Boordcomputers van auto’s en wasmachines die communiceren met de fabrikant. Chips in kleding of halsband die vertellen waar een verdwaalde dementerende, een kind of onze hond zich ophoudt. Horloges of in het lichaam ingebrachte biochips die gegevens doorgeven aan een medisch centrum, de koelkast die zelfstandig melk en kaas bestelt bij de supermarkt. Het internet der dingen maakt een stormachtige ontwikkeling door. Vorige maand maakte telecombedrijf Vodafone bekend dat apparaten en voorwerpen al meer met elkaar communiceren dan mensen.
In het wetsontwerp voor de nieuwe wet op de inlichtingen- en veiligheidsdiensten valt echter geen woord te ontwaren over het internet der dingen, over brain-computer-interfaces of over brain-to-brain-communicatie. De tekst is zo algemeen gesteld dat de Nederlandse geheime diensten er bij nieuwe technologische ontwikkelingen geen enkele hinder van zullen ondervinden. De memorie van toelichting gaat slechts in op de technische mogelijkheden van nu, zoals het gebruik van richtmicrofoons, het observeren van social media en het binnendringen van computers. De nabije toekomst blijft buiten beschouwing, ook al doen inlichtingen- en veiligheidsdiensten al lang onderzoek naar deze nieuwe communicatietechnieken.
Diverse instanties, zoals kpn, Tele2, de Ombudsman en het College voor de Rechten van de Mens, bekritiseerden het wetsontwerp tijdens de consultatiefase, maar ook zij besteedden geen aandacht aan de mogelijkheden die de wetstekst biedt ten aanzien van dit soort ontwikkelingen. Het lijkt alsof communicatie nog steeds uitsluitend bestaat uit telefonie en het bekende internet, maar de relatie van inlichtingen- en veiligheidsdiensten tot communicatie is veel verder af komen te staan van de historische schending van het briefgeheim dan menigeen zich realiseert.
Een internet der dingen is echter niet alleen handig voor klanten en burgers, het creëert ook een luilekkerland voor inlichtingen- en veiligheidsdiensten. Zoals een oud-medewerkster van de cia jaren geleden al zei: ‘Alles wat smart is, is een inlichtingenplatform, van smart buildings en smart elektriciteitsmeters tot smart koffiezetapparaten.’
Voormalig cia-hoofd David Petraeus verklaarde dat het internet der dingen een revolutie teweegbrengt in de inlichtingenwereld die tot een herijking van de begrippen privacy, identiteit en geheimhouding moet leiden. Hij was met name enthousiast over deze ontwikkeling omdat in de Verenigde Staten allerlei restricties gelden voor spionage op Amerikaanse burgers, maar nauwelijks ten aanzien van dingen. Petraeus verkneukelde zich erover dat het straks net zo gemakkelijk zal zijn iemand via zijn vaatwasser te bespioneren als via zijn computer. De mogelijkheden zijn legio en niet alleen voor inlichtingen- en veiligheidsdiensten.
Al deze systemen kunnen gehackt worden door criminelen, vijandelijke landen of door eigen inlichtingen- en veiligheidsdiensten. Van een auto die plotseling tot stilstand gebracht kan worden tot gegevensregistratie van een smart koelkast. Eind augustus toonde het Vlaamse actualiteitenprogramma Panorama aan hoe medische gegevens van wearables, draagbare toestelletjes die lichaamsfuncties meten en doorsturen naar je smartphone, op grote schaal in handen van datahandelaren vallen. In de VS wordt bijvoorbeeld al gesproken over de mogelijkheid om smart guns, wapens waarin allerlei veiligheidssystemen zijn ingebouwd, onder bepaalde omstandigheden op afstand door de overheid onklaar te laten maken.
Is het juist erg slim van de Nederlandse overheid om de nieuwe wet zo ruim te formuleren dat aan het intercepteren van een internet der dingen geen grenzen worden gesteld? En verdergaande tapmogelijkheden van het internet onder de bevoegdheden van de Algemene Inlichtingen- en Veiligheidsdienst (aivd) en haar militaire tegenhanger mivd te laten vallen? Om die vragen te kunnen beantwoorden is de jurisprudentie van het Europees Hof voor de Rechten van de Mens essentieel.
Dit Hof houdt wetgeving en overheidspraktijken van landen die het Europees Verdrag voor de Rechten van de Mens (evrm) hebben ondertekend tegen het licht wanneer ze een schending inhouden van de persoonlijke levenssfeer. Weliswaar zijn zulke schendingen toegestaan in het kader van de nationale veiligheid, maar bij de weging van de beide belangen heeft het Europees Hof steeds sterke waarborgen voor de privacy geëist.
De eerste wet op de inlichtingen- en veiligheidsdiensten uit 1987 telde slechts 26 artikelen en paste op acht A4’tjes. Spoedig werd Nederland door het Europees Hof op de vingers getikt omdat de bevoegdheden van toen nog de bvd en mid (thans aivd en mivd) niet helder waren omschreven en er geen onafhankelijk klachtrecht was. Dit leidde tot een veel uitgebreidere wet in 2002 waarin die bevoegdheden wel werden opgesomd en er werd voorzien in een Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (ctivd). Ook werd de mogelijkheid gecreëerd om te klagen bij de Nationale Ombudsman.
In de uitgebreide opsomming van bevoegdheden in de wet van 2002 was vastgelegd dat interceptie van dataverkeer door de ether gericht en ongericht mocht plaatsvinden, maar interceptie van dataverkeer via de kabel uitsluitend gericht mocht geschieden. Al snel werden er echter op grote schaal glasvezelkabels aangelegd, waarop dus slechts gericht en niet ongericht getapt mocht worden. Steeds luider klonk de noodkreet van de Nederlandse diensten dat zij op deze manier horende doof en ziende blind werden. Daarop riep de regering in 2013 een commissie onder leiding van Stan Dessens in het leven die de wet moest evalueren. Deze commissie beaamde dat de diensten gehandicapt werden door de restrictie en stelde een wetswijziging voor. Als tegenwicht voor een uitbreiding van bevoegdheden diende dan wel een scherper toezicht ingesteld te worden.
In het huidige wetsvoorstel zijn de interceptiebevoegdheden technologie-onafhankelijk gemaakt om toekomstige verrassingen te voorkomen. Het is nu echter wel twijfelachtig of de voorgestelde wet daadwerkelijk evrm-proof is. De opstellers van de wet zijn namelijk niet volledig meegegaan met Dessens, die had voorgesteld aan de ctivd als onafhankelijke toezichthouder de bevoegdheid te verlenen een onmiddellijke en bindende toets te verrichten op een ministeriële toestemming voor inzet van een bijzondere inlichtingenbevoegdheid (interceptie of inbraak bijvoorbeeld).
In het wetsvoorstel kan de ctivd het slechts aan de minister mededelen als ze het niet eens is met zijn toestemming om een bijzonder inlichtingenmiddel in te zetten. Als de minister na heroverweging besluit zijn toestemming te handhaven, dan dient hij de vaste Kamercommissie (civd) hiervan onmiddellijk op de hoogte te stellen. De civd kan vervolgens de minister ter verantwoording roepen. Bovendien wordt de ctivd een commissie met twee kamers: een afdeling toezicht en een afdeling klachtbehandeling, welke laatste tot een bindend klachtoordeel kan komen.
In de memorie van toelichting geeft de regering toe dat het Europees Hof voor de Rechten van de Mens (ehrm) een voorkeur heeft voor een voorafgaande rechterlijke toets bij inzet van een bijzondere inlichtingenbevoegdheid. De regering prijst zich echter rijk met de gedachte dat het ehrm bij zijn beoordeling over de geoorloofdheid van afwijkende praktijken het systeem van waarborgen en bevoegdheden in zijn geheel in zijn beschouwingen betrekt. Hoewel de regering kan verwijzen naar jurisprudentie die haar in het gelijk stelt, is het de vraag of dit op termijn zal blijven lukken, gezien de steeds scherpere eisen van het ehrm en het veranderende maatschappelijke klimaat naar aanleiding van onder meer de onthullingen van Edward Snowden.
Het voorgestelde systeem biedt namelijk weinig waarborgen. Als de minister voet bij stuk houdt en de kwestie ten slotte voorlegt aan de civd, treft hij daar over het algemeen een regeringsgezinde meerderheid aan die hem niet snel zal laten vallen over een operationele bevoegdheid van een inlichtingen- of veiligheidsdienst. De oppositie is vervolgens monddood omdat zaken die in de civd besproken zijn niet in de openbaarheid mogen worden gebracht. De fractievoorzitters mogen zelfs niet met hun fractiegenoten over de daar behandelde zaken spreken.
Begin en eind van de beslissingsbevoegdheid liggen in het politieke domein. Tot welke gekkigheden dit kan leiden bleek in februari 2014 toen minister Plasterk meende dat hij een foutieve mededeling over interceptie door de nsa had rechtgezet in de commissie, maar de commissieleden een andere mening waren toegedaan. De burgers werden vervolgens getrakteerd op een Haags schimmenspel. Nog gekker werd het recent toen Kamerlid Wilders in een plenaire zitting beleid wilde afkeuren dat hem in de commissie ter ore was gekomen. Hij moest dreigen met een inhoudsloze motie.
Het valt ernstig te betwijfelen of het ehrm zal oordelen dat de voorgestelde gang van zaken in overeenstemming is met het idee van rule of law. Dit euvel wordt niet opgeheven door een bindend klachtoordeel van de ctivd, omdat een klacht pas tot stand komt op grond van een vermoeden van inzet van een bijzondere inlichtingenbevoegdheid ten aanzien van een persoon. De laatste zal echter vaak niet weten dat het inlichtingenmiddel tegen hem of haar is ingezet wegens het geheime karakter van inlichtingenoperaties.
Het Europees Hof heeft ten aanzien van wettelijke inbreuken op de persoonlijke levenssfeer nog een belangrijke eis: voorzienbaarheid. De wet moet zodanig nauwkeurig zijn geformuleerd dat burgers kunnen voorzien welke gevolgen die voor hen heeft. Als een internet der dingen al niet expliciet ter sprake komt, hoe zit het dan met mogelijkheden om communicatie van uw brein te onderscheppen?
De ‘hardware’ die wordt voorzien van een embedded systeem kan namelijk ook een mens zijn. Pacemakers kunnen bijvoorbeeld op afstand bestuurd worden. Zo was Dick Cheney ten tijde van zijn vice-presidentschap onder George Bush dusdanig bezorgd dat de draadloze besturing van zijn pacemaker gehackt zou worden dat hij die verbinding ongedaan liet maken. Ook hersenimplantaten kunnen worden gehackt.
Bij brainhacking ontstaat de mogelijkheid om gegevens of geheugen aan de hersenen te onttrekken en nieuwe informatie te importeren. De technologie staat nog in de kinderschoenen, maar brainhacking wordt gemakkelijker wanneer mensen beschikken over een zogeheten brain-computer-interface (bci). Zo’n bci wordt nu bijvoorbeeld al gebruikt bij mensen met een lichaamshandicap. Doven kunnen daarmee weer gaan horen, blinden gaan weer zien en mensen met een amputatie kunnen een kunsthand of -been laten bewegen. Tienduizenden mensen zijn op die manier al geholpen. Medewerkers van de universiteiten van Oxford, Genève en Californië (Berkeley) wisten bij experimenten met brainhacking al de pincode, het woonadres en de geboortemaand van mensen met een bci te ontfutselen.
Op termijn valt te verwachten dat de hersenen met een computer worden uitgebreid, bijvoorbeeld om de geheugen- of rekencapaciteit te vergroten. We hebben dan een geïmplanteerde computer die is aangesloten op de neuronen in onze hersenen. Facebook-oprichter Mark Zuckerberg zei eind juni te dromen van een toekomst waarin mensen hun gedachten naar elkaar versturen. Niet iedereen was even enthousiast. ‘Goed nieuws voor geheime diensten en adverteerders’, noteerde Jonathan Witteman in de Volkskrant. Wanneer de ontwikkeling van chips opgebouwd uit dna zich doorzet, zullen de hersenen het implantaat behandelen als een onderdeel van zichzelf.
Na gehandicapten dient zich nu een tweede golf gebruikers van bci’s aan: militairen. Het Amerikaanse Defense Advanced Research Agency (darpa) investeert al tientallen jaren in onderzoek naar brain-computer-interfaces. Diverse vindingen functioneren al, terwijl onderzoek naar de mogelijkheid van brain-to-brain-communicatie tussen militairen aan het front nog loopt.
Valt brainhacking nu onder de bevoegdheden van Nederlandse geheime diensten? Het wetsvoorstel staat de diensten toe om ‘geautomatiseerde werken’ te verkennen, binnen te dringen en daaruit gegevens over te nemen. Dit mag door ‘gebruikmaking van een technische ingreep, valse signalen, valse sleutels, valse hoedanigheid of door tussenkomst van het geautomatiseerde werk van een derde’. Een ‘geautomatiseerd werk’ is volgens de memorie van toelichting een ‘inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen’. Hieronder valt uiteraard een computer, maar inderdaad ook interactieve (rfid- en bio-)chips. Bovendien geeft de memorie van toelichting aan dat de in de wetstekst gekozen formulering verder strekt dan telecommunicatie via een geautomatiseerd werk. Het gaat ook om telecommunicatie waarbij niet wordt voldaan aan de drie cumulatieve criteria van opslaan, verwerken en overdragen. In technische zin staat de wet dus geenszins in de weg dat Nederlandse inlichtingen- en veiligheidsdiensten de communicatie van embedded systemen in dingen of mensen onderscheppen.
Aanbieders van communicatiediensten zijn in de wet ook verplicht medewerking te verlenen, bijvoorbeeld om ontsleuteling mogelijk te maken. Weigering is strafbaar. Het gaat hierbij om elke ‘natuurlijke of rechtspersoon die in de uitoefening van een beroep of bedrijf aan gebruikers van zijn dienst de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk, die gegevens verwerkt of opslaat ten behoeve van een zodanige dienst of de gebruikers van die dienst’. Het kan dus ook gaan om besloten netwerken en diensten. Daaronder zouden bijvoorbeeld medische diensten die een communicatiesysteem met hun doelgroep onderhouden kunnen vallen.
Volgens de wetstekst is het verwerken van gezondheidsgegevens sec weliswaar niet toegestaan, maar deze mogen wel worden verwerkt in aanvulling op andere gegevens. Daarmee wordt een ruime mogelijkheid geschapen om informatie over iemands hartconditie, bloeddruk en bijvoorbeeld nierfunctie te verwerken. Verder wordt het de diensten toegestaan om bedreigingen van de staatsveiligheid en andere door de diensten te beschermen belangen te verstoren, ‘al dan niet met behulp van een technisch hulpmiddel’. De memorie van toelichting belooft dat het afwegingskader voor dit soort maatregelen zal worden vastgelegd in een interne procedureregeling. Dit is weinig transparant. Zou in zo’n geval het elektronisch brein van een persoon mogen worden beïnvloed op dezelfde manier waarop de Amerikaanse overheid mogelijkerwijs smart guns onschadelijk gaat maken?
Weliswaar geldt voor al deze bevoegdheden dat ze onderwerp zijn van de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit die de wet stelt. Er moet dus altijd een afweging plaatsvinden, maar bieden de wet en de memorie van toelichting daarvoor een kader?
In de memorie van toelichting wordt expliciet aandacht besteed aan de weging van veiligheid versus de persoonlijke levenssfeer, maar daarbij gaat het nadrukkelijk om de artikelen 10 (recht op persoonlijke levenssfeer), 12 (het zonder toestemming van de bewoner binnentreden van iemands woning) en 13 (communicatiegeheim) van de Grondwet. Artikel 11, dat de onaantastbaarheid van het menselijk lichaam garandeert, ontbreekt evenwel. Ook artikel 8 van het evrm omvat het recht op lichamelijke onschendbaarheid en verplicht overheden zelfs deze te beschermen.
Nu mogen bij wet uitzonderingen worden gemaakt op het grondwettelijk verbod tot schending van de lichamelijke integriteit. Zulke beperkingen betreffen bijvoorbeeld het afnemen van een bloedproef ten behoeve van alcohol- of drugscontrole of (preventief) fouilleren. Onderzoek naar lichaamseigen materiaal door de Nederlandse inlichtingen- en veiligheidsdiensten komt nu al voor, hoewel dit door de wetgever wordt opgevat als een verregaande inbreuk op de persoonlijke levenssfeer. Het gaat daarbij bijvoorbeeld om onderzoek naar dna en vingersporen. In dit geval is er sprake van biologisch-forensische methoden die uitsluitend mogen worden toegepast op voorwerpen waarop zulk lichaamseigen materiaal kan worden aangetroffen, dus niet op mensen zelf. Bovendien mag het doel van dergelijk onderzoek uitsluitend zijn: vaststelling of verificatie van iemands identiteit.
Bij eventuele onderschepping van hersenactiviteiten is er echter van biologisch-forensische methoden geen sprake. De methoden die dan worden gehanteerd zijn interceptie of penetratie met een vergelijkbare methode als bij het hacken van een computer. Na huisvredebreuk en computervredebreuk zou je nu zoiets hebben als hersenvredebreuk.
Door nergens in te gaan op de mogelijkheid dat bijzondere inlichtingenbevoegdheden worden aangewend ten aanzien van communicatieapparatuur die op of in het lichaam van een persoon aanwezig is, is het onderhavige wetsvoorstel kwetsbaar indien het op die manier zou worden toegepast. Aangenomen mag worden dat volgens het Europese recht gebruikmaking van een dergelijke bevoegdheid dusdanig ingrijpend is dat ze meer dan louter impliciet uit de wetstekst moet blijken.
Het is nu dus van tweeën één: óf de regering meent dat door de ruime formulering van de wet interceptie van het internet der dingen en hersensignalen is toegestaan, maar dan loopt ze de kans dat het Europees Hof Nederland terechtwijst omdat dit niet expliciet is aangegeven, óf de regering wil met deze wet niet zo ver gaan en dat zou verklaren waarom ze geen aandacht schenkt aan de materie. De nieuwe wet zal in het laatste geval al technologisch achterlopen voordat hij is aangenomen. Linksom of rechtsom lijkt het dus een gewaagde veronderstelling te menen dat deze wet het langer zal volhouden dan zijn beide voorgangers.
Bob de Graaff is hoogleraar intelligence and security studies aan de Universiteit Utrecht