36 263 Tijdelijke regels inzake specifieke wettelijke voorzieningen voor het uitvoeren van onderzoeken door de Algemene Inlichtingen- en Veiligheidsdienst en de Militaire Inlichtingen- en Veiligheidsdienst naar landen met een offensief cyberprogramma tegen Nederland of Nederlandse belangen alsmede voorzieningen inzake de mogelijkheid tot vaststelling van een nieuwe eindtermijn voor gebruik door de diensten van in het kader van hun taakuitvoering met bijzondere bevoegdheden verworven bulkdatasets en de invoering van een bindende toets ex ante van verleende toestemmingen voor de real time interceptie van verkeers-en locatiegegevens (Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma, bulkdatasets en overige specifieke voorzieningen)

Nr. 50 BRIEF VAN DE MINISTERS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES EN VAN DEFENSIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 1 juli 2026

Inleiding

Hierbij bieden wij u rapport nr. 84 van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) aan over verwerking van bulkdatasets door de AIVD en MIVD. Wij zijn de CTIVD erkentelijk voor het gedegen onderzoek en de waardevolle aanbevelingen. De meeste aanbevelingen nemen wij (geheel of gedeeltelijk) over. Eén aanbeveling, die ziet op het opstellen van een besliskader voor het beoordelen van bulkdatasets in samenhang, nemen wij niet over. In deze beleidsreactie zullen wij de redenen daarvoor nader toelichten. De bevindingen en aanbevelingen die raken aan de herziening van de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017), zullen in dat traject worden betrokken.

In de bijlage bij deze beleidsreactie geven wij voor alle aanbevelingen aan of wij deze overnemen, op welke manier wij dat doen en wat de stand van zaken is van de implementatie.

Algemeen en noodzaak bulkdatasets

Een bulkdataset is een omvangrijke gegevensverzameling waarbij het merendeel van de gegevens betrekking heeft op organisaties en/of personen die geen onderwerp van onderzoek van de diensten zijn en dat ook niet worden. Het rapport gaat expliciet niet over bulkdata die is verkregen met onderzoeksopdracht gerichte interceptie (OOG-interceptie). Het gebruik van bulkdatasets is van essentieel belang voor de taakuitvoering van de diensten. De diensten gebruiken bulkdatasets om inlichtingen te verrijken, om doelwitten te identificeren en om netwerken in kaart te brengen. De AIVD en de MIVD onderstrepen hierbij ten zeerste het belang van een rechtmatige en zorgvuldige verwerking van gegevens in het kader van de (ondersteuning van de) taakuitvoering door de diensten. Een bulkdataset is een omvangrijke gegevensverzameling waarbij het merendeel van de gegevens betrekking heeft op organisaties en/of personen die geen onderwerp van onderzoek van de diensten zijn en dat ook niet worden.

Bulkdatasets zijn bijvoorbeeld essentieel bij het monitoren van Russische dreigingen – waarbij complexe netwerken van spionage en sabotage worden ingezet. In dit soort casussen worden bulkdatasets gebruikt voor de eerste validatie van vermoedelijke betrokkenen. Door diverse gegevens te combineren, kunnen de diensten vaststellen of een persoon gelieerd is aan een statelijke actor of dit juist uitsluiten. Dat geldt in dezelfde mate voor het liëren of uitsluiten van de betrokkenheid van een persoon bij een terroristische groepering. Het uitvoeren hiervan stelt de diensten in staat bijzondere bevoegdheden, zoals een telefoontap, spaarzaam en gerichter in te zetten. Tot slot zijn bulkdatasets van groot belang voor de bescherming van vitale infrastructuur. Dit geldt bijvoorbeeld voor de Noordzee. De diensten gebruiken bulkdatasets om patronen te analyseren om zo de aard en intentie van buitenlandse scheepvaartbewegingen te begrijpen.

Hoofdboodschap CTIVD

De CTIVD erkent dat bulkdatasets van groot belang zijn voor de goede uitvoering van de wettelijke taken van de diensten. Tegelijkertijd is duidelijk dat het gebruik van bulkdatasets een aanzienlijke privacyinbreuk met zich mee kan brengen. Het is daarom noodzakelijk dat er voldoende waarborgen zijn rondom de verwerking van bulkdatasets. De CTIVD constateert dat het huidig wettelijk kader voldoende waarborgen biedt, en wij onderschrijven dit.

Tegelijkertijd stelt de CTIVD vast dat in de uitvoering en (technische) implementatie van die waarborgen nog winst valt te behalen. wij herkennen ons in dit beeld. Wij constateren dat zowel de versnippering van het datalandschap als van het stelsel van waarborgen voor de verwerking van bulkdatasets, mede gelet op de administratieve druk die dit met zich meebrengt, het risico op menselijke fouten vergroot. Voorafgaand aan en tijdens de uitvoering van het onderzoek hebben de diensten zelfstandig verschillende risico’s en kwetsbaarheden geïdentificeerd ten aanzien van (de verwerking van) bulkdatasets. In verschillende gevallen hebben deze risico’s daadwerkelijk geleid tot compliance-incidenten, die voorafgaand aan en tijdens het onderzoek aan de CTIVD zijn gemeld. Naar aanleiding van deze incidenten hebben de diensten direct maatregelen getroffen om dergelijke incidenten te detecteren, mitigeren en in de toekomst te voorkomen, dan wel het risico daarop aanzienlijk te verkleinen. Het betreft hier maatregelen op het gebied van autorisatiebeheer en toegangsmanagement, alsook maatregelen die zien op het vergroten van het bewustzijn bij medewerkers rondom het belang van compliant werken. De eerste belangrijke stappen naar verbetering op het bulkdatasetdossier zijn zodoende al gezet. Tegelijkertijd is duidelijk dat meer structurele maatregelen nodig zijn. In dat kader verwelkomen wij de bevindingen van de CTIVD, die de urgentie van het onderwerp onderstrepen en oplossingsrichtingen aandragen voor de toekomst.

Conclusies en aanbevelingen

Hieronder maken wij een aantal algemene opmerkingen over de opvolging van de aanbevelingen. Indien wij een aanbeveling niet of gedeeltelijk overnemen, wordt dat in deze beleidsreactie ook nader toegelicht. In de bijlage lichten wij per aanbeveling toe of, en zo ja hoe, wij deze overnemen. Voor zover van toepassing wordt ook ingegaan op de stand van de implementatie.

Algemeen

Een groot deel van de bevindingen en aanbevelingen is te herleiden naar verbeterpunten met betrekking tot het technisch beheer van bulkdatasets, het bijbehorend datamanagement en de (interne) controle op wie toegang heeft (gehad) tot welke data. Het verbeteren van het beheer van bulkdatasets staat, zoals de CTIVD vaststelt, hoog op de agenda van de diensten. Met een aantal van de aanbevelingen zijn de diensten al aan de slag gegaan. Zo werken de diensten aan een applicatie voor toestemmingsverzoeken, waarmee de mogelijkheid om gegevens te raadplegen op geautomatiseerde wijze wordt gekoppeld aan de looptijd van het toestemmingsverzoek en de bijbehorende autorisaties.

Daarnaast zullen de AIVD en de MIVD de interne logging van systemen uitbreiden om incidenten met autorisaties in de toekomst zo veel mogelijk te kunnen voorkomen, sneller te kunnen detecteren en beter te kunnen mitigeren. Dit draagt bij aan compliant werken. De benodigde technische verbetermaatregelen vergen aanpassingen, bijvoorbeeld in de IT-systemen, die tijd en capaciteit kosten. De realisatie van deze structurele verbeteringen zal daarom een langdurige en consistente inspanning vergen. De diensten zullen de CTIVD periodiek op de hoogte houden van de ontwikkelingen en vorderingen op dit gebied.

Definitie bulkdatasets

De CTIVD constateert in het rapport dat de definitie van bulkdatasets in de praktijk niet altijd goed toepasbaar is, waardoor het risico ontstaat dat bulkdatasets ten onrechte niet als bulkdataset worden aangemerkt of dat de beoordeling van deze datasets niet consistent is. Gelet daarop beveelt de CTIVD aan om de definitie van bulkdatasets, of de wijze waarop deze moet worden toegepast, in beleid of regelgeving te verduidelijken. Dit om te zorgen dat alle gegevensverzamelingen die het inbreukmakende karakter van een bulkdataset hebben, worden verwerkt volgens de waarborgen die gelden voor bulkdatasets.

De aanbeveling wordt overgenomen door de toepassing van de definitie van bulkdatasets in het beleid tegen het licht te houden. Op dit moment geldt de definitie van bulkdatasets uit artikel 1 onder a van de Tijdelijke regeling verdere verwerking bulkdatasets Wiv 2017 (Tijdelijke regeling). De diensten hebben deze definitie nader uitgewerkt en geconcretiseerd in beleid. De uitgangspunten in het beleid zullen nogmaals tegen het licht worden gehouden en de diensten zullen erop toezien dat hier op een juiste en uniforme manier uitvoering aan wordt gegeven. Wij hebben op dit moment geen voornemen om de definitie in de Tijdelijke regeling te wijzigen. In het kader van de brede herziening van de Wiv 2017 zal de huidige definitie worden heroverwogen. Daarbij dient een balans gevonden te worden tussen het aanscherpen van de definitie en het behouden van de noodzakelijke ruimte en operationele flexibiliteit.

Besliskader beoordeling samenhang bulkdatasets

De CTIVD concludeert in het rapport dat duidelijke beleidsmatige uitgangspunten ontbreken voor de situaties dat bulkdatasets in samenhang moeten worden beoordeeld. De CTIVD stelt dat, hoewel de classificatie per bulkdataset afzonderlijk moet worden gemaakt, het van belang is bulkdatasets in samenhang te bekijken. De opbrengsten van naslag van bulkdatasets kunnen immers uiteindelijk binnen een inlichtingenonderzoek worden gecombineerd. Het inzicht in mogelijke samenhang en het effect van gecombineerd gebruik op de privacyinbreuk kan daarom relevant zijn bij de bepaling van de toegangsregimes, aldus de CTIVD. De CTIVD beveelt daarom aan te zorgen voor een besliskader waarmee bepaald kan worden of bulkdatasets (al dan niet) in samenhang moeten worden beoordeeld, om de privacyinbreuk daarvan (goed) te kunnen beoordelen.

Deze aanbeveling nemen wij niet over, om de volgende redenen. De Tijdelijke regeling schrijft voor dat de diensten voorafgaand aan de verdere verwerking van een bulkdataset moeten beoordelen in welke mate de verdere verwerking een beperking oplevert van het recht op eerbiediging van de persoonlijke levenssfeer van personen wiens gegevens zich in een bulkdataset bevinden. Omdat de aard en omvang van de beperking afhankelijk is van het soort gegevens in een bulkdataset, moet – volgens de Tijdelijke regeling – elke bulkdataset afzonderlijk worden beoordeeld, tenzij meerdere sets feitelijk als één set gezien moeten worden. Het resultaat van deze beoordeling is leidend voor het bepalen welk toegangsregime wordt toegepast op de bulkdataset. Aan deze voorgeschreven werkwijze houden de diensten zich. Om deze reden hebben de diensten eveneens in beleid vastgelegd dat het niet is toegestaan bulkdatasets op te splitsen om hiermee een lager toegangsregime te bewerkstelligen. Het opsplitsen van een bulkdataset is wel toegestaan indien de meer inbreukmakende gegevens worden vernietigd of de losse onderdelen van de set in het hogere toegangsregime terechtkomen. Andersom worden meerdere bulkdatasets die naar hun aard en inhoud als één set moeten worden beschouwd, als één set beoordeeld.

Een werkwijze zoals voorgesteld door de CTIVD zou tot gevolg kunnen hebben dat alle losse bulkdatasets die de diensten hebben, met ieder weer verschillende soorten gegevens, in samenhang moeten worden bezien en worden beoordeeld. Hierdoor zouden ook bulkdatasets die een zeer geringe inbreuk maken op de persoonlijke levenssfeer zeer waarschijnlijk terecht komen in een zwaarder waarborgen- en toegangsregime. De Tijdelijke regeling schrijft deze werkwijze niet voor en de diensten achten dit ook niet wenselijk. Het uitgangspunt voor de voorwaarden waaronder de diensten bulkdatasets bewaren en gebruiken blijft, conform de Tijdelijke regeling, dat deze worden bepaald door de aard van die bulkdataset zelf, en niet door alle andere sets waarmee deze in combinatie kan worden gebracht.

Openbaar toegankelijke bulkdatasets

De Tijdelijke regeling schrijft voor dat de diensten, bij het bepalen van de privacyinbreuk die wordt gemaakt door een bulkdataset, meewegen in hoeverre de bulkdataset voor eenieder toegankelijk is. Volgens de CTIVD is de invulling en weging van dit openbaarheidscriterium echter discutabel. In dat verband wijst de CTIVD erop dat de diensten bulkdatasets soms aanmerken als openbaar toegankelijk als zij niet kunnen vaststellen of dit feitelijk klopt, de gegevens afkomstig zijn uit een datalek of door commerciële partijen tegen betaling worden aangeboden (ongeacht het gevraagde bedrag). Tegen deze achtergrond doet de CTIVD de aanbeveling om bulkdatasets als niet openbaar toegankelijk aan te merken wanneer niet feitelijk kan worden vastgesteld of de verworven gegevens openbaar toegankelijk zijn (geweest), en in regelgeving of beleid aan te scherpen hoe dit criterium moet worden betrokken bij de beoordeling van de privacyinbreuk van bulkdatasets.

Wij nemen deze aanbeveling grotendeels over. Voortaan merken de diensten bulkdatasets aan als niet openbaar toegankelijk indien onduidelijk is of deze openbaar toegankelijk zijn (geweest). Ook hebben de diensten tijdens de onderzoeksperiode de regels rondom het openbaarheidscriterium in het beleid verduidelijkt en aangescherpt. Zo is inmiddels vastgelegd dat de hoogte van het bedrag dat wordt gevraagd voor de aanschaf van een bulkdataset aanleiding kan zijn om de bulkdataset niet langer als openbaar toegankelijk te beschouwen. De praktijk wijst verder uit dat, hoewel een openbaar karakter de diensten de mogelijkheid biedt een bulkdataset in een lager toegangsregime te plaatsen, de aard van de gegevens en de mate van privacyinbreuk die de verwerking van de gegevens met zich meebrengt (en niet het openbaarheidscriterium) doorslaggevend zijn voor het vaststellen van het toegangsregime. In de herziening van de Wiv 2017 is nadrukkelijk aandacht voor de invulling van het openbaarheidscriterium.

De constatering van de CTIVD dat de invulling en weging van het openbaarheidscriterium discutabel is, herkennen wij nadrukkelijk niet. Bij de invulling van dit criterium hebben wij, in navolging van de CTIVD in rapport nr. 74 (2022), aansluiting gezocht bij de uitleg die aan openbronnenonderzoek wordt gegeven in de Memorie van Toelichting bij het Wetboek van Strafvordering. Op basis van de uitleg die wordt gegeven aan openbronnenonderzoek in CTIVD rapport nr. 74 en de Memorie van Toelichting bij het Wetboek van Strafvordering, is niet uitgesloten dat bulkdatasets met daarin gegevens afkomstig uit een datalek en bulkdatasets die tegen betaling beschikbaar worden gesteld, aangemerkt kunnen worden als «openbaar toegankelijk».¹

Logging

De CTIVD concludeert in het rapport dat de technische wijze waarop wordt bijgehouden welke medewerkers toegang hebben gehad tot welke gegevens (gegevenslogging) als maatregel tegen onbevoegde gegevensverwerking ontoereikend is. De CTIVD beveelt daarom aan de logging van de toegang tot bulkdatasets te verbeteren en wijzigingen in autorisaties beter inzichtelijk te maken.

Deze aanbeveling nemen wij over. De diensten zullen de interne logging van systemen uitbreiden om compliant werken te monitoren en incidenten in de toekomst zo veel mogelijk te kunnen voorkomen, sneller te kunnen detecteren en beter te kunnen mitigeren. Daarbij moet evenwel worden bezien op welk detailniveau deze logging kan plaatsvinden, hetgeen onder meer afhangt van de technische haalbaarheid van de oplossingsrichtingen. Bovendien zal het doorvoeren van de benodigde verbetermaatregelen aanpassingen vergen, bijvoorbeeld in de IT-systemen, die de nodige tijd en capaciteit zullen kosten. De diensten zullen de CTIVD periodiek op de hoogte houden over de voortgang.

Datalineage

De CTIVD constateert verder dat er verbeteringen mogelijk zijn voor het in kaart brengen van de opbrengst van het gebruik van bulkdatasets in het inlichtingenproces door de AIVD en MIVD. De CTIVD beveelt daarom aan om te onderzoeken of er state-of-the-art mogelijkheden zijn voor de toepassing van (geautomatiseerde) datalineage in het gebruik van bulkdatasets. Daarmee bedoelt de CTIVD dat (via een geautomatiseerd systeem) inzichtelijk wordt gemaakt wat de volledige levenscyclus van gegevens binnen een organisatie is. Op die manier wordt inzichtelijk wat de herkomst van gegevens, de verwerking en de uiteindelijke bestemming is. Daarmee kan je beter de opbrengsten in kaart brengen.

Deze aanbeveling van de CTIVD nemen wij over met een aantal kanttekeningen. De diensten zullen onderzoeken welke mogelijkheden er zijn om de (geautomatiseerde) datalineage te verbeteren middels state-of-the-art oplossingen. De focus van het onderzoek zal uitgaan naar de mogelijkheden om over de gehele keten een volledig beeld te krijgen van de bijdrage die een individueel gegeven levert aan het inlichtingenproces. De omvang van de scope van het onderzoek en de huidige stand van de technische systemen en werkprocessen maken dat tot een complex onderzoek, waarbij rekening gehouden zal moeten worden met aspecten als dataopslagcapaciteit, datacentercapaciteit en veiligheidseisen. Afhankelijk van de uitkomsten van het onderzoek zal worden bekeken of en welke verbeteringen kunnen worden doorgevoerd in de huidige datalineage en werkprocessen. Daarbij moet evenwel oog worden gehouden voor de balans tussen de opslagcapaciteit en de toegevoegde waarde van het te verkrijgen inzicht in het gebruik van specifieke gegevens.

Ter ondersteuning van de taakuitvoering

De CTIVD constateert in het rapport dat bepaalde afdelingen van de diensten gebruikmaken van omvangrijke datasets die worden uitgesloten van de regels en waarborgen van bulkdatasets. Het betreft gevallen waarbij de datasets – met voornamelijk technische gegevens en slechts in zeer geringe mate persoonsgegevens – enkel ter ondersteuning van de taakuitvoering worden gebruikt. Deze sets worden dus niet ter beschikking gesteld van inlichtingenteams. Wanneer deze datasets rechtstreeks voor inlichtingenonderzoeken ter beschikking worden gesteld, wordt het bulkdatasetregime alsnog van toepassing verklaard, met de regels en waarborgen die daarbij gelden. De CTIVD constateert dat er geen wettelijke grondslag bestaat om de verwerking van bulkdatasets ter ondersteuning van de taakuitvoering anders te behandelen dan de reguliere verwerking, en beveelt aan te zorgen voor rechtmatige verdere verwerking van deze bulkdatasets.

De diensten hebben – gelet op het bijzondere karakter van (de verwerking van) deze bulkdatasets – sinds lange tijd beleid ten aanzien van de verwerking van gegevens die noodzakelijk zijn ter ondersteuning van de taakuitvoering. Hierin zijn nadere regels gesteld aan en waarborgen opgenomen voor het gebruik van verrijkingsdata, testdata, data voor technisch/cryptologisch onderzoek en gegevens die noodzakelijk zijn voor de uitvoering van (bijzondere) bevoegdheden. Zo mag dit type gegevens niet in bulk beschikbaar worden gesteld aan het inlichtingenproces en mogen deze gegevens enkel worden verwerkt indien het om een geringe privacyinbreuk gaat. Alleen in deze gevallen kunnen de datasets buiten het bulkdatasetregime worden geplaatst.

Wij volgen evenwel de constatering van de CTIVD dat een wettelijke grondslag voor dit beleid ontbreekt, en onderstrepen het belang van een rechtmatige en zorgvuldige verwerking van gegevens in het kader van de (ondersteuning van de) taakuitvoering door de diensten. Bij de herziening van de Wiv 2017 zullen wij hier uitdrukkelijk aandacht voor hebben. De diensten gaan graag op korte termijn met de CTIVD in gesprek over de huidige werkwijze en de mogelijkheden om de periode tot aan de nieuwe Wiv 202X te overbruggen.

Tot slot

Bulkdatasets stellen de diensten in staat om bredere patronen en netwerken te onderkennen en daardoor nieuwe dreigingen tijdig te voorspellen. Daarmee is het gebruik van deze sets noodzakelijk voor het inlichtingenwerk en daarmee van groot belang voor de veiligheid van de Nederlandse samenleving.

Tegelijkertijd dient de verwerking van bulkdatasets met voldoende waarborgen omkleed te zijn en dienen deze waarborgen zowel technisch als procedureel adequaat te zijn ingeregeld. De diensten zetten de komende tijd het implementeren van de reeds ingezette verbetermaatregelen voort. Over de precieze invulling en voortgang daarvan blijven de diensten in gesprek met de CTIVD.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, P.E. Heerma

De Minister van Defensie, D. Yeşilgöz-Zegerius

BIJLAGE:

Aanbevelingen uit CTIVD rapport nr. 84

1. Zorg voor nadere maatregelen die voorkomen dat datasets ten onrechte niet als bulkdatasets in beeld komen, bijvoorbeeld doordat deze niet worden aangemeld.

• Deze aanbeveling wordt overgenomen.

• In de opvolging van deze aanbeveling is grotendeels al voorzien. De diensten hebben beleid opgesteld waarin de centrale regie en coördinatie rondom het proces van verwerven en verwerken van bulkdatasets is geregeld.

• Daarnaast investeren de diensten in het verzorgen van opleidingen en trainingen op het gebied van bulkdatasets. Op die manier weten de medewerkers wanneer sprake is van een bulkdataset en wordt het juiste proces gevolgd. De juridische afdelingen van de diensten adviseren de medewerkers tijdens dit proces.

• Tot slot zal de intake en ontsluiting van datasets verder worden gestroomlijnd, wat ook bijdraagt aan tijdige herkenning van bulkdata.

2. Verduidelijk de definitie van bulkdatasets, of de wijze waarop deze moet worden toegepast, in beleid of regelgeving om ervoor te zorgen dat alle gegevensverzamelingen die het inbreukmakende karakter van een bulkdataset hebben, volgens de regels voor bulkdatasets worden verwerkt en in passende waarborgen wordt voorzien.

• De aanbeveling wordt overgenomen door de toepassing van de definitie van bulkdatasets in het beleid tegen het licht te houden.

• De definitie van bulkdatasets uit artikel 1 onder a van de Tijdelijke regeling geldt op dit moment. De diensten hebben de definitie nader uitgewerkt en geconcretiseerd in beleid. Er is geen voornemen om de definitie uit de Tijdelijke regeling aan te passen.

• De diensten zullen wel de uitgangspunten uit het beleid nogmaals tegen het licht houden en erop blijven toezien dat hieraan op een juiste en uniforme manier uitvoering wordt gegeven. In het kader van de brede herziening van de Wiv 2017 zal de huidige definitie worden heroverwogen. Daarbij dient echter wel een balans te worden gevonden tussen het uitwerken van de definitie van bulkdatasets en het behouden van de noodzakelijke ruimte en operationele flexibiliteit.

3. Werk verder aan de reeds ingezette dataconvergentie en de versterking van de centrale regie die wordt gevoerd op de verdere verwerking van bulkdatasets.

• Deze aanbeveling wordt overgenomen.

• Zoals beschreven in het rapport zijn de diensten reeds begonnen met het verbeteren van het versnipperde datalandschap en het voeren van centrale regie op de verdere verwerking van bulkdatasets.

• Zo is er gewerkt aan dataconvergentie en zijn er diverse bulkdatasets verplaatst naar ICT-systemen die beter zijn ingericht om te kunnen voldoen aan de specifieke regels voor bulkdatasets. Daarnaast wordt er meer centrale regie gevoerd rondom de processen die zien op de verwerking van bulkdatasets en zijn er diverse beleidsstukken opgesteld die deze processen vastleggen.

• De ingezette dataconvergentie en aanpassingen in ICT-systemen zijn complexe maatregelen die tijd en capaciteit kosten en ook niet in alle gevallen uitvoerbaar zijn. Daarbij is het streven dat de processen centraal worden ingericht als het kan, maar decentraal als het moet, gelet op bijvoorbeeld de technische of operationele complexiteit van de verwerking van bepaalde bulkdatasets. Ongeacht de centrale of decentrale inrichting van de processen zullen de geldende waarborgen worden toegepast.

• De ingezette verbetermaatregelen zullen de komende tijd worden voorgezet.

4. Zorg voor een besliskader om te bepalen of de verdere verwerking van meerdere bulkdatasets (al dan niet) in samenhang moet worden gewogen om de privacyinbreuk daarvan (goed) te kunnen beoordelen.

• Deze aanbeveling wordt niet overgenomen.

• De Tijdelijke regeling schrijft voor dat de diensten voorafgaand aan de verdere verwerking van een bulkdataset moeten beoordelen in welke mate de verdere verwerking een beperking oplevert van het recht op eerbiediging van de persoonlijke levenssfeer van personen wiens gegevens zich in een bulkdataset bevinden. Omdat de aard en omvang van de beperking afhankelijk is van het soort gegevens in een bulkdataset, moet – volgens de Tijdelijke regeling – elke bulkdataset afzonderlijk worden beoordeeld, tenzij meerdere sets feitelijk als één set gezien moeten worden. Het resultaat van deze beoordeling is leidend voor het bepalen welk toegangsregime wordt toegepast op de bulkdataset. Aan deze voorgeschreven werkwijze houden de diensten zich.

• De diensten hebben in beleid vastgelegd dat het niet is toegestaan bulkdatasets op te splitsen om hiermee een lager waarborgstelsel te bewerkstelligen. Het opsplitsen van een bulkdataset is wel toegestaan indien de meer inbreukmakende gegevens worden vernietigd of de losse onderdelen van de set in het hogere toegangsregime terechtkomen. Andersom worden meerdere bulkdatasets die naar hun aard en inhoud als één set moeten worden beschouwd, als één set beoordeeld.

• Een werkwijze zoals voorgesteld door de CTIVD zou tot gevolg kunnen hebben dat alle losse bulkdatasets die de diensten hebben, met ieder weer verschillende soorten gegevens, in samenhang moeten worden bezien en worden beoordeeld. Hierdoor zouden ook bulkdatasets die een zeer geringe inbreuk maken op de persoonlijke levenssfeer zeer waarschijnlijk terecht komen in een zwaarder waarborgen- en toegangsregime. De Tijdelijke regeling schrijft deze werkwijze niet voor en de diensten achten dit ook niet wenselijk. Het uitgangspunt voor de voorwaarden waaronder de diensten bulkdatasets bewaren en gebruiken blijft, conform de Tijdelijke regeling, dat deze worden bepaald door de aard van die bulkdataset zelf, en niet door alle andere sets waarmee deze in combinatie kan worden gebracht.

5. Merk gegevens aan als niet openbaar toegankelijk wanneer niet feitelijk kan worden vastgesteld of de verworven gegevens openbaar toegankelijk zijn (geweest). Scherp in regelgeving of beleid aan hoe dit criterium moet worden betrokken bij de beoordeling van de privacyinbreuk van bulkdatasets. Houd hierbij rekening met de omstandigheid dat gegevens uit een datalek openbaar toegankelijk kunnen zijn, maar doorgaans niet door de betrokkenen zelf openbaar zijn gemaakt. De openbaarheid van gegevens is niet altijd bepalend voor de aard van de gegevens noch voor de mate van privacyinbreuk die de verwerking van deze gegevens met zich meebrengt.

• Deze aanbeveling wordt grotendeels overgenomen.

• Voortaan merken de diensten bulkdatasets aan als niet openbaar toegankelijk indien onduidelijk is of deze openbaar toegankelijk zijn (geweest). Ook hebben de diensten tijdens de onderzoeksperiode de regels rondom het openbaarheidscriterium in het beleid verduidelijkt en aangescherpt. Zo is inmiddels vastgelegd dat de hoogte van het gevraagde bedrag aanleiding kan zijn om de bulkdataset niet langer als openbaar toegankelijk te beschouwen. De praktijk wijst verder uit dat, hoewel een openbaar karakter de diensten de mogelijkheid biedt om een bulkdataset in een lager toegangsregime te plaatsen, de aard van de gegevens en de mate van privacyinbreuk die de verwerking van de gegevens met zich meebrengt (en niet het openbaarheidscriterium) doorslaggevend zijn voor het vaststellen van het toegangsregime.

• In de herziening van de Wiv 2017 is nadrukkelijk aandacht voor de invulling van het openbaarheidscriterium.

• Wij herkennen ons niet in de constatering van de CTIVD dat de invulling en weging van het openbaarheidscriterium discutabel is. Op basis van de uitleg die wordt gegeven aan openbronnenonderzoek in CTIVD-rapport nr. 74 en de Memorie van Toelichting bij het Wetboek van Strafvordering, valt niet uit te sluiten dat bulkdatasets met daarin gegevens afkomstig uit een datalek en bulkdatasets die tegen betaling beschikbaar worden gesteld, aangemerkt kunnen worden als «openbaar toegankelijk».

• In het toetsingskader als uiteengezet in het CTIVD-rapport nr. 74 (2022) is toegelicht dat in de Memorie van Toelichting bij de Wiv 2017 (hierna MvT) een voor eenieder toegankelijke informatiebron ex. art. 25 Wiv 2017 wordt omschreven als «alle bronnen (traditionele media, internet e.d.) die zonder meer kunnen worden geraadpleegd en waarvoor geen drempels bestaan». Vervolgens stelt de CTIVD: «De wetgever legt in de wetsgeschiedenis echter niet uit wat als een «drempel» moet worden gezien. (...) Voor de nadere inkadering van het begrip «voor eenieder toegankelijke informatiebron» zoekt de CTIVD aansluiting bij het Wetboek van Strafvordering, waarin openbronnenonderzoek door de politie wordt gereguleerd.»

• Daaropvolgend wordt in dit rapport gesteld dat de strafbaarstelling in Nederland voor het beschikbaar stellen van niet-openbare gegevens en heling van gegevens per 1 maart 2019, indicatief is voor hoe moet worden omgegaan met het overnemen van gegevens uit gelekte datasets.²

• Recentelijk is in de Eerste Kamer een wetsvoorstel tot vaststelling van het nieuwe Wetboek van Strafvordering aangenomen. In de MvT is het volgende opgenomen over het al dan niet kunnen aanmerken van een bron als zijnde publiek toegankelijk: «bronnen die financiële drempels kennen voor de toegang maar niet anderszins aan toegangscontrole onderworpen zijn, zoals toegang tot LexisNexis, de Kamer van Koophandel of integrale bestanden die op de markt tegen betaling beschikbaar zijn, een publiek toegankelijke bron zijn, ook als de financiële drempel dusdanig is dat niet iedereen het zich zou kunnen veroorloven.»³

6. De wijze waarop toegangsmanagement voor bulkdatasets met een (strikt) beperkt toegangsregime technisch en procedureel is geïmplementeerd moet worden verbeterd op een manier die het risico op onrechtmatige gegevensverwerking mitigeert.

• Deze aanbeveling wordt overgenomen.

• Gedurende het onderzoek van de CTIVD zijn de diensten al begonnen met het treffen van verbetermaatregelen ten aanzien van het technisch en procedureel implementeren van het toegangsmanagement voor bulkdatasets met een (strikt) beperkt toegangsregime. Zo werken de diensten aan een applicatie voor toestemmingsverzoeken, waarmee de mogelijkheid om gegevens te raadplegen op geautomatiseerde wijze wordt gekoppeld aan de looptijd van het toestemmingsverzoek. Daarnaast verbeteren de diensten hun Identity- en Access Management (IAM) zodat autorisaties voor toegang tot bulkdatasets nauwkeuriger kunnen worden beheerd.

• Dergelijke technische verbetermaatregelen vergen aanpassingen, bijvoorbeeld in de IT-systemen, die tijd en capaciteit kosten. De realisatie van deze structurele verbeteringen zal daarom een langdurige en consistente inspanning vergen. De diensten zullen de CTIVD periodiek op de hoogte houden van de ontwikkelingen en vorderingen op dit gebied.

7. De logging van de toegang tot bulkdatasets moet worden verbeterd. Daarnaast moeten wijzigingen in autorisaties beter inzichtelijk worden gemaakt. Achteraf moet beter kunnen worden vastgesteld wie al dan niet terecht toegang heeft gehad tot een bulkdataset en daarvan gebruik heeft gemaakt.

• Deze aanbeveling wordt overgenomen, met de volgende kanttekening.

• De diensten zullen de interne logging van systemen uitbreiden om incidenten in de toekomst zo veel mogelijk te kunnen voorkomen, sneller te kunnen detecteren en beter te kunnen mitigeren. Dit bevordert compliant werken en de monitoring ervan. Daarbij moet evenwel worden bezien op welk detailniveau deze logging zal kunnen plaatsvinden, hetgeen onder meer afhangt van de technische haalbaarheid van de oplossingsrichtingen.

• Het doorvoeren van de benodigde verbetermaatregelen vergt aanpassingen, bijvoorbeeld in de IT-systemen, die de nodige tijd en capaciteit zullen kosten. De realisatie van deze structurele verbeteringen zal daarom een langdurige en consistente inspanning vergen. De diensten zullen de CTIVD periodiek op de hoogte houden over de voortgang.

8. Onderzoek de state-of-the-art mogelijkheden voor de toepassing van (geautomatiseerde) datalineage. Voer op basis hiervan verbeteringen door in de huidige wijze van datalineage.

• Deze aanbeveling nemen wij over met een aantal kanttekeningen.

• De diensten zullen onderzoeken welke mogelijkheden er zijn om de (geautomatiseerde) datalineage te verbeteren middels state-of-the-art oplossingen. Op basis van dat onderzoek kunnen dan verbeteringen worden doorgevoerd in de huidige werkwijze.

• Focus van het onderzoek zal uitgaan naar de mogelijkheden om over de gehele keten een volledig beeld te krijgen van de bijdrage die een individueel gegeven levert aan het inlichtingenproces. De omvang van de scope van het onderzoek en de huidige stand van de technische systemen en werkprocessen maken dat tot een complex onderzoek, waarbij rekening gehouden zal moeten worden met aspecten als dataopslagcapaciteit, datacentercapaciteit, budget en veiligheidseisen.

• Afhankelijk van de uitkomsten van het onderzoek zal worden bekeken of en welke verbeteringen kunnen worden doorgevoerd in de huidige datalineage en werkprocessen, en wat er nodig is voor implementatie van doeltreffende en doelmatige oplossingen in de bulkketen. Daarbij moet evenwel oog worden gehouden voor de balans tussen de opslagcapaciteit en de toegevoegde waarde van het te verkrijgen inzicht in het gebruik van specifieke gegevens.

9. Zorg ervoor dat gegevens uit bulkdatasets ter ondersteuning van de taakuitvoering ook rechtmatig verder worden verwerkt. Overweeg om bij de herziening van de Wiv 2017, een wettelijke grondslag te creëren indien het noodzakelijk blijkt om ter ondersteuning van de taakuitvoering bulkdatasets te verwerken. Specifieer nader welke verwerkingsdoeleinden kunnen worden aangemerkt als ter ondersteuning van de taakuitvoering. Het gebruiken van gegevens bij de inzet van bevoegdheden zou ook gewoon als taakuitvoering gezien kunnen worden. Leg naast het creëren van een grondslag wettelijk vast welke eisen gelden om te voorzien in passende waarborgen die recht doen aan de privacyinbreuk. Functiescheiding zoals in onderhavige gevallen is ingericht, kan hiervan een onderdeel zijn.

• Deze aanbeveling wordt overgenomen.

• Wij onderstrepen ten zeerste het belang van een rechtmatige en zorgvuldige verwerking van gegevens in het kader van de (ondersteuning van de) taakuitvoering door de diensten.

• Bij de herziening van de Wiv 2017 hebben wij aandacht voor gegevens ter ondersteuning van de taakuitvoering. Specifiek wordt gekeken naar de voorwaarden waarop en doeleinden waarvoor dergelijke gegevens mogen worden verwerkt en welke waarborgen (zoals bewaartermijnen en functiescheiding) daarbij passen.

• De diensten gaan graag op korte termijn met de CTIVD in gesprek over de rechtmatigheid van de huidige werkwijze en de mogelijkheden om de periode tot aan de nieuwe Wiv 202X te overbruggen.

10. Onderzoek welke A-bulkdatasets ten onrechte (nog) niet zijn onderworpen aan een periodieke beoordeling van de noodzaak tot verwijdering. Zorg ervoor dat herbeoordeling alsnog plaatsvindt.

11. Tref nadere maatregelen om ervoor te zorgen dat de periodieke beoordeling van de noodzaak tot verwijdering van A-bulkdatasets tijdig plaatsvindt.

• Deze aanbevelingen worden overgenomen.

• De diensten hebben voorafgaand aan en tijdens het onderzoek van de CTIVD een aantal bulkdatasets aangetroffen waarbij de herbeoordeling nog niet had plaatsgevonden. Naar aanleiding van deze compliance incidenten hebben de diensten direct maatregelen getroffen om dergelijke incidenten te detecteren, mitigeren en in de toekomst te voorkomen, dan wel het risico daarop aanzienlijk te verkleinen. Zo zijn onder meer alle periodieke beoordelingen gedaan en zijn er maatregelen getroffen om te voorkomen dat deze te laat plaatsvinden.

• Zo wordt centraal geregistreerd en gestuurd op wanneer een bepaalde periodieke beoordeling dienten plaats te vinden en is er ingezet op het vergroten van het bewustzijn van medewerkers rondom het belang van compliant werken.

12. Overweeg bij de herziening van de Wiv 2017 om de regels voor de verdere verwerking van bulkdatasets, waaronder de regels voor bewaartermijnen, niet langer te baseren op de wijze van verwerving, maar op de inbreuk op grondrechten die de verdere verwerking van de bulkdataset door de diensten maakt. Om deze inbreuk te bepalen is een inhoudelijke beoordeling van de gegevens noodzakelijk.

• Er heeft op dit moment nog geen definitieve besluitvorming plaatsgevonden over het nieuwe wetsvoorstel. De aanbeveling betrekken we bij de inrichting van het nieuwe stelsel in de herziening van de Wiv 2017.

13. Pas de bewaartermijn voor bulkdatasets in het technisch voortraject aan.

• Deze aanbeveling wordt overgenomen, met de volgende kanttekening.

• De diensten zullen in het beleid aanscherpen dat de bewaartermijn voor bulkdatasets in het technisch voortraject wordt aangepast zodat er niet langer dan nodig inbreuk op de privacy wordt gemaakt.

• De diensten zullen de termijnen hiervoor in het beleid aanscherpen en strenger beoordelen of gegevens in het technisch voortraject bewaard moeten worden of dat deze eerder vernietigd kunnen worden.

• De diensten hanteren daarbij het principe dat het mogelijk moet kunnen zijn om data later aan te vullen, te herstellen of extra te kunnen ontsluiten, indien zij aanvullende informatie hebben gekregen over de data. Het kan namelijk voorkomen dat de diensten nadere informatie ontvangen, bijvoorbeeld vanuit een partnerdienst, waarmee de data kan worden geduid of gekoppeld, waardoor deze alsnog relevant wordt voor het inlichtingenproces. Het is dan van belang dat de diensten – voor een korte periode – over alle gegevens kunnen beschikken om deze nadere duiding of koppeling te kunnen verwerken.

• Bij dit proces passen de diensten altijd aanvullende waarborgen toe. Daarnaast zijn deze gegevens door middel van een functiescheiding afgescheiden van het inlichtingenproces. Bovendien mogen deze gegevens niet zonder toestemming van de afdeling juridische zaken en een nadere inhoudelijke beoordeling worden toegevoegd aan de bulkdataset die wel beschikbaar is voor het inlichtingenproces.

---

1 Zie voor een nadere onderbouwing punt 5 van de bijlage.

2 CTIVD-rapport nr. 74 naar automated OSINT, 2022, p. 22.

3 Kamerstukken II 2022–23, nr. 36 327, nr. 3, p. 575