‘Ik kan hierover eigenlijk niks zeggen’ is een zinnetje dat tijdens het interview met Jan-Jaap Oerlemans (1985) regelmatig wordt uitgesproken bij vragen over de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten. Oerlemans’ werkzaamheden – onderzoeker bij de CTIVD en één dag per week bijzonder hoogleraar Inlichtingen en recht aan de Universiteit Utrecht – spelen zich af in de wereld van de inlichtingendiensten, en zijn daarmee zwaar vertrouwelijk en geheim.
Rechtmatigheidstoezicht
Bij de CTIVD houdt Oerlemans zich vooral bezig met rechtmatigheidstoezicht: nagaan of de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) hun bevoegdheden wel volgens het boekje uitoefenen. Zij hebben bijzondere bevoegdheden zoals hacken en tappen, en algemene bevoegdheden zoals openbronnenonderzoek op internet, informanten inzetten en het bevragen van overheidsinstellingen. Dit alles is geregeld in de Wet op de inlichtingen- en veiligheidsdiensten (Wiv). Deze rechtmatigheidsonderzoeken komen voort uit eigen initiatief, of door aandacht in de media. Ook het parlement kan de CTIVD vragen iets uit zoeken. Zo werd de CTIVD gevraagd na te gaan wat de inlichtingendiensten wisten voorafgaand aan het neerhalen van de MH17.
Wettelijke grondslag
In zijn wetenschappelijke werk kijkt Oerlemans ook hoe de politie haar hackbevoegdheid inzet. “Toen ik mijn eerste artikel daarover schreef, ruim twaalf jaar geleden, bestond daarvoor nog geen wettelijke grondslag, nu wel. Een telefoon hacken is tegenwoordig toegestaan, maar inmiddels is duidelijk dat de politie samen met de Fransen ook honderden miljoenen gegevens (in bulk) bij een internetserviceprovider heeft verzameld. Dat verandert de context en de impact op fundamentele rechten. Er valt nog genoeg te onderzoeken.”
Buitenlandse inlichtingendiensten hacken ook onze systemen. Ik heb niet de indruk dat Russen zich zorgen maken of ze daarvoor een wettelijke basis hebben.
“Wij willen misbruik van bevoegdheden door onze overheidsinstanties wél tegengaan. Je kunt daardoor als burger worden getroffen in je persoonlijke levenssfeer: je kunt schade lijden, in de gevangenis belanden, je nationaliteit kan worden ingetrokken. Overheidsacties en gegevensverzameling kunnen verstrekkende gevolgen hebben, zeker in de internationale veiligheidscontext. Dat moet je goed reguleren. De maatstaf van Rusland, China, Polen en Hongarije moeten we hier niet willen.”
Maar als je de vijand niet kunt verslaan omdat je bepaalde bevoegdheden niet hebt, kan dat ook gevaarlijk zijn voor Nederlandse burgers.
“Bepaalde inlichtingenmethoden mogen nu eenmaal niet, ook al lijken ze noodzakelijk. De wetgever beslist welke bevoegdheden de AIVD en de MIVD krijgen en daar moeten ze zich aan houden. Maar binnen de regels kunnen ze al heel veel. De inlichtingen- en veiligheidsdiensten hebben de meest vergaande bevoegdheden van alle overheidsinstanties. Die mogen hacken, tappen, undercover agenten inzetten, het internet afstruinen. De politie heeft tegenwoordig ook een hackbevoegdheid, niet voor bulkinterceptie maar het komt daar wel dicht in de buurt. Bij recente cryptofoonoperaties zijn naar verluidt een miljard berichten verzameld. Dat is ook bulk, maar gerichter dan bulkinterceptie zoals inlichtingen- en veiligheidsdiensten dat kunnen doen voor meerdere onderzoeken tegelijk.”
Onterechte angst
Enkele dagen voor het interview stuurde het kabinet de Hoofdlijnennotitie wijziging Wiv 2017 en de Nota van Wijziging op de Tijdelijke wet onderzoeken AIVD en MIVD naar de Tweede Kamer. Doel: de AIVD en de MIVD al bij verkenningen ruimte geven voor bulkinterceptie en hacken, dus voordat ze daadwerkelijk gaan inbreken of gegevens aftappen. Met deze uitgebreidere bevoegdheden kunnen de diensten beter inlichtingen verzamelen over dreigingen vanuit bijvoorbeeld Rusland gericht op Nederlandse overheden, de IT- en andere infrastructuur. “Het is denkbaar dat Russische inlichtingendiensten voorbereidingen treffen om hier sabotage te plegen op bijvoorbeeld de energievoorziening of om te spioneren. Maar zodra controversiële bevoegdheden worden verruimd, gaan bij veel mensen de nekharen overeind.” Zelf is Oerlemans positief over deze aanpassingen en heeft hij dat in een rondetafelgesprek in de Tweede Kamer ook toegelicht. “Ik zie de noodzaak ervan vanwege dreigingen op cybersecuritygebied.”
Ransomware
Iets waar Oerlemans zich zorgen over maakt is ransomware. “Deze kwaadaardige software is niet alleen een enorm probleem door de infectie waardoor organisaties hun computersystemen niet meer kunnen gebruiken, maar ook omdat er wordt gedreigd data van die organisaties te publiceren. Dat is mij een doorn in het oog, en het blijft maar gebeuren.” De vraag die Oerlemans stelt is: wat doen wij in Nederland om ransomware-aanvallen te voorkomen? Wiens verantwoordelijkheid is dat? “In het VK en de VS hebben de inlichtingen- en veiligheidsdiensten op dit punt een taak. Het zou goed zijn als ook hier tijdig inlichtingen worden vergaard dat een bedrijf of organisatie het doelwit is van een aanval. Alleen beveiligingsadvies geven vind ik niet genoeg. Mogelijk is daar een rol weggelegd voor de AIVD. In Nederland hebben we het daar niet eens over. Ik weet niet of we het voldoende serieus nemen. Maar als je wordt getroffen, is de impact wel gigantisch.”
Undercoveragenten
Het inlichtingenrecht is een echte niche, die niet veel juristen trekt. Oerlemans: “Ik mag niet zeggen hoeveel mensen er precies bij de AIVD en de MIVD werken, of hoeveel juristen. Maar samen zijn de diensten veel kleiner dan de politie. Bij het ‘gewone’ strafrechtapparaat werken veel meer juristen.”
Voor inlichtingenwerk bestaan al speciale opleidingen, zoals intelligence studies van de Universiteit Leiden, Campus Den Haag. Studenten (maximaal 180 per jaar) krijgen daar les waarbij wordt geput uit verschillende disciplines, zoals rechten, bestuurskunde, politicologie, internationale betrekkingen, geschiedenis en IT. “Tegen sommige besluiten van de diensten kan beroep worden aangetekend bij de Afdeling bestuursrechtspraak, er zijn dus ook al wel rechters die ervaring hebben met de Wiv, zoals met inzageverzoeken of met procedures over de verklaring omtrent verdrag uit de Wet veiligheidsonderzoeken. Ook zijn er enkele advocaten met kennis van de Wiv.”
In de wetenschap houdt slechts een handjevol juristen zich bezig met het inlichtingenrecht. “Dat zouden er wel meer mogen zijn”, aldus Oerlemans. Want zoals gezegd: er is nog heel wat te onderzoeken op dit gebied.
Dit is een samenvatting van een interview dat deze week verschijnt in Mr. Klik hier voor het volledige artikel.
