Nevertheless, GCHQ was able to identify forty-six attacks that had taken place over a period of two years, including attacks on three British banks and one American investment house. One of the questions GCHQ was asking was how the blackmailers had gained access to ‘hacking’ technologies that had been developed by military scientists. [Footnote 4: Insight Teilm, ‘Secret DTI Inquiry Into Cyber Terror’, Sunday Times, 09.06.96.]

EOF

Below are a few quotes on sigint from Introduction: The Importance of Signals Intelligence in the Cold War ($) by Matthew M. Aid & Cees Wiebes, published in 2001 in the journal Intelligence and National Security Vol 16 Issue 1 (pages 1-26). The quotes cover the definition, qualities, problems and limitations of sigint.

First, here’s how Aid & Wiebes explain sigint, comint, elint and fisint (consistent with today’s technical definition of sigint on Wikipedia):

WHAT IS SIGNALS INTELLIGENCE?

An US Army publication defines Sigint as intelligence derived from the intercept, analysis, and parametric exploitation of foreign communications and non-communications radio-electronic emissions. An US Marine Corps manual defines Signals Intelligence (Sigint) as ‘intelligence gained by exploiting an adversary’s use of the electromagnetic spectrum with the aim of gaining undetected firsthand intelligence on the adversary’s intentions, dispositions, capabilities, and limitations’.

Sigint is composed of three separate but interrelated intelligence collection techniques: communications intelligence (Comint), electronics intelligence (Elint), and foreign instrumentation signals intelligence (Fisint). Communications Intelligence (Comint) is intelligence information derived from the intercept and processing of voice, Morse code, radioteletype, facsimile, multichannel (or microwave radio relay), and video signals. Comint does not include the interception of unencrypted written communications (mail), the monitoring of foreign public media or propaganda broadcasts, the interception of communications obtained during counterintelligence investigations, or wartime censorship activities.9

For example, during the 1950s and 1960s NSA intercept operators around the world spent most of their time monitoring and transcribing radio traffic concerning the day-to-day routine activities at foreign military bases around the world, such as communications from airfield control towers or ground stations directing aircraft movements, the radio traffic of ground forces manoeuvring in the field, ship-to-ship and ship-to-shore naval radio traffic, foreign military and civilian weather broadcasts, and air-to-ground civilian airline communications.10 During the Cold War, a typical American Comint target was the routine activity at Soviet airfields in East Germany and elsewhere. NSA voice intercept operators monitored the early morning radio checks from the air base, followed by radio traffic among the control tower, the firing range controller, the taxi strip monitor, the bombing range controller, the weather station, the aerial intercept controller, the ground safety crews, and the radar operators. The intercept operators then tracked the routine training flights of the base’s combat aircraft as they practised aerial intercepts or bombing attacks at ranges near the airfield. This required listening to hours of mundane air-to-air and/or air-to-ground radio chatter, which in turn required further hours to transcribe and process every day.

Electronics Intelligence (Elint) is concerned with the interception and analysis of emissions from foreign electronic devices. The most common Elint targets are the wide variety of radar systems used around the world for early warning, missile detection, ground control intercept, missile targeting, fighter target vectoring, and altitude determination. Through Elint, these radar systems can be identified by their function and type, their range and capabilities assessed, and their locations precisely fixed. This intelligence information is principally of interest to the military because, as a recently declassified US Air Force document put it: ‘By counting radars, specifying their precise location, determining their ranges, and evaluating their operational systems, analysts and engineers could develop countermeasures capable of jamming offensive surface-to-air missile radars and other defensive radars. Other Elint targets include navigation aids and radio beacons which provide geographic position information to ships, aircraft and other vehicles; air-to-air and air-to-ground identification signals, such as Identification, Friend or Foe (IFF) transponders, repeaters and interrogators; emissions from countermeasures equipment and radio jamming devices; radiation from missile guidance systems and artillery fuses; and emissions from meteorological devices, diathermy, radio heating, and research and development laboratories and field testing stations working on electronic devices.

[Foreign instrumentation signals intelligence (Fisint)] is defined as the collection and processing of emissions associated with the testing and operational deployment of aerospace, surface, and subsurface systems, which may have either military or civilian application. Fisint includes but is not limited to monitoring telemetry from ballistic missiles as well as manned and unmanned space vehicles, beaconry, electronic interrogators, tracking/fusing/arming/command systems, and video data links which relay data to a ground station concerning performance of space vehicles or weapons systems. As such, Fisint is the Sigint collection discipline primarily associated with the monitoring of foreign weapons research and development activities, including but not limited to ballistic missile testing.

Finally, in the last decade Sigint has become deeply involved with a new kind of electronic communications medium: digital data communications signals, which refers to the transmission of vast amounts of digital data among and between computer systems and networks. A good example of the traffic passing along this medium is electronic bank transfer data. NSA and its English-speaking Sigint partners refer to data traffic by the covername ‘Proforma’.

Concerning intrinsic qualities of sigint, Aid & Wiebes mention the following:

1. The first is that Sigint is a passive intelligence collection technique that generally is conducted without the target’s knowledge. Moreover, Sigint collects information against communications targets that are oftentimes thousands of miles away, thus negating the need for the intercept sites to be near the targets being monitored. This means, generally speaking, that Sigint involves relatively little political or physical risk. […]
2. Second, the objectivity and reliability of Sigint is great, but far from perfect. Former CIA Director Vice Admiral Stansfield Turner wrote in 1991 ‘electronic intercepts may be even more useful [than agents] in discerning intentions. For instance, if a foreign official writes about plans in a message and the United States intercepts it, if he discusses it and we record it with a listening device, those verbatim intercepts are likely to be more reliable than second-hand reports from an agent.’ A retired senior CIA officer opined that Humint can never be free from the biases and perceptions of its sources, that the information is oftentimes deemed tainted because it came from traitors motivated by greed or personal grievances, or that it was obtained by corrupting or seducing vulnerable human beings. But in its raw form, Sigint reproduces exactly what it records in an unvarnished, unbiased and undistorted fashion. […]
3. Third, unlike other sources, some but certainly not all Sigint intercepts can stand on their own without the need for analysis or correlation with other sources, although practitioners of the Sigint craft and ‘all-source’ intelligence analysts screech in dismay whenever this occurs. This led to the practice during the Cold War of the President of the United States and senior White House officials getting each morning a Top Secret intelligence summary from the CIA and an even more highly classified publication called the Black Book, containing the most important decrypts produced by NSA during the previous 24 hours, along with the Agency’s commentary. […]
4. Fourth, because of its reliability and the high-level attention that intelligence derived from Sigint received on both sides of the Iron Curtain, it proved to be (with apologies to U-2 and spy satellite aficionados) the premier source of information for national security officials and foreign policymakers during the Cold War. […]
5. Fifth, Sigint was usually the fastest source of current intelligence information available to consumers. A congressional intelligence committee official said of Sigint that ‘it’s there quickly when needed’.40 Lieutenant General Daniel O. Graham, the former Director of the Defense Intelligence Agency (DIA), was quoted as saying ‘Most collection agencies give us history. The NSA is giving us the present.’ […]
6. Sixth, Sigint produces more intelligence information on a broader range of subjects than any other intelligence source. In 1964 alone, NSA sent out approximately 150,000 finished intelligence reports and translations to its consumers in Washington, or more than 400 Sigint reports a day. […]
7. Seventh, Sigint never sleeps. Agents and their handlers must sleep (we are after all only human!), and darkness or adverse weather could shut down imagery collection systems for weeks at a time. But Sigint collects and produces intelligence 24 hours a day, 365 days a year, regardless of the weather or other environmental conditions.
8. Eighth, Sigint is flexible and more responsive to consumer tasking than most other intelligence sources. A 1998 congressional report stated that ‘much of NSA’s past strength has come from its localised creativity and quick-reaction capability’. You can quickly retarget Sigint, assuming that you possess the appropriate collection platforms and the manpower with the requisite skills to perform the mission. This made Sigint the source of choice during fast moving world crises during the Cold War. […]
9. Ninth, intelligence insiders argue that Sigint’s potential as an intelligence source is greater than all other intelligence collection disciplines. One successful solution of a major foreign cryptographic system can generate more intelligence information in a day than all other sources combined. […]
10. And tenth, relative to all other intelligence disciplines, many intelligence ‘insiders’ consider Sigint to be one of the most cost effective means of gathering intelligence. […]

Concerning problems and limitations of sigint, Aid & Wiebes mention the following:

• Secrecy of Sigint: Historically, because of the need to protect sensitive sources, Sigint intercepts were given extremely limited distribution with the highest levels of government and the military, and even then, only on a need-to-know basis.71 A declassified 1952 US Army memorandum states: ‘It is fully realised that enemy communications are probably the most sensitive of all intelligence sources, and that every precaution must be taken to protect the security of our efforts to exploit them.’72 […]
• Diminished Utility: The ability of consumers to use Sigint was strictly limited because of pervasive security considerations.83 For example, during the Korean War, American Top Secret intelligence reports derived from Comint carried the following caveat emptor: ‘Certain restrictions prohibit the further dissemination of this information either direct or paraphrased. Pertinent order of battle information included herein, that is not confirmed by other sources will be passed to divisions on a “need to know basis” only and will not be included in any routine intelligence reports or summaries.’84 […]
• Failure to believe Sigint: Cold War history is replete with many examples of government officials, military commanders, and intelligence analysts who chose not to believe the Sigint they received. In part, this was because the reader did not understand the information they received, or trust the reliability of the Sigint source. More often then not, the Sigint was misused or ignored because it did not fit some preconceived notion already held by the reader. […]
• Over-Reliance on Sigint. There are numerous examples of intelligence officials and military commanders placing undue reliance on Sigint to the exclusion of other sources of intelligence information. […]
• Sigint Snobbery. As the importance of Sigint grew during the years after World War II, followed by the introduction of spy satellites in the 1960s, the value of Humint was rapidly marginalised within the American and British intelligence communities.96 This led to a pervasive sense of snobbery and self-infatuation by the denizens of the Sigint community in the West. Intelligence insiders referred to this elitism as the ‘Green Door’ syndrome. This led Humint partisans to complain that greater credence was almost always given to Sigint over Humint.97 […]
• The Fragmentary Nature of Sigint: Sigint usually will provide hundreds if not thousands of pieces of a complex puzzle, but rarely will it yield the entire puzzle. Much of the information obtained by Sigint is fragmentary and indirect, requiring that analysts patiently sift through hundreds or thousands of intercepts in order to piece together the pieces of a puzzle. Even then, the puzzle more often than not remains largely incomplete, as in the case of the much-touted Venona decrypts. The fragmentary nature of most decrypts make them extremely difficult to understand, much less use.100 […]
• Sigint Does Not Provide All the Answers. Generally, Sigint cannot measure a nation’s political will or morale, or detail the innermost workings of foreign governments. […]
• Lack of Timeliness: Although Sigint insiders pride themselves on being fast, sometimes they are not fast enough because of the time and effort required to process, analyse and report to consumers the results of Sigint collection.104 […]
• Too Much Information: Experience during the Cold War showed that NSA often did drown intelligence analysts in a sea of paper, such as during the 1968 Czech crisis and before the 1973 Middle East War. […]
• Lack of Sigint: In some instances during the Cold War, good operational and communications security by the Soviet Union and its allies ‘blacked out’ Sigint, although these instances were fewer than previously believed. For example, in 1959 the Algerian National Liberation Front (FLN), which was fighting for the independence of Algeria from France, changed all of its codes, making them impossible for the French Comint service to decrypt.109
• Deniability: Access to Sigint data can be denied by the use of encryption and other secure forms of communications, such as landline telephone and telegraph circuits, or more recently fibre-optic cables.110 For example, NSA lost much of its access to high-level Soviet communications traffic in the late 1940s and early 1950s when the Russian military shifted much of its high-level communications traffic to landlines.111 Recently introduced complex communications technologies, such as frequency hopping radio systems, have made the job of the Sigint intercept operator far more difficult then in the past.112 In recent years, Pakistani-backed guerrillas operating in the Indian state of Kashmir, calling themselves the Hizbul Mujahideen, have begun using frequency-hopping radios, burst transmission technology, citizen-band radios, satellite telephones, even sophisticated encryption technology, which has made it increasingly difficult for the Indian government’s Sigint services to monitor their communications traffic.113
• Fragility of the Source: Because it is dependent on extremely fragile and sensitive sources and methods, Sigint is particularly vulnerable to damage caused by treason, defections, news leaks, or poorly considered public statements by government officials.114 […]
• Communications Deception: Sigint is vulnerable to communications deception, although this is a very difficult and dangerous game to play.120 For example, the KGB decided not to play communications deception games with the Berlin Tunnel in order to protect their source inside MI6, George Blake.
• Lack of a Co-ordinated Sigint Effort: Competing bureaucracies were the bane of the American and Soviet Sigint efforts during the Cold War, resulting in massive duplication of effort and wasted resources. […]
• Technical Issues: Sigint’s ability to perform effectively is subject to the vagaries of atmospheric conditions and solar flare activities. For example, in the mid-1950s, the Canadian intercept site at Churchill in Manitoba was forced to shut down its operations for days at a time because atmospheric anomalies, which are common in the northern climes, prevented the station’s operators from hearing any high-frequency signals.129 Terrain is also a significant limiting factor. For example, Sigint intercept operators have historically experienced great difficulty copying radio signals emanating from urban areas, densely wooded terrain or in mountainous regions.130 Finally, radio interference coming from major urban areas or industrial activities in the vicinity of the listening post can wreak havoc with radio intercept operations.131 For example, the Canadian listening post at Inuvik in northern Canada had to be closed in April 1970 because radio interference from nearby oil exploration activity significantly affected the station’s ability to monitor HF radio signals coming from the Soviet Union.13

And a last note I’d like to keep here:

A 1973 memorandum to the Dutch Prime Minister described that nation’s Sigint organisation as ‘[T]he most valuable asset we have to collect an intelligence product that is valuable to all interested parties.’

EOF

Historic tidbit on Dutch sigint in the 1980s, from Richard Aldrich’s book GCHQ – The uncensored story Britain’s most secret intelligence agency (2010):

The idea of GCHQ teaming up with the Europeans was not a bad one. European sigint services such as those of the Norwegians, the Germans and the Dutch were highly professional, and had made many important contributions to Western intelligence down the years, not least during the Falklands War. They often displayed brilliant lateral thinking. When Soviet naval ships entered Dutch harbours in the 1980s, their hosts would often complain that the Soviet radar was interfering with local television broadcasts and insist on a snap technical inspection. The crafty Dutch used this opportunity to plant a small tracking device high up on the Soviet ships that was no more than the size of a brick. This tracking device was so successful that it became a standard technique across the Western secret services. Typically, a small group of British SBS personnel worked with SIS and GCHQ on similar tasks in the 1990s. [Footnote 17: Tomlinson, The Big Breach, p.77]

EOF

UPDATE 2015-07-02: the Dutch government released an intelligence bill into public consultation. Details here.

UPDATE 2014-10-07: the votes are in: all motions were adopted by the Senate, except the motion filed by senator Strik (GroenLinks). It’ll be interesting to see how the Dutch govt will respond to the Senate’s requests for an investigation on the independence and reliability of standardization bodies such as the IETF (perhaps due to the discussion on Kevin Igoe, associated with NSA, being co-chair of IETF’s Crypto Forum Research Group), NIST (of DUAL_EC fame) and the GSM Association.

On Tuesday September 23rd, the Dutch Senate discussed topics concerning privacy and intelligence & security services. The full transcripts are here (part 1; in Dutch) and here (part 2; in Dutch). The following motions were filed, and will be voted on during the plenary meeting of Tuesday October 7th (h/t @AndreasUdo):

• [ADOPTED] Senator Franken (CDA) filed a motion (.pdf, in Dutch) requesting the government to abstain from extending interception powers in a way that would permit “unconditional, indiscriminate and large-scale” surveillance of cable communications. Note that Dutch intelligence & security services are currently permitted to carry out bulk interception/search only of non-cablebound communications, such as HF radio and satellite. Oversight on the exercise on that power is currently broken. Nonetheless, the government is currently dreaming up a bill that may extend this power to include cable communications. Think of GCHQ’s Tempora and NSA’s DANCINGOASIS, but on way smaller budget and in a different intelligence culture.
• [ADOPTED] Senator De Vries (Labour Party) filed a motion (.pdf, in Dutch) requesting the government to investigate the independence and reliability of bodies that standardize security protocols, mentioning IETF, NIST, GSM Association as examples. Think of the DUAL_EC controversy here.
• [ADOPTED] Senator De Vries (Labour Party) filed a motion (.pdf, in Dutch) requesting the government to create safeguards concerning the decision-making on the disclosure or non-disclosure of vulnerabilities found by the Dutch intelligence & security services (think of the JSCU). The senator states that the decision to disclose or not disclose a vulnerability cannot be made by the services themselves, because the interest of all internet users has to be taken into account; thus implying that the services cannot be relied upon to take the interest of all internet users sufficiently into account.

In addition, the following motions were filed:

• [ADOPTED] Senator Franken (CDA) filed a motion (.pdf, in Dutch) requesting the government to ensure that the current and future legal framework and oversight mechanisms are compliant to the European Convention on Human Rights (ECHR) and EU legislation concerning data protection. In that same motion, the senator requested to government to protect citizens against observation by Dutch or foreign services in a way that violates the ECHR and to guarantee that the rule of law is not weakened as a result of extraterritorial use of a foreign law. N0 specific examples are mentioned, but one EO 12333 and FISA come to mind.
• [WITHDRAWN] Senator Strik (GroenLinks) filed a motion (.pdf) requesting the government to “investigate the usefulness and necessity of independent oversight on government institutions that are not covered by the Dutch Review Committee on the Intelligence and Security Services (CTIVD), but that do carry out similar tasks that involve infringement on the right to privacy”.
• [ADOPTED] Senator Gerkens (Socialist Party) filed a motion (.pdf, in Dutch) requesting the government to commission the Rathenau Institute to investigate the desirability of a committee that can advise on the ethical aspects of digitization; considering the Internet of Things, that will connect “everything and everyone”, will bring opportunities but also threats; considering that the effects of this digital development on society will be not only technological, but also societal, social-legal and social-psychological.

EOF

Dutch news site Nu.nl reports (Sep 22, in Dutch) that Dutch journalists and ‘publicists’ will get the legal right to source protection. Here’s a translation of that report (and below that, links to the documents, which are in Dutch):

Related:

• 2014-09-22: Wetsvoorstel met Toelichting nader rapport inzake bronbescherming in strafzaken (Rijksoverheid, in Dutch)
  2014-09-22: Advies Raad van State inzake bronbescherming in strafzaken (Rijksoverheid, in Dutch)
  2014-09-22: Advies OM inzake bronbescherming in strafzaken (Rijksoverheid, in Dutch)
• 2014-09-22: Nader rapport inzake Voorstel van wet tot wijziging van het Wetboek van Strafvordering bronscherming in strafzaken (Rijksoverheid, in Dutch)

EOF

Na de bomaanslagen van 2004 in Madrid diende het kabinet een voorstel tot wijziging van de Wiv2002 in. Dat voorstel werd uiteindelijk ingetrokken na kritiek van het CBP (.pdf, 2007; kabinetsreactie) en de Eerste Kamer. Voor eigen doeleinden geef ik hieronder een overzicht van de belangrijkste onderdelen uit dat voorstel, de standpunten van het CBP en de standpunten van het kabinet.

Nota bene: voor zover mij bekend is er geen aanleiding om te verwachten dat elementen uit het ingetrokken voorstel zullen terugkeren in het Wiv-wijzigingsvoorstel dat het kabinet binnenkort (?) indient. De cie-Dessens heeft geen aanbevelingen gedaan die een herhaling zijn van elementen uit het post-Madrid voorstel.

Artikel 12 Wiv2002 geeft de AIVD de bevoegdheid om überhaupt gegevens te verwerken. In het post-Madrid voorstel werd Artikel 12a ingevoegd, dat expliciet een bevoegdheid geeft tot data-analyse (vergelijken, zoeken naar profielen, zoeken naar patronen) met geautomatiseerde gegevensbestanden:

Artikel 12a

1. Tot de bevoegdheid, bedoeld in artikel 12, eerste lid, behoort tevens de bevoegdheid van de diensten tot het uitvoeren van geautomatiseerde data-analyse met betrekking tot
   1. gegevens uit eigen geautomatiseerde gegevensbestanden,
   2. gegevens uit voor een ieder toegankelijke informatiebronnen,
   3. gegevens uit geautomatiseerde gegevensbestanden waartoe de diensten rechtstreeks toegang hebben, en
   4. gegevens uit daartoe door derden verstrekte geautomatiseerde gegevensbestanden of delen van geautomatiseerde gegevensbestanden.
2. Ten behoeve van de verwerking, bedoeld in het eerste lid, kunnen de gegevens in ieder geval:
   1. op geautomatiseerde wijze onderling met elkaar worden vergeleken dan wel in combinatie met elkaar worden vergeleken,
   2. worden doorzocht aan de hand van profielen, en
   3. worden vergeleken met het oog op het opsporen van bepaalde patronen.
3. Gegevens afkomstig uit geautomatiseerde gegevensbestanden van derden als bedoeld in het eerste lid, onderdeel d, die uitsluitend zijn verstrekt ten behoeve van een verwerking als bedoeld in het tweede lid, onder b of c, en na die verwerking niet meer relevant zijn voor het desbetreffende onderzoek van een dienst, worden vernietigd. Van de vernietiging wordt een verslag opgemaakt.

De AIVD mag dit al op basis van de Wiv2002: de explicitering door het voorgestelde Artikel 12a is dan ook primair “gelegen in de wens tot vergroting van de kenbaarheid en voorzienbaarheid van deze specifieke vormen van gegevensverwerking“, aldus voornoemde kabinetsreactie.

Artikel 13 Wiv2002 beperkt de gegevensverwerking tot, heel kort door de bocht, targets. In het voorstel werd deze beperking opgeheven:

Aan artikel 13 wordt een nieuw lid toegevoegd, luidende:

5. De verwerking van persoonsgegevens door de diensten in het kader van de toepassing van de bevoegdheid, bedoeld in de artikelen 12a, tweede lid, en 29b kan ook betrekking hebben op andere personen dan bedoeld in het eerste en tweede lid.

Artikel 17 Wiv2002 geeft de AIVD de bevoegdheid een verzoek om vrijwillige verstrekking van gegevens in te dienen bij bestuursorganen en willekeurige derden. Het voorstel breidde dit artikel uit met de bepaling dat ook zo’n verzoek kan worden voldaan door “het verlenen van rechtstreekse geautomatiseerde toegang”:

In artikel 17 wordt onder vernummering van het derde lid tot vierde lid een nieuw lid ingevoegd, luidende:

3. Aan een verzoek als bedoeld in het eerste lid kan worden voldaan door het verlenen van rechtstreekse geautomatiseerde toegang aan de dienst tot de desbetreffende gegevens dan wel door het verstrekken van geautomatiseerde gegevensbestanden of delen van geautomatiseerde gegevensbestanden.

Ook zou Artikel 17a worden ingevoegd, dat de AIVD de bevoegdheid zou hebben gegeven tot het vorderen van gegevens bij per AMvB aan te wijzen bestuursorganen:

Artikel 17a

1. Bij algemene maatregel van bestuur op voordracht van Onze betrokken Ministers, gedaan in overeenstemming met Onze Minister wie het mede aangaat, kunnen bestuursorganen worden aangewezen, die verplicht zijn om desgevraagd gegevens te verstrekken aan een dienst ter uitvoering van de taak van de desbetreffende dienst, dan wel ter ondersteuning van een goede taakuitvoering.
2. In de algemene maatregel van bestuur, bedoeld in het eerste lid, wordt in ieder geval bepaald:
   1. op welke door het bestuursorgaan, dan wel een onderdeel daarvan, verwerkte gegevens de verplichting betrekking heeft;
   2. de termijn waarbinnen de gegevens dienen te worden verstrekt;
   3. de wijze waarop de gegevensverstrekking dient plaats te vinden.
3. Onder de wijze van verstrekking als bedoeld in het tweede lid, onderdeel c, wordt tevens de mogelijkheid begrepen tot het verlenen van rechtstreekse geautomatiseerde toegang tot de desbetreffende gegevens. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de ter zake door het bestuursorgaan te treffen technische en organisatorische maatregelen.
4. De verstrekking van gegevens ingevolge dit artikel geschiedt kosteloos, voor zover bij de algemene maatregel van bestuur, bedoeld in het tweede lid, niet anders is bepaald.
5. Op de verstrekking van gegevens als bedoeld in dit artikel is artikel 17, vierde lid, van overeenkomstige toepassing.
6. De voordracht voor een krachtens het eerste lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.

Daarover stelde het CBP:

Het principe van kenbaarheid is met het voornemen bij AMvB nadere invulling te geven aan het wetsvoorstel in dit geval geenszins gediend. Het betekent immers niet alleen onduidelijkheid voor de sectoren die het betreft, maar ook voor de burger, terwijl de Minister aanzienlijke speelruimte heeft om invulling te geven aan deze categorieën. Bovendien schuilt hierin het risico dat de drempel de categorieën uit te breiden, lager ligt dan indien deze zouden zijn neergelegd in het wetsvoorstel zelf.

Nut en noodzaak van de voorhanden zijnde gegevens voor een goede taakuitvoering van de diensten dienen bij de aan te wijzen categorieën aanwezig te zijn. Nu de noodzaak van de voorgestelde maatregelen zelf onvoldoende is onderbouwd, geeft de stelling dat nut en noodzaak van de bij de aan te wijzen categorieën dienstverleners voorhanden zijnde gegevens bepalend dient te zijn, weinig vertrouwen.

Ook merkte het CBP op dat Artikel 17a niet is omkleed met de waarborgen die wel van toepassing op bijzondere bevoegdheden:

Ten aanzien van de bijzondere bevoegdheden, waar de artikelen 28 Wiv 2002 e.v. onder vallen, bestaat een wettelijk verankerd toetsingskader (artikel 31 Wiv 2002), de verplichting een verslag te maken van de uitoefening van een bijzondere bevoegdheid (artikel 33 Wiv 2002) en een onafhankelijke toezichthouder, de CTIVD. Behalve het toezicht door de CTIVD, zijn de andere twee waarborgen niet van toepassing op de verruiming van de verstrekking door bestuursorganen (artikel 17a in het wetsvoorstel).

Artikel 29 Wiv2002 regelt de bevoegdheid tot het vorderen van abonneegegevens bij aanbieders van openbare elektronische telecommunicatiediensten en -netwerken. In het voorstel werden hierna Artikel 29a en Artikel 29b ingevoegd, die de AIVD de bevoegdheid zouden hebben gegeven ook bij financiële bedrijven en vervoersbedrijven gegevens te vorderen:

Artikel 29a

1. De diensten zijn bevoegd zich te wenden tot een persoon of instantie behorende tot de bij algemene maatregel van bestuur, op voordracht van Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties en Onze Minister van Defensie gezamenlijk, na overleg met Onze Minister die het aangaat, aangewezen categorieën van personen en instanties, die:
   1. beroeps- of bedrijfsmatige financiële diensten verlenen, of
   2. beroeps- of bedrijfsmatig werkzaam zijn als vervoerder, met het verzoek gegevens te verstrekken met betrekking tot een in het verzoek aangegeven gebruiker van de door hen verleende diensten.
2. Onder een gebruiker wordt in dit artikel verstaan: de natuurlijke persoon of rechtspersoon die met een persoon of instantie als bedoeld in het eerste lid een overeenkomst is aangegaan met betrekking tot de levering of het gebruik van de door hen te verlenen diensten of die feitelijk gebruik maakt van die diensten.
3. Voor de uitoefening van de bevoegdheid, bedoeld in het eerste lid, is geen toestemming vereist als bedoeld in artikel 19.
4. De persoon of instantie aan wie een verzoek om gegevensverstrekking als bedoeld in het eerste lid is gericht, is verplicht aan het verzoek te voldoen.
5. Bij de algemene maatregel van bestuur, bedoeld in het eerste lid, wordt in ieder geval tevens bepaald:
   1. op welke soorten gegevens de verplichting betrekking heeft;
   2. de termijn waarbinnen de gegevens dienen te worden verstrekt;
   3. de wijze waarop de gegevensverstrekking dient plaats te vinden;
   4. de vergoeding van kosten.
6. Een verzoek wordt schriftelijk gedaan door het hoofd van de desbetreffende dienst en bevat:
   1. gegevens waarmee de gebruiker kan worden geïdentificeerd;
   2. een omschrijving van de gegevens die verstrekt dienen te worden;
   3. de periode waarover de gegevens verstrekt dienen te worden.
7. Op de verstrekking van gegevens ingevolge een verzoek als bedoeld in het eerste lid is artikel 17, vierde lid, van overeenkomstige toepassing.
8. De voordracht voor een krachtens het eerste lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.

Artikel 29b

1. De diensten zijn bevoegd om ten behoeve van de uitoefening van de bevoegdheid, bedoeld in artikel 12a, tweede lid, onder b of c, zich te wenden tot:
   1. een bestuursorgaan als bedoeld in artikel 17a, eerste lid,
   2. een aanbieder van communicatiediensten als bedoeld in artikel 28, eerste lid, en
   3. een persoon of instantie die behoort tot een ingevolge artikel 29a, eerste lid, aangewezen categorie van personen of instanties, met het schriftelijke verzoek tot verstrekking van een in dat verzoek omschreven geautomatiseerd gegevensbestand of delen van een geautomatiseerd gegevensbestand.
2. De in het eerste lid bedoelde bevoegdheid mag slechts worden uitgeoefend, indien door Onze betrokken Minister daarvoor op een daartoe strekkend verzoek toestemming is verleend aan het hoofd van de dienst.
3. Het verzoek tot het verlenen van toestemming als bedoeld in het tweede lid bevat ten minste:
   1. een nauwkeurige aanduiding van degene tot wie het verzoek om verstrekking van geautomatiseerde gegevensbestanden zich richt;
   2. een nauwkeurige omschrijving van het geautomatiseerde gegevensbestand dan wel deel van het geautomatiseerde gegevensbestand waarvan de verstrekking wordt verlangd met dien verstande dat deze geen andere soorten gegevens kunnen bevatten dan waartoe het desbetreffende bestuursorgaan, de aanbieder van communicatiediensten, of de persoon of instantie op grond van bepalingen van deze wet reeds verplicht zijn tot verstrekking;
   3. de reden waarom de uitoefening van de bevoegdheid wordt verlangd.
4. Degene aan wie een verzoek om gegevensverstrekking als bedoeld in het eerste lid is gericht, is verplicht aan het verzoek te voldoen.
5. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot in ieder geval:
   1. de termijn waarbinnen de verstrekking van het geautomatiseerde gegevensbestand dient plaats te vinden;
   2. de vergoeding van de kosten, met dien verstande dat op de verstrekking van gegevens door bestuursorganen als bedoeld in het eerste lid, onder a, artikel 17a, vierde lid, van overeenkomstige toepassing is.
6. Op de verstrekking van gegevens ingevolge een verzoek als bedoeld in het eerste lid is artikel 17, vierde lid, van overeenkomstige toepassing.
7. De voordracht voor een krachtens het vijfde lid vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.

Over data-analyse op basis van gevorderde persoonsgegevens stelde het CBP:

Bedrijven en instellingen, zowel in de publieke als in de private sector, hebben de neiging om steeds meer persoonsgegevens te verzamelen, te gebruiken en uit te wisselen. Daarnaast worden ook wettelijke verplichtingen geschapen om gegevens gedurende een bepaalde periode te bewaren. Het wetsvoorstel schept de mogelijkheid voor de diensten om rechtstreekse geautomatiseerde toegang te verkrijgen tot de gegevens die bij de aangezochte persoon of instantie berusten: hiermee wordt een on line- en real time verbinding bedoeld, waarbij zonder menselijke tussenkomst gegevens verstrekt kunnen worden. Op deze wijze kan een grote hoeveelheid gegevens vergaard worden uit externe databases, mede ten behoeve van data- analyse. Deze combinatie leidt tot consequenties die niet of niet voldoende lijken te zijn onderkend.

De eerste consequentie die het CBP voorzag:

In de eerste plaats heeft deze combinatie tot gevolg dat de diensten steeds meer gegevens zullen moeten analyseren om de eenvoudige reden dat steeds meer gegevens beschikbaar zijn; zoeken naar een speld in een hooiberg. Het is niet aannemelijk dat de effectiviteit van het doorzoeken van informatie hiermee gediend is. Gewaarschuwd dient dan ook te worden voor de hooggespannen verwachtingen van technologische toepassingen en de verplichting die op verantwoordelijken kan worden gelegd. (…)

De kabinetsreactie hierop:

Op dit punt lijkt het CBP impliciet uit te gaan van de veronderstelling dat de diensten geen of onvoldoende ervaring hebben met het uitvoeren van data-analyses op grote hoeveelheden gegevens en dat het wetsvoorstel ertoe dient om het mogelijk te maken grotere hoeveelheden gegevens binnen te halen. Geen van deze veronderstellingen is juist. De diensten hebben al geruime tijd ervaring met data-analyses op grote hoeveelheden gegevens die worden verstrekt op basis van de huidige wet. Zoals in de memorie van toelichting vermeld en ook hiervoor gememoreerd beschikken de diensten op grond van de huidige wet over de mogelijkheid data-analyses uit te voeren, maar heeft de regering ervoor gekozen deze mogelijkheid thans ook expliciet in de wet op te nemen teneinde zodoende de kenbaarheid te vergroten en de toepassing ervan op onderdelen met extra waarborgen te omgeven.

Hiervoor heb ik er voorts al op gewezen dat de verplichting tot gegevensverstrekking die het wetsvoorstel introduceert niet zozeer ingegeven is door de wens over meer gegevens en bestanden te beschikken als wel om de nadelen van vrijwillige gegevensverstrekking te ontlopen. Er is dan ook geen sprake van de hooggespannen verwachtingen waar het CBP voor waarschuwt, maar van een reële inschatting van mogelijkheden tot verbetering gebaseerd op de huidige ervaringen. Het lijkt mij goed om op deze plaats aan de hand van enkele voorbeelden inzicht te geven in het belang van geautomatiseerde data-analyse voor een goede taakuitvoering.

Op aanbeveling van de Commissie-Oord (veiligheid burgerluchtvaart) en na wijziging daartoe van de Wet veiligheidsonderzoeken is thans de zogeheten dynamisering van het veiligheidsonderzoek mogelijk gemaakt. Zoals bekend dienen personen die werken op het beveiligde gebied van Schiphol een veiligheidsonderzoek te ondergaan, waarbij onder meer wordt gekeken naar de justitiële antecedenten van de persoon door raadpleging van het Justitieel Documentatiesysteem (JDS). De dynamisering maakt het mogelijk om periodiek (bijvoorbeeld een keer per maand) de justitiële gegevens (en de politiegegevens) van de in het beveiligde gebied werkzame personen te checken. Dit betekent dat er dus periodiek vele tienduizenden personen dienen te worden nageslagen in de desbetreffende bestanden van politie en justitie. Dat kan alleen nog maar door toepassing van geautomatiseerde data-analyse. Aan de hand van de in de Beleidsregel veiligheidsonderzoeken voor de burgerluchthaven expliciet genoemde strafbare feiten worden daartoe criteria aangewezen. Via een daartoe te ontwikkelen data-mining applicatie wordt aan de kant van de AIVD een geautomatiseerd selectiemechanisme toegepast waardoor alleen die personen worden uitgeselecteerd die voldoen aan de vooraf gestelde criteria. De aldus geselecteerde personen worden vervolgens aan een nader onderzoek onderworpen ter beantwoording van de vraag of de feiten en omstandigheden inderdaad zodanig zijn, dat tot intrekking van de verklaring van geen bezwaar, en daarmee van de toegangspas tot het beveiligde gebied, dient te worden overgegaan. De resultaten van geautomatiseerde data-analyse leiden dus nimmer automatisch tot conclusies, maar vormen het startpunt voor verder onderzoek.

Een ander voorbeeld betreft de voorlegging van visumaanvragen. De AIVD krijgt van het ministerie van Buitenlandse Zaken jaarlijks ongeveer 21 000 visumaanvragen voorgelegd. Dit zijn visumaanvragen van de landen op de 5A-lijst, een bijlage bij de Gemeenschappelijke Visuminstructies van de Beneluxlanden. Als over een aanvrager bij de dienst informatie aanwezig is die relevant is voor de beslissing over de aanvraag, dan brengt de dienst daarover een ambtsbericht uit aan het ministerie van Buitenlandse Zaken. Dit dient binnen vijf werkdagen te gebeuren. Het zal duidelijk zijn dat de zoekslag die noodzakelijk is voor het binnen zo korte termijn beschikbaar krijgen van de mogelijk voor de aanvraag relevante informatie alleen mogelijk is door het toepassen van geautomatiseerde data-analyse. Hierbij is het mogelijk dat de dienst de gegevens die verstrekt worden ten behoeve van deze visumaanvragen doorzoekt aan de hand van profielen. Ter illustratie kan genoemd worden het profiel van personen afkomstig uit een risicogebied, binnen een bepaalde leeftijdscategorie en met een technische achtergrond. Dat betekent uiteraard geenszins dat personen die voldoen aan een dergelijk profiel automatisch niet meer in aanmerking kunnen komen voor een visum. De uitkomst van het profielonderzoek zal slechts de basis vormen voor verder onderzoek naar de achtergrond en mogelijke beweegredenen van die groep personen om een visum voor Nederland aan te vragen.

De tweede consequentie die het CBP voorzag:

In de tweede plaats is niet gegarandeerd dat de kwaliteit van de gegevens die worden binnengehaald, van dien aard is dat daaruit, op zichzelf of in samenhang met andere gegevens bezien, conclusies kunnen worden getrokken die overeenkomen met de werkelijkheid. Hierin schuilt een groot risico voor de burger. Gegevens kunnen immers in een andere context dan waarin zij verzameld zijn of bewaard worden, een volstrekt onjuist beeld geven van die burger of groep burgers. Het risico op valse positieve en valse negatieve uitkomsten is aanzienlijk. Dit is schadelijk voor die betreffende burger(s), maar ook schadelijk voor de samenleving als geheel omdat hierdoor het vertrouwen van de burgers in de overheid wordt aangetast. De vraag is dan ook, gelet op die mogelijke onwenselijke gevolgen, of het middel data-analyse reeds voldoende is ontwikkeld voor gebruik in het veiligheidsdomein.

De kabinetsreactie hierop:

Ik ben het met het CBP eens dat aan data-analyse als zodanig, en zeker aan het gebruik van profielen, het risico is verbonden dat het teveel valse treffers oplevert. Dat zou kunnen inhouden dat personen onterecht als target kunnen worden aangemerkt. Bij de data-analyse door de diensten is het echter nooit de computer die bepaalt of iemand een target is. De resultaten die worden verkregen door de data-analyse zijn namelijk niet definitief, maar worden gebruikt ter advisering of ondersteuning van verder onderzoek. Na het uitvoeren van data-analyse zal altijd verder onderzoek plaatsvinden, waarbij de uitkomsten van de data-analyse verder worden vergeleken met aanvullende informatie. In alle gevallen is er sprake van een menselijke beoordeling alvorens de uitkomsten van data-analyse verder worden gebruikt.

De derde consequentie die het CBP voorzag:

Data-analyse bergt in de derde plaats ook het risico van zogenaamde function creep in zich: enerzijds worden technologieën die aanvankelijk gericht waren op een bepaalde doelgroep, in casu degenen die een gevaar vormden voor de nationale veiligheid, gaandeweg toegepast op (bijna) iedereen, terwijl anderzijds verzamelde gegevens voor een bepaald doel ten behoeve van een ander doel verstrekt en verwerkt worden. In het wetsvoorstel wordt geëxpliciteerd dat data- analyse een ieder kan betreffen (artikel 13, vijfde lid in het wetsvoorstel). Binnen de Artikel 29- werkgroep is in het kader van de Richtlijn Dataretentie (2006/24/EG) het standpunt ingenomen dat de mogelijkheid van datamining op de communicatie- en bewegingspatronen van onverdachte personen zou moeten worden uitgesloten. Het CBP heeft in het kader van de begrenzing van de toegang tot bewaarde gegevens eveneens op dit standpunt gewezen in zijn advies op het Wetsontwerp implementatie Europese Richtlijn Dataretentie d.d. 22 januari 2007. Wat betreft function creep in het kader van doelbinding dient opgemerkt te worden dat met name overheidsinstanties over gegevens van burgers kunnen beschikken op grond van een wettelijke verplichting tot het uitoefenen van een specifieke overheidstaak. In het doelgebonden gebruik zijn de nodige waarborgen voor die burger gelegen, die door het gebruik van data-analyse teniet worden gedaan.

Kabinetsreactie hierop:

Hoewel ik met het College het gevaar van function creep vermag in te zien, ben ik van mening dat de activiteiten van de inlichtingen- en veiligheidsdiensten met zoveel wettelijke waarborgen, waaronder onafhankelijk toezicht op de rechtmatigheid, zijn omgeven, dat dit gevaar nu juist in dit geval een uiterst hypothetisch karakter heeft. Zo dient, zoals ik al eerder heb aangegeven, alle gegevensverwerking door de diensten, dus ook de data-analyse, te voldoen aan de eisen die zijn neergelegd in artikel 12 van de WIV 2002. Dat betekent dat gegevensverwerking slechts plaats vindt voor een bepaald doel, noodzakelijk voor een goede uitvoering van de WIV 2002 of de Wet veiligheidsonderzoeken (WVO), in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze. De gegevens die worden geanalyseerd zijn onderzocht op hun betrouwbaarheid en eventueel voorzien van bronvermelding.

Het is echter onvermijdelijk dat bij het verzamelen en doorzoeken van externe gegevensbestanden ten dienste van de goede taakuitvoering van de inlichtingen- en veiligheidsdiensten, ook gegevensverwerking plaats vindt met betrekking tot personen waarop het onderzoek van de dienst zich niet richt. Onder meer onder toepassing van data-analysetechnieken kunnen deze personen er uit worden gefilterd, zodat alleen die personen resteren waarvoor de dienst belangstelling heeft. Wat vroeger handmatig gebeurde kan nu – gelukkig – op geautomatiseerde wijze. Niettemin worden met betrekking tot deze onverdachte personen ook hun gegevens verwerkt overeenkomstig de definitie die in artikel 1. onderdeel f, WIV 2002 van gegevensverwerking wordt gegeven: elke handeling of elk geheel van handelingen met betrekking tot gegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. Tot nog toe wordt de grondslag voor deze verwerking gevonden in artikel 13, eerste lid, onderdeel e, WIV 2002 (personen wier gegevens noodzakelijk zijn ter ondersteuning van een goede taakuitvoering door de dienst). Nu in het wetsvoorstel wordt voorgesteld een expliciete wettelijke basis te geven aan de geautomatiseerde data-analyse door de diensten, wordt ook voorzien in een aanvulling van artikel 13 die buiten twijfel stelt in het kader van die data-analyse ook persoonsgegevens van onverdachte personen verwerkt kunnen worden. Daartoe is artikel 13, vijfde lid, in het wetsvoorstel opgenomen.

Tot slot enkele passages vanuit het veiligheidsperspectief, eveneens uit de kabinetsreactie:

Zoals reeds in de memorie van toelichting uiteengezet hebben de aanslagen in New York, Madrid en Londen, maar ook na enkele voorvallen in Nederland zelf, onmiskenbaar aan het licht gebracht dat de mogelijkheden tot het tijdig onderkennen van terroristische dreigingen en het waar mogelijk voorkomen van op handen zijnde terroristische aanslagen dienen te worden vergroot. De nu voorgestelde wijzigingen van de WIV 2002 passen binnen het samenhangend geheel van maatregelen en beleid ter verdere intensivering van de terrorismebestrijding dat door het vorige kabinet is ingezet (zie Kamerstukken II 2003/04, 27 925, nr. 123) en behoren tot de noodzakelijk te treffen maatregelen. De voorstellen tot wijziging van de WIV 2002 zijn aangekondigd in de brief van mijn ambtsvoorganger van 15 juli 2004 aan de Voorzitter van de Tweede Kamer der Staten-Generaal (Kamerstukken II, 2003/04, 29 200 VII, nr. 61). De voorstellen dragen bij aan de mogelijkheden van de diensten tot het handhaven en verbeteren van de eerder genoemde informatiepositie en tot het op efficiëntere en effectievere wijze verwerken van gegevens. Uiteraard slechts met het oog op het hoofddoel van de diensten: het afwenden van dreigingen voor de nationale veiligheid.

Het afwenden van dreigingen vindt zijn startpunt uiteraard in het verrichten van onderzoek naar organisaties en personen welke aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de nationale veiligheid. De diensten richten zich bij dit onderzoek met name op het in kaart brengen van de volgende aspecten van het gedrag van die personen en organisaties: identificatie, verplaatsing, communicatie en financiën. Zonder om begrijpelijke redenen in te kunnen gaan op concrete voorbeelden, kan als illustratie dienen de situatie dat de diensten over informatie beschikken dat een groep personen het idee heeft opgevat om ergens in Nederland om ideologische redenen een aanslag te plegen. In deze situatie is het uiteraard zaak voor de diensten om helderheid te krijgen over de omvang van deze groep, de personen die deel uitmaken van de groep, het potentiële doelwit en de beoogde datum van de aanslag etc. Om hier volledig zicht op te krijgen zullen de diensten de beschikking moeten hebben over gegevens omtrent de identiteit van de leden, hun reisbewegingen, de wijze waarop de leden communiceren en de inhoud van deze communicatie en tot slot de financiële mogelijkheden van de groep. Het behoeft geen verdere uitleg wat in een dergelijke situatie de gevolgen kunnen zijn indien de diensten niet beschikken over de mogelijkheden om de benodigde gegevens voorhanden te krijgen. Het gaat derhalve om gegevens die noodzakelijk zijn voor een goede taakuitvoering door de diensten.

EOF

UPDATE 2017-08-17: in de definitieve Wiv20xx, zoals gepubliceerd (.pdf; mirror) in Staatsblad onder de titel “Wiv2017”, is Artikel 60 Wiv2002 als Artikel 91 beland. “Artikel 60-ambtenaren” wordt dus “Artikel 91-ambtenaren”.

UPDATE 2015-07-02: het nieuwe Wiv-wetsvoorstel is in publieke consultatie gebracht. Artikel 60 wordt vervangen door Artikel 79. Indien dat artikel ongewijzigd in de definitieve Wiv20xx belandt zal op termijn wellicht worden gesproken over “Artikel 79-ambtenaren” in plaats van “Artikel 60-ambtenaren”.

UPDATE 2014-10-07: de motie van Strik c.s. is ingetrokken.

UPDATE 2014-09-23: senatoren Strik (GL), Van Boxtel (D66), Franken (CDA), K.G. de Vries (PvdA) en Gerkens (SP) hebben vandaag een motie (.pdf) ingediend met aan de regering het verzoek “onderzoek te verrichten naar nut en noodzaak van onafhankelijk toezicht op overheidsinstanties die nu niet onder het toezicht van de CTIVD vallen, maar die wel soortgelijke taken verrichten die de bescherming van de persoonlijke levenssfeer van burgers kunnen raken, en de Kamer hierover te informeren”.

Artikel 60 Wiv2002 geeft daartoe aangewezen ambtenaren bij de politie, KMar en Belastingdienst de bevoegdheid werkzaamheden verrichten ten behoeve van de AIVD. Bij de politie gaat het ten minste om de inlichtingendienst van de Landelijke Eenheid en om de Regionale Inlichtingendiensten (RID’en). Bij de KMar gaat het om de Directeur Operaties, het hoofd van het Cluster Intelligence, het personeel van de Bijzondere Dienst (BD/KMar) en het personeel van de Brigade Speciale Beveiligingsopdrachten. Bij de Belastingdienst gaat het ten minste om FIOD-ECD en douane, recent samengevoegd in de Inlichtingendienst (ID) Belastingdienst.

Artikel 60-werkzaamheden worden uitgevoerd onder verantwoordelijkheid van de Minister van BZK, en omvatten onder andere informatieverzameling namens de AIVD. De CT-Infobox is (.pdf, 2007) gedeeltelijk georganiseerd op basis van Artikel 60 Wiv2002.

CTIVD-rapport 16 (.pdf, 2007) — zie hier (2008) de reactie van de minister — ziet op de Artikel 60-samenwerking tussen de AIVD, de KMar en de RID’en.

Even een kort zijstapje over RID’en. Deze hebben een openbare ordetaak en een AIVD-taak .Van oudsher hebben RID’en een rol gespeeld bij BVD/AIVD-activiteiten, waarbij de scheiding tussen BVD/AIVD-inlichtingenwerk en de openbare ordetaak een permanent “twee petten”-vraagstuk is. Denk daarbij aan extremistische uitingen/demonstraties die de openbare orde (whatever that may be) kunnen verstoren: soms is dat zowel een vraagstuk van openbare orde als een aandachtsgebied van de AIVD. Anno 2008 waren er 319 RID’ers belast met de uitvoering van inlichtingenactiviteiten. De CTIVD stelt over RID’ers:

Bij de taak ingevolge de Wiv2002 moeten de RID’ers worden beschouwd als waren zij AIVD’ers.

De AIVD stelt over RID’ers ongeveer hetzelfde:

Er wordt dan ook vanuit de AIVD alles aan gedaan om de medewerkers van de RID-en en de BD-Kmar als directe collega’s te beschouwen en als zodanig ook te bejegenen.

Ten tijde van het onderzoek onderhavig aan CTIVD-rapport 16 hebben de RID’en aangegeven nauwer betrokken te willen zijn bij de uitoefening van bijzondere bevoegdheden Wiv2002:

In het onderzoek van de Commissie is naar voren gekomen dat sommige RID’en de wens voelen om nauwer bij de inzet van bijzondere bevoegdheden door de AIVD betrokken te worden. Als voorbeeld wordt door sommigen genoemd het observeren van personen en/of zaken, maar bijvoorbeeld ook het uitwerken van telefoontaps van de AIVD.

Momenteel is de AIVD aan het beoordelen op welke wijze de RID’en uitgebreider dan thans het geval is zouden kunnen worden ingeschakeld bij de inzet van bijzondere bevoegdheden. Zolang de AIVD toestemming verleent voor de inzet van de bevoegdheden en daar toezicht op uitoefent, en ook wordt voldaan aan de overige voorschriften uit de WIV 2002, bestaat daar vanuit het oogpunt van rechtmatigheid geen bezwaar tegen.

In recente jaren is de rol van RID’en versterkt in het project RID 2015, zo lezen we ook in deze kamerbrief (2012):

Het afgelopen jaar heeft de AIVD samen met de Nationale Politie i.o. de ontwikkeling naar een effectievere en efficiëntere inzet van de RID-en in gang gezet door middel van het project RID 2015. De stappen die in 2012 gezet worden maken onderdeel uit van een langlopend traject waarbij het einddoel is om in 2015 een RID nieuwe stijl gereed te hebben. Deze RID nieuwe stijl wordt hét regionale knooppunt van inlichtingen, informatie en kennis met betrekking tot de nationale veiligheid, in de context van de eigen regio.

De werkzaamheden van een RID worden jaarlijks in een RID-specifiek “Inlichtingen Behoefteplan” (IBP) vastgesteld.

Hieronder volgt een verzameling van de relevante teksten uit de Wiv2002, aangevuld met citaten uit kamerstukken en CTIVD-rapport 16.

Het eerste lid van Artikel 60 Wiv2002 geeft de politie, KMar en Belastingdienst de bevoegdheid werkzaamheden te verrichten ten behoeve van de AIVD:

1. De korpschef, de politiechef van een regionale eenheid, de commandant van de Koninklijke marechaussee, de directeur-generaal van de rijksbelastingdienst van het Ministerie van Financiën verrichten werkzaamheden ten behoeve van de Algemene Inlichtingen- en Veiligheidsdienst.

2. Onze Ministers onder wie de in het eerste lid genoemde ambtenaren ressorteren, onderscheidenlijk de korpschef en de korpsbeheerder van het politiekorps van Bonaire, Sint Eustatius en Saba wijzen in overeenstemming met Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties ondergeschikten van deze ambtenaren aan tot de feitelijke uitvoering van en het toezicht op de aldaar bedoelde werkzaamheden.

3. De in dit artikel bedoelde werkzaamheden worden verricht onder verantwoordelijkheid van Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties en overeenkomstig de aanwijzingen van het hoofd van de Algemene Inlichtingen- en Veiligheidsdienst.

4. Met betrekking tot het optreden van ambtenaren van politie ter uitvoering van de in dit artikel bedoelde werkzaamheden blijft hoofdstuk 7 van de Politiewet 2012 buiten toepassing.

Het tweede lid bepaalt dat ambtenaren worden aangewezen voor feitelijke uitvoering van en het toezicht van deze werkzaamheden. Deze ambtenaren krijgen dan “Artikel 60-status” en worden ook wel aangeduid als “Artikel 60-ambtenaren” of “Artikel 60-functionarissen”. Ze kunnen “onder bepaalde voorwaarden ongehinderd toegang tot het gebouw van de AIVD hebben”. Het derde lid bepaalt dat de Artikel 60-werkzaamheden worden verricht onder de verantwoordelijkheid van de Minister van BZK.

Uit de verwoording van het tweede lid van Artikel 19 Wiv2002 volgt dat Artikel 60-ambtenaren niet zelfstandig bijzondere bevoegdheden cfr Wiv2002 mogen inzetten (observatie, dekmantels, afluisteren, hacken, etc.: zie Paragraaf 3.2.2 Wiv2002; Artikel 20 t/m 30 Wiv2002):

1. De uitoefening door een dienst van een bevoegdheid als bedoeld in deze paragraaf is slechts toegestaan, indien, voor zover bij deze paragraaf niet anders is bepaald, Onze betrokken Minister of namens deze het betrokken hoofd van een dienst daartoe toestemming heeft gegeven.

2. Het hoofd van een dienst kan aan hem ondergeschikte ambtenaren bij schriftelijk besluit aanwijzen die de toestemming, bedoeld in het eerste lid, namens hem verlenen. Onze betrokken Minister wordt een afschrift van het besluit gezonden.

3. De toestemming wordt, voor zover bij of krachtens de wet niet anders is bepaald, verleend voor een periode van ten hoogste drie maanden en kan telkens op een daartoe strekkend verzoek worden verlengd voor eenzelfde periode.

In Kamerstukken II 2000/01, 25 877, nr.14 wordt dat toegelicht (waarschuwing: let hier op het woord “zelfstandig”):

Wat de uitoefening van bevoegdheden betreft, die aan de BVD/AIVD toekomen merken wij het volgende op. De bijzondere bevoegdheden die in het wetsvoorstel WIV aan de AIVD toekomen kunnen nimmer zelfstandig door de RID’en – dat wil zeggen de functionarissen die op grond van [Artikel 60] van het wetsvoorstel werkzaamheden verrichten voor de AIVD – worden uitgeoefend. De uitoefening van de bijzondere bevoegdheden door de AIVD is onderworpen aan de procedurele vereisten die in het wetsvoorstel – per bijzondere bevoegdheid nader uitgewerkt – daaraan zijn gesteld. Of het wenselijk is een bepaalde bijzondere bevoegdheid in het kader van een bepaald onderzoek (teamopdracht) uit te oefenen zal in beginsel door het voor dat onderzoek verantwoordelijke BVD/AIVD-teamhoofd dienen te worden vastgesteld en door deze vervolgens met inachtneming van de daarvoor geldende regels voor goedkeuring aan de daarvoor aangewezen instanties dienen te worden voorgelegd. Zoals in artikel 19 van het wetsvoorstel is bepaald zal toestemming voor de uitoefening van bijzondere bevoegdheden dienen te worden verleend door de minister of namens deze het hoofd van de AIVD; met betrekking tot bepaalde bijzondere bevoegdheden is sub-mandaat mogelijk. De werkzaamheden van de medewerkers van de RID dienen te passen in een team-opdracht die door het hoofd van de BVD is vastgesteld; deze werkzaamheden richting de RID’en vinden hun uitwerking in het jaarlijks door het hoofd van de BVD na overleg met de korpschef vast te stellen activiteitenplan. De uitvoering van deze werkzaamheden geschiedt vervolgens op aanwijzingen van het hoofd van de BVD (in de praktijk via aansturing door het desbetreffende teamhoofd). Concluderend kan worden gesteld dat de RID’en niet zelfstandig tot de uitoefening van de in het wetsvoorstel geregelde bijzondere bevoegdheden kunnen overgaan.

Uit CTIVD-rapport 16 wordt duidelijk dat de RID’en bijzondere bevoegdheden cfr. Wiv2002 wel in opdracht van de AIVD uitvoeren(p.10):

Ook bij de inzet van bijzondere bevoegdheden (artikel 20 tot en met 30 WIV 2002) door de AIVD kunnen de RID’en een rol spelen. Het betreft hier enkel een uitvoerende rol: de bijzondere bevoegdheden kunnen niet zelfstandig door de RID’en worden ingezet. Mandatering van de (beslissing tot) inzet van bijzondere bevoegdheden aan de RID’en is volgens de wetsgeschiedenis niet mogelijk.

Het gaat dan bijvoorbeeld om het uitvoeren van observatie (Artikel 20 Wiv2002) door de KMar.

Artikel 9 Wiv2002 verbiedt Artikel 60-ambtenaren het uitvoeren van opsporingsbevoegdheden tijdens Artikel 60-werkzaamheden:

Artikel 13 Wiv2002 legt beperkingen op aan het soort gegevens dat mag worden verwerkt en over wie:

Artikel 62 Wiv2002 verplicht alle politie-/KMar-/Belastingdienst-ambtenaren die geen Artikel 60-status hebben informatie die van belang kan zijn voor de AIVD te verstrekken aan de relevante Artikel 60-ambtenaar:

De ambtenaren van politie, de ambtenaren van de rijksbelastingdienst, bevoegd inzake de douane en de ambtenaren van de Koninklijke marechaussee doen mededeling van de te hunner kennis gekomen gegevens die voor een dienst van belang kunnen zijn, aan de in artikel 60, eerste lid, bedoelde ambtenaar aan wie zij ondergeschikt zijn. In afwijking van de eerste zin vindt de mededeling van ambtenaren van politie die zijn tewerkgesteld bij een regionale eenheid plaats aan de politiechef van de desbetreffende regionale eenheid. De in artikel 60, eerste lid, bedoelde ambtenaar waaraan de mededeling is gedaan, zendt de gegevens aan die dienst.

Artikel 63 Wiv2002 bepaalt dat de AIVD (op verzoek van het AIVD-hoofd) technische ondersteuning mag bieden aan “met opsporing van strafbare feiten belaste instanties” (politie, FIOD, Marrechaussee):

1. De diensten zijn bevoegd op schriftelijk verzoek van het daartoe bevoegde gezag tot het verlenen van technische ondersteuning aan de met opsporing van strafbare feiten belaste instanties. Artikel 58, derde lid, is van overeenkomstige toepassing.

2. Onze betrokken Minister is bevoegd zich te wenden tot Onze Minister van Veiligheid en Justitie met het schriftelijke verzoek tot het verlenen van technische ondersteuning aan de betrokken dienst bij de uitvoering van diens taak door een of meerdere landelijke eenheden van de politie. Artikel 58, derde lid, is van overeenkomstige toepassing.

In Kamerstukken II 2000/01, 25 877, nr.8  wordt dat toegelicht:

Met het verlenen van technische ondersteuning wordt bedoeld het ter beschikking stellen van technische apparatuur waarover de instantie die om de desbetreffende ondersteuning vraagt niet zelf beschikt dan wel – voor zover deze er zelf wel over beschikt deze apparatuur reeds voor andere doeleinden heeft ingezet. Daartoe kan ook de ondersteuning door personeel worden gerekend, zij het dat die gerelateerd dient te zijn aan de verlangde technische ondersteuning. Gedacht moet dan bijvoorbeeld worden aan de ter beschikkingstelling van personeel dat gespecialiseerd is in de bediening van de desbetreffende technische apparatuur.

EOF

UPDATE 2017-12-12: Besluit op WOB-verzoek informatie over het Platform Interceptie-Decryptie Siganaalanalyse (PIDS) (Rijksoverheid.nl)

In Nederland is rond de millenniumwisseling door de Ministeriële Commissie voor de Inlichtingen- en Veiligheidsdiensten (MICIV) — thans de Raad voor de Inlichtingen- en Veiligheidsdiensten (RIV) — een interdepartementaal bureau op het gebied van interceptie, decryptie en signaalanalyse georganiseerd: het Platform Interceptie-Decryptie en Signaalanalyse (PIDS). Het bestaat uit een Beleidsgroep, een Technologiegroep en een Stafbureau. Het PIDS ressorteert binnen MinVenJ onder de Directie Instrumentatie Rechtspleging en Rechtshandhaving (DGRR-DIRR) c.q. de Justitiële Informatiedienst (JustID) aldaar (bron). Het MIVD-jaarverslag 2013 (.pdf) zegt het volgende over het PIDS:

Op het gebied van data- en telecommunicatie participeert de MIVD, namens het ministerie van Defensie in het Platform Interceptie Decryptie en Signaalanalyse (PIDS) en het Platform 13. PIDS is een interdepartementaal samenwerkingsverband van een groot aantal actoren in zowel het opsporing- en veiligheidsdomein als de I&V-diensten. Het primaire doel is het gezamenlijk doen van wetenschappelijk technologisch onderzoek om instrumenten te ontwikkelen en toe te passen in de opsporingspraktijk of bij het vergaren van inlichtingen. Op het gebied van het oplossen van complexe zaken is dan ook sprake van een trapsgewijze inzet van de nationaal beschikbare capaciteit. Dit betekent dat de bij de MIVD beschikbare rekencapaciteit in voorkomend geval ook, conform Wiv2002, wordt ingezet voor de (operationele) opsporing door daartoe bevoegde diensten.

Vanuit PIDS is er deelname aan ETSI-standaardisatie op het gebied van Lawful Interception (ETSI TC LI). Dat is passend binnen het takenpakket (.pdf, 2010) van PIDS:

• Het Stafbureau levert een bijdrage aan het aftap- & cryptobeleid en de uitwerking daarvan in nationale wet- en regelgeving dienaangaande ten behoeve van de PIDS-partners.
• Het Stafbureau is het gezamenlijk aanspreekpunt voor de telecommunicatiemarktpartijen voor met name de operationele behoeftestelling vanuit de opsporings- en I&V-diensten.
• Het Stafbureau vervult een ondersteunende en informatievoorzienende functie voor nationaal en internationaal overleg binnen het PIDS-werkveld.
• Het Stafbureau heeft een beheerstaak voor het samenwerkingsverband voor de operationele interceptie- en cryptoproblematiek. Het Stafbureau adviseert de Beleidsgroep over de beleidsmatige en beheersmatige aangelegenheden, bereidt de besluitvorming door de Beleidsgroep voor en bewaakt de uitvoering van de besluitvorming. Tevens heeft het Stafbureau een signalerende functie vanuit de praktijk naar de Beleidsgroep en de afzonderlijke deelnemers van het PIDS.
• Het Stafbureau coördineert beleidsondersteunend onderzoek op het gebied van interceptie, decryptie en signaalanalyse. Het bureau ontwikkelt de kaders voor onderzoeksplannen waarin de gezamenlijke onderzoeksbehoeften van de behoeftestellende organisaties zijn verdisconteerd.

Dit takenpakket is vastgesteld door het Comité Verenigde Inlichtingendiensten Nederland (CVIN). In 2001 voerde PIDS de volgende activiteiten uit (zie onder het zevende item vermelding van ETSI):

1. TNO-onderzoek. Dit is een inventariserend onderzoek naar de interceptie van moderne communicatietechnologieën.
2. Stratix-onderzoek. Dit is een feasability studie naar de opzet van een conceptstructuur en een overdrachtsprotocol ten behoeve van de interceptie van het INTERNET. [NB: het Kamerstuk vermeldt “Statix”, dat moet “Stratix” zijn]
3. Organiseren van bijeenkomsten van het Landelijk overleg Tapkamerbeheerders.
4. Het voorbereiden van de vergaderingen van de Beleidsgroep PIDS.
5. Meewerken aan het tot stand komen van het actieplan terreurbestrijding en veiligheid.
6. Technische en beleidsmatige ondersteuning ten behoeven van het project Landelijke Interceptie Organisatie (LIO).
7. Participatie in nationale en internationale overlegstructuren waaronder:
   • Europees standaardisatieoverleg (ETSI) Werkgroep Politiële samenwerking binnen de Europese Unie (PCWG). [=Europese Police Cooperation Working Group]
   • Project rechtmatige toegang van aanbieders van Versleutelingsdiensten (TTP).
   • Het Overleg Post en Telecommunicatie deelorgaan aftappen (OPTdaf).
   • Internationale Expertgroep (Standing technical Committee) International Law Enforcement Telecommunication Seminar (ILETS) Diverse overleggen met telecomaanbieders.

Verder blijkt uit weer een ander document (.pdf, 2004) dat PIDS in 2004 aan KPMG Information Risk Management heeft verzocht “een onderzoek [te verrichten] naar verschillende modellen voor het opslaan en bewaren van historische verkeersgegevens ten behoeve van opsporingsdiensten en inlichtingen- en veiligheidsdiensten in Nederland”. Het eindrapport staat hier (.pdf, 2004).

In dit andere document (.pdf, 2010) staat het volgende over PIDS:

De feitelijke bezetting van het bureau is 4.5 FTE, waarvan 4 vaste medewerkers van Justitie, aangevuld met een vertegenwoordiger van de MIVD die part-time gedetacheerd is. Voor concrete taken kan daarnaast een beroep worden gedaan op de capaciteit van AIVD en politie (KLPD). Dit is echter geen structurele capaciteit.

De periferie van het PIDS omvat onder meer politie/KLPD, het OM, de AIVD en MIVD:

Zie hier (.pdf mirror) een MIVD-vacature voor een “Medewerker ontcijfering” voor de Afdeling SIGINT (AS), Bureau Onderzoek, Sectie Ontcijfering, waarin een verwijzing staat naar PIDS.

Naast het PIDS is er nog “Platform 13”, waarin overleg plaatsvindt tussen de overheid en enkele aanbieders van telecommunicatiediensten. Het getal 13 verwijst naar het betreffende hoofdstuk uit de Telecommunicatiewet waar de activiteit van het platform betrekking op heeft: onder meer overleg over de investerings-, exploitatie- en onderhoudskosten gerelateerd aan tappen. Het MIVD-jaarverslag zegt het volgende over Platform 13:

Defensie participeert ook in het overleg tussen overheidspartijen en een zestal aanbieders van telecommunicatiediensten, het zogenaamde Platform 13. Dit overleg vloeit voort uit hoofdstuk 13 van de Telecommunicatiewet en de daaraan gerelateerde Vergoedingenregeling. Defensie benadert aanbieders nooit zelf voor het aansluiten van taps. Verzoeken van de KMAR worden door de landelijke eenheid van de Nationale Politie doorgezet aan de aanbieders. Verzoeken van de MIVD worden door de AIVD doorgezet. Ook in 2014 wordt het overleg tussen de overheidspartijen en de aanbieders voortgezet.

Politietaps worden aldus Agentschap Telecom aangeleverd aan de afdeling Interceptie en Sensing (I&S; 98 fte anno 2012) van de Landelijke Eenheid. De AIVD heeft een eigen tapkamer (mede namens de MIVD) en, naar we redelijk mogen aannemen, één of meer eigen ‘T1 handlers’ voor inkomend (internet)tapverkeer — uitgaande van de ETSI-specificatie Transport of Intercepted IP Traffic (TIIT) v1.2.0 (.pdf) zou het gaan om één of meer IP-adressen waar op TCP-poort 1904 wordt geluisterd naar inkomende TLS-gebaseerde, X.509-geauthenticeerde TIIT-verbindingen.

EOF

NOTE: this page is also available in Dutch.

UPDATE 2014-09-28: added historical reference concerning the British Security Commission, that in 1962 advised that GCHQ should be granted access to medical records as part of personnel security procedures, for instance to be able to determine whether someone has been suffering from depression. That proposal was rejected as “neither necessary nor justified”.

UPDATE 2014-09-19: added a few lines concerning Article 13 Wiv2002, that designates the persons about whom data can be requested using Article 17 Wiv2002, and what sort of data can be processed (health, race, religion, sex life). Data about political opinions obviously can be processed; data about religion, health, race and sexual life cannot, unless it is not only necessary but also “inevitable”.

The Dutch Intelligence & Security Act of 2002, from hereon “Wiv2002”, contains three articles that provide the Dutch General Intelligence & Security Service (AIVD) a legal basis for requesting information from third parties. (For clarity of exposition I disregard the Dutch Military Intelligence & Security Service (MIVD) here.)

First, Article 29 Wiv2002 provides the legal basis for the AIVD to request subscriber data from “providers of public electronic telecommunication networks and telecommunication services” as defined by the Dutch Telecommunications Act (“who’s name and address is this phone number, IP address, etc. registered to”). Note that “public electronic telecommunication networks and telecommunication services” is a complex and restricted group under Dutch law; it applies to many ISP’s (but not the SURFnet NREN, as it is not “public”: it is restricted to educational users) and providers of mobile and landline voice telephony. Google, Twitter, Skype etc. are not “telecommunication services” under Dutch law. Here is the Dutch govt’s list of all providers of public electronic telecommunications networks and here is the list of providers of electronic telecommunication services.

Second, Article 28 Wiv2002 (Decision ex Art.28; Explanatory Memorandum) provides the legal basis for the AIVD to request traffic data from those providers (e.g., for telephony: when did the user call, with whom, at what date and time, for how long, from what location, etc.; for internet: when did the user(‘s modem) log in to their ISP to access the internet, etc.).

Third, Article 17 Wiv2002 provides the legal basis for the AIVD to request information from any government office (police registers, citizen records, land registers, etc.), any civil servant, any party responsible for processing of personal data (in accordance with the Dutch Data Protection Act) and “furthermore anyone who is supposed to be able to provide the required data” — including Google, health insurers, banks, web shops, the grocery store and your neighbors, insofar necessary for the AIVD’s legal tasks, proportional and subsidiary:

Articles 28 and 29 can only be used for the a-task (national security) and d-task (foreign intelligence). Article 17 can be used for all tasks, i.e., also including the b-task (security screenings), the c-task (promoting security measures) and e-task (performing threat and risk analyses). Articles 28 and 29 are “special powers” and have additional safeguards, such as mandatory reporting and mandatory approval. Article 17 is not a special power and does not have such safeguards. For some time I had been wondering:

1. Does Article 17 Wiv2002 only provide the authority to ask for information, or also to demand it?
2. Can Article 17 Wiv2002 be used to acquire, without having to get prior approval from the Dutch minister, private communications from Facebook etc.?

The answer to both questions is “no”. This follows from paragraphs in the new report (.pdf, 2014, in Dutch) by the Dutch Review Committee on the Intelligence and Security Services (CTIVD) on the activities of the AIVD related to social media and webfora (I blogged about that report here and here). Page 8 states (emphasis is mine)

Article 17 provides the AIVD the authority to, in carrying out its tasks or in support of that, address governmental officies, persons and institutions that process data (informants). This also includes companies that process data related to social media. The AIVD may ask such a company from which IP address a certain user logged on from. The company is not obligated to provide the information; the provisioning is voluntary. The AIVD can only ask for information insofar that is necessary for a specific purpose and fulfillment of the legal tasks. Furthermore, the CTIVD is of the opinion that the AIVD can only use an informant insofar accessing the required data or providing it to third parties belongs to the normal tasks of the informant. If it is more than that, the human source needs to be qualified as an agent.

Hence: Article 17 Wiv2002 does not provide the authority to demand information. The answer to my second question is found in the next paragraph::

The generic authority of Article 17 does, in the opinion of the CTIVD, provide insufficient legal basis to make further infringement on privacy, such as in acquiring the content of private communications, such a s restricted-access messages on social media. In the latter case, such a privacy infringement is made, that it is only permissible if additional safeguards apply. This includes mandatory approval, the motivation, mandatory reporting, and the use of the acquired data. The law bounds these safeguards to special powers. Now that such safeguards don’t apply to Article 17, the Article 17 authority does not allow acquiring the contents of restricted messages.

Hence: Article 17 Wiv2002 can not be used to ask for voluntary provisioning of the content of private communication. Requesting the voluntary provisioning of other data is possible: traffic data from Twitter, your purchasing history at a web shop, etc.; is simply a question of what data is available, and where. Article 17 Wiv2002 does not distinguish between the type of data. (Of course, the AIVD is only permitted to ask for data insofar that data is necessary for its tasks, proportional and subsidiary.)

Can financial data be acquired from banks? Yes, because bank secrecy is overruled by the third member. That’s apparent from the following paragraph from  CTIVD report 20 (.pdf, 2009, in Dutch) on financial-economic investigations by the AIVD in the context of the Financial Expert Centrum (FEC) that the AIVD participates in:

From the third member of Article 17 Wiv2002, possible legal requirements concerning the provision of data to the AIVD do not apply. The bank secret, that is important in the financial world, hence can be put aside in the context of data provisioning to the AIVD.

The FEC carries out investigations in the context of the European “freeze lists” conform EC/2580/2001 (.pdf) of funds belonging to persons or organizations that are suspected of involvement in terrorist activities.

Can medical data be acquired? The third member of Article 13 Wiv2002 establishes a prohibition:

The processing of personal data concerning someone’s religion, race, health and sexual life does not take place.

“Health” and “sexual life” mean: sexuality, intimate conduct, medical or psychological conditions (see Article 8 of the European Data Protection Directive 95/46/EC).  Of course, the AIVD being an intelligence & security agency, data about political opinions can be processed. The fourth member of Article 13 Wiv2002 establishes an exemption to the prohibition of processing data about religion, race, health and sexual life:

The processing of data concerning the aspects meant in the third member only takes place in addition to the processing of other data and only insofar it is inevitable for the purposes of the data processing.

So: the AIVD cannot process medical data (or data about religion, race of sex life) on and by itself, but can do so if it is an addition to existing data processing — if doing so is not only necessary but also “inevitable”. Here are some thoughts. Due to legally mandated medical confidentiality, care providers (physicians, psychologists, etc.) may not disclose patient information. Exemptions to this exist: see the KNMG Handreiking beroepsgeheim en politie/justitie. But care providers are not the only ones in possession on medical data.

Health insurers process declarations for drugs and healthcare, and are not subject to medical confidentiality. That information about drug use can be very privacy sensitive, is clear: the use of SSRI’s is associated with anxiety and depression, the use of quetiapine with psychosis, methylphenidate with ADHD, etc. That information about the provided care can be very privacy-sensitive is also clear. During the introduction of the so-called “DBC system”, and secondary care became required to record DBCs: somatic care, surgery, but also mental healthcare. Care providers must on care declarations provide a “performance code”, and that code includes diagnostic information. The performance code has the format AAA BBB CCC DDD, where AAA = care type, BBB = diagnosis, CCC = stay (e.g. in hospital), DDD = treatment. The code lists for DBCs in mental care are available here. The diagnostic main groups as they become known to the health insurers are as follows:

001 = Other disorders in childhood
002 = Pervasive developmental
003 = Attention deficit disorders and behavioral disorders
004 = Group Rest diagnoses
005 = Adjustment disorders
006 = Other Conditions that may be a cause for concern
007 = Delirium, dementia and amnestic and other cognitive disorders
008 = Alcohol-related disorder
009 = Other disorders related to an agent
010 = Schizophrenia and other psychotic disorders
011 = Depressive disorders
012 = Bipolar and other mood disorders
013 = Anxiety Disorders
014 = Personality disorders
015 = Somatoform disorders
016 = Eating Disorder

Health insurers thus possess diagnostic information. Thanks to the very elaborate efforts of Dutch psychiatrist Kaspar Mengelberg (@DeVrijPsych) an opt-out exemption exists for (only) mental care providers. The diagnostic code can be replaced with “000”. However, Mengelberg states that institutional mental care providers (as opposed to self-employed ones) do not use this opt-out arrangement much. And that health insurers bully patients if the care declaration has a masked diagnostic code.

Moreover, there is the Dutch national DBC Information System (DIS). All care providers, including the mental care providers, are required to provide detailed diagnostic information in pseudonimized format to this system. Here (.pdf, 2012, in Dutch) is a visualization of the information flows. Consider the following (.pdf, 2012, in Dutch) concerning that pseudonimization:

As result of the applied pseudonimization, no persons can be identified in the DBC Information System (DIS). For the purposes of the Central Bureau for Statistics (CBS) a situation is created through which the CBS can link DIS-data to Municipal Citizen Registry. (…)

Hence, the CBS can, technically, link DIS-data to individual persons. That is not to say that this will ever happen at the request of the AIVD (one can imagine the scandal that would be). But it is clear to information about health, especially mental health, is relevant to the a- and d-task (who can we influence a target?) and to the b-task (security clearances; some 30-40k happen each year, of which some 1500 at the highest level). To illustrate that, here’s a quote from Richard Aldrich’s book on GCHQ. In 1962, following a high profile spy case (a ranking GCHQ employee had turned KGB agent), the British Security Commission made recommendations for improving personnel security procedures. One of the recommendations was that GCHQ should be granted access to medical records. Aldrich states:

Benson Buffham, a former Deputy Director of NSA who had recently served as the American Liaison Officer to GCHQ, or ‘SUSLO’, visited London to confer on security, and made it very clear that the Americans were keen to see the polygraph arrive at GCHQ. The Security Commission also recommended that vetting teams should be granted access to medical records in order to check for problems such as depression. However, this was shot down immediately by the BMA’s Civil Service Medical Officers Group as ‘neither necessary nor justified’. [Footnote 46: Woods (BMA) to Duffton (SCPS GCHQ Main Branch), RVW/JNLlFB, 15.12.83, MSS.84/3II 9, GCHQ-UR WMRC.]

In conclusion, scenario’s exist where an intelligence agency may want to have access to medical records. (Which is not to say that such access has ever existed.)

Information about health can be acquired through observation and asking around in the social environment of someone, but less risky is having someone read it from a database. Homosexuality used to be an aggravating circumstance in screenings; fortunately we’ve moved past that. But health, mental health in particular, is and remains a relevant topic in security screenings, where it’s all about someone’s reliability and vulnerability to blackmail etc..

In conclusion: in order to obtain medical data, it is not necessary to infringe on medical confidentiality. The question then is: would the CTIVD be of the opinion that Article 17 Wiv2002 permits requesting medical data? Fact is that it is apparent that the banking secret does not apply to requests based on Article 17 Wiv2002.

A little sidestep to the US. The DoD defines (.pdf, 2014) “medical intelligence” as follows:

(…) the product of collection, evaluation, and all-source analysis of worldwide health threats and issues, including foreign medical capabilities, infectious disease, environmental health risks, developments in biotechnology and biomedical subjects of national and military importance, and support to force protection

The National Geospational Agency (NGA) and the NSA provide “support for medical intelligence and medical intelligence-related requirements”. Perhaps that involves the PATRIOT ACT. Plausibly, data about individual persons will occasionally be processed. Even in filling out an ESTA declaration a medical question is asked: “Do you have a communicable disease; physical or mental disorder; or are you a drug abuser or addict?” That same form asks for your name, address and passport information.

Back to the Netherlands, and the main topic of this post. The Dutch government has in 2006 proposed the power to demand data as part of the post-Madrid bill to change the Wiv2002. That bill explicitly also involved provisioning of financial data to the AIVD (Article 29a-1-a). Back then, it was one of the controversial items in the bill, that was eventually revoked. It remains to be seen whether elements of that proposal will re-appear in the bill that the Dutch cabinet is expected to propose later this year. The Dessens Committee, that last year reviewed the Wiv2002, has made no recommendations concerning Article 17 Wiv2002 or Article 29a in the revoked bill.

Related posts:

• 2014-09-05: Overview of legal framework used to assess Dutch intelligence activities involving social media (this blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (this blog)

EOF