Gegevens met een knipoog: Wie houdt er nog toezicht?

Bij de AIVD en MIVD is er flink wat te doen rondom de toegang tot persoonsgegevens. Het blijkt dat medewerkers zonder de juiste toestemming toegang hadden tot grote bestanden vol gevoelige informatie. En dat is niet alles; achteraf kon niet altijd worden nagegaan wie wat had bekeken. Dit zorgt voor een pikant probleem, want sommige gegevens werden niet op tijd verwijderd, terwijl ze soms als openbaar toegankelijk werden behandeld.

De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten, ook wel de CTIVD genoemd, heeft deze tekortkomingen blootgelegd in een spraakmakend rapport. De AIVD en MIVD gebruiken deze zogenaamde bulkdatasets om doelwitten te vinden en netwerken in kaart te brengen. Maar let op: het gebruik van deze gegevens kan een behoorlijke inbreuk op de privacy betekenen.

De controle op wie toegang had tot deze bestanden schoot tekort. De technische registratie was niet op orde, waardoor het niet altijd duidelijk was welke medewerker gegevens had geraadpleegd. En dat is natuurlijk een uitnodiging voor ondeugendheid! Het kabinet heeft beloofd om de logging en het toegangsbeheer flink te verbeteren. Toegang moet voortaan automatisch gekoppeld worden aan de duur van de verleende toestemming. Maar, oh la la, dat kost wel tijd en capaciteit!

De CTIVD heeft ook kritiek geuit op hoe openbaar toegankelijke gegevens werden beoordeeld. Bestanden konden als openbaar worden beschouwd, zelfs als de herkomst niet duidelijk was. Dit gold ook voor gegevens uit datalekken of commercieel gekochte bestanden. Het kabinet heeft beloofd om deze aanbevelingen grotendeels over te nemen en voortaan voorzichtig om te gaan met gegevens waarvan de herkomst niet duidelijk is.

Tot slot blijkt dat sommige bestanden niet op tijd zijn beoordeeld op hun noodzaak. De diensten hebben inmiddels alle achterstallige beoordelingen uitgevoerd en willen nieuwe maatregelen nemen om herhaling te voorkomen. En dat is goed nieuws, want we willen toch geen ondeugende spelletjes met onze privacy?