Tag OSINT

Reflectie voorgestelde aanpassingen Wet op de inlichtingen- en veiligheidsdiensten

jjoerlemans

De Vaste commissie voor Binnenlandse Zaken van de Tweede Kamer houdt zich momenteel bezig met de beoordeling van de voorgenomen wijzigingen op de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017). De voorgenomen wijzigingen staan in de hoofdlijnennotitie zijn hoofdzakelijk gebaseerd op de aanbevelingen van de Commissie Jones-Bos, die in 2020 haar – wat premature – evaluatie uitvoerde en in 2021 publiceerde.

Op verzoek van deze commissie hebben wij een zogenoemde factsheet (.pdf) geschreven voor het samenwerkingsverband ‘Parlement & Wetenschap’. In september 2024 hebben wij deze factsheet toegelicht aan de rapporteurs van de commissie: Barbara Kathmann (GroenLinks-PvdA) en Jesse Six Dijkstra (NSC). Deze blog geeft onze factsheet in verkorte vorm weer.

1.     Problematiek uitvoering van bulkinterceptie en de hackbevoegdheid

Onze hoofdboodschap is dat de Tijdelijke cyberwet reeds enkele urgente knelpunten in de uitvoering van bijzondere bevoegdheden beoogt op te lossen, maar deze oplossingen niet altijd voldoende duidelijk regelt. Dit is met name zo met betrekking tot de reikwijdte van de rechtmatigheidstoets van de Toetsingscommissie Inzet Bevoegdheden (TIB). De problematiek bij bulkinterceptie op de kabel en de uitvoering van de hackbevoegdheid wordt gekenmerkt door een verschil in interpretatie over de reikwijdte van de toetsing door de TIB bij de inzet van deze bevoegdheden. De Tijdelijke cyberwet verlegt onder meer de voorafgaande toets te naar meer dynamisch toezicht tijdens de uitvoering van deze bevoegdheden. Eerder hebben wij afzonderlijk van elkaar ook betoogd dat dit een goede balans kan opleveren tussen voldoende slagkracht voor de diensten en voldoende waarborgen voor de bescherming van fundamentele rechten.

Het is volgens ons de vraag of de Tijdelijke cyberwet de eerder gesignaleerde knelpunten geheel kan wegnemen. Er bestaat nog steeds onduidelijkheid over het criterium van ‘zo gericht mogelijk’ bij bulkinterceptie, evenals over de reikwijdte van de toetsing door de TIB bij – bijvoorbeeld – de toetsing van technische risico’s bij de inzet van de hackbevoegdheid. Ook blijft onduidelijk of de TIB in het kader van de toets geclausuleerde toestemming mag geven met voorwaarden die zien op de verdere gegevensverwerking, zoals bewaartermijnen voor bulkdatasets of het delen van gegevens met buitenlandse inlichtingen- en veiligheidsdiensten.

Wij zijn ons ervan bewust dat het gebrek aan een effectieve inzet van kabelinterceptie voor een deel is te verklaren door tekorten in IT-capaciteit en achterstanden of uitvoeringsproblemen bij de diensten zelf. Voldoende huisvesting en capaciteit voor de toezichthouders zijn ook cruciaal. Wij realiseren ons terdege dat met wetgeving niet alle problemen kunnen worden opgelost, en dat organisatorische knelpunten ook een rol spelen. Desondanks is voldoende duidelijkheid over taakstellingen van alle betrokken partijen vereist. De voortdurende discussies over kwesties als het gerichtheidsvereiste, klaarblijkelijk ook tussen de TIB en de CTIVD onderling, moeten ophouden. Daarbij is meer afstemming en samenwerking vereist, onder een gedeelde verantwoordelijkheid (zie ook paragraaf 3 onder Toezicht).

2.     Bulkdatasets

In de hoofdlijnennotitie worden prima uitgangspunten benoemd voor de omgang met bulkdatasets. Daarbij geldt het devies: ‘bulk is bulk’, ongeacht hoe de data zijn verworven, en is het voornemen om een uniforme regeling voor bulkdatasets te creëren. Daarnaast wordt een stap aan het toestemmingsproces toegevoegd, waarbij de bulkbehoefte voorafgaand aan het toestemmingsverzoek wordt voorgelegd aan de minister.

De hoofdlijnennotitie voorziet desondanks in een differentiatie voor bepaalde bulkdatasets die via de informantenbevoegdheid geraadpleegd kunnen worden. Zoals eerder is betoogd, is het noodzakelijk de informantenbevoegdheid te herzien en een duidelijke en voorzienbare regeling te creëren voor (al dan niet geautomatiseerde) toegang van de AIVD en de MIVD tot gegevens van andere (overheids)instanties. De regeling in de Tijdelijke cyberwet is onvoldoende, omdat bulkdatasets óók kunnen worden verzameld met algemene bevoegdheden, zoals de informantenbevoegdheid, en uit OSINT. Daarnaast kunnen bulkdatasets worden verkregen van buitenlandse inlichtingen- en veiligheidsdiensten in het kader van internationale samenwerking. De Tijdelijke cyberwet is hierop niet van toepassing. Het is goed dat de diensten een eigen tussentijdse regeling aanhouden, maar dit zou bij wet geregeld moeten worden.

3.     Toezicht

De hoofdlijnennotitie biedt verschillende scenario’s met betrekking tot het toezichtstelsel. Gezien de discussies en ontwikkelingen in aanloop naar de Tijdelijke cyberwet lijken deze scenario’s al enigszins achterhaald. Met de Tijdelijke cyberwet heeft de wetgever duidelijk gekozen voor meer dynamisch toezicht, met name om de knelpunten van de statische voorafgaande toets tegen te gaan (zie paragraaf 2). Duidelijk is ook dat voor bepaalde bevoegdheden, zoals bulkinterceptie en de hackbevoegdheid, voorafgaande onafhankelijke toetsing noodzakelijk is. De verdere gegevensverwerking en de naleving van andere artikelen in de Wiv 2017 moeten door een onafhankelijk orgaan getoetst worden. Betrokkenen moeten de mogelijkheid hebben een klacht in te dienen, die vervolgens door een onafhankelijk orgaan dient te worden behandeld, en waar bindende beslissingen op kunnen volgen.

Volgens ons wijzen alle pijlen naar het creëren van één toezichthouder die – in aparte kamers – zowel een voorafgaande toets uitvoert, als achteraf toezicht houdt (scenario 3 uit de hoofdlijnennotitie). De Tijdelijke wet laat zien dat de uitvoering van toezicht met end-to-end safeguards ook afstemming vereist tussen de TIB en de CTIVD. De beide toezichthouders hebben zelf in jaarverslagen te kennen gegeven op te willen gaan in één ‘Autoriteit Nationale Veiligheid’. Het moet daarbij mogelijk zijn dat zij staatsgeheime informatie met elkaar delen. In een systeem van checks & balances is de beroepsmogelijkheid op beslissingen van de TIB en bindende oordelen van de CTIVD bij de afdeling bestuursrechtspraak van de Raad van State een welkome aanvulling. Het is echter te vroeg om een appreciatie van dit nieuwe systeem in het kader van de Tijdelijke wet te geven, aangezien er nog geen jurisprudentie ligt.

Uit bovenstaande paragrafen volgt onze aanbeveling dat de ervaringen met de Tijdelijke cyberwet via een volgende evaluatie mee te nemen in een nieuw wetgevingsproces.

4.     Grijsgebieden

Ten slotte is het dreigingsbeeld in de afgelopen jaren sterk veranderd. Nieuwe cyberdreigingen – wij noemen in onze factsheet desinformatie en cyberspionage – en ondermijnende criminaliteit worden nu door de AIVD opgepakt. Het is echter maar de vraag in hoeverre al deze dreigingen in gelijke mate de nationale veiligheid raken, en daarmee tot het taakgebied van de diensten zijn te rekenen. Het terugkerende punt is dat veel onduidelijkheid bestaat over de rollen en verantwoordelijkheden van de diensten bij deze nieuwe dreigingen.

Het is ons bijvoorbeeld onvoldoende duidelijk in hoeverre de AIVD, het Nationaal Cyber Security Centrum en andere onderdelen van het ministerie van Justitie en Veiligheid gegevens met elkaar mogen uitwisselen over de (cyber)dreigingen die de nationale veiligheid raken. Afgelopen zomer hebben de AIVD en de MIVD in samenwerking met de Nationale Politie bijvoorbeeld een ‘Russische offensieve cybercampagne verstoord’. Maar dat roept vragen op, zoals: welke bevoegdheden zijn daarvoor ingezet, welke gegevensuitwisseling heeft plaatsgevonden, is dat volgens de regels gegaan, wie is daar verantwoordelijk voor, en hoe wordt daar onafhankelijk en effectief toezicht op gehouden? Dit zijn vragen die niet tot een noemenswaardig parlementair debat hebben geleid, en volgens ons opheldering verdienen.

Wij signaleren soortgelijke grijsgebieden waar het gaat om criminaliteit die de democratische rechtsorde ondermijnt. Dit wordt wel als taakgebied op de website van de AIVD vermeld, maar is niet terug te vinden in de toelichting op de openbare versie van de Geïntegreerde Aanwijzing van 2023-2026. Het begrip ‘ondermijnende criminaliteit’ is op zichzelf al problematisch, omdat uit onderzoek blijkt dat niet duidelijk is wat met het begrip wordt bedoeld.

Kortom, meer duidelijkheid over de rollen en verantwoordelijkheden van de diensten bij deze nieuwe dreigingen is noodzakelijk. Daarbij moet ook antwoord komen op de vraag of de diensten actief gegevens verzamelen over deze dreigingen door de inzet van bijzondere bevoegdheden, om ook niet-traditionele afnemers, zoals bedrijven, handelingsperspectief te bieden. Mogelijk leidt een debat – en nopen de antwoorden op deze vragen – tot verdere aanpassingen van een nieuwe Wet op de inlichtingen- en veiligheidsdiensten.

Jan-Jaap Oerlemans & Sophie Harleman

New article about Commercially Available Information and OSINT

jjoerlemans

Our article “Balancing National Security and Privacy: Examining the Use of Commercially Available Information in OSINT Practices”, co-authored by myself and Sander Langenhuijzen, is now published in open access in the International Journal of Intelligence and CounterIntelligence! Of course, a .pdf is also available. You can also listen to the automatically generated podcast below, which I created with Google’s Notebook LM.

Summary

In our article, we critically examine how intelligence and security services utilize commercially available information from OSINT tools and consider its impact on data protection rights. Our analysis builds on the work of the Dutch oversight committee on intelligence and security services and the U.S. Office of the Director of National Intelligence.

It was fascinating to discover that while this OSINT practice is seen as a national security threat in the United States, it is perceived more as a privacy threat in continental Europe (particularly in the Netherlands). Despite these differing perspectives, the recommendations from oversight authorities and existing legal provisions on lawful information processing are remarkably similar.

We propose the following four steps to ensure necessary safeguards are in place to prevent the abuse of personal information in modern OSINT practices:

  1. Prior to using OSINT tools or acquiring commercially available information, intelligence and security services must be aware: (a) how data are processed, (b) what data are processed, and (c) why the data are processed, in order to identify risks of abuse of these data. In other words, intelligence and security services should first assess their impact in a data protection impact assessment and take measures to mitigate risks.
  2. The intelligence community should set up standards and procedures and implement safeguards, such as identifying the need for and value of the use of these data (while balancing this with the impact on fundamental rights), analyze the vendor and data quality, apply acquisition mechanics (such as procurement procedures), and periodically evaluate these standards. Then, intelligence and security services should implement safeguards when processing commercially available information, such as data minimization approaches and techniques, as well as limits on retention, access, querying, other use, and the dissemination of commercially available information.
  3. OSINT practitioners must be appropriately educated and brought up to speed with the “do’s and don’ts” with OSINT tools. Intelligence and security services should periodically evaluate their policy and guidelines and review their practices.
  4. An independent and effective oversight authority should scrutinize whether legislation and internal policies are respected.

Finally, we suggest that the use of commercially available data in other contexts, especially in the cybersecurity and the financial sector, warrants further research.

Verheldering juridisch kader online onderzoek door gemeenten

jjoerlemans Een reactie plaatsen

Op 26 oktober 2023 verstuurden demissionair Minister De Jonge (BZK) en staatssecretaris Van Huffelen (Koninkrijksrelaties en Digitalisering) een Kamerbrief over de verheldering van het juridisch kader over online onderzoek door gemeenten in het kader van de openbare orde en veiligheid.

Gemeenten hebben geen expliciete wettelijke grondslag om persoonsgegevens te verwerken in het kader van online onderzoek, maar mogen wel onder bepaalde voorwaarden doen. Dit zijn volgens de Kamerbrief:

  • Een aanleiding, gelegen in een concrete ordeverstoring of de dreiging daarvan.
  • De noodzaak om die specifieke persoonsgegevens te verwerken en rechtvaardiging van de inbreuk op grondrechten (proportionaliteit & subsidiariteit).
  • Naleving andere AVG-beginselen zoals rechtmatigheid, behoorlijkheid en transparantie, doelbinding, dataminimalisatie, juistheid en actualiteit, integriteit en vertrouwelijkheid, opslagbeperking.

Als daarbij een geringe inbreuk wordt gemaakt op de persoonlijke levenssfeer dan zou dat altijd zijn toegestaan en bij een grote inbreuk is dat nooit toegestaan. Daartussen in moet de focus worden verlegd naar ‘situaties naar specifieke personen’ en een afweging worden gemaakt. Gemeenten moeten een protocol opstellen hoe daarmee moet worden omgegaan en daarvoor is dan weer een handreiking gemaakt.  

De minister en staatssecretaris adviseren terughoudendheid ten aanzien en aanzien van het gebruik van zogenoemde internetmonitoringstools. Gezien de hoeveelheid persoonsgegevens die door de inzet van deze producten doorgaans wordt verwerkt, resulteert dit in de meeste gevallen waarin deze worden toegepast in het kunnen verkrijgen van een volledig beeld van bepaalde aspecten van het privéleven van personen. De verkrijgende organisatie, zoals een gemeente, draagt daarbij een eigen verwerkingsverantwoordelijkheid ten opzichte van de ontvangen persoonsgegevens.

Volgens de Landsadvocaat (.pdf) heeft de politie ruimere bevoegdheden onder het gezag van de minister online onderzoek te verrichten. De politie zal de politiegegevens, die zij middels een dergelijk online onderzoek heeft verkregen, op grond van de Wet politiegegevens (‘Wpg’) mogen verstrekken aan de burgemeester indien die gegevens relevant en noodzakelijk zijn voor de handhaving van de openbare orde. Dat is in de praktijk ook een veelgebruikte route. Daarnaast zien zij meer juridische ruimte voor het zelfstandig verrichten van online onderzoek door een gemeentelijk ambtenaar, voor zover het online onderzoek wordt verricht ten behoeve van de voorbereiding c.q. motivering van een besluit in de zin van de Algemene wet bestuursrecht (‘Awb’) dat strekt ter bescherming van de openbare orde.

Samen met de Kamerbrief zijn ook andere interessante documenten gepubliceerd, zoals het juridisch kader, een handreiking voor gemeenten, een gepubliceerde ‘second opinion’ van de Landsadvocaat en (nogal juridische) antwoorden op ‘veelgestelde vragen’.

Modernisering strafvordering en digitale opsporing

jjoerlemans Een reactie plaatsen

Het wetsvoorstel voor een nieuw Wetboek van Strafvordering (.pdf) is op 20 maart 2023 naar de Tweede Kamer gestuurd. Dit wetsvoorstel moderniseert het strafprocesrecht door middel van de vaststelling van een nieuw Wetboek van Strafvordering. Het Wetboek van Strafvordering bevat regels voor de opsporing, vervolging en berechting van strafbare feiten. Door veroudering van het huidige Wetboek en door verschillende ontwikkelingen in de samenleving is een modernisering van het Wetboek nodig. Het voorstel regelt een grondige herstructurering van het Wetboek waardoor wordt bijgedragen aan de rechtszekerheid en de bruikbaarheid van het Wetboek in de praktijk. 

De memorie van toelichting telt welgeteld 1420 pagina’s en vergt nadere bestudering, dus in deze blogpost signaleer ik alleen enkele belangrijke bepalingen betrekking tot digitale opsporing. Enkele aanbevelingen, zoals het aanpassen van de netwerkzoeking, de kennisneming van binnengekomen berichten na inbeslagneming van een geautomatiseerd werk en de biometrische ontsleuteling, zijn reeds geïmplementeerd na de Innovatiewet Strafvordering (Stb. 2022, 276). De bepalingen worden vernummerd in het conceptwetsvoorstel (in respectievelijk artt. 2.7.40, 2.7.39 en 2.7.43).

Het wetsvoorstel bevat ten aanzien van digitale opsporing de volgende voorstellen:

  • De introductie van een titel voor ‘onderzoek van gegevens’ (Titel 7.3). Nieuw is onder andere de regeling voor onderzoek aan digitale-gegevensdragers en geautomatiseerde werken (artikel 2.7.38) (dit artikel betreft een codificatie van het Smartphone-arrest (ECLI:NL:HR:2017:584)).
  • Met betrekking tot het verstrekken van gegevens door derden wordt in Afdeling 7.3.3, net als in de huidige wet, onderscheid gemaakt naar de aard van de gegevens (identificerende gegevens, gevoelige gegevens en andere gegevens). Nieuw in deze afdeling zijn: de mogelijkheid tot het stellen van voorvragen (artikel 2.7.46, vijfde lid), het generiek bevel tot verstrekking van gegevens voor de periode van twee weken (artikel 2.7.46, zesde lid), het ‘bevel op naam’ (artikel 2.7.47, vijfde lid en 2.7.49, vijfde lid), de mogelijkheid te bevelen dat een derde een data-analyse uitvoert (artikel 2.7.50) en een bepaling over de vrijwillige verstrekking van gegevens (artikel 2.7.54).
  • In Hoofdstuk 8 van Boek 2 staan nieuwe bevoegdheden die betrekking hebben op gegevensvergaring door het stelselmatig overnemen van persoonsgegevens uit publiek toegankelijke bronnen (artikel 2.8.8) (met een bevel van de officier van justitie), een meer indringende vorm van stelselmatige inwinning van informatie (artikel 2.8.11, tweede lid) (met het een machtiging van een rechter-commissaris), infiltratie op een persoon (artikel 2.8.12) (met een machtiging van een rechter-commissaris) en stelselmatige locatiebepaling (artikel 2.8.18) (met een bevel van de officier van justitie). Voor het vastleggen van vertrouwelijke communicatie is in artikel 2.8.15 is een regeling opgenomen voor het betreden van een besloten plaats of woning ter voorbereiding van het daadwerkelijke vastleggen van de communicatie (leden 5 tot en met 7).
  • Hoofdstuk 9 van Boek 2 regelt het verkennend onderzoek. Nieuw is daarin de bevoegdheid om stelselmatig persoonsgegevens uit publiek toegankelijke bronnen over te nemen (artikel 2.9.1) (met een bevel van de officier van justitie).

Ten slotte is het van belang te noemen dat aanvankelijk het voornemen bestond om een nieuwe gegevensverwerkingswet op het terrein van politie en justitie tot stand te brengen ter vervanging van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Inmiddels duidelijk geworden dat deze nieuwe gegevensverwerkingswet er niet komt, omdat voor de realisatie en implementatie daarvan geen financiële middelen beschikbaar zijn (Kamerstukken II 2021/22, 32761, nr. 218). Dat is pijnlijk, aangezien het ontbreken van een koppeling tussen de gegevensverwerkingsbepalingen en de bepalingen over de verzameling van gegevens juist als een breed gedragen probleem wordt gezien. Zie daarover bijvoorbeeld mijn recente artikel met Marianne Hirsch Ballin.

Internetonderzoek door bestuursorganen

jjoerlemans Een reactie plaatsen

Posted on 28/05/2019

In de gemeente Amsterdam mag woonruimte niet meer dan 30 dagen per jaar mag worden verhuurd. Ter handhaving van dit beleid legt de gemeente met behulp van zogenoemde ‘scraping’-technieken elke dag de advertenties en reviews op de advertenties op AirBnB vast. Deze informatie uit ‘open bron’ vormt mogelijk bewijsmateriaal in handhavingsacties. Uit onder andere deze zaak (ECLI:NL:RBAMS:2018:4442) blijkt dat bewoners een last onder dwangsom opgelegd kunnen krijgen als zij – blijkend uit de advertentie en de reviews op AirBnB – de regels uit de Huisvestingsverordening overtreden.

De gemeente Amsterdam is zeker niet het enige bestuursorgaan dat informatie op internet verzamelt ten behoeve van de uitvoering. Zo wordt in het kader van de sociale zekerheid veelvuldig op sociale media en online handelsplatformen als ‘Marktplaats’ gezocht naar informatie die op mogelijke fraude wijst. Op sociale media verschijnen bijvoorbeeld posts die op mogelijke samenleving tussen personen kunnen wijzen, zoals “bij de liefde van mijn leven ingetrokken” (zie bijvoorbeeld ECLI:NL:RBDHA:2016:8215) en kan bij een groot aantal advertenties voor goederen of diensten op Marktplaats het vermoeden rijzen dat er verzwegen inkomsten zijn (zie bijvoorbeeld ECLI:NL:CRVB:2015:979).

Ook in het vreemdelingerecht duikt het gebruik van sociale media steeds vaker op. Posts op de tijdlijn van Facebook of de activiteiten op LinkedIn blijken inzicht te verschaffen in de politieke of religieuze activiteiten (ECLI:NL:RBDHA:2017:6180), de seksuele oriëntatie (ECLI:NL:RBDHA:2014:10266) of in de mogelijkheden om vakanties in het buitenland door te brengen, zonder problemen met de autoriteiten te ondervinden (ECLI:NL:RBDHA:2017:7852). Deze informatie kan van belang zijn voor bijvoorbeeld een beslissing over het verlenen van een verblijfsvergunning. Andere opvallende zaken die soms de publiciteit haalden, is bijvoorbeeld de sluiting van de Amsterdamse sexclub Bianca, (mede) vanwege anonieme recensies op hookers.nl (ECLI:NL:RVS:2013:792) en de grootschalige Facebookanalyse die de gemeente Amsterdam uitvoerde om meer grip te krijgen op overlastgevende hangjongeren.

Artikel

In ons artikel (.pdf) in het NJB heb ik samen met Ymre Schuursmans onderzocht in hoeverre openbronnenonderzoek op internet binnen het bestuursrechtelijk kader toelaatbaar is. Binnen het strafrecht en de Wiv 2017 worden nieuwe bevoegdheden geïntroduceerd voor ‘stelselmatig openbronnenonderzoek’, terwijl binnen het bestuursrecht dergelijke plannen ontbreken. Wij analyseren de achtergrond van dit verschil in regulering en bezien of normen en waarborgen uit het strafvorderlijk domein toepasbaar zijn in het bestuursrecht, teneinde de grondrechten van betrokkenen (beter) te beschermen.

Conclusie

In het artikel concluderen wij dat openbronnenonderzoek binnen het bestuursrecht mogelijk is op grond van de algemene onderzoeksplicht in artikel 3:2 Awb. De ernst van de privacy-inmenging bij openbronnenonderzoek verschilt echter van geval tot geval. Met het voorbeeld van de inzet van scrapers uit de inleiding in het achterhoofd, wordt volgens ons door de rechtbank te weinig gemotiveerd akkoord gegaan.

Onze aanbeveling is om in beleid en rechtspraak (en mogelijk in een bijzondere wet, zoals de Participatiewet) een nadere invulling te geven voor stelselmatig openbronnenonderzoek binnen het bestuursrecht. Dat moet duidelijk maken voor welke doelen en onder welke voorwaarden openbronnenonderzoek door bestuursorganen plaatsvindt.

Dergelijk beleid en meer rechtspraak vergroot de voorzienbaarheid van de toepassing van het instrument voor de burger en dwingt bepaalde waarborgen af. Daarbij valt te denken aan een nadere invulling van de proportionaliteitstoets in de toezichtfase (art. 5:13 Awb), het stellen van eisen aan de verslaglegging, het stellen van grenzen aan de duur van het onderzoek, het bepalen van een bewaartermijn van gegevens en de wijze waarop wordt omgegaan met de informatieplicht uit de AVG. Het protocol internetrechercheren voor gemeenten (.pdf) biedt een eerste invulling van deze waarborgen.

Surveilleren en opsporen op internet

jjoerlemans Een reactie plaatsen

Posted on 10/09/2012 op Oerlemansblog

Mag de politie in het kader van toezicht stelselmatig gegevens vergaren uit open bronnen van internet? In hoeverre mogen politie en justitie gegevens van internet verzamelen over (groepen) mensen in het kader van opsporing? In het tijdschrift Justitiële Verkenningen (nr. 5, 2012, p. 35-49) gaan Bert-Jaap Koops en ik op deze vragen in. In dit blogbericht wil ik kort de belangrijkste punten uit het artikel behandelen. Het gehele artikel is hier te downloaden (.pdf).

‘De politie mag onbeperkt gegevens van internet vergaren’

In de praktijk lijken sommige politieambtenaren de indruk te hebben dat alles wat op internet in open bronnen is te vinden gebruikt mag worden voor toezicht- en opsporingsdoeleinden. In het artikel trachten wij duidelijk te maken dat dit niet het geval is, omdat het handelen van de politie specifiek geregeld is in wet- en regelgeving. De hoofdregel daarbij is dat daar waar een meer dan geringe inbreuk in de persoonlijke levenssfeer van mensen wordt gemaakt, een specifieke wettelijke regeling voorhanden moet zijn. Koops en ik hebben de indruk dat bij het monitoren van gegevens van mensen op internet voor toezichtdoeleinden al snel een meer dan geringe privacyinbreuk wordt gemaakt en daar op dit moment geen afdoende wettelijke regeling voor is.

Bij surveilleren en opsporen op internet gaat het allang niet meer om een ‘Googelende opsporingsambtenaar’, maar om politiesystemen waarmee snel en efficiënt gegevens op internet kunnen worden afgestruind op zoek naar de relevante informatie. Het is niet helemaal duidelijk wat de politiesystemen precies kunnen en wat met een ‘near real time Internet monitoring service’ wordt bedoelt, maar documenten die zijn vrijgekomen na een Wob-verzoek op de website van het NCTB lichten een tipje van de sluier op.

Wij zijn met betrekking tot het vergaren van gegevens op internet met geautomatiseerde ICT-toepassingen van mening dat het gebruik van deze systemen op basis van art. 2 Politiewet 1993 onvoldoende voorzienbaar is voor burgers en de wetgever zich moet uitspreken over deze gegevensverwerkingen. Als zij vinden dat het gebruik van deze systemen noodzakelijk is voor een effectief politieoptreden zou zij daarvoor (naar onze mening) een nieuwe wettelijke grondslag met waarborgen voor het gebruik daarvan moeten creëren.

Opsporen op internet

Het vergaren van gegevens op internet voor toezichtsdoeleinden moet in theorie gescheiden worden van het vergaren van gegevens voor opsporingsdoeleinden. Soms lopen de twee in elkaar over, maar op dit moment is het zo dat in kader van opsporing de politie (meestal in opdracht van een officier van justitie) meer ernstige privacyinbreuken mogen worden gemaakt door middel van toepassing van  bijzondere  0psporingsbevoegdheden. Al eind jaren ‘90 heeft de wetgever met de Wet bijzondere opsporingsbevoegdheden ( Wet BOB ) te kennen gegeven dat opsporingsbevoegden ook op internet mogen worden toegepast. Het is echter niet helemaal duidelijk wat de reikwijdte van deze bevoegdheden in een internetomgeving precies is.

Op dit moment lijkt het afhankelijk van de interpretatie van opsporingsambtenaren (en soms een officier van justitie als die erbij betrokken wordt) hoe ver ze kunnen gaan bij het vergaren van informatie op internet. Er is ook opvallend weinig jurisprudentie over voorhanden, behalve één gepubliceerde zaak waarbij de rechter te kennen gaf dat een opsporingsambtenaar van Google Earth in zijn onderzoek gebruik mag maken. Tegelijkertijd gaf de rechter aan dat ‘de bevoegdheid om rond te kijken in een openbaar netwerk niet de bevoegdheid impliceert om stelselmatig voor de uitoefening van de politietaak gegevens van internet te downloaden en in een politieregister op te slaan’.

Koops en ik zijn het zelf ook niet helemaal over eens op welk moment nu precies bij het vergaren van gegevens uit open bronnen op internet een meer dan geringe inbreuk wordt gemaakt op de persoonlijke levenssfeer van de betrokkenen. Dit leggen we in het artikel ook uit. Wel zijn wij het er over eens dat het criterium van een ‘meer dan geringe privacyinbreuk’ leidend is en dat wanneer daarvan sprake is het vergaren van gegevens door de politie zou kunnen worden ondergebracht onder de bijzondere opsporingsbevoegdheid van stelselmatige observatie (art. 126g Sv). Maar zelfs die bijzondere opsporingsbevoegdheid slaat niet naadloos aan bij de opsporingshandeling van politie en justitie op internet. Dit zetten we in het artikel verder uiteen.

Daarom concluderen we dat: ‘de wetgever deze problematiek bewust moet analyseren en zich daarbij moeten baseren op de huidige internetomgeving, die veel verder is ontwikkeld en er anders uitziet dan in 2000 het geval was’ (p. 47). Eventueel zou voor opsporen op internet het criterium ‘stelselmatigheid’, waarbij een ‘min of meer volledig beeld van een bepaald aspect van het leven van een persoon wordt verkregen’ leidend kunnen blijven. Daarbij zou de bijzondere opsporingsbevoegdheid van stelselmatige observatie toegepast kunnen blijven worden, maar het is wenselijk als de wetgever dit expliciet maakt (om ongewenste interpretaties van de wet te voorkomen) of een andere wettelijke grondslag voor de opsporingshandeling creëert. In de tussentijd kunnen advocaten met een actieve proceshouding de opsporingspraktijk aan de kaak stellen. Rechters zullen zich daar vervolgens moeten over uitspreken, waardoor het wet- en regelgevingskader voor surveilleren en opsporen op internet meer helder wordt.