Brief regering : Beleidsreactie op het CTIVD-rapport nr. 84 over verwerking van bulkdatasets door de AIVD en MIVD

Nr. 50
BRIEF VAN DE MINISTERS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES EN VAN DEFENSIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 1 juli 2026

Inleiding

Hierbij bieden wij u rapport nr. 84 van de Commissie van Toezicht op de Inlichtingen-
en Veiligheidsdiensten (CTIVD) aan over verwerking van bulkdatasets door de AIVD en
MIVD. Wij zijn de CTIVD erkentelijk voor het gedegen onderzoek en de waardevolle aanbevelingen.
De meeste aanbevelingen nemen wij (geheel of gedeeltelijk) over. Eén aanbeveling,
die ziet op het opstellen van een besliskader voor het beoordelen van bulkdatasets
in samenhang, nemen wij niet over. In deze beleidsreactie zullen wij de redenen daarvoor
nader toelichten. De bevindingen en aanbevelingen die raken aan de herziening van
de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017), zullen in dat traject
worden betrokken.

In de bijlage bij deze beleidsreactie geven wij voor alle aanbevelingen aan of wij
deze overnemen, op welke manier wij dat doen en wat de stand van zaken is van de implementatie.

Algemeen en noodzaak bulkdatasets

Een bulkdataset is een omvangrijke gegevensverzameling waarbij het merendeel van de
gegevens betrekking heeft op organisaties en/of personen die geen onderwerp van onderzoek
van de diensten zijn en dat ook niet worden. Het rapport gaat expliciet niet over
bulkdata die is verkregen met onderzoeksopdracht gerichte interceptie (OOG-interceptie).
Het gebruik van bulkdatasets is van essentieel belang voor de taakuitvoering van de
diensten. De diensten gebruiken bulkdatasets om inlichtingen te verrijken, om doelwitten
te identificeren en om netwerken in kaart te brengen. De AIVD en de MIVD onderstrepen
hierbij ten zeerste het belang van een rechtmatige en zorgvuldige verwerking van gegevens
in het kader van de (ondersteuning van de) taakuitvoering door de diensten. Een bulkdataset
is een omvangrijke gegevensverzameling waarbij het merendeel van de gegevens betrekking
heeft op organisaties en/of personen die geen onderwerp van onderzoek van de diensten
zijn en dat ook niet worden.

Bulkdatasets zijn bijvoorbeeld essentieel bij het monitoren van Russische dreigingen
– waarbij complexe netwerken van spionage en sabotage worden ingezet. In dit soort
casussen worden bulkdatasets gebruikt voor de eerste validatie van vermoedelijke betrokkenen.
Door diverse gegevens te combineren, kunnen de diensten vaststellen of een persoon
gelieerd is aan een statelijke actor of dit juist uitsluiten. Dat geldt in dezelfde
mate voor het liëren of uitsluiten van de betrokkenheid van een persoon bij een terroristische
groepering. Het uitvoeren hiervan stelt de diensten in staat bijzondere bevoegdheden,
zoals een telefoontap, spaarzaam en gerichter in te zetten. Tot slot zijn bulkdatasets
van groot belang voor de bescherming van vitale infrastructuur. Dit geldt bijvoorbeeld
voor de Noordzee. De diensten gebruiken bulkdatasets om patronen te analyseren om
zo de aard en intentie van buitenlandse scheepvaartbewegingen te begrijpen.

Hoofdboodschap CTIVD

De CTIVD erkent dat bulkdatasets van groot belang zijn voor de goede uitvoering van
de wettelijke taken van de diensten. Tegelijkertijd is duidelijk dat het gebruik van
bulkdatasets een aanzienlijke privacyinbreuk met zich mee kan brengen. Het is daarom
noodzakelijk dat er voldoende waarborgen zijn rondom de verwerking van bulkdatasets.
De CTIVD constateert dat het huidig wettelijk kader voldoende waarborgen biedt, en
wij onderschrijven dit.

Tegelijkertijd stelt de CTIVD vast dat in de uitvoering en (technische) implementatie
van die waarborgen nog winst valt te behalen. wij herkennen ons in dit beeld. Wij
constateren dat zowel de versnippering van het datalandschap als van het stelsel van
waarborgen voor de verwerking van bulkdatasets, mede gelet op de administratieve druk
die dit met zich meebrengt, het risico op menselijke fouten vergroot. Voorafgaand
aan en tijdens de uitvoering van het onderzoek hebben de diensten zelfstandig verschillende
risico’s en kwetsbaarheden geïdentificeerd ten aanzien van (de verwerking van) bulkdatasets.
In verschillende gevallen hebben deze risico’s daadwerkelijk geleid tot compliance-incidenten,
die voorafgaand aan en tijdens het onderzoek aan de CTIVD zijn gemeld. Naar aanleiding
van deze incidenten hebben de diensten direct maatregelen getroffen om dergelijke
incidenten te detecteren, mitigeren en in de toekomst te voorkomen, dan wel het risico
daarop aanzienlijk te verkleinen. Het betreft hier maatregelen op het gebied van autorisatiebeheer
en toegangsmanagement, alsook maatregelen die zien op het vergroten van het bewustzijn
bij medewerkers rondom het belang van compliant werken. De eerste belangrijke stappen
naar verbetering op het bulkdatasetdossier zijn zodoende al gezet. Tegelijkertijd
is duidelijk dat meer structurele maatregelen nodig zijn. In dat kader verwelkomen
wij de bevindingen van de CTIVD, die de urgentie van het onderwerp onderstrepen en
oplossingsrichtingen aandragen voor de toekomst.

Conclusies en aanbevelingen

Hieronder maken wij een aantal algemene opmerkingen over de opvolging van de aanbevelingen.
Indien wij een aanbeveling niet of gedeeltelijk overnemen, wordt dat in deze beleidsreactie
ook nader toegelicht. In de bijlage lichten wij per aanbeveling toe of, en zo ja hoe,
wij deze overnemen. Voor zover van toepassing wordt ook ingegaan op de stand van de
implementatie.

Algemeen

Een groot deel van de bevindingen en aanbevelingen is te herleiden naar verbeterpunten
met betrekking tot het technisch beheer van bulkdatasets, het bijbehorend datamanagement en de (interne) controle op wie toegang heeft
(gehad) tot welke data. Het verbeteren van het beheer van bulkdatasets staat, zoals
de CTIVD vaststelt, hoog op de agenda van de diensten. Met een aantal van de aanbevelingen
zijn de diensten al aan de slag gegaan. Zo werken de diensten aan een applicatie voor
toestemmingsverzoeken, waarmee de mogelijkheid om gegevens te raadplegen op geautomatiseerde
wijze wordt gekoppeld aan de looptijd van het toestemmingsverzoek en de bijbehorende
autorisaties.

Daarnaast zullen de AIVD en de MIVD de interne logging van systemen uitbreiden om
incidenten met autorisaties in de toekomst zo veel mogelijk te kunnen voorkomen, sneller
te kunnen detecteren en beter te kunnen mitigeren. Dit draagt bij aan compliant werken.
De benodigde technische verbetermaatregelen vergen aanpassingen, bijvoorbeeld in de
IT-systemen, die tijd en capaciteit kosten. De realisatie van deze structurele verbeteringen
zal daarom een langdurige en consistente inspanning vergen. De diensten zullen de
CTIVD periodiek op de hoogte houden van de ontwikkelingen en vorderingen op dit gebied.

Definitie bulkdatasets

De CTIVD constateert in het rapport dat de definitie van bulkdatasets in de praktijk
niet altijd goed toepasbaar is, waardoor het risico ontstaat dat bulkdatasets ten
onrechte niet als bulkdataset worden aangemerkt of dat de beoordeling van deze datasets
niet consistent is. Gelet daarop beveelt de CTIVD aan om de definitie van bulkdatasets,
of de wijze waarop deze moet worden toegepast, in beleid of regelgeving te verduidelijken.
Dit om te zorgen dat alle gegevensverzamelingen die het inbreukmakende karakter van
een bulkdataset hebben, worden verwerkt volgens de waarborgen die gelden voor bulkdatasets.

De aanbeveling wordt overgenomen door de toepassing van de definitie van bulkdatasets
in het beleid tegen het licht te houden. Op dit moment geldt de definitie van bulkdatasets
uit artikel 1 onder a van de Tijdelijke regeling verdere verwerking bulkdatasets Wiv
2017 (Tijdelijke regeling). De diensten hebben deze definitie nader uitgewerkt en
geconcretiseerd in beleid. De uitgangspunten in het beleid zullen nogmaals tegen het
licht worden gehouden en de diensten zullen erop toezien dat hier op een juiste en
uniforme manier uitvoering aan wordt gegeven. Wij hebben op dit moment geen voornemen
om de definitie in de Tijdelijke regeling te wijzigen. In het kader van de brede herziening
van de Wiv 2017 zal de huidige definitie worden heroverwogen. Daarbij dient een balans
gevonden te worden tussen het aanscherpen van de definitie en het behouden van de
noodzakelijke ruimte en operationele flexibiliteit.

Besliskader beoordeling samenhang bulkdatasets

De CTIVD concludeert in het rapport dat duidelijke beleidsmatige uitgangspunten ontbreken
voor de situaties dat bulkdatasets in samenhang moeten worden beoordeeld. De CTIVD
stelt dat, hoewel de classificatie per bulkdataset afzonderlijk moet worden gemaakt,
het van belang is bulkdatasets in samenhang te bekijken. De opbrengsten van naslag
van bulkdatasets kunnen immers uiteindelijk binnen een inlichtingenonderzoek worden
gecombineerd. Het inzicht in mogelijke samenhang en het effect van gecombineerd gebruik
op de privacyinbreuk kan daarom relevant zijn bij de bepaling van de toegangsregimes,
aldus de CTIVD. De CTIVD beveelt daarom aan te zorgen voor een besliskader waarmee
bepaald kan worden of bulkdatasets (al dan niet) in samenhang moeten worden beoordeeld,
om de privacyinbreuk daarvan (goed) te kunnen beoordelen.

Deze aanbeveling nemen wij niet over, om de volgende redenen. De Tijdelijke regeling
schrijft voor dat de diensten voorafgaand aan de verdere verwerking van een bulkdataset
moeten beoordelen in welke mate de verdere verwerking een beperking oplevert van het
recht op eerbiediging van de persoonlijke levenssfeer van personen wiens gegevens
zich in een bulkdataset bevinden. Omdat de aard en omvang van de beperking afhankelijk
is van het soort gegevens in een bulkdataset, moet – volgens de Tijdelijke regeling
– elke bulkdataset afzonderlijk worden beoordeeld, tenzij meerdere sets feitelijk
als één set gezien moeten worden. Het resultaat van deze beoordeling is leidend voor
het bepalen welk toegangsregime wordt toegepast op de bulkdataset. Aan deze voorgeschreven
werkwijze houden de diensten zich. Om deze reden hebben de diensten eveneens in beleid
vastgelegd dat het niet is toegestaan bulkdatasets op te splitsen om hiermee een lager
toegangsregime te bewerkstelligen. Het opsplitsen van een bulkdataset is wel toegestaan
indien de meer inbreukmakende gegevens worden vernietigd of de losse onderdelen van
de set in het hogere toegangsregime terechtkomen. Andersom worden meerdere bulkdatasets
die naar hun aard en inhoud als één set moeten worden beschouwd, als één set beoordeeld.

Een werkwijze zoals voorgesteld door de CTIVD zou tot gevolg kunnen hebben dat alle
losse bulkdatasets die de diensten hebben, met ieder weer verschillende soorten gegevens,
in samenhang moeten worden bezien en worden beoordeeld. Hierdoor zouden ook bulkdatasets
die een zeer geringe inbreuk maken op de persoonlijke levenssfeer zeer waarschijnlijk
terecht komen in een zwaarder waarborgen- en toegangsregime. De Tijdelijke regeling
schrijft deze werkwijze niet voor en de diensten achten dit ook niet wenselijk. Het
uitgangspunt voor de voorwaarden waaronder de diensten bulkdatasets bewaren en gebruiken
blijft, conform de Tijdelijke regeling, dat deze worden bepaald door de aard van die
bulkdataset zelf, en niet door alle andere sets waarmee deze in combinatie kan worden
gebracht.

Openbaar toegankelijke bulkdatasets

De Tijdelijke regeling schrijft voor dat de diensten, bij het bepalen van de privacyinbreuk
die wordt gemaakt door een bulkdataset, meewegen in hoeverre de bulkdataset voor eenieder
toegankelijk is. Volgens de CTIVD is de invulling en weging van dit openbaarheidscriterium
echter discutabel. In dat verband wijst de CTIVD erop dat de diensten bulkdatasets
soms aanmerken als openbaar toegankelijk als zij niet kunnen vaststellen of dit feitelijk
klopt, de gegevens afkomstig zijn uit een datalek of door commerciële partijen tegen
betaling worden aangeboden (ongeacht het gevraagde bedrag). Tegen deze achtergrond
doet de CTIVD de aanbeveling om bulkdatasets als niet openbaar toegankelijk aan te
merken wanneer niet feitelijk kan worden vastgesteld of de verworven gegevens openbaar
toegankelijk zijn (geweest), en in regelgeving of beleid aan te scherpen hoe dit criterium
moet worden betrokken bij de beoordeling van de privacyinbreuk van bulkdatasets.

Wij nemen deze aanbeveling grotendeels over. Voortaan merken de diensten bulkdatasets
aan als niet openbaar toegankelijk indien onduidelijk is of deze openbaar toegankelijk
zijn (geweest). Ook hebben de diensten tijdens de onderzoeksperiode de regels rondom
het openbaarheidscriterium in het beleid verduidelijkt en aangescherpt. Zo is inmiddels
vastgelegd dat de hoogte van het bedrag dat wordt gevraagd voor de aanschaf van een
bulkdataset aanleiding kan zijn om de bulkdataset niet langer als openbaar toegankelijk
te beschouwen. De praktijk wijst verder uit dat, hoewel een openbaar karakter de diensten
de mogelijkheid biedt een bulkdataset in een lager toegangsregime te plaatsen, de
aard van de gegevens en de mate van privacyinbreuk die de verwerking van de gegevens
met zich meebrengt (en niet het openbaarheidscriterium) doorslaggevend zijn voor het
vaststellen van het toegangsregime. In de herziening van de Wiv 2017 is nadrukkelijk
aandacht voor de invulling van het openbaarheidscriterium.

De constatering van de CTIVD dat de invulling en weging van het openbaarheidscriterium
discutabel is, herkennen wij nadrukkelijk niet. Bij de invulling van dit criterium
hebben wij, in navolging van de CTIVD in rapport nr. 74 (2022), aansluiting gezocht
bij de uitleg die aan openbronnenonderzoek wordt gegeven in de Memorie van Toelichting
bij het Wetboek van Strafvordering. Op basis van de uitleg die wordt gegeven aan openbronnenonderzoek
in CTIVD rapport nr. 74 en de Memorie van Toelichting bij het Wetboek van Strafvordering,
is niet uitgesloten dat bulkdatasets met daarin gegevens afkomstig uit een datalek
en bulkdatasets die tegen betaling beschikbaar worden gesteld, aangemerkt kunnen worden
als «openbaar toegankelijk».1

Logging

De CTIVD concludeert in het rapport dat de technische wijze waarop wordt bijgehouden
welke medewerkers toegang hebben gehad tot welke gegevens (gegevenslogging) als maatregel
tegen onbevoegde gegevensverwerking ontoereikend is. De CTIVD beveelt daarom aan de
logging van de toegang tot bulkdatasets te verbeteren en wijzigingen in autorisaties
beter inzichtelijk te maken.

Deze aanbeveling nemen wij over. De diensten zullen de interne logging van systemen
uitbreiden om compliant werken te monitoren en incidenten in de toekomst zo veel mogelijk
te kunnen voorkomen, sneller te kunnen detecteren en beter te kunnen mitigeren. Daarbij
moet evenwel worden bezien op welk detailniveau deze logging kan plaatsvinden, hetgeen
onder meer afhangt van de technische haalbaarheid van de oplossingsrichtingen. Bovendien
zal het doorvoeren van de benodigde verbetermaatregelen aanpassingen vergen, bijvoorbeeld
in de IT-systemen, die de nodige tijd en capaciteit zullen kosten. De diensten zullen
de CTIVD periodiek op de hoogte houden over de voortgang.

Datalineage

De CTIVD constateert verder dat er verbeteringen mogelijk zijn voor het in kaart brengen
van de opbrengst van het gebruik van bulkdatasets in het inlichtingenproces door de
AIVD en MIVD. De CTIVD beveelt daarom aan om te onderzoeken of er state-of-the-art
mogelijkheden zijn voor de toepassing van (geautomatiseerde) datalineage in het gebruik
van bulkdatasets. Daarmee bedoelt de CTIVD dat (via een geautomatiseerd systeem) inzichtelijk
wordt gemaakt wat de volledige levenscyclus van gegevens binnen een organisatie is.
Op die manier wordt inzichtelijk wat de herkomst van gegevens, de verwerking en de
uiteindelijke bestemming is. Daarmee kan je beter de opbrengsten in kaart brengen.

Deze aanbeveling van de CTIVD nemen wij over met een aantal kanttekeningen. De diensten
zullen onderzoeken welke mogelijkheden er zijn om de (geautomatiseerde) datalineage
te verbeteren middels state-of-the-art oplossingen. De focus van het onderzoek zal
uitgaan naar de mogelijkheden om over de gehele keten een volledig beeld te krijgen
van de bijdrage die een individueel gegeven levert aan het inlichtingenproces. De
omvang van de scope van het onderzoek en de huidige stand van de technische systemen
en werkprocessen maken dat tot een complex onderzoek, waarbij rekening gehouden zal
moeten worden met aspecten als dataopslagcapaciteit, datacentercapaciteit en veiligheidseisen.
Afhankelijk van de uitkomsten van het onderzoek zal worden bekeken of en welke verbeteringen
kunnen worden doorgevoerd in de huidige datalineage en werkprocessen. Daarbij moet
evenwel oog worden gehouden voor de balans tussen de opslagcapaciteit en de toegevoegde
waarde van het te verkrijgen inzicht in het gebruik van specifieke gegevens.

Ter ondersteuning van de taakuitvoering

De CTIVD constateert in het rapport dat bepaalde afdelingen van de diensten gebruikmaken
van omvangrijke datasets die worden uitgesloten van de regels en waarborgen van bulkdatasets.
Het betreft gevallen waarbij de datasets – met voornamelijk technische gegevens en
slechts in zeer geringe mate persoonsgegevens – enkel ter ondersteuning van de taakuitvoering
worden gebruikt. Deze sets worden dus niet ter beschikking gesteld van inlichtingenteams.
Wanneer deze datasets rechtstreeks voor inlichtingenonderzoeken ter beschikking worden
gesteld, wordt het bulkdatasetregime alsnog van toepassing verklaard, met de regels
en waarborgen die daarbij gelden. De CTIVD constateert dat er geen wettelijke grondslag
bestaat om de verwerking van bulkdatasets ter ondersteuning van de taakuitvoering
anders te behandelen dan de reguliere verwerking, en beveelt aan te zorgen voor rechtmatige
verdere verwerking van deze bulkdatasets.

De diensten hebben – gelet op het bijzondere karakter van (de verwerking van) deze
bulkdatasets – sinds lange tijd beleid ten aanzien van de verwerking van gegevens
die noodzakelijk zijn ter ondersteuning van de taakuitvoering. Hierin zijn nadere
regels gesteld aan en waarborgen opgenomen voor het gebruik van verrijkingsdata, testdata,
data voor technisch/cryptologisch onderzoek en gegevens die noodzakelijk zijn voor
de uitvoering van (bijzondere) bevoegdheden. Zo mag dit type gegevens niet in bulk
beschikbaar worden gesteld aan het inlichtingenproces en mogen deze gegevens enkel
worden verwerkt indien het om een geringe privacyinbreuk gaat. Alleen in deze gevallen
kunnen de datasets buiten het bulkdatasetregime worden geplaatst.

Wij volgen evenwel de constatering van de CTIVD dat een wettelijke grondslag voor
dit beleid ontbreekt, en onderstrepen het belang van een rechtmatige en zorgvuldige
verwerking van gegevens in het kader van de (ondersteuning van de) taakuitvoering
door de diensten. Bij de herziening van de Wiv 2017 zullen wij hier uitdrukkelijk
aandacht voor hebben. De diensten gaan graag op korte termijn met de CTIVD in gesprek
over de huidige werkwijze en de mogelijkheden om de periode tot aan de nieuwe Wiv
202X te overbruggen.

Tot slot

Bulkdatasets stellen de diensten in staat om bredere patronen en netwerken te onderkennen
en daardoor nieuwe dreigingen tijdig te voorspellen. Daarmee is het gebruik van deze
sets noodzakelijk voor het inlichtingenwerk en daarmee van groot belang voor de veiligheid
van de Nederlandse samenleving.

Tegelijkertijd dient de verwerking van bulkdatasets met voldoende waarborgen omkleed
te zijn en dienen deze waarborgen zowel technisch als procedureel adequaat te zijn
ingeregeld. De diensten zetten de komende tijd het implementeren van de reeds ingezette
verbetermaatregelen voort. Over de precieze invulling en voortgang daarvan blijven
de diensten in gesprek met de CTIVD.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties,
P.E. Heerma

De Minister van Defensie,
D. Yeşilgöz-Zegerius

BIJLAGE:

Aanbevelingen uit CTIVD rapport nr. 84

1. Zorg voor nadere maatregelen die voorkomen dat datasets ten onrechte niet als bulkdatasets
in beeld komen, bijvoorbeeld doordat deze niet worden aangemeld.

• Deze aanbeveling wordt overgenomen.

• In de opvolging van deze aanbeveling is grotendeels al voorzien. De diensten hebben
beleid opgesteld waarin de centrale regie en coördinatie rondom het proces van verwerven
en verwerken van bulkdatasets is geregeld.

• Daarnaast investeren de diensten in het verzorgen van opleidingen en trainingen op
het gebied van bulkdatasets. Op die manier weten de medewerkers wanneer sprake is
van een bulkdataset en wordt het juiste proces gevolgd. De juridische afdelingen van
de diensten adviseren de medewerkers tijdens dit proces.

• Tot slot zal de intake en ontsluiting van datasets verder worden gestroomlijnd, wat
ook bijdraagt aan tijdige herkenning van bulkdata.

2. Verduidelijk de definitie van bulkdatasets, of de wijze waarop deze moet worden
toegepast, in beleid of regelgeving om ervoor te zorgen dat alle gegevensverzamelingen
die het inbreukmakende karakter van een bulkdataset hebben, volgens de regels voor
bulkdatasets worden verwerkt en in passende waarborgen wordt voorzien.

• De aanbeveling wordt overgenomen door de toepassing van de definitie van bulkdatasets
in het beleid tegen het licht te houden.

• De definitie van bulkdatasets uit artikel 1 onder a van de Tijdelijke regeling geldt
op dit moment. De diensten hebben de definitie nader uitgewerkt en geconcretiseerd
in beleid. Er is geen voornemen om de definitie uit de Tijdelijke regeling aan te
passen.

• De diensten zullen wel de uitgangspunten uit het beleid nogmaals tegen het licht houden
en erop blijven toezien dat hieraan op een juiste en uniforme manier uitvoering wordt
gegeven. In het kader van de brede herziening van de Wiv 2017 zal de huidige definitie
worden heroverwogen. Daarbij dient echter wel een balans te worden gevonden tussen
het uitwerken van de definitie van bulkdatasets en het behouden van de noodzakelijke
ruimte en operationele flexibiliteit.

3. Werk verder aan de reeds ingezette dataconvergentie en de versterking van de centrale
regie die wordt gevoerd op de verdere verwerking van bulkdatasets.

• Deze aanbeveling wordt overgenomen.

• Zoals beschreven in het rapport zijn de diensten reeds begonnen met het verbeteren
van het versnipperde datalandschap en het voeren van centrale regie op de verdere
verwerking van bulkdatasets.

• Zo is er gewerkt aan dataconvergentie en zijn er diverse bulkdatasets verplaatst naar
ICT-systemen die beter zijn ingericht om te kunnen voldoen aan de specifieke regels
voor bulkdatasets. Daarnaast wordt er meer centrale regie gevoerd rondom de processen
die zien op de verwerking van bulkdatasets en zijn er diverse beleidsstukken opgesteld
die deze processen vastleggen.

• De ingezette dataconvergentie en aanpassingen in ICT-systemen zijn complexe maatregelen
die tijd en capaciteit kosten en ook niet in alle gevallen uitvoerbaar zijn. Daarbij
is het streven dat de processen centraal worden ingericht als het kan, maar decentraal
als het moet, gelet op bijvoorbeeld de technische of operationele complexiteit van
de verwerking van bepaalde bulkdatasets. Ongeacht de centrale of decentrale inrichting
van de processen zullen de geldende waarborgen worden toegepast.

• De ingezette verbetermaatregelen zullen de komende tijd worden voorgezet.

4. Zorg voor een besliskader om te bepalen of de verdere verwerking van meerdere bulkdatasets
(al dan niet) in samenhang moet worden gewogen om de privacyinbreuk daarvan (goed)
te kunnen beoordelen.

• Deze aanbeveling wordt niet overgenomen.

• De Tijdelijke regeling schrijft voor dat de diensten voorafgaand aan de verdere verwerking
van een bulkdataset moeten beoordelen in welke mate de verdere verwerking een beperking
oplevert van het recht op eerbiediging van de persoonlijke levenssfeer van personen
wiens gegevens zich in een bulkdataset bevinden. Omdat de aard en omvang van de beperking
afhankelijk is van het soort gegevens in een bulkdataset, moet – volgens de Tijdelijke
regeling – elke bulkdataset afzonderlijk worden beoordeeld, tenzij meerdere sets feitelijk
als één set gezien moeten worden. Het resultaat van deze beoordeling is leidend voor
het bepalen welk toegangsregime wordt toegepast op de bulkdataset. Aan deze voorgeschreven
werkwijze houden de diensten zich.

• De diensten hebben in beleid vastgelegd dat het niet is toegestaan bulkdatasets op
te splitsen om hiermee een lager waarborgstelsel te bewerkstelligen. Het opsplitsen
van een bulkdataset is wel toegestaan indien de meer inbreukmakende gegevens worden
vernietigd of de losse onderdelen van de set in het hogere toegangsregime terechtkomen.
Andersom worden meerdere bulkdatasets die naar hun aard en inhoud als één set moeten
worden beschouwd, als één set beoordeeld.

• Een werkwijze zoals voorgesteld door de CTIVD zou tot gevolg kunnen hebben dat alle
losse bulkdatasets die de diensten hebben, met ieder weer verschillende soorten gegevens,
in samenhang moeten worden bezien en worden beoordeeld. Hierdoor zouden ook bulkdatasets
die een zeer geringe inbreuk maken op de persoonlijke levenssfeer zeer waarschijnlijk
terecht komen in een zwaarder waarborgen- en toegangsregime. De Tijdelijke regeling
schrijft deze werkwijze niet voor en de diensten achten dit ook niet wenselijk. Het
uitgangspunt voor de voorwaarden waaronder de diensten bulkdatasets bewaren en gebruiken
blijft, conform de Tijdelijke regeling, dat deze worden bepaald door de aard van die
bulkdataset zelf, en niet door alle andere sets waarmee deze in combinatie kan worden
gebracht.

5. Merk gegevens aan als niet openbaar toegankelijk wanneer niet feitelijk kan worden
vastgesteld of de verworven gegevens openbaar toegankelijk zijn (geweest). Scherp
in regelgeving of beleid aan hoe dit criterium moet worden betrokken bij de beoordeling
van de privacyinbreuk van bulkdatasets. Houd hierbij rekening met de omstandigheid
dat gegevens uit een datalek openbaar toegankelijk kunnen zijn, maar doorgaans niet
door de betrokkenen zelf openbaar zijn gemaakt. De openbaarheid van gegevens is niet
altijd bepalend voor de aard van de gegevens noch voor de mate van privacyinbreuk
die de verwerking van deze gegevens met zich meebrengt.

• Deze aanbeveling wordt grotendeels overgenomen.

• Voortaan merken de diensten bulkdatasets aan als niet openbaar toegankelijk indien
onduidelijk is of deze openbaar toegankelijk zijn (geweest). Ook hebben de diensten
tijdens de onderzoeksperiode de regels rondom het openbaarheidscriterium in het beleid
verduidelijkt en aangescherpt. Zo is inmiddels vastgelegd dat de hoogte van het gevraagde
bedrag aanleiding kan zijn om de bulkdataset niet langer als openbaar toegankelijk
te beschouwen. De praktijk wijst verder uit dat, hoewel een openbaar karakter de diensten
de mogelijkheid biedt om een bulkdataset in een lager toegangsregime te plaatsen,
de aard van de gegevens en de mate van privacyinbreuk die de verwerking van de gegevens
met zich meebrengt (en niet het openbaarheidscriterium) doorslaggevend zijn voor het
vaststellen van het toegangsregime.

• In de herziening van de Wiv 2017 is nadrukkelijk aandacht voor de invulling van het
openbaarheidscriterium.

• Wij herkennen ons niet in de constatering van de CTIVD dat de invulling en weging
van het openbaarheidscriterium discutabel is. Op basis van de uitleg die wordt gegeven
aan openbronnenonderzoek in CTIVD-rapport nr. 74 en de Memorie van Toelichting bij
het Wetboek van Strafvordering, valt niet uit te sluiten dat bulkdatasets met daarin
gegevens afkomstig uit een datalek en bulkdatasets die tegen betaling beschikbaar
worden gesteld, aangemerkt kunnen worden als «openbaar toegankelijk».

• In het toetsingskader als uiteengezet in het CTIVD-rapport nr. 74 (2022) is toegelicht
dat in de Memorie van Toelichting bij de Wiv 2017 (hierna MvT) een voor eenieder toegankelijke
informatiebron ex. art. 25 Wiv 2017 wordt omschreven als «alle bronnen (traditionele
media, internet e.d.) die zonder meer kunnen worden geraadpleegd en waarvoor geen
drempels bestaan». Vervolgens stelt de CTIVD: «De wetgever legt in de wetsgeschiedenis
echter niet uit wat als een «drempel» moet worden gezien. (...) Voor de nadere inkadering
van het begrip «voor eenieder toegankelijke informatiebron» zoekt de CTIVD aansluiting
bij het Wetboek van Strafvordering, waarin openbronnenonderzoek door de politie wordt
gereguleerd.»

• Daaropvolgend wordt in dit rapport gesteld dat de strafbaarstelling in Nederland voor
het beschikbaar stellen van niet-openbare gegevens en heling van gegevens per 1 maart
2019, indicatief is voor hoe moet worden omgegaan met het overnemen van gegevens uit
gelekte datasets.2

• Recentelijk is in de Eerste Kamer een wetsvoorstel tot vaststelling van het nieuwe
Wetboek van Strafvordering aangenomen. In de MvT is het volgende opgenomen over het
al dan niet kunnen aanmerken van een bron als zijnde publiek toegankelijk: «bronnen
die financiële drempels kennen voor de toegang maar niet anderszins aan toegangscontrole
onderworpen zijn, zoals toegang tot LexisNexis, de Kamer van Koophandel of integrale
bestanden die op de markt tegen betaling beschikbaar zijn, een publiek toegankelijke
bron zijn, ook als de financiële drempel dusdanig is dat niet iedereen het zich zou
kunnen veroorloven.»3

6. De wijze waarop toegangsmanagement voor bulkdatasets met een (strikt) beperkt toegangsregime
technisch en procedureel is geïmplementeerd moet worden verbeterd op een manier die
het risico op onrechtmatige gegevensverwerking mitigeert.

• Deze aanbeveling wordt overgenomen.

• Gedurende het onderzoek van de CTIVD zijn de diensten al begonnen met het treffen
van verbetermaatregelen ten aanzien van het technisch en procedureel implementeren
van het toegangsmanagement voor bulkdatasets met een (strikt) beperkt toegangsregime.
Zo werken de diensten aan een applicatie voor toestemmingsverzoeken, waarmee de mogelijkheid
om gegevens te raadplegen op geautomatiseerde wijze wordt gekoppeld aan de looptijd
van het toestemmingsverzoek. Daarnaast verbeteren de diensten hun Identity- en Access
Management (IAM) zodat autorisaties voor toegang tot bulkdatasets nauwkeuriger kunnen
worden beheerd.

• Dergelijke technische verbetermaatregelen vergen aanpassingen, bijvoorbeeld in de
IT-systemen, die tijd en capaciteit kosten. De realisatie van deze structurele verbeteringen
zal daarom een langdurige en consistente inspanning vergen. De diensten zullen de
CTIVD periodiek op de hoogte houden van de ontwikkelingen en vorderingen op dit gebied.

7. De logging van de toegang tot bulkdatasets moet worden verbeterd. Daarnaast moeten
wijzigingen in autorisaties beter inzichtelijk worden gemaakt. Achteraf moet beter
kunnen worden vastgesteld wie al dan niet terecht toegang heeft gehad tot een bulkdataset
en daarvan gebruik heeft gemaakt.

• Deze aanbeveling wordt overgenomen, met de volgende kanttekening.

• De diensten zullen de interne logging van systemen uitbreiden om incidenten in de
toekomst zo veel mogelijk te kunnen voorkomen, sneller te kunnen detecteren en beter
te kunnen mitigeren. Dit bevordert compliant werken en de monitoring ervan. Daarbij
moet evenwel worden bezien op welk detailniveau deze logging zal kunnen plaatsvinden,
hetgeen onder meer afhangt van de technische haalbaarheid van de oplossingsrichtingen.

• Het doorvoeren van de benodigde verbetermaatregelen vergt aanpassingen, bijvoorbeeld
in de IT-systemen, die de nodige tijd en capaciteit zullen kosten. De realisatie van
deze structurele verbeteringen zal daarom een langdurige en consistente inspanning
vergen. De diensten zullen de CTIVD periodiek op de hoogte houden over de voortgang.

8. Onderzoek de state-of-the-art mogelijkheden voor de toepassing van (geautomatiseerde)
datalineage. Voer op basis hiervan verbeteringen door in de huidige wijze van datalineage.

• Deze aanbeveling nemen wij over met een aantal kanttekeningen.

• De diensten zullen onderzoeken welke mogelijkheden er zijn om de (geautomatiseerde)
datalineage te verbeteren middels state-of-the-art oplossingen. Op basis van dat onderzoek
kunnen dan verbeteringen worden doorgevoerd in de huidige werkwijze.

• Focus van het onderzoek zal uitgaan naar de mogelijkheden om over de gehele keten
een volledig beeld te krijgen van de bijdrage die een individueel gegeven levert aan
het inlichtingenproces. De omvang van de scope van het onderzoek en de huidige stand
van de technische systemen en werkprocessen maken dat tot een complex onderzoek, waarbij
rekening gehouden zal moeten worden met aspecten als dataopslagcapaciteit, datacentercapaciteit,
budget en veiligheidseisen.

• Afhankelijk van de uitkomsten van het onderzoek zal worden bekeken of en welke verbeteringen
kunnen worden doorgevoerd in de huidige datalineage en werkprocessen, en wat er nodig
is voor implementatie van doeltreffende en doelmatige oplossingen in de bulkketen.
Daarbij moet evenwel oog worden gehouden voor de balans tussen de opslagcapaciteit
en de toegevoegde waarde van het te verkrijgen inzicht in het gebruik van specifieke
gegevens.

9. Zorg ervoor dat gegevens uit bulkdatasets ter ondersteuning van de taakuitvoering
ook rechtmatig verder worden verwerkt. Overweeg om bij de herziening van de Wiv 2017,
een wettelijke grondslag te creëren indien het noodzakelijk blijkt om ter ondersteuning
van de taakuitvoering bulkdatasets te verwerken. Specifieer nader welke verwerkingsdoeleinden
kunnen worden aangemerkt als ter ondersteuning van de taakuitvoering. Het gebruiken
van gegevens bij de inzet van bevoegdheden zou ook gewoon als taakuitvoering gezien
kunnen worden. Leg naast het creëren van een grondslag wettelijk vast welke eisen
gelden om te voorzien in passende waarborgen die recht doen aan de privacyinbreuk.
Functiescheiding zoals in onderhavige gevallen is ingericht, kan hiervan een onderdeel
zijn.

• Deze aanbeveling wordt overgenomen.

• Wij onderstrepen ten zeerste het belang van een rechtmatige en zorgvuldige verwerking
van gegevens in het kader van de (ondersteuning van de) taakuitvoering door de diensten.

• Bij de herziening van de Wiv 2017 hebben wij aandacht voor gegevens ter ondersteuning
van de taakuitvoering. Specifiek wordt gekeken naar de voorwaarden waarop en doeleinden
waarvoor dergelijke gegevens mogen worden verwerkt en welke waarborgen (zoals bewaartermijnen
en functiescheiding) daarbij passen.

• De diensten gaan graag op korte termijn met de CTIVD in gesprek over de rechtmatigheid
van de huidige werkwijze en de mogelijkheden om de periode tot aan de nieuwe Wiv 202X
te overbruggen.

10. Onderzoek welke A-bulkdatasets ten onrechte (nog) niet zijn onderworpen aan een
periodieke beoordeling van de noodzaak tot verwijdering. Zorg ervoor dat herbeoordeling
alsnog plaatsvindt.

11. Tref nadere maatregelen om ervoor te zorgen dat de periodieke beoordeling van
de noodzaak tot verwijdering van A-bulkdatasets tijdig plaatsvindt.

• Deze aanbevelingen worden overgenomen.

• De diensten hebben voorafgaand aan en tijdens het onderzoek van de CTIVD een aantal
bulkdatasets aangetroffen waarbij de herbeoordeling nog niet had plaatsgevonden. Naar
aanleiding van deze compliance incidenten hebben de diensten direct maatregelen getroffen
om dergelijke incidenten te detecteren, mitigeren en in de toekomst te voorkomen,
dan wel het risico daarop aanzienlijk te verkleinen. Zo zijn onder meer alle periodieke
beoordelingen gedaan en zijn er maatregelen getroffen om te voorkomen dat deze te
laat plaatsvinden.

• Zo wordt centraal geregistreerd en gestuurd op wanneer een bepaalde periodieke beoordeling
dienten plaats te vinden en is er ingezet op het vergroten van het bewustzijn van
medewerkers rondom het belang van compliant werken.

12. Overweeg bij de herziening van de Wiv 2017 om de regels voor de verdere verwerking
van bulkdatasets, waaronder de regels voor bewaartermijnen, niet langer te baseren
op de wijze van verwerving, maar op de inbreuk op grondrechten die de verdere verwerking
van de bulkdataset door de diensten maakt. Om deze inbreuk te bepalen is een inhoudelijke
beoordeling van de gegevens noodzakelijk.

• Er heeft op dit moment nog geen definitieve besluitvorming plaatsgevonden over het
nieuwe wetsvoorstel. De aanbeveling betrekken we bij de inrichting van het nieuwe
stelsel in de herziening van de Wiv 2017.

13. Pas de bewaartermijn voor bulkdatasets in het technisch voortraject aan.

• Deze aanbeveling wordt overgenomen, met de volgende kanttekening.

• De diensten zullen in het beleid aanscherpen dat de bewaartermijn voor bulkdatasets
in het technisch voortraject wordt aangepast zodat er niet langer dan nodig inbreuk
op de privacy wordt gemaakt.

• De diensten zullen de termijnen hiervoor in het beleid aanscherpen en strenger beoordelen
of gegevens in het technisch voortraject bewaard moeten worden of dat deze eerder
vernietigd kunnen worden.

• De diensten hanteren daarbij het principe dat het mogelijk moet kunnen zijn om data
later aan te vullen, te herstellen of extra te kunnen ontsluiten, indien zij aanvullende
informatie hebben gekregen over de data. Het kan namelijk voorkomen dat de diensten
nadere informatie ontvangen, bijvoorbeeld vanuit een partnerdienst, waarmee de data
kan worden geduid of gekoppeld, waardoor deze alsnog relevant wordt voor het inlichtingenproces.
Het is dan van belang dat de diensten – voor een korte periode – over alle gegevens
kunnen beschikken om deze nadere duiding of koppeling te kunnen verwerken.

• Bij dit proces passen de diensten altijd aanvullende waarborgen toe. Daarnaast zijn
deze gegevens door middel van een functiescheiding afgescheiden van het inlichtingenproces.
Bovendien mogen deze gegevens niet zonder toestemming van de afdeling juridische zaken
en een nadere inhoudelijke beoordeling worden toegevoegd aan de bulkdataset die wel
beschikbaar is voor het inlichtingenproces.