De AIVD en de MIVD maken gebruik van zogenoemde bulkdatasets: grootschalige verzamelingen persoonsgegevens die soms miljoenen records bevatten. Het gaat daarbij niet alleen om basisgegevens zoals namen en telefoonnummers, maar ook om locatiegegevens, sociale mediadata en zelfs inhoud van communicatie. Deze datasets zijn afkomstig uit verschillende bronnen, waaronder andere overheidsorganisaties, commerciële aanbieders en in sommige gevallen datasets die door hackers online worden aangeboden.
AIVD en MIVD zijn slordig en soms onrechtmatig omgegaan met bulkdatasets
Vandaag bracht de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) een nieuw rapport uit over bulkdataverwerking bij de inlichtingendiensten. De conclusies zijn niet mals. De dataverwerking bij de AIVD en de MIVD voldoet niet aan de wettelijke randvoorwaarden. Een aantal belangrijke waarborgen is niet op orde. Hierdoor zijn gegevens onrechtmatig verwerkt.
Het gebruik van dergelijke bulkdata is toegestaan, bijvoorbeeld in het kader van onderzoeken naar terrorisme en buitenlandse spionage. Aan dit gebruik zijn echter strikte voorwaarden verbonden. Zo geldt er een beperkte bewaartermijn, mag slechts een selecte groep medewerkers toegang hebben tot de gegevens en moet die toegang zorgvuldig worden afgeschermd. Daarnaast zijn de diensten verplicht om gegevens te vernietigen zodra blijkt dat deze niet relevant zijn voor hun onderzoeken.
De CTIVD constateert echter dat de AIVD en de MIVD hun processen op dit punt onvoldoende op orde hebben. Zo blijkt dat groepen medewerkers onrechtmatig toegang hadden tot persoonsgegevens en dat grote hoeveelheden data in meerdere gevallen langer werden bewaard dan toegestaan.
‘Met de enorme hoeveelheden gelekte en verhandelde bestanden is het mogelijk een heel schaduwarchief op te bouwen van data over Jan en alleman’
Bert Hubert
Schaduwarchief
‘Met de enorme hoeveelheden gelekte en verhandelde bestanden is het mogelijk een heel schaduwarchief op te bouwen van data over Jan en alleman’, schrijft Bert Hubert in zijn blogpost naar aanleiding van het rapport. ‘En daar kan je dan als diensten je voordeel mee doen, met veel minder externe regels en procedures. Er komt zo een dekkende hoeveelheid informatie beschikbaar over uiteindelijk vrijwel iedereen.’
Hij waarschuwt dat naarmate deze bulkdata ouder worden, de kansen op fouten toenemen, wat tot vervelende situaties kan leiden. ‘Het is daarom vanuit burgerrechten en veiligheid niet “gratis” om enorme archieven aan te leggen en te bewaren. Of zoals het Europees Mensenrechtenhof het ooit goed zei: het is altijd een inbreuk op iemands persoonlijke levenssfeer.’
Macht
‘De diensten willen alleen maar macht, terwijl ze steeds weer laten zien niet om te kunnen gaan met de macht die we ze al hebben gegeven’, zegt Bits of Freedom-directeur Evelyn Austin op NU.nl. ‘Ze brengen hun datahuishouding niet op orde en laten zich niet begrenzen door de wet. Extra zorgelijk voor een overheidsinstantie die by design in het geheim opereert. Het toezicht op deze diensten mag absoluut niet zwakker. Het rapport dat vandaag is verschenen, toont wel aan waarom.’
De ministers van BZK en Defensie hebben gezegd "passende maatregelen" te nemen
13 aanbevelingen
De CTIVD doet bij haar bevindingen 13 aanbevelingen, die de commissie ook gedeeld heeft met het kabinet. De problemen bij de AIVD en MIVD worden vooral veroorzaakt door technische tekortkomingen in de systemen van de diensten. Ook schieten procedures om regels te handhaven tekort. Zo adviseert de CTIVD de definitie van bulkdatasets te verduidelijken en gegevens aan te merken als niet openbaar toegankelijk wanneer niet feitelijk kan worden vastgesteld of de verworven gegevens openbaar toegankelijk zijn (geweest). Ook moet de e-logging van de toegang tot bulkdatasets worden verbeterd. Achteraf moet beter kunnen worden vastgesteld wie al dan niet terecht toegang heeft gehad tot een bulkdataset en daarvan gebruik heeft gemaakt.
Ondertussen hebben de ministers van BZK en Defensie gezegd "passende maatregelen" te nemen, zodat onbevoegde mensen geen toegang meer hebben tot data waar ze niet bij mogen en de datasets niet te lang bewaard worden.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.