Waarom de EU-regels voor spionagetools (nog) niet werken

Het onderzoek van ons internationale consortium Security for Sale laat zien dat regels die moeten voorkomen dat Europese surveillanceapparatuur naar dictatoriale regimes wordt geëxporteerd onvoldoende werken.

De Europese Unie (EU) verscherpte de exportregels in 2014 na een aantal incidenten waarbij Duitse, Franse, Italiaanse en Engelse malware en surveillanceapparatuur werden misbruikt om in andere landen activisten, journalisten en oppositieleden te bespioneren.

Wat is het probleem?

Tussen 2014 en 2016 werden meer dan 300 exportvergunningen afgegeven voor surveillanceapparatuur. Daarvan ging 29,5 procent van die exportvergunningen naar landen die van denktank Freedom House het stempel ‘onvrij’ krijgen.

Daarnaast hebben we met een groep vrijwilligers een overzicht gemaakt waar alle Europese bedrijven die surveillanceapparatuur maken actief zijn. We vonden 235 bedrijven die hun hoofdkantoor in een Europees land (de EU plus Noorwegen en Zwitserland) hebben staan. Veel van deze Europese bedrijven zijn actief in dictatoriale regimes:

42 in de Verenigde Arabische Emiraten
40 in China
15 in Turkije
Eveneens 15 in Saoedi-Arabië

Europese surveillancebedrijven zijn dus wereldwijd actief.

Waarom schieten de huidige regels tekort?

Sinds 31 december 2014 gelden er voor de hele EU exportrestricties voor technologie om internetverkeer en mobiele telecom af te tappen, en voor software om op computers en netwerken in te breken. Dit soort apparatuur en software staat bekend als ‘dual use,’ omdat het ingezet kan worden voor zowel militaire als civiele doeleinden.

Om dual use-technologie te exporteren naar ‘derde landen’ - landen buiten de EU - hebben bedrijven een vergunning nodig van de nationale autoriteit. In Nederland is dat het ministerie van Buitenlandse Zaken.

Officieel moeten EU-landen ‘alle relevante overwegingen’ meenemen in het besluit een vergunning te verlenen aan een bedrijf dat een product wil exporteren - inclusief het risico dat dat product gebruikt gaat worden voor repressie in het ontvangende land.

Maar hoewel de regels in principe voor elke EU-lidstaat hetzelfde zijn, worden ze in de praktijk door elk land anders uitgelegd. Denemarken en het Verenigd Koninkrijk hebben bijvoorbeeld vergunningen verleend voor de export van surveillancetechnologie naar de Verenigde Arabische Emiraten (VAE), maar Nederland weigerde die vergunning te geven omwille van de mensenrechten.

Finland, dat laat weten ‘qua mensenrechten de Nederlandse lijn te volgen,’ stond ook exports naar de VAE toe, bovendien verleende het een aantal keer vergunningen om surveillancetechnologie voor mobiele telecom te exporteren naar autocratische landen als Koeweit, Oman en Marokko.

Verklaring: de regels zijn multi-interpretabel

Het kan zijn dat de regels zo verschillend worden uitgelegd omdat ze onduidelijk zijn. Nederland, Oostenrijk en Spanje vatten de regels bijvoorbeeld zo op dat landen verplicht zijn een vergunning te weigeren als er ‘een grote kans’ is dat de spullen worden gebruikt voor interne repressie in het ontvangende land. Precies zoals bij conventionele wapens zoals tanks en munitie.

Maar landen als Denemarken en Duitsland lezen die verplichting niet in de regels. De Deense minister van Buitenlandse Zaken vindt dat een land alleen verplicht is de potentiële mensenrechtenrisico’s in overweging te nemen - en dan nog alleen voor de gevallen waarin de eindgebruiker ‘militair of iets vergelijkbaars’ is. De Denen vinden dat ze de export om economische redenen gewoon kunnen toestaan, ook al is er een ‘grote kans’ dat dat bijdraagt aan repressie in het ontvangende land.

Klinkt misschien als juridisch geneuzel. Maar dat is het niet

Dat klinkt misschien als juridisch geneuzel. Maar dat is het niet, zegt Collin Anderson. Anderson is een Amerikaanse veiligheidsdeskundige die onderzoek doet naar de regelgeving rond de handel in surveillancetechnologie.

‘Het is niet eerlijk dat een bedrijf uit Nederland, dat mensenrechten serieus neemt, moet concurreren met bijvoorbeeld een bedrijf uit Italië, waar de autoriteiten zoals bekend lak hebben aan mogelijke mensenrechtenschendingen. Daarmee ondermijn je het hele idee van de EU.’

Volgens Quentin Michel, professor aan de Universiteit van Luik en een expert op het gebied van exportregulering, is het mensenrechtencriterium slechts één van de vele aspecten van de EU-regels die door elke lidstaat anders worden geïnterpreteerd. ‘Tot dusver zijn alle pogingen van de Europese Commissie om tot een gemeenschappelijke opvatting van de exportregels te komen gestrand. Daarom is er geen eerlijk speelveld in de EU,’ zegt hij.

Het loont dus om ‘vergunning te shoppen’

In theorie betekent dat bijvoorbeeld dat een bedrijf een exportvergunning kan aanvragen in een land waar het meer kans op succes heeft dan in zijn eigen land - een fenomeen dat bekend staat als license shopping.

‘Omdat individuele lidstaten nog altijd nationale bevoegdheden hebben, kunnen ze zelf bepalen hoe ze Europese regels rondom dual use-export interpreteren, ook al maken ze die regels samen,’ zegt Marietje Schaake van de Alliantie van Liberalen en Democraten voor Europa (ALDE). Schaake maakt zich al jaren sterk voor scherpere controle op de handel in digitale wapens, en was degene die het probleem op de politieke agenda zette.

‘Dat is een zwakte in het systeem, want het loont dan voor die bedrijven om rond te gaan shoppen tot een van de landen ja zegt.’

Of dit momenteel gebeurt, is onduidelijk. Volgens Schaake kunnen we daar ook niet achter komen, omdat lidstaten onderling niet goed communiceren.

Wat gaat de nieuwe wetgeving veranderen?

De Europese Commissie is al sinds de Arabische opstanden rond 2011 bezig de controle op de export van digitale wapens te verscherpen, maar heeft grote moeite om wettelijk bindende afspraken te maken met de lidstaten. Een nieuw wetsvoorstel voor dual use-goederen ligt op dit moment bij het Europees Parlement.

Dat voorstel steunt op vier principes.

Consistentie. Alle Europese landen moeten vergunningsaanvragen op dezelfde manier behandelen.
Efficiëntie. Het aanvragen van een vergunning moet geen belemmering vormen voor de legitieme handel.
Effectiviteit. Europese landen moeten mensenrechten beschouwen als een voorwaarde - niet slechts als een optie - bij het beoordelen van een exportaanvraag, zodat technologie niet ingezet kan worden voor binnenlandse repressie.
Transparantie. Er moeten een rapportagesysteem komen dat het voor landen makkelijker maakt om informatie te delen.

Bovendien heeft de Europese Commissie de lijst uitgebreid van surveillancetechnologieën die onder de voorgestelde regels moeten gaan vallen. Als lidstaten of bedrijven zich niet aan de regels houden, krijgen ze boetes opgelegd.

Volgens Marietje Schaake heeft Europa te lang alleen commerciële overwegingen laten meewegen. ‘Bedrijven klagen dat de nieuwe regels te veel papierwerk met zich meebrengen en dat begrippen als ‘mensenrechten’ te multi-interpretabel zijn. Maar in mijn optiek is dat geen argument om de huidige regelgeving dan maar helemaal niet aan te passen,’ zegt ze.

‘Wat er nu gebeurt is een totale ramp. Mensen verdwijnen in de gevangenis dankzij onderdrukkende technologieën die in Europa gemaakt zijn. We reguleren koffie, zodat er geen vergif in zit, en speelgoed zodat kinderen er niet kunnen stikken. Maar we blijken niet in staat om het gebruik van dual use-middelen beter te controleren.’

Maar niet iedereen is blij met de plannen

Lobbyclub Digital Europe, die opkomt voor de belangen van zo ongeveer alle grote Europese digitale- en telecombedrijven, vindt dat Europa de problemen niet in z’n eentje moet oplossen, maar samen met alle landen. In een verklaring stellen de lobbyisten dat het niet effectief is om regels op te stellen voor Europese bedrijven, terwijl de rest van de wereld zijn gang kan gaan. De groep lobbyt ook tegen transparante rapportage, vanwege het vertrouwelijke karakter van de industrie. Transparantie is slecht voor de business.

Digital Europe is niet de enige kritische lobbygroep. Volgens The Aerospace and Defence Industries Association of Europe, die de grote ruimtevaart- en defensiebedrijven van Europa vertegenwoordigt, is er in het nationale vergunningsproces al voldoende aandacht voor de mensenrechten. De lobbygroep EuroCommerce, die zes miljoen bedrijven in de detail- en groothandel vertegenwoordigt, is bang dat het aanvragen van een exportvergunning veel te complex en tijdrovend wordt.

In het ene land is het inperken van burgervrijheden misschien wel terecht, in het andere niet’

En BDI, ‘de stem van de Duitse industrie,’ klaagt dat het begrip ‘mensenrechtenschendingen’ te vaag is, en dat bedrijven niet belast moeten worden met de inschatting of een land veilig is of niet. In het ene land is het inperken van burgervrijheden misschien wel terecht, in het andere niet, schrijft BDI.

In onder andere Zweden, het Verenigd Koninkrijk en Duitsland, waar de dual use-export heel groot is, krijgen de claims van de lobbyisten steun van de regering. Marietje Schaake is niet verbaasd over de klaagzang van de industrie. ‘Bedrijven houden gewoon niet van regels. Het is een standaardreactie,’ zegt ze.

Hebben die lobbyclubs een punt?

Tot op zekere hoogte wel. ‘Die bedrijven vinden vooral dat de regels te vaag zijn. Het is inderdaad aan Europa om heel precies te zeggen: deze producten vormen een risico, deze niet, je moet dat controleren en alleen als je je aan deze regels houdt, krijg je een stempel,’ zegt Schaake. ‘En het staat buiten kijf dat alles soepel moet lopen. Niet honderd formulieren invullen als eentje ook genoeg is.’

Maar niet iedereen is tegen het voorstel. In 2014 vormde een aantal organisaties – waaronder Amnesty International – de Coalition Against Unlawful Surveillance Exports (CAUSE) om overheden en bedrijven aansprakelijk te stellen voor misbruik van surveillancetechnologie. Volgens CAUSE kan de nieuwe regulering dan ook niet streng genoeg zijn.

Ook Nederland, dat de Europese regels sowieso al strikt hanteert, is voor. In een toelichting op haar standpunt schrijft de Nederlandse regering dat ‘veiligheidsbelangen altijd voor economische gaan.’

Schaake: ‘In plaats van dat alle landen zeggen ‘als Nederland zo strikt is, gaan we gewoon via een ander land exporteren,’ zou ik liever zien dat elk land zich aan de hoogste standaard houdt.’

Intussen blijven Nederlandse surveillancebedrijven winst maken

Toch is ook de situatie in Nederland nog verre van perfect. Opgevraagde documenten laten zien dat de Nederlandse regering sinds 2014 slechts één exportvergunning heeft verleend voor surveillancegoederen. Maar Nederlandse bedrijven als Group 2000 en Digivox, die actief zijn in de surveillancebusiness, maken forse jaarwinsten en leveren aan overheidsdiensten en telecom- en internetproviders uit de hele wereld.

Beide bedrijven weigerden te praten en ook het ministerie van Buitenlandse Zaken wil niets kwijt over de bedrijven, waardoor de prangende vraag blijft staan: hoe kunnen die bedrijven hun producten en diensten wereldwijd verkopen als er in de Nederlandse archieven geen enkel spoor van die export te vinden is?

Onder de huidige wetgeving komen we daar nooit achter. Het is nu aan Europa om te zorgen dat de regulering strenger en transparanter wordt.

Lasse Skou Andersen en Sebastian Gjerding van de Deense krant Dagbladet Information hebben meegewerkt aan dit verhaal.

Dit onderzoek kwam tot stand in het kader van Security for Sale, een internationaal onderzoeksproject over de Europese veiligheidsindustrie onder leiding van De Correspondent. Voor dit project werkten wij samen met meer dan twintig Europese journalisten. Het consortium kreeg een werkbeurs van Journalismfund.eu.

Met dank aan Hans Pieter van Stein Callenfels voor vertaalwerk vanuit het Engels.