Toezichthouder: AIVD en MIVD hielden niet genoeg toezicht bij kabelinterceptie – IT Pro – Nieuws

De toezichthouder op de inlichtingen- en veiligheidsdiensten gaat strenger toezien op kabelinterceptie door AIVD en MIVD. De inlichtingendiensten hebben dat ‘sleepnet’ voor het eerst ingezet, maar daarbij voldeden de interne controles niet aan de Wiv uit 2017.

De Commissie van toezicht op de inlichtingen- en veiligheidsdiensten, of Ctivd, onderzocht het gebruik van kabelinterceptie bij de Algemene en de Militaire inlichtingen- en veiligheidsdiensten. Die hebben sinds de herziening van de Wiv in 2017 de bevoegdheid verkeer af te tappen van de kabel, een proces dat in de volksmond ook wel ‘sleepnet’ wordt genoemd.

De AIVD en MIVD pleiten al jaren voor meer mogelijkheden voor kabelinterceptie, maar hebben die bevoegdheid tot nu toe niet operationeel ingezet. Wel zag de Ctivd dat de diensten tijdens een bepaalde periode zogeheten snapshots maakten. Dat is een lichte vorm van ‘kortstondige integrale kabelinterceptie van bepaalde gegevensstromen’, schrijft de Ctivd in een rapport. “Doel van deze vorm van kabelinterceptie is het vervolgens onderzoeken van de geïntercepteerde gegevens op potentiële inlichtingenwaarde.” Het proces van ‘snapshotten’ verschilt op een aantal manieren van algemene kabelinterceptie; het proces duurt maximaal twee uur en data mag maximaal een jaar worden bewaard.

Tijdens het inzetten van die bevoegdheid traden de AIVD en MIVD op bepaalde onderdelen onrechtmatig op, concludeert de toezichthouder. Dat gebeurde toen de diensten in korte tijd zo’n kabelinterceptie probeerden op te zetten. Hoewel dat technologisch succesvol was, werd ‘de zorgplicht’ niet voldoende uitgevoerd. Daarmee wijst de Ctivd specifiek op de aanpassing in de Wiv in 2017, die moet waarborgen dat gegevens op rechtmatige wijze worden verzameld. “De zorgplicht houdt onder meer in dat er voortdurend controle is op de wijze waarop zij gegevens verwerken en dat zij er zorg voor dragen dat de gegevensverwerking in overeenstemming is en blijft met de daarvoor geldende wettelijke voorschriften”, schrijft de toezichthouder.

Omdat de diensten de kabelinterceptie zo snel probeerden op te stellen, waren de risico’s groot dat er onterecht data verzameld zou worden. Daarom hadden de diensten daar vanaf het begin al oog voor moeten hebben, maar dat was niet het geval. In het oorspronkelijke plan waren volgens de toezichthouder geen plannen opgenomen die onrechtmatige gegevensverzameling moesten beperken. Zo hadden er ‘voldoende controlemechanismen’ moeten zijn, en er werden geen interne controles uitgevoerd op het proces. Dat leidde tot verschillende situaties waarin gegevens onrechtmatig konden worden verzameld. De geautomatiseerde loggingmechanismen waren niet ingericht op kabelinterceptie. Ook toetsten de AIVD en MIVD het gebruik van externe hard- en software niet voldoende. Beleidsinstructies werden bovendien pas tijdens het proces vastgelegd in plaats van vooraf, net als het vastleggen van besluiten van het management.

Al die tekortkomingen hebben tot gevolg dat de Ctivd in de toekomst scherper toezicht wil houden op kabelinterceptie bij de diensten. Die hebben zelf eind 2021 al een plan opgesteld om het interne toezicht te verbeteren. De Ctivd gaat kijken of de AIVD en MIVD dat plan ook volgen.

Het rapport komt uit op een moment dat de inlichtingendiensten juist pleiten voor minder toezicht op hun werkzaamheden. Onlangs pleitte MIVD-directeur Jan Swinkels ervoor dat het toezicht door de TIB niet voorafgaand, maar tijdens de inzet van bevoegdheden moet plaatsvinden. Het probleem ligt volgens zowel de inlichtingendienst zelf als de toezichthouder bij de Wiv. Die schrijft voor dat kabelinterceptie alleen mag als dat ‘zo gericht mogelijk’ gaat. Door de werking van kabelinterceptie en de manier waarop internetverkeer over de kabel verloopt, is gerichte interceptie vrijwel onmogelijk. De snapshots die de diensten nu hebben gemaakt, vallen daarbuiten, omdat die een momentopname zijn. De toezichthouder pleit er in het rapport dan ook voor de wet aan te passen zodat het maken van snapshots een apart begrip wordt. Die methode kan dan sneller worden ingezet.