Op 21 maart vindt samen met de gemeenteraadsverkiezingen het raadgevend referendum over de nieuwe Wiv plaats. Die wet staat inmiddels bekend onder verschillende namen, zoals 'Wiv 2017', 'aftapwet' en 'sleepwet'. Als je gaat stemmen, heb je de keuze om voor, tegen of blanco te stemmen. Bij een opkomst van minimaal 30 procent moet de regering zich 'opnieuw beraden' over de Wiv, maar het gaat daarbij wel om een advies. Intrekking van de wet lijkt hoe dan ook niet aan de orde, zo blijkt uit uitlatingen van de regeringspartijen.
Hieronder hebben we een aantal argumenten voor en tegen de wet opgesomd, die je kunnen helpen bij het maken van een afweging.
Je kunt op 21 maart tegenstemmen omdat:
Er wel degelijk op grote schaal kan worden afgetapt
De AIVD verzekert dat alleen 'een minimaal deel van het internetverkeer wordt onderschept' als dat van belang is voor onderzoeksopdrachten. De directeur van de inlichtingendienst, Rob Bertholee, claimde bij De Wereld Draait Door dat de AIVD geen hele wijken gaat aftappen en in het regeerakkoord staat dat 'van het willekeurig en massaal verzamelen van gegevens van burgers in Nederland of het buitenland (‘sleepnet’) geen sprake kan, mag en zal zijn'.
Dat staat lijnrecht tegenover de mededeling van voormalig minister Plasterk van Binnenlandse Zaken bij de behandeling van de wet toen er nog geen sprake was van een referendum. "Er zal wel degelijk stelselmatig en op een zekere (grote) schaal data worden vergaard en geanalyseerd. Dit op voorhand uit te sluiten miskent de aard van de onderzoeksopdrachtgerichte interceptie." Bovendien blijkt dit ook uit voorbeelden die de overheid gaf aan providers. Zo wilde de overheid weten wat het zou kosten als tweehonderd gebruikers van een chatdienst voor een periode van twaalf maanden zouden worden afgetapt.
Er is veel discussie geweest over de term sleepnet en wanneer er sprake is van 'massaal verzamelen', maar een ding is zeker: de diensten kunnen aanzienlijke hoeveelheden gegevens van onschuldige burgers via de kabel gaan onderscheppen. Naarmate de techniek voortschrijdt, zal dat verzamelen en analyseren ook in praktische zin makkelijker worden.
Het toezicht rammelt
Over het toezicht is lang gesteggeld. Uiteindelijk gingen de Eerste en Tweede Kamer akkoord met een procedure waarbij de minister en een nieuwe commissie, de TIB, verzoeken van de AIVD en MIVD voor bijzondere bevoegdheden zoals ongericht kabelaftappen vooraf moeten toetsen. De Ctivd doet dat achteraf. Hiermee wordt het toezicht weliswaar uitgebreid, maar ook een stuk rommeliger, waarschuwden de Raad van State, de Raad voor de Rechtspraak en een groep van 29 deskundigen. Zo is onduidelijk wie uiteindelijk verantwoordelijk is en of de TIB wel over voldoende middelen en bevoegdheden beschikt om de belangrijke toets goed uit te voeren. Wat niet meehielp, was de rommelige procedure rond de benoeming van de technisch deskundige van de TIB, die samen met twee rechters de commissie vormt. Het lukte de benoemingscommissie niet de vereiste drie kandidaten te vinden en uiteindelijk viel de keuze op Ronald Prins, oud-AIVD'er en uitgesproken voorstander van de wet.
Belangrijke bevoegdheden vallen bovendien buiten de toetsing vooraf. Zo mag de AIVD informanten vragen in real time geautomatiseerd toegang te geven tot bestanden, zoals databases, ongeacht of de informant hiermee de privacywet overtreedt. Die toegang moet vrijwillig gegeven worden, maar de vraag is in hoeverre beheerders durven te weigeren. Toezicht is er alleen achteraf door de Ctivd en de AIVD heeft op dit gebied ook geen zorgplicht; de dienst hoeft gegevens via informanten niet op relevantie te toetsen.
Ongeëvalueerde bulkdata gedeeld mag worden met buitenlandse inlichtingendiensten
De AIVD en MIVD mogen gegevens die ze hebben verzameld, bijvoorbeeld metadata van onderschepte datastromen of de inhoud van harde schijven, doorspelen aan inlichtingendiensten van andere landen, ook al weten ze weinig tot niets over de gegevens. Vergaarde gegevens die betrekking hebben op onschuldige Nederlanders, kunnen zo in handen komen van buitenlandse diensten zonder dat de AIVD zelf weet om wat voor gegevens het gaat. De AIVD meldt geruststellend bij de samenwerking met andere landen onder andere te kijken naar respect voor mensenrechten, de democratische inbedding en de professionaliteit en betrouwbaarheid van de desbetreffende dienst.
De AIVD zegt echter ook: "Het op voorhand uitsluiten van samenwerken met landen die niet voldoen aan de criteria is niet wenselijk. Zelfs als sprake is van een beperkte democratische traditie en een slechte mensenrechtensituatie." In artikel 64 staat dan ook dat inlichtingendiensten na toestemming van de minister bevoegd zijn om 'op grond van een dringende en gewichtige reden geëvalueerde of ongeëvalueerde gegevens te verstrekken aan een inlichtingen- of veiligheidsdienst van een ander land waarmee geen samenwerkingsrelatie bestaat als bedoeld in artikel 88, eerste lid. Dat artikel beschrijft nu juist de criteria voor het samenwerken met betrouwbare, democratische landen die de mensenrechten respecteren. De minister kan de toestemming voor een jaar geven.
De inlichtingendiensten via-via mogen hacken
Inlichtingendiensten mogen hacken. Dat mogen ze op basis van de huidige wet en dat mogen ze nog steeds na het ingaan van de nieuwe wet. De wet heeft het over binnendringen in een geautomatiseerd werk, waaronder een scala aan apparaten valt, van laptop, router en smartphone, tot server, tv en smarthomeapparaat. De diensten kunnen hiervoor 'technische ingrepen, valse signalen, valse sleutels, en valse hoedanigheden' gebruiken, maar in de Wiv 2017 is vastgelegd dat dit ook kan 'door tussenkomst van het geautomatiseerd werk van een derde'. In de oude wet stond hier niets over, dus was het onduidelijk of dit toelaatbaar was. Adviezen om dit via-via-hacken niet toe te staan of in te perken, heeft de regering naast zich neergelegd met een beroep op 'het belang van de bescherming van de nationale veiligheid'.
Met andere woorden, de AIVD en MIVD mogen straks volgens de wet systemen hacken van providers, ict-dienstverleners en gewone burgers, om via die weg binnen te kunnen dringen in een apparaat van een verdachte. De diensten mogen hier bijvoorbeeld malware voor inzetten. Die moeten ze verwijderen 'indien mogelijk'. Dit hacken via een stepping stone moet in verhouding staan tot het doel en dat doel moet niet via een andere manier te realiseren zijn. Ook moet de privacy-inbreuk 'zo klein' mogelijk blijven en is voorafgaand toestemming van de minister nodig.
De waarborgen laten veel ruimte voor interpretatie voor een dergelijke ingrijpende en breed inzetbare bevoegdheid. Over hacken en privacy gesproken: de diensten mogen straks ook camera's en microfoons van laptops, smartphones en andere apparaten op afstand activeren om personen te observeren en af te luisteren.
De bewaartermijn van drie jaar lang is
De AIVD en MIVD mogen de via de kabel onderschepte bulkdata drie jaar bewaren. Als het om versleutelde datasets gaat, mag de minister die termijn telkens met drie jaar verlengen. Mocht het kraken van de versleuteling in de toekomst eenvoudiger worden, dan kunnen de diensten zo een backlog van jaren en jaren ontsleutelen. Zoals hierboven aangehaald, mogen de bulkgegevens met buitenlandse diensten gedeeld worden; die mogen de gegevens misschien langer, of onbeperkt bewaren.
Volgens de regering is een termijn van drie jaar nodig voor de 'analyse van historische data'. Als voorbeeld worden de onderzoeken na de aanslagen van 2015 in Parijs genoemd, waarbij op basis van een hernieuwde blik op oude gegevens nieuwe terrorismecellen in beeld gekomen zouden zijn. Heel duidelijk wordt verder niet gemotiveerd waarom drie jaar als bewaartermijn is gekozen en waarom een kortere periode niet toereikend zou zijn. De afdeling advisering van de Raad van State wees erop dat de lange bewaartermijn waarschijnlijk inbreuk maakt op het recht op bescherming van het privéleven zoals neergelegd in onder meer artikel 8 EVRM. Volgens de regering sluit de termijn 'op hoofdlijnen' aan op wat gebruikelijk is in de landen om Nederland heen. Inderdaad heeft Frankrijk langere termijnen, vier jaar voor buitenlandse communicatiedata, zes jaar voor metadata en acht jaar voor versleutelde data. In België, Duitsland en Groot-Brittannië zijn geen termijnen voor bulkdata vastgelegd, de Britse dienst GCHQ blijkt grote verzamelingen metadata ongeveer zes maanden te bewaren en de Duitse BND negentig dagen.
Je kunt op 21 maart voorstemmen omdat:
De nieuwe bevoegdheden nodig zijn en er meer controle is
Het argument dat het vaakst terugkomt als het gaat om de nieuwe Wiv is dat de nieuwe bevoegdheden nodig zijn om de inlichtingendiensten hun werk te laten doen. Zo stamt de oude wet uit 2002 en staat deze alleen op specifieke personen gericht afluisteren van de kabel toe, naast ongerichte interceptie in de ether. Intussen is er echter veel veranderd, waardoor het grootste deel van de digitale communicatie niet meer via de ether, maar via glasvezelkabels verloopt. Zonder dat de inlichtingendiensten toegang tot deze kabels hebben, bestaat het risico dat ze veel informatie mislopen en dat daardoor de veiligheid in het geding komt. Daarom oordeelde de Commissie Dessens in 2013 dan ook dat er geen reden was om te stellen dat informatie op de ether wel onderschept mag worden, terwijl diezelfde informatie niet via de kabel onderschept zou mogen worden.
De memorie van toelichting bij de nieuwe wet noemt bovendien een aantal voorbeelden van risico's als de nieuwe bevoegdheid er niet komt, zoals onvoldoende bescherming van Nederlandse soldaten op missie en het niet-herkennen van diefstal van bedrijfsgeheimen, technische kennis en staatsgeheimen. Een ander voorbeeld werd genoemd door minister-president Mark Rutte, die stelde dat de nieuwe wet nodig is zodat de diensten vervolgonderzoek kunnen doen bij een internetaanval door te zoeken naar patronen. Bovendien introduceert de wet andere bevoegdheden die het werk van de diensten ten goede kunnen komen, zoals het hacken van apparaten van derden om bij het apparaat van het uiteindelijke doelwit uit te komen.
Daarnaast introduceert de wet ten opzichte van de oude wet een nieuwe toezichthouder in de vorm van de TIB. Die bestond nog niet onder de vorige wet. Daar zitten drie leden in, waarvan twee oud-rechters en één deskundige in de persoon van Ronald Prins. Het toezicht is versterkt doordat de TIB van te voren moet nagaan of de minister rechtmatig toestemming heeft gegeven voor de inzet van bijzondere bevoegdheden door de diensten. Als de TIB van mening is dat deze toestemming onrechtmatig is gegeven, dan komt die te vervallen en vervalt daarmee de basis voor de inzet van de bevoegdheid. Verder regelt de wet sommige praktijken die eerder niet expliciet in de wet genoemd waren, zoals het hacken via een derde, het geautomatiseerd opvragen van gegevens en dna-onderzoek.
Er voorwaarden gelden voor 'onderzoeksopdrachtgerichte interceptie'
De komst van de nieuwe wet bracht ook een nieuwe term met zich mee, namelijk 'onderzoeksopdrachtgerichte interceptie'. Daarmee wordt de bevoegdheid aangeduid om een brede tap op een internetkabel te plaatsen. Het is deze term die ook wel wordt aangeduid als 'sleepnet' of 'trechter'. Deze bevoegdheid mag niet zomaar worden ingezet, er geldt een aantal voorwaarden. Zo bepalen verschillende ministeries aan de hand van een 'geïntegreerde aanwijzing' waarnaar de diensten onderzoek gaan doen en formuleren ze zo de onderzoeksopdracht.
Om de bevoegdheid vervolgens in te zetten, is toestemming nodig van de minister van Binnenlandse Zaken en de TIB. Daarbij gelden de vereisten van subsidiariteit, proportionaliteit en doelgerichtheid. Dat eerste houdt in dat er geen lichter middel mag zijn om het doel van de opdracht te bereiken. Is dat er wel, dan moet dat ingezet worden. De tweede eis houdt in dat de zwaarte van het middel en de inbreuk op de persoonlijke levenssfeer die de inzet ervan teweegbrengt, in balans moeten zijn met het doel. De derde eis houdt in dat er een bepaald doel met de inzet gediend moet zijn en dat dit dus niet achteraf nog vastgesteld kan worden.
De AIVD heeft een overzicht gecreëerd van het verloop van de inzet van de bevoegdheid tot het aftappen van de kabel. Daarin is aangegeven op welke punten toestemming nodig is van de minister en van de TIB. Ook is te zien op welk moment er een grof filter wordt ingezet en wanneer inhoud en metadata worden gesplitst en gefilterd. De AIVD claimt dat uiteindelijk ongeveer twee procent van de onderschepte gegevens overblijft. Dat gedeelte wordt vervolgens onderzocht en mag drie jaar bewaard blijven, omdat de betekenis van de gegevens niet altijd direct duidelijk is.
Het regeerakkoord een 'sleepnet' uitsluit en de toezichthouder overstag ging
De toezichthouder die de diensten tijdens en na de inzet van de bevoegdheden moet controleren, is de Ctivd. Deze was tijdens het totstandkomingsproces van de nieuwe wet kritisch, maar stelde eind februari dat de nieuwe wet wel degelijk 'in balans is' en 'in voldoende mate recht doet' aan zowel de belangen van de nationale veiligheid als de rechtsbescherming van de burger. Hoewel het beter was geweest om ze vast te leggen in de wet zelf, vindt de toezichthouder dat er veel toevoegingen aan de wet zijn gedaan in de vorm van moties, toelichtingen en toezeggingen door de regering over de uitvoering van de wet.
De toezichthouder zegt dat de wet door de wijzigingen en toezeggingen voldoet aan 'de minimumeisen die onder meer onze grondwet, het Europees Verdrag voor de Rechten van de Mens en de daarop gebaseerde rechtspraak daaromtrent stellen'. Daarnaast sprak de organisatie van een werkbare wet, die het mogelijk maakt om effectief toezicht uit te oefenen. Verder haalt de Ctivd aan dat het kabinet in het regeerakkoord heeft toegezegd dat 'van het willekeurig en massaal verzamelen van persoonsgegevens geen sprake kan, mag en zal zijn' en dat diensten toestemming moeten krijgen van de minister voor het verzamelen en verder verwerken van gegevens, naast een beoordeling van de relevantie ervan.
Het een democratische wet is die na twee jaar wordt geëvalueerd
Naast de belofte in het regeerakkoord dat er geen sprake zal zijn van een 'sleepnet', is de eis ingebouwd dat na twee jaar een onafhankelijke evaluatie van de wet plaatsvindt. Minister van Binnenlandse Zaken Kajsa Ollongren schreef hierover in een begeleidende brief dat de commissie die de evaluatie uitvoert, 'in ieder geval bestaat uit deskundigen op het gebied van privacy, veiligheid en techniek'. Bovendien zal de commissie toegang hebben tot staatsgeheimen en zal er uiteindelijk een openbaar rapport worden geproduceerd. Bij de evaluatie zou er vooral aandacht zijn voor het verzamelen van gegevens, de uitwisseling van gegevens met buitenlandse diensten, de TIB en de bewaartermijn van verzamelde data. Als de evaluatie er vervolgens op wijst dat er tekortkomingen zijn, is het volgens de minister alsnog mogelijk om aanvullende waarborgen aan de wet toe te voegen en zo nodig het toezicht te versterken.
Daar komt bij dat de nieuwe Wiv het volledige wetgevingstraject in Nederland heeft doorlopen, van openbare consultatie tot meerderheden in de Tweede en Eerste Kamer. Dat begon al in 2013 met het rapport van de Commissie Dessens, waardoor een lang traject is doorlopen. Tegenstanders van de wet, zoals de initiatiefnemers van het referendum, vinden dat er te weinig maatschappelijke discussie over de wet heeft plaatsgevonden. Deze discussie wordt nu in het kader van het referendum verhevigd gevoerd, maar was niet volledig afwezig tijdens het wetgevingsproces.
Je de AIVD en MIVD vertrouwt
Dit laatste is wellicht meer een gevoelskwestie dan een argument, maar normaal gesproken zou het niet nodig moeten zijn om af te gaan op vertrouwen als er genoeg informatie beschikbaar is. Inlichtingendiensten kunnen echter per definitie niet volledig transparant zijn over hun werkzaamheden zonder zichzelf te veel tegen te werken. Er moet dus een mate aan vertrouwen aanwezig zijn dat de diensten hun werkzaamheden goed uitvoeren en dat ongeregeldheden aan het licht komen door toezicht of de media. Voor deze afweging is bijvoorbeeld de geschiedenis van de diensten in overweging te nemen en de vraag of er in het verleden incidenten hebben plaatsgevonden waarbij ze over de schreef zijn gegaan bij de inzet van bevoegdheden.