Wéér lijken de bevoegdheden van de Nederlandse Algemene en de Militaire Inlichtingen- en Veiligheidsdiensten te worden uitgebreid. Dat is een terugkerende wens van de AIVD en MIVD. In 2017 mochten ze door de aangepaste Wet op de inlichtingen- en veiligheidsdiensten (Wiv) al meer ongericht data verzamelen. Critici noemden de wet dan ook de 'sleepwet', omdat de inlichtingendiensten berichten van kabelinternet in bulk mochten onderscheppen. Inmiddels is een nieuwe 'sleepwet' voorgesteld die de diensten nog meer bevoegdheden moet geven.
Inlichtingendiensten willen meer
In de praktijk ging het onderscheppen van kabelinternet namelijk niet zo eenvoudig als werd aangenomen. Niet alleen was het in eerste instantie technisch onhaalbaar om de kabel af te tappen, ook moesten aftapverzoeken aan een hoop voorwaarden voldoen. Bovendien moesten de inlichtingendiensten voor ieder aftapverzoek vooraf om toestemming vragen aan een toezichthoudende instantie.
Dat was allemaal te omslachtig en te langzaam, vonden ze. In 2024 werd met de 'Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma' gehoor gegeven aan hun klaagzang. Daardoor mochten ze onder bepaalde voorwaarden sneller aan kabelinterceptie doen, waarbij de toestemmingsprocedure vooraf werd ingekort. De tijdelijke wet gaf ze ook de mogelijkheid om, als dat noodzakelijk is voor de nationale veiligheid, bulkdatasets langer te gebruiken.
Ook dat is volgens de AIVD en MIVD niet voldoende. Ze vinden dat ze nog meer vrijheid moeten krijgen om hun bevoegdheden in te zetten. Dat is volgens hen nodig omdat ze niet snel genoeg kunnen reageren op de toenemende digitale dreigingen vanuit onder meer Rusland en China.
Als het aan het huidige kabinet ligt, krijgen ze weer hun zin. Het wetsvoorstel 'Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten' (Wbnv) ligt nu in consultatie en moet de Wiv 2017 opvolgen en de tijdelijke regels in permanente wetgeving verankeren. Wat is er precies nieuw aan de wet en wat zijn de knelpunten?
Minder vaak toestemming nodig
Misschien wel de grootste wijziging is de verdere versoepeling van de toestemmingsprocedures. In principe moeten de inlichtingendiensten voorafgaand aan de inzet van hun 'bijzondere bevoegdheden' (zoals hacken en tappen) toestemming krijgen van twee partijen: van de toetsingscommissie en van de minister van Binnenlandse Zaken en Koninkrijksrelaties of de minister van Defensie. Daarop zijn nu meerdere uitzonderingen bedacht.
Dat geldt bijvoorbeeld voor de hackbevoegdheid. Om een systeem binnen te dringen en erin 'rond te kijken', hoeven de AIVD en MIVD niet langer vooraf toestemming te krijgen van de toetsingscommissie, maar nog wél van de minister. Als ze daadwerkelijk gegevens willen exfiltreren, moet de toetsingscommissie daar wél toestemming voor geven.
In sommige andere gevallen hebben de inlichtingendiensten vooraf helemaal geen toestemming meer nodig van een andere instantie, dus niet van de minister en evenmin van de toetsingscommissie. Dit geldt voor acties gericht op 'organisaties met offensieve doelen en activiteiten'.
De wettekst geeft daarvan de volgende omschrijving: 'een organisatie die toebehoort aan een land dat doelen nastreeft of activiteiten verricht gericht tegen Nederland of Nederlandse belangen, of waarvan aannemelijk is dat die in opdracht van dat land handelt'. Denk aan de Russische geheime dienst, Chinese hackersgroepen en terroristische organisaties. De minister van Binnenlandse Zaken en Koninkrijksrelaties en de minister van Defensie moeten deze organisaties vooraf aanwijzen, waarna de toetsingscommissie die aanwijzing moet goedkeuren.
Uitzonderingen op de uitzondering
Bij zulke organisaties mogen de AIVD en MIVD zonder toestemming vooraf de meeste van hun bijzondere bevoegdheden inzetten. Dat mag maximaal een jaar, al kan die periode steeds met maximaal één jaar worden verlengd. Tijdens de operatie en achteraf toetst de commissie nog wel of de inzet van de bevoegdheden rechtmatig was. Als blijkt dat dat niet zo was, kan de commissie de onrechtmatige inzet direct stopzetten en de inlichtingendiensten verplichten om alle gegevens onmiddellijk te verwijderen.
Voor sommige bevoegdheden hebben de AIVD en MIVD alsnog vooraf toestemming nodig. Daarbij gaat het bijvoorbeeld om dna-onderzoek en bulkinterceptie (zowel verkenning voorafgaand aan de bulkinterceptie als daadwerkelijk het ongericht verzamelen van een hele hoop data).
Ook de procedure voor het verkrijgen van toestemming wordt versoepeld. Als de toezichthoudende instantie constateert dat een verzoek onwettig is, kan de minister bij de Raad van State in beroep gaan tegen dat oordeel. Onder de Wiv 2017 was het niet mogelijk om in beroep te gaan tegen een uitspraak van de toetsingscommissie.
Bijvangst mag langer worden bewaard
Een ander verschil is dat de AIVD en MIVD voor meer zaken 'verkennende kabelinterceptie' mogen toepassen. Het gaat daarbij om kortstondige kabelinterceptie met een speciale tool om te achterhalen welke gegevens ze moeten tappen. Dat mochten de diensten onder de tijdelijke wet alleen doen bij onderzoek naar specifieke landen met een offensief cyberprogramma tegen Nederland, zoals Rusland en China.
Bij inlichtingenonderzoek mocht dit nog niet. Dat maakte het onderscheppen van kabelverkeer behoorlijk onpraktisch, omdat de inlichtingendiensten de gegevensstromen erg lastig in kaart konden brengen. Onder de nieuwe wet mag deze verkenningsfase wél worden ingezet voor praktisch elk inlichtingenonderzoek. Oftewel: het vooraf verkennen van de kabel mag ook bij onderzoek naar landen die geen gevaar vormen voor de Nederlandse rechtsorde.
Toezicht door nieuw college
Er wordt een nieuw college opgericht dat erop toeziet dat de AIVD en MIVD zich aan alle genoemde regels houden: het College van Toetsing en Toezicht. Dat is een samenvoeging van de twee huidige toezichtsorganisaties: de Toetsingscommissie Inzet Bevoegdheden voor toetsing vooraf en de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten voor toezicht achteraf en het behandelen van klachten.
Over dergelijke bulkdata gesproken: voorheen moesten gegevens die grootschalig en ongericht waren verzameld, na een jaar worden vernietigd als dan nog niet duidelijk was of ze relevant waren voor het onderzoek. Die relevantiebeoordeling is in het nieuwe wetsvoorstel niet meer terug te vinden. De gegevens moeten nu uiterlijk 2 jaar na afloop van het onderzoek worden verwijderd, met een verplichte evaluatietoets na 10 jaar bij langlopende onderzoeken.
Gegevens van burgers als trainingsmateriaal
Daarnaast hebben de AIVD en MIVD de bevoegdheid gekregen om hun wettelijke taken te automatiseren. Dat houdt onder meer in dat ze (onder voorwaarden) AI mogen gebruiken voor de inzet van hun bijzondere bevoegdheden, bijvoorbeeld om bulkgegevens te analyseren. Ze mogen die tools wel alleen voor zulke gevoelige toepassingen gebruiken als de betrouwbaarheid ervan grondig is onderzocht en de minister schriftelijk toestemming heeft verleend.
De inlichtingendiensten mogen ook eigen AI-tools ontwikkelen. Ze mogen voor het trainen van modellen gegevens gebruiken die ze met hun bijzondere bevoegdheden hebben verzameld. Ook als de bewaartermijn van die gegevens is verlopen, mogen die nog wel deel uitmaken van de trainingsdata.
De AIVD en MIVD mogen geen inlichtingenonderzoek naar personen of organisaties starten of maatregelen nemen tegen iemand, puur op basis van geautomatiseerde resultaten. De resultaten mogen volgens de wet dus enkel ter ondersteuning worden gebruikt.
Meer samenwerkingsverbanden
Staatsnoodrecht
Ook saillant: in het wetsvoorstel staat dat in 'buitengewone omstandigheden' het staatsnoodrecht kan gelden. De inlichtingendiensten krijgen daardoor nog verdergaande bevoegdheden. Zo mogen de Nederlandse inlichtingendiensten dan ook gegevens delen met buitenlandse partijen waarmee ze geen goedgekeurde samenwerkingsrelatie hebben. Het is onduidelijk om wat voor omstandigheden het gaat.
Het nieuwe wetsvoorstel staat de AIVD en MIVD ook toe om meer gegevens te delen met overheidsinstanties en private partijen – ook uit het buitenland. Het gaat bij die laatste groep bijvoorbeeld om cybersecuritybedrijven.
De inlichtingendiensten mogen samenwerkingsrelaties en -verbanden aangaan met zulke partijen. Dat houdt volgens de wettekst in dat ze structureel gegevens met elkaar mogen uitwisselen, gezamenlijk gegevens mogen analyseren en elkaar technische of operationele ondersteuning mogen verlenen.
De AIVD en MIVD mogen niet zomaar zelf beslissen met welke partijen ze samenwerken. Bij een langdurig samenwerkingsverband moet de minister vooraf toestemming geven en moeten de inlichtingendiensten de risico's in kaart hebben gebracht.
Vooralsnog gaat het slechts om een eerste wetsvoorstel. De wet gaat eerst nog twee maanden in consultatie, waarbij iedereen feedback mag geven op de wet. Ook moet het voorstel nog door de Eerste en Tweede Kamer. Nederland heeft een minderheidskabinet, dus het zal daar vast op weerstand stuiten. Het is dus nog allesbehalve zeker of de wet er komt en zo ja, in welke vorm precies.
Privacyzorgen
Privacyorganisaties hebben zich kritisch uitgelaten over het wetsvoorstel. Zo verwacht Lotte Houwing van Bits of Freedom dat de inlichtingendiensten hierdoor vaker hun bevoegdheden zullen inzetten om bulkgegevens te verzamelen, waardoor meer gegevens van gewone burgers in de systemen van de AIVD en MIVD terecht zullen komen.
Ze vreest dat er minder toezicht zal zijn om te beoordelen of de bulkverzameling proportioneel is. "De voorafgaande toetsing wordt straks door slechts één persoon uitgevoerd. Die moet alle verzoeken beoordelen en dat zijn er nogal wat. Bovendien krijgt diegene per verzoek maar twee weken de tijd voor de beoordeling."
Bovendien uit ze haar onvrede over het schrappen van de relevantiebeoordeling. "Dat was nog een waarborg die prettig was voor gewone burgers, omdat er bij het verzamelen van bulkdata altijd veel bijvangst is. Die werd dan door die relevantiebeoordeling nog binnen enigszins afzienbare tijd weer van de servers van de dienst verwijderd."
Verder vindt ze het zorgwekkend dat de inlichtingendiensten zonder toestemming vooraf van de toetsingscommissie organisaties mogen hacken. "Er wordt als het ware een digitale deur in hun infrastructuur opengezet, zonder dat vooraf de technische risico's worden vastgesteld."
Houwing zet ook haar vraagtekens bij de samenwerkingsverbanden met buitenlandse private bedrijven. "Het toezicht is nationaal georganiseerd, dus wat gebeurt er als je gegevens deelt met een buitenlandse partij? Is er dan nog toezicht op die gegevens? Wil je überhaupt wel dat gegevens die door onze inlichtingendiensten zijn verzameld in de private sector belanden in het buitenland? En aan wat voor partijen moeten we dan denken? Zijn dit partijen als Palantir?"
:strip_exif()/i/2004966966.jpeg?f=imagenormal)

:strip_exif()/u/23863/logo2.gif?f=community)
/u/470048/crop6064bd5fee1c2_cropped.png?f=community)
/u/128856/crop5d383b805747c_cropped.png?f=community)
:strip_icc():strip_exif()/u/832267/crop581f43d09fa39_cropped.jpeg?f=community)
:strip_icc():strip_exif()/u/229287/CM.jpg?f=community)
:strip_icc():strip_exif()/u/793705/crop57de4b2cc3582_cropped.jpeg?f=community)
:strip_icc():strip_exif()/u/46872/volume-s.jpg?f=community)
:strip_icc():strip_exif()/u/111904/Untitled-1.jpg?f=community)
:strip_exif()/u/417802/crop563540b38fe2f_cropped.gif?f=community)
:strip_exif()/u/324634/crop659fcf9abb18b_cropped.gif?f=community)
/u/299725/crop62480429c5faf.png?f=community)