In juli 2010 luidden wij de alarmklok over hoe opsporingsdiensten stelselmatig privacyregels schenden bij het gebruik van de politie-telefoongids, de centrale telecom-databank CIOT. De toenmalige minister van justitie meende vervolgens dat de opsporingsdiensten prima zelf konden onderzoeken of zij zich aan de wet houden – en wij vonden dat vertrouwen in de opsporingsdiensten misplaatst. Nu informeert minister Opstelten de Tweede Kamer hoe dat experiment in zelfcontrole is verlopen. De conclusie: de politie-telefoongids is nog steeds zo lek als een zeef, de opsporingsdiensten maken er een rommeltje van en de minister stelt een ultimatum.

De brief van de minister (PDF) is schokkend. Slechts een deel van de opsporingsdiensten geeft aan dat zij voldoen aan de privacy-regels – terwijl ze nu al twee jaar de tijd hebben gehad om hun zaken op orde te krijgen. Maar nog erger is dat een deel van de opsporingsdiensten die stellen dat ze aan de regels voldoen, in de praktijk deze regels overtreedt. Dat bleek uit een steekproef van het ministerie.

De minister concludeert dan ook: “Het beeld dat uit de reacties van de onderzochte organisaties naar voren komt is dat strikte naleving van de voorschriften, ondanks goede intenties, nog steeds niet voldoende is geborgd.” Een eufemisme voor: de politie-telefoongids is nog steeds zo lek als een mandje.

Maar het lijkt erop dat de minister nu eindelijk wakker begint te worden. Alle opsporingsdiensten moeten vóór 1 mei 2011 aan alle privacy-regels voldoen, zo schrijft hij. Opsporingsdiensten die de regels daarna niet naleven zullen van het CIOT worden afgesloten totdat ze wel aan de regels voldoen. En ook na 1 mei zal de minister blijven controleren of opsporingsdiensten de regels wel naleven.

We weten meestal niet hoe de overheid omgaat de beveiliging van onze privégegevens. Door de audits bij het CIOT zien we duidelijk hoe serieus privacy wordt genomen door de organisaties die van de gegevens gebruik maken. Kort gezegd: het interesseert de gebruikers vrijwel niets. Dat is nog een reden om terughoudend te zijn bij het opslaan van privégegevens bij de overheid, zoals jouw reisgegevens, jouw vingerafdruk en jouw belgegevens.

Achtergrond

Opsporingsdiensten (zoals de politie, FIOD, AIVD) vragen de klantgegevens van Nederlandse telecomgebruikers – zoals naam, adres, (mobiele) telefoonnummers, e-mail- en ip-adressen – drie miljoen keer per jaar op via het CIOT, het Centraal Informatiepunt Onderzoek Telecommunicatie. Telecomproviders moeten elke dag hun klantgegevens uploaden naar het CIOT. Er is zelfs overwogen om ook alle historische telecomgegevens die moeten worden opgeslagen in het kader van de Wet bewaarplicht telecomgegevens, via het CIOT toegankelijk te maken. Het behoeft geen toelichting dat zo een gevoelige databank goed moet worden beveiligd.

Uit het ‘Eindrapport audit CIOT 2009′ bleek dat opsporingsdiensten het CIOT zonder bevoegdheid raadplegen, dat de rechtmatigheid van de bevragingen niet wordt gecontroleerd en dat het gehele proces onvoldoende wordt gedocumenteerd. Misstanden konden dus plaatsvinden én onopgemerkt blijven. Dit was nadat we in de audit CIOT 2008 (PDF) van een jaar eerder al een aantal zorgwekkende ontwikkelingen signaleerden, die destijds binnen 3 tot 12 maanden verholpen moesten worden (audit CIOT 2008, p. 9 e.v.).