Vorige week stemde de Eerste Kamer in met de omstreden sleepnetwet. Voordat een meerderheid van de senatoren akkoord ging, deed minister Plasterk nog enkele toezeggingen. Een van zijn toezeggingen ging over het gebruik van informanten om gegevens te verzamelen. Vooral voor de PvdA leek deze toezegging van doorslaggevende betekenis om voor de wet te stemmen. Nu het stof wat is gedaald, wordt het tijd om deze toezegging onder de loep te nemen.

Ongelijke waarborgen bij vergelijkbare inbreuk

We schrevenRealtime en automatisch toegang tot databases van meewerkende bedrijven: dat doet denken aan het beruchte PRISM-programma er zelf al eerder over: er is een loophole in de nieuwe wet waardoor de geheime diensten via meewerkende partijen grote hoeveelheden gegevens kunnen verzamelen. Dit kunnen bijvoorbeeld de Belastingdienst of een universiteit zijn, maar ook bedrijven, maatschappelijke organisaties of individuen. Een manier waarop de diensten dit kunnen doen, is door datasets van deze partijen te verzamelen of rechtstreeks en geautomatiseerd toegang tot deze datasets te krijgen.

Het gaat hier om wat de wet een “algemene bevoegdheid” noemt. Daar gelden minder waarborgen voor dan bijvoorbeeld de bevoegdheid om te hacken of telefoonverkeer te tappen. Zo kunnen de diensten aan dezelfde gegevens komen zonder voorafgaande toestemming van de minister of toetsing door de nieuwe toetsingscommissie. De verleiding voor de geheime diensten is dus groot om overheidsinstanties en bedrijven aan te sporen vrijwillig mee te werken.

Toezegging Plasterk

Verschillende senatoren stelden terecht kritische vragenLees hier het schriftelijke verslag van de gestelde vragen over dit verschil in waarborgen. Voor jou maakt het immers vrij weinig uit op welke wijze jouw gegevens worden binnengeharkt. Of die partij jou gegevens verplicht verstrekt of dit uit vrije wil doet door de achterdeur open te zetten: beide varianten zijn voor jou even ingrijpend.

Plasterk moest erkennenHet schriftelijk verslag van de antwoorden van Plasterk dat hij dit verschil niet goed kon uitleggen. Hij kwam uiteindelijk met de toezegging dat bij het inschakelen van derden om vrijwillig iets te doen, bijvoorbeeld realtime toegang verlenen tot hun datasets, dezelfde waarborgen gelden als bij de inzet van vergelijkbare bevoegdheden door de geheime diensten zelf. Dus als de geheime diensten aan iemand vragen om de smartphone van iemand te hacken dan mag dat alleen maar wanneer dat onder dezelfde voorwaarden gebeurt die gelden voor het hacken door de diensten zelf. Door het vergaren van gegevens uit te besteden aan derden kunnen de geheime diensten deze waarborgen niet ontwijken.

"Wanneer er over iemand informatie wordt verschaft aan de AIVD, maakt het voor de inbreuk op de privacy niet uit of dat is gebeurd in opdracht van de AIVD, dus door een agent, of doordat iemand bijvoorbeeld vrijwillig de telefoon heeft opgepakt."

Ronald Plasterk

Deze toezegging is weliswaar beter dan niets en kan potentieel van grote invloed zijn op het handelen van de diensten. Toch zijn er kanttekeningen bij te plaatsen. Zo lijkt de toezegging alleen te gaan over de situatie dat de diensten zelf proactief om hulp vragen bij derden. Maar wat als een bedrijf zelf hint op medewerking met de diensten of datasets op eigen initiatief aan de diensten verstrekt? Geldt de toezegging van Plasterk dan weer niet? Daar lijkt het antwoord dat Plasterk in de Eerste Kamer gaf wel op te hinten. Maar als het allemaal afhangt van wie de eerste stap zet, dan is zijn toezegging vrij weinig waard.

En wat als de diensten straks stelselmatig toegang krijgen tot de toekomstige database van de politie die vol staat met het reisgedrag van automobilisten in Nederland? Zal hiervoor toestemming van de minister en een voorafgaande toetsing door de toetsingscommissie aan voorafgaan? De toezegging van Plasterk suggereert dit wel en dat zou een verbetering zijn. Toch zijn we nog niet gerust over zijn toezegging. Zijn dubbelzinnige antwoorden in de Eerste Kamer dragen daar zeker niet aan bij.

De CTIVD aan zet

De toezegging van Plasterk staat of valt uiteindelijk bij de invulling en naleving hiervan in de praktijk. Hier ligt bij uitstek een taak voor de toezichthouder op de geheime diensten, de CTIVD. Hoe gaat de CTIVD de toezegging van Plasterk interpreteren en zal zij ook gaan controleren of de geheime diensten zich aan deze toezegging gaan houden?

Deze vragen zou de CTIVD bij uitstek kunnen beantwoorden in het kader van haar recent aangekondigde onderzoekAankondiging van de CTIVD. De CTIVD gaat namelijk de praktijk waarbij de geheime diensten op internet aangeboden datasets verzamelt, onder de loep nemen. Dit is natuurlijk iets anders dan het binnenhalen van datasets of toegang krijgen tot datasets met de medewerking van derden. Maar in beide gevallen gebruiken de diensten hun “algemene bevoegdheid” – waarvoor minder waarborgen gelden – om veel data binnen te harken.

Precies dat punt gaat de CTIVD nu onderzoeken. Het zou dus mooi zijn als de CTIVD ook meteen de toezegging van Plasterk erbij pakt. Want met de snelheid waarmee de nieuwe wet in werking treedt, kan een heldere uitleg van de woorden van Plasterk niet lang op zich laten wachten.