De AIVD en MIVD hebben de achterstand bij de uitvoering van regels in de nieuwe inlichtingenwet deels ingelopen. Dat concludeert de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) in haar tweede voortgangsrapportage over de invoering van de Wet op de inlichtingen- en veiligheidsdiensten (Wiv 2017).
Volgens de CTIVD hebben de AIVD en MIVD hard gewerkt aan de invoering van wettelijke waarborgen voor de rechtsbescherming van de burger. Beide diensten zijn volgens de CTIVD nu doordrongen van de noodzaak van interne controle op de naleving van de wet. De meeste hoge risico's voor onrechtmatig handelen uit de eerste voortgangsrapportage van de CTIVD (uit december 2018) zijn door de beide diensten teruggebracht naar gemiddelde of beperkte risico's. De AIVD en de MIVD zijn er echter nog niet, zo stelt de CTIVD. Zij hebben de komende tijd nog veel werk te verzetten.
In december 2018 concludeerde de CTIVD dat beide diensten nog fundamentele stappen moesten zetten bij de invoering van de essentiële onderdelen van de wetgeving. Volgens de CTIVD was er sprake van een achterstand en op onderdelen hoge risico's voor onrechtmatig handelen bij beide diensten. Op basis daarvan dienden beide diensten op korte termijn concrete stappen te zetten om in de praktijk te waarborgen dat aan de eisen uit de wet Wiv 2017 zou worden voldaan. De CTIVD concludeert nu dat deze achterstand deels is ingelopen.
Diensten hebben stappen gezet maar zijn er nog niet
De CTIVD concludeert dat beide diensten nu in staat zijn om 'zo gericht mogelijk' gegevens te verzamelen en te verwerken en de verzamelde gegevens te reduceren tot uitsluitend die gegevens die relevant zijn voor de taakuitvoering van beide diensten. Dit is nu door beide diensten uitgewerkt in beleid en werkinstructies. Niet relevante gegevens moeten zo snel mogelijk vernietigd worden. Dit om te waarborgen dat zo min mogelijk inbreuken plaatsvinden op de persoonlijke levenssfeer van burgers op wie de inzet van de bevoegdheid niet gericht is, maar van wie de gegevens wel zijn opgeslagen.
Op enkele onderdelen moet het beleid en werkinstructies nog aangevuld worden, zoals de omgang met in bulk verzamelde data en de omgang met onderschepte metadata. Volgens de CTIVD heeft de AVID de permanente verplichting om verzamelde gegevens op relevantie te beoordelen en niet relevante gegevens te vernietigen grotendeels ingevoerd. Bij de MIVD is de plicht tot datareductie nog niet gerealiseerd vanwege beperkte ondersteunende ICT-infrastructuur van de MIVD.
