Inspectie Justitie en Veiligheid is bezorgd om commerciële hacksoftware politie

De Inspectie Justitie en Veiligheid is nog steeds bezorgd over de privacy van verdachten, omdat de politie commerciële software blijft inzetten bij het hacken van systemen van verdachten. Daarmee is er weinig veranderd ten opzichte van vorig jaar concludeert de inspectie.

De Inspectie Justitie en Veiligheid brengt jaarlijks een verslag uit over het hackbeleid van de politie. Uit het verslag blijkt dat er in 23 zaken gebruik is gemaakt van commerciële software om te hacken. Deze software geeft volgens de inspectie 'spanning met het rechtskader', omdat de politie niet kan garanderen dat alleen medewerkers bij de politie bij de gegevens kunnen.

Hoewel de politie wel een afspraak heeft over het inzien van de gegevens van verdachten door de leverancier, kan de politie niet controleren of de leverancier dit niet doet. De inspectie noemt de software daarom een 'blackbox'. De inspectie schrijft ook in het verslag dat er geen vooruitgang is geboekt in de beveiliging van informatie. Dit kan volgens de inspectie beter, al zijn er geen grote risico's. Wel is de vastlegging bij de uitvoering van een bevel verbeterd, schrijft de inspectie. Hoewel deze net als voorgaande jaren nog niet volledig is, ziet de inspectie een verbeterslag.

In 2019 concludeerde de inspectie dat de Nederlandse politie hackingtools gebruikte zonder dat de inzet hiervan was goedgekeurd. Volgens de inspectie is de keuringsprocedure in 2021 wel nageleefd, maar benadrukt de inspectie de kwetsbaarheid van de personele bezetting bij de keuringsdienst. Hier was 'door omstandigheden' namelijk maar één medewerker inzetbaar.

De Inspectie Justitie en Veiligheid evalueert jaarlijks de naleving van de bevoegdheden die de politie onder de Wet computercriminaliteit III heeft. Deze wet trad op 1 maart 2019 in werking.

Reacties (19)

[B64]

Het nut van dit soort rapportages zit 'm natuurlijk vooral in de spiegel die overheidsorganisaties voorgehouden wordt. Deze Inspectie JenV heeft niet de bevoegdheid handhavend op te treden, maar is prima toegerust om de vinger op de zere plek te leggen. Dat geeft de onderzochte overheidsinstanties (in dit geval de politie) de kans deze zwakheden te herstellen, maar ontneemt ze anderzijds de mogelijkheid zich te verschuilen achter onwetendheid op het moment dat er juridisch (of parlementair) mee in de problemen komen. Uiteindelijk zal er dus wel wat mee gedaan moeten worden.

Wat betreft die hacksoftware kan ik me zo voorstellen dat voor het gebruik van commerciele software gekozen is ondanks de privacy-bezwaren. We weten niet in welke onderzoeken die software gebruikt is, maar het kan goed zijn de inschatting was dat deze hacks alleen met de betreffende commerciële software succesvol kon zijn. Dan is het de keuze tussen géén hack, of een hack met een privacy-bezwaar. Let wel: de inspectie oordeelt niet dat de hacks illegaal zijn, wel dat de privacy bezwaren van de gebruikte software "niet is wat de wetgever heeft beoogd" - hoewel dat laatste natuurlijk ook gewoon door een rechter moet worden beoordeeld om enige juridische betekenis te krijgen.

[tweaknico]

Nee dan is het een keuze tussen geen hack of een hack met geen resultaat dat standhoudt in een rechtszaak. Dan wel worden er aanwijzingen op (let wel geen bewijs) gevonden op valse gronden.
Want voor de Hack moet er toestemming worden gevraagd bij een rechter commissaris.

Het is niet zozeer privacy dat een probleem is, maar de bewijswaarde van de data waar het over gaat.
En die is bij niet voldoen aan de wettelijke eisen voor bewijs dus nihil.... waarom veel geld betalen voor iets dan geen waarde heeft in een rechtszaal.

[Yzord]

Ok, eens zien, we hebben dus een inspectiedienst die zich al verleden jaar al zorgde maakte over de uitvoering van commerciële hacksoftware van de politie. En die dus een jaar later hetzelfde oordeel vellen. En dit speelt al vanaf 2019 en het wordt gekeurd door een persoon, want 'door omstandigheden'.

Mag ik hieruit concluderen dat men gewoon niet weet wat men aan het doen is en/of sterker nog niet begrijpt waar de wereld naar toe aan het gaan is? Dat de prioriteiten van deze zogenaamde inspectiedienst ergens anders liggen en dit maar een afraffelrapport is?

Oftewel, snapt men wel bij het Inspectie Justitie en Veiligheid dat dit een serieuze taak is om te onderzoeken wat de politie doet met hun commerciele hacksoftware welke tornt aan onze grondrechten om er hun koppie bij te houden? Of bestaat deze Inspectie Justitie en Veiligheid alleen op papier en voor de buhne?

[JT]

Ik gok dat de commissie vooral bestaat uit a-technische mensen die zich geen goed beeld kunnen vormen van technische risico's en vooral kijken naar procedures en checklists. Als dat zo is dan is dat een flinke tekortkoming van de commissie.

[Yzord]

Was het maar een commissie. We hebben het hier over een Inspectiedienst Justitie en Veiligheid. Daar zal best een serieus loonstrookje aan hangen. Welke simpelweg gewoon zijn werk niet doet. Het is gewoon te beschamend dat ze met dit rapport komen in tijden van nu. En dit speelt al jaren huh. Te lachwekkend gewoon.

[rob12424]

De omstandigheden lijken waarschijnlijk veel op die van het AP. Een orgaan geen geld of te weinig geld geven zodat ze niet aan hun taak kunnen voldoen.

[Yzord]

Dat dus. We worden blij gemaakt met zogenaamde 'inspectiediensten' die een toeziend oog moeten hebben op zeer delicate kwesties, maar die worden of onderbezet, onderbetaald of voor de buhne geinstalleerd. Zodat het plaatje compleet lijkt, maar ondertussen lacht men de ballen uit hun broek.

Noemen ze democratie ofzo?

[Highlands]

Even op de genoemde feiten inzoomend; er is geen overtreding geconstateerd en het gaat om een potentieel risico dat medewerkers van een supplier informatie zouden kunnen inzien (niet mogen). In een ideale wereld zou dit niet kunnen, en je moet scherp blijven, maar is dit nou werkelijk zodanig dat je dergelijke woorden gebruikt?

[massareal]

Het voldoet dus niet aan de wet en blijkbaar is het dus wel "oke" dat de politie de wet overtreed,
maar niet degene die ze opsporen.
Volgens mij is dan het verkregen bewijsmateriaal dan niet rechtsgeldig hierdoor.
Ben benieuwd hoeveel personen hierdoor niet worden vervolgd.
Zijn de personen die deze software gebruiken ook persoonlijk aansprakelijk/strafbaar, gezien ze weten dat het niet aan de wet voldoet?

[JT]

Niet rechtsgeldig is het niet per definitie. Justitie kan op de vingers worden getikt, extra werk moeten verrichten of bij een veroordeling kan het niet juist naleven van de opsporingsregels (wetboek van strafvordering is de hoofdlijn) ook leiden tot een strafkorting.

[Floort]

In de reactie op het concept-rapport heeft de Politie expliciet gereageerd op suggesties van de inspectie dat er onrechtmatig is gehandeld. Dat ging niet over de juistheid van die suggesties, maar over het feit dat de Inspectie daar niet over gaat. Dat je niet in het rapport leest dat er onrechtmatig is gehandeld betekent ook zeker niet dat er niet onrechtmatig is gehandeld. De inspectie toetst aan normen die grotendeels volgen uit het wettelijk kader en de Inspectie en de Politie voldoet er op zeer fundamentele punten niet aan. De kans dat dit in de betreffende zaken door de rechter getoetst wordt is klein. Wijs mij één zaak aan waar de rechter bij een veroordeling expliciet naar de in dit rapport geconstateerde omstandigheden heeft gekeken.

[JT]

Ik ben het met je eens hoor Heb nooit gezegd dat het per definitie wél rechtsgeldig is. Mijn punt is dat er in het oordeel over het bewijs een gradatie bestaat. Niet rechtsgeldig = uitsluiting van bewijs maar tussen 100% toelating en uitsluiting zit nog een waaier van grijstinten.

[Floort]

We snappen elkaar helemaal denk ik. Ik zie het alleen wat minder positief in m.b.t. de waarborgen. Ik denk dat de rechtmatigheidstoets door de rechter in gevallen die hiermee te maken hebben maar zeer zelden uitgevoerd wordt. Maar als die uitgevoerd zal worden is het zelden zo zwart wit, precies zoals je zegt. Maar dat heeft meer met de consequenties voor het verzamelde bewijs te maken dan met het oordeel of de verzameling rechtmatig is.

De hackbevoegdheid is een te belangrijk instrument om structureel onvoldoende waarborgen bij te treffen.

[JT]

Mijn reactie was ook een positieve noch negatieve mening over toezicht en toetsing. Het was alleen een vaststelling. Ik denk namelijk ook dat het niet over houdt. Het hoort ook te gebeuren vóór de rechtzaak. Bij gebrek daaraan kan de verdediging hier een punt van maken tijdens de rechtzaak.

[Reactie gewijzigd door JT op 22 juli 2024 15:52]

[locke960]

Afgezien van privacy, het is sowieso twijfelachtig dat je veroordeeld kunt worden op basis van bewijsmateriaal waarvan niet bekend is hoe het verworven is, en dus ook niet hoe betrouwbaar het is.

In extremis: hoe bewijs je dat dat bedrijf niet gewoon wat verzonnen heeft? Moeten we ze op hun blauwe ogen geloven? Nu zullen ze voor de doorsnee criminele zaak niet zo snel in de fout gaan, maar de kans op fraude word groter naarmate de belangen groter worden.

[JT]

1. Je kunt er wel achter komen hoe het verworven is maar waarschijnlijk zul je door moeten vragen als verdediging als het niet in het proces verbaal staat.

2. De blauwe ogen zijn de basis voor opsporing. Je wordt beëdigd of doet de belofte. Daarmee wordt de waarneming van die persoon wettig bewijs met extra zwaarte. Dat staat ook tegenover dat bepaalde misdrijven zwaarder bestraft worden in geval van een opsporingsambtenaar. En je hebt zelfs specifieke ambtsmisdrijven. Zo heel gek is het niet. Anders krijg je de situatie dat een agent die 100 gram coke in een auto vindt niks kan beginnen omdat de verdachte gewoon zegt dat het niet zo is. Dan is het einde zaak.

[kodak]

Dat de wet overtreden kan worden kan je bijna altijd wel stellen. Wat je niet noemt is dat het van omstandigheden af hangt en hoe relevant die bij je twijfel zijn. Het nieuws gaat om gebruik van commerciele hacksoftware, maar je twijfel lijkt net zo goed op willekeurig welk bewijs dan ook te kunnen slaan wat dan spontaan belangrijk genoeg is?

[tweaknico]

Voor elk bewijs is een trackrecord van dat bewijs nodig. Als het track record er niet is het geen bewijs.
Als er een gat in het trackrecord zit is er dus geen track record ==> geen bewijs.