België krijgt dataretentiewet - Privacyzorgen

Introductie

Afgelopen zomer nam de Belgische Kamer van Volksvertegenwoordigers een nieuwe Belgische dataretentiewet aan. Het betreft een derde herziening van de wet waardoor Belgische providers in bepaalde gevallen preventief metagegevens van telecomklanten moeten bijhouden. Twee vorige versies van de Belgische dataretentiewet waren volgens het Europese Hof van Justitie problematisch wat het recht op privacy betreft en zijn afgevoerd. De derde dataretentiewet moet wel aan de eisen van het Hof voldoen, maar daar hebben Europarlementariër Patrick Breyer en privacyorganisatie Liga voor Mensenrechten bedenkingen bij. Volgens hen neemt de gewijzigde wet de privacyzorgen van de eerdere wetten niet weg.

Een korte voorgeschiedenis

Europarlementariër Patrick Breyer en de Liga voor Mensenrechten hebben nog steeds privacyzorgen.In 2006 introduceerde de Europese Unie een richtlijn die EU-lidstaten ertoe verplichtte om nationale wetten te maken waardoor gegevens die gegenereerd (of verwerkt) zijn door elektronische communicatiediensten, bewaard konden worden. België heeft de richtlijn in 2013 omgezet in een nationale dataretentiewet, maar enkele privacyorganisaties vochten die wet in 2014 aan bij het Belgische Grondwettelijk Hof. De organisaties vonden dat de wet het vermoeden van onschuld en het recht van privacy van de Belgen met voeten trad. Het Hof volgde de argumentatie van de organisaties en verklaarde de eerste Belgische dataretentiewet in 2015 nietig.

In 2016 kwam de Belgische regering met een vernieuwde versie van de dataretentiewet op de proppen. Deze tweede versie bevatte enkele belangrijke aanpassingen, maar opnieuw vochten privacyorganisaties de wet aan bij het Grondwettelijk Hof. Het Hof oordeelde in 2021 voor een tweede keer dat de Belgische dataretentiewet de rechten en vrijheden van de Belgen niet kon waarborgen, waardoor die opnieuw moest worden afgevoerd. Het Hof deed dit onder andere na adviezen van het Europese Hof van Justitie uit 2020.

Driemaal is scheepsrecht?

Begin deze zomer stelde de Belgische overheid een derde herziening van de dataretentiewet voor. De overheid wil met deze nieuwe wet tegemoetkomen aan de eisen van de beide gerechtshoven en zal naar eigen zeggen een beroep doen op ‘een objectieve en dynamische analyse van de veiligheidsrisico’s op het niveau van elk Belgisch gerechtelijk arrondissement, elke politiezone en alle strategische plaatsen’ in het land. Hiermee kan naar verluidt niet langer automatisch en ongedifferentieerd aan dataverzameling Ook in de omgeving van strategische plaatsen kan aan langdurige dataretentie worden gedaan. worden gedaan. Concreet schrijft de nieuwe dataretentiewet voor dat het langdurig bewaren van metagegevens enkel mogelijk wordt in Belgische gerechtelijke arrondissementen waar minimaal een bepaald aantal zware criminele feiten per duizend inwoners is vastgesteld. België telt sinds 2014 twaalf gerechtelijke arrondissementen.

OCAD Coördinatieorgaan voor de dreigingsanalyse Ook in de omgeving van bepaalde strategische locaties kan via de derde dataretentiewet aan langdurige dataretentie worden gedaan. Deze locaties zouden vatbaar zijn voor zware criminaliteit of kwetsbaar voor bedreigingen van de nationale veiligheid. In het wetsvoorstel worden havens, spoorwegstations, rechtbanken, kerncentrales, ambassades en luchthavengebouwen genoemd als voorbeelden van strategische locaties. Ten slotte vermeldt de overheid ook het Belgische Coördinatieorgaan voor de dreigingsanalyse, kortweg OCAD. OCAD analyseert het niveau van dreiging in België. Het orgaan brengt dreigingen in kaart voor evenementen en houdt ook rekening met bedreigingen van politici, individuen en bepaalde groepen personen. Als dit orgaan dreigingsniveau 3 of 4 vaststelt voor het hele Belgische grondgebied, mag er via deze derde dataretentiewet ook aan algemene en ongedifferentieerde dataretentie worden gedaan. Op het moment van schrijven heeft het OCAD het dreigingsniveau in België vastgesteld op 2.

Bannerfoto: d3sign / Getty Images

Enkel bij 'zware criminaliteit'

De Belgische overheid wil dus aan dataretentie kunnen doen in gerechtelijke arrondissementen waarin ze een bepaalde hoeveelheid zware criminele feiten heeft vastgesteld en hanteert daarvoor de volgende definitie. Als er in een gerechtelijk arrondissement ten minste drie zware misdrijven per duizend inwoners zijn vastgesteld over een gemiddelde van drie voorbije kalenderjaren, mag er zes maanden lang data bijgehouden worden van alle burgers in die zone. Bij minstens vijf strafbare feiten per duizend inwoners in een gerechtelijk arrondissement mag de Belgische overheid negen maanden lang metagegevens bewaren van alle bewoners. Bij meer dan zeven geregistreerde strafbare feiten per duizend inwoners mag men twaalf maanden lang metagegevens bewaren.

Bij meer dan drie strafbare feiten per duizend inwoners mogen metagegevens zes maanden worden bewaard. De Belgische wetgever verwijst naar Artikel 90 van het Belgische strafwetboek als het gaat om de strafbare feiten. Er wordt specifiek verwezen naar paragraaf 2 tot en met 4. In artikel 90 worden strafbare feiten opgesomd zoals aanranding van minderjarigen en volwassenen, verkrachting, ontvoering en het verbergen van minderjarigen, en belaging via elektronische communicatie. Dit is volgens de Belgische wetgever zware criminaliteit tegen personen. Feiten die verband houden met georganiseerde misdaad worden ook opgenomen, evenals ‘andere bijzonder ernstige inbreuken’, zoals inbreuken tegen de vertrouwelijkheid, de integriteit en de beschikbaarheid van informaticasystemen.

De Belgische overheid zal de criminaliteitscijfers uit de Algemene Nationale Gegevensbank halen en jaarlijks rapporteren over de geografische zones waarin aan gegevensbescherming is gedaan. Volgens de regering beantwoordt de minimale drempelwaarde van drie strafbare feiten per duizend inwoners aan een 'hoog aantal feiten van ernstige criminaliteit'. Via deze drempel zou men ook rekening kunnen houden met de werklast van de lokale ordediensten en lokale politiecapaciteit in een arrondissement.

Welke metadata wordt verzameld?

Welke metadata zal de Belgische overheid dan kunnen verzamelen? Uit het wetsontwerp blijkt dat er drie typen data zullen worden verzameld: identificatiegegevens, verkeersgegevens en Er worden drie typen data verzameld: identificatie-, verkeers- en locatiegegevens.locatiegegevens. Via identificatiegegevens, zoals het telefoonnummer van een verzender, kan worden nagegaan wie er achter een bepaald telefoonnummer of IP-adres zit. Bij abonnementen was het al nodig om identiteitsgegevens op te geven, maar dat is sinds eind 2016 in België ook het geval voor prepaidkaarten. Sinds 17 december 2016 geldt in België immers een verplichte identificatie van gebruikers van prepaidkaarten voor mobiele communicatie. Daardoor moet elk nummer gekoppeld worden aan een fysieke persoon. Dat gebeurt via de identiteitskaart of andere officiële identificatiedocumenten.

Via verkeersgegevens kan de overheid nagaan wie heeft gecommuniceerd met wie en via de locatiegegevens kunnen toestellen over verbindingspunten aan een concrete plaats gekoppeld worden en omgekeerd. De overheid schrijft dat de inhoud van telefoongesprekken niet zal worden verzameld via de dataretentiewet.

De metagegevens worden bovendien bewaard bij telecomoperators en niet bij de overheid. Er is ook geen systematische toegang tot die gegevens. Er kan volgens de Belgische overheid enkel toegang verkregen worden tot de metadata via een vordering van een procureur of rechter. Er zijn bovendien regels die volgens de Belgische wetgever beantwoorden aan de beginselen van gegevensbescherming. Wat deze regels concreet inhouden, is niet duidelijk.

Kritiek op de drempelwaarden

Volgens de Duitse Europarlementariër Patrick Breyer hebben deze drempelwaarden tot gevolg dat er de facto in elk gerechtelijk arrondissement in België aan dataretentie gedaan mag worden. Het team van Breyer dook naar eigen zeggen in openbare criminaliteitscijfers van de Belgische federale politie. Het schat dat het jaarlijkse gemiddelde aantal strafbare feiten per duizend Belgische inwoners per gerechtelijk arrondissement, berekend over de afgelopen drie jaar, op elf ligt. Dat is meer dan de drempelwaarde van drie strafbare feiten die de Belgische overheid als minimumdrempelwaarde hanteert. De Europarlementariër claimt dan ook dat de drempelwaarden 'veel te laag' liggen."De drempelwaarden van de Belgische overheid liggen veel te laag."

Breyer komt tot die conclusie nadat hij en zijn team 'duizenden' openbare documenten van de Belgische politie hebben geanalyseerd waarin criminaliteitscijfers worden opgesomd. Ze hebben duizend verschillende typen misdrijven geïdentificeerd en gingen daarna na welke van die misdrijven onder Artikel 90 van het Belgische strafwetboek vallen, zodat ze voldoen aan de voorwaarden van de Belgische dataretentiewet. Breyer plaatste alle data, die schattingen zijn, vervolgens in een interactieve kaart van België. Daarop is te zien hoe volgens hem en zijn team de drempelwaarden van de huidige Belgische dataretentiewet in elk juridisch arrondissement overschreden worden, waardoor daar aan dataretentie gedaan zou mogen worden.

Schattingen

Het team van de Duitse Europarlementariër stelt tegenover Tweakers dat de dataset niet honderd procent accuraat is. "We hadden enkel toegang tot publiekelijk toegankelijke data van de federale politie", klinkt het bij Simeon de Brouwer, woordvoerder van Patrick Breyer. "De overheid heeft immers nog geen officiële statistieken vrijgegeven, ondanks de vele aanvragen die ze daarvoor heeft gekregen. We hebben ook zelf gecontroleerd welke misdrijven in aanmerking kwamen voor de dataretentiewet en soms konden de omschrijvingen van deze misdrijven weleens variëren. Door deze organische manier van handelen is onze data niet honderd procent accuraat en dat geven we ook toe", aldus de woordvoerder. "Toch hebben we vertrouwen in de conclusie van het onderzoek."

De Brouwer haalt hiervoor het nieuwe wetsvoorstel aan. Daarin worden de gemiddelde criminaliteitscijfers voor Brussel en Charleroi als voorbeelden vermeld. Het team vergeleek deze cijfers met zijn eigen data en stelde vast dat het het gemiddelde criminaliteitscijfer voor Brussel zo’n achttien procent te hoog had ingeschat. Voor Charleroi zou het team het criminaliteitscijfer zo’n twaalf procent te laag hebben ingeschat. "Zelfs als we onze cijfers hierop aanpassen, zien we dat in beide arrondissementen de drempelwaarden ruimschoots overschreden worden."België heeft als eerste EU-land een framework ontwikkeld dat interessant kan zijn voor andere EU-landen." We hebben dus vertrouwen in de conclusie van ons onderzoek", concludeert de Brouwer.

Volgens de Brouwer heeft België met de derde versie van de dataretentiewet ook een gevaarlijk precedent toegepast. "België heeft als eerste EU-land een framework ontwikkeld dat interessant kan zijn voor andere EU-landen", klinkt het. "Deze Belgische manier is eigenlijk een eenvoudige manier om dataretentie op grote schaal mogelijk te maken. Heel wat EU-landen kijken naar hoe deze situatie in België met de dataretentiewet zich verder zal ontwikkelen."

Kritiek van de Liga voor Mensenrechten

Privacyorganisatie Liga voor Mensenrechten heeft ook kritiek op de nieuwe wet. De Liga meent dat er via de drempelwaarden opnieuw aan ongedifferentieerde dataverzameling mag worden gedaan. Volgens de organisatie is de nieuwe wet dan ook in strijd met eerdere uitspraken van het Europese Hof van Justitie wat proportionaliteit van de maatregel en het recht op privacy betreft.

"De ANG is slecht onderhouden en biedt geen objectieve basis om mee te werken."De organisatie merkt ook op dat de Belgische overheid een beroep zal doen op de Algemene Nationale Gegevensbank voor cijfers over criminaliteit. De ANG is een referentiebibliotheek van de Belgische politie met data over criminele feiten, maar ook over personen, plaatsen en organisaties. Volgens de Liga voor Mensenrechten biedt de ANG 'geen voldoende objectieve basis' om mee te werken. "De databank is notoir slecht onderhouden", klinkt het stellig tegenover Tweakers. De Liga verwijst naar een artikel uit 2021 op het Vlaamse nieuwsplatform Apache. Daarin wordt geopperd dat de ANG 'te veel informatie en te veel vergissingen bevat' wat dossiers betreft. In het artikel wordt ook verwezen naar het activiteitenverslag van ANG-toezichthouder COC uit de periode 2016-2019. In de conclusie van dit activiteitenverslag is te lezen dat de ANG nog 'te veel onnauwkeurigheden en/of fouten' bevat.

Frank Schuermans, lid-raadsheer van het Controleorgaan op de Politionele Informatie, of COC, dat toezicht houdt op onder meer de ANG, stelt tegenover Tweakers dat er problemen zijn geweest met de gegevensbank wat nauwkeurigheid en kwaliteit betreft en vooral wat het respecteren van de bewaartermijnen van data betreft. Sinds juni 2022 zou er echter een automatische archiveringsfunctie zijn gestart die tot verbetering heeft geleid. In de ANG wordt een systeem gehanteerd waarbij gegevens waarvan de bewaartermijn is verstreken, worden 'gearchiveerd' voordat ze worden 'gewist'. “Alles is nog niet conform, maar er is veel beterschap”, klinkt het bij Schuermans. De man zegt ook dat de problemen bij de archivering geen enkele invloed op dataretentie hebben, omdat de nieuwe wet enkel naar feiten van de afgelopen drie jaar kijkt. Daarbij zou archivering nog niet aan de orde zijn en zouden er dus ook geen problemen zijn.

Liga voor Mensenrechten Er wordt volgens de Liga ook geen onderscheid gemaakt tussen de verschillende metadata die verzameld mag worden. “De advocaat-generaal van het Europese Hof van Justitie heeft al aangegeven dat overheden ook minder en gerichter data kunnen verzamelen. Die optie is door de Belgische overheid helaas niet in overweging genomen”, klinkt het.

Het feit dat versleutelingstechnieken nu in het vizier komen, wordt eveneens afgekeurd door de Liga. De privacyorganisatie verwijst naar de bepaling in het wetsvoorstel waaruit blijkt dat versleutelingstechnieken ‘een operator niet mogen beletten zijn verplichtingen inzake dataretentie in acht te nemen’. “Uit de wettekst blijkt dat versleutelingstechnieken het verzamelen van metadata niet onmogelijk mogen maken”, klinkt het. “Deze bepaling ondergraaft dus de encryptie bij verschillende internetdiensten, zoals Signal, wat uiteindelijk tot een minder veilig internet zal leiden”, stelt de Liga. “Versleuteling is noodzakelijk voor een heel aantal beroepen waarin beroepsgeheim een belangrijk gegeven is. Denk maar aan advocaten, sociaal werkers en vakbonden.” De Vlaamse krant De Standaard dook eerder in 2022 al in het wetsontwerp en oordeelde toen dat de derde dataretentiewet ook 'een feitelijk verbod' op Signal zou betekenen.

Reactie Belgische overheid

Tweakers heeft de claims van Europarlementariër Patrick Breyer en de standpunten van de Liga voor Mensenrechten voorgelegd aan een woordvoerder van de Belgische justitie. Die antwoordt niet rechtstreeks op de vragen en verwijst naar de begeleidende brieven bij het definitieve wetsvoorstel. Daarin zegt de regering dat ze het niet eens is met de redenering 'van sommigen' dat deze versie van de Belgische dataretentiewet in strijd is met de rechtspraak van het Europese Hof. Volgens de Belgische regering is de dataretentiewet niet in strijd met de rechtspraak van het Europese Hof.

De Belgische regering meent dat de criminaliteitscijfers objectieve en meetbare criteria zijn en dat de juistheid van deze criteria gevalideerd zal worden door een onafhankelijk orgaan. Welk orgaan dat is, is niet duidelijk. De woordvoerder vermeldt dat gegevens enkel bewaard zullen worden 'zolang dat nodig is'. Bovendien zou de inhoud van telefoongesprekken niet worden verzameld. De woordvoerder gaat niet rechtstreeks in op de uitspraken van de Liga voor de Mensenrechten over de staat van de Algemene Nationale Gegevensbank en stelt dat het Controleorgaan op de Politionele Informatie (COC) 'waakt over de kwaliteit' van de data in de ANG-databank.

Slot

Wat de toekomst in petto heeft voor de Belgische dataretentiewet, weten we nog niet. Vast staat wel dat privacyorganisaties en activisten er doorgaans snel bij zijn om dit type wet aan te vechten voor het Grondwettelijke Hof of het Europese Hof van Justitie, of ten minste om de nodige kritiek te uiten. Of de Liga opnieuw naar het gerecht zal stappen, is momenteel nog niet duidelijk.

Ook in Nederland is de wetgeving rondom dataretentie omstreden. De wet bestaat sinds 2007, maar kwam in 2014 voor het eerst in opspraak toen het Europese Hof van Justitie de achterliggende Europese richtlijn ongeldig had verklaard. Het toenmalige Nederlandse kabinet stelde dat de dataretentiewet wel mocht blijven bestaan, omdat het extra richtlijnen had ingebouwd waardoor de wet in lijn kwam te liggen met de uitspraken van het Europese Hof van Justitie.

In 2015 verklaarde een Nederlandse rechter de dataretentiewet ongeldig in een zaak die was aangespannen door privacyorganisaties en andere providers. Volgens de rechter maakte de wet in zijn toenmalige vorm inbreuk op het Europese mensenrechtenverdrag en moest ze buiten werking worden gesteld. Enkele maanden daarna is een nieuw wetsvoorstel voorgesteld. In dit nieuwe voorstel is een extra toetsing opgenomen waardoor voortaan toestemming nodig is van een rechter-commissaris voordat gebruik kan worden gemaakt van opgeslagen gegevens. Het wetsvoorstel is in 2016 openbaar gemaakt.

In 2018 kwam de dataretentiewet nogmaals in de actualiteit toen de toenmalige Nederlandse minister van Justitie en Veiligheid een wijziging van de wet had aangekondigd. Hierdoor moesten providers alleen op basis van IP-adres en nummer bijhouden wanneer iemand van een netwerk gebruik heeft gemaakt.

In heel wat Europese landen zijn de nationale datarentiewetten omstreden. Privacyorganisaties bundelen hun krachten en blijven protesteren tegen deze wetgeving, omdat die volgens hen het recht op privacy van EU-burgers schendt. Het is dus alleszins mogelijk dat de huidige dataretentiewetten binnenkort opnieuw in de actualiteit verschijnen.