Tappen zonder tappen, de wet & de bedoeling

Afgelopen dinsdag vond in de Tweede Kamer een Wetgevingsoverleg plaats over de nieuwe wet die de inlichtingendiensten AIVD/MIVD bevoegdheden gaat geven iedere kabel een jaar lang af te luisteren, en de gesprekken/data die zijn afgeluisterd zes maanden op een harde schijf te bewaren. Het werd een debatstrijd tussen met name Forum voor Democratie en de minister over de aard van “verkennen”. Dinsdag 24 oktober vindt de stemming plaats over het wetsvoorstel

De wet zegt dat deze data alleen gebruikt mag worden om de kabel te “verkennen”, om te bepalen of er spannende dingen gebeuren. Ook mag deze data aan buitenlandse  inlichtingendiensten gegeven worden om te helpen met deze analyse. De houding van de diensten is dat het hiermee niet zo is dat alle gebruikers van die kabel daarmee afgeluisterd worden (ondanks dat de wet spreekt over afluisteren). Daartegenover staat de mening dat als je telefoongesprekken op een server van de AIVD staan, en mensen daar analyses op doen, je toch afgeluisterd bent.

Dit onderscheid tussen tappen, verkennen, afluisteren en ‘kennis nemen van’ (‘doordringen tot het betekenisregime’) is voor de diensten van existentieel belang. De diensten leven oprecht in een kader waarin je het (telefoon)verkeer van mensen kunt opnemen en opslaan en delen, maar dat je vanwege de beperkte intentie van dit alles mensen nog niet aan het afluisteren bent. Daarom was het debat soms zo fel – het is vanuit de diensten niet te doen om hierover op een andere manier te praten.

De intentie duikt ook op in andere gesprekken. Zo is het niet de bedoeling van de diensten om journalisten (of advocaten, of artsen) af te luisteren, maar het kan toch voorkomen als een journalist gehacked is door de Chinezen en administratief bijgeschreven wordt op de tap. Er is simpelweg geen tijd om uit te zoeken of het een journalist was, en als dat toch zo was wordt de data snel gewist. Helaas praat men hier nogal wollig over, want als je het zo opschrijft is het iets waar mensen best een stellige mening over zouden kunnen hebben.

Afsluitend werd weer een boel verteld dat de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten bindend toezicht krijgt op van alles, terwijl ze dat alleen over een paar selecte artikelen krijgen. Nadrukkelijk komt er géén bindend toezicht op het bulk afluisteren en verkennen van kabels. Maar zelfs de minister bleek hierover in de war.

Waar ze het niet over hadden

• Hoe zit het nou met ChatGPT/algoritmes en toezicht? Is dit echt het moment om het toezicht op “geautomatiseerde data analyse” (GDA) af te bouwen? En waarom moet er – om een internetkabel te verkennen – zes maanden lang data opgeslagen worden?
• Wat moeten we doen als de huisvestingsproblemen van de CTIVD voortduren, of als ze niet voldoende toezichthouders kunnen werven? Toezicht achteraf vindt plaats als de toezichthouder tijd en capaciteit heeft, en anders is er geen of niet voldoende toezicht?
• Hoe zit het met het “strategisch hacken” (sectie 2.2.2 van de memorie van toelichting), waar de diensten laten weten dat ze graag ongerelateerde bedrijven alvast willen hacken om een positie in te nemen, voor het geval dat. Best heftig.
• Ook het wegvallen van beperkingen op het tappen van Nederlands verkeer onderling is niet genoemd. En ook het toezicht voor hacken met zerodays/onbekende kwetsbaarheden is geen woord over gevallen, terwijl daar eerst een meldplicht voor was, eentje die door de diensten enorm geschonden is in 2021.
• Er is ook geen woord gevallen dat de Nota van wijziging op de wet nooit besproken is geweest in een commissievergadering. En is toch echt een complex stukje wet. Alleen D66 beklaagde zich even dat dat niet mogelijk was geweest.

Een verslag van het debat is te vinden op de website van Bert Hubert