NU+ | Kamer stemt over cyberwet: ‘Geen interesse in Netflix-gedrag buurman’

Kunnen de inlichtingendiensten straks jouw WhatsApp-berichten opslaan? En zien welke websites je bezoekt? Dit soort gegevens lopen via kabels die de diensten straks veel makkelijker kunnen aftappen. Volgens de huidige wet mag dat verzamelen van data alleen “zo gericht mogelijk”.

De Wet op de inlichtingen- en veiligheidsdiensten (Wiv) is er sinds 2018. Diensten moeten volgens die wet vooraf om toestemming vragen bij een toezichtscommissie (TIB) als ze informatie via een kabel willen onderscheppen.

Maar sindsdien klagen de diensten. Het toezicht is veel te streng, vinden ze. Daardoor zou Nederland zich minder goed kunnen wapenen tegen cyberaanvallen van bijvoorbeeld China, Noord-Korea, Rusland en Iran.

Vier jaar nadat de wet was ingegaan, had er nog steeds geen onderschepping op de kabels plaatsgevonden. “Dat is nog niet gebeurd omdat de toezichthouder een aanvraag van de MIVD of AIVD steeds afwijst”, zei toenmalig minister van Defensie Henk Kamp begin 2022 bij zijn aftreden tegen NRC.

Demissionair minister Hugo de Jonge (Binnenlandse Zaken) zei deze week ook dat de totale potentie van de wet niet genoeg wordt benut.

Uit het gesprek in de Tweede Kamer afgelopen week bleek dat de meeste partijen overwegend positief tegenover het wetsvoorstel staan. De SP en FVD steunen de wet niet. Zij vrezen dat het risico te groot is dat de privacy van burgers en bijvoorbeeld journalisten en advocaten wordt geschonden.

Ook Bert Hubert is kritisch. Hij werkte voor de AIVD en werd later toezichthouder bij de TIB. Tot hij daar in 2022 vertrok omdat hij zich niet in de plannen voor verruiming in de wet kon vinden. “De diensten mogen grote hoeveelheden materiaal bewaren en daar met algoritmes in gaan zoeken”, zegt hij. “Dan voel ik me wel afgeluisterd, ja.”

Maar er blijft streng toezicht, benadrukt Bart Jacobs, hoogleraar Security aan de Radboud Universiteit. “Diensten weten vooraf niet precies welk verkeer over welke kabels gaat”, zegt hij. “Daarom mogen ze straks in de verkennende fase meer informatie binnenhalen. Maar ze mogen niet alles gebruiken voor het inlichtingenproces.”

Diensten moeten uitleggen waarom ze data van een kabel willen onderscheppen. “Om Russen in de gaten te houden, bijvoorbeeld”, zegt Jacobs. “Maar de toezichthouder zal dat wel toetsen. En als blijkt dat de diensten daarvoor de appjes van Nederlanders willen doorzoeken, dan zal dat niet worden toegestaan.”

Het is ook niet zo dat er vooraf helemaal geen toetsing meer is. De TIB blijft vooraf toezicht houden, maar krijgt nu meer richtsnoeren voor de wettelijke normen.

“Dat is wat er in 2017 bij het opstellen van de Wiv is misgegaan”, zegt Rowin Jansen, promovendus en docent privacyrecht aan de Radboud Universiteit. “Een aantal normen is nooit door de wetgever uitgelegd, waardoor er conflicten zijn ontstaan tussen de diensten en de toezichthouders.”

Volgens Jansen komt er nu juist meer toezicht bij. “Alles wat de TIB verliest, wint de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD). In die zin is er een compensatie van het toezicht. Dit is een ingrijpende verandering, maar wel ten goede.”

Qua verdeling verandert er niets. De TIB controleert aan de voorkant, voor controle tijdens en achteraf is er de CTIVD.

Voor dat werk krijgt toezichthouder CTIVD meer mankracht. Maar of dat genoeg is valt lastig te zeggen, vindt ook Jacobs.

“De CTIVD is heel machtig en kan werkzaamheden bindend stilleggen”, zegt hij. Maar hoe dit in de praktijk werkt, is nog onduidelijk. Het hoeft ook niet nu al dichtgetimmerd te worden, zegt Jacobs. “Laten we die mensen ook de ruimte geven om hun werk te doen.”

Overigens komt er bindend toezicht van de CTIVD op specifieke artikelen. Het bindend toezicht gaat over scannen naar hacks, technische risico’s op hacken, het bijschrijven van tappen (het gaat dan om het zogeheten bijschrijven van servers als aanvallers verhuizen naar een andere) en toezicht op geautomatiseerde data-analyse of in bulk afgetapte data.

Hubert zegt dat het meeste toezicht niet bindend is. Daarnaast noemt hij het belangrijk om nu al te bepalen hoe de CTIVD moet gaan meekijken met de werkzaamheden van de diensten. “De toezichthouder heeft op dit moment niet voldoende veilige kantoorruimte en het risico is dat ze de groeiende hoeveelheid onderzoekers niet kunnen huisvesten.”

De onderschepte informatie wordt op beveiligde servers van de diensten bewaard. “We gaan ervan uit dat het daar veilig ligt”, zegt Hubert. “En dat de AIVD zelf niet gehackt wordt.”

Maar het kan overal fout gaan, zegt hij. “Ruim een jaar geleden stal een medewerker 102 computers van de AIVD. Daar stonden geen staatsgeheimen op, maar het geeft wel aan: het kan misgaan. Daarnaast weten we niet wat de toekomstige wetten gaan inhouden. Misschien mogen dan ineens wel meer data worden opgeslagen. Het is gewoon een fijner idee als niet nodeloos veel data worden bewaard.”