I’m reading Richard J. Aldrich’s book GCHQ – The Uncensored Story of Britains Most Secret Intelligence Agency (2010; available as 28MB .pdf here) and thought the following paragraphs about TEMPEST in the 1960s offer an interesting bit of historic perspective to modern day weakening of crypto (such as DUAL_EC) as part of NSA’s Bullrun and GCHQ’s Edgehill program:

What none of these accounts captures is the exquisite dilemma of offence versus defence. With Tempest, the conflicting demands of offensive sigint and defensive communications security were so complex as to make the head spin. The optimum solution was for GCHQ and NSA to be able to read the traffic of minor allies and neutral countries themselves, but to provide them with enough defensive expertise to make their communications immune to similar code-breaking efforts by the sigint specialists of the KGB. Tempest allowed GCHQ and NSA to launch innovative attacks on all sorts of machines that had not yet been broken, but this was only an unalloyed virtue if the Soviets were lagging behind in its use. This, in turn, raised another awkward question: how much did the Soviets know?

[…]

Stannard explained that the most awkward issue presented by Tempest was ‘how we may best distribute our responsibilities for advising our allies, particularly in NATO’. Tempest was a nuisance in terms of security, but of course it was beneficial for offensive sigint operations by GCHQ. The British did not want information about Tempest to spread to ‘countries or organisations from which signal intelligence is required’. Where the balance of advantage fell depended on the relative importance attached to either sigint or security. Understandably, perhaps, there were some arguments between GCHQ and LCSA over this matter. [Footnote 64: ‘What is Being Done About Radiation’, Stannard (D/LCSA), address to 38th mtg of the [Canadian] Cipher Policy Committee, Apr. 1958, File TS 1325-3 ‘Communications Security – Crypto Systems’, Canadian Department of National Defence, (…)]

Furthermore:

By the early 1960s the awkward NATO Tempest question was gradually being resolved. A handbook was provided to the European allies that explained how to install cypher equipment so as to minimise radiation risks from Tempest. [Footnote 65: The handbook was designated AMSP522.] However, LCSA emphasised that, within the inner circle constituted by the British, Americans and Canadians, the standard NATO briefing had always to be accompanied by ‘advice on certain aspects of the problem which it is undesirable to disseminate to NATO at large’. This circumlocutory language suggests that Britain was offering some of its NATO partners incomplete advice, leaving open certain avenues for exploitation. At the same time, GCHQ hoped fervently that the KGB was not using the same techniques. [Footnote 66: LCSC (59) 10 (Final), ‘Radiation: Review of Measures Taken or in Hand’, 19.06.59, File TS 1325-3 ‘Communications Security – Crypto Systems’, Canadian Department of National Defence, (…).]

At last, after two troublesome decades, Britain’s code-breakers and code-makers were finally getting to grips with Tempest. The issue, together with independent cryptography by European NATO allies and neutrals, had presented sensitive and costly problems. However, there had also been enormous achievements, many of which are still shrouded in deep secrecy, which provided continuous access to many streams of diplomatic traffic around the world. The main beneficiaries were K Division at GCHQ, whose task it was to read non-Soviet systems. However, these triumphs also owed much to the work of the unsung heroes of communications security, hiding out in one of Britain’s least-known secret service headquarters in Palmer Street in central London. In 1969, their last year of independent operation before they were merged with GCHQ, Fred Stannard’s colleagues declared that their secretive influence over cypher machines was the surest route to good intelligence: ‘There is no better way to successful Sigint than to influence selected target countries by Comsec advice to use a source of equipment desired by Sigint.’ This, they added with quiet satisfaction, ‘can sometimes be done’. [Footnote 67: Burrough to Ryland, 03.06.69, attached ‘Report of the CESD Working Party’, DEFE 32118, cited in Easter, ‘GCHQ and British External Policy in the 1960s’, p.692.]

EOF

NOTE: this page is also available in English.

UPDATE 2014-09-28: historische referentie toegevoegd: na een grote spionagezaak bij GCHQ adviseerde de Britse Security Commission in 1962 dat GCHQ als onderdeel van veiligheidsprocedures ook medische gegevens zou moeten doorlichten. Dat voorstel is destijds verworpen als “noodzakelijk noch gerechtvaardigd”.

UPDATE 2014-09-19: toegevoegd dat Artikel 13 derde lid de verwerking van gegevens over godsdienst of levensovertuiging, ras, gezondheid en seksuele leven verbiedt, en dat het vierde lid een uitzondering bepaalt van dat verbod. Gegevens over politieke gezindheid mogen door de diensten natuurlijk wél worden verwerkt.

De Wiv2002 heeft drie artikelen die bevoegdheden regelen waarmee de AIVD gegevens kan opvragen bij anderen. (Omwille van leesbaarheid laat ik de MIVD buiten beschouwing.) Ten eerste kan de AIVD op basis van Artikel 29 Wiv2002 abonneegegevens vorderen bij “aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten” in de zin van de Telecommunicatiewet. (op wiens naam staat dit telefoonnummer/IP-adres/enz.). Google, Twitter, Skype etc. zijn geen “aanbieders van openbare telecommunicatienetwerken/-diensten”; denk daarbij eerder aan telco’s (mobiel, vast, huurlijn) en internetproviders — maar dan weer niet SURFnet, want die heeft een besloten gebruikersgroep (studenten en onderwijsinstellingen) en wordt daarom niet als “openbaar” beschouwd. Zie hier de lijst van alle aanbieders van openbare elektronische telecommunicatienetwerken en hier de lijst van alle aanbieders van openbare elektronische telecommunicatiediensten.

Ten tweede kan de AIVD op basis van Artikel 28 Wiv2002 (Besluit ex Art.28; MvT) bij die aanbieders ook verkeersgegevens vorderen (wanneer is gebeld, met wie, op welke dag en tijd, hoe lang, vanaf welke locatie — dit kan evt. in real-time worden aangeleverd via een ‘stomme’ tap; denk verder ook aan metadata van internetverkeer).

Ten derde kan de AIVD op basis van Artikel 17 Wiv2002 om gegevens opvragen bij elk bestuursorgaan (politieregisters, GBA, kadaster, enz.), elke ambtenaar, elke verantwoordelijke voor een gegevensverwerking (in de zin van de Wbp) en “voorts een ieder die geacht wordt de benodigde gegevens te kunnen verstrekken” — dus incluis Google, zorgverzekeraars, banken, webwinkels, de slager en je buren, mits noodzakelijk voor de uitoefening van de taken, proportioneel en subsidiair:

Met Artikel 17 Wiv2002 mogen gegevens worden verzameld met betrekking tot de personen aangeduid in Artikel 13 Wiv2002:

1. De verwerking van persoonsgegevens door de Algemene Inlichtingen- en Veiligheidsdienst kan slechts betrekking hebben op personen:

   1. die aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de democratische rechtsorde, dan wel voor de veiligheid of voor andere gewichtige belangen van de staat; [=ruim]

   2. die toestemming hebben verleend voor een veiligheidsonderzoek; [=beperkt]

   3. omtrent wie dat noodzakelijk is in het kader van het onderzoek betreffende andere landen; [=ruim]

   4. over wie door een andere inlichtingen- of veiligheidsdienst gegevens zijn ingewonnen; [=ruim]

   5. wier gegevens noodzakelijk zijn ter ondersteuning van een goede taakuitvoering door de dienst; [=ruim]

   6. die werkzaam zijn of zijn geweest voor een dienst; [=beperkt]

   7. omtrent wie dat noodzakelijk is in het kader van het opstellen van de dreigings- en risicoanalyses, bedoeld in artikel 6, tweede lid, onderdeel e. [=ruim]

Artikel 28 en 29 mogen alleen voor de a-taak (nationale veiligheid) en d-taak (inlichtingentaak buitenland) worden ingezet. Artikel 17 mag voor alle taken worden ingezet, dus ook de b-taak (veiligheidsonderzoeken), de c-taak (veiligheidsmaatregelen bevorderen) en e-taak (dreigings- en risicoanalyses opstellen). Artikelen 28 en 29 zijn bijzondere bevoegdheden en met extra waarborgen omkleed, zoals een verslagleggingsplicht en een hoger toestemmingsregime. Artikel 17 is geen bijzondere bevoegdheid en niet met zulke waarborgen omkleed. Al enige tijd vroeg ik me twee dingen af:

1. Geeft Artikel 17 Wiv2002 slechts de bevoegdheid tot vragen of ook tot het vorderen van gegevens?
2. Kan Artikel 17 Wiv2002 worden ingezet om — zonder ministeriële goedkeuring — privécommunicatie te verwerven van Facebook enz.?

CTIVD-rapport 39 (.pdf, september 2014) beantwoordt beide vragen ontkennend. Op (genummerde) pagina 8 staat het volgende (markering is van mij):

Artikel 17 geeft de AIVD de bevoegdheid om bij de uitvoering van zijn taak, of ter ondersteuning daarvan, zich te wenden tot bestuursorganen, personen en instellingen die gegevens verwerken (informanten). Hieronder kunnen ook bedrijven worden begrepen die gegevens in verband met sociale media verwerken. Zo kan de AIVD een dergelijk bedrijf vragen vanaf welk IP-adres is ingelogd door een bepaalde gebruiker. Het aangezochte bedrijf is niet verplicht om de informatie te verstrekken; de verstrekking geschiedt vrijwillig. De AIVD mag enkel om informatie vragen voor zover dat noodzakelijk is voor een bepaald doel en ter vervulling van de wettelijke taken. Daarenboven is de Commissie in het algemeen van oordeel dat de AIVD slechts gebruik kan maken van een informant voor zover het tot de normale werkzaamheden van de informant behoort om kennis te nemen van de gevraagde gegevens of deze aan derden te verstrekken. Indien het de normale hoedanigheid van de menselijke bron te buiten gaat, dan dient deze als agent te worden aangemerkt.

Dus: Artikel 17 Wiv2002 biedt geen zelfstandige vorderingsbevoegdheid. Het antwoord op de tweede vraag staat in de paragraaf daarna:

De algemene bevoegdheid van artikel 17 biedt naar het oordeel van de Commissie onvoldoende grondslag om een verdergaande inbreuk te maken op de persoonlijke levenssfeer, zoals bij het verwerven van de inhoud van niet-openbare communicatie bijvoorbeeld van afgeschermde berichten op sociale media. In dat laatste geval wordt een dermate verregaande inbreuk gemaakt op de persoonlijke levenssfeer dat dit slechts geoorloofd is indien daarbij aanvullende waarborgen van toepassing zijn. Het gaat hierbij onder meer om vereisten aan het toestemmingsniveau, de motivering, de verslaglegging en het gebruik van de verworven gegevens. In de wet zijn die waarborgen verbonden met de toepassing van bijzondere bevoegdheden. Nu dergelijke wettelijke waarborgen bij artikel 17 ontbreken, is die bevoegdheid niet toereikend voor het verwerven van de inhoud van afgeschermde berichten.

Dus: Artikel 17 Wiv2002 kan niet worden ingezet om te vragen om vrijwillige verstrekking van de inhoud van niet-openbare communicatie. Vragen om vrijwillige verstrekking van andere gegevens kan wel: verkeersgegevens van Twitter, je aankoopgeschiedenis van een webwinkel. enzovoorts; het is maar net welk van die gegevens beschikbaar zijn. Artikel 17 Wiv2002 maakt zelf geen onderscheid in het soort gegevens dat kan worden gevraagd. (Natuurlijk blijft gelden dat de AIVD alleen gegevens mag verwerven én noodzakelijk bij de uitoefening van de a/b/c/d/e-taken, én proportioneel én subsidiair.)

Mogen met Artikel 17 financiële gegevens worden opgevraagd bij banken? Ja, omdat het bankgeheim door het derde lid buiten werking wordt gesteld. Dat blijkt uit deze paragraaf in CTIVD-rapport 20 (.pdf, 2009) over financieel-economische onderzoeken door de AIVD in de context van het Financieel Expertise Centrum (FEC) waaraan de AIVD deelneemt:

Blijkens het derde lid van artikel 17 WIV 2002 kunnen eventuele bij of krachtens de wet geldende voorschriften ten aanzien van de verstrekking van deze gegevens de AIVD niet worden tegengeworpen. Het bankgeheim, dat in de financiële wereld een belangrijke rol speelt, kan aldus in het kader van de gegevensverstrekking aan de AIVD opzij worden gezet.

Bij het FEC gaat het o.a. om onderzoek in het kader van de Europese bevriezingslijsten conform EC/2580/2001 (.pdf) van tegoeden van personen of organisaties die verdacht worden van betrokkenheid bij terroristische activiteiten.

Mogen met Artikel 17 medische gegevens worden opgevraagd? Het derde lid van Artikel 13 Wiv2002 bepaalt in beginsel een verbod hierop:

De verwerking van persoonsgegevens wegens iemands godsdienst of levensovertuiging, ras, gezondheid en seksuele leven vindt niet plaats.

Onder “gezondheid” en “seksueel leven” worden verstaan: seksualiteit, intiem levensgedrag, medische of psychologische kenmerken (cfr. Artikel 8 van de Europese Data Protection Directive 95/46/EC). Gegevens over politieke overtuigingen mogen door de diensten uiteraard wél worden verwerkt. Het vierde lid van Artikel 13 Wiv2002 bepaalt echter wel een uitzondering van het verbod op verwerking van gegevens over godsdienst of levensovertuiging, ras, gezondheid en seksuele leven:

De verwerking van persoonsgegevens die betrekking hebben op de in het derde lid bedoelde kenmerken vindt slechts plaats in aanvulling op de verwerking van andere gegevens en slechts voor zover dat voor het doel van de gegevensverwerking onvermijdelijk is.

Dus: alléén medische gegevens (c.q. gegevens over godsdienst/levensovertuiging, ras of seksueel leven) mag niet, maar wél als aanvulling op een bestaande gegevensverwerking — mits dat naast noodzakelijk ook “onvermijdelijk” is (het lijkt dan ook niet plausibel dat men bijvoorbeeld op basis van GPS- en belgegevens gedragspatronen probeert te herkennen die sympomatisch zijn voor depressie; iets dat in voorkomend geval een middel zou kunnen zijn om kwetsbaarheid van targets en hun omgeving in kaart te brengen). Toelichting op de onvermijdelijkheidsvereiste staat hier:

In artikel 13, vierde lid, is aansluitend bepaald dat de verwerking van persoonsgegevens die betrekking hebben op de in het derde lid bedoelde kenmerken slechts plaats vindt in aanvulling op de verwerking van andere gegevens en slechts voor zover dat voor het doel van de gegevensverwerking onvermijdelijk is. Met het begrip «onvermijdelijk» wordt beoogd aan te geven dat bij de verwerking van een gegeven als hier bedoeld aan een zwaarder criterium dient te worden voldaan, dan aan het in artikel 12, tweede lid, neergelegde noodzakelijkheidscriterium. Bij het vastleggen van deze categorie gegevens zullen de diensten dus extra terughoudend moeten zijn. Het zal echter onvermijdelijk zijn om bijvoorbeeld de godsdienstige of levensovertuiging van personen of organisaties te registreren in de gevallen dat anti-democratische, staatsgevaarlijke of anti-militaristische activiteiten worden ontplooid waarbij de daders hun godsdienstige overtuiging als motief aanvoeren voor hun activiteiten. Hierbij kan bijvoorbeeld worden gedacht aan de terroristische gifgas-aanslagen in Japan door leden van een godsdienstige sekte, of aan de activiteiten van andere godsdienstige sekten, zoals in de Verenigde Staten (Waco, Texas). Ook zal registratie van de godsdienstige overtuiging onvermijdelijk zijn als het gaat om terroristische activiteiten van bepaalde godsdienstige splintergroeperingen, bijvoorbeeld binnen radicale moslim-organisaties.

Hierbij een paar gedachten over de verwerking van gegevens over seksualiteit, intiem levensgedrag, medische of psychologische kenmerken. Ingevolge het beroepsgeheim mogen zorgverleners (artsen, psychologen, etc.) niet zomaar patiëntgegevens verstrekken. Wel bestaan er uitzonderingsgronden van het medisch beroepsgeheim: zie de KNMG Handreiking beroepsgeheim en politie/justitie. Maar zorgverleners zijn niet de enige die beschikken over medische gegevens.

Zorgverzekeraars verwerken medicijn- en zorgdeclaraties, en vallen niet onder het medisch beroepsgeheim (uitgezonderd artsen die bij zorgverzekeraars werken). Dat kennis over medicijngebruik zeer privacygevoelig kan zijn, is helder: gebruik van SSRI’s wordt geassocieerd met angst en depressie, gebruik van quetiapine met psychose, methylfenidaat met ADHD, enzovoorts. Dat zorgdeclaraties zeer privacygevoelig kunnen zijn, is ook helder. Bij de invoering van de DBC-systematiek werd alle tweedelijns zorgverlening verplicht DBC’s te registreren: somatisch, chirurgie, KNO, maar ook de GGZ. Hierbij moeten zorgverleners op zorgdeclaraties een prestatiecode vermelden, en die code bevat diagnose-informatie. De prestatiecode heeft het formaat AAA BBB CCC DDD, waarbij AAA = zorgtype, BBB = diagnose, CCC = verblijf, DDD = behandeling. De codelijsten voor DBC’s in de GGZ staan hier. De diagnosehoofdgroepen zoals ze bij de zorgverzekeraar bekend worden zijn de volgende:

001 = Overige stoornissen in de kindertijd
002 = Pervasieve ontwikkelingsstoornissen
003 = Aandachtstekortstoornissen en gedragsstoornissen
004 = Restgroep diagnoses
005 = Aanpassingsstoornissen
006 = Andere aandoeningen en problemen die een reden voor zorg kunnen zijn
007 = Delirium, dementie en amnestische en andere cognitieve stoornissen
008 = Aan alcohol gebonden stoornis
009 = Overige aan een middel gebonden stoornissen
010 = Schizofrenie en andere psychotische stoornissen
011 = Depressieve stoornissen
012 = Bipolaire en overige stemmingsstoornissen
013 = Angststoornissen
014 = Persoonlijkheidsstoornissen
015 = Somatoforme stoornissen
016 = Eetstoornis

Zorgverzekeraars beschikken dus over diagnose-informatie. Dankzij de enorme inspanningen van psychiater Kaspar Mengelberg (@DeVrijPsych) bestaat er voor (uitsluitend) GGZ-zorgverleners een opt-out-regeling, waarbij de diagnose-code mag worden vervangen door “000”. Van Mengelberg begreep ik dat GGZ-zorgverleners bij instellingen niet of minder gebruikmaken van deze regeling dan vrijgevestigde psychiaters en psychotherapeuten. En dat zorgverzekeraars patiënten pesten met adminstratief gedoe als er geen volledige DBC op de zorgdeclaratie staat.

Maar dan is er nog het landelijke DBC Informatie Systeem (DIS). Alle zorgverleners, ook de GGZ-zorgverleners, zijn verplicht gedetailleerde diagnose-informatie in gepseudonimiseerde vorm aan te leveren aan dit systeem. Zie hier (.pdf, 2012) een visualisatie van de informatiestromen. Over de pseudonimisatie het volgende (.pdf, 2012, beantwoording van Kamervragen):

Door de toegepaste pseudonimisering zijn in het DBC-Informatiesysteem (DIS) geen personen te herleiden. Voor het CBS is een situatie gecreëerd waardoor het CBS de DIS-gegevens kan koppelen met de Gemeentelijke Basisadministratie (GBA). Dat gaat als volgt in zijn werk. De DIS-gegevens worden eerst opgestuurd aan een zogenaamde trusted third party, die de DIS-pseudoniemen omzet in een speciaal CBS-pseudoniem en deze naar het CBS verstuurt. Het CBS stuurt vervolgens de benodigde GBA-gegevens versleuteld en dus onherkenbaar naar de trusted third party, die deze GBA-gegevens van hetzelfde CBS-pseudoniem voorziet als voor de DIS-gegevens, en de gepseudonimiseerde GBA-gegevens naar het CBS verstuurt. Daarmee kan het CBS dan de DIS-gegevens aan de GBA-gegevens koppelen. De DIS-pseudoniemen worden dus niet geïdentificeerd door deze procedure. Ten behoeve van statistische doeleinden is het CBS wettelijk gerechtigd om persoonsgegevens te verwerken (CBS-wet, artikel 35).

Het CBS is dus, technisch gezien, in staat op DIS-gegevens te koppelen aan geïdentificeerde personen. Identificatie wordt alleen voorkomen door procedurele maatregelen. Dat wil niet zeggen dat identificatie ooit op het verzoek van de AIVD zal gebeuren (je kunt je het schandaal wel indenken). Maar het behoeft geen betoog dat informatie over de gezondheid van personen, zeker de geestelijke gezondheid, relevant is bij het uitoefenen van ten minste de a-taak en d-taak (nationale veiligheid en inlichtingen buitenland: hoe kunnen we een target beïnvloeden?) en voor de b-taak (veiligheidsonderzoeken: is een sollicitant voor deze vertrouwensfunctie beïnvloedbaar? NB: jaarlijks vinden bij de AIVD zo’n dertig- tot veertigduizend veiligheidsonderzoeken plaats, waarvan 1500 op het hoogste A-niveau). Ter illustratie van het laatste punt, hierbij een citaat uit Richard Aldrich’s boek over GCHQ. In de nasleep van een grote spionagezaak bij GCHQ (een senior GCHQ-ambtenaar bleek KGB-agent te zijn geworden) deed de Britse Security Commission in 1962 aanbevelingen voor versterking van personele veiligheidsprocedures. Eén van die aanbevelingen betrof het doorlichten van medische gegevens. Aldrich stelt:

Benson Buffham, a former Deputy Director of NSA who had recently served as the American Liaison Officer to GCHQ, or ‘SUSLO’, visited London to confer on security, and made it very clear that the Americans were keen to see the polygraph arrive at GCHQ. The Security Commission also recommended that vetting teams should be granted access to medical records in order to check for problems such as depression. However, this was shot down immediately by the BMA’s Civil Service Medical Officers Group as ‘neither necessary nor justified’. [Footnote 46: Woods (BMA) to Duffton (SCPS GCHQ Main Branch), RVW/JNLlFB, 15.12.83, MSS.84/3II 9, GCHQ-UR WMRC.]

Kortom, er bestaan scenario’s waarin een inlichtingendienst toegang zou kunnen willen hebben tot medische gegevens. (Waarmee niet is gezegd dat van zulke toegang ooit sprake is geweest.) Informatie over gezondheid kan worden verworven door observatie en navraag in de sociale omgeving, maar minder risicovol is het (laten) raadplegen van medische gegevensbestanden. Vroeger vormde homosexualiteit een bezwarende omstandigheid tijdens antecedenten-/veiligheidsonderzoek; gelukkig zijn we dat stadium voorbij. Maar gezondheid, zeker geestelijke gezondheid, is en blijft natuurlijk een relevant onderwerp voor veiligheidsonderzoeken, waarbij het immers allemaal draait om iemands betrouwbaarheid en kwetsbaarheid voor chantage.

Conclusie: om toegang te krijgen tot medische informatie hoeft geen medisch beroepsgeheim te worden doorbroken. Zie ook Zembla’s De jacht op uw medische gegevens (april 2014). De vraag is of de CTIVD Artikel 17 Wiv2002 voldoende bevoegdheid vindt bieden om medische informatie te krijgen. Het bankgeheim bleek er in elk geval niet van toepassing.

[UPDATE 2017-11-24: de AIVD stelt op haar website sinds kort het volgende t.a.v. medische gegevens, waarin expliciet staat dat medische gegevens noodzakelijk en onvermijdelijk kunnen zijn in de context van radicalisering:

[…] Wij mogen alleen gericht medische gegevens van een persoon verzamelen als dat onvermijdelijk is om een dreiging goed te kunnen inschatten. Het vormt een aanvulling op andere gegevens die al verwerkt zijn.

[…]

In een uiterst geval kan het bijvoorbeeld noodzakelijk zijn om meer te weten over de psychische stoornis en eventuele medicatie van een radicaliserende persoon. Op zo´n moment bekijken wij of wij zijn arts kunnen vragen om de benodigde informatie.

Iedereen kan door de dienst worden gevraagd om informatie te verstrekken die voor onze onderzoeken van belang is. Artsen zijn daar niet van uitgezonderd. De arts beslist dan zelf vrijwillig of hij hieraan wil meewerken. Hij is dat niet verplicht.

[…]

Wij mogen niet inbreken in databestanden met medische gegevens of patiëntendossiers van willekeurige personen door middel van hacken. [sic]

Dus: de diensten mogen een arts om informatie vragen, en de arts mag dat weigeren. De laatste zin over de hackbevoegdheid heeft kenmerken van een (zalvende) halve waarheid, omdat 1) daar ineens wordt gesproken over “willekeurige personen” ipv een “radicaliserende persoon”, en 2) andere bevoegdheden zoals interceptie (artsen hebben trouwens niet de uitzonderingspositie die journalisten en advocaten in de Wiv2017 wél hebben) en informatieverzoeken aan anderen die relevante informatie kunnen hebben over “de psychische stoornis en eventuele medicatie van een radicaliserende persoon”, wat in theorie dus ook DBC-gegevens bij zorgverzekeraars of bij het DIS kan betreffen. Ten overvloede: ]

Een zijstapje naar Amerika. Het DoD hanteert het begrip “medical intelligence” (.pdf, 2014) en definieert dat als volgt:

(…) the product of collection, evaluation, and all-source analysis of worldwide health threats and issues, including foreign medical capabilities, infectious disease, environmental health risks, developments in biotechnology and biomedical subjects of national and military importance, and support to force protection.

De National Geospational Agency (NGA) en NSA leveren daarbij “support for medical intelligence and medical intelligence-related requirements”, allicht gebruikmakend van de mogelijkheden die de PATRIOT ACT biedt (hoeveel medische gegevens over Nederlanders staan eigenlijk op IT-systemen van organisaties die ook in de VS actief zijn?). Het is plausibel dat bij uitzondering nu en dan ook gegevens over individuele, geïdentificeerde personen zullen worden verwerkt. Ook bij het invullen van een ESTA-verklaring wordt op individueel niveau een medische vraag gesteld: “Do you have a communicable disease; physical or mental disorder; or are you a drug abuser or addict?” In datzelfde formulier geef je ook je NAW- en paspoortgegevens.

Terug naar Nederland en het hoofdonderwerp van deze blogpost. De Nederlandse regering heeft in 2006 wél een zelfstandige vorderingsbevoegdheid voorgesteld in het post-Madrid wetsvoorstel tot wijziging van de Wiv2002. Het ging daarbij ook expliciet over verstrekking van financiële informatie aan de AIVD (zie Artikel 29a lid 1, onder a). Destijds was de vorderingsbevoegdheid één van de controversiële onderdelen in het (uiteindelijk ingetrokken) wetsvoorstel waartegen de Eerste Kamer pareerde, onder meer op basis van CBP-advies (.pdf, 2007). Het is nu even afwachten of elementen uit dat ingetrokken wetsvoorstel terugkomen in het voorstel dat het kabinet binnenkort (?) zal doen voor wijziging van de Wiv. De commissie-Dessens heeft in haar evaluatie van de Wiv2002 elk geval geen aanbevelingen gedaan ten aanzien van Artikel 17 Wiv2002 of Artikel 29a in het ingetrokken voorstel.

Uit de kabinetsreactie op het CBP-rapport inzake het post-Madrid voorstel tot wijziging van de Wiv2002 blijkt overigens dat het antwoord van personen/organisaties aan wie een Artikel 17-verzoek is gericht, niet altijd “ja” luidt:

De derde reden die genoemd dient te worden voor het niet voldoen van de vrijwillige arrangementen, hoewel deze situatie zich slechts bij uitzondering voordoet, is het feit dat sommige instanties weigeren informatie te verstrekken aan de diensten. Deze terughoudendheid vindt haar oorsprong wellicht in een verstrekkende servicegerichtheid richting de klanten of afnemers van betrokken instantie. Een verplichte informatieverstrekking biedt op dit punt zeker voordeel voor de betreffende bestuursorganen, financiële dienstverleners en vervoerders. Indien het overleggen van informatie niet op vrijwillige basis, maar op grond van een wettelijke verplichting geschiedt, is er geen enkele ruimte voor enige verwijtbaarheid door klanten aan deze organen en instanties. Uit de contacten die de diensten hebben met potentiële informatieleveranciers blijkt keer op keer dat zij juist vragen om een verplichting tot informatieverstrekking. Zij zijn van mening dat een informatieverplichting kenbaarheid en voorzienbaarheid schept met betrekking tot de gegevensverstrekking, waardoor duidelijk aan klanten en afnemers gepresenteerd kan worden op welke gronden verstrekking kan plaatsvinden.

Verder leesvoer:

• 2014-09-05: Overzicht Wiv2002-toetsingskader AIVD-onderzoek met/op sociale media, webfora (dit blog)
• 2012-xx-xx: De Regionale Inlichtingendienst. Ongecontroleerd balanceren op en over de grens van rechtmatigheid (.pdf, mr. Sven Brinkhoff, Nederlands Juristenblad 87:30)

EOF

UPDATE 2014-09-05: this page is also available in Dutch.

Yesterday I blogged about the new oversight report (.pdf, in Dutch) concerning the activities of the Dutch General Intelligence & Security Service (AIVD) involving social media, such as acquiring the databases of web forums through hacking, human sources and/or exchange with foreign partners. The (non-classified) appendix to that report provides an overview of the legal framework that the oversight committee applied in the course of writing the report. Here is my translation of that overview, including links to the relevant parts of the Dutch Intelligence & Security Act of 2002 (Wiv2002). Feel free to ask questions (bear in mind that I’m not a legal expert, though).

Passive investigation on social media

Requirement	Implementation
Legal basis	Articles 6 and 12 Wiv 2002
Definition	Investigation through open sources
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source or reliability (12)
Limitation	– only use third party data if necessary (13)
	– in case of more than small infringement on rights, review the intent and the nature of the methods and data collection
	– systematic targeted investigation (20)
	– operating under a cover (21)

Observation of persons on social media

Requirement	Implementation
Legal basis	Article 20 Wiv 2002
Definition	Person-focused investigation which, considering duration, location, intensity, frequency or tools must be qualified as systematic
Approval	By team leader
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source or reliability (12)
	– motivation (20)
	– reporting (33)
	– only use third party data if necessary (13)
Limitation	– only use third party data if necessary (13)
	– necessity, proportionality and subsidiarity (18, 31, 32)

Active investigation by agents on social media

Requirement	Implementation
Legal basis	Article 21 Wiv 2002
Definition	Operating with agents on social media, possibly using a cover
Approval	By director or head of unit, extension by team leader
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– motivation
	– reporting (21, sixth member, 33)
Limitation	– necessity, proportionality and subsidiarity (18, 31, 32)
	– prohibition on unacceptable incitement: ‘Tallon criterium’ (21, fourth member)
	– safety of the agent (15)
	– criminal offenses exist only with approval and instruction (21, third member)

Acquisition of social media databases

Requirement	Implementation
Legal basis	Articles 17, 21, 24, 59 Wiv 2002
Definition	The collection of (parts of) databases from social media
Approval	Depends on authority
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– motivation (21, 24)
	– reporting (33)
Limitation	– only use third party data if necessary (13)
	– proportionality and subsidiarity (31, 32)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless article 17 is the legal basis (18)

Using and storing social media databases

Requirement	Implementation
Legal basis	Articles 6 and 12 Wiv 2002
Definition	Analyzing, using, storing the data
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– data security, among others against unauthorized processing (16)
	– authorization policy (16, 35)
Limitation	– removing and destroying when data loses meaning (43)
	– the Commission previously recommended regulating retention periods by law, as well as regulating the processing of metadata
	– only use third party data if necessary (13)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless the data were acquired on the legal basis of article 17 (18)

Exchanging social media data collections

Requirement	Implementation
Legal basis	Articles 36 or 59 Wiv 2002
Definition	Providing data collections to a foreign service and/or receiving data collections from a foreign service
Approval	By team leader, or head of unit (36) of minister (59)
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– keep notes (42)
	– third-party rule (37)
Limitation	– necessary for its own task (36) or
	– in the interest the foreign service represents (59)

Person-focused querying of social media data collections

Requirement	Implementation
Legal basis	Articles 17, 21 and 59 Wiv 2002
Definition	Person-focused searching in databases through human sources or foreign services
Requirements	– use for a specific purposes, only insofar necessary (12)
	– appropriateness, diligence, making note of source of reliability (12)
	– writing down the instruction to agents (21, sixth member)
	– motivating if comparable to article 28
Limitation	– proportionality and subsidiarity (31, 32)
	– necessary for the a-task [national security] or d-task [foreign intelligence], unless article 17 is the legal basis (18)

Related posts:

• 2014-09-14: Article 17 Wiv2002: the AIVD’s legal basis for asking third parties for voluntary provisioning of information (this blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (this blog)

EOF

UPDATE 2014-09-05: this page is also available in English.

Het nieuwe CTIVD-toezichtsrapport (.pdf) inzake onderzoek door de AIVD op sociale media heeft een (openbare) bijlage met daarin een overzicht van de toetsingskaders voor de verschillende methoden die de AIVD toepast — denk daarbij aan het verwerven van de databases van webfora via hacking, menselijke bronnen en/of uitwisseling met internationale partners. Hier is een HTML-versie van dat overzicht, inclusief links naar de wetteksten:

Passief onderzoek op sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 6 en 12 Wiv 2002
Definitie	Onderzoek op open bronnen
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– meer dan geringe inbreuk op grondrechten, zoals de persoonlijke levenssfeer, onder meer te toetsen aan de intentie, de aard van de methoden en de opslag van gegevens
	– stelselmatig (target-)gericht onderzoek (20)
	– opereren onder dekmantel (21)

Observatie van personen op sociale media

Vereiste	Uitwerking
Grondslag	Artikel 20 Wiv 2002
Definitie	Persoonsgericht onderzoek dat naar duur, plaats, intensiteit, frequentie of hulpmiddelen als stelselmatig moet worden aangemerkt
Toestemming	Door teamhoofd
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering (20)
	– verslaglegging (33)
	– gegevens van derden slechts betrekken indien noodzakelijk (13)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– noodzakelijkheid, proportionaliteit en subsidiariteit (18, 31, 32)

Actief onderzoek door agenten op sociale media

Vereiste	Uitwerking
Grondslag	Artikel 21 Wiv 2002
Definitie	Opereren met agenten op sociale media, eventueel met gebruik van dekmantel
Toestemming	Door directeur of unithoofd, verlenging door teamhoofd
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering
	– verslaglegging (21, zesde lid, 33)
Begrenzing	– noodzakelijkheid, proportionaliteit en subsidiariteit (18, 31, 32)
	– verbod op instigatie: ‘Tallon-criterium’ (21, lid 4)
	– veiligheid van de agent (15)
	– strafbare feiten alleen met toestemming en instructie aanwezig is (21, lid 3)

Verwerving van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 17, 21, 24, 59 Wiv 2002
Definitie	De verzameling van (gedeelten van) gegevensverzamelingen van sociale media
Toestemming	Afhankelijk van de bevoegdheid
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– motivering (21, 24)
	– verslaglegging (33)
Begrenzing	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– proportionaliteit en subsidiariteit (31, 32)
	– noodzakelijk voor de a- of d-taak, tenzij artikel 17 de grondslag vormt (18)

Ontsluiten en bewaren van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 6 en 12 Wiv 2002
Definitie	Analyseren, ontsluiten, bewaren van de gegevens
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– beveiliging van gegevens, o.m. tegen onbevoegde verwerking (16)
	– autorisatiebeleid (16, 35)
Begrenzing	– verwijderen en vernietigen wanneer gegevens betekenis verliezen (43)
	– de Commissie heeft eerder aanbevolen om bij wet in bewaartermijnen te voorzien voor ruwe gegevens alsmede in een regeling voor de verwerking van metagegevens
	– gegevens van derden slechts betrekken indien noodzakelijk (13)
	– noodzakelijk voor de a- of d-taak, tenzij de gegevens op grond van artikel 17 zijn verworven (18)

Uitwisselen van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 36 of 59 Wiv 2002
Definitie	Verstrekken van gegevensverzameling aan een buitenlandse dienst en/of ontvangen van gegevensverzameling van een buitenlandse dienst
Toestemming	Door teamhoofd of unithoofd (36) of minister (59)
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– aantekening bijhouden (42)
	– derdepartijregel (37)
Begrenzing	– noodzakelijk voor de eigen taak (36) of
	– in het belang dat de buitenlandse dienst behartigt (59)

(Persoons)gericht bevragen van gegevensverzamelingen van sociale media

Vereiste	Uitwerking
Grondslag	Artikelen 17, 21 en 59 Wiv 2002
Definitie	(Target)gericht zoeken in gegevensverzameling via menselijke bronnen of buitenlandse diensten
(Vorm)vereisten	– uitoefening voor een bepaald doel, slechts voor zover noodzakelijk (12)
	– behoorlijkheid, zorgvuldigheid, bron- of betrouwbaarheidsvermelding (12)
	– vastleggen instructie aan agent (21, zesde lid)
	– motiveren indien gelijk te stellen met artikel 28
Begrenzing	– proportionaliteit en subsidiariteit (31, 32)
	– noodzakelijk voor de a- of d-taak, tenzij artikel 17 de grondslag vormt (18)

Gerelateerde berichten:

• 2014-09-12: Artikel 17 Wiv2002: vrijwillige verstrekking van gegevens op verzoek van de AIVD (dit blog)
• 2014-09-04: Oversight report: Dutch intel agency AIVD acted unlawful regarding social media, webfora (dit blog)

EOF

UPDATE 2014-12-21: it is somewhat remarkable that CTIVD did not address this topic — especially hacking of web fora — in earlier publications, e.g. in 2011, 2012 or 2013. Possibly the CTIVD viewed hacking as less infringing because it does not require prior approval from the Minister, and the CTIVD rather spent its limited resources on investigating the use of interception powers, which do require prior approval from the Minister.
UPDATE 2014-09-05: addendum: Overview of legal framework used to assess Dutch intelligence activities involving social media 

Remember the media report “Dutch intelligence agency AIVD hacks internet forums” by NRC Handelsblad in November 2013? The oversight report (.pdf, in Dutch) released today by the Dutch Review Committee on the Intelligence and Security Services (CTIVD) concludes that in the period January 1st 2011 to January 1st 2014, certain activities carried out by the AIVD related to social media, including webfora, were carried out unlawfully. The general picture is certainly not one of lawlessness abound at the AIVD — all cases of hacking were found to have been carried out lawfully —, but various instances of unlawfulness were found related to lack of (legally required) reporting, lack of (legally required) approval, lack of (legally required) motivation, and violation of (legally required) proportionality.

Translation of the summary (emphasis is mine):

Social media play a large role in social interaction in the present time. For the AIVD, social media have thereby become an important source of intelligence. Because of the extent of communication on social media and the ease of participating, the meaning of messages cannot always be quickly determined: is a threatening tweet a serious indication of profound radicalization or a desperate expression of an angry teenager? Society may expect from the AIVD that the service responds appropriately to developments on social media in the course of carrying out its tasks. Concerning these activities, in the present investigation, the Commission inquired into whether the AIVD acts in accordance with the law.

Given the tasks of the AIVD, it is important that it remains secret whom is investigated and how. This secrecy allows room for speculation, especially since in 2013 information has come out about the activities of some foreign services. In relation to the AIVD, media reports and public discussions were often about the following questions:

• how does the AIVD use social media?
• what is the AIVD allowed to do concerning social media, and does the AIVD respect the law?
• what does the AIVD do with data collected from social media?
• how does the AIVD cooperate with foreign services?

The Commission has taken these questions into account on the basis of factual research and file research at the AIVD and the legal framework of the Dutch Intelligence & Security Act of 2002. The research was focused on the period between January 1st 2011 and January 1st 2014.

When the Dutch Intelligence & Security Act of 2002 was written, the Internet did not have the role it currently has, and social media were still emergent. The application of “classical” powers in the “new” digital context, such as the use of agents and observation on internet, forces the AIVD to think about how the national security must be guaranteed in relation to privacy protection and the legal safeguards therefore. The service must, after all, act strictly in accordance with the law. This means, among others, that every infringement on privacy rights must be based on law, and can only be made if it is necessary. This infringement should be in a reasonable proportion to the purpose and no less infringing means must be available. In the development of new techniques, the AIVD must be constantly aware of this, and fundamental questions need to be recognized timely.

The Commission notes that the Dutch Intelligence & Security Act of 2002 provides, on most aspects, a sufficient legal framework to assess legality of the use of social media. In addition, the Commission notes that the AIVD undertakes many efforts to maintain the technical developments on the area of social media. The policy of the AIVD that describes the safeguards for privacy protection has, however, lagged behind in some areas. Notably the motivation of the use of powers and the reporting of operations (instructions, yields) lags behind of what may be expected of a lawfully operating service. The Commission understands that in the pioneering phase, it was not immediately clear how these essential safeguards had to get a permanent place in practice, but now that the AIVD is beyond the pioneering phase, it can be expected that the applied methods are embedded into solid procedures.

The interaction between users of social media partly takes place in the public domain. Just like everyone else, the AIVD can take note of that. The AIVD may collect this data on the basis of its general powers. An important boundary to this data collection is the degree of invasion of privacy. Once an activity constitutes an infringement of privacy, a specific legal basis must be present. In addition, this activity should also increasingly be surrounded with safeguards as the infringement is more severe. The Commission has in its investigation into data collection on the basis of the general powers not found any wrongdoing.

Because of the gravity of the infringement of privacy, in this investigation focus was mostly given to some special powers, such as the use of agents. On social media, communication takes place that is relevant to the tasks of the AIVD. The AIVD responds to this by deploying agents on these media. They may use fictitious identities in this. Agents also may, under strict conditions, commit crimes, for example in order to remain in sync with the circle in which the agents are deployed.

The Commission has studied several agent operations. Concerning external agents, the Commission finds that the AIVD acts carefully and heedfully. However, concerning the AIVD’s own employees, the operations often lack proper reporting. In five agent operations involving AIVD employees using a virtual [sic?] identity on social media, the lack of reporting is such that those operations are found to have been carried out unlawfully. For the security of the agents, the internal accountability and the external oversight by the Commission, the reports are of crucial importance. The lack of reporting is also found in operations that involve an approval to commit crimes. The Commission finds that hereby also this approval has been executed unlawfully. Recently, however, the AIVD has recognized several problems in the guidance and support of the agents operating online, and started efforts to improve on this.

Providers of social media often store metadata or content of communications in data sets. This also happens with web forums. The AIVD can perform targeted queries on such data sets through various methods. When necessary, the AIVD may also attempt to acquire the entire data set. This can be achieved through various methods, such as human sources, hacking, or a foreign service. The more generic a data set is, it can be said that its collection is less targeted. In that case, more stringent requirements apply to the advance motivation, specifically a heavier assessment of proportionality. In these cases, data are collected about persons that are not relevant to the tasks of the AIVD.

The Commission finds that the motivations for the collection of a large number of web forums are insufficient. Concerning five agent operations in which webfora have been collected, the Commission finds that the motivations are such insufficient that the approvals for this were given unlawfully. In most cases, however, the Commission is convinced that the collection of these webfora was necessary and fits within the tasks of the AIVD. In four (other than aforementioned) cases, the Commission finds that the collection of certain webfora was not proportional, and therefore unlawful. This concerned larger webfora for which the expected yield is not proportional to the infringement of privacy of users of the webfora that were not targeted as part of ongoing investigations.

Data collected by the AIVD through the use of special powers in the context of the security task or intelligence task of the AIVD, can be used for other tasks as well, such as carrying out security screenings. The Commission is of the opinion that this only applies to evaluated data; data that, after (metadata) analysis, have actually been found to be relevant to an operational investigation. Making the unevaluated (raw) data of webfora accessible for the purpose of security screenings is unlawful. The law does not provide an adequate legal basis for this.

As the Commission has stated in a previous oversight report, the law does not prescribe a retention period for unevaluated (raw) data. The Commission recommends the AIVD, in anticipation of a possible change of the law, to establish retention periods itself. In the current investigation it was examined whether the acquired webfora can be retained of good grounds. The Commission finds that the AIVD was allowed to retain the data concerning the webfora studied, insofar it was lawfully acquired.

Because communication via social media is hardly bound to national borders, the investigations of the AIVD related to social media often touch upon the interests and legal systems of other countries. On the one hand, the targets of the service are often active internationally. On the other hand, operating in an online context, such as by an AIVD agent, often involves data collection that are (also) relevant to other countries. The mutual interest of working together can hardly be overestimated. Web forums can contains very large amounts of data that are not only important to the Netherlands. The Commission emphasizes the importance of good agreements with foreign services in order to reduce the risk that relevant data are overlooked.

The Commission has found no indications that the AIVD circumvents its own powers through cooperation with foreign services. Furthermore, the Commission has found no unlawfulness in respect of operations that the AIVD has conducted. Here, in general, the AIVD acts carefully and thoughtfully, and sufficient reporting is done.

Finally, the Commission has paid particular attention to the AIVD sharing acquired webfora with foreign services. In nearly all examined cases, the AIVD acted lawfully. The following exceptions were found to that general picture. The AIVD has acquired a number of webfora at the request of foreign services. If a webforum is acquired for a foreign service while that forum is not important to an ongoing investigation of the AIVD, that constitutes the provision of support to the foreign service. The Commission finds that the AIVD acted unlawfully in four cases, because Ministerial approval was lacking. In a fifth case, the AIVD shared a webforum with a foreign service while the Commission finds that its acquisition by the AIVD was not proportional. The acquisition and then sharing of this forum thus was unlawful.

What’s next in the Netherlands? This:

• the Dutch government still needs to respond responded (Nov 2014) to the EU Court of Justice’s rejection (Apr 2014) of the EU Data Retention Directive;
• the Dutch Cybercrime III bill, that among others would legalize LE hacking, has been approved by the Dutch cabinet and the Council of State of the Netherlands is currently being consulted for advice. The bill will then be treated in our Parliament and, later on, our Senate;
• the Dutch government is expected to propose a bill in 2014 to change the Dutch Intelligence & Security Act of 2002. The current law was reviewed in 2013, and one of the reviewers’ recommendations is to extend the SIGINT power from only non-cable communications (e.g. satellite, radio) to all communications. That could make it legally possible for the Dutch intelligence agencies, specifically by their Joint Sigint Cyber Unit (JSCU), to carry out programs such as seen in GCHQ’s Tempora and NSA’s DANCINGOASIS, or participate in NSA’s RAMPART-A. The Dutch intelligence agencies can currently only carry out SIGINT on non-cable communications such as radio and satellite. Considering that the motivation for the use of the existing SIGINT powers has been structurally insufficient for years, I’m a bit worried;
• the CTIVD is expected to publish three more oversight reports in 2014:
  • the use of SIGINT powers by the AIVD in the period September 2012 to August 2013 [now available];
  • the cooperation between the AIVD and foreign services;
  • the cooperation between the MIVD (=military) and foreign services.

Related posts:

• 2014-09-14: Article 17 Wiv2002: the AIVD’s legal basis for asking third parties for voluntary provisioning of information (this blog)
• 2014-09-05: Overview of legal framework used to assess Dutch intelligence activities involving social media (this blog)

EOF