Geheime diensten gaan nog steeds bar slecht om met data van Nederlandse burgers

De Nederlandse inlichtingendiensten maken nog steeds grote, structurele fouten bij het verzamelen van omvangrijke datasets. De toezichthouder op de AIVD en MIVD concludeert dat de geheime diensten op meerdere vlakken verkeerd omgaan met bulkdatasets. Ze bewaren die te lang, maken niet duidelijk waar de sets vandaan komen, laten te veel werknemers de gegevens bekijken en gebruiken de datasets op manieren die niet mogen.

Dit nieuws in het kort

• De toezichthouder zegt dat de AIVD en MIVD slecht omgaan met bulkdatasets.
• De diensten loggen slecht wie data bekijkt, ze bewaren data te lang en zetten die in voor verkeerde doeleinden.
• De AIVD en MIVD krijgen al jaren tikken op de vingers omdat ze slecht omgaan met gegevens van Nederlandse burgers.

De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten schrijft dat in een recent rapport over zogeheten 'grootschalige dataverwerking' door de Algemene en de Militaire Inlichtingen- en Veiligheidsdienst. De AIVD en MIVD mogen bulkdatasets verzamelen uit openbare bronnen, maar het kan ook gaan om datasets die commercieel te koop zijn of zelfs die hackers online aanbieden.

Sinds 2023 is de 'Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma' actief. Onder die wet mogen de AIVD en MIVD grootschalige gegevens verzamelen, maar dat moet wel gebeuren met de juiste waarborgen. "De maatschappij en de politiek moeten erop kunnen vertrouwen dat er goede waarborgen zijn voor het werken met bulkdatasets", zegt Ctivd-voorzitter Hugo Hillenaar in een persbericht.

Geen vertrouwen

Dat vertrouwen lijkt de Ctivd in ieder geval niet te hebben. In het rapport staan meerdere harde conclusies over de manier waarop de diensten omgaan met bulkdatasets.

Zo hebben de diensten maatregelen genomen om te zorgen dat alleen de juiste mensen toegang krijgen tot de data, maar deze zijn 'ontoereikend'. De Ctivd zag bijvoorbeeld meerdere keren dat werknemers toegang hadden tot datasets waar ze eigenlijk niet bij mochten.

De Ctivd zegt dat dit onder andere komt doordat de AIVD en MIVD niet goed loggen wie wat bekijkt. Daarvoor hebben de diensten wel technische maatregelen getroffen, maar 'de huidige manier van logging' maakt het moeilijk om te controleren wie wanneer datasets bekijkt. "Daarnaast is het op basis van de logging moeilijk te achterhalen wanneer de gegevens door medewerkers verder zijn verwerkt (en dus niet alleen opgevraagd in een zoekslag) en of dit gebruik bevoegd was", schrijft de toezichthouder.

Het hoofdkantoor van de AIVD

Andere doelen

De diensten gebruiken bulkdatasets regelmatig ook voor andere doelen dan waarvoor ze bedoeld zijn. Dat gebeurt dan 'niet rechtstreeks ten behoeve van inlichtingen, maar ter ondersteuning van de taakuitvoeringen'. "De diensten hebben hiermee een onderscheid tussen bulkdatasets gecreëerd op grond waarvan zij de bulkdatasets die ter ondersteuning van de taakuitvoering worden gebruikt uitzonderen van de gebruikelijke regels en waarborgen voor bulkdatasets", schrijft de Ctivd daarover. "Dit heeft tot gevolg dat bij deze verwerking van bulkdatasets de toepasselijke regels niet worden nageleefd."

De Ctivd wijst een paar redenen aan voor de onrechtmatige verwerking. Dit komt onder andere door de 'technische tekortkomingen in de systemen van de diensten'. De AIVD en MIVD hebben procedures vaak ook niet goed op orde. De toezichthouder doet meerdere aanbevelingen om het proces te verbeteren.

Vaak op de vingers getikt

Het nieuwe rapport is het zoveelste waarin de AIVD en MIVD een tik op hun vingers krijgen. In 2022 moesten de diensten bijvoorbeeld al privégegevens verwijderen omdat ze die te lang bewaarden, waarop de Tweede Kamer een wet aannam die de bewaartermijn verruimde. Dat gebeurde na een zaak die Bits of Freedom had aangespannen.

"De diensten willen alsmaar meer macht, terwijl ze steeds weer laten zien niet om te kunnen gaan met de macht die we ze al hebben gegeven. Ze brengen hun datahuishouding niet op orde en laten zich niet begrenzen door de wet. Extra zorgelijk voor een overheidsinstantie die by design in het geheim opereert", zegt de digitale burgerrechtenbeweging in een reactie op het rapport.

Tegelijk willen de AIVD en MIVD juist al jaren een verruiming van hun bevoegdheden en een afzwakking van het toezicht. De diensten vinden dat nodig omdat landen als Rusland en China hun digitale dreigingen opvoeren. Ze willen daarom bijvoorbeeld meer gegevens langer kunnen verzamelen – vandaar de 'tijdelijke wet' waaronder zij nu opereren. Ook willen ze dat toezicht op aftapoperaties niet meer vooraf met goedkeuring plaatsvindt, maar 'in real time'.

Reacties (59)

[betwetor]

Het systeem is van een privaat israelisch bedrijf met diepe banden met de IDF en Mossad. Onze geheime diensten hebben geen idee wat het systeem doet.

De vorige leverancier was net zo goed een Israëlische. Daar over zijn ze flink op de vingers getikt waar ze op hebben gereageerd door een ander Israëlisch bedrijf die op onze eigen sancielijst staat de opdracht te gunnen.

Bij werk aan het systeem is alles op het systeem en toetsenbord in het Hebreeuws, wat niemand kan volgen.

Het is van god los.

Niemand is eindverantwoordelijk natuurlijk.

[mutley69]

We zwijgen dan nog over figuren zoals Theo Francken en Bart De Wever, die Palantir aanbidden als het nieuwe heilige graal. In bepaalde lidstaten is men al tot andere inzichten aan het komen. Maar die data die weg zijn krijg je nooit meer uit hun handen getrokken! Bezint eer ge begint en het zijn niet enkel de geheime diensten die onze vijand zijn!

[mexicanburribo]

Wie had dit nu aan zien komen toen we dat referendum erover hadden?..

Ik iig wel. En het is al jaren hetzelfde, want is niet de eerste keer dat dit in het nieuws komt. Wellicht tijd om de wet stricter te maken ipv te verruimen

[Mit-46]

Heeft dat wel zin? Dan doel ik op beide kanten op.

Strikter maken lijkt mij geen nut te hebben, want ze houden zich er nu al niet aan.

Verruimen lijkt mij niet nodig, want ze houden zich nu al niet aan de wet en doen wat ze nodig lijken te vinden.

Of er moeten sancties tegenover komen te staan, maar daar lees ik niets over.
Waarom zouden ze zich dus maar iets aantrekken van wetgeving op deze manier.

[Reactie gewijzigd door Mit-46 op 1 juli 2026 14:29]

[mexicanburribo]

Dan bedoel ik dus ook, striktere wetgeving en ook zorgen dat die nageleefd wordt. Met inderdaad sancties oid

[Triblade_8472]

De beste sanctie zou voor mij zijn: houd je aan de wet of de wet wordt simpelweg ingetrokken.

Dan is de keus: doe het goed of doe het niet.


Dan zullen ze zich daarna toch wel beter aan de wet gaan houden lijkt mij, gezien dit hen meer waard is dan een willekeurige manager zn kop of een boete die ze toch niet zelf op hoeven te hoesten.

[mexicanburribo]

Of dan juist weer niet, want er is toch geen wet waaraan ze zich hoeven te houden

[Senaxx]

Maar ja wat voor sancties? Financiële sancties kan niet echt aangezien ze betaald worden van belastinggeld. Die moeten ze ook gaan betalen met ons belastinggeld aan diezelfde overheid?

En tikken op de vingers lijkt ook niet echt te helpen, en beperking van data kan eventueel veiligheid in geding brengen.

[Raphaelo]

Gedwongen remigratie van de betrokken bestuurders naar België.

[supersnathan94]

Nog dichter bij Brussel? Nee dat lijkt mij geen goed idee. Straks worden ze nog lobbyist ofzo.

[Sjaaksken]

Waarom zou je ze belonen met lekker eten?

[limaad2]

Laten we vooral het woord remigratie niet normaliseren in ons taalgebruik. Zeg dan simpelweg: illegaal en mensenrechten schendend uitzetten.

[TheDudez]

Oftewel gewoon slikken. Er gaat toch niks gebeuren en je kan er zo weinig mee.

[sjirafje]

Tegelijk willen de AIVD en MIVD juist al jaren een verruiming van hun bevoegdheden en een afzwakking van het toezicht. De diensten vinden dat nodig omdat landen als Rusland en China hun digitale dreigingen opvoeren.

En daar hebben ze bulk gegevens van Nederlanders voor nodig?

[ComputerGekkie]

Ja, want je wilt dingen achterhalen over de Nederlanders die zich niet gedragen in het belang van het vaderland. Daarnaast staan in die bulk datasets natuurlijk ook de gegevens van de Rus die om de hoek woont.

[Madelijn]

Wie zegt dat die data niet uiteindelijk in Rusland of China terechtkomen?
Zolang ze hun zaakjes niet op orde hebben is het een veiligheidsrisico hen aan onze gegevens te laten komen. Geen gegevensverzameling totdat ze programmatuur en processen hebben die bewijsbaar veilig en wettig zijn.

[betwetor]

Het beland sowieso in Israel. De leverancier is een zeer dubieuze Mossad gerelateerde partij. Echt waanzin dat we dit niet zelf regelen.

[mac1987]

En daarmee in Amerika. De rest komt dan wel via Palantir binnen.

[gimbal]

"De AIVD en MIVD krijgen al jaren tikken op de vingers".

Wellicht vinden ze het... prettig? Verkeersovertreders krijgen al jaren boetes, dat gaat ze echt niet stoppen hoor. Het te hard rijden is een doel, niet een middel.

[Wouterie]

Een boete is niets meer dan de overtreding afkopen. Lekker door op de oude voet en een budget reserveren voor boetes.

[halofreak1990]

Daarom is het zo belangrijk dat we inkomensafhankelijke boetes gaan invoeren. Is meteen dat hele kul argument "maar dan kan een arm persoon de boete niet betalen" tegen hogere boetes van de baan.

[Wouterie]

Helemaal mee eens. Maar ja, onze VVD politiek ziet daar natuurlijk onvoldoende draagkracht voor bij hun eigen achterban.

[supersnathan94]

Verkeersovertreders krijgen al jaren boetes, dat gaat ze echt niet stoppen hoor

Dat valt dus vies mee.

Maar kijk eens wat er gebeurt als men de pakkans vergroot naar 1 (Trajectcontrole). Dan kan het dus wel!.

Sancties opleggen werkt wel, maar dan moet je ze consistent en consequent opleggen

Maar je moet ook duidelijke regels hebben dan. Dat daar ook geen ambiguiteit in kan zijn.

[CH4OS]

De diensten willen alsmaar meer macht, terwijl ze steeds weer laten zien niet om te kunnen gaan met de macht die we ze al hebben gegeven.

Terwijl men dus ook al vaker op de vingers getikt is voor hetzelfde. Wanneer gaat men stoppen met op de vingers tikken en daadkrachtiger worden? Bijvoorbeeld door het uitdelen van boetes. Juist van een geheime dienst zou je verwachten dat die de zaken wel netjes op orde heeft.

[Help!!!!]

Tja, dat is dan helaas overheid vestzak, broekzak. En als de overheid niet voldoende heeft dan weet je waar ze het komen halen.

Enige dat helpt zijn persoonlijke consequenties binnen de diensten en de verantwoordelijke binnen de regering.

[CH4OS]

Dat wordt wel meer gezegd, maar is niet waar, het heeft wel degelijk impact op het budget van de betreffende overheidsdienst die de boete krijgt. Het is dus niet echt een vestzak, broekzak verhaal.

[Help!!!!]

Ja en dan wordt het budget gewoon verhoogd via de achterdeur. En uiteindelijk komt het linksom of rechtsom nog steeds bij de belastingbetaler vandaan.

[CH4OS]

En ook dat is hier al veelvuldig voorbij gekomen en ook hier zit je er weer naast. Dergelijke kosten mogen niet op een dergelijke manier weer terug verdiend worden. Simpelweg omdat de boetes niet opgevoerd mogen worden als kosten.

[Q]

Reken er maar op dat dit overal zo is bij overheid instanties. We kennen de verhalen van politie en zorgmedewerkers die grasduinen in de gegevens van bekende mensen of incidenten waar ze niets mee van doen hebben.

Puntje bij paaltje geven we / de overheid / politici niet écht om privacy of security.

Persoonlijk verwacht ik ook niet dat de inlichtingendiensten hun leven zullen beteren zonder druk en consequenties

[Reactie gewijzigd door Q op 1 juli 2026 14:24]

[Zezura]

Dat zorgmedewerkers in dossiers kijken dat is echt niet veel voorkomend. Het zijn eerder enkelingen dan dat het vaak voorkomt. Doorgaans zijn de meeste goed opgeleide zorgmedewerkers ethisch en openen ze geen dossiers waar ze niets mee van doen hebben, en gaan goed om met de privacy. Althans dat is mijn persoonlijke professionele ervaring.

[mjtdevries]

Zijn ze echt zo ethisch of komen de situaties waarin ze graag in een dossier willen snuffelen niet zo veel voor?

Niemand die behoefte heeft om te snuffelen in het dossier van een volstrekt onbekende. En dat zijn de meeste patienten. Maar in die bekende casus ging het niet om enkelingen.

[Zezura]

Wat dacht je van allebei, het is geen of situatie. Ethisch EN gaan goed om met privacy. Waaronder het NIET openen van gegevens waar ze geen toegang tot zouden moeten nemen omdat het niet betrokkenen zijn.

als zorg medewerker ben je je echt wel van bewust als je toegang neemt tot een casus, je krijgt namelijk waarschuwing in het EPD, waarbij je bij veel systemen een reden moet opgeven waarom je toch toegang zou moeten hebben tot een gedeelte van het EPD. Dus het valt zeker te controleren en je bent je er ook van bewust.

[mjtdevries]

Maar die argumenten hielpen blijkbaar niet bij die situaties die uitgebreid in het nieuws zijn geweest. Of zijn die waarschuwingen en het moeten opgeven van een reden pas later geimplementeerd?

[Zezura]

Daarom zijn die mensen ook gestraft. Ze hebben zich niet aan de beroepscode gehouden en het vak en vertrouwen wat de maatschappij in zorgverleners heeft beschadigd. Dat is niet niks.

Maar dat enkele deze grens zijn overgegaan zegt niks over de rest van de professionals, die zich wel netjes aan de beroepscode en eed houden.

Rotte appels heb je overal.

[Bedge85]

Ik heb soms het idee dat de veiligheidsdienst blind is voor de hoeveelheid data en bevoegdheden die ze al hebben. Als je als rechercheur een zaak probeert op te lossen en je mist specifiek bepaalde data, dan is dat voor jou als rechercheur natuurlijk enorm zuur en is het logisch dat je meer bevoegdheden wil hebben. Want dan kun je de zaak mogelijk wel oplossen.

Maar als je iets meer van een afstand bekijkt en het vergelijkt met de hoeveelheid data die ze tegenwoordig ter beschikking hebben en pakweg 20 tot 30 jaar terug, de hoeveelheid camerabewaking, beveiligingscamera's en ring deurbellen, en niet te vergeten dat praktisch iedereen een afluistersysteem in zijn broek heeft waartoe ze toegang hebben met de juiste gerechtelijke bevelen.

[Flavius]

Je haalt de inlichtingendiensten en opsporingsdiensten door elkaar heen. Die opereren op basis van totaal verschillende wetten/bevoegdheden.

[Bedge85]

Ah, duidelijk, dankje!

[poststamp]

Is het ook nodig dat de veiligheidsdiensten op deze manier met de data omgaan, dat is voor mij onduidelijk. Het kan ook zijn dat de wetgeving te naïef is opgezet. Niet dat ik de diensten vertrouw, maar het mij onduidelijk of alles wat ze doen ook nuttig is in een tijd als deze.

[demianmonteverd]

Er zijn ook al Nederlanderse burgers direct slachtoffer geworden. In het recente verleden is zelden zo'n dreiging geweest voor de EU, sinds 2014 neemt de dreiging toe, hand-over-hand.