Schriftelijke vragen : De berichtgeving dat de AIVD en MIVD niet zorgvuldig zijn omgegaan met verzamelde persoonsgegevens

Vraag 1

Bent u bekend met het bericht dat de Commissie van Toezicht op de Inlichtingen- en
Veiligheidsdiensten (CTIVD) heeft geoordeeld dat de AIVD en MIVD niet zorgvuldig zijn
omgegaan met verzamelde persoonsgegevens? (Kamerstuk 36 263, nr. 50)

Vraag 2

Onderschrijft u dat juist van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD)
en Militaire Inlichtingen- en Veiligheidsdienst (MIVD), gelet op de aard en gevoeligheid
van de gegevens die zij verwerken, mag worden verwacht dat zij de wettelijke waarborgen
voor gegevensverwerking strikt naleven? Zo nee, waarom niet?

Vraag 3

Welke concrete tekortkomingen heeft de CTIVD vastgesteld in de wijze waarop de AIVD
en MIVD-persoonsgegevens verwerken, bewaren en toegankelijk maken?

Vraag 4

Hoe heeft het kunnen gebeuren dat deze tekortkomingen zijn ontstaan, terwijl de diensten
beschikken over uitgebreide interne controlemechanismen en extern toezicht?

Vraag 5

Zijn de geconstateerde tekortkomingen het gevolg van onvoldoende capaciteit, onvoldoende
deskundigheid, tekortschietende sturing of een andere oorzaak? Kunt u dit toelichten?

Vraag 6

Heeft de CTIVD eerder vergelijkbare tekortkomingen gesignaleerd? Zo ja, welke aanbevelingen
zijn destijds gedaan en waarom hebben deze kennelijk niet voorkomen dat de huidige
situatie is ontstaan?

Vraag 7

Is naar uw oordeel sprake van tekortschietende uitvoering van bestaande wettelijke
regels, of acht u de huidige wettelijke kaders onvoldoende duidelijk, vaag, uitvoerbaar
of te strict? Kunt u uw antwoord toelichten?

Vraag 8

Welke organisatorische en technische maatregelen zijn inmiddels getroffen om ervoor
te zorgen dat wettelijke waarborgen, waaronder autorisatiebeheer, bewaartermijnen
en interne controles, structureel worden nageleefd?

Vraag 9

Wanneer zijn de geconstateerde tekortkomingen voor het eerst ontstaan en sinds wanneer
was u hiervan op de hoogte?

Vraag 10

Hoe wordt periodiek gecontroleerd of deze maatregelen daadwerkelijk functioneren en
hoe wordt de Kamer hierover geïnformeerd, voor zover de staatsveiligheid zich daar
niet tegen verzet?

Vraag 11

Wordt bij de ontwikkeling of aanbesteding van nieuwe informatiesystemen standaard
getoetst of wettelijke bewaartermijnen, autorisaties en logging automatisch worden
afgedwongen?

Vraag 12

Bent u van oordeel dat de huidige systemen van de AIVD en MIVD zodanig zijn ingericht
dat wettelijke waarborgen technisch worden afgedwongen («security by design» en «privacy
by design»)? Zo nee, waarom niet?

Vraag 13

Kunt u uitsluiten dat vergelijkbare tekortkomingen zich ook voordoen bij andere overheidsorganisaties
die grote hoeveelheden gevoelige persoonsgegevens verwerken? Zo nee, bent u bereid
hiernaar onderzoek te laten verrichten?

Vraag 14

Deelt u de opvatting dat de bescherming van gevoelige persoonsgegevens in de eerste
plaats afhankelijk is van een zorgvuldige uitvoering van wettelijke waarborgen, goed
ingerichte processen en deugdelijk toezicht, ongeacht de herkomst van de gebruikte
technologie of leveranciers? Zo nee, waarom niet?

Vraag 15

Welke lessen trekt u uit deze bevindingen om te voorkomen dat vergelijkbare tekortkomingen
zich in de toekomst opnieuw voordoen?

Vraag 16

Kunt u de vragen afzonderlijk beantwoorden?