33 000 VI Vaststelling van de begrotingsstaten van het Ministerie van Veiligheid en Justitie (VI) voor het jaar 2012

Nr. 66 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 14 december 2011

De vaste commissie voor Veiligheid en Justitie¹ heeft een aantal vragen voorgelegd aan de minister van Veiligheid en Justitie naar aanleiding van de brief van 21 maart 2011 inzake naleving van voorschriften rond bevragingen van identificerende gegevens via het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) (Kamerstuk 32 500 VI, nr. 92).

De minister heeft deze vragen, voorzien van een inleiding, beantwoord bij brief van 12 december 2011. Vragen en antwoorden zijn hierna afgedrukt.

De voorzitter van de commissie,

De Roon

Adjunct-griffier van de commissie,

Van Doorn

Inleiding van de minister

De vaste commissie voor Veiligheid en Justitie van uw Kamer heeft in de «Inbreng verslag van een schriftelijk overleg» (vastgesteld op 21 oktober 2011) een aantal vragen aan mij gesteld over de brief van 21 maart 2011². Met de brief van 21 maart 2011 heb ik uw Kamer geïnformeerd over de naleving van de zogenoemde CIOT-voorschriften door de (bijzondere) opsporings-, inlichtingen- en veiligheidsdiensten³ (hierna: BOID-en). De CIOT-voorschriften zijn de voorschriften waaraan de BOID-en moeten voldoen bij het opvragen van naam, adres, postcode, woonplaats, nummer en soort dienst van een gebruiker van een communicatiedienst (hierna: naw-gegevens) via het informatiesysteem van het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT-informatiesysteem). Op 3 oktober 2011⁴ heb ik een brief naar de Voorzitter van de Tweede Kamer gestuurd over de uitkomsten van een quick scan waarbij de naleving van de CIOT-voorschriften bij zes BOID-en is onderzocht. Aangezien ik in deze brief van 3 oktober 2011 enkele onderwerpen heb behandeld die uw Commissie aan mij voorlegt, zal ik naar die brief verwijzen waar dat de compacte beantwoording van uw vragen ten goede komt. Omwille van de overzichtelijkheid zijn de vragen en beantwoording daarvan geclusterd in verschillende onderwerpen.

I. Vragen en opmerkingen vanuit de fracties

Inleiding

De leden van de VVD-fractie hebben met belangstelling kennisgenomen van de onderhavige brief van de minister van Veiligheid en Justitie (hierna: de minister). Zij vinden het van groot belang dat de (bijzondere) opsporings-, inlichtingen- en veiligheidsdiensten (hierna BOID-en) aan alle vereisten op dit gebied voldoen en kunnen instemmen met de door de minister voorgestelde maatregelen. Daarnaast onderschrijven deze leden het uitgangspunt dat de bescherming van de persoonlijke levenssfeer van inwoners van zeer groot belang is. Zij zijn dan ook verheugd dat hij met hoge urgentie maatregelen heeft getroffen. Een ieder moet er inderdaad op kunnen vertrouwen dat de overheid alles in het werk stelt om tekortkomingen te herstellen. De overheid bewaakt immers de vrijheid en beschermt burgers tegen willekeur.

Deze leden zien graag nog toegelicht wat het standpunt van de minister is over een eventuele uitbreiding van het CIOT Informatiesysteem. Zoals al aangegeven door de staatssecretaris van Veiligheid en Justitie is van uitbreiding met bankgegevens geen sprake. Over de mogelijke uitbreiding met Historische Verkeersgegevens (HVG)- en Historische Naam-, Adres- en Woonplaatsgegevens (HNAW), alwaar ook de industrie tegen is, bestaat echter nog enige onduidelijkheid. Voornoemde leden vernemen graag hoe de minister dit ziet.

De leden van de PvdA-fractie hebben kennisgenomen van de voorliggende brief. Zij hebben daarover nog enkele vragen en opmerkingen die verderop in dit verslag aan de orde zullen komen.

De leden van de CDA-fractie vinden dat het opvragen van identificerende gegevens door BIOD-en bij het CIOT een belangrijke bijdrage kan leveren aan de veiligheid in Nederland en daarbuiten. Wel vinden zij dat dit moet gebeuren conform de vigerende regels en normen. Deze leden willen nog enkele punten onder de aandacht brengen.

De leden van de SP-fractie hebben kennisgenomen van de onderhavige brief. Zij delen de mening van de minister dat strikte naleving van de voorschriften rond bevragingen van NAW-gegevens van telecommunicatiediensten van heel groot belang is, omdat het hier gaat om inbreuken op de persoonlijke levenssfeer. Het is ernstig dat de regels nu al jarenlang onvoldoende worden nageleefd. Zij vinden het daarom goed dat de minister de rapportages van het College bescherming persoonsgegevens (Cbp) niet afwacht en nu al maatregelen treft. Maar de vraag is wel hoe het komt dat de voorschriften onvoldoende worden nageleefd. Waar komt dit vandaan? Waarom houden deze diensten zich niet aan de regels? Zijn de voorschriften te ingewikkeld of te bureaucratisch? Is het luiheid? Of is nieuwsgierigheid de reden dat bepaalde diensten het niet zo nauw nemen met de privacyregels? Is het belang van opsporing en de drang naar bepaalde informatie in sommige gevallen zo groot, dat de diensten de regels menen opzij te moeten zetten? Graag ontvangen deze leden een analyse van de minister naar de aard van dit probleem.

De leden van de ChristenUnie-fractie maken zich zorgen over het feit dat bij audits van de Departementale Auditdienst (DAD) is geconstateerd dat verschillende BOID-en de voorschriften rond bevragingen van identificeerbare gegevens via het CIOT niet voldoende naleven. Een betrouwbare overheid dient zeer zorgvuldig om te gaan met gevoelige persoonlijke informatie die zij in handen krijgt. In dat opzicht zijn deze leden blij met de intentie van de minister om streng toe te zien op de naleving van de voorschriften door de BOID-en en hiertoe ook (nog nader te bepalen) maatregelen te treffen.

CIOT

De leden van de VVD-fractie merken op dat een beperkt aantal opsporingsambtenaren per organisatie een autorisatie heeft voor toegang tot het CIOT informatiesysteem. Zij willen graag weten om hoeveel opsporingsambtenaren het gaat, waarbij zij een overzicht per organisatie op prijs stellen.

De leden van de PvdA-fractie merken op dat het CIOT-systeem een geautomatiseerd systeem is. Zij vragen welk deel precies is geautomatiseerd en waar menselijk handelen wordt verwacht. Welke taken en bevoegdheden hebben medewerkers die met het CIOT-systeem werken? Zijn de medewerkers die het CIOT-systeem bedienen ondergebracht bij verschillende organisaties of hebben ze zitting op het ministerie van Veiligheid en Justitie waardoor zij onder de (directe) verantwoordelijkheid van de minister vallen? Lopen alle aanvragen van de BOID-en via deze medewerkers en om hoeveel aanvragen gaat het jaarlijks?

De aan het woord zijnde leden constateren dat de CIOT-medewerker wordt gescreend en een beveiligde werkplek heeft. Uit de onderhavige brief valt op te maken dat uit de audit blijkt dat er niet altijd even zorgvuldig met het systeem en de privacy van de burgers wordt omgegaan. Is dit te wijten aan de medewerkers, het systeem of aan de organisatie(s)?

Deze leden merken op dat BOID-en telecom- en internetgegevens kunnen opvragen in het belang van een onderzoek. In welk stadium van het (strafrechtelijk) onderzoek zullen BOID-en overgaan tot het opvragen van telecom- en internetgegevens? Waarin moet een verzoek minimaal aan voldoen wil een CIOT-medewerker de gegevens mogen leveren?

De leden van de PvdA-fractie vragen of het mogelijk is dat opsporingsambtenaren in Nederland informatie van telecom- en internetaanbieders voor zichzelf, of vrienden kunnen opzoeken? Zo ja, is uit onderzoek gebleken dat opsporingsambtenaren die ook daadwerkelijk hebben gedaan? Hoe vaak is dit gebeurd? Welke waarborgen ontbreken waardoor dit mogelijk te maken? Wordt er aangedacht om deze fout in het systeem te herstellen? Zo nee, waarom niet?

Deze leden vragen of het departement jaarlijks een verslag opstelt waarin wordt gemeld hoe vaak het CIOT aan een autoriteit informatie verstrekt en van welke autoriteit dit verzoek komt. Zo ja, wat wordt er dan met deze verslagen gedaan? Welke BOID-en maken het meest gebruik van het CIOT en op basis van welke rechtsgrondslag worden de meeste verzoeken gedaan? Kan hiervan een schematisch overzicht worden gegeven?

De leden van de ChristenUnie-fractie erkennen dat zogenaamde NAW-gegevens, die via het CIOT van de telecomaanbieders worden verkregen, van groot belang kunnen zijn in een aantal (bijzondere) opsporingsonderzoeken en onderzoeken van inlichtingen- en veiligheidsdiensten. Zij vinden het in het kader van de waarborging van de bescherming van persoonlijke gegevens van groot belang dat er niet lichtvaardig met dit soort verzoeken wordt omgegaan en dat de voorschriften met betrekking tot de bevragingen van de BOID-en aan het CIOT. Het grote aantal bevragingen aan het adres van het CIOT wekt de suggestie dat diensten lichtvaardig omgaan met verzoeken aan de CIOT. Uit de audits van de departementale dienst en de brieven van de verschillende BOID-en is tevens gebleken dat voorschriften voor de uitvoering van het besluit verstrekking gegevens telecommunicatie niet goed worden uitgevoerd, waardoor de bescherming van gevoelige persoonsgegevens in het gedrang is. Wat doet de minister er aan om eventueel lichtzinnig gebruik van de mogelijkheid tot het bevragen van het CIOT te voorkomen?

Voornoemde leden erkennen dat directe controle op de rechtmatigheid van een bevraging in de praktijk moeilijk te realiseren is. Deze leden vinden het echter van belang dat alle bevragingen achteraf kunnen worden getoetst. Gaat de minister op centraal niveau een toetsing van de rechtmatigheid van bevragingen instellen, zoals is geadviseerd door de DAD? Welke maatregel(en) gaat de minster nemen om er voor te zorgen dat alle bevragingen op een goede manier achteraf te toetsen zijn op rechtmatigheid? Welke stappen neemt de minister wanneer blijkt dat de bevragingen van BOID-en vaak onrechtmatig zijn?

Normenkader

Audits

De leden van de VVD-fractie vernemen graag waarom in een enkel geval de rechtmatigheid van een bevraging niet kon worden vastgesteld? Kan verder worden aangegeven welke organisaties zijn gevraagd verbeterplannen op te stellen teneinde de tekortkomingen weg te nemen en wat hiervan de stand van zaken is? Deze leden willen bovendien weten of voorzien is in sancties (en zo ja, welke) als de normen niet of onvoldoende worden nageleefd.

Graag vernemen zij de reactie van de minister op de stelling dat de rechtmatigheid van de bevraging vooraf moet worden vastgesteld, niet achteraf. Er kan immers betoogd worden dat wat de bevraging uit het CIOT betreft toestemming vooraf door bijvoorbeeld de officier van justitie of controle van de vorderingen vooraf door een onafhankelijke partij beter zijn dan een minimale audit achteraf.

De leden van de PvdA-fractie lezen in de brief dat uit de audits van 2007 en 2008 naar voren kwam dat ten aanzien van de rechtmatigheid van de bevraging bij de onderzochte BOID-en onvolkomenheden zijn geconstateerd. Wat waren dat voor onvolkomenheden? Is op basis van deze steekproefsgewijze audits besloten om alle BOID-en te controleren om te voorkomen dat andere BOID-en onvolkomenheden ten aanzien van de rechtmatigheid van de bevraging zouden ontwikkelen of om deze onvolkomenheden te signaleren? Zo nee, waarom niet en wordt dit alsnog gedaan? Wat kunnen de gevolgen zijn van deze onvolkomenheden ten aanzien van de rechtmatigheid van de bevraging? Hebben de gevolgen zich voorgedaan bij de al onderzochte BOID-en? Zo ja, hoe vaak?

Voornoemde leden merken ten aanzien van het delegeren van bevoegdheden op dat BOID-en bij de audit en de follow-up niet aan de gestelde eisen hebben voldaan. Welke fouten zijn er gemaakt en hoe is hierop gereageerd door de diensten?

De leden van de SP-fractie vragen toe te lichten welke BOID-en de voorschriften hebben overtreden, dan wel niet goed of onvolledig hebben nageleefd. Is de minister bereid deze diensten te benoemen? Zo nee, waarom niet?

Voorts vragen zij welke gevolgen het niet (correct) naleven van de regels heeft gehad voor opsporingsonderzoeken. Zijn hierdoor opsporings-, inlichtingen- of veiligheidsonderzoeken mislukt?

De leden van de ChristenUnie-fractie hebben van onderzoeken van de DAD in 2008 en 2009 begrepen dat de controle op rechtmatigheid van de aanvragen in veel gevallen te wensen over laat. In veel gevallen bevragen medewerkers van BOID-en het CIOT zonder de benodigde formele autorisatie van de minister van Veiligheid en Justitie. Kan de minister verklaren waarom bij een aantal BOID-en bevragingen niet worden gedaan door de geautoriseerde medewerkers?

Reacties op verzoek

De leden van de VVD-fractie vragen welke BOID-en te kennen hebben gegeven aan verbeteringen te werken en om welke verbeteringen het gaat. Waarom hebben een aantal BOID-en gesteld meer tijd nodig te hebben om «in control» te zijn? Wat was de specifieke opgaaf van redenen hiervoor?

De leden van de PvdA-fractie merken op dat de DAD in 2009 alleen een heeft audit gehouden op die punten die uit eerdere audits problematisch zijn gebleken. De uitkomst van de follow-up van 2009 was dat belangrijke aanbevelingen die in vorige audits zijn getrokken niet (volledig) zijn opgevolgd. Het betreft het delegeren van bevoegdheden, formele autorisaties, de rechtsgrondslagen en de rechtmatigheid van bevragingen en de documentatie van de werkwijze en de instructie. Als reactie op deze uitkomst is er een brief gestuurd aan betrokken organisatie. Hierop hebben alle BOID-en gereageerd. Sommige hebben een «in control» verklaring afgegeven. Dit houdt in dat deze organisaties vinden dat zij voldoen aan de regels. Eerder is door de minister al eens aangegeven dat het mogelijk is dat er verschillen van inzicht bestaat van wat rechtmatigheid is. Hoe heeft dit verschil van inzicht kunnen ontstaan en is de minister ervan overtuigd dat door middel van een richtlijn dit probleem verholpen is? Wordt door middel van een onderzoek of een follow-up onderzocht of er nu eenduidige inzichten bestaan wat moet worden verstaan onder een rechtmatig verzoek?

Heeft de minister de overtuiging dat BOID-en nu wel (in tegenstelling tot eerder gedane aanbevelingen die niet zijn opgevolgd) zullen voldoen aan alle gestelde eisen ten aanzien van het delegeren van bevoegdheden, formele autorisaties, de rechtsgrondslagen en de rechtmatigheid van bevragingen en de documentatie van de werkwijze en de instructie? Zo ja, waar baseert de minister deze overtuiging op? Zo nee, worden er verdere maatregelen genomen om te zorgen dat BOID-en wel voldoen aan de gestelde eisen? Zo ja, welke?

Review

De leden van de CDA-fractie lezen in de onderhavige brief dat uit een review eind 2010 bij het politiekorps Gelderland-Zuid bleek dat niet alles volgens de normen was ingericht. Ook uit het ambtelijk onderzoek door het Cbp in 2010 komt naar voren dat strikte naleving van de voorschriften ondanks goede intenties nog steeds niet voldoende is geborgd. Kan de minister aangeven waarom na vele jaren na invoering het voor de gebruiker zo moeilijk is om zich aan de geldende regels te houden?

Onderzoek door Cbp

De leden van de VVD-fractie merken op dat het Cbp in 2010 heeft geconstateerd dat strikte naleving van de voorschriften nog steeds niet voldoende is geborgd. Door de minister en betreffende organisaties zijn onmiddellijk acties ondernomen om omissies en gebreken te herstellen of op korte termijn in orde te brengen. Deze leden zien een nadere toelichting op het resultaat van deze acties graag tegemoet.

De leden van de PvdA-fractie merken op dat het Cpb bij drie organisaties onderzoek heeft gedaan naar het naleven van de voorschriften bij de bevraging via het CIOT. Wat was de uitkomst van deze onderzoeken? Welke conclusie baren de minister de meeste zorgen? Hoe hebben de onderzochte diensten gereageerd op de onderzoeken en welke maatregelen zijn er getroffen om te zorgen dat deze diensten (maar ook andere BOID-en) zich houden aan de naleving van de voorschriften?

De leden van de ChristenUnie-fractie zijn van mening dat de werkwijze van de opsporingsdiensten voor wat betreft de bevragingen van de CIOT bij de (geautoriseerde) medewerkers voldoende bekend moeten zijn, zodat zij de gestelde voorschriften ook kunnen naleven. Er is geconstateerd dat vooral bij bevraging op grond van artikel 126na van het Wetboek van Strafvordering er onduidelijkheid bestaat over de te volgen procedure. Welke maatregelen gaat de minister treffen om de kennis over de voorschriften voor bevragingen aan het CIOT, en daarmee ook de vereiste omgang met deze identificerende gegevens te bevorderen?

Urgentie

De leden van de PvdA-fractie merken op dat er een verzoek loopt op grond van de Wet openbaar bestuur om de rapporten vrij te geven. Welke rapporten worden hier bedoeld en waarom worden deze rapporten niet automatisch vrijgegeven? Waarom zijn de rapporten niet naar de Kamer gestuurd? Kan de minister in het kort beschrijven hoe een verzoek tot informatie via CIOT-systeem moet verlopen en over het algemeen verloopt? Hoeveel mensen zijn betrokken bij een aanvraag?

No-hit bevragingen

De leden van de VVD-fractie herinneren zich nog de vragen van het Lid Hennis-Plasschaert over het Eindrapport Audit CIOT 2009. In antwoord op deze vragen meldde de toenmalige minister van Justitie dat er werd gewerkt aan de realisatie van een adequate centrale registratie van no-hits. Deze leden kunnen uit de brief van de minister niet afleiden of dit inmiddels is gebeurd en willen weten of de realisatie van een dergelijke centrale registratie inmiddels een feit is.

De leden van de ChristenUnie hebben vernomen dat wanneer er sprake is van een no-hit, de bevraging in dat geval bij het CIOT geen resultaat heeft opgeleverd. In dat geval kan de (B)OID rechtstreeks aan de telecomaanbieder om NAW-gegevens vragen. De gegevens worden dan meestal uitgewisseld via de fax, waarbij het gevaar bestaat dat door menselijk handelen persoonlijke gegevens niet bij de juiste persoon of instantie aankomt. Deze leden vragen de minister welke maatregelen getroffen worden om het risico van menselijk falen in de behandeling van zeer gevoelige gegevens, in de hierboven geschetste situatie, te beperken.

Maatregelen

De leden van de CDA-fractie hebben kennisgenomen van de voorgenomen maatregel van de minister om BOID-en die in gebreke blijven, tijdelijk af te sluiten. Deze leden vragen of hierdoor de opsporing niet stagneert nu men gebruik moet maken van de voorzieningen van andere BOID-en en niet snel kan reageren via eigen systemen.

De leden van de SP-fractie vragen of de haalbaarheidsstudie van de korpschef van het Korps Landelijke Politiediensten (KLPD) naar de verdere beveiliging van verzoeken om NAW-gegevens en mogelijke centralisatie via de Unit Landelijke Interceptie van het KLPD al is verricht? Zo ja, wat is daar uitgekomen.

Voornoemde leden zijn het eens met de aanpak van de minister dat de diensten die niet aan de vereisten kunnen voldoen geen toegang meer krijgen tot het systeem van het CIOT. Hoe zal er op toe worden gezien dat de regels worden nageleefd, ook door de diensten die zeggen aan de regels te zullen voldoen? Hoe intensief is de controle hierop? Is een zestal quickscans voldoende om naleving van de regels te garanderen?

De leden van de ChristenUnie zijn het met de minister eens dat wanneer BOID-en voor de gestelde termijn van 1 mei 2011 nog niet in control zijn, voor hen de toegang tot het systeem van de CIOT tijdelijk moet worden gesloten. Zij vinden dit echter een zeer ingrijpende maatregel die niet het belang van de opsporing dient. Daarom vragen zij de minister alles in het werk te stellen om de BOID-en zo snel mogelijk aan de gestelde voorschriften te laten voldoen, zodat er geen belemmeringen optreden in de uitvoering van het werk van de BOID-en. Kan de minister op zeer korte termijn na de publicatie van de rapporten van het CBP over het CIOT, het politiekorps Haaglanden en de Dienst Nationale Recherche aan de Tweede Kamer bekend maken welke maatregelen getroffen zullen worden om de BOID-en te laten voldoen aan de gestelde voorschriften?

II. ANTWOORD VAN DE MINISTER

Het proces bij het opvragen van naw-gegevens via het CIOT-informatiesysteem

De leden van de PvdA-fractie vragen of de minister in het kort kan beschrijven hoe een verzoek tot informatie via CIOT-systeem moet verlopen en over het algemeen verloopt? Hoeveel mensen zijn betrokken bij een aanvraag?

Ook merken de leden van de PvdA-fractie op dat het CIOT-systeem een geautomatiseerd systeem is. De leden vragen welk deel precies is geautomatiseerd en waar menselijk handelen wordt verwacht. Welke taken en bevoegdheden hebben medewerkers die met het CIOT-systeem werken? Zijn de medewerkers die het CIOT-systeem bedienen ondergebracht bij verschillende organisaties of hebben ze zitting op het Ministerie van Veiligheid en Justitie waardoor zij onder de (directe) verantwoordelijkheid van de minister vallen? Lopen alle aanvragen van de BOID-en via deze medewerkers en om hoeveel aanvragen gaat het jaarlijks?

Tevens merken deze leden op dat BOID-en de telecom- en internetgegevens kunnen opvragen in het belang van een onderzoek. In welk stadium van het (strafrechtelijk) onderzoek zullen BOID-en overgaan tot het opvragen van telecom- en internetgegevens? Waarin moet een verzoek minimaal aan voldoen wil een CIOT-medewerker de gegevens mogen leveren?

Het vraag- en antwoordproces via het CIOT-informatiesysteem verloopt als volgt. Dagelijks stellen de telecom- en internetbedrijven (hierna: telecomaanbieders) een kopie van hun klantenbestand met de wettelijk vastgelegde gegevens ter beschikking aan het CIOT in een beveiligde omgeving. Vervolgens worden de gegevens automatisch ingelezen in de blackbox-omgeving van het CIOT-informatiesysteem. Deze kopie wordt 24 uur bewaard door de telecomaanbieders.

Het opvragen van naw-gegevens via het CIOT-informatiesysteem door medewerkers van BOID-en vindt plaatst in een specifieke beveiligde locatie van de desbetreffende dienst. De vragen worden vervolgens automatisch verwerkt via de centrale omgeving van het CIOT-informatiesysteem. Na verwerking worden de vragen gesteld aan het bestand met de aanbiedergegevens in de blackbox-omgeving en de antwoorden worden zichtbaar in het CIOT-informatiesysteem. Totale verwerkingsduur in het CIOT-informatiesysteem is 5 seconden per vraag.

Het technische beheer van de infrastructuur, de monitoring van de dagelijkse gegevensaanleveringen van de aanbieders, het algemene onderhoud en de ontwikkeling van het CIOT-informatiesysteem wordt uitgevoerd door het CIOT in Den Haag. Er wordt procesinformatie (logging e.d.) opgeslagen gedurende 3 jaar in het informatiesysteem (conform artikel 7 van het Besluit verstrekking gegevens telecommunicatie), waarmee het rechtmatige gebruik door de BOID-en van het CIOT-informatiesysteem achteraf kan worden getoetst door de Departementale Auditdienst tijdens de jaarlijkse audit. Dit is informatie waaruit blijkt door welke aanbieder, aan welke autoriteit en op welke rechtsgrondslag gegevens zijn verstrekt. Er worden dus geen inhoudelijke gegevens bewaard. De inhoudelijke gegevens zijn uitsluitend zichtbaar voor de desbetreffende BOID-en.

In onderstaand figuur zijn het aantal bevragingen weergegeven die zijn gedaan door BOID-en via het CIOT-informatiesysteem sinds mei 2002.

In alle stadia van een strafrechtelijk onderzoek kan een CIOT-bevraging worden gedaan. Voordat de BOID-en besluiten tot het opvragen van de naw-gegevens bij telecomaanbieders via CIOT-informatiesysteem dient allereerst te worden vastgesteld of de aanvraag voldoet aan de voorschriften in de wet- en regelgeving. De aanvrager zal moeten toetsen of de aanvraag voldoet aan de gestelde voorwaarden van het betreffende artikel in het Wetboek van Strafvordering (artikelen 126n, 126na, 126u, 126ua, 126zh, 126zi of 126ii van het Wetboek van Strafvordering). Hierbij beoordeelt de aanvrager of er sprake is van een grondslag.

Zo stelt artikel 126na van het Wetboek van Strafvordering dat in geval van verdenking van een misdrijf een opsporingsambtenaar in het belang van het onderzoek de naw-gegevens mag opvragen bij de telecomaanbieders (via het CIOT-informatieysteem). De opsporingsambtenaar maakt hiervan een proces-verbaal op met een verzoek om de naw-gegevens op te vragen bij de telecomaanbieders via het CIOT-informatiesysteem. De opsporingsambtenaar handelt hierbij onder het gezag van de officier van justitie.

De opsporingsambtenaar stuurt vervolgens zijn verzoek en proces-verbaal naar de medewerker die geautoriseerd is binnen de BOID om naw-gegevens op te vragen via het CIOT-informatiesysteem (hierna: de CIOT-geautoriseerde). De CIOT-geautoriseerde controleert of de aanvraag aan de voorwaarden voldoet. De CIOT-geautoriseerde controleert hierbij of alle vereiste informatie is geleverd en of de grondslag juist is vermeld.

Graag vernemen de leden van de VVD-fractie de reactie van de minister op de stelling dat de rechtmatigheid van de bevraging vooraf moet worden vastgesteld, niet achteraf. Er kan immers betoogd worden dat wat de bevraging uit het CIOT betreft toestemming vooraf door bijvoorbeeld de officier van justitie of controle van de vorderingen vooraf door een onafhankelijke partij beter zijn dan een minimale audit achteraf.

Zoals hierboven beschreven wordt bij een bevraging via het CIOT-informatiesysteem op grond van 126na van het Wetboek van Strafvordering de rechtmatigheid vooraf vastgesteld door de opsporingsambtenaar (veelal rechercheur van het betreffende strafrechtelijke onderzoek) die het initiatief neemt voor het opvragen van de naw-gegevens bij telecomaanbieders via het CIOT-informatiesysteem. De opsporingsambtenaar handelt hierbij onder het gezag van de officier van justitie. De CIOT-geautoriseerde binnen de BOID-en controleert of aan alle in de regelgeving gestelde vereisten is voldaan en of de grondslag is vermeld in het proces-verbaal. Aangezien dit een handeling is in het opsporings- en vervolgingsproces is controle door een externe partij niet aan de orde. De uiteindelijke controle in een concrete zaak is voorbehouden aan de rechterlijke macht.

Naast de controle vooraf wordt voorzien in toezichtmechanisme (zoals audits) voor de controle achteraf.

Autorisaties

De leden van de VVD-fractie merken op dat een beperkt aantal opsporingsambtenaren per organisatie een autorisatie heeft voor toegang tot het CIOT-informatiesysteem. De leden willen graag weten om hoeveel opsporingsambtenaren het gaat, waarbij zij een overzicht per organisatie op prijs stellen.

Het aantal werkplekken en opsporingsambtenaren met toegang tot het CIOT-informatiesysteem per BOID is beperkt. Als norm wordt gehanteerd dat elke BOID over maximaal 3 werkplekken beschikt en dat er maximaal 15 medewerkers per werkplek geautoriseerd worden (met een persoonlijk account) voor het uitvoeren van CIOT-bevragingen. Dit betekent dat er per korps maximaal 45 bevragers zijn. De beperking is vastgesteld in overleg met het Openbaar Ministerie. Indien een opsporingsdienst wil afwijken van de norm kan dit alleen in overleg met het Openbaar Ministerie.

De minister van Veiligheid en Justitie heeft autorisatie verleend aan 38 BOID-en om via het CIOT-informatiesysteem naw-gegevens op te vragen bij de telecomaanbieders. De BOID-en zijn: de 25 regionale politiekorpsen, het Korps landelijke politiediensten (KLPD), de dienst Nationale Recherche en de 112-alarmcentrale van de dienst Operationele Samenwerking (beide diensten zijn onderdeel van het KLPD), AIVD, MIVD, KMar, Rijksrecherche, het Openbaar Ministerie/Landelijk Parket, AID, IOD-VROM, FIOD, SIOD en IGZ. Betreffende medewerkers hebben 24 uur per dag, zeven dagen per week rechtstreeks toegang tot het volledig geautomatiseerde CIOT-informatiesysteem vanuit de specifieke locatie van de desbetreffende BOID. Iedere medewerker die autorisatie heeft tot het CIOT-informatiesysteem heeft een persoonlijke toegangscode en een beveiligd certificaat voor het doen van informatieverzoeken in het kader van een strafrechtelijk onderzoek.

Overzicht per opsporingsdienst (peildatum 29 november 2011):

	BOID-en	aantal users	aantal PC's
1	Regionaal politiekorps Groningen	12	3
2	Regionaal politiekorps Friesland	23	4
3	Regionaal politiekorps Drenthe	15	3
4	Regionaal politiekorps IJsselland	13	3
5	Regionaal politiekorps Twente	19	3
6	Regionaal politiekorps Noord- en Oost-Gelderland	4	2
7	Regionaal politiekorps Gelderland-Midden	7	1
8	Regionaal politiekorps Gelderland-Zuid	24	3
9	Regionaal politiekorps Utrecht	43	3
10	Regionaal politiekorps Gooi en Vechtstreek	9	2
11	Regionaal politiekorps Flevoland	11	3
12	Regionaal politiekorps Kennemerland	9	2
13	Regionaal politiekorps Noord-Holland Noord	24	5
14	Regionaal politiekorps Zaanstreek-Waterland	13	2
15	Regionaal politiekorps Amsterdam-Amstelland	22	3
16	Regionaal politiekorps Haaglanden	22	3
17	Regionaal politiekorps Hollands Midden	6	3
18	Regionaal politiekorps Rotterdam-Rijnmond	3	2
19	Regionaal politiekorps Zuid-Holland Zuid	6	3
20	Regionaal politiekorps Midden- en West-Brabant	22	3
21	Regionaal politiekorps Zeeland	30	3
22	Regionaal politiekorps Brabant Zuid-Oost	10	3
23	Regionaal politiekorps Brabant-Noord	7	3
24	Regionaal politiekorps Limburg-Zuid	37	3
25	Regionaal politiekorps Limburg-Noord	8	3
26	Korps Landelijke Politiediensten (overig)^1	44	8
27	Dienst Nationale Recherche^1	64	Zie KLPD
28	112-alarmcentrale dienst Operationele Samenwerking^1	2	1
29	Fiscale lichtingen- en Opsporingsdienst	7	6
30	Inspectie voor de Gezondheidszorg	2	1
31	Inlichtingen- en Opsporingsdienst (VROM)	4	1
32	Landelijk Parket	7	2
33	Koninklijke Marechaussee	10	6
34	Algemene Inspectiedienst	2	3
35	Rijksrecherche	9	4
36	Sociale Inlichtingen- en Opsporingsdienst	5	1

¹ In de administratie van het CIOT zijn voor het KLPD drie BOID-en opgenomen: de dienst Nationale Recherche, de 112-alarmcentrale van de dienst Operationele Samenwerking en overig KLPD.

De gegevens van de AIVD en MIVD zijn niet in het overzicht opgenomen.

Verschillen tussen de politiekorpsen worden veroorzaakt door verschillen in de wijze waarop betreffende werkprocessen zijn ingericht en de mate van specialisatie van medewerkers op dit terrein.

Statistieken over het gebruik

Leden van de PvdA-fractie vragen of het departement jaarlijks een verslag opstelt waarin wordt gemeld hoe vaak het CIOT aan een autoriteit informatie verstrekt en van welke autoriteit dit verzoek komt. Zo ja, wat wordt er dan met deze verslagen gedaan? Welke BOID-en maken het meest gebruik van het CIOT en op basis van welke rechtsgrondslag worden de meeste verzoeken gedaan? Kan hiervan een schematisch overzicht worden gegeven?

Leden van de PvdA-fractie vragen welke BOID-en het meest gebruik maken van het CIOT en op basis van welke rechtsgrondslag worden de meeste verzoeken gedaan? Kan hiervan een schematisch overzicht worden gegeven?

Jaarlijks wordt een verslag opgesteld, zoals bedoeld in artikel 8 van het Besluit verstrekking gegevens telecommunicatie. Het verslag wordt gepubliceerd op de website http://www.rijksoverheid.nl/onderwerpen/telecomgegevens-voor-opsporing en op de website http://www.ciot.nl. In het verslag wordt, voor wat betreft de opsporing van strafbare feiten, melding gemaakt van het aantal bevragingen en antwoorden waarbij aan een bevoegde autoriteit informatie is verstrekt door de telecomaanbieder via het CIOT-informatiesysteem. Deze vermelding is uitgesplitst naar (1) de rechtsgrondslag van het verzoek van de bevoegde autoriteit en (2) de BOID (arrondissementsparketten, de politiekorpsen of andere opsporingsdiensten). De volgende BOID-en maken het meest gebruik van het CIOT-informatiesysteem: Regiopolitie Amsterdam-Amstelland (430 117 bevragingen in 2010); Regiopolitie Haaglanden (414 576 bevragingen in 2010) en Regiopolitie Rotterdam-Rijnmond (209 666 bevragingen in 2010). Kortheidshalve verwijs ik naar de jaarverslagen op de eerder genoemde websites voor een schematisch overzicht per BOID van het aantal bevragingen, het aantal hits en dergelijke.

In het jaarverslag wordt ook een schematisch overzicht gegeven van de rechtsgrondslag op grond waarvan bevragingen via het CIOT-informatiesysteem zijn gedaan. De meeste bevragingen betreffen die op grond van artikel 126n Wetboek van Strafvordering (1 969 314 bevragingen in 2010) en artikel 126na van het Wetboek van Strafvordering (619 917 bevragingen in 2010). Op grond van artikel 126na van Wetboek van Strafvordering kan een opsporingsambtenaar in geval van verdenking van een misdrijf en in het belang van het onderzoek naw-gegevens vorderen. Artikel 126n van het Wetboek van Strafvordering geeft aan de officier van justitie de bevoegdheid in geval van verdenking van een misdrijf als omschreven in artikel 67 lid 1 Wetboek van Strafvordering (misdrijven waarvoor voorlopige hechtenis is toegelaten) in het belang van het onderzoek, verkeersgegevens te vorderen. Deze bevoegdheid omvat ook het vorderen van gebruikersgegevens

De informatie uit het jaarverslag wordt opgenomen in de begrotingsverantwoording van het ministerie van Veiligheid en Justitie. In de begrotingsverantwoording is een overzicht opgenomen van het aantal bevragingen per jaar via het CIOT-informatiesysteem door de BOID-en, de hit-rates en het aantal aangesloten telecomaanbieders (zie: Vaststelling van de begrotingsstaten van het ministerie van Veiligheid en Justitie (VI) voor het jaar 2012, p. 60).

Duidelijkheid van de CIOT-voorschriften

De leden van de ChristenUnie-fractie merken op dat er is geconstateerd dat vooral bij bevraging op grond van artikel 126na van het Wetboek van Strafvordering er onduidelijkheid bestaat over de te volgen procedure. Welke maatregelen gaat de minister treffen om de kennis over de voorschriften voor bevragingen aan het CIOT, en daarmee ook de vereiste omgang met deze identificerende gegevens te bevorderen?

De PvdA-fractie merkt op dat eerder door de minister al eens is aangegeven dat het mogelijk is dat er verschillen van inzicht bestaat van wat rechtmatigheid is. Hoe heeft dit verschil van inzicht kunnen ontstaan en is de minister ervan overtuigd dat door middel van een richtlijn dit probleem verholpen is? Wordt door middel van een onderzoek of een follow-up onderzocht of er nu eenduidige inzichten bestaan wat moet worden verstaan onder een rechtmatig verzoek?

Alle opsporingsdiensten hebben uitgeschreven procedures met betrekking tot het opvragen van naw-gegevens bij telecomaanbieders door opsporingsambtenaren op grond van 126na, 126ua en 126zi van het Wetboek van Strafvordering. Deze procedures zijn beschikbaar voor alle medewerkers die gerechtigd zijn om naw-gegevens op te vragen via het CIOT-informatiesysteem.

Elke medewerker die voorgedragen is om geautoriseerd te worden voor raadpleging van het CIOT-informatiesysteem krijgt eerst een opleiding voordat toegang tot het CIOT-informatiesysteem wordt verleend. Daarnaast worden opfrisopleidingen gegeven.

Verder dient iedere BOID eenduidige en formeel vastgelegde procedure in te richten die moet waarborgen dat voldaan wordt aan de voorschriften bij het opvragen van naw-gegevens via het CIOT-informatiesysteem zoals vastgelegd in het Wetboek van Strafvordering en in het Besluit verstrekking gegevens telecommunicatie.

Het is mogelijk dat een BOID, de Auditdienst of het ministerie de vraag opwerpt of een voorschrift nog relevant is. Zo is het bijvoorbeeld mogelijk dat door technologische ontwikkelingen nieuwe, meer efficiënte, maatregelen kunnen worden genomen die hetzelfde doel van het voorschrift bereiken. In dat geval kan worden overwogen om het voorschrift aan te passen mits het oorspronkelijke doel van het voorschrift worden gegarandeerd. Het is dan ook van belang dat de voorschriften regelmatig worden beoordeeld en – indien nodig – worden geactualiseerd. De actualiteit van de voorschriften kan worden geëvalueerd indien de betrokken partijen dit nodig vinden. Zo heeft een BOID inderdaad vragen gesteld over de noodzaak van de uitvoering van bepaalde voorschriften die zijn ingesteld voor de toetsing van de rechtmatigheid. Hierop is door mij geantwoord dat de betreffende voorschriften essentieel zijn voor een goede waarborging van de rechtmatigheid.

Hierbij wil ik benadrukken dat actualisatie van voorschriften los staat van de naleving van de geldende voorschriften. De BOID-en zullen te allen tijde moeten voldoen aan de dan geldende voorschriften.

Naleving voorschriften door medewerkers

De leden van de SP-fractie vragen zich af hoe het komt dat de voorschriften onvoldoende worden nageleefd. Waar komt dit vandaan? Waarom houden deze diensten zich niet aan de regels? Zijn de voorschriften te ingewikkeld of te bureaucratisch? Is het luiheid? Of is nieuwsgierigheid de reden dat bepaalde diensten het niet zo nauw nemen met de privacyregels? Is het belang van opsporing en de drang naar bepaalde informatie in sommige gevallen zo groot, dat de diensten de regels menen opzij te moeten zetten? Graag ontvangen deze leden een analyse van de minister naar de aard van dit probleem.

De leden van de PvdA-fractie merken op dat uit de brief van 21 maart 2011 valt op te maken dat uit de audit blijkt dat er niet altijd even zorgvuldig met het systeem en de privacy van de burgers wordt omgegaan. Is dit te wijten aan de medewerkers, het systeem of aan de organisatie(s)?

De leden van de CDA-fractie lezen in de onderhavige brief dat uit een review eind 2010 bij het politiekorps Gelderland-Zuid bleek dat niet alles volgens de normen was ingericht. Ook uit het ambtelijk onderzoek door het CBP in 2010 komt naar voren dat strikte naleving van de voorschriften ondanks goede intenties nog steeds niet voldoende is geborgd. Kan de minister aangeven waarom na vele jaren na invoering het voor de gebruiker zo moeilijk is om zich aan de geldende regels te houden?

De Wet bescherming persoonsgegevens verbiedt het gebruik van persoonsgegevens voor andere doeleinden dan de doeleinden waarvoor de persoonsgegevens zijn verkregen (artikel 9 Wbp). Dit verbod is ingesteld om de persoonsgegevens van de betrokkene te beschermen en de betrokkene te vrijwaren van inperking op zijn persoonlijke levenssfeer. Uitzondering op dit verbod is de situatie waarbij het gebruik van de persoonsgegevens noodzakelijk is voor een zwaarwegend algemeen belang, zoals de veiligheid van de staat en de voorkoming, opsporing en vervolging van strafbare feiten (artikel 43 Wbp). De instantie die de gegevens voor deze doelen wil gebruiken, dient aan te tonen dat het gebruik van de persoonsgegevens noodzakelijk en evenredig is voor deze doelen. Ten aanzien van het opvragen van naw-gegevens zijn deze vereisten nader omschreven in wet- en regelgeving (het Wetboek van Strafvordering en het Besluit verstrekking gegevens telecommunicatie) en vertaald in voorschriften. Kortom, voor de betrokkene vormen de voorschriften voor het opvragen van naw-gegevens via het CIOT-informatiesysteem de waarborgen om niet te worden blootgesteld aan disproportioneel gebruik van zijn persoonsgegevens. En, voor BOID-en vormen de voorschriften de voorwaarden waaronder de BOID-en de naw-gegevens mogen opvragen.

De voorschriften voor het opvragen van naw-gegevens via het CIOT-informatiesysteem hebben betrekking op diverse aspecten, zoals het bevragingsproces (het voldoen aan de voorwaarden waaronder de naw-gegevens mogen worden opgevraagd), het registratieproces (het schriftelijk motiveren en registreren van de gedane bevragingen en de zoekresultaten), het gebruik van het CIOT-informatiesysteem (het zorgen voor voldoende beveiliging) en het proces bij het verlenen van autorisatie tot het CIOT-informatiesysteem (het zorgen dat zorgvuldig gebruik wordt gemaakt van het CIOT-informatiesysteem). Bij deze aspecten zijn diverse functionarissen betrokken vanuit verschillende functies. Een goede naleving van de voorschriften vereist daardoor de inzet van diverse partijen, op meerdere niveaus en een hoge mate van nauwkeurigheid van de gebruikers. Aan deze voorwaarden blijkt niet altijd te worden voldaan.

Ik ben van mening dat de voorschriften niet onredelijk, te complex of te zwaar zijn. Met de inwerkingtreding van het CIOT-informatiesysteem zijn bovendien de administratieve lasten aanzienlijk verminderd en is het opvragen van naw-gegevens door BIOD-en bij telecomaanbieders voor alle partijen aanmerkelijk vereenvoudigd met inachtneming van de noodzakelijke waarborgen.

Wel heb ik geconstateerd dat de naleving van de CIOT-voorschriften door de BOID-en verder verbeterd moet worden. Primair zijn de leidinggevenden van de medewerkers die gebruikmaken van het CIOT-informatiesysteem hiervoor verantwoordelijk. Zoals ik in mijn brief van 3 oktober heb aangegeven, zal in 2012 bij alle opsporingsdiensten een onderzoek worden uitgevoerd naar de naleving van de CIOT-voorschriften, voor zover zij niet recent betrokken zijn geweest bij een onderzoek op dit gebied.

Misbruik

De leden van de PvdA-fractie vragen of het mogelijk is dat opsporingsambtenaren in Nederland informatie van telecom- en internetaanbieders voor zichzelf, of vrienden kunnen opzoeken? Zo ja, is uit onderzoek gebleken dat opsporingsambtenaren die ook daadwerkelijk hebben gedaan? Hoe vaak is dit gebeurd? Welke waarborgen ontbreken waardoor dit mogelijk te maken? Wordt er aangedacht om deze fout in het systeem te herstellen? Zo nee, waarom niet?

De leden van de ChristenUnie-fractie vragen wat de minister eraan doet om eventueel lichtzinnig gebruik van de mogelijkheid tot het bevragen van het CIOT te voorkomen.

Misbruik van het CIOT-informatiesysteem door medewerkers van BOID-en voor persoonlijke doeleinden is niet vastgesteld tijdens de audits. Indien dit geconstateerd zou worden dan gelden daarvoor dezelfde disciplinaire en strafrechtelijke maatregelen als bij misbruik van andere informatie door een opsporingsambtenaar.

De voorschriften hebben mede als doel te voorkomen dat de bevoegdheid van BOID-en om naw-gegevens te mogen opvragen via het CIOT-informatiesysteem wordt misbruikt of lichtzinnig mee wordt omgegaan. De voorschriften dragen er aan bij dat toegang tot het CIOT-informatiesysteem beperkt is, de handelingen van de gebruiker worden gelogd en sprake is van zorgvuldige uitvoering. Daarnaast worden bij proces-verbaal de ambtshandelingen vastgelegd op ambteed/belofte die getoetst worden door de staande en uiteindelijk ook de zittende magistratuur.

Controle van de rechtmatigheid – achteraf toetsen

De leden van de ChristenUnie-fractie erkennen dat directe controle op de rechtmatigheid van een bevraging in de praktijk moeilijk te realiseren is. Deze leden vinden het echter van belang dat alle bevragingen achteraf kunnen worden getoetst. Gaat de minister op centraal niveau een toetsing van de rechtmatigheid van bevragingen instellen, zoals is geadviseerd door de DAD? Welke maatregel(en) gaat de minster nemen om er voor te zorgen dat alle bevragingen op een goede manier achteraf te toetsen zijn op rechtmatigheid? Welke stappen neemt de minister wanneer blijkt dat de bevragingen van BOID-en vaak onrechtmatig zijn?

De leden van de VVD-fractie vernemen graag waarom in een enkel geval de rechtmatigheid van een bevraging niet kon worden vastgesteld? Kan verder worden aangegeven welke organisaties zijn gevraagd verbeterplannen op te stellen teneinde de tekortkomingen weg te nemen en wat hiervan de stand van zaken is? Deze leden willen bovendien weten of voorzien is in sancties (en zo ja, welke) als de normen niet of onvoldoende worden nageleefd.

Door de audits, zoals die thans worden uitgevoerd, ontstaat op centraal niveau zicht of gebruikers de werkprocedures zodanig hebben ingericht dat controle achteraf door de auditor mogelijk is. Bovendien maken steekproeven naar concrete bevragingen uit het verleden deel uit van audits.

De auditdienst heeft niet geadviseerd om de rechtmatigheid op een centraal niveau te toetsen. Wel is geadviseerd om centraal voorschriften te geven voor het gebruik van bevoegdheden en dat is in voldoende mate gedaan. Het toetsen van de rechtmatigheid van afzonderlijke bevragingen is een (decentrale) verantwoordelijkheid van de BOID-en en het Openbaar Ministerie (parket), net als de toetsing van andere bijzondere opsporingsbevoegdheden. Ik ben dan ook niet voornemens om die toetsing op een centraal niveau te beleggen.

Indien een BOID niet voldoet aan de voorschriften, kan ik beslissen om een BOID af te sluiten van het CIOT-informatiesysteem. De BOID zal in dat geval een andere BOID moeten verzoeken om zijn CIOT-bevragingen uit te voeren.

Tot nu toe is niet gebleken dat er sprake is van onrechtmatige bevragingen. In mijn brief van 21 maart 2011 is aangekondigd dat bij zes BOID-en een quick scan gehouden zou worden waarbij onder meer de rechtmatigheid van steekproefsgewijze geselecteerde CIOT-bevragingen zouden worden gecontroleerd. Die quick scan is inmiddels uitgevoerd. Met de eerder aangehaalde brief van 3 oktober 2011 heb ik uw Kamer over de uitkomsten van de quick scans geïnformeerd.

Op basis van de audits, de bevindingen van het CBP en de quick scans is geconcludeerd dat bij sommige bevragingen niet kon worden aangetoond dat sprake is van rechtmatige bevragingen omdat de vereiste administratie niet voorhanden was om dit te onderbouwen. Daarbij zijn overigens geen vermoedens van onrechtmatige bevragingen gerezen. Indien naar het oordeel van het Openbaar Ministerie sprake is van een onrechtmatige bevraging, kan door de officier van justitie worden besloten om de resultaten daarvan niet te betrekken bij het verdere opsporingsonderzoek. Indien bij een beoordeling door de rechter blijkt dat een bevraging onrechtmatig is geschied, is sprake van een vormverzuim, op grond waarvan met toepassing van artikel 359a Sv diverse sancties kunnen volgen.

De leden van de PvdA-fractie lezen in de brief dat uit de audits van 2007 en 2008 naar voren kwam dat ten aanzien van de rechtmatigheid van de bevraging bij de onderzochte BOID-en onvolkomenheden zijn geconstateerd. Wat waren dat voor onvolkomenheden?

Tijdens de audit van 2007 en 2008 werd geconstateerd dat in enkele gevallen de rechtsgrondslag waarop de bevragingen was gedaan niet correct in het CIOT-informatiesysteem was geadministreerd. Hierop is actie ondernomen om dit punt te verbeteren.

De leden van de SP-fractie vragen toe te lichten welke BOID-en de voorschriften hebben overtreden, dan wel niet goed of onvolledig hebben nageleefd. Is de minister bereid deze diensten te benoemen? Zo nee, waarom niet?

De auditrapporten van de departementale Auditdienst worden gepubliceerd op de webpagina van de Rijksoverheid. In 2008 en 2009 zijn acht BOID-en, zes telecomaanbieders en het CIOT geaudit. In de rapportages zijn de bevindingen niet uitgesplitst naar de BOID-en en aanbieders. Behalve de jaarlijkse audits heeft de departementale Auditdienst in 2010 en 2011 ook quick scans uitgevoerd waarbij een extra controle is uitgevoerd of de betreffende BOID-en de verbeterplannen hebben uitgevoerd. Het rapport met de bevindingen van de quick scan 2011 is gepubliceerd op de webpagina van de Rijksoverheid en is ook naar uw Kamer gestuurd⁵. In dit rapport is wel specifiek omschreven welke BOID-en zijn onderzocht en aan welke voorschriften al dan niet is voldaan.

Kortheidshalve verwijs ik u naar deze quick scan.

Omissies bij de autorisatieprocedure

De leden van de PvdA-fractie merken ten aanzien van het delegeren van bevoegdheden op dat BOID-en bij de audit en de follow-up niet aan de gestelde eisen hebben voldaan. Welke fouten zijn er gemaakt en hoe is hierop gereageerd door de diensten?

De leden van de ChristenUnie-fractie hebben van onderzoeken van de DAD in 2008 en 2009 begrepen dat de controle op rechtmatigheid van de aanvragen in veel gevallen te wensen over laat. In veel gevallen bevragen medewerkers van BOID-en het CIOT zonder de benodigde formele autorisatie van de minister van Veiligheid en Justitie. Kan de minister verklaren waarom bij een aantal BOID-en bevragingen niet worden gedaan door de geautoriseerde medewerkers?

Een opsporingsambtenaar krijgt toegang tot het CIOT-informatiesysteem indien de beheerder van de opsporingsdienst een ambtenaar hiertoe heeft aangewezen, deze ambtenaar een account is toegekend door het CIOT (onder verantwoordelijkheid van de minister van Veiligheid en Justitie) en een certificaat heeft ontvangen dat is uitgegeven door het CIOT (ook onder verantwoordelijkheid van de minister van Veiligheid en Justitie).

De afgelopen jaren is een aantal omissies geconstateerd rond deze autorisatieverlening. Zo dienen de procedures die vallen onder de verantwoordelijkheid van de beheerder van de opsporingsdienst formeel te worden vastgelegd binnen de betreffende opsporingsdienst. Bij een aantal opsporingsdiensten was de procedure niet geformaliseerd en heeft de leiding van deze diensten dit alsnog gedaan. Ook is gebleken dat de lijst van geautoriseerde ambtenaren bij sommige opsporingsdiensten niet actueel was en niet overeenkwam met de lijst van geautoriseerde ambtenaren die bekend was bij het CIOT.

Een ander aspect is het delegeren van bevoegdheden bij het verlenen van accounts aan de opsporingsambtenaren door de minister van Veiligheid en Justitie. De bevoegdheid voor het verlenen van accounts heeft de minister gemandateerd aan de directeur CIOT. In de praktijk verleende niet de directeur CIOT maar een daartoe aangewezen medewerker van het CIOT de accounts. Deze bevoegdheid was door de directeur CIOT echter niet gemandateerd aan de betreffende medewerker; dit is inmiddels gebeurd met een mandaatbesluit.

Verbeterplannen

De leden van de VVD-fractie vragen welke BOID-en te kennen hebben gegeven aan verbeteringen te werken en om welke verbeteringen het gaat. Waarom heeft een aantal BOID-en gesteld meer tijd nodig te hebben om «in control» te zijn? Wat was de specifieke opgaaf van redenen hiervoor?

Op dit moment zijn alle BOID-en volgens eigen opgave «in control». Bij een aantal BOID-en is deze «in control»-verklaring voorafgegaan door een verbetertraject.

Het opstellen en uitvoeren van een verbeterplan kost tijd. Zo moesten bij een aantal BOID-en de bestaande schriftelijke procedures voor het toekennen of intrekken van autorisaties van medewerkers voor toegang tot het CIOT-informatiesysteem nog formeel worden vastgelegd.

Een verbeterplan kan meebrengen dat taken moeten worden herschikt of medewerkers aanvullende scholing moeten krijgen. In een enkel politiekorps is de eenheid waar de bevragingen plaatsvinden uitgebreid, zodat personeel geworven moest worden. Dit verklaart waarom in diverse gevallen tijd nodig was om het verbeterplan uit te voeren.

Maatregelen naar aanleiding van de bevindingen van het CBP

De leden van de PvdA-fractie merken op dat het Cbp bij drie organisaties onderzoek heeft gedaan naar het naleven van de voorschriften bij de bevraging via het CIOT. Wat was de uitkomst van deze onderzoeken? Welke conclusie baren de minister de meeste zorgen? Hoe hebben de onderzochte diensten gereageerd op de onderzoeken en welke maatregelen zijn er getroffen om te zorgen dat deze diensten (maar ook andere BOID-en) zich houden aan de naleving van de voorschriften?

De leden van de VVD-fractie merken op dat het CBP in 2010 heeft geconstateerd dat strikte naleving van de voorschriften nog steeds niet voldoende is geborgd. Door de minister en betreffende organisaties zijn onmiddellijk acties ondernomen om omissies en gebreken te herstellen of op korte termijn in orde te brengen. Deze leden zien een nadere toelichting op het resultaat van deze acties graag tegemoet.

De leden van de ChristenUnie-fractie vragen of de minister op zeer korte termijn na de publicatie van de rapporten van het CBP over het CIOT, het politiekorps Haaglanden en de Dienst Nationale Recherche aan de Tweede Kamer bekend kan maken welke maatregelen getroffen zullen worden om de BOID-en te laten voldoen aan de gestelde voorschriften?

Het College bescherming persoonsgegevens (CBP) heeft op 21 april 2011 drie rapporten gepubliceerd. Deze rapporten betreffen het CIOT, het politiekorps Haaglanden en de dienst Nationale Recherche van het Korps landelijke politiediensten (KLPD).

Wat betreft het CIOT waren de belangrijkste bevindingen van het CBP dat er onvolkomenheden waren rond het verlenen van autorisaties. Dit is hersteld. Voor nadere toelichting verwijs ik u naar de antwoorden op de vragen van de leden van de PvdA-fractie en ChristenUnie-fractie bij de paragraaf over omissies bij de autorisatieprocedure.

Wat betreft het politiekorps Haaglanden en de dienst Nationale Recherche van het KLPD was de belangrijkste bevinding dat de rechtmatigheid van de bevraging onvoldoende werd gecontroleerd en in sommige gevallen de controle achteraf niet mogelijk was. Daarop zijn de procedures aangepast. Bij politiekorps Haaglanden en de dienst Nationale Recherche van het KLPD trof het CBP bovendien onvolkomenheden aan rond het controleren van de noodzaak van autorisaties van medewerkers of de vaststelling van procedures. Ook dat is aangepast. Tot slot had het CBP opmerkingen op de beveiliging van verbindingen. Voor de getroffen maatregelen ten aanzien van beveiligde verbindingen is een nadere beschrijven opgenomen in de antwoorden op de vragen van de leden van de SP-fractie onder het kopje «Beveiligde verbinding van de fax».

De maatregelen die door mij zijn genomen om ervoor te zorgen dat diensten zich houden aan voorschriften betreffen voornamelijk het intensiveren van controles en het (dreigen met) afsluiten van gebruikers indien blijkt dat voorschriften niet worden nageleefd. Kortheidshalve verwijs ik voor nadere toelichting naar mijn brief van 3 oktober 2011.

Recent heeft het CBP aanvullende vragen gesteld over de maatregelen die zijn getroffen in politiekorps Haaglanden en bij de dienst Nationale Recherche van het KLPD. Afhankelijk van deze informatie zal het CBP besluiten of er aanleiding is om handhavende bevoegdheden in te zetten.

Voor wat betreft de andere BOID-en wil ik verwijzen naar mijn brief van 3 oktober 2011 waarin de uitkomst van de quick scan naar zes gebruikers worden gemeld en de beleidskeuzes die ik heb gemaakt.

Afsluiten – Gevolgen voor opsporingsonderzoeken

De leden van de CDA-fractie hebben kennisgenomen van de voorgenomen maatregel van de minister om BOID-en die in gebreke blijven, tijdelijk af te sluiten. Deze leden vragen of hierdoor de opsporing niet stagneert nu men gebruik moet maken van de voorzieningen van andere BOID-en en niet snel kan reageren via eigen systemen.

De situatie heeft zich tot nu toe niet voorgedaan dat BOID-en moeten worden afgesloten van het CIOT. In de praktijk is gebleken dat een aantal wijzigingen van procedures of andere correcties in zeer korte tijd aangebracht (kunnen) worden. Indien een gebruiker toch afgesloten zou moeten worden, kan de instantie voor bevragingen uitwijken naar andere BOID-en, die de bevragingen dan over kunnen nemen. In dat geval zal de BOID die is afgesloten de procedure moeten volgen van de BOID waar zij naar uitwijken. Dit hoeft niet te leiden tot veel vertraging van de raadpleging van het CIOT-informatiesysteem.

WOB-verzoek

De leden van de PvdA-fractie merken op dat er een verzoek loopt op grond van de Wet openbaar bestuur om de rapporten vrij te geven. Welke rapporten worden hier bedoeld en waarom worden deze rapporten niet automatisch vrijgegeven? Waarom zijn de rapporten niet naar de Kamer gestuurd?

Het WOB-verzoek waar ik in mijn brief van 21 maart 2011 naar verwijs, betreft het verzoek tot openbaarmaking van de (voorlopige) rapporten van het CBP over het onderzoek bij het CIOT, Haaglanden en het Korps Landelijke Politiediensten. In het stadium waarin het verzoek werd gedaan waren deze rapporten nog niet definitief en openbaar. Nu is dat wel het geval. Het CBP stuurt haar rapporten niet naar de Tweede Kamer, maar publiceert deze op de site van het CBP.

Centrale registratie no-hits

De leden van de VVD-fractie herinneren zich nog de vragen van het Lid Hennis-Plasschaert over het Eindrapport Audit CIOT 2009. In antwoord op deze vragen meldde de toenmalige minister van Justitie dat er werd gewerkt aan de realisatie van een adequate centrale registratie van no-hits. Deze leden kunnen uit de brief van de minister niet afleiden of dit inmiddels is gebeurd en willen weten of de realisatie van een dergelijke centrale registratie inmiddels een feit is.

Een «no-hit» is een negatief zoekresultaat: de naam van persoon, een telefoonnummer, e.d. komen niet voor in het klantbestand dat de telecomaanbieders beschikbaar hebben gesteld via het CIOT-informatiesysteem. Wanneer een BOID een «no-hit» heeft op bijvoorbeeld een telefoonnummer dan kan de BOID overwegen om direct bij de telecomaanbieder na te vragen of het telefoonnummer bekend is. Het komt namelijk voor dat een telefoonnummer of andere identificeerbare gegevens van een persoon toch bekend zijn bij de telecomaanbieder terwijl bij raadpleging van het CIOT-informatiesysteem een negatief antwoord is ontvangen. Dit is bijvoorbeeld het geval indien de telecomaanbieder de klantgegevens nog niet heeft verwerkt in zijn bestand (bij een nieuwe abonnee). Centrale registraties van de no-hits heeft tot doel om te achterhalen wat de redenen zijn dat in het CIOT-informatiesysteem een zoekvraag leidt tot een negatief antwoord terwijl de gegevens wel bekend zijn bij de telecomaanbieders.

Een werkgroep van de Commissie van Advies CIOT, bestaande uit vertegenwoordigers van de telecombedrijven, opsporing en het CIOT, heeft in 2011 een functioneel ontwerp vastgesteld voor de inrichting van de centrale registratie van de redenen van deze «no-hits».

Beveiligde verbinding van de fax

De leden van de SP-fractie vragen of de haalbaarheidsstudie van de korpschef van het Korps Landelijke Politiediensten (KLPD) naar de verdere beveiliging van verzoeken om NAW-gegevens en mogelijke centralisatie via de Unit Landelijke Interceptie van het KLPD al is verricht? Zo ja, wat is daar uitgekomen.

De haalbaarheidsstudie is op 30 maart 2011 afgerond. De studie had betrekking op de vervolgvragen na een «no-hit». Zoals hierboven uitgelegd, is het mogelijk dat een naam van een persoon, een telefoonnummer of andere identificeerbare gegevens van een persoon toch bekend zijn bij de telecomaanbieder terwijl bevraging via het CIOT-informatiesysteem tot een negatief zoekresultaat heeft geleid. De BOID kan de telecomaanbieder verzoeken dit na te gaan. Deze verzoeken werden tot voor kort door de BOID-en direct aan de telecomaanbieder gericht. Bij de communicatie met de telecomaanbieder werd gebruik gemaakt van een analoge of digitale faxverbinding. De haalbaarheidsstudie was gericht op verdere beveiliging van de faxverbindingen. De uitkomst van de studie is dat het beveiligingsniveau van dergelijke bevragingen geleidelijk aan, in een natuurlijk groeitempo, opgevoerd zal worden. Hieraan wordt nu uitvoering gegeven.

Momenteel worden de «no hit-bevragingen» van de opsporingsdiensten uitsluitend via de Unit Landelijke Interceptie van het Korps Landelijke Politiediensten uitgevoerd. De opsporingsdiensten sturen hun verzoeken naar de Unit Landelijke Interceptie en maken hierbij gebruik van digitale beveiligde verbindingen. De Unit Landelijke Interceptie maakt voor de communicatie met telecomaanbieders gebruik van digitale faxverbindingen, beveiligde verbindingen of versleutelde email. In de volgende fase zal de Unit Landelijke Interceptie voor de communicatie met de telecomaanbieders het gebruik van beveiligde verbindingen of versleutelde email waar dat mogelijk is uitbreiden.

De leden van de ChristenUnie-fractie merken op dat wanneer er sprake is van een no-hit, de bevraging in dat geval bij het CIOT geen resultaat heeft opgeleverd. In dat geval kan de (B)OID rechtstreeks aan de telecomaanbieder om naw-gegevens vragen. De gegevens worden dan meestal uitgewisseld via de fax, waarbij het gevaar bestaat dat door menselijk handelen persoonlijke gegevens niet bij de juiste persoon of instantie aankomt. Deze leden vragen de minister welke maatregelen getroffen worden om het risico van menselijk falen in de behandeling van zeer gevoelige gegevens, in de hierboven geschetste situatie, te beperken.

Zoals hierboven is beschreven, lopen alle no-hit bevragingen van opsporingsdiensten inmiddels via de Unit Landelijke Interceptie. Het werkproces tussen opsporingsdiensten en de Unit Landelijke Interceptie is nu zodanig geautomatiseerd en beveiligd dat de kans op menselijke fouten bij het afleveren van de bevraging door de opsporingsdienst aan de Unit Landelijke Interceptie is uitgesloten. Het bevragingproces tussen de Unit Landelijke Interceptie en de telecomaanbieders is nog niet volledig geautomatiseerd en er wordt onder meer gebruik gemaakt van digitale faxverbindingen. De procedures hierbij zijn zodanig strikt dat ook hierbij de kans op menselijke fouten bij de adressering zeer klein is. Zo zijn de te gebruiken nummers voorgeprogrammeerd. In de toekomst zal de uitwisseling van deze gegevens tussen de Unit Landelijke Interceptie en de aanbieders waarmee dat mogelijk is verder worden geautomatiseerd.

Gevolgen van niet-naleving

De leden van de PvdA-fractie vragen of op basis van deze steekproefsgewijze audits besloten is om alle BOID-en te controleren om te voorkomen dat andere BOID-en onvolkomenheden ten aanzien van de rechtmatigheid van de bevraging zouden ontwikkelen of om deze onvolkomenheden te signaleren? Zo nee, waarom niet en wordt dit alsnog gedaan? Wat kunnen de gevolgen zijn van deze onvolkomenheden ten aanzien van de rechtmatigheid van de bevraging? Hebben de gevolgen zich voorgedaan bij de al onderzochte BOID-en? Zo ja, hoe vaak?

De leden van de PvdA-fractie vragen tevens of de minister de overtuiging heeft dat BOID-en nu wel (in tegenstelling tot eerder gedane aanbevelingen die niet zijn opgevolgd) zullen voldoen aan alle gestelde eisen ten aanzien van het delegeren van bevoegdheden, formele autorisaties, de rechtsgrondslagen en de rechtmatigheid van bevragingen en de documentatie van de werkwijze en de instructie? Zo ja, waar baseert de minister deze overtuiging op? Zo nee, worden er verdere maatregelen genomen om te zorgen dat BOID-en wel voldoen aan de gestelde eisen? Zo ja, welke?

De leden van de SP-fractie zijn het eens met de aanpak van de minister dat de diensten die niet aan de vereisten kunnen voldoen geen toegang meer krijgen tot het systeem van het CIOT. Hoe zal er op toe worden gezien dat de regels worden nageleefd, ook door de diensten die zeggen aan de regels te zullen voldoen? Hoe intensief is de controle hierop? Is een zestal quickscans voldoende om naleving van de regels te garanderen?

In mijn brief van 21 maart 2011 is aangekondigd dat bij zes BOID-en een quick scan gehouden zou worden waarbij de naleving van de voorschriften, waaronder de rechtmatigheid, gecontroleerd zou worden. Die quick scan is inmiddels uitgevoerd. Met de eerder aangehaalde brief van 3 oktober 2011 heb ik uw Kamer over de uitkomsten van de quick scan geïnformeerd. In het algemeen kan op basis van de audits, de bevindingen van het CBP en de quick scans gesteld worden dat geconstateerde onvolkomenheden geen vermoedens opleveren van onrechtmatige bevragingen, maar dat onvoldoende aangetoond kan worden dat er sprake is van rechtmatige bevragingen of voldoende waarborgen voor veiligheid en vertrouwelijkheid.

In mijn brief van 3 oktober 2011 heb ik uw Kamer tevens geïnformeerd over de maatregelen die ik heb genomen in aanvulling op die van mijn brief van 21 maart 2011. De maatregelen zijn dat de voorschriften worden geactualiseerd, korpsbeheerders worden geattendeerd op de juiste naleving van voorschriften en dat alle BOID-en worden gecontroleerd in 2012 voor zover de BOID-en niet recent bij een onderzoek op dit terrein zijn betrokken. Indien blijkt uit onderzoek dat BOID-en nog steeds de voorschriften onvoldoende naleven, kan dit voor mij aanleiding zijn om deze BOID-en alsnog af te sluiten zolang de procedures niet zijn aangepast.

De leden van de SP-fractie en PvdA-fractie vragen welke gevolgen het niet (correct) naleven van de regels heeft gehad voor opsporingsonderzoeken. Zijn hierdoor opsporings-, inlichtingen- of veiligheidsonderzoeken mislukt?

Indien naar het oordeel van het Openbaar Ministerie sprake is van een onrechtmatige bevraging, kan door de officier van justitie worden besloten om de resultaten daarvan niet te betrekken bij het verdere opsporingsonderzoek. Indien bij een beoordeling door de rechter blijkt dat een bevraging onrechtmatig is geschied, is sprake van een vormverzuim, op grond waarvan met toepassing van artikel 359a Sv diverse sancties kunnen volgen. Zoals ik eerder in deze brief heb genoemd, is tot nu toe niet gebleken dat er sprake is (geweest) van onrechtmatige bevragingen.

Geen uitbreiding CIOT met historische verkeersgegevens en historische naw-gegevens

De leden van de VVD-fractie zien graag toegelicht wat het standpunt van de minister is over een eventuele uitbreiding van het CIOT-informatiesysteem. Zoals al aangegeven door de staatssecretaris van Veiligheid en Justitie is van uitbreiding met bankgegevens geen sprake. Over de mogelijke uitbreiding met Historische Verkeersgegevens (HVG) en Historische Naam-, Adres- en Woonplaatsgegevens (HNAW), alwaar ook de industrie tegen is, bestaat echter nog enige onduidelijkheid. Voornoemde leden vernemen graag hoe de minister dit ziet.

Ik kan u hierover meedelen dat een onderzoek is uitgevoerd in opdracht van mijn ministerie naar de mogelijkheden om bij historische naw-gegevens de methode van het CIOT-informatiesysteem toe te passen. De Stuurgroep Dataretentie Telecommunicatie, bestaande uit vertegenwoordigers van betrokken ministeries en de BOID-en, heeft dit onderzoek begeleid en heeft besloten het CIOT-informatiesysteem vooralsnog niet uit te breiden. Daarbij merk ik op dat uitbreiding van het CIOT-informatiesysteem een regeling bij algemene maatregel van bestuur zou vereisen die aan de Tweede Kamer wordt voorgelegd (artikel 13.2b, vierde lid Telecommunicatiewet).

---

1 Samenstelling:

Leden: Staaij, C.G. van der (SGP), Arib, K. (PvdA), Çörüz, C. (CDA), Roon, R. de (PVV), voorzitter, Brinkman, H. (PVV), Vermeij, R.A. (PvdA), ondervoorzitter, Raak, A.A.G.M. van (SP), Thieme, M.L. (PvdD), Gesthuizen, S.M.J.G. (SP), Dibi, T. (GL), Toorenburg, M.M. van (CDA), Peters, M. (GL), Berndsen, M.A. (D66), Nieuwenhuizen-Wijbenga, C. van (VVD), Schouw, A.G. (D66), Marcouch, A. (PvdA), Steur, G.A. van der (VVD), Recourt, J. (PvdA), Hennis-Plasschaert, J.A. (VVD), Helder, L.M.J.S. (PVV), Bruins Slot, H.G.J. (CDA), Taverne, J. (VVD) en Schouten, C.J. (CU).

Plv. leden: Dijkgraaf, E. (SGP), Bouwmeester, L.T. (PvdA), Bochove, B.J. van (CDA), Dille, W.R. (PVV), Elissen, A. (PVV), Smeets, P.E. (PvdA), Kooiman, C.J.E. (SP), Ouwehand, E. (PvdD), Karabulut, S. (SP), Tongeren, L. van (GL), Smilde, M.C.A. (CDA), Voortman, L.G.J. (GL), Pechtold, A. (D66), Burg, B.I. van der (VVD), Koşer Kaya, F. (D66), Kuiken, A.H. (PvdA), Liefde, B.C. de (VVD), Spekman, J.L. (PvdA), Azmani, M. (VVD), Bontes, L. (PVV), Koopmans, G.P.J. (CDA), Dijkhoff, K.H.D.M. (VVD) en Slob, A. (CU).

2 Tweede Kamer, vergaderjaar 2010–2011, 32 500 VI, nr. 92.

3 Ik zal geen nadere toelichting geven op het gebruik van naw-gegevens door de inlichtingen- en veiligheidsdiensten.

4 Tweede Kamer, vergaderjaar 2011–2012, 29 628, nr. 271.

5 Tweede Kamer, vergaderjaar 2011–2012, 29 628, nr. 271, bijlage.