De Nederlandse inlichtingendiensten mogen IMSI-catchers alleen inzetten met voorafgaande toestemming. De AIVD en MIVD stelden dat ze alleen ministeriële toestemming nodig hadden voor het inzetten van de zendmastnabootsers, maar de toezichthouders zijn het daarmee niet eens.
De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten, of Ctivd, heeft samen met de Toetsingscommissie Inzet Bevoegdheden een zogeheten rechtseenheidbrief gestuurd naar de ministers van Binnenlandse Zaken en van Defensie. Die zijn verantwoordelijk voor respectievelijk de Algemene en de Militaire Inlichtingen- en Veiligheidsdiensten. In de brief schrijven de twee toezichthouders dat de AIVD en de MIVD niet zonder meer zogeheten IMSI-catchers mogen inzetten bij onderzoeken.
IMSI-catchers zijn draagbare apparaten waarmee gebruikers een zendmast kunnen nabootsen. De apparatuur wordt door de AIVD en MIVD gebruikt om telefoonverkeer van verdachten te kunnen onderscheppen.
De brief van de toezichthouders gaat over de manier waarop de inlichtingendiensten die tool kunnen gebruiken en wie daarop toezicht dient te houden. Daarover ontstond een meningsverschil. Dat was gebaseerd op de Wiv 2017, de Wet op de inlichtingen- en veiligheidsdiensten, die bepaalt wat de bevoegdheden van de AIVD en MIVD zijn.
De ministers en de diensten stelden dat de diensten IMSI-catchers altijd mogen inzetten, met slechts toestemming van de ministers. Zij beroepen zich daarbij op artikel 40 van de Wiv 2017. Die geeft de diensten bevoegdheid voor het 'volgen en in het kader daarvan vastleggen van gegevens betreffende natuurlijke personen of zaken, al dan niet met behulp van volgmiddelen, plaatsbepalingsapparatuur en registratiemiddelen'. Daarmee zijn de toezichthouders het niet eens. "Wij beschouwen een IMSI-catcher als een zwaarder middel dan een (passief) observatie- en registratiemiddel of plaatsbepalingsapparatuur", schrijven de instanties in hun brief.
In de praktijk is er maar één rechtsgrond waarop de diensten wél IMSI-catchers mogen gebruiken, zeggen de toezichthouders. Dat is artikel 47 van de wet. Dat heeft gevolgen voor hoe de AIVD en MIVD in de praktijk moeten werken. Onder artikel 40 is er geen voorafgaande toestemming nodig van de TIB om IMSI-catchers in te zetten, maar onder artikel 47 is dat wel verplicht.
"Gelet op de privacyinbreuk die het gebruik van een IMSI-catcher door de diensten maakt, vinden wij een toetsing van de rechtmatigheid door de TIB voorafgaand aan de inzet van dit middel op zijn plaats", schrijven de toezichthouders. "Bij deze toetsing kan rekening gehouden worden met onder meer de proportionaliteit, subsidiariteit en gerichtheid van de inzet."
Data verwijderen
Ook moeten de diensten bij de inzet van IMSI-catchers anders omgaan met verzamelde data. "Ontvangen gegevens die geen betrekking hebben op het hier bedoelde nummer of technische kenmerk moeten door de diensten terstond worden vernietigd", schrijven de toezichthouders. In de praktijk betekent dat dat de diensten data van derden, die ze bijvoorbeeld als bijvangst verzamelen, per direct moeten verwijderen. Als artikel 40 als grondslag zou worden gebruikt, moeten de gegevens 'zo spoedig mogelijk' worden verwijderd in plaats van direct, maar de wet biedt ruimte om de gegevens maximaal anderhalf jaar te bewaren. De AIVD en MIVD kregen eerder al kritiek omdat ze bulkdatasets met privégegevens te lang bewaarden.
De AIVD en MIVD klagen al langer over het verplichte toezicht op hackoperaties door de TIB. Die moet de meeste operaties van de diensten goedkeuren voordat de diensten die mogen starten, maar dat is in de praktijk te traag, stellen de diensten. De directeur van de MIVD pleitte in 2022 voor realtime toezicht. Inmiddels zijn er plannen de Wiv 2017 daar opnieuw op aan te passen. De TIB en de Ctivd erkennen dat in hun brief. Sommige doelen voor de inzet van IMSI-catchers 'zouden bij de herziening van de Wiv 2017 kunnen worden geadresseerd'.