Op 31 maart 2022 grepen vele partijen tijdens een rondetafelgesprek in de Tweede Kamer de kans om kritiek te uiten op het wetsvoorstel dat de verwerking van persoonsgegevens door de NCTV regelt. Een jaar geleden verschenen in NRC berichten over het ontbreken van een wettelijke grondslag voor activiteiten van de NCTV. De NCTV maakt gebruik van publiek toegankelijke bronnen voor het signaleren, analyseren en duiden van trends en fenomenen op het gebied van de nationale veiligheid. Alle partijen zijn het erover eens dat deze praktijk een stevige wettelijke basis behoeft. Amnesty International, Bits of Freedom, het College voor de Rechten van de Mens, de Autoriteit Persoonsgegevens (AP) en de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) uitten met name kritiek op de vage en brede formulering van doelstellingen, taken en bevoegdheden van de NCTV en de waarborgen en het toezicht op de uitvoering van deze taken door de NCTV. Dit artikel gaat in op die kritiek. Eerst wordt de aanleiding voor het wetsvoorstel kort uiteengezet. Daarna komt de inhoud van het wetsvoorstel aan bod en de geuite kritiek op het wetsvoorstel. Dit artikel is ook relevant in het kader van de monitoring van sociale media door gemeenten en andere overheden (zie daarover de kamerbrief van 29 april 2022).

NRC: ‘NCTV volgt heimelijk burgers op sociale media’

In april 2021 publiceerde NRC enkele berichten over de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV). De NCTV zou jarenlang zonder wettelijke basis privacygevoelige informatie over burgers verzameld en verspreid hebben en medewerkers van de NCTV zouden met pseudonieme accounts ‘politieke campagneleiders, religieuze voormannen en linkse en rechtse activisten’ volgen. De NCTV heeft de uitvoering van deze activiteiten op belangrijke onderdelen gestaakt in afwachting van besluitvorming over het wetsvoorstel.

Inhoud van het wetsvoorstel

Het wetsvoorstel beoogt te voorzien in een specifieke wettelijke basis mede door een nadere concretisering en afbakening van de taken en de daarbij komende bevoegdheden. De NCTV verricht deze activiteiten namens de Minister van JenV. Daardoor wordt in het wetsvoorstel de NCTV niet genoemd, maar worden de doelstellingen, taken en bevoegdheden aan de minister toegeschreven.

Doelstellingen en taak

Het wetsvoorstel (Kamerstukken II 2021/22, 35958, 1-3) regelt de verwerking van persoonsgegevens met de doelstelling ‘het verhogen van de weerbaarheid ten aanzien van terrorismebestrijding en de bescherming van de nationale veiligheid, door het versterken van de weerbaarheid van de samenleving, het voorkomen van maatschappelijke

ontwrichting en het beschermen van vitale belangen van de samenleving’. De verwerking vindt plaats in het kader van de taak van de NCTV om de samenhang en effectiviteit van het beleid en de maatregelen te coördineren van betrokken overheidsorganisaties bij terrorismebestrijding en de bescherming van de nationale veiligheid. Verschillende overheidsorganisaties kunnen in een concreet geval betrokken zijn; dit is niet beperkt. Blijkens de toelichting gaat het in ieder geval om politie, KMar, OM, AIVD, MIVD, de burgemeesters en de reclasseringsinstellingen (Kamerstukken II 2021/22, 35958, 3, p. 7-9).

Bevoegdheid: verkrijgen van persoonsgegevens uit publiek toegankelijke bronnen

Een van de onderdelen van het wetsvoorstel betreft de bevoegdheid om gegevens te verkrijgen van online publiek toegankelijke bronnen voor ‘het signaleren, analyseren en duiden van trends en fenomenen’. Onderzoek gericht op personen is niet toegestaan. Indien noodzakelijk om redenen van zwaarwegend algemeen belang kan het hierbij ook gaan om persoonsgegevens van strafrechtelijke aard en bijzondere persoonsgegevens waaruit ras of etnische afkomst, politieke, religieuze of levensbeschouwelijke overtuigingen blijken en gegevens over gezondheid. Blijkens het nader rapport is niet denkbaar dat genetische en biometrische relevant kunnen zijn voor de verrichting van de taken van de NCTV  (Kamerstukken II 2021/22, 35958, 4, p. 15). De verwerking van die gegevens is daarom in het wetsvoorstel bij voorbaat volledig uitgesloten.

Daarbij geldt dat bij het gebruik van online bronnen geen gebruik gemaakt mag worden van ‘technische hulpmiddelen, die op basis van profilering persoonsgegevens verzamelen, analyseren en combineren’. Uit de toelichting blijkt dat daarmee, kort gezegd, bedoeld is het gebruik van webcrawlers en samengestelde zoekvragen op zoekmachines niet toe te staan (Kamerstukken II 2021/22, 35958, 3, p. 20).

Bevoegdheid: verstrekken van analyses en duidingen met persoonsgegevens

De NCTV kan, op grond van artikel 7 van het wetsvoorstel, een met behulp van de – onder andere uit publiek toegankelijke bronnen – verzamelde gegevens opgestelde analyse of duiding verstrekken aan:

• een burgemeester in verband met de handhaving van de openbare orde,
• de politie en de Koninklijke Marechaussee in verband met de politietaak,
• het Openbaar Ministerie in verband met de strafrechtelijke handhaving van de rechtsorde en zijn andere wettelijke taken,
• de AIVD en MIVD in verband met hun taken op grond van de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017),
• de reclasseringsinstellingen in verband met hun wettelijke taken, en,
• indien noodzakelijk, een (andere) minister in verband met zijn wettelijke taken.

Bij een dergelijke verstrekking moeten de persoonsgegevens gepseudonimiseerd worden, tenzij dit vanwege de doeleinden niet mogelijk is. Wordt een analyse of duiding door de NCTV openbaar gemaakt, dan moeten de gegevens geanonimiseerd worden, tenzij dit vanwege de doeleinden niet mogelijk is.

Bewaartermijn

De gegevens uit online publiek toegankelijke bronnen moeten op grond van artikel 4, lid 7 van het wetsvoorstel uiterlijk 5 jaar na de eerste verwerking worden vernietigd, tenzij de Minister van JenV toestemt met een verlenging van 5 jaar, indien dit voor het doel van de verwerking noodzakelijk is.

Rechten van betrokkenen

De rechten van betrokkenen kunnen ingevolge artikel 9 van het wetsvoorstel en als bedoeld in artikel 23 van de AVG door de Minister van JenV beperkt worden, indien dit noodzakelijk is ter waarborging van de nationale veiligheid, de openbare veiligheid, de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen of de bescherming van de betrokkene of van de rechten en vrijheden van anderen. De minister dient de betrokkene dit schriftelijk mee voorzien van een dragende onderbouwing, tenzij dit afbreuk doet aan het doel van de beperking.

Maatregelen

Op grond van artikel 4, lid 5 van het wetsvoorstel zal een (nog niet bekend gemaakt) AMvB regels stellen met betrekking tot de technische, personele en organisatorische maatregelen bij de verwerking van de gegevens, waaronder regels over functiescheiding en autorisaties. Ingevolge artikel 5 van het wetsvoorstel is het periodiek uitvoeren van een, nader bij AMvB te regelen, gegevensbeschermingsaudit verplicht.

Rondetafelgesprek: kritiek op het wetsvoorstel

Alle partijen zien het belang van de nationale veiligheid. Ook staat niet ter discussie dat hiertoe persoonsgegevens en andere gegevens verwerkt moeten worden en alle partijen geven aan dat dit een gedegen wettelijke basis behoeft.

Tijdens het rondetafelgesprek in de Tweede Kamer hebben onder andere Amnesty International, Bits of Freedom, het College voor de Rechten van de Mens, de CTIVD, de AP, prof. mr. Zuiderveen Borgesius, de politie, de AIVD, de gemeente Den Haag en de NCTV de gelegenheid gekregen hun standpunt duidelijk te maken. Vrijwel alle partijen, behalve de NCTV, maken zich zorgen over het wetsvoorstel op de volgende punten (Kamerstukken II 2021/22, 35958, 6; zie ook de position papers van de aan het rondetafelgesprek deelnemende partijen):

• De doelstellingen, taken en bevoegdheden van de NCTV zijn te vaag en te breed
  Artikel 10 Grondwet en artikel 8 EVRM vereisen voor een beperking van het recht op eerbiediging van de persoonlijke levenssfeer een specifieke wettelijke grondslag. Er dient in dat kader, ten minste op hoofdlijnen, op het niveau van de wet een belangenafweging plaats te vinden. Dat hangt samen met de eisen van noodzakelijkheid en evenredigheid voortvloeiend uit artikel 8 EVRM. Deze belangenafweging blijkt nauwelijks uit het wetsvoorstel en de toelichting (zie ook het position paper van de CTIVD, p. 2).

Het is ook de vraag of het wetsvoorstel voldoet aan de AVG, die eist dat het doel van gegevensverwerking ‘welbepaald’ en ‘uitdrukkelijk omschreven’ is. Zo het doel al rechtmatig is, leidt dit ertoe dat de NCTV veel ruimte krijgt om persoonsgegevens te verzamelen, voor doelen die nu niet goed te voorspellen zijn. De reikwijdte van het voorstel is daarmee onvoldoende begrensd. Dat leidt tot privacy-risico’s (zie het position paper van prof.mr. Zuiderveen Borgesius, p. 2).

Voorts is van belang dat de reikwijdte van de doelstellingen en taken van de NCTV voldoende helder worden omschreven (Kamerstukken II 2021/22, 35 958, nr. 4, m.n. p. 8-9; Advies AP 30 juni 2021, m.n. 3-4 en 5-6; zie ook het position paper van prof.mr. Zuiderveen Borgesius, p. 2 en het position paper van de AP, p. 3). Vanuit dat perspectief is onvoldoende helder hoe de NCTV zich tot de AIVD verhoudt.

• De waarborgen en het toezicht zijn onvoldoende
  Op de verwerking van persoonsgegevens door de NCTV namens de Minister is de AVG van toepassing. Dit betekent dat het toezicht daarop ligt bij de Autoriteit Persoonsgegevens (AP). Enkele partijen betogen dat de analysetaak van de NCTV mogelijk beter past onder de Wiv 2017 (zie het position paper van de CTIVD, p. 2 en het position paper van prof.mr. Zuiderveen Borgesius, p. 2). De CTIVD constateert dat het wetsvoorstel substantieel afwijkt van hoe de balans tussen nationale veiligheid en fundamenteel rechten (zoals privacy) is gewaarborgd in de Wiv 2017. Als de Wiv 2017 van toepassing is, dan is de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) toezichthouder en gelden de strenge waarborgen van de Wiv 2017. De CTIVD heeft diepgaande kennis over het nationale veiligheidsdomein opgebouwd en beschikt over vergaande onderzoeksbevoegdheden. De AVG is dan mogelijk niet van toepassing. De AP is uitsluitend toezichthouder op verwerkingen van persoonsgegevens, niet op het geheel van de taakuitvoering van de NCTV.

Persoonlijke noot auteur

De kritieken lijken mij terecht. Ten aanzien van de bevoegdheid om persoonsgegevens uit publiek toegankelijke bronnen te verkrijgen blijven echter de concrete verschillen en overeenkomsten met soortgelijke bevoegdheden van de politie, AIVD en MIVD onderbelicht. Daaruit zou mijns inziens geleerd kunnen worden hoe de bevoegdheden van de NCTV concreet te begrenzen zijn en toezicht en waarborgen concreet vormgegeven kunnen worden.

De AIVD en MIVD zijn op grond van artikel 38 van de Wiv 2017 bevoegd tot het stelselmatig overnemen van persoonsgegevens uit publiek toegankelijke bronnen. Ook de politie is na introductie van artikel 2.8.8 van het nieuwe Wetboek van Strafvordering hiertoe bevoegd. De politie is momenteel reeds bevoegd dergelijke handelingen te verrichten op grond van het meeromvattende artikel 126j Sv (stelselmatige inwinning). Zowel in het geval van de AIVD en MIVD als de politie is de uitoefening van deze bevoegdheid met waarborgen omkleed.

De tekortkomingen in het wetsvoorstel klemmen te meer nu met het wetsvoorstel tevens een misstap wordt begaan ten aanzien van het leerstuk van de stelselmatigheid. Er is sprake van stelselmatigheid indien ‘een min of meer volledig beeld van bepaalde aspecten van iemands leven wordt verkregen’ (Kamerstukken II 1996/97, 25403, 3, p. 26-27). Voor de vraag of sprake is van stelselmatigheid is een aantal elementen van belang: de duur, de plaats, de intensiteit of frequentie en het al dan niet toepassen van een technisch hulpmiddel dat méér biedt dan alleen versterking van de zintuigen’. Ieder voor zich, maar met name in combinatie, zijn deze elementen bepalend voor de vraag of een min of meer volledig beeld van bepaalde aspecten van iemands leven wordt verkregen. Naarmate de observatie langer plaatsvindt, de plaats waar de te observeren persoon zich bevindt intiemer is, de intensiteit of frequentie waarmee geobserveerd wordt groter is, dan wel een technisch hulpmiddel dat wordt ingezet meer mogelijkheden biedt, is de kans groter dat een dergelijk beeld wordt verkregen.

Bepalend is dat verrichtingen stelselmatigheid tot resultaat kunnen hebben. De toetsing of sprake zal zijn van stelselmatigheid vindt dus vooraf plaats, hoewel ook achteraf kan blijken dat meer dan een geringe inbreuk is gemaakt op het recht op respect voor het privéleven.

Het wetsvoorstel beoogt de verzameling van persoonsgegevens uit publiek toegankelijke bronnen mogelijk te maken en sluit onderzoek gericht op personen uit. Dat neemt niet weg dat onderzoek naar trends en fenomenen – in termen van het Wetboek van Strafvordering en de Wiv 2017 – wel tot stelselmatigheid kan leiden. Daartoe is niet nodig dat het onderzoek niet gericht is op personen. Immers, volgens de toelichting bij het wetsvoorstel zijn ‘sommige personen […] onlosmakelijk verbonden met bepaalde trends en fenomenen waardoor juist hun uitingen relevant zijn voor een analyse van het fenomeen en bij het onderzoeken van het fenomeen daardoor juist hun uitingen naar voren blijven komen’ (Kamerstukken II 2021/22, 35958, 3, p. 10). Stelselmatigheid kan gelegen zijn in het doel van het onderzoek, maar of sprake is van niet meer dan een geringe inbreuk is bovenal een gevolg en kan alleen uitgesloten worden indien de onderzoeksmethode niet geschikt is geweest om een min of meer volledig beeld van bepaalde aspecten van iemands leven te krijgen (zie ook HR 19 januari 2021, ECLI:NL:HR:2021:80, r.o. 2.5.2 en HR 6 november 2018, ECLI:NL:HR:2018:2050, r.o. 2.4). Het wetsvoorstel onderkent dit niet. Juist een dergelijke inbreuk op de persoonlijke levenssfeer vergt een formeel wettelijke grondslag die aan de eisen van artikel 10 Grondwet, artikel 8, lid 2, EVRM en artikel 17 IVBPR voldoet. Daarvoor zijn goede voorbeelden te vinden in artikel 2.8.8 van het nieuwe Wetboek van Strafvordering en in artikel 38 van de Wiv 2017.