De inlichtingendiensten AIVD en MIVD hebben nog onvoldoende waarborgen voor het veilig gebruik van algoritmes. Er zijn 'hoge risico's' dat zulke algoritmes worden misbruikt, schrijft de toezichtcommissie Ctivd.
De bevindingen staan in de halfjaarlijkse voortgangsrapportage van de Commissie Toezicht op de Inlichtingen- en Veiligheidsdiensten, de Ctivd. De commissie controleert of de AIVD en MIVD de Wet op de Inlichtingen- en Veiligheidsdiensten naleven. Voor het rapport keek de commissie voor het eerst naar 'gda, of geautomatiseerde data-analyse' bij de diensten.
Hoewel zulke geautomatiseerde data-analyses ook simpele zoekacties naar persoonsgegevens kunnen zijn, gaat het in veel gevallen om algoritmes die de diensten inzetten om data te analyseren. Zulke profilering of bigdata-analyse is een wettelijke algemene bevoegdheid, waarbij geen specifieke toestemming nodig is van de minister. Ook hoeft de inzet niet getoetst te worden door de tib, de Toetsingscommissie Inzet Bevoegdheden. Er is volgens de Ctivd een 'hoog risico' dat de algoritmes voor de data-analyses te snel worden ingezet, zonder de juiste waarborgen.
Een van de problemen is dat er bij de inlichtingendiensten geen duidelijk beleid is omtrent de vraag wanneer een procedure een geautomatiseerde data-analyse is. "Dit brengt het risico met zich mee dat gegevensverwerkingen die nu ten onrechte niet als gda worden aangemerkt, niet gebonden zijn aan de benodigde waarborgen", schrijft de commissie in haar rapport.
Mede daardoor is er een hoog risico dat de inlichtingendiensten ze te vaak inzetten, zonder de afweging te maken of daarvoor een wettelijke grondslag is. Zo'n analyse moet namelijk een duidelijk doel hebben. In de wet staat ook dat de inlichtingendiensten geen maatregelen mogen nemen op basis van enkel de uitkomsten van zo'n algoritme - daar moet ook altijd een menselijke beoordeling aan te pas komen.
Maar omdat het begrip van gda's te vaag geformuleerd is bij de diensten, bestaat er risico dat dit toch gebeurt, en dat medewerkers voor hun onderzoeken 'niet vooraf de benodigde afwegingen maken'. Bovendien hebben de diensten niet voldoende zicht op wanneer algoritmes in zoektechnieken worden ingebouwd, en hebben de betrokken personen niet genoeg inzicht in hoe die werken en of dat naar behoren gaat.
De Ctivd bracht dinsdag de tweede voortgangsrapportage uit sinds de Wiv op 1 mei 2018 in werking trad. In december 2018 werd een eerste rapportage uitgebracht waarin verschillende grote risico's voor de diensten werden aangemerkt. Daarin stond te lezen hoe de diensten te weinig waarborgen hadden voor het feit dat zij 'zo gericht mogelijk' moesten aftappen. Veel van die risico's zijn sindsdien verlaagd. "De AIVD en MIVD zijn doordrongen van de noodzaak van interne controle op de naleving van de wet", schrijft de commissie nu. De meeste 'hoge risico's' die tijdens de eerdere rapportage werden ontdekt, zijn nu teruggebracht naar de status 'gemiddeld' of 'beperkt'.