1.1.1

Aan het begin van de zomer is
door mij de afweging gemaakt
om de rapporten in
samenhang te apprecieren en
daarna aan u aan te bieden in
de verwachting dat dat enkele
weken zou duren.

Aan
Van

MINDEF

Afgestemd met

CDS, DJZ en DCO

☒
In afschrift aan
D.t.v.

STASDEF
SG

Nota

Voortgang gegevensbescherming binnen Defensie

DG Beleid

TER BESLISSING
Datum
24 november 2022
Onze referentie
BS2022023235
Opgesteld door

Aantal bijlagen
1 Kamerbrief
2 Eiffel rapport
3.FG-rapport
Vertrouwelijk
1. Eiffel-rapport
(gerubriceerde versie)
2. Vertrouwelijke bijlage
Eiffel-rapport

Aanleiding
De directe aanleiding voor deze kamerbrief zijn twee onderzoeksrapporten naar de naleving van de
gegevensbeschermingswetgeving door Defensie die recent aan Defensie zijn aangeboden. Het eerste
onderzoeksrapport is opgesteld door de Functionaris voor Gegevensbescherming AVG Defensie (FG).
Het tweede rapport is een extern onderzoeksrapport geschreven door het juridisch consultancy
bureau Eiffel in opdracht van Defensie. Toezending van dit rapport is eerder aan de Kamer
toegezegd1. Beide rapporten vloeien voort uit de maatregelen die Defensie heeft genomen om
herhaling te voorkomen van wat er bij het LIMC niet goed ging. (Brief van 7 mei 2021 over het
onderzoeksrapport van de Functionaris voor Gegevensbescherming over het LIMC, Kamerstuk 32
761, nr. 182).

Geadviseerd besluit




U wordt geadviseerd om de Kamer te informeren met bijgevoegde kamerbrief en deze
samen met de onderzoeksrapporten en de vertrouwelijke bijlage aan te bieden. In de
kamerbrief nemen we de aanbevelingen uit beide rapporten over.
U wordt geadviseerd om de uitvoering van activiteit 14B (waarbij het Defensie Cyber
Security Centrum (DCSC) informatie over kwetsbaarheden en dreigingen vergaart om IT
dreigingen te voorkomen en er tegen op te treden) vooralsnog op te dragen aan de MIVD
(onder de Wiv 2017, artikel 10, lid 2 – maatregelen treffen ter beveiliging van de gegevens
betreffende de krijgsmacht en artikel 28, lid 1 – stelselmatig verzamelen van gegevens
omtrent personen uit voor een ieder toegankelijke informatiebronnen).

Kernpunten




1

Algemeen
Het advies is de voorliggende twee AVG-rapporten nu met een eerste reactie aan de Kamer
aan te bieden. Hiermee informeert u de Kamer tevens dat het eindrapport van de Commissie
van Onderzoek LIMC (commissie Brouwer) naar verwachting voor het einde van het jaar
wordt opgeleverd.
In uw brief van 1 juli jl. (Kamerstuk 32761, Nr. 242) berichtte u de kamer het externe Eiffelrapport aan te bieden zodra het definitief was. Gedurende de appreciatie van het Eiffel-

Kamerstukken II, 2021-2022 32 761, nr. 182 en 203

Pagina 1 van 3







rapport ontving Defensie echter ook het FG-rapport dat deels overlapt met de Eiffel-rapport.
Om de Kamer volledig en transparant te informeren zijn vervolgens beide rapporten
vanwege de overlap in samenhang geapprecieerd. Wij adviseren u om tevens het FG-rapport
aan de kamer aan te bieden.
De algemene conclusie is dat de bewustwording van de AVG bij Defensie toeneemt.
Tegelijkertijd constateren de opstellers van beide rapporten ook dat de naleving van de AVG
bij Defensie verdere verbetering behoeft. Het blijft daarbij van belang voortdurend alert te
zijn op signalen uit de organisatie en deze in voorkomend geval onmiddellijk te
onderzoeken.
Defensie neemt de aanbevelingen uit zowel het FG- als het Eiffelrapport over.
Zowel het Eiffel-rapport als het FG-rapport concluderen dat er twee onderwerpen zijn die
nadere uitwerking vergen.
Ten eerste is aan Defensie een beperkt aantal publieke taken (taken van algemeen belang)
toebedeeld, waarbij niet in alle gevallen duidelijkheid bestaat over de bevoegdheid om
daarbij persoonsgegevens te verwerken. De vraag rijst of ‘willen, kunnen en mogen’ voor
het opereren in de informatieomgeving in evenwicht zijn. Voor een nader antwoord op deze
vraag is het van belang ook de lessen voor het Informatie gestuurd Optreden te betrekken,
die de Commissie Brouwer trekt uit het LIMC onderzoek. In de Kamerbrief is daarom
opgenomen dat u hierop terugkomt in uw appreciatie van het nog te verschijnen rapport
Brouwer.
Ten tweede bestaan er onduidelijkheden over de toepassing van de verwerkingsgrondslag
gerechtvaardigd belang bij de verwerking van persoonsgegevens door Defensie en door
overheidsinstanties in het algemeen. Zowel het FG-als het Eiffel-rapport stellen vast dat de
jurisprudentie, kaders en richtlijnen op dit gebied zeer beperkt zijn. Dit is een rijksbreed
vraagstuk dat momenteel onderzocht wordt door het Wetenschappelijk Onderzoeks- en
Documentatiecentrum (WODC) in opdracht van het ministerie van Binnenlandse Zaken en
Koninkrijksrelaties en de minister voor Rechtsbescherming. Defensie werkt mee aan dit
onderzoek. Het is mogelijk dat de resultaten uit dit onderzoek aanleiding geven tot het
formuleren van rijksbrede regels. Vooruitlopend hierop zal Defensie zorgen voor toereikende
regels voor het rechtmatige gebruik van monitoring en scraping tools en de toepassing van
gerechtvaardigd belang als verwerkingsgrondslag. Hierbij is het eveneens van belang het
eindrapport van de Commissie Brouwer in beschouwing te nemen.



Overwegingen bij het beslispunt voor activiteit 14B
Het beslispunt betreft activiteit 14B,



De uitvoering van deze activiteit is van groot belang voor





. Het rapport van Eiffel stelt dat het niet duidelijk is of er
een verwerkingsgrondslag is voor deze activiteit en verwacht dat deze grondslag niet
aanwezig is, daarom zet Eiffel deze activiteit op rood.
Daarom is het advies de uitvoering van de huidige werkzaamheden onder activiteit 14B
vooralsnog en per direct aan de MIVD op te dragen om de activiteit op basis van een
correcte wettelijke grondslag voort te zetten in het belang van de beveiliging van Defensie.
De MIVD gebruikt hierbij een bestaande onderzoeksopdracht die voortkomt uit de
geïntegreerde aanwijzing (WiV2017, artikel 6, lid 1). De huidige GA biedt voldoende
grondslag om de verzameling van de kwetsbaarheden uit te voeren. Een eventuele andere
oplossing zal worden gezocht nadat de adviezen uit het eindrapport van de Commissie
Brouwer zijn ontvangen. Hierbij wordt ook het WODC-onderzoek in beschouwing genomen.

Toelichting


De Functionaris voor Gegevensbescherming concludeert in het FG-rapport dat diverse
social media monitoring en scraping tools binnen Defensie worden of zijn ingezet. Hierbij zijn
tekortkomingen geconstateerd in de naleving van de AVG. Daar waar mogelijk zijn direct

Pagina 2 van 3





verbetermaatregelen genomen. De conclusies en aanbevelingen van het FG-rapport zijn in
lijn met het Eiffel-rapport en worden overgenomen. Het Eiffel-rapport beschrijft 26, eerder
als mogelijk ‘risicovol’ geïnventariseerde activiteiten waar Defensie meer duidelijkheid over
de naleving van de AVG wenste.
Er zijn twee activiteiten die volgens het Eiffel-rapport tijdens het onderzoek niet aan de AVG
voldeden (activiteiten 10B en 14B). Defensie heeft activiteit 10B – Het Commando
Zeestrijdkrachten slaat mogelijke relevante openbare nieuwsberichten op haar SharePoint –
tijdens het onderzoek stopgezet.
Er zijn twee alternatieven ten aanzien van activiteit 14B mogelijk. Een eerste alternatief is
dat het
doorgaat met de uitvoering van de activiteit. Omdat hiervoor op dit moment
geen wettelijke grondslag bestaat, wordt u deze optie afgeraden. Een tweede alternatief is
dat het
stopt met de activiteit in zijn geheel. Omdat de veiligheid van
hiermee niet kan worden geborgd, wordt u deze optie eveneens afgeraden en
is het advies de activiteit aan de MIVD op te dragen.

Financiële overwegingen
Er zijn geen bijzondere financiële overwegingen.

Juridische overwegingen
Het verleggen van de werkzaamheden van activiteit 14B naar de MIVD is een rechtmatige wijze om
de activiteit uit te voeren.

Communicatie
DCO adviseert communicatie over de rapporten parallel aan de Kamerbrief voor te bereiden. Daar
kunnen dan ook het rapport van de Commissie Brouwer en het rijksbrede WODC-onderzoek in
worden meegenomen.

Interdepartementale afstemming
De concept kamerbrief is uitgezet bij het ministerie van Binnenlandse Zaken en Koninkrijksrelaties
(Directie Constitutionele Zaken en Wetgeving), vanwege hun rol in het onderzoek van het WODC. De
kamerbrief is tevens uitgezet bij de Nationale Coördinator Terrorismebestrijding en Veiligheid,
vanwege hun recente ervaring op het gebied van social media monitoring. Beide hebben meegelezen
en geen additioneel commentaar ingediend. Het beleidsteam privacy van de minister van
Rechtsbescherming heeft wel commentaar ingediend, vanwege hun verantwoordelijkheid voor het
gegevensbeschermingsstelsel. Het beleidsteam privacy van de minister van Rechtsbescherming
heeft commentaar gegeven op de laatste paragraaf van de kamerbrief die gaat over het gebruik van
de grondslag gerechtvaardigd belang door overheidsorganisaties.

Informatie vallend onder ‘belang van de Staat’
De afgeschermde passages verwijzen naar het vertrouwelijke deel van het Eiffel-rapport. Ze zijn
gerubriceerd omdat ze informatie bevatten over het kennisniveau van de veiligheid van de fysieke
en digitale infrastructuur van Defensie. Verder is het FG-rapport ontdaan van persoonsgegevens en
kan daarmee openbaar met de Kamer worden gedeeld.
Persoonlijke gegevens van de steller worden afgeschermd in verband met de bescherming van de
persoonlijke levenssfeer.

DE DIRECTEUR-GENERAAL BELEID

Pagina 3 van 3