Betreft:
Datum:

Reactie Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een
offensief cyberprogramma
13 april 2022

Geachte ministers,
Onlangs is de internetconsultatie geopend voor de Tijdelijke wet onderzoeken AIVD en MIVD naar
landen met een offensief cyberprogramma. U beoogt met dit wetsvoorstel bepaalde knelpunten bij de
toepassing van de Wiv 2017 weg te nemen. Ondergetekenden onderschrijven de noodzaak om de
cyberslagkracht van de diensten op peil te houden en in lijn met de aanbevelingen van de ECW te
versterken, om zo de nationale veiligheid te waarborgen. Wel plaatsen wij enkele kanttekeningen bij
het huidige wetsvoorstel en de memorie van toelichting.
Ten eerste een opmerking over de reikwijdte. Volgens de titel van het wetsvoorstel en voorgesteld
artikel 2 is die beperkt tot landen met ‘een offensief cyberprogramma tegen Nederland of Nederlandse
belangen’. U verschaft een nadere duiding in paragraaf 3.1 van de memorie. Daaruit blijkt dat de GA
van doorslaggevend belang is. Het is voor de diensten echter niet altijd (direct) mogelijk om digitale
aanvallen te attribueren aan een land. De slotzin van deze paragraaf luidt dan ook: ‘Daarom is deze
wet ook van toepassing op onderzoeken naar een cyberdreiging en cyberaanvallen tegen Nederland of
Nederlandse belangen, waarnaar de diensten op grond van de GA onderzoek kunnen doen, ook als die
(nog) niet geattribueerd kunnen worden aan een specifiek land’. Deze zin begrenst de reikwijdte van
het wetsvoorstel nog onvoldoende. Vooral de gecursiveerde toevoeging biedt veel ruimte en creëert
daarmee een open deur. Wij menen dat verdere afbakening nodig is en zien daarvoor ten minste twee
mogelijkheden. Ofwel de diensten moeten ‘aannemelijk’ maken dat van een specifiek land (uit de GA)
een bepaalde dreiging uitgaat ofwel zij moeten hiervan een ‘indicatie’ aantonen. Dat kan bijvoorbeeld
door te wijzen op een herkenbaar patroon, doel of middel van de aanval.
Ten tweede valt op dat in paragraaf 3.2.5 en paragraaf 3.5 van de memorie, over de wettelijke
bijschrijfmogelijkheid, wordt gesproken over ‘interne toestemming’. Onduidelijk is echter bij wie die
autorisatiebevoegdheid precies is belegd. Dat blijkt ook niet uitdrukkelijk uit de wetstekst.
Verduidelijking over wie interne toestemming dient te geven is wenselijk.
Ten derde vinden wij het opmerkelijk dat dit wetsvoorstel niet meteen ook de bindende ex ante-toets
voor een zogeheten ‘stomme tap’ regelt. Recente jurisprudentie van het Hof van Justitie van de
Europese Unie, in het bijzonder Privacy International (C-623/17) en La Quadrature du Net e.a. (C511/18 en C-512/18), verplicht daartoe. Tot onze verbazing adresseert u dit probleem wel in de
memorie, maar lost u het nu niet op. U geeft op pagina 41 immers aan dit pas bij de eerstvolgende
wijziging van de Wiv 2017 te willen regelen. Wij zien niet in waarom de voorafgaande toetsing van de
stomme tap door de TIB niet nu reeds wettelijk kan worden verankerd, zodat de bestaande strijdigheid
met Europese jurisprudentie bij de eerste gelegenheid al is weggenomen.
Tot slot een kanttekening bij het toezichtstelsel. De memorie rept over een ‘accentverschuiving’ in het
toezicht, omdat de voorafgaande bindende toets door de TIB op punten zal worden vervangen door
bindend toezicht door de CTIVD gedurende en na afloop van een bevoegdhedeninzet door de AIVD of
de MIVD. De voorgenomen herschikking van het toezichtstelsel is echter bepaald geen
‘accentverschuiving’, maar betreft een stelselwijziging waarvan de gevolgen moeilijk te overzien zijn.

Tegelijkertijd wilt u een nieuw toezichtselement introduceren: een beroepsprocedure bij de ABRvS.
Om voor de hand liggende redenen zal die procedure zich grotendeels achter gesloten deuren
voltrekken. Problematisch is dat de uitspraken geheim blijven. Dat volgt uit de voorgestelde artikelen
14 lid 14 en 15 lid 4. Wij vinden dit onwenselijk. Volledig geheime rechtspraak over dit soort
aangelegenheden zal niet bijdragen aan het maatschappelijk vertrouwen in de diensten en hun
toezichthouders, maar het debat – waarin toch al snel wantrouwen sluipt – bemoeilijken.
Onzes inziens moet ten minste een gedeelte van een uitspraak in beroep worden geopenbaard: niet
zozeer de passages met details over lopende operaties, die behoeven inderdaad geheimhouding, maar
in ieder geval wél het oordeel en de rechtsoverwegingen waarin de ABRvS de wet duidt.
Openbaarheid van wetsuitleg dient namelijk de rechtszekerheid en maakt (wetenschappelijk)
commentaar mogelijk. Dit noopt te meer wanneer de ABRvS een richtinggevende uitspraak doet over
de uitleg van wettelijke begrippen, de invulling van toetsingsnormen of over de intensiteit van de
toetsing door de toezichthouders.
De voorgestelde procedure bij de ABRvS voorziet momenteel niet in een formele rol voor algemeenbelangbehartigende organisaties, bijvoorbeeld in de vorm van amicus curiae, en ook niet in een rol
voor een onafhankelijke privacybehartiger, zoals in het Zweedse toezichtstelsel het geval is. Wij
menen dat u de mogelijkheden hiervoor (verder) zou kunnen onderzoeken, omdat zoiets de procedure
inhoudelijk kan verrijken en ook kan bijdragen aan de acceptie van de rechterlijke uitspraken. Zeker
wanneer het een zaak met grote maatschappelijke gevolgen betreft, is het belangrijk dat deze
organisaties of belangenbehartigers zich er namens de samenleving over kunnen uitspreken.

Hoogachtend,
Prof. dr. Bart Jacobs
Hoogleraar Security, Privacy en Identity, Radboud Universiteit
Mr. drs. Rowin Jansen
Docent en promovendus Algemene Rechtswetenschap, Radboud Universiteit