Beleidsreactie CTIVD rapport nr. 85 over toepassing filterkader OOG-interceptie

29 924 Toezichtsverslagen AIVD en MIVD Nr. 297 Brief van de ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie Aan de Voorzitter van de Tweede Kamer der Staten-Generaal Den Haag, 27 augustus 2026 Inleiding Hierbij bieden wij u rapport nr. 85 van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) aan over de toepassing van het filterkader bij onderzoeksopdrachtgerichte (OOG) interceptie, meer specifiek over ‘de werking en waarde van het filterkader’. Wij spreken graag onze waardering uit voor het onderzoek van de CTIVD en de waardevolle aanbevelingen die op basis daarvan zijn gedaan. Deze waardering strekt zich tevens uit tot de wijze waarop de (technisch) complexe werking van OOG-interceptie is omschreven en weergegeven. Er zijn in het rapport geen onrechtmatigheden vastgesteld. De CTIVD signaleert wel een aantal risico’s en heeft in dat kader een aantal aanbevelingen gedaan, deze nemen de diensten allen over. Wij staan in deze reactie eerst kort stil bij de noodzaak van OOG-interceptie, waarna het waarborgenstelsel van het OOG-interceptiestelsel wordt toegelicht. Vervolgens gaan wij in op de bevindingen en conclusies van de CTIVD en wordt per aanbeveling toegelicht op welke wijze wij hieraan opvolging geven, dan wel reeds hebben gegeven. Noodzaak OOG-interceptie en waarborgenstelsel De bevoegdheid tot OOG-interceptie geeft de diensten de mogelijkheid om in het kader van hun taakuitvoering ter bescherming van de nationale veiligheid communicatiegegevens uit de ether en van kabels te verzamelen. De diensten richten zich met OOG-interceptie op hoofdzakelijk internationaal verkeer. OOG-interceptie kenmerkt zich door een zekere mate van inherente ongerichtheid waarmee gegevens worden verzameld. Juist deze inherente ongerichtheid biedt de diensten de mogelijkheid om ongekende dreigingen in een zo vroeg mogelijk stadium te onderkennen. Daarbij valt niet te voorkomen dat ook gegevens van personen en organisaties die niet in onderzoek zijn bij de diensten worden verzameld. Voor de daaropvolgende verwerking van gegevens moet daarom aan strikte voorwaarden worden voldaan. OOG-interceptie is een ketenbevoegdheid die bestaat uit verschillende fasen. Het gaat hierbij om een gradueel proces waarbij elke fase is voorzien van eigen en passende waarborgen. Naarmate het inbreukmakende karakter per fase toeneemt, zijn andere (en zwaardere) waarborgen van toepassing. Het stelsel dient dan ook als geheel te worden bezien in het licht van deze toepasselijke waarborgen. Zo kan van bepaalde gegevens enkel bij uitsluiting van anderen kennis worden genomen (functiescheiding) en vindt datareductie plaats. Binnen dit proces van datareductie worden gegevens op verschillende manieren gefilterd, zoals door toepassing van een filterkader, leads en selectoren. Alleen in de laatste fase van deze keten kunnen gegevens direct beschikbaar komen voor het inlichtingenproces. Deze werkwijze doet recht aan zowel de noodzaak onderzoek te verrichten naar ongekende dreigingen als aan de zorgvuldige verwerking van gegevens verkregen met OOG-interceptie. In het toezichtrapport concludeert de CTIVD dat de toepassing van het filterkader één van de stappen is in het proces van datareductie en daaraan bijdraagt. Daarmee biedt het filterkader een belangrijke waarborg voor de rechtmatige inzet van OOG interceptie. De bevoegdheid tot OOG-interceptie is van onmiskenbare waarde voor het effectief kunnen uitoefenen van de taken van de diensten. Het stelt de diensten in staat tijdig zowel gekende als ongekende dreigingen te onderkennen. Met de verkregen gegevens worden onder meer lopende onderzoeken van de diensten verrijkt en wordt (effectieve) inzet van andere bevoegdheden mogelijk gemaakt. Ondanks het belang en de noodzaak van de inzet van dit middel voor de taakuitvoering van de diensten, kon aan (kabelgebonden) OOG-interceptie lange tijd niet effectief uitvoering worden gegeven. Het wettelijk kader van de Wiv 2017 bleek ontoereikend. Met de Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma, bulkdatasets en overige specifieke voorzieningen (Tijdelijke wet) is het juridisch kader aangepast en is het aantal rechtmatig beoordeelde toestemmingsverzoeken toegenomen. Zo is de verkenningsbevoegdheid geïntroduceerd, waarbij het gerichtheidsvereiste is losgelaten. Over dit vereiste bestond tussen de diensten en de Toetsingscommissie Inzet Bevoegdheden (TIB) onder de Wiv 2017 een verschil van inzicht. Bij de implementatie van de Tijdelijke wet is veel aandacht besteed aan het opzetten van een evenwichtig stelsel voor OOG-interceptie voorzien van end-to-end waarborgen. Wij kunnen dan ook stellen dat de komst van de Tijdelijke wet heeft bijgedragen aan een verbeterde slagkracht van de diensten waarin de waarborgen zijn geborgd. Ditzelfde geldt voor de intrekking van het negatief filter op download- en streamingverkeer onder de Wiv 2017. Dat laat onverlet dat het juridisch kader verder kan worden geoptimaliseerd. Conclusies en aanbevelingen Het onderzoek van de CTIVD ziet enerzijds op de technische werking van het filterkader en anderzijds op de wijze waarop de diensten controle houden op het proces van datareductie. De CTIVD constateert dat de diensten reeds belangrijke maatregelen hebben genomen om de rechtmatige inzet van OOG-interceptie te borgen, maar signaleert tevens op een aantal onderdelen ruimte voor verdere verbetering. De diensten herkennen dit beeld, hebben reeds verschillende maatregelen getroffen en nemen de aanbevelingen van de CTIVD over. In de volgende passages lichten wij deze opvolging per aanbeveling toe. Consistent gebruik definities en werkwijze toestemmingsverzoeken De CTIVD concludeert ten eerste dat begrippen en definities binnen de OOG-keten niet altijd consistent worden gebruikt en soms contextafhankelijk zijn. Juridische definities zijn soms moeilijk te vertalen naar de technische realiteit. Het verschil in uitleg tussen begrippen en definities kan de kans op onduidelijkheden en misverstanden vergroten en is naar het oordeel van de CTIVD onzorgvuldig. In het verlengde daarvan constateert de CTIVD dat ook in toestemmingsverzoeken definities soms inconsistent worden gebruikt. Het gaat daarbij over het hanteren van de (technische en juridische) definities ‘metadata’ en ‘inhoud (van communicatie)’. Op basis daarvan zou niet altijd duidelijk zijn wanneer welke onderdelen van communicatie als metadata moeten worden beschouwd en wanneer als inhoud. Daarom heeft de CTIVD aanbevolen een werkwijze te implementeren waarin definities consistent worden gebruikt en niet contextafhankelijk zijn. De diensten onderschrijven deze conclusies en achten het van belang dat, zowel in zijn algemeenheid als in de toestemmingsverzoeken, definities consistent moeten worden gebruikt. De diensten hebben hiervoor beleid en actualiseren dit momenteel. In het beleid worden definities en de vertaalslag daarvan voor de praktijk duidelijker naar voren gebracht. Het nieuwe beleid wordt uiterlijk eind 2026 vastgesteld. Vooruitlopend hierop is, voor zover mogelijk, een werkwijze geïmplementeerd in lijn met dit nieuwe beleid. De CTIVD zal van dit nieuwe beleid tijdig op de hoogte worden gebracht. Omvang en betekenis vier-ogen-controle Daarnaast concludeert de CTIVD dat de diensten handelen overeenkomstig vier ogen-controles. Deze controles zien zowel op de technische implementatie als de juridische reikwijdte van het filterkader en verkleinen de kans op onrechtmatigheden. Evenwel merkt de CTIVD hierbij op dat deze controles in de praktijk soms onvolledig zijn en in bepaalde gevallen enkel zien op de technische implementatie. Daarom heeft de CTIVD aanbevolen om de betekenis en omvang van deze controles nader te verduidelijken. Deze aanbeveling nemen de diensten over. Als vanzelfsprekend achten wij het van belang ervoor te zorgen dat ook wordt gecontroleerd of de filters binnen de reikwijdte van de toestemmingsverzoeken passen. De diensten hanteren reeds een compliancekader dat een overzicht geeft van de filterkaders om de uitvoering en interne controle te faciliteren. Middels dit kader zullen de diensten de uitvoering van de controles zodanig borgen dat ook de juridische reikwijdte van de filters adequaat wordt getoetst. Controleren van de werking van filters Tot slot concludeert de CTIVD dat de diensten bij het doorlopend intercepteren van een gegevensstroom soms onvoldoende zicht hebben op een mogelijke wijziging in de aard van deze stroom. Het onvoldoende testen van de filters op gegevensstromen wordt onzorgvuldig geacht, omdat deze eventueel gewijzigde aard van de gegevensstroom potentieel opslag van evident niet-relevante gegevens met zich meebrengt. De CTIVD doet daarom de aanbeveling om een werkwijze te implementeren waarin rekening wordt gehouden met dergelijke wijzigingen in gegevensstromen. Hoewel de diensten het filterkader als leidend beschouwen en daaraan zijn gebonden, achten zij het tegelijkertijd van belang om voortdurend controle te hebben over de werking van de filters. Aan deze aanbeveling wordt dan ook opvolging gegeven door een werkwijze op te stellen waarin de werking van filters kan worden gecontroleerd. Daarmee kunnen eventuele wijzigingen in gegevensstromen worden ondervangen. De minister van Binnenlandse Zaken en Koninkrijksrelaties, P.E. Heerma De minister van Defensie, D. Yeşilgöz-Zegerius