Het wetsvoorstel voor de geheime diensten is gelekt aan de Volkskrant. Die hebben het voorstel zojuist online gezet. Na een eerste analyse blijkt dat het sleepnet, waarmee onzettend veel gegevens van onschuldige burgers wordt verzameld, er nog steeds in zit. Wij roepen daarom minister Plasterk op om het sleepnet alsnog in te trekken.

Dit lek is héél groot nieuws. Als eerste omdat het niet vaak voorkomt dat voorstellen die bij de Raad van State voor advies liggen gelekt worden. Nu kunnen we eindelijk goed zien wat er eigenlijk met het advies van de Raad van State zal worden gedaan. Daarnaast –nog belangrijker– kunnen we nu zien wat er door de regering met alle eerdere kritiek op het voorstel is gedaan. Ook opmerkelijk: De PIA (Privacy Impact Assessment) die is uitgevoerd, blijkt erg kritisch te zijn.

En wat was er veel kritiek! De regering heeft ruim 1.100 reacties ontvangen (waarvan ruim 500 publiek). Een overgroot deel van de reacties is via onze consultatietool tot stand gekomen. De regering vat de kritiek zelf als volgt samen: “De hoofdpunten van kritiek in de desbetreffende reacties zien [sic] vrijwel allemaal op drie onderwerpen: groot sleepnet, samenwerking met buitenlandse geheime diensten en goed toezicht.” Daar moest de regering dus iets mee.

Geen echte wijzigingen
Daarom is het wetsvoorstel op een paar plekken gewijzigd. Een paar van die wijzigingen zijn goed, maar over het algemeen zijn ze voornamelijk cosmetisch van aard en wijzigt de regering in grote lijnen niets aan de problemen die door de personen en instanties tijdens de internetconsultatie gesignaleerd zijn.

Sleepnet
Aan de “ongerichte”, ofwel “doelgerichte”, ofwel “onderzoeksopdrachtgerichte” interceptie, oftewel het sleepnet, is inhoudelijk, behalve het toevoegen van het woord “onderzoeksopdrachtgericht”, niets gewijzigd. De definitie van dit begrip ontbreekt, maar de toelichting laat duidelijk zien dat “onderzoeksopdrachtgericht” net zo breed kan worden geïnterpreteerd als “doelgericht” of “ongericht”. In de toelichting is niet of nauwelijks uitgelegd om wat voor soort situaties het dan zou moeten gaan. In dat kader is het schrijnend dat dergelijke voorbeelden wél aan de providers worden voorgelegd voor een kostenraming (zie de berichtgeving bij de NOS van vorige week), maar niet aan de Raad van State voor een fatsoenlijke beoordeling van de vraag of een dergelijke bevoegdheid —en hoe de regering denkt die toe te gaan passen— in overeenstemming is met het (Europese) recht en de grondwet.

Die gelekte voorbeelden laten namelijk duidelijk zien hoe ruim —ontzettend ruim— de onderzoeksopdrachtgerichte interceptie gezien moet worden. Denk daarbij bijvoorbeeld aan het onderscheppen van alle chatberichten vanuit heel Utrecht naar het buitenland. Dankzij de vage omschrijvingen in de Memorie van Toelichting weten we dat toekomstige beperkingen van het sleepnet niet van de regering zullen komen, maar dat we daarvoor afhankelijk gaan zijn van de toezichthouder.

Verder is er aandacht voor de noodzaak van de bevoegdheid, die er volgens de regering al was, maar kennelijk onvoldoende “adequaat en toereikend verwoord”. Daarbij valt voornamelijk op dat de zelfstandige informatiepositie van de Nederlandse diensten achter schijnt te lopen. Een goede informatiepositie is nodig om informatie uit te wisselen met andere diensten, want: quid pro quo. Er wordt verder niet toegelicht hoe deze uitbreiding in de praktijk zó noodzakelijk is dat de geschetste problemen adequaat zullen worden opgelost. Waarom de bevoegdheid écht noodzakelijk is, wordt dan ook (nog steeds) niet duidelijk. De regering blijft voornamelijk vasthouden aan het techniekonafhankelijk maken van wetgeving.

Hacken via derden
Ondanks de kritiek van velen, waaronder de PIA, wil de regering dat de inlichtingen- en veiligheidsdiensten via derden mogen hacken. De kritiek “heeft er niet toe geleid dat de voorgestelde bevoegdheid wordt heroverwogen”. Hacken-via-derden is “voor effectieve toepassing van de hackbevoegdheid van essentiële betekenis.” Er zijn weliswaar extra bepalingen over het inschatten en beperken van de schade voor de derde opgenomen ten opzichte van de consultatieversie, maar dat lost het veelgenoemde grootste pijnpunt niet op: de schade voor de onschuldige derde die door de diensten gehackt wordt.

De regering geeft wel rekenschap van het feit dat er door het hacken misbruik gemaakt wordt van zwakheden die iedereen kunnen raken (de zwakheid in een Android telefoon raakt niet alleen de verdachte maar iedereen die zo’n telefoon gebruikt), maar vindt dat het belang van nationale veiligheid zwaarder weegt. Wel kunnen (maar niet: moeten) zwakheden straks gemeld worden bij de “verantwoordelijke instanties”. Dus niet omdat het moet, maar omdat het kan.

Toezicht
Het toezicht wordt versterkt. In de toelichting zegt de regering enerzijds dat dat in ruil is voor zwaardere bevoegdheden, maar aan de andere kant zegt de regering ook dat het versterken van het toezicht voor de bestaande bevoegdheden sowieso al moest, omdat de huidige manier van werken al in strijd met het (Europese) recht is. De voorstelling van zaken door de regering (de ruil), in de wet en de bijbehorende persberichten, is dus feitelijk onjuist. En dat is jammer.

Over het toezicht zelf: Het idee is dat, voor een aantal bevoegdheden, toestemming moet worden gevraagd voor de inzet door de minister bij een onafhankelijke commissie, bestaande uit (oud-)rechters: de Toetsingscommissie Inzet Bevoegdheden (TIB). Die toetsing is bindend. Maar: als er haast is, dan kan de toestemming ook achteraf gevraagd worden, of terwijl de inzet bezig is. Als de toestemming dan niet gegeven wordt, dan moet de verkegen informatie alsnog verwijderd worden.

Daarbij is opmerkelijk dat een aantal bevoegdheden niet wordt voorgelegd aan de TIB. De meest opvallende: het vorderen van verkeersgegevens. Waar volgens de Nederlandse overheid (en de Europese en Nederlandse rechters) het vorderen van die gegevens door de politie zo’n inbreuk maakt dat een rechter (de rechter-commissaris) de vordering moet goedkeuren, hoeft bij een verzoek om verkeersgegevens de TIB zich hier niet over uit te laten. Dat is eerder voor de rechter lastig houdbaar gebleken.

In de commissie zit één voorzitter en minstens twee vervangers. Dat wil niet zeggen dat er altijd met drie personen overlegd wordt: één persoon is voldoende om beslissingen te nemen.

Voor geheimhouders (journalisten, advocaten) komt er een toetsing bij de rechter. Voor het achterhalen van bronnen van journalisten geldt een nog een iets zwaardere regeling, daar is de termijn waarbij de bevoegdheid mag worden ingezet beperkt.

Uitwisseling met buitenlandse diensten
Met de kritiek vanuit de internetconsultatie en de PIA op het gebrek aan regels voor het uitwisselen van gegevens met buitenlandse diensten is ook nog niets gedaan. Er zijn geen wettelijke beperkingen over de gegevens die worden overgedragen. Wel kan, zo zegt de toelichting, informatie over of gegevens van Nederlandse burgers eruit gefilterd worden. Maar, zo zegt de regering, dat moet niet en is soms ook juist helemaal niet de bedoeling. Wij denken daar anders over. We vinden dat er alleen specifieke gegevens overgedragen mogen worden die ook daadwerkelijk targets van de diensten betreffen.

En nu?
Het wetsvoorstel ligt nu voor advies bij de Raad van State. Het kabinet hoopt dat het nog voor de zomer naar de Tweede Kamer gestuurd kan worden.

Ondanks de luide kritiek (dank daarvoor!) staat het sleepnet nog steeds op de rol. Wij blijven ons er met alle macht tegen verzetten en hopen dat jullie mee blijven doen.