Bescherming of bedreiging?

Stel dat een AIVD-medewerker al je mails en elk chatbericht kan lezen, dat hij of zij precies kan nagaan welke websites je bezoekt, naar welke muziek je luistert en welke films je bekijkt. Of stel dat een algoritme, op zoek naar ‘verdachte’ woordcombinaties, ook jouw digitale communicatie doorzoekt – niet omdat je verdacht bent, maar omdat je nu eenmaal gebruikmaakt van dezelfde internetkabel als mensen die wél staatsgevaarlijk zijn. Met de toeslagenaffaire in het achterhoofd is dat wellicht geen plezierige gedachte. Willen we de AIVD deze mogelijkheid geven? Aan de andere kant: wat als een buitenlandse hacker via die kabel geheime bedrijfsinformatie ontfutselt en de AIVD dit niet kan voorkomen?

Meeste aanvragen goedgekeurd

Een groeiende dreiging van cyberaanvallen, gecombineerd met geheime diensten die door alle administratieve rompslomp en omslachtige protocollen niet meer in kunnen staan voor onze nationale veiligheid: dat klinkt ernstig. Toch geven de jaarverslagen van de TIB niet de indruk dat de diensten vleugellam zijn. De afgelopen jaren keurde de TIB het overgrote deel van de aanvragen van de diensten goed. In 2021 dienden de AIVD en de MIVD samen bijvoorbeeld 3.071 verzoeken in. Daarvan moest de AIVD 3,3 % afblazen en de MIVD 7 %. Die getallen zeggen overigens niets over de inhoud van de aanvragen – het kan dus zijn dat juist die paar afgewezen gevallen cruciaal waren.

De diensten vinden de traagheid van de goedkeuringsprocessen te belemmerend. Maar als er echt haast bij is, kunnen de diensten altijd een spoedprocedure inzetten; de onderzoekers kunnen dan meteen van start gaan, zonder dat ze hoeven te wachten op een reactie van de TIB. In 2021 gebeurde dit 101 keer. “De diensten willen liever minder vaak toestemming vragen, omdat het hele proces drie weken duurt”, zegt Hubert. “Alleen ligt de aanvraag van die drie weken slechts drie dagen bij de TIB. Een deel van de bureaucratie ligt dus bij henzelf. Er is dus veel méér mogelijk dan de wet wijzigen. Dat mis ik in de discussies over de Wiv 2017.”

Rondsnuffelen op internetkabels

Een van de omstreden wijzigingen van de wet gaat over zogeheten ongerichte kabelinterceptie: de diensten mogen elke kabel een jaar lang afluisteren ‘ter verkenning’, zonder de TIB hiervoor om toestemming te vragen. Tot nu toe was die toestemming wel nodig. In 2021 bijvoorbeeld weigerde de toezichthouder dit twee keer. In het eerste geval zou een behoorlijke hoeveelheid van het internetverkeer van onder meer Nederlandse burgers worden opgeslagen en ongezien terechtkomen bij een buitenlandse veiligheidsdienst. Wat dat zou bijdragen aan de veiligheid van Nederland, was de TIB onduidelijk. Bij het tweede verzoek bestond volgens de toezichthouder het gevaar dat medewerkers van de diensten ook van willekeurige Nederlandse burgers konden bijhouden wie op welk moment welke websites bezocht. Ook dat vond de TIB niet te rechtvaardigen met het veiligheidsdoel dat de AIVD beschreef.

In plaats van gericht te zoeken naar belangrijke informatie op internetkabels mogen de diensten volgens de voorgestelde wetswijzigingen ongericht ‘snapshots’ nemen van ons internetverkeer in het kader van toekomstig onderzoek naar landen met een agressief cyberprogramma tegen Nederland. Als die snapshots, steekproeven dus, wijzen op verdachte zaken, kunnen ze leiden tot een nieuwe onderzoeksvraag. Pas op dat moment moet de AIVD de TIB toestemming vragen om dieper op de materie in te gaan.

Hubert vindt dat een zorgelijke ontwikkeling. “Momenteel moet er een behoorlijke aanleiding zijn om rond te gaan snuffelen op de kabel. Straks kunnen ze dat op elke gewenste kabel, ook als die naar het Media Park loopt, of naar een studentencomplex met veel buitenlandse studenten.”

De Nijmeegse hoogleraar Digitale Veiligheid Bart Jacobs, lid van de evaluatiecommissie die het systeem van toezicht op de diensten evalueerde , deelt deze zorgen niet. “Hubert reduceert de actie tot het afluisteren van een bekende persoon. Het gaat er juist om dat je van tevoren niet weet wie je moet afluisteren. Als de diensten vooraf goed kunnen verkennen wat er gebeurt op een kabel, kunnen ze daarna gerichter gegevens binnenhalen. Je zou dus kunnen zeggen dat het juist beter is voor onze privacy.”

Een woordvoerder van de AIVD laat weten dat het de diensten helemaal niet te doen is om onschuldige burgers af te luisteren. “Deze wet is ingediend om Nederland en Nederlandse belangen te beschermen tegen landen met een offensief cyberprogramma – een reële dreiging – en niet om privacy van burgers te schenden.”

Volgens Houwing heeft dit consequenties op verschillende niveaus. De TIB kan de technische risico’s op deze manier niet meenemen in de beoordeling van een aanvraag, maar bovendien zullen de diensten a priori minder gemotiveerd zijn om er serieus over na te denken. “Als je weet dat de toezichthouder naar die technische risico’s gaat kijken, ga je er al met een ander perspectief over nadenken. Natuurlijk hebben de diensten zelf een belang om de hackbevoegdheid in te zetten zonder dat iemand dat ontdekt, maar dat is een overweging vanuit hun eigen belangen, niet vanuit de belangen van burgers.”

Rowin Jansen, onderzoeker aan de Radboud Universiteit Nijmegen en specialist op het gebied van de veiligheidsdiensten, zegt dat strategische operaties momenteel bijna per definitie leiden tot onenigheid met de toezichthouder. Dat komt door de vaagheid van de huidige wet. “Bij een strategische operatie zet je bepaalde bevoegdheden in met als doel een informatiepositie op te bouwen, waar je pas later profijt van hebt”, legt hij uit. “Het opzetten van een informantennetwerk in het buitenland is ook een strategische operatie. In de digitale context staat de wetgeving dit wel toe, maar zonder duidelijke kaders te scheppen. Dat maakt het heel moeilijk dit te reguleren.”

De TIB toetst elke bevoegdheid van de veiligheidsdiensten aan noodzakelijkheid, proportionaliteit, gerichtheid en subsidiariteit, dus ook de strategische hacks. “Het probleem is dat dit soort operaties vaak niet zo gericht zijn”, zegt Jansen. “Misschien zijn ze noodzakelijk, maar het profijt zit in de toekomst, dus je weet van tevoren niet of de hack proportioneel is, of niet. Dat vraagt om nadere duiding door de wetgever, maar dat is nogal complex.”

Moeilijke klus

Terwijl de TIB minder gelegenheid krijgt om de AIVD en de MIVD vooraf te toetsen, krijgt een tweede toetsingscommissie, de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) er juist bevoegdheden bij. De CTIVD toetst momenteel tijdens en achteraf of de veiligheidsdiensten zich aan de regels houden. De commissie mag, ook nu al, onbeperkt AIVD- en MIVD-werknemers interviewen, files inkijken en dossiers doorpluizen. Als de CTIVD concludeert dat de diensten de regels hebben gebroken, dan krijgt de commissie volgens de voorgestelde wet de macht om in sommige gevallen alsnog aan de noodrem te trekken. De veiligheidsdienst moet de gewraakte actie dan staken. De voor de diensten verantwoordelijke minister kan in dat geval bij de Raad van State in beroep gaan tegen het besluit van de CTIVD. De rechter besluit dan uiteindelijk of de dienst door mag gaan, of niet.