Brief regering : Beleidsreactie CTIVD rapport nr. 65 Verstrekken van ongeëvalueerde gegevens aan buitenlandse diensten door de AIVD en de MIVD

Nr. 193 BRIEF VAN DE MINISTERS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 15 oktober 2019

Hierbij bieden wij u het toezichtsrapport nr. 65 van de Commissie van Toezicht op
de Inlichtingen- en Veiligheidsdiensten (CTIVD) aan over het verstrekken van ongeëvalueerde
gegevens aan buitenlandse diensten door de AIVD en de MIVD1.

Wij zijn de CTIVD erkentelijk voor het gedegen onderzoek, dat betrekking heeft op
de periode 1 mei 2018 (de datum van inwerkingtreding van de Wet op de inlichtingen-
en veiligheidsdiensten 2017 (Wiv 2017)) tot 1 januari 2019.

Ten aanzien van het juridisch kader dat is gehanteerd bij het onderzoek verschillen
wij op een enkel punt van inzicht met de CTIVD. Met dit voorbehoud worden de aanbevelingen
van de CTIVD die zien op het beleid en de werkinstructies van beide diensten overgenomen.
Over de exacte invulling van de aanbeveling die zien op de praktijk van de MIVD van
het verstrekken van ongeëvalueerde gegevens gaan we in gesprek met de CTIVD. De aanbevelingen
voor de praktijk van de AIVD worden overgenomen. Op het bovenstaande wordt in de brief
toelichting gegeven, alsmede op het algehele proces van gegevensverstrekking.

Gegevensverstrekking noodzakelijk voor goede taakuitvoering

Het verstrekken van geëvalueerde en ongeëvalueerde gegevens aan buitenlandse diensten
is een belangrijk onderdeel van het werk van de diensten en noodzakelijk voor hun
goede taakuitvoering. Dreigingen kennen vaak een grensoverschrijdend karakter of zijn
gericht tegen onze militairen en andere te beschermen belangen in het buitenland.
Bij het delen van gegevens, zeker als het ongeëvalueerde gegevens betreft, kunnen
risico's voor de bescherming van de persoonlijke levenssfeer van personen ontstaan.
De diensten hebben de verantwoordelijkheid die risico's zoveel als mogelijk te beperken.
Daarom verstrekken de diensten niet zomaar gegevens aan buitenlandse diensten. Doorgaans
gebeurt dit in het kader van een langlopende operationele samenwerking, zoals ook
blijkt uit het rapport van de CTIVD. Verstrekking van gegevens, ongeacht of deze gegevens
geëvalueerd zijn of niet, moet altijd zorgvuldig gebeuren. Dat betekent dat de diensten
telkens de vraag moeten stellen: wat is bekend over de te verstrekken gegevens en
welke mogelijke risico’s zijn aan deze verstrekking verbonden? Bij elke verstrekking
maken de diensten daarom een risico-inschatting. Het vinden en behouden van een optimale
balans tussen de goede taakuitvoering en een zo beperkt mogelijke inbreuk op grondrechten
zoals bescherming van de persoonlijke levenssfeer is een uiterst delicaat proces dat
continu aandacht behoeft.

Verstrekking van gegevens – geëvalueerd of ongeëvalueerd – aan een buitenlandse dienst
kan op basis van een drietal grondslagen. Ten eerste in het belang van de AIVD of
de MIVD zelf, in het kader van de goede taakuitvoering door de diensten (artikel 62
Wiv 2017). Een verstrekking van gegevens kan daarnaast ook plaatsvinden in het belang
van een buitenlandse dienst, voor zover dit belang niet onverenigbaar is met de belangen
die de diensten hebben te behartigen en een goede taakuitvoering van de diensten zich
hier niet tegen verzet (artikel 89 Wiv 2017). In beide gevallen moet sprake zijn van
een samenwerkingsrelatie, waarvoor de Minister toestemming heeft verleend. Daaraan
dient een wegingsnotitie ten grondslag te liggen, waarin is onderzocht wat de aard
en intensiteit van de desbetreffende samenwerkingsrelatie kan zijn, zoals de mogelijkheid
om gegevens te mogen verstrekken. Tot slot mogen de diensten in noodsituaties gegevens
verstrekken aan diensten waarmee geen samenwerkingsrelatie bestaat (artikel 64 Wiv
2017). De conclusie dat dit laatste in de onderzoeksperiode niet is voorgekomen onderschrijft
dat deze verstrekkingsmogelijkheid is voorbehouden aan noodsituaties.

Geëvalueerd en ongeëvalueerd

Voor de uitleg van de begrippen geëvalueerd en ongeëvalueerd is in de wet en parlementaire
behandeling aansluiting gezocht bij de relevantie van gegevens voor de onderzoeken
van de diensten. Gegevens die (een eerste keer) op hun relevantie voor enig lopend
onderzoek zijn onderzocht, worden aangemerkt als geëvalueerd. Gegevens die nog niet
op relevantie zijn beoordeeld, worden als ongeëvalueerd beschouwd. Met deze definities
is aansluiting gezocht bij de door de CTIVD in toezichtsrapport nr. 49 gehanteerde
definities (Kamerstuk 29 924, nr. 142), die ook de basis hebben gevormd voor de huidige wettelijke regeling. De wet gaat
in het kader van de verstrekkingsregeling ervan uit dat op voorhand duidelijk dient
te zijn welke gegevens geëvalueerd of ongeëvalueerd zijn. Dat sluit aan bij de praktijk
waarin de diensten continu beoordelen of gegevens wel of niet relevant en daarmee
geëvalueerd zijn. Voor het inlichtingenproces is het essentieel om te beoordelen of
een gegeven relevant is voor de taakuitvoering of niet. De vraag of een gegeven daarmee
als geëvalueerd of ongeëvalueerd dient te worden aangemerkt, krijgt voor het inlichtingenproces
pas praktische waarde bij een eventuele verstrekking.

De CTIVD onderschrijft in het onderzoek het standpunt dat gegevens die zijn beoordeeld
op relevantie (ongeacht de uitkomst hiervan) als geëvalueerd moeten worden aangemerkt.
De CTIVD maakt hierbij echter wel een kanttekening, door te stellen dat deze beoordeling
op relevantie voldoende specifiek moet zijn. Als voorbeeld van relevantiebepaling
waar dit niet altijd het geval is, noemt de CTIVD de relevantiebepaling die niet per
gegeven, maar op meer abstracte wijze, per categorie, geautomatiseerd of impliciet
op inhoud wordt beoordeeld. In dat geval moeten de feiten en omstandigheden van het
concrete geval, los van een beoordeling op relevantie, duidelijk maken of een dienst
in voldoende mate «weet wat hij geeft» en of deze gegevens als «geëvalueerd» kunnen
worden aangemerkt. Daarmee kiest de CTIVD voor een loskoppeling tussen de relevantiebeoordeling
van gegevens voor de onderzoeken van de diensten en de beoordeling of deze gegevens,
ten behoeve van het verstrekken aan buitenlandse diensten, geëvalueerd zijn of niet.

Voor een eenduidige en duidelijke wetstoepassing en werkbaarheid voor de diensten
vinden wij het wenselijk om gegevens die een eerste keer op relevantie zijn getoetst,
ongeclausuleerd als geëvalueerd te beschouwen. Hierbij kan de beoordeling van gegevens
op relevantie – waarmee deze gegevens als geëvalueerd zijn aan te merken – op een
hoger abstractieniveau worden uitgevoerd, zolang er voldoende zicht is op de aard
en inhoud van de gegevens in relatie tot een onderzoek van de dienst. Bij de beantwoording
of een gegeven of een set gegevens relevant is, is immers ook de context van het onderzoek
van betekenis. Zo is het goed denkbaar dat de diensten wel degelijk kennis hebben
van de aard en de inhoud van een te verstrekken set gegevens, ook wanneer niet elk
gegeven van de set afzonderlijk is onderzocht. Zoals hieronder nader toegelicht, blijkt
overigens dat deze werkwijze wat betreft de aan een verstrekking voorafgaande afweging
en de daarin te betrekken criteria materieel overeenkomt met het door de CTIVD benoemde
belang, namelijk dat de diensten bij een gegevensverstrekking aan een buitenlandse
dienst in voldoende mate weten wat zij geven. Wij blijven in gesprek met de CTIVD
om te zoeken naar een voor de praktijk werkbare situatie.

Risico-inschatting

Zoals eerder beschreven is de uitwisseling van gegevens een belangrijk onderdeel van
het werk van de diensten. Net als de CTIVD zijn wij van mening dat er een toets voorafgaand
aan de verstrekking van gegevens dient te worden uitgevoerd. Er is immers een verplichting
om de risico’s van een verstrekking zoveel mogelijk te beperken. Artikel 18 van de
wet bepaalt voor alle vormen van gegevensverwerking, dus ook waar het gaat om de verstrekking
van gegevens aan buitenlandse diensten, dat deze slechts plaatsvindt voor een bepaald
doel en slechts voor zover dat noodzakelijk is voor een goede uitvoering van de wet;
daarnaast dient de verwerking in overeenstemming met de wet te zijn en op behoorlijke
en zorgvuldige wijze plaats te vinden. Op basis van deze wettelijke criteria zijn
de diensten bij een voorgenomen verstrekking tevens verplicht een inschatting te maken
van de risico’s van de verstrekking. Dit doen zij in combinatie met eventuele aanvullende
specifieke eisen die volgen uit de wettelijke grondslag waarop de verstrekking zal
plaatsvinden.

Bij deze risico-inschatting is het van belang of er sprake is van geëvalueerde of
ongeëvalueerde gegevens. Dit onderscheid is van belang, omdat bij geëvalueerde gegevens,
zoals de CTIVD ook stelt, het zicht op concrete eventuele risico’s dusdanig is dat
een specifieke afweging kan worden gemaakt of er kan worden verstrekt. Bij ongeëvalueerde
gegevens is dit zicht niet dusdanig concreet en vindt de afweging op meer abstract
niveau plaats.

Opvolging aanbevelingen

Aanbevelingen beleid en werkinstructies De verbeteringen voor het beleid en de werkinstructies
zijn bij de AIVD en MIVD reeds in gang gezet. Hierbij worden de aanbevelingen van
de CTIVD die zien op beleid en werkinstructies overgenomen, met uitzondering van het
hierboven toegelichte verschil van inzicht.

Zo heeft de AIVD in beleid opgenomen dat in de motivering voor het verzoek om toestemming
voor verstrekken van ongeëvalueerde gegevens aan een partnerdienst, de bevindingen
uit de wegingsnotitie voor deze dienst expliciet worden betrokken. Hiermee wordt inzichtelijk
gemaakt dat de eventuele risico’s van samenwerking worden meegenomen in de afweging
voor de verstrekking, evenals eventuele maatregelen om deze risico’s te beperken.
De AIVD heeft daarnaast aan het beleid toegevoegd dat de motivering van het verzoek
om toestemming zich moet richten op de eisen van noodzakelijkheid, behoorlijkheid
en zorgvuldigheid. Ook de verschillende grondslagen waarop verstrekking kan plaatsvinden
(artikel 62, 89 of 64) worden door de AIVD toegelicht in beleid en expliciet als procedurele
vereiste voor toestemmingsaanvragen genoemd. Hetzelfde geldt voor de toepassing van
de derdepartijregel en de eventuele noodzaak en wenselijkheid tot het filteren van
de te delen gegevens.

De MIVD heeft in het beleid reeds de grondslag van artikel 62 Wiv 2017 toegevoegd.
Verbeteringen voor het beleid en de werkinstructies en de motivering van de toestemmingsverzoeken
zijn bij de MIVD reeds in gang gezet.

Bij beide diensten zal de komende tijd aandacht uitgaan naar verdere aanscherping
van beleid en werkinstructies. Eveneens wordt door beide diensten gewerkt aan de inrichting
van centrale registratie van verstrekkingen van ongeëvalueerde gegevens.

Aanbevelingen praktijk

Ten aanzien van de aanbevelingen voor de praktijk van de AIVD zijn eveneens al stappen
gezet. Het ontbreken van ministeriële toestemming voor de verstrekkingen in drie samenwerkingsverbanden
is hersteld, en hiervan is melding gemaakt aan de CTIVD. Daarbij is voor nu de conclusie
van de CTIVD ten aanzien van deze onrechtmatigheden overgenomen. In de toekomst zal
uit het aangescherpte beleid duidelijker volgen wanneer er sprake is van ongeëvalueerde
gegevens, met inachtneming van hetgeen hierboven genoemd. Voor het verstrekken van
deze gegevens is dan ministeriële toestemming vereist.

Zowel de AIVD als de MIVD zullen daarnaast de gebreken in de motivering van de toestemmingsaanvragen
van de lopende samenwerkingen met buitenlandse diensten herstellen bij de verlengingsverzoeken.
Voor deze samenwerkingsverbanden geldt ook dat, conform aanbeveling, door de diensten
wordt gewerkt aan vernieuwde Memoranda of Understanding (MoU) waarin afspraken worden
vastgelegd zoals de derdepartijregel. Gezien de betrokkenheid van verschillende partnerdiensten
betreft dit een langer lopend proces.

Voor de praktijk van de MIVD heeft de CTIVD twee aanbevelingen gedaan inzake de inzet
van de selectiebevoegdheid ten behoeve van partners. Om tot een eenduidige wetsuitleg
te komen die recht doet aan de praktijk zullen wij hier op korte termijn het gesprek
met de CTIVD over aan gaan. Ook bespreekt de CTIVD in het rapport ontwikkelingen op
het gebied van electronic intelligence, ELINT (parametrische en positionele informatie
van non-communicatiesystemen welke werken in een elektromagnetisch veld). Conform
eerdere CTIVD-rapporten (28 en 38) neemt de MIVD in beleid als uitgangspunt dat het
verwerven van gegevens door middel van ELINT geen inbreuk maakt op de privacy of andere
fundamentele rechten van de mens. Daar waar in de toekomst technologische ontwikkelingen
plaatsvinden die tot gevolg hebben dat inzet van ELINT wel tot een dergelijke inbreuk
leidt, zal de inzet niet onder de noemer «ELINT» plaatsvinden, maar het gebruikelijke
aanvraag- en verwerkingsproces worden doorlopen met inachtneming van alle (wettelijke)
waarborgen.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties,
K.H. Ollongren

De Minister van Defensie,
A.Th.B. Bijleveld-Schouten