De Wet op de inlichtingen- en veiligheidsdiensten heeft niet voldoende waarborgen voor het zorgvuldig omgaan met bulkdata. Er zit te veel verschil in verschillende soorten onderscheppingen van zulke data. Een evaluatiecommissie raadt aan dat te veranderen.
Dat staat in een eindrapport van de Evaluatiecommissie voor de Wet op de Inlichtingen- en Veiligheidsdiensten. Die keek naar de werking van de Wiv. Deze wet werd in 2017 aangenomen en regelt onder andere hoe de AIVD en MIVD data mogen verzamelen. De Wiv wordt iedere twee jaar geëvalueerd. Volgens de commissie werkt de Wiv over het algemeen goed, maar zijn er een aantal verbeterpunten.
Het belangrijkste verbeterpunt is dat de verschillende soorten dataverzameling moeten worden gelijkgetrokken. Tijdens de invoering van de wet ging veel aandacht naar de zogeheten OOG-interceptie, een afkorting van Onderzoeksopdrachtgerichte interceptie. Dat is een vorm van dataverzameling waarmee bulkdata van de kabel kan worden afgetapt. Het controversiële punt uit de wet staat ook wel bekend als het 'sleepnet'. Voor het verzamelen van dergelijke data gelden strenge eisen; zo moet de minister van Binnenlandse Zaken vooraf toestemming geven en doet een onafhankelijke commissie genaamd de TIB vooraf een rechtmatigheidstoets. Maar de inlichtingendiensten kunnen op andere manieren bulkdatasets verzamelen. Het gaat dan om zogeheten 'register-bulkdata'. Dat is data die niet over gedrag gaat, maar uit 'identificeerbare kenmerken'. De evaluatiecommissie noemt als voorbeeld verzamelingen van e-mailadressen, of registraties bij overheidsinstellingen zoals de KvK of het Kentekenregister.
Voor het verzamelen van die laatste groep data gelden minder strenge waarborgen. In de wet wordt niet specifiek gesproken over 'bulkdata', maar de evaluatiecommissie raadt wel aan dat erin op te nemen. "Nu regelt de wet het verzamelen en verwerken van deze bulkdata op verschillende manieren, afhankelijk van de bevoegdheid waarmee bulkdata wordt verzameld. Dat is niet logisch, want het gaat uiteindelijk om dezelfde gevoelige gegevens", schrijft de commissie.
Er moeten in de wet ook meer waarborgen worden opgenomen voor het uitwisselen van gegevens tussen buitenlandse diensten. De commissie waarschuwt dat uitgerekend dat een van de punten van zorg in de maatschappij was toen de Wiv in 2016 en 2017 werd behandeld. Voor het samenwerken met buitenlandse diensten zou de effectiviteit van het toezicht moeten worden meegewogen, en dat moet in de wet worden opgenomen. Dat laatste is nu niet het geval. "Als de wetgever samenwerking met niet-statelijke groeperingen wil toestaan, dan moet in de wet een expliciete wettelijke basis komen met de verplichting tot het opstellen van een wegingsnotitie voor deze samenwerking", staat in het rapport.
De commissie concludeert ook dat sommige begrippen in de wet te vaag zijn. Bij het verzamelen van gegevens is er bijvoorbeeld de richtlijn dat dat 'zo gericht mogelijk' moet gebeuren. "In de praktijk zorgt dit soms voor patstellingen tussen de diensten en de toezichthouders over de interpretatie van wettelijke begrippen", zegt de commissie.
De evaluatiecommissie doet verder nog een aantal andere kleinere aanbevelingen, bijvoorbeeld dat de TIB alleen nog zou moeten kijken naar de inzet van zware bevoegdheden en niet van álle bevoegdheden. Die aanbevelingen zouden met een wetswijziging moeten worden doorgevoerd. Het rapport is woensdag aangeboden aan de Tweede Kamer. Daar moet vervolgens een debat plaatsvinden over wat er met de aanbevelingen moet gebeuren.