Van januari 2025 tot en met juli 2025 heb ik gewerkt aan een rapport over ‘Toezicht op buitenlandse inlichtingen- en veiligheidsdiensten’ (.pdf). In opdracht van de ministeries van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie bracht ik het toetsings- en toezichtstelsel op de inlichtingen- en veiligheidsdiensten in kaart van Denemarken, Zweden, Frankrijk en het Verenigd Koninkrijk. Mijn buitenpromovenda Naomi Stal werkte met name aan het hoofdstuk over het Verenigd Koninkrijk.

De aanleiding voor dit onderzoek is dat deze informatie mogelijk gebruikt kan worden bij de aangekondigde wijziging van de Wet op de inlichtingen- en veiligheidsdiensten (meest recent nog genoemd in deze Kamerbrief van 17 juni 2025). In deze blog benoem ik de belangrijkste onderzoeksresultaten en licht ik toe welke bevindingen tot meer discussie (zouden moeten) leiden.

Luister eventueel ook naar de onderstaande (automatisch gegenereerde) podcasts of bekijk het rapport:

Podcast (in English, 22-minute version, with more attention to the ECtHR case law)

Podcast (in English, short 6-minute version, focusing on the main research results)

Onderzoeksresultaten

Kort gezegd heb ik eerst een normatief kader opgesteld om de toetsingsmechanismen en het toezicht op de inlichtingen- en veiligheidsdiensten in de genoemde landen in kaart te brengen. Daarbij bouwde ik voort op eerder werk van mijzelf en anderen over de vereisten voor toezicht op de inzet van bulkinterceptie. Dit kader werkt goed voor de onderzochte landen, omdat in elk van deze landen bulkinterceptie wordt uitgevoerd door nationale SIGINT-organisaties en elk land het EVRM heeft geratificeerd. Behalve Denemarken heeft ook elk land het gemoderniseerde gegevensbeschermingsverdrag Conventie 108+ ondertekend, dat óók van toepassing is op het inlichtingen- en defensiedomein.

Het toezichtmodel (zie Figuur 1 hieronder) gebruik ik vervolgens om het toezicht op de inlichtingen- en veiligheidsdiensten in Denemarken, Zweden, Frankrijk en het Verenigd Koninkrijk te beschrijven.

Figuur 1: Het stelsel van toezicht ten aanzien van bulkinterceptie

(bron: J.J. Oerlemans, ‘Toezicht op buitenlandse inlichtingen- en veiligheidsdiensten’, Universiteit Leiden 2025, p. 28)

Toezicht vooraf (ex ante)

De meeste landen hebben een onafhankelijke instantie of rechter die toestemming moet geven voor de inzet van bulkinterceptie, zoals is vereist in de ex ante-fase door het EHRM.

In Zweden voert een specialistische rechtbank een rechtmatigheidstoets uit op aanvragen voor bulkinterceptie. Kenmerkend is dat er in Zweden ook een speciaal aangestelde ‘privacyfunctionaris’ betrokken is bij dit oordeel, om de privacybelangen van betrokkenen te beschermen. Een wetsvoorstel uit 2025 moet ook in Denemarken voorzien in een voorafgaande toets door een dergelijk ‘Inlichtingenhof’. Dat ontbreekt vooralsnog in Denemarken.

Doorlopend toezicht (ex durante)

In elk van de onderzochte landen is een specialistische toezichthouder aanwezig die de rechtmatigheid van gegevensverwerkingen controleert. De toezichthouders in Denemarken, Frankrijk en het Verenigd Koninkrijk beschrijven in detail hoe zij deze ex durante-controle uitvoeren, met name door middel van geautomatiseerde controlesystemen en controle van logging via inspecties. In Frankrijk is zelfs een speciale organisatie opgericht om de specialistische toezichthouder CNCTR te faciliteren bij de toegang tot en ‘online controles’ van de systemen van de Franse inlichtingen- en veiligheidsdiensten.

Toezicht achteraf (ex post)

Elk van de onderzochte landen kent een specialistische toezichthouder voor het ex post-toezicht op inlichtingen- en veiligheidsdiensten, inclusief hun bulkinterceptieactiviteiten. Deze toezichthouders publiceren hun onderzoeksresultaten in een jaarrapport. Daarbij valt op dat niet elke toezichthouder bij het constateren van onrechtmatigheden bindende beslissingen kan nemen. 

Naar aanleiding van de uitspraak Centrum för Rättvisa e.a. zijn er veel ontwikkelingen in wet- en regelgeving om verzoekers een effectief rechtsmiddel te bieden via een klachtregeling. De invulling daarvan – via een afdeling bij de toezichthouder of een speciale rechtbank – verschilt per land.

Frankrijk is het enige land waar de toets vooraf op de inzet van vergaande bevoegdheden, het toezicht tijdens en achteraf, én de behandeling van klachten zijn ondergebracht bij één en dezelfde specialistische toezichthouder op de inlichtingen- en veiligheidsdiensten. In de beslissing Association Confraternelle de la Presse Judiciare et Autres achtte het EHRM dit stelsel niet problematisch en vond het de hoger beroepsfunctie van de Conseil d’État belangrijk en goed in elkaar zitten.

In deze blog licht ik verder alleen het ex post toezicht op bulkinterceptie in Denemarken uit. De ex post-toezichtsfase in Denemarken kent aanzienlijke beperkingen. Deense wet- en regelgeving bevat geen gedetailleerde regeling voor bulkinterceptie, en de toezichthouder TET heeft geen toegang tot de ruwe gegevens die met SIGINT worden verzameld. Bovendien richt de huidige taakstelling van TET zich op de rechtmatigheid van gegevensverwerkingen van particulieren en rechtspersonen die in Denemarken verblijven. De verantwoordelijke minister van een inlichtingen- en veiligheidsdienst (FE) heeft het laatste woord over wetsinterpretaties, wat vragen oproept over onafhankelijkheid.

Een wetsvoorstel uit 2025 moet daar verandering in brengen. De toezichthouder TET zou daarbij een breder toezichtmandaat krijgen, een voorafgaande toetsing voor bulkinterceptie wordt georganiseerd, en het toezicht wordt versterkt met een ‘College van toezicht op de inzagerechten’, met bindende bevoegdheden waartegen geen beroep mogelijk is bij de rechter.

Discussie

Het rapport brengt de toetsingsmechanismen en toezichtstelsels van de genoemde landen in kaart. Het maakt dus geen vergelijking met Nederland en bevat geen waardering of evaluatie van de stelsels in andere landen. Dat betekent echter niet dat er geen lessen uit kunnen worden getrokken. Ik nodig dan ook andere onderzoekers uit om de resultaten te benutten.

Nederland staat namelijk aan de vooravond van een wijziging van de Wet op de inlichtingen- en veiligheidsdiensten, met aanpassingen in het toezichtstelsel. Daarbij kan inspiratie worden geput uit hoe deze stelsels in andere landen zijn ingericht.

Maar let wel op, zoals zo vaak geldt: the devil is in the details, en bepaalde onderzoeksresultaten verdienen nadere beschouwing. In het rapport heb ik dat slechts beperkt gedaan. Ik noem ter afsluiting enkele opvallende resultaten per land.

Zoals hierboven al aangegeven, voldoet Denemarken kortgezegd niet aan de EHRM-vereisten uit Big Brother Watch e.a.. Een recent wetsvoorstel moet dat deels repareren, maar introduceert ook bredere bevoegdheden met betrekking tot ‘bulkverzameling’ (bulkdatasets). Ook in Zweden loopt een wetsvoorstel dat de inlichtingen- en veiligheidsdiensten meer ruimte moet geven voor de verzameling en verwerking van gegevens uit bulkdatasets. In Nederland is dat onderwerp deels geregeld in de Tijdelijke Cyberwet, die op 1 juli 2024 in werking is getreden.

Van Zweden vond ik het verder opvallend dat het Nationaal Cybersecurity Centrum, net als in veel andere landen, verantwoordelijk is voor de bescherming van vitale infrastructuren en daarvoor tot op zekere hoogte internetverkeer mag monitoren. Maar er is geen specifieke wet- en regelgeving of toezicht op deze activiteiten geregeld. Verrassend is dat in Denemarken de toezichthouder TET juist wél jaarlijks moet rapporteren over de activiteiten van het NCSC. Het toezicht op nationale cybersecuritycentra noem ik dan ook als een van de mogelijkheden voor vervolgonderzoek naar aanleiding van het rapport. Alhoewel NCSC’s geen inlichtingen- of veiligheidsdienst zijn, heb ik deze wel voor elk land beschreven.

Frankrijk beschikt over gedetailleerde wet- en regelgeving en biedt (op papier) een duidelijk en effectief rechtsmiddel aan personen die menen dat inlichtingen- en veiligheidsdiensten mogelijk onrechtmatig hebben gehandeld. Opvallend is echter dat de toezichthouder CNCTR – met overigens de zeer informatieve website CNCTR.fr – géén toezicht houdt op de gegevensuitwisseling door de inlichtingen- en veiligheidsdiensten. Dat wijkt af van de praktijk in andere landen.

Het toezichtstelsel in het Verenigd Koninkrijk is eveneens interessant, met voorafgaande toetsing én doorlopend en ex post toezicht door IPCO. De wet- en regelgeving voor bulkinterceptie en toezicht is gelaagd en complex, en ziet er op papier goed uit. Tegelijkertijd werd duidelijk dat IPCO toezicht moet houden op meer dan 600 organisaties in het Verenigd Koninkrijk. De aandacht moet dan wel sterk verdeeld worden…

Ik hoop van harte dat ook andere onderzoekers kunnen voortbouwen op deze onderzoeksresultaten. Wellicht is het ook leuk en zinvol om andere landen via het model van toezicht op bulkinterceptie in kaart te brengen. Zelf hoop ik het model ook in toekomstig onderzoek nog te gebruiken. Voor nu wens ik iedereen een fijne zomer toe!