Op 3 september 2019 publiceerde de CTIVD toezichtsrapport nr. 63 over de toepassing van filters bij onderzoeksopdrachtgerichte (OOG-)interceptie door de AIVD en de MIVD. De CTIVD stelt vast dat de AIVD en de MIVD in de praktijk filters toepassen. Het vereiste dat het in bulk verzamelen van gegevens ‘zo gericht mogelijk’ dient te zijn, heeft echter bij de toepassing van de filters nog onvoldoende uitwerking gekregen. Dit betekent dat in de onderzoeksperiode (mei 2018 – januari 2019), met name bij satellietinterceptie, nog onvoldoende waarborgen bestonden om ervoor te zorgen dat de interceptie daadwerkelijk onderzoeksopdrachtgericht en niet ongericht was.
Tijdens de parlementaire behandeling en het daaropvolgende raadgevend referendum is uitgebreid discussie gevoerd over de Wet op de inlichtingen- en veiligheidsdiensten 2017. Eén van de belangrijkste onderwerpen van dit debat was de voor de AIVD en de MIVD deels nieuwe bevoegdheid tot OOG-interceptie. Deze bevoegdheid stelt de diensten in staat grote hoeveelheden communicatie (bulk) in de ether te onderscheppen of van de kabel af te tappen. Het is onvermijdelijk dat de diensten daarbij ook gegevens verzamelen van personen en organisaties die geen onderwerp van onderzoek zijn en dat ook niet zullen worden.
De AIVD en de MIVD dienen hierom te voldoen aan het zogenaamde gerichtheidsvereiste. Dat houdt in dat de diensten de bevoegdheid tot OOG-interceptie ‘zo gericht mogelijk’ moeten inzetten, d.w.z. dat zij het verwerven van niet strikt voor het onderzoek relevante gegevens tot een minimum dienen te beperken. Filters zijn daarbij hét instrument om spreekwoordelijk het kaf zo snel mogelijk van het koren te scheiden.
In de onderzoeksperiode bood het beleid van de diensten te weinig houvast om te kunnen dienen als juridisch kader voor de inzet van filters. Na het verstrijken van de onderzoeksperiode hebben de diensten nieuw beleid ontwikkeld, dat in lijn is met het wettelijk kader. Het beleid moet nog worden aangevuld zodat het concretere handvatten biedt voor de toepassing van filters in de praktijk.
In dit onderzoek is de toepassing van filters voor verschillende vormen van OOG-interceptie beoordeeld, te weten SHF (satellietcommunicatie), HF (radio) en UHF (lokale telecommunicatie). Kabelinterceptie was in de onderzoeksperiode nog niet operationeel. De CTIVD constateert in het rapport dat het filteren bij etherinterceptie (SHF, HF en UHF) ‘staande praktijk’ is. Het filteren vindt echter voornamelijk plaats op grond van capacitaire overwegingen en technische beperkingen (kwantitatief) en onvoldoende vanuit het oogpunt van het voorkomen van een onnodige inmenging in grondrechten van burgers (kwalitatief).
Het filteren van HF-verkeer bij de interceptie is rechtmatig bevonden. De diensten lieten echter na om gegevens die niet (meer) aan een actuele onderzoeksopdracht of lopend onderzoek te relateren waren terstond te vernietigen. Dit is onrechtmatig. Het filteren bij UHF-interceptie is rechtmatig bevonden.
De toepassing van filters bij SHF-interceptie (bijvoorbeeld telefonie- en internetverkeer via satellieten) is voor een deel van de verwerkingssystemen onrechtmatig bevonden. De diensten verantwoorden hierbij niet waarom het filteren niet gerichter kan. Bepaalde interceptiesystemen laten bovendien alle inhoud en/of metadata door van herkende typen data, bijvoorbeeld van een bepaalde communicatietoepassing. Het zodanig breed opslaan van gegevens laat zich niet zonder meer verenigen met het vereiste dat de interceptie ‘zo gericht mogelijk’ dient te zijn.
De CTIVD stelt vast dat de diensten in de onderzoeksperiode geen volledig overzicht hadden van de werking van de voor het filteren gebruikte (technische) systemen. In de loop van het onderzoek is inzicht daarin wel toegenomen. Interne controle op de samenstelling, werking en bijstelling van de filters, die voortvloeit uit de wettelijke zorgplicht voor gegevensverwerking, vond niet structureel plaats.
Rapport: Toezichtsrapport over de toepassing van filters bij OOG-interceptie door de AIVD en de MIVD
Dit nieuwsbericht is ook te vinden in het dossier Informatiebeveiliging
