Wat zijn de wensen van dit kabinet voor de geheime diensten?

‘Massavernietigingswapens.’

‘Ontvreemding van staatsgeheimen.’

‘Terroristische activiteiten.’

Het was een imposant rijtje dat Jeanine Hennis op 10 februari 2015 opsomde. De VVD-minister van Defensie sprak over de toekomst van de Nederlandse inlichtingen- en veiligheidsdiensten en haar boodschap was kristalhelder: als de Nederlandse geheime diensten niet snel méér bevoegdheden krijgen, dan zullen zij niet meer in staat zijn dergelijke bedreigingen op tijd te detecteren.

De minister van Defensie vertolkte daarmee het standpunt van het kabinet, namelijk dat de oude wet voor de diensten uit 2002 aan vernieuwing toe is. ‘De opbrengst van klassieke interceptiemethoden [neemt] onmiskenbaar af,’ zei ze. ‘De opkomst van mobiele communicatiemiddelen en complexe netwerken hebben daartoe geleid. Dat heeft gevolgen.’

En die vernieuwing komt er. Op dit moment wordt er een wetsvoorstel geschreven dat naar verwachting binnen enkele weken naar de Raad van State wordt gestuurd en daarna naar de Tweede Kamer. In juli publiceerde het kabinet al een conceptwetsvoorstel: een 83 pagina’s tellend document en een memorie van toelichting van meer dan 200 pagina’s. Dit bood het ter internetconsultatie aan en daar kwamen meer dan vijfhonderd reacties op, bijna allemaal zeer kritisch.

Met beveiligingsexpert Matthijs Koot nam ik het conceptwetsvoorstel stevig onder de loep. Wat wil het kabinet dat de diensten straks mogen? Welke bevoegdheden moeten erbij? We lazen óók tientallen publieke reacties op het concept en geven de belangrijkste kritiekpunten hieronder weer.

Vanwaar deze uitgebreide analyse van een conceptwetsvoorstel?

Wij vinden het belangrijk dat er besproken wordt wat de AIVD en de MIVD mogen. De aandacht voor de inlichtingen- en veiligheidsdiensten door media en politiek valt bijna altijd samen met schandalen en schandaaltjes. Als er iets misgaat, staat het in de krant. Als de diensten hun werk goed doen, blijft het stil. Een structureel debat over de rol van geheime diensten ontbreekt daardoor.

Nu, aan de vooravond van een nieuwe wet die de bewegingsvrijheid én de grenzen van de diensten voor de komende jaren zal gaan bepalen, is een ideaal moment om dat gesprek te voeren. Niet aangezwengeld door ophef, maar door feiten en duiding van die feiten.

Dit zijn de belangrijkste wensen van het kabinet voor de inlichtingen- en veiligheidsdiensten én de kritiek erop.

1. Grootschalige interceptie van kabelcommunicatie

Wat mogen de diensten nu?

Op dit moment mogen de diensten grote hoeveelheden communicatie onderscheppen én doorzoeken die via de ether worden getransporteerd. Daarbij kun je denken aan radio- en satellietverkeer. Deze bevoegdheid is ‘ongericht’ omdat zij niet beperkt is tot de communicatie van personen die de diensten al in het vizier (targets) hebben, maar juist draait om het verzamelen van grote hoeveelheden data om daar achteraf in te kunnen zoeken op - bijvoorbeeld - namen, nummers en trefwoorden.

Communicatie die via de kabel loopt - zoals het meeste internetverkeer en (mobiele) telefonie - is volgens de huidige wet verboden terrein voor de diensten wat betreft de ongerichte variant van interceptie. De diensten mogen alleen gericht kabelgebonden communicatie tappen. Denk aan het afluisteren van een specifiek telefoonnummer of het aftappen van een specifiek IP-adres of een e-mailadres dat in verband wordt gebracht met een persoon of organisatie die in de ogen van de diensten een bedreiging vormt.

Wat wil het kabinet?

Het kabinet wil ook kabelcommunicatie ongericht kunnen aftappen. Iets formeler geformuleerd: de diensten moeten de bevoegdheid krijgen om bij ‘aanbieders van een communicatiedienst’ (zoals internetproviders en telecombedrijven, maar ook hostingproviders en individuele webmasters) toegang af te dwingen om communicatie van hun gebruikers te kunnen onderscheppen, zonder dat op voorhand te beperken tot specifieke personen of organisaties.

Iedereen communiceert tegenwoordig ook via kabelnetwerken. Ook terroristen, spionnen in binnen- en buitenland en regimes die massavernietigingswapens willen

Het belangrijkste argument voor deze bevoegdheid: iedereen communiceert tegenwoordig ook via kabelnetwerken. Ook terroristen, spionnen in binnen- en buitenland, vijanden in militaire missiegebieden en regimes die massavernietigingswapens willen.

Met ruimere bevoegdheden voor het intercepteren en analyseren van kabelcommunicatie hopen de diensten onbekende targets en nieuwe dreigingen te kunnen ontdekken vóórdat die zich manifesteren. Om digitale spionage te detecteren, is het van belang dat internetverkeer op bepaalde patronen kan worden doorzocht: communiceren computers op een ministerie onverwacht met een computer in een schurkenstaat?

Hoe de wet in de praktijk zal worden toegepast, en waar de grenzen liggen, maakt het kabinet niet duidelijk. Zo lijkt het op voorhand niet uitgesloten dat een zoekmachine kan worden verplicht om sleutels af te staan, zodat zoekopdrachten kunnen worden gescreend op trefwoorden om te achterhalen wie naar websites die terroristisch gedachtegoed verspreiden zoekt. Datzelfde geldt ook voor berichten die worden uitgewisseld op sociale media en via mobiele apps.

Wat valt hiertegen in te brengen?

De belangrijkste kritiek is dat het kabinet (en daarmee de diensten) niet duidelijk kan maken dat deze nieuwe bevoegdheid noodzakelijk is. De diensten slagen er volgens veel critici niet in overtuigend te bewijzen dat zij op dit moment in de problemen komen vanwege het ontbreken van deze bevoegdheid.

Zo schrijft het Nederlands Juristen Comité voor de Mensenrechten:

‘In de toelichting komt echter niet duidelijk naar voren waarom deze bevoegdheid noodzakelijk is, waarom de bestaande bevoegdheden niet in voldoende mate volstaan en welke (ernstige) problemen de voorgestelde bevoegdheid precies gaat oplossen. Door het ontbreken van deze informatie is de noodzaak van het voorstel vooralsnog niet aangetoond – omdat niet beoordeeld kan worden in hoeverre de voorgestelde ingrijpende maatregel het doel van het voorstel rechtvaardigt.’

De Stichting Digitale Infrastructuur Nederland stelt dat de bewijsvoering voor de noodzaak te zwak is:

‘Voor ingrijpende zaken zoals het ongericht vergaren en doorzoeken van persoonsgegevens [...] en het afdwingen van medewerking door bedrijven mag toch worden verlangd dat die met meer dan anekdoten of causale redeneringen wordt [sic] onderbouwd. Het is te kort door de bocht om de diensten en de minister op hun woord te geloven.’

Een ander punt van kritiek is de manier waarop deze bevoegdheid in de praktijk zou moeten worden uitgeoefend. Want: hoe doe je dat, op deze schaal kabels aftappen? Het kabinet laat dat, volgens verschillende criticasters, in het midden. Zo zegt de Nederlandse Internet Society:

‘[...] het hierbovenstaande suggereert dat de diensten [...] niet weten hoe die kabelgebonden interceptie in te richten.’

Business Communication Providers Alliance, een club die grote telecombedrijven British Telecom, COLT en Verizon vertegenwoordigt, stelt:

‘[...] De Memorie van Toelichting vermeldt slechts dat ‘maatwerk is vereist,’ en dat de diensten een ‘nauwkeurige omschrijving’ moeten geven van de soort medewerking welke van de aanbieder wordt verlangd. De voorzieningen die moeten worden getroffen zijn niet beschreven, laat staan gespecificeerd. [...]’

Digitale burgerrechtenbeweging Bits of Freedom vat de kritiek als volgt samen:

‘Ten eerste wordt ten onrechte geen afweging gemaakt tussen de grondrechten van burgers en de inbreuk die het invoeren van deze bevoegdheid op die grondrechten oplevert. Daarnaast ontbreekt de noodzaak om deze bevoegdheid in te voeren. Ten derde is deze bevoegdheid niet proportioneel ten opzichte van de inbreuk die de bevoegdheid veroorzaakt. Tot slot wordt niet aangetoond dat deze bevoegdheid effectiever zal zijn dan andere, minder inbreuk makende, bevoegdheden.’

2. Zoeken door bergen data

Wat mogen de diensten nu?

Zonder toestemming van de minister mogen de diensten momenteel de ether doorzoeken naar relevante communicatie. ‘Search,’ heet dat. Dit is alleen toegestaan bij communicatie die uit het buitenland komt of naar het buitenland gaat. De searchbevoegdheid mag dus niet worden toegepast op binnenlandse communicatie.

Er zijn twee belangrijke vormen van search:

1. Search gericht op interceptie: de diensten doorzoeken de ether naar radiofrequenties en satellietkanalen waarop relevante communicatie plaatsvindt. Communicatie op die kanalen mag daarbij in bulk worden onderschept.

2. Search gericht op selectie: de diensten proberen op de in bulk onderschepte communicatie zoekopdrachten (selectiecriteria) uit, zoals namen van personen en organisaties, telefoonnummers, e-mailadressen en IP-adressen.

Er mag bij het searchen alleen kort worden gekeken of geluisterd naar de inhoud van communicatie en alleen om de relevantie te bepalen. Er mogen aantekeningen worden gemaakt, al mag er geen ‘dossiervorming’ plaatsvinden, en de resultaten mogen niet worden doorgegeven aan operationele teams van de diensten.

Als tijdens het searchen relevante communicatie en zoekopdrachten zijn gevonden, wordt vervolgens toestemming aan de minister gevraagd om de zoekresultaten te gebruiken voor het operationele inlichtingenproces. Dat laatste heet selectie.

Wat wil het kabinet?

Het kabinet wil dat de diensten de search- en selectiebevoegdheden ook kunnen uitoefenen op kabelcommunicatie. Ook wil het kabinet dat de beperking vervalt dat search alleen mag plaatsvinden op communicatie die begint of eindigt in het buitenland.

Ter compensatie introduceert het kabinet een functiescheiding tussen het searchen en het operationele inlichtingenproces. Dit houdt in dat de minister of het diensthoofd specifieke ambtenaren zal aanwijzen die kennis mogen nemen van verzamelde gegevens waar de rest van de organisatie geen toegang toe heeft. Ook mag het searchen in het wetsvoorstel pas na toestemming van de minister plaatsvinden.

Waarom het kabinet dat wil? Voor de searchbevoegdheid geldt hetzelfde argument als voor kabelinterceptie: om te bepalen welk internetverkeer relevant is voor de diensten, is het nodig de in bulk onderschepte communicatie te kunnen doorzoeken op namen en nummers. Je weet op voorhand niet welk e-mailadres met welk e-mailadres zal communiceren over de planning van een terroristische aanval, via welk IP-adres staatsgeheimen worden weggesmokkeld of welk nummer in Syrië met welk Nederlands telefoonnummer zal communiceren over een voorgenomen uitreis of terugkeer. Uitbreiding van de bestaande searchbevoegdheid biedt de ruimte dit soort analyses uit te voeren.

Wat valt hiertegen in te brengen?

Het kabinet stelt geen bijzondere beperkingen aan het onderscheppen van binnenlandse communicatie. Zo geldt voor communicatie binnen Nederland hetzelfde als voor communicatie tussen, bijvoorbeeld, Nederland en Syrië, en communicatie die zich volledig in het buitenland bevindt, zoals communicatie tussen piraten rond de Hoorn van Afrika of in militaire missiegebieden als Mali.

Bij ons roept dit een aantal vragen op:

1. Staat het conceptwetsvoorstel toe dat binnenlandse communicatie op grote schaal wordt doorzocht, zonder aanzien des persoons, waardoor mogelijk communicatie van journalisten, advocaten, rechters, de private sector, et cetera wordt bekeken?

2. Daarmee samenhangend: blijft het zoeken op trefwoorden beperkt tot heel specifieke woorden, zoals namen van chemische stoffen en duidingen van militaire apparatuur? Of kan in de zoektocht gebruik worden gemaakt van algemenere trefwoorden? Zoals voor het identificeren van personen die op zoek zijn naar instructies om een bom te maken? Of die googelen naar extremistische webfora?

3. Mag gezichtsherkenning worden toegepast op live-beelden van persoonlijke webcams van Nederlandse burgers?

Er zijn nog meer bezwaren te noemen. De medewerkers die bij deze activiteiten betrokken zijn, hebben technisch gezien de mogelijkheid om in bulk onderschepte communicatie te onderzoeken. Dat is een risico voor misbruik: denk aan druk die vanuit operationele belangen wordt uitgeoefend, maar ook aan het lezen van e-mailberichten van je levenspartner die je verdenkt van overspel, of sms-berichten van de buurman waarmee je ruzie hebt.

Er is geen bewijs van dergelijk misbruik bij de Nederlandse diensten. Wel observeerde toezichthouder CTIVD in 2011 terloops dat ‘niet alle personen [bij de MIVD] die zich dagelijks bezighouden met de verwerking van Sigint de inbreuk [op de privacy] van dit middel op waarde schatten.’ Nu komen er dus meer bevoegdheden én meer data bij.

De toezichthouder schrijft verder in zijn reactie op het conceptwetsvoorstel dat bij het selecteren van communicatie ‘sprake [is] van een grote mate van ‘uitproberen’: selectie wordt breed ingezet aan de hand van criteria (persoonsgegevens) waarvan de relevantie niet altijd vaststaat.’ Vrij vertaald: veel trial-and-error met gevoelige persoonsgegevens.

De CTIVD adviseert daarom om naast een functiescheiding ook een systeemtechnische scheiding aan te brengen. Dan zouden uitsluitend de medewerkers die betrokken zijn bij de searchfase rechtstreeks toegang hebben tot de ruwe, ‘ongeëvalueerde’ bulk aan communicatie. Overige medewerkers, zoals analisten die deelnemen aan operationele teams, zouden alleen toegang moeten hebben tot de communicatie die uit de bulk is geselecteerd op basis van zoekopdrachten waarvoor de minister toestemming heeft gegeven. Dit advies van de CTIVD zou kunnen voorkomen dat analisten in een situatie komen waarin ze kunnen grasduinen in onderschepte communicatie.

3. Geautomatiseerde toegang en analyse van databases

Wat mogen de diensten nu?

De diensten kunnen op verschillende manieren data over personen krijgen. Eén daarvan is de bevoegdheid om ‘derden’ (zoals bedrijven die persoonsgegevens verwerken) te verzoeken op vrijwillige basis (persoons)gegevens aan de diensten te verstrekken. Dit is een algemene bevoegdheid, wat betekent dat er geen toestemming nodig is van de minister.

Wat wil het kabinet?

Het kabinet wil de diensten een wettelijke basis geven om geautomatiseerde toegang te krijgen tot databases van derde partijen. Denk aan een rechtstreekse koppeling met databases van bedrijven en organisaties die gegevens verwerken over identificatie, reisgedrag en financiën. Het gaat hierbij om toegang op basis van vrijwillige medewerking.

Daarnaast wil het kabinet de informatie uit deze databases automatisch kunnen analyseren, aangevuld met gegevens uit de eigen systemen en uit openbare informatiebronnen. Daarbij mag worden gezocht op ‘profielen.’ Ook deze bevoegdheid eist geen toestemming van de minister.

Door geautomatiseerde toegang en analyse denken de diensten dat zij, bijvoorbeeld aan de hand van reispatronen of financiële patronen, kunnen ontdekken wie zich mogelijk bezighoudt met terroristische activiteiten. Aanwijzingen zouden kunnen bestaan uit het op bepaalde tijden door bepaalde mensen afreizen naar bepaalde locaties, of het ontvangen of versturen van geld van of naar bepaalde binnenlandse of buitenlandse rekeningnummers.

Welke gegevens, kenmerken, patronen en profielen daarbij worden gebruikt, en hoe effectief en nauwkeurig die zijn, is een permanent vraagstuk; het vormt onderdeel van het kat-en-muisspel tussen de diensten en de personen en organisaties die zich aan de aandacht van de dienst willen onttrekken. Het kabinet stelt dat het doorzoeken idealiter bij de diensten plaatsvindt, ‘vanwege privacy- en beveiligingsaspecten.’ In dat geval zullen alle te doorzoeken gegevens naar de diensten worden gekopieerd, in potentie in bulk.

Wat valt hiertegen in te brengen?

Door de wetswijziging kan er druk komen te liggen op de partijen die een verzoek van de diensten krijgen. Hoe stel je je als bedrijf op ten aanzien van zo’n verzoek, dat in potentie de gegevens over de identiteit en het gedrag van vele - of misschien wel alle - personen in jouw database raakt? Ga je meteen akkoord of voel je je verantwoordelijk voor de individuele belangen en rechten van personen wier gegevens je verwerkt - en waar jouw bedrijf geld aan verdient?

Hoe stel je je als bedrijf op ten aanzien van zo’n verzoek, dat in potentie de gegevens over de identiteit en het gedrag van vele - of misschien wel alle - personen in jouw database raakt?

In de reacties op het conceptwetsvoorstel is verder veel kritiek geuit op de keuze van het kabinet om deze twee wetten niet als bijzondere bevoegdheid te betitelen, waardoor de diensten de bevoegdheid mogen toepassen zonder toestemming van de minister.

Verder concludeert de toezichthouder:

‘De CTIVD adviseert, net als bij metadata-analyse, een regeling te treffen voor die gevallen van geautomatiseerde data-analyse [gericht op het identificeren van personen en organisaties of op het onderkennen van bepaalde patronen] waardoor geen inbreuk wordt gemaakt op de persoonlijke levenssfeer.’

Privacy First vat deze twee conceptwetsartikelen als volgt samen:

‘Het voorstel maakt daartoe zelfs directe toegang tot de databanken van derde partijen (overheid én bedrijfsleven) mogelijk. Bij al deze partijen zullen bovendien complete databanken opgevraagd kunnen worden. Dit alles ten behoeve van koppeling, datamining en profiling, waarmee een uiterst gedetailleerd (zelfs voorspellend) beeld van groepen en individuen kan worden gecreëerd.’

4. Bedrijven en organisaties communicatie laten ontsleutelen

Wat mogen de diensten nu?

De diensten hebben de bevoegdheid om versleutelde gegevens te ontsleutelen. Als een sleutel onbekend is, kan de dienst personen of organisaties die de sleutel wel kennen (of in staat zijn het versleutelde verkeer te ontsleutelen) dwingen mee te werken. Deze ontsleutelplicht is gericht van aard: ze bestaat alleen als de diensten gericht willen afluisteren (‘geef ons de sleutel om de communicatie van X te ontsleutelen’) of gericht te hacken (‘geef ons de sleutel om de bestanden op computer X van X te ontsleutelen’).

In principe is hier geen toestemming voor nodig van de minister. Voor het hacken van computers geldt dat diensten zelfstandig mogen bepalen wat ze hacken en zelfstandig mogen bepalen wie ze dwingen tot ontsleuteling van gegevens. Niet voldoen aan een verzoek tot ontsleuteling is strafbaar: je kunt er maximaal een celstraf van twee jaar voor krijgen.

Wat wil het kabinet?

Het kabinet behoudt de bestaande ontsleutelplichten, maar wil nu - met de groeiende hoeveelheid versleutelde informatie - ook expliciet een ontsleutelplicht op kunnen leggen aan aanbieders van communicatiediensten als sociale media, webmail en andere internetdiensten om communicatie ongericht en in bulk te kunnen doorzoeken (‘geef ons de sleutel waarmee de communicatie van ál jullie gebruikers wordt versleuteld’). Als de aanbieder daartoe in staat is, zal hij ontsleuteld verkeer beschikbaar moeten stellen of de gebruikte sleutels af moeten geven aan de diensten.

De ongerichte ontsleutelplicht kan worden gezien als een voorwaarde om kabelcommunicatie effectief te kunnen analyseren. Effectieve ontsleutelmethoden zijn niet altijd beschikbaar. Als versleuteling sterker en alomtegenwoordiger wordt, krijgen de diensten minder bewegingsruimte. Ze zien dan alleen nog onleesbare massa’s getallen; daarin kan het moeilijk zijn om targets en hun plannen te ontdekken.

Met bepaalde toepassingen van versleuteling in combinatie met het toevoegen van ‘ruis’ (zoals het verbergen van de ‘echte’ communicatie in een hooiberg van nepcommunicatie) kan de effectiviteit van beschikbare methoden verder worden ondermijnd. Zonder ontsleutelplicht zijn de diensten belemmerd in het benutten van de toegang tot kabelnetwerken.

Wat valt hiertegen in te brengen?

Veel aanbieders van communicatiediensten voorzien praktische problemen bij deze bevoegdheid. Zo zegt T-Mobile dat het vaak niet mogelijk is om aan de ontsleutelplicht te voldoen omdat providers vaak niet beschikken over de benodigde sleutels:

‘[...] Het wordt in de tekst en artikelen niet duidelijk hoever de medewerkingsverplichting reikt. Kan de decryptieverplichting ook inhouden ‘het in het netwerk inbouwen van gedeeltelijk uitschakeling van encryptiemethoden’?’

KPN merkt over het afstaan van sleutels, bijvoorbeeld om versleuteld HTTP-verkeer (het slotje in de browser) te ontsleutelen, op dat ‘de partij die de [sleutel] krijgt [zich kan] voordoen als de aanbieder’ en daarmee zogenaamde ‘man-in-the-middle-aanvallen’ kan uitvoeren. Dat is een van de methoden om in te breken op computers. KPN acht het ‘uiterst onwenselijk dat de diensten deze rol zou kunnen vervullen zonder transparantie naar de aanbieders toe.’

VNO-NCW / MKB-Nederland, die namens het Nederlandse bedrijfsleven spreekt, vat zijn kritiek als volgt samen.

‘De verplichting voor ondernemingen om mee te werken aan de ontsleuteling van communicatie en gegevens en/of het opleveren van sleutels brengt de ondernemingen in een lastig parket. Allereerst is het vrijmaken van sleutels voor transport veelal onmogelijk omdat die sessie-gebonden en vluchtig zijn. Of zij zijn hardwarematig beschermd waardoor vrijmaken tot netwerkuitval zal leiden met alle consequenties van dien.

De verplichte medewerking aan ontsleuteling en/of het opleveren van sleutels brengt aanbieders bovendien in direct conflict met de privacy- en cybersecurityzorgplicht die de onderneming jegens de gebruiker heeft.’

En het toezicht dan?

Ongeacht wat de nieuwe bevoegdheden van de diensten zullen worden, feit is dat de diensten nu al verregaande bevoegdheden hebben. Diensten mogen strafbare feiten plegen en kunnen de rechten van burgers schenden.

Daar hoort een stevig systeem van checks-and-balances bij. Waarborgen die zeker stellen dat de diensten deze verregaande bevoegdheden alleen onder strikte voorwaarden uitoefenen.

Een onafhankelijke toezichthouder - of een rechter - wiens oordelen bindend zijn, wordt door Europese gerechtshoven, jurisprudentie en zo ongeveer iedereen die er verstand van heeft gezien als een absolute voorwaarde voor democratische legitimiteit van geheime diensten.

Hierdoor ontstaat het risico van de slager die zijn eigen vlees keurt. Een slager die, als het aan hemzelf ligt, binnenkort een erg ruim assortiment vlees tot zijn beschikking zal krijgen

Binnen de oude wet zijn de oordelen van de Nederlandse toezichthouder, de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD), niet-bindend. De nieuwe wet lijkt een uitgelezen moment om daar verandering in aan te brengen en het Nederlandse toezichtssysteem aan te passen aan Europees mensenrechtelijke normen.

Maar het kabinet maakt in het conceptwetsvoorstel een andere beslissing. Het wil geen onafhankelijk bindend toezicht, maar een minister die de uiteindelijke beslissingen en evaluaties maakt. Het wil een toezichthouder die, als het er echt op aankomt, tandeloos is en kan worden overruled door de minister. Dezelfde minister die ook politiek verantwoordelijk is voor de diensten.

Hierdoor ontstaat het risico van de slager die zijn eigen vlees keurt. Een slager die, als het aan hemzelf ligt, binnenkort een erg ruim assortiment vlees tot zijn beschikking zal krijgen.

Dit artikel schreef ik samen met Matthijs Koot