De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) heeft haar vierde en afsluitende voortgangsrapportage over de implementatie van de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017) - in de volksmond ook 'de sleepwet' genoemd - gepubliceerd. Hierin maakt de CTIVD de balans op over het implementatieproces van de Wiv 2017 sinds de inwerkingtreding van de wet ruim twee jaar geleden. De CTIVD stelt vast dat de AIVD en de MIVD hard hebben gewerkt, maar dat zij de implementatie van de Wiv 2017 nog niet hebben afgerond. Dit onderstreept de noodzaak om bij de lopende wetsevaluatie en komende wetswijzigingen meer aandacht te besteden aan implementatievraagstukken.
De Wiv 2017 is op 1 mei 2018 in werking getreden. Dat betekent dat de AIVD en de MIVD vanaf die datum moeten voldoen aan de eisen die de nieuwe wet stelt. In de Wiv 2017 is een werkbare juridische balans gezocht tussen de uitgebreide en noodzakelijke bevoegdheden die de AIVD en de MIVD in het belang van de nationale veiligheid kunnen inzetten én de waarborgen voor de rechtsbescherming van de burger die daarbij aan de orde zijn. Eenzelfde balans moet ook in de praktijk worden gerealiseerd. Het is de opdracht aan de beide diensten de uitvoering van hun vergaande bevoegdheden en de gegevensverwerking die daarmee gepaard gaat, te voorzien van voldoende rechtens relevante checks en balances. Dit dient te gebeuren in beleid, werkinstructies, processen, technische systemen en interne controlemechanismen.
De CTIVD heeft in een cyclus van vier voortgangsrapportages gerapporteerd over de voortgang van de implementatie van de wet. Dit proces vindt plaats op verzoek van het parlement en de betrokken ministers, vooruitlopend op de wetsevaluatie. Anders dan in toezichtsrapporten waarin de CTIVD de rechtmatigheid van de praktijk van de diensten beoordeelt, toetst de CTIVD in de voortgangsrapportages marginaal of de wettelijke en toegezegde beleidsmatige waarborgen voor de rechtsbescherming van de burger een nadere invulling hebben gekregen in het beleid en de werkprocessen van de AIVD en de MIVD en in de inrichting van technische systemen bij de gegevensverwerking. Deze beoordelingen betreffen een inschatting van risico’s op onrechtmatigheden.
In de voortgangsrapportages richt de CTIVD zich op de belangrijkste onderwerpen uit het politieke en maatschappelijke debat, zoals het instrumentarium voor de zorgplicht, datareductie, onderzoeksopdrachtgerichte interceptie, geautomatiseerde data-analyse en internationale samenwerking. De cyclus is gestart met de eerste voortgangsrapportage, gepubliceerd in december 2018, en komt met deze vierde voortgangsrapportage ten einde.
Vierde en afsluitende voortgangsrapportage
De implementatie van de Wiv 2017 is nog niet afgerond. De CTIVD heeft het implementatieproces sinds de inwerkingtreding van de wet nauwgezet gevolgd. Het betreft een intensief traject. Voor de diensten vanwege de combinatie met hun operationele praktijk. Voor de toezichthouder vanwege het continu in ontwikkeling zijnde implementatieproces. Ook de komende tijd hebben de diensten nog het nodige werk te verrichten. Dat vraagt veel aandacht, sturing en capaciteit van de diensten. De CTIVD blijft ook de komende periode in dialoog met de diensten en departementen over de implementatie van de Wiv 2017.
Een belangrijke oorzaak voor de achterstand in het implementatieproces en de daarmee samenhangende risico’s op onrechtmatig handelen van de diensten is dat er bij de totstandkoming van de Wiv 2017 onvoldoende aandacht is geweest voor de (impact van de) implementatie van de wet. De CTIVD benadrukt de noodzaak om herhaling te voorkomen en bij de huidige wetsevaluatie en komende wetswijziging een realistische impactanalyse te maken van implementatievraagstukken.
Positieve ontwikkelingen
De CTIVD concludeert dat de beide diensten in de afgelopen twee jaar een goede koers hebben ingezet. Een belangrijke rol komt toe aan een stevige verankering van de wettelijke zorgplicht voor de rechtmatigheid en kwaliteit van de gegevensverwerking in de organisaties van de beide diensten. Dit biedt een goede basis voor de toekomst. Verder is de CTIVD positief over de vergaande samenwerking tussen de diensten bij de implementatie van de Wiv 2017.
In de komende jaren werken de beide diensten toe naar een gezamenlijke datahuishouding en gezamenlijke IT-infrastructuur. Dit zal bij volledige realisatie leiden tot meer uniformiteit in de werkprocessen en tot meer gezamenlijke controle en overzicht.
Kritische aandachtspunten
De omzetting van de wet en het beleid naar de praktijk (werkinstructies, technische systemen, interne controlemechanismen) baart zorgen. Ondanks hun inspanningen in de afgelopen twee jaar, hebben de diensten hier nog onvoldoende bereikt. Dit doet zich onder meer voor bij onderzoeksopdrachtgerichte interceptie en bij geautomatiseerde data-analyse. Hierbij speelt mee dat dit proces tijdrovend, complex en veelomvattend is. De vertaalslag naar de praktijk betreft wel de kern van het implementatieproces. De wettelijke waarborgen zijn uiteindelijk juist op de uitvoeringspraktijk gericht en moeten daar hun effect krijgen, zodat de fundamentele rechten van de burger afdoende worden beschermd. Dit onderstreept het belang en de noodzaak voor de diensten onverminderd te blijven inzetten op afronding van het implementatieproces.
Kabel
Onderzoeksopdrachtgerichte interceptie (OOG-I of bulkinterceptie) via de kabel is een belangrijk onderdeel van het politieke en maatschappelijke debat, dat heeft geleid tot vragen aan de CTIVD van het parlement en de ministers over de inzet van OOG-I op de kabel. Deze vragen kunnen als gevolg van het ontbreken van die inzet niet worden beantwoord. De CTIVD komt tot conclusie dat de inspanningen van de diensten ten aanzien van het proces en de inrichting van de etherinterceptie als onderdeel van OOG-I kunnen worden gespiegeld naar de kabel.
Vanuit een systeembenadering zijn de diensten thans in voldoende mate voorbereid op de bulkinterceptie op de kabel. Onrechtmatig handelen m.b.t. bulkdatasets In de derde voortgangsrapportage heeft de CTIVD een onrechtmatige praktijk van de diensten benoemd, die ten tijde van de vierde voortgangsrapportage voortbestaat. Dit betreft het in zijn geheel of grotendeels relevant beoordelen van bulkdatasets. Dit gaat in tegen de aard van bulkdatasets die voor het overgrote deel uit gegevens bestaan van personen of organisaties die geen onderwerp van onderzoek zijn en dat ook nooit zullen worden.
De Wiv 2017 (art. 27) biedt voor deze wijze van relevantiebeoordeling geen ruimte; na afloop van de bewaartermijn (max. anderhalf jaar) vereist de wet dat de bulkdatasets worden vernietigd. Hoewel er operationele belangen bestaan om bulkdatasets langer te kunnen bewaren dan de wet nu toestaat, beschouwt de CTIVD de praktijk van de diensten om bulkdatasets integraal of grotendeels als relevant te beoordelen als een kunstgreep om de bewaartermijn van deze bulkdatasets te verlengen.
De praktijk van de diensten heeft een grote impact op de fundamentele rechten van de burger. Deze bulkdatasets komen in het betekenisregime (art. 20) en zijn daardoor niet meer onderhevig aan een vastgestelde bewaar- en vernietigingstermijn. De CTIVD adresseert deze praktijk uitgebreid in het onderzoek naar het verzamelen van bulkdatasets met de hackbevoegdheid en de verdere verwerking ervan door de AIVD en de MIVD. Het betreffende onderzoeksrapport zal worden gepubliceerd op 22 september 2020.
