29 924 Toezichtsverslagen AIVD en MIVD

Nr. 193 BRIEF VAN DE MINISTERS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 15 oktober 2019

Hierbij bieden wij u het toezichtsrapport nr. 65 van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) aan over het verstrekken van ongeëvalueerde gegevens aan buitenlandse diensten door de AIVD en de MIVD¹.

Wij zijn de CTIVD erkentelijk voor het gedegen onderzoek, dat betrekking heeft op de periode 1 mei 2018 (de datum van inwerkingtreding van de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017)) tot 1 januari 2019.

Ten aanzien van het juridisch kader dat is gehanteerd bij het onderzoek verschillen wij op een enkel punt van inzicht met de CTIVD. Met dit voorbehoud worden de aanbevelingen van de CTIVD die zien op het beleid en de werkinstructies van beide diensten overgenomen. Over de exacte invulling van de aanbeveling die zien op de praktijk van de MIVD van het verstrekken van ongeëvalueerde gegevens gaan we in gesprek met de CTIVD. De aanbevelingen voor de praktijk van de AIVD worden overgenomen. Op het bovenstaande wordt in de brief toelichting gegeven, alsmede op het algehele proces van gegevensverstrekking.

Gegevensverstrekking noodzakelijk voor goede taakuitvoering

Het verstrekken van geëvalueerde en ongeëvalueerde gegevens aan buitenlandse diensten is een belangrijk onderdeel van het werk van de diensten en noodzakelijk voor hun goede taakuitvoering. Dreigingen kennen vaak een grensoverschrijdend karakter of zijn gericht tegen onze militairen en andere te beschermen belangen in het buitenland. Bij het delen van gegevens, zeker als het ongeëvalueerde gegevens betreft, kunnen risico's voor de bescherming van de persoonlijke levenssfeer van personen ontstaan. De diensten hebben de verantwoordelijkheid die risico's zoveel als mogelijk te beperken. Daarom verstrekken de diensten niet zomaar gegevens aan buitenlandse diensten. Doorgaans gebeurt dit in het kader van een langlopende operationele samenwerking, zoals ook blijkt uit het rapport van de CTIVD. Verstrekking van gegevens, ongeacht of deze gegevens geëvalueerd zijn of niet, moet altijd zorgvuldig gebeuren. Dat betekent dat de diensten telkens de vraag moeten stellen: wat is bekend over de te verstrekken gegevens en welke mogelijke risico’s zijn aan deze verstrekking verbonden? Bij elke verstrekking maken de diensten daarom een risico-inschatting. Het vinden en behouden van een optimale balans tussen de goede taakuitvoering en een zo beperkt mogelijke inbreuk op grondrechten zoals bescherming van de persoonlijke levenssfeer is een uiterst delicaat proces dat continu aandacht behoeft.

Verstrekking van gegevens – geëvalueerd of ongeëvalueerd – aan een buitenlandse dienst kan op basis van een drietal grondslagen. Ten eerste in het belang van de AIVD of de MIVD zelf, in het kader van de goede taakuitvoering door de diensten (artikel 62 Wiv 2017). Een verstrekking van gegevens kan daarnaast ook plaatsvinden in het belang van een buitenlandse dienst, voor zover dit belang niet onverenigbaar is met de belangen die de diensten hebben te behartigen en een goede taakuitvoering van de diensten zich hier niet tegen verzet (artikel 89 Wiv 2017). In beide gevallen moet sprake zijn van een samenwerkingsrelatie, waarvoor de Minister toestemming heeft verleend. Daaraan dient een wegingsnotitie ten grondslag te liggen, waarin is onderzocht wat de aard en intensiteit van de desbetreffende samenwerkingsrelatie kan zijn, zoals de mogelijkheid om gegevens te mogen verstrekken. Tot slot mogen de diensten in noodsituaties gegevens verstrekken aan diensten waarmee geen samenwerkingsrelatie bestaat (artikel 64 Wiv 2017). De conclusie dat dit laatste in de onderzoeksperiode niet is voorgekomen onderschrijft dat deze verstrekkingsmogelijkheid is voorbehouden aan noodsituaties.

Geëvalueerd en ongeëvalueerd

Voor de uitleg van de begrippen geëvalueerd en ongeëvalueerd is in de wet en parlementaire behandeling aansluiting gezocht bij de relevantie van gegevens voor de onderzoeken van de diensten. Gegevens die (een eerste keer) op hun relevantie voor enig lopend onderzoek zijn onderzocht, worden aangemerkt als geëvalueerd. Gegevens die nog niet op relevantie zijn beoordeeld, worden als ongeëvalueerd beschouwd. Met deze definities is aansluiting gezocht bij de door de CTIVD in toezichtsrapport nr. 49 gehanteerde definities (Kamerstuk 29 924, nr. 142), die ook de basis hebben gevormd voor de huidige wettelijke regeling. De wet gaat in het kader van de verstrekkingsregeling ervan uit dat op voorhand duidelijk dient te zijn welke gegevens geëvalueerd of ongeëvalueerd zijn. Dat sluit aan bij de praktijk waarin de diensten continu beoordelen of gegevens wel of niet relevant en daarmee geëvalueerd zijn. Voor het inlichtingenproces is het essentieel om te beoordelen of een gegeven relevant is voor de taakuitvoering of niet. De vraag of een gegeven daarmee als geëvalueerd of ongeëvalueerd dient te worden aangemerkt, krijgt voor het inlichtingenproces pas praktische waarde bij een eventuele verstrekking.

De CTIVD onderschrijft in het onderzoek het standpunt dat gegevens die zijn beoordeeld op relevantie (ongeacht de uitkomst hiervan) als geëvalueerd moeten worden aangemerkt. De CTIVD maakt hierbij echter wel een kanttekening, door te stellen dat deze beoordeling op relevantie voldoende specifiek moet zijn. Als voorbeeld van relevantiebepaling waar dit niet altijd het geval is, noemt de CTIVD de relevantiebepaling die niet per gegeven, maar op meer abstracte wijze, per categorie, geautomatiseerd of impliciet op inhoud wordt beoordeeld. In dat geval moeten de feiten en omstandigheden van het concrete geval, los van een beoordeling op relevantie, duidelijk maken of een dienst in voldoende mate «weet wat hij geeft» en of deze gegevens als «geëvalueerd» kunnen worden aangemerkt. Daarmee kiest de CTIVD voor een loskoppeling tussen de relevantiebeoordeling van gegevens voor de onderzoeken van de diensten en de beoordeling of deze gegevens, ten behoeve van het verstrekken aan buitenlandse diensten, geëvalueerd zijn of niet.

Voor een eenduidige en duidelijke wetstoepassing en werkbaarheid voor de diensten vinden wij het wenselijk om gegevens die een eerste keer op relevantie zijn getoetst, ongeclausuleerd als geëvalueerd te beschouwen. Hierbij kan de beoordeling van gegevens op relevantie – waarmee deze gegevens als geëvalueerd zijn aan te merken – op een hoger abstractieniveau worden uitgevoerd, zolang er voldoende zicht is op de aard en inhoud van de gegevens in relatie tot een onderzoek van de dienst. Bij de beantwoording of een gegeven of een set gegevens relevant is, is immers ook de context van het onderzoek van betekenis. Zo is het goed denkbaar dat de diensten wel degelijk kennis hebben van de aard en de inhoud van een te verstrekken set gegevens, ook wanneer niet elk gegeven van de set afzonderlijk is onderzocht. Zoals hieronder nader toegelicht, blijkt overigens dat deze werkwijze wat betreft de aan een verstrekking voorafgaande afweging en de daarin te betrekken criteria materieel overeenkomt met het door de CTIVD benoemde belang, namelijk dat de diensten bij een gegevensverstrekking aan een buitenlandse dienst in voldoende mate weten wat zij geven. Wij blijven in gesprek met de CTIVD om te zoeken naar een voor de praktijk werkbare situatie.

Risico-inschatting

Zoals eerder beschreven is de uitwisseling van gegevens een belangrijk onderdeel van het werk van de diensten. Net als de CTIVD zijn wij van mening dat er een toets voorafgaand aan de verstrekking van gegevens dient te worden uitgevoerd. Er is immers een verplichting om de risico’s van een verstrekking zoveel mogelijk te beperken. Artikel 18 van de wet bepaalt voor alle vormen van gegevensverwerking, dus ook waar het gaat om de verstrekking van gegevens aan buitenlandse diensten, dat deze slechts plaatsvindt voor een bepaald doel en slechts voor zover dat noodzakelijk is voor een goede uitvoering van de wet; daarnaast dient de verwerking in overeenstemming met de wet te zijn en op behoorlijke en zorgvuldige wijze plaats te vinden. Op basis van deze wettelijke criteria zijn de diensten bij een voorgenomen verstrekking tevens verplicht een inschatting te maken van de risico’s van de verstrekking. Dit doen zij in combinatie met eventuele aanvullende specifieke eisen die volgen uit de wettelijke grondslag waarop de verstrekking zal plaatsvinden.

Bij deze risico-inschatting is het van belang of er sprake is van geëvalueerde of ongeëvalueerde gegevens. Dit onderscheid is van belang, omdat bij geëvalueerde gegevens, zoals de CTIVD ook stelt, het zicht op concrete eventuele risico’s dusdanig is dat een specifieke afweging kan worden gemaakt of er kan worden verstrekt. Bij ongeëvalueerde gegevens is dit zicht niet dusdanig concreet en vindt de afweging op meer abstract niveau plaats.

Opvolging aanbevelingen

Aanbevelingen beleid en werkinstructies De verbeteringen voor het beleid en de werkinstructies zijn bij de AIVD en MIVD reeds in gang gezet. Hierbij worden de aanbevelingen van de CTIVD die zien op beleid en werkinstructies overgenomen, met uitzondering van het hierboven toegelichte verschil van inzicht.

Zo heeft de AIVD in beleid opgenomen dat in de motivering voor het verzoek om toestemming voor verstrekken van ongeëvalueerde gegevens aan een partnerdienst, de bevindingen uit de wegingsnotitie voor deze dienst expliciet worden betrokken. Hiermee wordt inzichtelijk gemaakt dat de eventuele risico’s van samenwerking worden meegenomen in de afweging voor de verstrekking, evenals eventuele maatregelen om deze risico’s te beperken. De AIVD heeft daarnaast aan het beleid toegevoegd dat de motivering van het verzoek om toestemming zich moet richten op de eisen van noodzakelijkheid, behoorlijkheid en zorgvuldigheid. Ook de verschillende grondslagen waarop verstrekking kan plaatsvinden (artikel 62, 89 of 64) worden door de AIVD toegelicht in beleid en expliciet als procedurele vereiste voor toestemmingsaanvragen genoemd. Hetzelfde geldt voor de toepassing van de derdepartijregel en de eventuele noodzaak en wenselijkheid tot het filteren van de te delen gegevens.

De MIVD heeft in het beleid reeds de grondslag van artikel 62 Wiv 2017 toegevoegd. Verbeteringen voor het beleid en de werkinstructies en de motivering van de toestemmingsverzoeken zijn bij de MIVD reeds in gang gezet.

Bij beide diensten zal de komende tijd aandacht uitgaan naar verdere aanscherping van beleid en werkinstructies. Eveneens wordt door beide diensten gewerkt aan de inrichting van centrale registratie van verstrekkingen van ongeëvalueerde gegevens.

Aanbevelingen praktijk

Ten aanzien van de aanbevelingen voor de praktijk van de AIVD zijn eveneens al stappen gezet. Het ontbreken van ministeriële toestemming voor de verstrekkingen in drie samenwerkingsverbanden is hersteld, en hiervan is melding gemaakt aan de CTIVD. Daarbij is voor nu de conclusie van de CTIVD ten aanzien van deze onrechtmatigheden overgenomen. In de toekomst zal uit het aangescherpte beleid duidelijker volgen wanneer er sprake is van ongeëvalueerde gegevens, met inachtneming van hetgeen hierboven genoemd. Voor het verstrekken van deze gegevens is dan ministeriële toestemming vereist.

Zowel de AIVD als de MIVD zullen daarnaast de gebreken in de motivering van de toestemmingsaanvragen van de lopende samenwerkingen met buitenlandse diensten herstellen bij de verlengingsverzoeken. Voor deze samenwerkingsverbanden geldt ook dat, conform aanbeveling, door de diensten wordt gewerkt aan vernieuwde Memoranda of Understanding (MoU) waarin afspraken worden vastgelegd zoals de derdepartijregel. Gezien de betrokkenheid van verschillende partnerdiensten betreft dit een langer lopend proces.

Voor de praktijk van de MIVD heeft de CTIVD twee aanbevelingen gedaan inzake de inzet van de selectiebevoegdheid ten behoeve van partners. Om tot een eenduidige wetsuitleg te komen die recht doet aan de praktijk zullen wij hier op korte termijn het gesprek met de CTIVD over aan gaan. Ook bespreekt de CTIVD in het rapport ontwikkelingen op het gebied van electronic intelligence, ELINT (parametrische en positionele informatie van non-communicatiesystemen welke werken in een elektromagnetisch veld). Conform eerdere CTIVD-rapporten (28 en 38) neemt de MIVD in beleid als uitgangspunt dat het verwerven van gegevens door middel van ELINT geen inbreuk maakt op de privacy of andere fundamentele rechten van de mens. Daar waar in de toekomst technologische ontwikkelingen plaatsvinden die tot gevolg hebben dat inzet van ELINT wel tot een dergelijke inbreuk leidt, zal de inzet niet onder de noemer «ELINT» plaatsvinden, maar het gebruikelijke aanvraag- en verwerkingsproces worden doorlopen met inachtneming van alle (wettelijke) waarborgen.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, K.H. Ollongren

De Minister van Defensie, A.Th.B. Bijleveld-Schouten

---

1 Raadpleegbaar via www.tweedekamer.nl