Achtergrond - AIVD en MIVD lijken hun zin weer te krijgen: meer bevoegdheden, minder privacy?

In dit artikel:

Een nieuw wetsvoorstel moet de AIVD en MIVD permanent ruimere bevoegdheden geven. De Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten (Wbnv) moet de Wiv 2017 opvolgen en tijdelijke regels uit 2024 vastleggen. Volgens de diensten zijn versoepelingen nodig om sneller te kunnen reageren op digitale dreigingen uit onder meer Rusland en China. Critici vrezen vooral minder toezicht en een verdere uitbreiding van de sleepwet.

Een belangrijke verandering betreft de voorafgaande toestemming voor bijzondere bevoegdheden, zoals hacken en tappen. Bij het binnendringen van een computersysteem zou voortaan alleen nog toestemming van de verantwoordelijke minister nodig zijn. Pas wanneer de diensten gegevens uit het systeem willen halen, moet ook de toetsingscommissie toestemming geven. Voor acties tegen vooraf aangewezen organisaties met offensieve doelen, zoals buitenlandse inlichtingendiensten, Chinese hackersgroepen of terroristische organisaties, vervalt voorafgaande toestemming in veel gevallen helemaal. De ministers moeten zulke organisaties aanwijzen en de toetsingscommissie moet die aanwijzing goedkeuren.

De diensten zouden deze bevoegdheden maximaal een jaar mogen inzetten, met verlengingen van telkens een jaar. Toezicht tijdens en na de operatie blijft bestaan. De commissie kan onrechtmatige acties stopzetten en vernietiging van de verzamelde gegevens eisen. Voor dna-onderzoek en bulkinterceptie blijft voorafgaande toestemming wel verplicht. Ook wordt het mogelijk voor de minister om bij de Raad van State in beroep te gaan tegen een oordeel van de toezichthouder; dat kan onder de huidige wet niet.

De regels voor kabelinterceptie worden eveneens ruimer. De diensten mogen straks bij vrijwel elk inlichtingenonderzoek eerst kortstondig kabelverkeer verkennen om te bepalen welke gegevens moeten worden onderschept. Dat is nu alleen toegestaan bij onderzoeken naar landen met een offensief cyberprogramma. Daarnaast vervalt de verplichting om ongerichte bulkgegevens na een jaar te vernietigen wanneer hun relevantie nog niet is vastgesteld. Verwijdering moet uiterlijk twee jaar na afloop van het onderzoek plaatsvinden, terwijl bij langdurige onderzoeken na tien jaar een evaluatie verplicht wordt.

Verder maakt het voorstel geautomatiseerde verwerking en het gebruik van AI expliciet mogelijk, bijvoorbeeld voor de analyse van grote datasets. De diensten mogen ook eigen AI-systemen trainen met gegevens die via bijzondere bevoegdheden zijn verzameld, zelfs wanneer de bewaartermijn van die gegevens inmiddels is verstreken. De betrouwbaarheid van zulke systemen moet worden onderzocht en de minister moet schriftelijk toestemming geven. Geautomatiseerde uitkomsten mogen niet zelfstandig leiden tot een onderzoek naar of maatregel tegen een persoon of organisatie.

Tot slot kunnen de AIVD en MIVD volgens het voorstel structureler gegevens uitwisselen met overheidsinstanties, buitenlandse partners en private partijen zoals cybersecuritybedrijven. Ze mogen gezamenlijk gegevens analyseren en elkaar technische of operationele steun bieden. Voor langdurige samenwerkingen is voorafgaande ministeriële toestemming en een risicoanalyse vereist.

Het voorstel ligt eerst twee maanden ter consultatie. Daarna moeten de Tweede en Eerste Kamer zich erover buigen. Omdat Nederland een minderheidskabinet heeft, kan het op politieke weerstand stuiten; het is daarom nog onzeker of de wet wordt aangenomen en in welke vorm.