Voortgangsrapportage
De werking van de Wiv 2017

CTIVD nr. 59
[vastgesteld op 27 november 2018]

Commissie van Toezicht
op de Inlichtingen- en
Veiligheidsdiensten

CTIVD nr. 59

VOORTGANGSRAPPORTAGE
De werking van de Wiv 2017

Inhoudsopgave
1

Inleiding

3

2

Algemeen beeld

6

3

Algemeen beeld per onderwerp

7

3.1

Nulmeting Zorgplicht

7

3.2

Nulmeting Datareductie

8

3.3

Nulmeting Onderzoeksopdrachtgerichte interceptie ether

10

3.4

Nulmeting Klachten en melding van misstanden

12

3.5

Diepteonderzoeken internationale samenwerking

13

4

Vervolg

14

1

Commissie van Toezicht
op de Inlichtingen- en
Veiligheidsdiensten

CTIVD nr. 59

VOORTGANGSRAPPORTAGE
De werking van de Wiv 2017

1

Inleiding

Achtergrond
Op 1 mei 2018 is de nieuwe Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017) in werking
getreden. Deze wet heeft in de afgelopen jaren veel politieke en maatschappelijke discussie teweeg
gebracht. Centraal in dat debat staat de vraag of de bevoegdheden van de Algemene Inlichtingen- en
Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) ter bescherming van
de nationale veiligheid in balans zijn met de waarborgen voor de rechtsbescherming van de burger,
zoals het recht op privacy en de algemene beginselen voor de bescherming van persoonsgegevens. De
Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) ziet het als haar kerntaak
blijvend inzicht te geven in die balans.
De CTIVD heeft haar toezichtsactiviteiten vanaf 1 mei 2018 gericht op de werking van de nieuwe wet,
in het bijzonder op de thema’s die in het politiek en maatschappelijk debat veel aandacht hebben
gekregen. Voor de inzet van een aantal bevoegdheden en de naleving van wettelijke en toegezegde
beleidsmatige waarborgen is het belang van effectief toezicht in dat debat ook specifiek benadrukt.
Dit kreeg zijn vervolg d.m.v. toezeggingen van het kabinet aan de Eerste en Tweede Kamer de CTIVD
te verzoeken over bepaalde onderwerpen spoedig na de inwerkingtreding van de wet reeds te
rapporteren. Per brief van 25 april 2018 heeft de minister van Binnenlandse Zaken en Koninkrijksrelaties
(BZK) de verzoeken tot versneld toezicht die voortvloeien uit de parlementaire behandeling van de wet
aan de CTIVD doorgegeven.1
De onafhankelijkheid van de CTIVD houdt mede in dat zij een eigen keuze maakt in de onderwerpen
die zij onderzoekt. De onderwerpen genoemd in voornoemde brief corresponderen in belangrijke
mate met de aandachtspunten die de CTIVD zelf tijdens en na de parlementaire behandeling van de
wet naar voren heeft gebracht en die zij vanuit haar wettelijke toezichtstaak relevant acht en prioriteit
geeft.
Focus
De CTIVD heeft zich in het afgelopen half jaar gericht op de volgende onderwerpen 2:
1. Het bestaan van het toegezegde instrumentarium voor de zorgplicht van de diensten voor een
rechtmatige gegevensverwerking en de werking van dat instrumentarium;

1
2

Verzoek minister BZK i.v.m. moties en toezeggingen Wiv 2017, d.d. 25 april 2018, Kamerstukken II 2017/18, 34588 nr. 1
(bijlage).
Brief van de CTIVD aan de Tweede Kamer, d.d. 26 april 2018, Kamerstukken II 2017/18, 34588 nr. 77.

3

2. De wijze waarop verantwoorde databeperking plaatsvindt bij de inzet van bijzondere bevoegdheden, waarbij centraal staat de toepassing van de plicht gegevens zo spoedig mogelijk op relevantie
te beoordelen en niet relevante gegevens (terstond) te vernietigen;
3. De inzet van de bevoegdheid van onderzoeksopdrachtgerichte interceptie, waaronder de
toepassing van het criterium ‘zo gericht mogelijk’ en het nut en de noodzaak van de bewaartermijn
van maximaal drie jaar;
4. De inzet van de bevoegdheid van geautomatiseerde data-analyse, in het kader van de onderzoeksopdrachtgerichte interceptie;
5. De wijze waarop het proces van interne klachtbehandeling en meldingen van misstanden binnen
de diensten is ingericht;
6. De samenwerking met buitenlandse diensten, waaronder het bestaan en de werking van
wegingsnotities alsmede de uitwisseling van ongeëvalueerde gegevens.

Methodiek
Op die terreinen waar bevoegdheden van de diensten nieuw zijn en/of wettelijke en toegezegde
beleidsmatige waarborgen voor de rechtsbescherming van de burger ruimte voor invulling laten,
heeft de CTIVD een nulmeting verricht. In de nulmetingen heeft de CTIVD marginaal getoetst of de
wettelijke en toegezegde beleidsmatige waarborgen een nadere invulling hebben gekregen in het
beleid en de werkprocessen van de diensten, alsmede in de inrichting van technische systemen bij de
gegevens verwerking. Alle in de Wiv 2017 opgenomen waarborgen en de beleidsmatige toezeggingen
die voor en na het referendum over de Wiv 2017 zijn gedaan, dienen intern bij de AIVD en de MIVD hun
vertaalslag te krijgen. In enkele gevallen is een steekproef verricht om een beeld te verkrijgen van de
toepassing in de praktijk.
Ook is onderzocht of de werking van de interne gegevensverwerkingsprocessen zoals de wet beoogt
doorlopend intern gecontroleerd wordt en daar extern effectief toezicht op is uit te oefenen door
de CTIVD. Effectief toezicht houdt in dat de CTIVD doelgericht zicht kan hebben op elk proces van
gegevensverwerking van de AIVD en de MIVD, zowel in de inrichting, toepassing als de resultaten
daarvan. Het hebben van onbeperkte toegang tot gegevens alleen is daarbij niet voldoende. Dit zou
betekenen dat de CTIVD zelf gegeven per gegeven handmatig moet beoordelen en haar capaciteit
in personele zin disproportioneel moet uitbreiden om hiertoe in staat te zijn. Dat is haalbaar noch
gewenst. Er moet sprake zijn van interne controle mechanismen op de gegevensverwerking bij de
beide diensten, waartoe de wet verplicht en waar de CTIVD zich in haar toezicht mede op kan baseren.
De uitkomst van een nulmeting is een risico-inschatting m.b.t. rechtmatigheid. Het brengt in kaart
waar risico’s aanwezig zijn voor onrechtmatig handelen van de diensten en geeft de CTIVD richting
voor het bepalen van haar verdere toezichtsactiviteiten. Elke beoordeling betreft een inschatting van
risico’s op onrechtmatig handelen en niet het oordeel dat daarmee reeds onrechtmatig is gehandeld.
Waar risico’s geconstateerd worden, geeft de CTIVD aan wat zij mist en waarom. Deze beoordelingen
zijn niet gebaseerd op wat de CTIVD wenselijk vindt, maar vinden telkens hun grondslag in een
wettelijke of toegezegde beleidsmatige waarborg voor de rechtsbescherming van de burger.
De CTIVD hanteert daarbij verschillende risico categorieën:

• Geen risico: Er wordt voldoende uitwerking gegeven aan het wettelijke kader en er zijn geen tekortkomingen in beleid, processen of in de toepassing daarvan vastgesteld. Het beleid is bovendien
actueel.

• Beperkt risico: Er wordt voldoende uitwerking gegeven aan het wettelijke kader maar er zijn wel
tekortkomingen in beleid, werkprocessen, systemen of in de toepassing daarvan vastgesteld. De
tekortkomingen zijn van beperkte inhoudelijke of procedurele aard en zijn goed herstelbaar.

4

• Gemiddeld risico: Er wordt onvoldoende uitwerking gegeven aan het wettelijke kader doordat
sprake is van inhoudelijke tekortkomingen in beleid, werkprocessen, systemen of in de toepassing
daarvan. De tekortkomingen kunnen leiden tot onrechtmatig handelen van de diensten.

• Hoog risico: Er wordt onvoldoende uitwerking gegeven aan het wettelijke kader doordat beleid of
processen geheel ontbreken of in strijd zijn met de wet, of doordat sprake is van onrechtmatigheden
in de toepassing daarvan.
De nulmetingen zijn verricht t.a.v. de periode 1 mei 2018 tot 1 juli 2018. De CTIVD heeft het beeld dat
daaruit naar voren is gekomen en de risico’s die zij in dat kader heeft geconstateerd in oktober 2018
geactualiseerd. Er is in dit verband veelvuldig met de beide diensten gesproken. Dit betekent dat de
onderhavige voortgangsrapportage een weergave geeft van de invulling van wettelijke en toegezegde
beleidsmatige waarborgen door de AIVD en de MIVD per 1 november 2018. In de bijlage bij deze
voortgangsrapportage wordt een uitgebreidere toelichting hierop gegeven.
Naast nulmetingen verricht de CTIVD ook diepteonderzoeken. Een diepteonderzoek richt zich op de
toepassing van een onderdeel van de wet in de praktijk. De uitkomst van een diepteonderzoek is
een rechtmatigheidsoordeel en gaat gepaard met aanbevelingen om (verder) onrechtmatig handelen
te voorkomen. Er is momenteel sprake van twee lopende diepteonderzoeken, naar de beoordeling
van samenwerkingscriteria in de wegingsnotities die de grondslag vormen voor de samenwerking
met buitenlandse diensten en naar de uitwisseling van ongeëvalueerde gegevens met buitenlandse
diensten (zie paragraaf 3.5).
Rapportages
De toezichtsactiviteiten naar de werking van de Wiv 2017 zullen in ieder geval tot mei 2020 plaatsvinden.
Met het oog op de vervroegde evaluatie van de Wiv 2017, die vanaf mei 2020 is beoogd, streeft de
CTIVD er nadrukkelijk naar binnen twee jaar na de inwerkingtreding van de wet in concluderende zin
te rapporteren over de onderwerpen die zijn geduid tijdens de parlementaire behandeling van de wet
en aan de CTIVD voor onderzoek zijn voorgelegd. 3 Zij rapporteert voorts ten minste halfjaarlijks aan
de betrokken ministers en het parlement, waarbij aandacht wordt besteed aan de voortgang van dit
traject en de voorlopige conclusies die kunnen worden getrokken m.b.t. de werking van de Wiv 2017.
Van de bevindingen en conclusies van rechtmatigheidsonderzoeken wordt telkens een separaat
toezichtsrapport vastgesteld dat wordt gepubliceerd. Ook in haar jaarverslag reflecteert de CTIVD op
de door haar verrichte activiteiten van het afgelopen verslagjaar.

3

Verzoek minister BZK i.v.m. moties en toezeggingen Wiv 2017, d.d. 25 april 2018, Kamerstukken II 2017/18, 34588 nr. 1
(bijlage).

5

2

Algemeen beeld

De implementatie van de Wiv 2017 vergt veel van de AIVD en de MIVD. In de aanloop naar de
inwerkingtreding van de nieuwe wet is veel werk verzet door de beide diensten. Een groot aandeel van
de capaciteit van de AIVD en de MIVD diende naar ondersteunende processen te gaan, terwijl er ook op
het operationele vlak veel van de diensten werd verwacht. De diensten zijn ook na de inwerkingtreding
van de nieuwe wet nog volop in beweging geweest en zijn dat nog steeds.
De AIVD en de MIVD zien zich geconfronteerd met een nieuw kader voor hun bevoegdheden, waarvan
overigens een deel al sinds jaar en dag wordt toegepast, en hebben de uitdaging de nieuw toegekende
bevoegdheden zo snel mogelijk te operationaliseren. Zij hebben te maken met een nieuwe speler in
het toezichtstelsel, de TIB, die de rechtmatigheid van door de ministers verleende toestemming toetst
voorafgaande aan de inzet van bepaalde bijzondere bevoegdheden. Zij moeten meebewegen met de
toezichthouder, de CTIVD, die door haar directe en volledige toegang en versterking van haar technische
deskundigheid, meer en meer doordringt in de (technische) processen van gegevensverwerking van
de beide diensten. De AIVD en de MIVD begeven zich daarbij in een operationeel zeer dynamisch
werkveld, waar internationale samenwerking en technologische ontwikkelingen hoogtij vieren, en in
een politiek en maatschappelijk krachtenveld waarbinnen vraagtekens worden geplaatst bij de werking
van de Wiv 2017. Dit alles vereist van de diensten visie, sturing, flexibiliteit, alsmede invoelings- en
doorzettingsvermogen.
Het beeld dat de CTIVD heeft, nu een goed half jaar na de inwerkingtreding van de nieuwe wet, is
dat de diensten er zeker nog niet zijn. De professionaliteit van de AIVD en de MIVD in de uitvoering
van de aan hen toebedeelde taken ter bescherming van de nationale veiligheid staat buiten kijf.
Essentiele waarborgen voor de bescherming van de rechten van het individu missen echter, geheel
of gedeeltelijk, hun invulling in de praktijk. Zo ontbreekt op belangrijke onderdelen beleid op het
terrein van de gegevensbescherming (zoals invulling van data protection bij design en by default),
wordt geen herkenbare toepassing gegeven aan het criterium ‘zo gericht mogelijk’ (bijvoorbeeld
een zo gericht mogelijke filtering bij de interceptie zelf en zo gericht mogelijke selectiecriteria), is de
door de wet vereiste datareductie nog werk in uitvoering o.m. door een gebrekkige ondersteunende
ICT infrastructuur bij de MIVD en wordt te weinig acht geslagen op (wettelijke) waarborgen voor de
geautomatiseerde metadata-analyse (zoals voorafgaande toestemming in alle gevallen en beperkte
toegang van medewerkers tot metadata). Ook is effectief toezicht op de naleving van de verplichtingen
die de wet stelt nog onvoldoende mogelijk. Zo is het instrumentarium voor de zorgplicht voor een
rechtmatige gegevensverwerking te weinig concreet ingevuld en ontbreekt daarmee doorlopende
interne controle (t.b.v. de compliance) op belangrijke werkprocessen. Er is thans sprake van achterstand
bij de invoering van deze wettelijke en beleidsmatige waarborgen.
De AIVD en de MIVD zullen nog een aantal fundamentele stappen moeten zetten om de balans die
de wet biedt, dat wil zeggen de balans tussen de noodzaak van de bescherming van onze nationale
veiligheid en het tegelijkertijd kunnen garanderen van voldoende rechtsbescherming voor de burger
daarbij, in de praktijk vorm te geven. De inzet van bevoegdheden ter bescherming van de nationale
veiligheid en de rechtsbescherming van de burger daarbij, dienen immers gelijk op te gaan. De CTIVD
signaleert, in november 2018, dat de diensten zich weliswaar daarvoor willen inzetten, maar dit zich
nog niet in concrete stappen laat zien.
De CTIVD bespreekt de resultaten van de nulmetingen en de mate van risico’s die zij daarbij constateert
hierna. In de bijlage bij deze voortgangsrapportage wordt nader toegelicht op basis waarvan de CTIVD
tot de geconstateerde risico’s is gekomen.

6

3

Algemeen beeld per onderwerp

3.1

Nulmeting Zorgplicht

De zorgplicht van de AIVD en de MIVD voor een rechtmatige gegevensverwerking is een essentiële
waarborg voor zowel de gegevensbescherming als het toezicht daarop. Bepaalde elementen van de
zorgplicht bestonden al in de oude Wiv 2002 en zijn ingebed in de gegevensverwerkingsprocessen
van de diensten. De technologische ontwikkeling en de nieuwe bevoegdheden en verplichtingen van
de diensten onder de Wiv 2017 brengen t.a.v. deze elementen van de zorgplicht nieuwe uitdagingen
met zich mee. De bevordering van de kwaliteit van de gegevensverwerking is een nieuw element ten
opzichte van de oude Wiv 2002. Dit onderdeel is in de Wiv 2017 opgenomen omdat meer en meer sprake
is van geautomatiseerde gegevensverwerking door de diensten. De zorgplicht schept bovendien ook
waarborgen bij de beoogde techniekonafhankelijkheid van de wet.
De zorgplicht vraagt nadrukkelijk meer van de AIVD en de MIVD dan het enkel invoeren van de
verplichtingen die de wet hen oplegt bij o.m. de verzameling, analyse en het gebruik van gegevens.
Concreet betekent de zorgplicht dat de beide diensten voortdurend controle hebben op de wijze waarop
zij gegevens verwerken en dat zij er zorg voor dragen dat de gegevensverwerking in overeenstemming
is en blijft met de daarvoor geldende wettelijke voorschriften (compliance). Voortdurend in controle
zijn vereist ook dat de diensten een aantal instrumenten gebruikt die hun (centraal) zicht geven op de
werking van processen en systemen van gegevensverwerking en hen daardoor in staat stellen risico’s
te signaleren en tijdig maatregelen te nemen. Zonder dergelijke instrumenten, zonder een heldere
structuur voor de zorgplicht, is het niet goed mogelijk voldoende interne controle uit te oefenen over
de gegevensverwerking en is effectief extern toezicht daarop niet aan de orde.
De ministers van BZK en van Defensie hebben in december 2017 toegezegd dat “bij de inwerkingtreding
van de wet een adequaat instrumentarium beschikbaar is waarmee gegevensbescherming is geborgd,
zodat de CTIVD dit onmiddellijk kan betrekken bij haar toezichthoudende taken”. 4
De CTIVD heeft geconstateerd dat er per 1 mei 2018 (en per 1 november 2018) geen instrumentarium
voor de zorgplicht aanwezig was bij de AIVD en de MIVD. Inmiddels worden binnen de beide diensten
stappen gezet om dit alsnog in te richten. Er is volop beweging, maar van de beschikbaarheid van
herkenbare, adequaat werkende instrumenten is nog geen sprake. De AIVD is bezig met de ontwikkeling
van een instrumentarium. Het is nog niet toetsbaar hoe dit precies wordt ingericht en of de toepassing
hiervan de CTIVD in staat zal stellen effectief toezicht uit te oefenen. De MIVD heeft inmiddels een
beleidskader voor gegevensbescherming. Een systematiek voor interne controle is niet in beleid vervat
en verkeert nog in een conceptuele fase.
Het is van essentieel belang dat het instrumentarium voor de zorgplicht op een zo kort mogelijke
termijn concreet wordt ingericht en geïmplementeerd. Dit vraagt om een tijdsplanning waaruit het
belang van de zorgplicht blijkt. Hierin is nu niet voorzien. De CTIVD gaat er thans vanuit dat zij in haar
tweede voortgangsrapportage in mei 2019 daadwerkelijk zal kunnen spreken van een dan bestaand
en werkend adequaat instrumentarium voor de zorgplicht.

4

Brief van de ministers van BZK en Defensie aan de Tweede Kamer d.d. 15 december 2017, Kamerstukken II 2017/18,
34588 nr. 69.

7

Het vooralsnog ontbreken van een doorlopende interne controle op de gegevensverwerking door de
diensten zelf vormt een rode draad in de resultaten van de door de CTIVD verrichte nulmetingen.
Risico indicatie
De CTIVD karakteriseert de risico’s op onrechtmatige gegevensverwerking door de AIVD en de MIVD
als hoog. 5

3.2

Nulmeting Datareductie

De verplichting tot permanente datareductie vormt de hoeksteen van de privacybescherming in de
Wiv 2017. Kortgezegd komt het erop neer dat de AIVD en de MIVD de gegevens die zij verzamelen d.m.v.
bijzondere bevoegdheden, zoals gericht tappen, hacken, het opvragen van opgeslagen gegevens etc.,
zo spoedig mogelijk op relevantie moeten beoordelen. Niet relevante gegevens moeten terstond en
onomkeerbaar worden vernietigd. Gegevens die niet zijn beoordeeld op relevantie moeten binnen
een jaar na verwerving zijn vernietigd.
De verplichting tot datareductie kent enkele cruciale onderdelen die nadere invulling dienen te krijgen
in het beleid en de werkprocessen van de beide diensten:
1. Wat wordt verstaan onder relevante gegevens en wat niet?
De diensten hanteren een ruime definitie voor relevantie. De CTIVD heeft hier, gelet op het belang
daarvan voor het inlichtingenproces, begrip voor. Zij vindt het wel noodzakelijk dat aanvullend wordt
gemotiveerd waarom gegevens relevant zijn beoordeeld, indien een objectieve beoordeling van de
gegevens in redelijkheid niet direct leidt tot de conclusie dat deze relevant zijn. Dit dient in beleid te
worden vastgelegd.
Risico indicatie
De CTIVD beoordeelt het risico in deze voor de beide diensten als beperkt.6

2. Welke beoordelingstermijn wordt gehanteerd?
In het inlichtingenproces ligt besloten dat de relevantiebeoordeling in veel gevallen binnen drie maanden
plaatsvindt. Dit geldt echter niet altijd. Houvast over wat in welke gevallen moet worden verstaan onder
het zo spoedig mogelijk op relevantie beoordelen ontbreekt nog in beleid en werkinstructies van beide
diensten, waardoor een verschuiving kan optreden van het moment van beoordeling. Belangrijk is ook
dat nog niet is voorzien in een regeling voor het bepalen van de relevantie van nog niet beoordeelde
data die onder de Wiv 2002 zijn verzameld, anders dan dat niet beoordeelde ‘oude data’ op 1 mei 2019
vernietigd moeten worden. Het wettelijke vereiste van een ‘zo spoedig mogelijke’ beoordeling van de
relevantie van gegevens dient ook hier zijn werking te hebben.
Risico indicatie
Het risico wordt voor de beide diensten ingeschat als gemiddeld.7

3. Op welke wijze vindt datareductie plaats?
Om adequaat invulling te geven aan de wettelijke verplichting tot datareductie is een gedegen

5
6
7

8

Een nadere toelichting wordt gegeven in paragraaf 1 van de bijlage bij deze voortgangsrapportage.
Een nadere toelichting wordt gegeven in paragraaf 2 van de bijlage bij deze voortgangsrapportage.
Een nadere toelichting wordt gegeven in paragraaf 2 van de bijlage bij deze voortgangsrapportage.

systematiek van datareductie vereist, die niet alleen zijn weerslag krijgt in het beleid en de
werkprocessen van de diensten, maar ook in technische zin goed is ingebed. De werking hiervan moet
bovendien intern gecontroleerd worden en extern effectief toezicht door de CTIVD mogelijk maken.
Dit laatste betekent dat het voor de CTIVD herleidbaar moet zijn op basis waarvan gegevens relevant
zijn beoordeeld en toetsbaar moet zijn dat niet relevante gegevens terstond en niet beoordeelde
gegevens tijdig zijn vernietigd. Een dergelijke systematiek van datareductie is bijzonder complex en
niet eenvoudig te realiseren. Een goede ICT infrastructuur is daarbij cruciaal.
De AIVD heeft een systematiek van datareductie ontwikkeld die in technische zin goed wordt
ondersteund. Relevantiebeoordeling kan met geautomatiseerde ondersteuning en/of handmatig
plaatsvinden. De relevantiebeoordeling met geautomatiseerde ondersteuning is echter nog
onvoldoende ingekaderd. De AIVD heeft vooralsnog onvoldoende helder vastgelegd in welke gevallen
relevantiebeoordeling met geautomatiseerde ondersteuning geoorloofd is en hoe deze methode
van relevantiebeoordeling zich verhoudt tot handmatige relevantiebeoordeling. Of de relevantie van
gegevens herleidbaar is, wordt bovendien niet intern gecontroleerd. Effectief toezicht hierop is dus
nog niet mogelijk.
De MIVD mist een goede ICT infrastructuur als basis voor een gedegen datareductie systematiek.
Relevantiebeoordeling vindt in belangrijke mate handmatig plaats. Data lineage (oorsprong en verloop
van data) is onvolledig en interne controle op de relevantiebeoordeling is nu niet realiseerbaar.
Hierdoor is de relevantiebeoordeling in veel gevallen onvoldoende herleidbaar en effectief toezicht
niet aan de orde. Een adequate technische oplossing voor datareductie is een basisvoorwaarde voor
het kunnen bereiken van een rechtmatige datareductie door de MIVD, waarvan de invoering op een
zo kort mogelijke termijn dient plaats te vinden en zich niet over meerdere jaren kan uitspreiden zoals
thans lijkt te worden voorgesteld.
Risico indicatie
Het risico wordt voor de AIVD nu beoordeeld als gemiddeld. Voor de MIVD beoordeelt de CTIVD het
risico als hoog. 8

4 Hoe wordt gegarandeerd dat gegevens onomkeerbaar worden vernietigd wanneer dat door de
wet wordt vereist?
Voor de tijdige vernietiging van gegevens is het, gegeven de omvang daarvan, absoluut noodzakelijk dat
sprake is van een ondersteunende ICT infrastructuur die hier in kan voorzien. Bij de AIVD lijkt dit het
geval en zou de inrichting van de systemen moeten voorzien in een tijdige vernietiging van gegevens.
Tot op heden is de mogelijkheid gegevens niet-relevant te verklaren echter in veel gebruikte applicaties
nog niet aanwezig. Ook is geen sprake van interne controle. De vernietiging van gegevens is daarom
vooralsnog niet goed toetsbaar door de CTIVD. De ICT infrastructuur van de MIVD en onvolledige data
lineage (oorsprong en verloop van data) maken dat een rechtmatige vernietiging van gegevens nog
onvoldoende geborgd is, intern niet controleerbaar is en extern effectief toezicht niet mogelijk is.
Risico indicatie
Het risico wordt voor de AIVD gesteld op gemiddeld. Voor de MIVD beoordeelt de CTIVD het risico
als hoog.9

8
9

Een nadere toelichting wordt gegeven in paragraaf 2 van de bijlage bij deze voortgangsrapportage.
Een nadere toelichting wordt gegeven in paragraaf 2 van de bijlage bij deze voortgangsrapportage.

9

3.3

Nulmeting Onderzoeksopdrachtgerichte interceptie ether

De Wiv 2017 heeft het wettelijk kader voor bulkinterceptie van de ether aangescherpt en de
mogelijkheid gecreëerd ook bulkinterceptie op de kabel toe te passen. Deze nieuwe bevoegdheid
heeft een aanzienlijke politieke en maatschappelijke discussie in Nederland te weeg gebracht, die zich
centreerde rond het beeld dat sprake zou zijn van een ‘sleepnet’. De AIVD en de MIVD zijn momenteel
volop bezig met het operationaliseren van de onderzoeksopdrachtgerichte interceptie op de kabel.
Het is tot dusver nog te vroeg om t.a.v. deze bevoegdheid een nulmeting te verrichten. De CTIVD
richt zich daarom eerst op de inzet van de onderzoeksopdrachtgerichte interceptie van de ether. De
bespreking van de nulmetingresultaten richt zich op de AIVD en de MIVD gezamenlijk.
De volgende wettelijke en beleidsmatige waarborgen zijn van hier van belang:
1. Is het toestemmingsproces adequaat ingericht?
De beide diensten hebben algemeen beleid op het terrein van onderzoeksopdrachtgerichte interceptie
en formats voor het opstellen van verzoeken om toestemming. Zowel het algemeen beleid als de
formats bieden de medewerkers van de diensten in het algemeen voldoende handvatten voor het
indienen van verzoeken om toestemming voor de inzet van bijzondere bevoegdheden in het proces
van onderzoeksopdrachtgerichte interceptie. Er zijn verschillende verzoeken door de beide diensten
ingediend in de periode 1 mei tot 1 november 2018. In de door de TIB rechtmatig bevonden verzoeken
om toestemming zijn alle wettelijk vereiste elementen opgenomen. De CTIVD heeft in deze nulmeting
geen aanleiding gezien te toetsen of de verzoeken op inhoud voldoen aan de vereisten van de wet. Die
beoordeling is in beginsel aan de TIB.
Risico indicatie
De CTIVD ziet hier geen risico op onrechtmatig handelen door de beide diensten.10

2. Wordt toepassing gegeven aan het criterium ‘zo gericht mogelijk’?
‘Zo gericht mogelijk’ ziet ingevolge de Kamermotie Recourt en de door de ministers gepubliceerde
Beleidsregels ten minste op de inzet en toepassing van alle bijzondere bevoegdheden. Het gaat
hier dus ook om de bijzondere bevoegdheden die in de verschillende fasen van het stelsel van
onderzoeksopdrachtgerichte interceptie aan de orde kunnen zijn, zoals geautomatiseerde metadataanalyse en selectie. Dit betekent niet alleen dat het criterium moet worden gemotiveerd in de
verzoeken om toestemming voor die inzet, maar vervolgens ook zijn werking dient te krijgen bij de
toepassing daarvan in de praktijk. Zou dit laatste niet aan de orde zijn, dan verwordt het criterium tot
een lege huls. Concreet houdt die toepassing in dat o.m. de filtering van te intercepteren gegevens, de
toekenning van selectiecriteria en bijvoorbeeld het gebruik van een profiel bij metadata-analyse ‘zo
gericht mogelijk’ moeten zijn. Wat ‘zo gericht mogelijk’ in deze context inhoudt, dient in beginsel eerst
nader ingevuld te worden door de AIVD en de MIVD en vervolgens te worden getoetst door de CTIVD.
‘Zo gericht mogelijk’ krijgt op deze wijze zijn toepassing in alle stadia van het interceptiestelsel.
Aan het criterium ‘zo gericht mogelijk’ is geen herkenbare invulling gegeven in het beleid en de
werkprocessen van de beide diensten. Het beleid, de werkinstructies en de feitelijke werkprocessen
van de beide diensten maken niet duidelijk hoe ‘zo gericht mogelijk’ in de praktijk uitwerking krijgt. De
toepassing van het criterium ten aanzien van de verschillende stadia van het interceptieproces lijkt
vanaf 1 mei 2018 dus vrijwel achterwege te zijn gebleven, terwijl het juist daar ook een richtinggevende
werking kan en moet hebben.

10 Een nadere toelichting wordt gegeven in paragraaf 3 van de bijlage bij deze voortgangsrapportage.

10

Risico indicatie
De CTIVD constateert dat voor beide diensten sprake is van een hoog risico.11

3. Zijn voldoende waarborgen voor geautomatiseerde data-analyse aan de orde?
De AIVD en de MIVD moeten toestemming vragen voor de geautomatiseerde analyse van metadata
die zijn verkregen door OOG interceptie (metadata-analyse), wanneer de analyse is gericht op het
identificeren van personen of organisaties. Het beleid en de werkprocessen van de beide diensten
geven onvoldoende houvast voor het rechtmatig toepassen van de geautomatiseerde analyse van
metadata uit OOG interceptie. De CTIVD stelde over de periode 1 mei tot 1 juli 2018 vast dat het proces
met onvoldoende (procedurele) waarborgen was omkleed. Een systematiek van interne controle is
bovendien niet ingericht.
De CTIVD heeft daarop besloten het onderwerp verder uit te diepen in rechtseenheid overleg met
de TIB. In dat verband heeft nader overleg plaatsgevonden met de departementen van BZK en van
Defensie en met de AIVD en de MIVD. Naar aanleiding hiervan is weliswaar een positieve ontwikkeling
merkbaar bij de diensten, maar er blijft vooralsnog een fundamenteel verschil van opvatting bestaan
over wat wettelijk wordt verstaan onder de geautomatiseerde analyse van metadata, tussen de TIB en
de CTIVD enerzijds en de beide diensten en departementen anderzijds. De TIB en de CTIVD hebben
op 26 oktober 2018 hun concluderende standpunt in een rechtseenheidbrief kenbaar gemaakt aan
de ministers van BZK en Defensie en aan de beide diensthoofden. Op 23 november 2018 is een
overeenkomstige versie van de rechtseenheidbrief verzonden aan de Eerste en Tweede Kamer en
gepubliceerd op de websites van de TIB en de CTIVD. De rechtseenheidbrieven van de TIB en de CTIVD
zijn, vanuit het uitgangspunt van een redelijke wetsinterpretatie, voor de diensten kader scheppend
m.b.t. de uitvoering van de wet.
De CTIVD heeft voorts in oktober en november 2018 een steekproef uitgevoerd naar de feitelijke
toepassing van geautomatiseerde metadata-analyse door de beide diensten. De resultaten van deze
steekproef zijn inmiddels bekend. De CTIVD stelt de beide diensten en departementen eerst in de
gelegenheid op de bevindingen te reageren, voordat zij deze publiekelijk kenbaar maakt.
Risico indicatie
De CTIVD beoordeelt het risico op onrechtmatig handelen voor beide diensten als hoog.12

4. Is sprake van voldoende waarborgen voor de selectie van gegevens?
Door het selecteren van gegevens aan de hand van selectiecriteria wordt de inhoud van deze
gegevens toegankelijk gemaakt voor medewerkers in het operationele proces. Het bepalen van de
selectiecriteria gebeurt intern en dient gemotiveerd te worden. De diensten hebben uitgebreid beleid
opgesteld ten aanzien van de selectie van inhoudelijke communicatie. De wettelijke vereisten zijn
daarin op een juiste wijze vastgelegd. Het beleid c.q. de werkinstructies van de beide diensten dienen
nog aangevuld te worden t.a.v. de interne autorisatie van selectiecriteria en in beperkte mate t.a.v. het
verwijderen van selectiecriteria. Verwijdering moet plaatsvinden bijvoorbeeld in het geval met een
bepaald selectiecriterium onvoldoende relevante gegevens worden geselecteerd.
Risico indicatie
De CTIVD beoordeelt het risico voor beide diensten als beperkt.13

11 Een nadere toelichting wordt gegeven in paragraaf 3 van de bijlage bij deze voortgangsrapportage.
12 Een nadere toelichting wordt gegeven in paragraaf 3 van de bijlage bij deze voortgangsrapportage.
13 Een nadere toelichting wordt gegeven in paragraaf 3 van de bijlage bij deze voortgangsrapportage.

11

5. Wordt invulling gegeven aan een verantwoorde databeperking?
Databeperking vindt in het onderzoeksopdrachtgericht interceptieproces getrapt plaats. Dit proces is
complexer dan de hierboven in paragraaf 3.2. beschreven verplichting tot datareductie van gegevens
verzameld door de inzet van (andere) bijzondere bevoegdheden. Er wordt door de AIVD en de MIVD
nog onvoldoende invulling gegeven aan de verantwoorde beperking van gegevens die zijn verzameld
door onderzoeksopdrachtgerichte interceptie van ethercommunicatie. Er is geen specifiek beleid
vastgesteld voor databeperking binnen het interceptiestelsel. De beide diensten hebben te weinig
oog voor de doorlopende plicht in het interceptieproces niet relevante gegevens te vernietigen. Het is
onduidelijk op welke wijze de beoordeling van de relevantie van gegevens plaatsvindt, nadat de gegevens
zijn geselecteerd aan de hand van selectiecriteria. Er is nog geen herkenbare en gestructureerde vorm
van interne controle op de vernietiging van gegevens. Wel is de bewaartermijn van maximaal drie jaar
in technische zin geborgd. Dat betekent dat geïntercepteerde gegevens in ieder geval binnen drie jaar
worden vernietigd. Een mechanisme van interne controle hierop ontbreekt echter. Over het nut en de
noodzaak van de bewaartermijn van drie jaar kan de CTIVD zich, gegeven het beperkte tijdverloop tot
nu toe, nog niet uitspreken. Dit vereist nader onderzoek op termijn.
Risico indicatie
De CTIVD beoordeelt het risico voor beide diensten als hoog.14

6. Is functie- en taakscheiding gewaarborgd waar dit vereist is?
Functie- en taakscheiding wil zeggen dat slechts aan bepaalde medewerkers de bevoegdheid wordt
toegekend inhoudelijk kennis te mogen nemen van bepaalde gegevens en specifieke taken worden
aangewezen die niet voor anderen gelden. Deze functie- en taakscheiding is nader beschreven in
beleid van de beide diensten en zorgt voor een specifiek en kenbaar onderscheid tussen medewerkers
(o.m. volgens het need to know principe). In de praktijk is de scheiding echter diffuser. Daarnaast ziet de
functie- en taakscheiding op toegang tot inhoud van communicatie, conform de wettelijke verplichting
daartoe. Een soortgelijke wettelijke verplichting ontbreekt voor de toegang tot metadata. Functie- en
taakscheiding kan echter een waarborg vormen ter versterking van een rechtmatige toepassing van
metadata-analyse. Voor de toegang tot metadata is slechts in beperkte mate functie- en taakscheiding
ingericht. Verder is nog geen sprake van een intern controle mechanisme dat specifiek ziet op functieen taakscheiding. Dit is wel van belang.
Risico indicatie
Er is sprake van een gemiddeld risico op onrechtmatig handelen voor beide diensten.15

3.4

Nulmeting Klachten en melding van misstanden

De interne beleidsregelingen voor de behandeling van klachten en van meldingen van misstanden
waren op 1 mei 2018 nog niet gereed. Inmiddels is dat wel het geval. De regelingen zijn helder, actueel,
volledig en in lijn met het wettelijk kader dat daarop van toepassing is. De interne beleidsregelingen
zijn specifiek genoeg en geven de medewerkers voldoende handvatten te komen tot een goede
behandeling van klachten en meldingen van misstanden. Zowel intern als extern (op de websites van
de diensten) wordt voldoende informatie gegeven over de wijze waarop de behandeling van klachten
en meldingen van misstanden plaatsvindt binnen de diensten. Ook wordt op de websites op een juiste
manier naar de CTIVD verwezen.

14 Een nadere toelichting wordt gegeven in paragraaf 3 van de bijlage bij deze voortgangsrapportage.
15 Een nadere toelichting wordt gegeven in paragraaf 3 van de bijlage bij deze voortgangsrapportage.

12

Risico indicatie
De CTIVD constateert dat voor beide diensten geen sprake is van risico’s.16

3.5

Diepteonderzoeken internationale samenwerking

Onderzoek wegingsnotities kopgroep partnerdiensten
Eind 2017 deden de ministers van BZK en van Defensie de toezegging dat de wegingsnotities voor
de kopgroep van internationale samenwerkingspartners gereed zouden zijn bij de inwerkingtreding
van de Wiv 2017.17 Deze kopgroep bestaat uit de Europese veiligheidsdiensten die deelnemen aan de
Counter Terrorism Group (CTG) en de buitenlandse inlichtingen- en sigintdiensten die participeren
in bepaalde samenwerkingsverbanden op het gebied van sigint. De CTIVD heeft onderzoek verricht
naar deze wegingsnotities. Dit onderzoek is inmiddels afgerond. Het toezichtsrapport is op 17 oktober
2018 opgesteld en op 24 oktober 2018 verzonden aan de beide ministers en de diensthoofden. De
reacties van de beide diensthoofden zijn ontvangen op 14 en 15 november 2018. De reacties van
de beide ministers worden uiterlijk 12 december 2018 verwacht. Hierna wordt het toezichtsrapport
door de CTIVD vastgesteld en opnieuw aan de beide ministers aangeboden voor toezending aan het
parlement. De CTIVD verwacht dat dit begin 2019 zal kunnen plaatsvinden.
Onderzoek uitwisseling ongeëvalueerde gegevens
De CTIVD verricht momenteel een onderzoek naar de uitwisseling van ongeëvalueerde gegevens door
de AIVD en de MIVD met buitenlandse diensten. Dit onderzoek is onlangs van start gegaan. Het brengt
in kaart welke uitwisseling van ongeëvalueerde gegevens heeft plaatsgevonden vanaf 1 mei 2018 en
beantwoordt de vraag of dit rechtmatig is geweest. Bijzondere aandacht gaat uit naar de plicht van
beide diensten van de uitwisseling van ongeëvalueerde gegevens melding te doen aan de CTIVD. Het
toezichtsrapport verwacht de CTIVD in het voorjaar van 2019 te kunnen publiceren.

16 Een nadere toelichting wordt gegeven in paragraaf 4 van de bijlage bij deze voortgangsrapportage.
17 Brief van de ministers van BZK en Defensie aan de Tweede Kamer d.d. 15 december 2017, Kamerstukken II 2017/18,

34588 nr. 69.

13

4

Vervolg

Nulmetingen
Nulmeting OOG interceptie kabel
De CTIVD zal begin 2019 een nulmeting verrichten naar de wijze waarop de wettelijke waarborgen
invulling hebben gekregen in het kabel interceptie proces. Zij zal daarbij vaststellen of en zo ja, waar
risico’s op een onrechtmatige toepassing van deze bevoegdheid aan de orde zijn in intern beleid,
werkprocessen, de (technische) inrichting van systemen en bij de interne controle op het interceptieproces. De resultaten hiervan worden gepubliceerd in een tweede voortgangsrapportage in mei 2019.
Nulmeting geautomatiseerde data-analyse
Geautomatiseerde data-analyse kent verschillende regelingen in de wet. Het deel dat ziet op de
analyse van metadata verkregen door onderzoeksopdrachtgerichte interceptie en is gericht op het
identificeren van personen en organisaties (artikel 50 lid 1 sub b Wiv 2017) is besproken in deze
voortgangsrapportage en heeft nadere invulling gekregen in rechtseenheid overleg tussen de TIB en
de CTIVD. De CTIVD zal eind 2018 een nulmeting verrichten naar overige vormen van geautomatiseerde
data-analyse die plaatsvinden op basis van artikel 60 Wiv 2017. De resultaten hiervan worden eveneens
gepubliceerd in een tweede voortgangsrapportage in mei 2019.
Onderzoeken
Onderzoek toepassing filters
De CTIVD heeft al in februari 2018 aangegeven toezicht te zullen uitoefenen op de filtering van
onderzoeksopdrachtgericht verworven gegevens.18 De toepassing van ‘zo gericht mogelijke’ filters
is een belangrijke waarborg in het interceptieproces. De filters bepalen welke gegevens worden
opgeslagen voor nadere verwerking en welke niet. De negatieve resultaten van de recent verrichte
nulmeting hebben de CTIVD ertoe geleid prioriteit te geven aan dit onderwerp. Het onderzoek gaat
direct van start en resulteert in een toezichtsrapport medio 2019.
Onderzoek naar selectie
Het is de AIVD en de MIVD wettelijk toegestaan intern vast te stellen welke selectiecriteria, zoals
telefoonnummers, IP adressen en trefwoorden, worden gehanteerd om invulling te geven aan de
selectiebevoegdheid. De selectiecriteria hoeven niet voorgelegd te worden aan de betrokken minister
dan wel de TIB, en onttrekken zich derhalve aan voorafgaande autorisatie. De CTIVD zal beoordelen
of de toepassing van selectiecriteria ‘zo gericht mogelijk’ plaatsvindt en afdoende intern wordt
gemotiveerd. Na selectie dient de inhoudelijke communicatie door de diensten beoordeeld te worden
op relevantie voor enig lopend onderzoek. Het is de CTIVD vooralsnog onduidelijk of en op welke
wijze deze beoordeling plaatsvindt. Zij hanteert daarbij het in de toelichting bij de wet gehanteerde
uitgangspunt dat gegevens nadat deze zijn geselecteerd op relevantie dienen te worden beoordeeld.
Het onderzoek gaat eveneens direct van start en leidt tot een toezichtsrapport medio 2019.
Onderzoek bulkhacks
In de interne discussies binnen de CTIVD en de overleggen die zij heeft met de TIB komt geregeld de vraag
aan de orde of sprake is van voldoende waarborgen voor de inzet en toepassing van hacks waarmee
een grote hoeveelheid gegevens (bulk) kan worden verworven. De TIB heeft hier nadrukkelijk aandacht
aan besteed in haar reactie op het concept wijzigingsvoorstel Wiv 2017. Met het oog op een eventuele
tussentijdse wijziging van de Wiv 2017 en/of de wetsevaluatie die twee jaar na de inwerkingtreding van
de wet zijn aanvang dient te krijgen, is nader onderzoek naar de inzet en toepassing van bulkhacks van
18 Eindbalans Wiv 2017: een werkbare wet, p. 5, beschikbaar op www.ctivd.nl.

14

belang. De inzet van de hackbevoegdheid maakt binnen het bredere thema van bulkverwerking door
de AIVD en de MIVD een belangrijk onderdeel uit. De CTIVD heeft nadrukkelijk oog voor dit thema. Het
onderzoek zal starten in het voorjaar van 2019 en naar verwachting leiden tot een toezichtsrapport in
de tweede helft van 2019.
Onderzoek reisgegevens
Een tweede onderwerp binnen het thema bulkverwerking door de AIVD en de MIVD betreft de inzet
van de algemene bevoegdheid van de diensten in het kader waarvan eveneens grote hoeveelheden
gegevens kunnen worden verwerkt. Het onderzoek zal zich richten op de omgang met reisgegevens
door de AIVD en de MIVD. Ook dit onderzoek zal starten in het voorjaar van 2019 en naar verwachting
leiden tot een toezichtsrapport in de tweede helft van 2019.
Onderzoek wegingsnotities overige partnerdiensten
De ministers van BZK en van Defensie hebben toegezegd dat per 1 januari 2019 de wegingsnotities
gereed zullen zijn voor alle overige partnerdiensten waarmee een samenwerkingsrelatie bestaat en
die niet tot de eerdergenoemde kopgroep behoren. De CTIVD zal vanaf mei 2019 onderzoeken of deze
toezegging is nagekomen en of de wegingsnotities inhoudelijk voldoen. Zij zal daarin haar aanbevelingen
betrekken t.a.v. de wegingsnotities voor de kopgroep van internationale samenwerkingspartners,
die begin 2019 worden gepubliceerd. Het toezichtsrapport over de wegingsnotities voor overige
partnerdiensten wordt eind 2019 verwacht.
Onderzoek werking wegingsnotities in de praktijk
Wegingsnotities zijn in de kern een schriftelijke verantwoording van de beslissing binnen een bepaalde
bandbreedte met een buitenlandse dienst samen te werken. De CTIVD start in mei 2019 een onderzoek
naar de werking hiervan in de praktijk. Daarbij staat de vraag centraal of de AIVD en de MIVD binnen de
grenzen van de wegingsnotities blijven bij concrete samenwerkingsactiviteiten, zoals de uitwisseling
van gegevens en de gezamenlijke uitvoering van operaties. Ook dit onderzoek zal leiden tot een
toezichtsrapport eind 2019.

15

Tijdelijk adres:
Frederikkazerne, gebouw 35
Van Alkemadelaan 786 I 2597 Den Haag
Postbus 90701 I 2509 LS Den Haag
T 070 315 58 20 I F 070 381 71 68
E info@ctivd.nl I www.ctivd.nl