Je zou denken dat het belang van een goede datahuishouding bij uitstek bij de geheime diensten is doorgedrongen. Maar niets blijkt minder waar. De toezichthouder heeft onderzoek gedaan naar hoe de diensten omgaan met zogenoemde bulkdata. Dat zijn enorme bergen gegevens van hoofdzakelijk mensen waar zij geen onderzoek naar doen. Denk aan je naam, telefoonnummer, locatiegegevens, sociale mediagegevens of e-mailverkeer tussen bijvoorbeeld buren of je voetbalclub.

Een greep uit het rapportLees hier het gehele rapport van de toezichthouder: opnieuw worden bulkdatasets onrechtmatig lang bewaard. Medewerkers zonder de juiste autorisatie hebben toegang tot deze bergen gevoelige gegevens. Bovendien worden bulkdatasets gebruikt voor andere doeleinden dan inlichtingen, zoals het trainen van computermodellen, en dat is niet toegestaan. De toezichthouder schrijft ook dat het gebruik van bulkdatasets in de afgelopen jaren flink is toegenomen, wat de urgentie van een juiste omgang ermee nog eens onderstreept.

De diensten verkrijgen deze gegevens van overheidsinstanties waar burgers verplicht zijn deze op te geven, denk aan de Basisregistratie Personen (BRP), vluchtgegevens die aan de politie worden doorgegeven of het kentekenregister. Als samenleving moet je erop kunnen vertrouwen dat je gegevens daar veilig zijn en goed worden beveiligd. Dat maakt het extra kwalijk dat uit dit rapport blijkt dat deze bescherming bij de diensten onvoldoende geborgd is. Een andere manier om aan data te komen is deze te kopen. Doordat de diensten daarbij het kopen van data van hackers die de gegevens illegaal hebben buitgemaakt niet schuwen dragen zij ook financieel bij aan de onveiligheid van onze gegevens.

Als ze de gegevens eenmaal hebben gebruiken ze die onder andere om computermodellen te ontwikkelen. Het lijkt erop dat ze worden gebruikt om AI-modellen mee te ontwikkelen die ingezet kunnen worden om nog meer gegevens te kunnen verzamelen en analyseren. Zonder dat wij daar iets over te zeggen hebben, en zonder dat dit mag. Tot slot blijkt uit het onderzoek dat het meerdere keren is voorgekomen dat medewerkers van de diensten toegang hebben gekregen tot gegevens uit een gevoelige dataset zonder dat zij daartoe bevoegd waren.

Al in een eerder rapportDat eerdere rapport vind je hier van de toezichthouder uit 2020 bleek dat de AIVD en MIVD hun gegevenshuishouding niet op orde hadden. De gegevens van miljoenen burgers waar zij geen onderzoek naar doen, werden onrechtmatig lang bewaard. Als Bits of Freedom startten wij een klachtenprocedureLees hier de beslissing op onze klacht, en kregen gelijk, waardoor deze gegevens direct moesten worden verwijderd. Blijkbaar is daar niet van geleerd.

Dit rapport laat goed zien waarom effectief, bindend toezicht nodig is. Alleen dan kunnen burgers en politiek inzicht krijgen in wat de geheime diensten in de praktijk doen, daar een mening over vormen, en kan er politieke verantwoordelijkheid worden genomen.

De Wiv 2017, de wet die het werk van de geheime diensten reguleert, wordt binnenkort herzien. Dit rapport roept vragen op die bij de aankomende wetswijziging centraal gaan staan. Moet het toezicht afgezwakt worden, zoals de diensten willen, of juist worden versterkt? Is het trainen van AI voldoende reden om de privé communicatie van miljoenen mensen te verwerken? Mogen de diensten datasets kopen van hackers die deze data illegaal hebben buitgemaakt? Of samenwerken met bedrijven omdat die niet aan dezelfde wetgeving gebonden zijn? En hoe ga je eigenlijk om met diensten die de wet keer op keer overtreden?

Zal de nieuwe wet voldoende waarborgen bieden om ervoor te zorgen dat onze gegevens weer veilig zijn en de diensten binnen de grenzen van de wet blijven? Bits of Freedom maakt zich in ieder geval grote zorgen. De wet wordt half augustus openbaar gemaakt en vanaf dat moment heeft iedereen zes weken de tijd om van zich te laten horen. Wij zullen dat zeker doen. Jij ook?