De inlichtingendienst AIVD heeft bij het binnenhalen van grote algemene webfora in een aantal gevallen onrechtmatig gehandeld, oordeelt de toezichthouder Ctivd in een onderzoeksrapport. Dat meldde Tweakers vorige week. Vorig jaar werd bekend in één van de vele Snowden-onthullingen dat de AIVD op internetforums inbrak en grootschalig gegevens downloadde. In de meeste gevallen was dat legaal, zo blijkt nu, maar bij algemene webforums had men toch beter moeten uitkijken.
De AIVD heeft als inlichtingen- en veiligheidsdienst brede bevoegdheden als het gaat om het vergaren van, eh, inlichtingen. De toezichthouder maakt onderscheid tussen het raadplegen van ‘open bronnen’ en het verkrijgen van afgeschermde gegevens. Een forum waar iedereen lid van mag worden, of zeg een Twitter, is een open bron en de AIVD mag daar rondkijken net als iedereen. Echter, zodra men dingen dan structureel gaat bijhouden dan gaat het schuren. Bij het grootschalig vergaren van gegevens spelen namelijk regels rond privacy en persoonsgegevens een rol.
De Wet Inlichtingen- en veiligheidsdiensten 2002 (Wiv) bepaalt namelijk (art. 13) dat de dienst in beginsel alleen persoonsgegevens mag vergaren van personen die
aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de democratische rechtsorde, dan wel voor de veiligheid of voor andere gewichtige belangen van de staat;
Een forum waar een groep georganiseerde terroristen informatie uitwisselt, zou zonder meer in hun vizier moeten staan. Maar bij zeg een Fok! voelt dat iets minder dringend. En dat vertaalt zich naar de wettelijke eis dat het monitoren, hacken of anderszins gegevens vergaren bij zulke forums noodzakelijk en proportioneel moet zijn, en dat er eigenlijk geen ander middel (subsidiariteit) moet zijn om de gegevens te verkrijgen.
Bij enkele forums ging men zelfs nog verder dan alleen meelezen: er werd ook ingebroken op webforums om zo grootschalig gebruikersgegevens en berichten over te kunnen nemen. En dat is een bevoegdheid die apart is geregeld in artikel 24 Wiv:
De diensten zijn bevoegd tot het al dan niet met gebruikmaking van technische hulpmiddelen, valse signalen, valse sleutels of valse hoedanigheid, binnendringen in een geautomatiseerd werk.
Echter, deze bevoegdheid mag alleen worden uitgeoefend als dat noodzakelijk is voor de goede uitvoering van de wettelijke taken van de dienst (art. 18 Wiv). En dat was hier een probleem bij enkele van die algemene forums. Daar was niet echt een reden om databases leeg te trekken of rond te snuffelen op niet algemeen toegankelijke gedeeltes. En dan mag ook de AIVD het niet.
Verder bleek niet altijd de toestemming correct te zijn verkregen: bij hacken in servers op afstand moet de directeur toestemming geven, en dat is niet altijd gebeurd.
Het rapport raadt aan om in de toekomst hacks te beperken tot specifieke forums, of om direct na verkrijging irrelevante gegevens (van ‘onschuldige’ burgers) te wissen. Ik vraag me af hoe dat moet werken: het idee is nu juist om grootschalig data te mijnen om daarin patronen e.d. aan te treffen. Als je al weet wat je zoekt, dan zijn er betere methoden lijkt me. Big data mag dus niet voor de AIVD?
Arnoud
Wat mij betreft zouden dit soort Big Data inderdaad niet moeten mogen voor de AIVD (of welke overheidsinstelling dan ook). Natuurlijk is het prettig voor de AIVD om het te hebben maar het tast de privacy van burgers veel te veel aan. We moeten als samenleving eens beseffen dat niet alles te voorkomen is. Het zou een verademing zijn als ook een politicus dat eens zou melden bij een incident…..
Verder heb ik altijd het idee bij dit soort dingen dat er niet veel meer gebeurd dat dat er
foeigezegd wordt. Daarna gaat iedereen gewoon weer verder met waar hij mee bezig was. Consequenties zijn er maar zelden.We kunnen niet alles voorkomen, maar we moeten het in ieder geval proberen, anders kan de AIVD wel opdoeken. De overheidsinstelling Centraal Planbureau draait op Big Data.
Stel er komt een nieuwe Hofstadgroep en deze communiceert over radicale forums. Het geeft mij een veilig gevoel dat dit soort forums worden geanalyseerd. De AIVD is gelukkig geen commerciele instelling. In dat geval had men gekeken naar de privé data van onschuldige burgers en zich afgevraagd: Aan wie kunnen we dit doorverkopen?
Nu blijft dit als nutteloos stukje “collateral privacy damage” in een kluis van de AIVD liggen. Mijn privacy (als burger) is hiermee nog niet aangetast, het voelt niet al te verkeerd. Mogelijk in de toekomst veranderd dit.
Verder is Big Data veel beter dan Small Data. Niet alleen voor het beter opsporen en herkennen van patronen, maar ook qua betrouwbaarheid (safety in numbers). Je wil namelijk niet dat de AIVD een waardeoordeel velt of beslissingen neemt aan de hand van gebrekkige data.
Proberen, maar niet tegen elke prijs.
Dat is hij wel: een toch al machtige instantie weet nog net wat meer over jou, terwijl jij niks hebt misdaan. Dat levert jou nooit wat op, maar kan potentieel wel tegen je worden gebruikt. Als de gegevens gebrekkig (wat een woord weer) zijn, moeten ze niet oordelen, maar op basis van die gebrekkige data eerst bepalen waar ze gericht gaan zoeken. Je wil namelijk niet dat de AIVD alles over elke burger weet. Het succes van ‘big data’ voor veiligheidsdiensten is nooit gekwantificeerd of zelfs maar bewezen.Nee hoor, dat moeten we helemaal niet. We moeten de kosten van het proberen te voorkomen afwegen tegen de kosten van het laten gebeuren. In dit geval is de kans op succes minimaal, terwijl de privacyschendingen enorm zijn.
Dat is nooit bewezen, dat roept men alleen maar uit onderbuikgevoel. Nou weet je, mijn onderbuikgevoel zegt dat er met Big Data veel meer kans is op false positives.
@Lezer
Eens. De AIVD liep enorm achter op internet. Dat is gelukkig opgeschroefd. Die prijs is natuurlijk subjectief, maar dat betekend niet dat ik geen maximale prijs heb. Echter het leegtrekken van fora op de deepwebs heeft voor mij een enorm lage prijs. Ik wil in een veilig land leven waar dat juist gebeurd.
Het voelt voor mij niet zo. Er wordt geen misbruik gemaakt van deze gegevens. Dat potentieel is er ook voor andere gevallen. In de toekomst kan het leger en de politie zich tegen ons keren. Maar we nemen ze de wapens toch niet af? We vertrouwen erop dat de politie haar wapens gebruikt in het uiterste geval en om zichzelf of anderen te beschermen. Zo werkt dat pragmatisch gezien.
Kijk ook eens naar de andere kant van de munt. Een burger kan op dit moment onschuldig of niet verdacht zijn, en over 2 jaar een terroristische aanslag plegen. Dan wil je als inlichtingendienst binnen 2 uur weten dat diegene een jaar geleden schietles heeft genomen en een wapenvergunning heeft (en de politie inlichten dat verdachte mogelijk vuurwapengevaarlijk is). Die data kun je niet terugtoveren als je ‘em niet opgeslagen hebt.
Dit is volgens mij precies hoe het gebeurd is. Men vindt een radicaal forum waar openbare berichten duiden dat er veel meer spannende dingen gebeuren in de privé berichten.
@willem
In de voorgaande gevallen van cybercrime en recruiting op internet was de kans op succes afwezig. Privacyschendingen zijn volgens mij miniem tot afwezig als deze geanalyseerd worden door een verantwoordelijke organisatie (die wij verantwoordelijk hebben gesteld omdat inlichtingen vergaren op deze manier pragmatisch gezien werkt). Het is een overheidsorganisatie die ook mijn medische achtergrond weet, mijn belastingcijfers, mijn strafblad, net als meerdere andere overheidsorganisaties.Ik kan hier lang en kort op ingaan. Statistiek en kansrekening is een prima wetenschap om zulke bewijzen te leveren. Als dit echter volgens u gebaseerd is op onderbuikgevoelens, dan hebben we geen kans meer tot vruchtbaar debat.
Na Snowden heb ik de bom omhelst. Ik wil iemand bij de AIVD die Big Data snapt, de beste hackers in dienst neemt, die de grootste bakken data binnenhaalt, criminelen mapt op sociale netwerken en die met de zorgvuldigste algoritmische kam langs alles digitaal nagaat. Helpen boeven vangen. De AIVD houd zich niet bezig met fok.nl, die houd zich bezig met radicale forums waar bomrecepten worden verspreid, waar hackers onze creditcardgegevens uitwisselen, waar botnetoperatoren samenkomen. En die roep om privacy door anderen? Prima! Ieder z’n heug. Vecht dat eerst uit met Facebook. Ik ben het “Dit had voorkomen kunnen worden!” zat. Ik wil een AIVD die optimaal functioneerd. Zeggen ze dat met Big Data beter te kunnen doen, dan moeten ze dat vooral, als aangewezen experts, doen.
Statistiek en kansberekening bewijzen juist dat Big Data leidt tot false positives. Er zijn meerdere gevallen bekend waar een overdaad aan data ertoe heeft geleid dat een onschuldige werd aangeklaagd. Die zuster bijvoorbeeld, die toevallig aanwezig was bij iets te veel sterfgevallen. Leuk dat je het omgekeerde roept, maar meer dan roepen is het niet.
Ah dus als er een terroristische aanslag is gepleegd, en ik was toevallig in de buurt, en ik heb ook nog toevallig twee jaar geleden een keer schietles genomen, dan spuugt het systeem mijn naam uit en word ik vervolgens van mijn bed gelicht. Handig toch, al die opgeslagen data.
En nee, ik heb er geen vertrouwen in dat als de politie of de aivd denkt de dader te hebben, dat ze dan zorgvuldig en nauwkeurig zullen gaan uitzoeken of dat echt zo is. Dan gaan ze alle bewijzen bij elkaar verzamelen, en al het tegenbewijs wordt gewoon genegeerd. Zo werkt het menselijk brein nou eenmaal.
Stel voor, je hebt uw spam-filter getrained op de mails die binnen zijn gekomen. Je hebt de spam-filters van iedereen die mail gebruikt op een service. Welk filter leidt tot meer false positives?
A) Uw eigen spam-filter. B) Een combinatie-filter van uw spam-filter en de spam-filters van andere gebruikers?
Zuster Lucia had totaal niets te maken met big data, noch een overdaad aan data. Daar werd kansrekening door justitie, en initieel zelfs experts, verkeerd toegepast. Het ging hier om dat de kans dat ze aanwezig zou zijn bij al deze moorden te laag werd geacht. Relevante data was gewoon op te vragen bij de loonadministratie.
Ik deel uw wantrouwen jegens de Nederlandse rechtsstaat niet, maar begrijp deze wel.
Het zou me niks verbazen als B leidt tot meer false positives. Er hoeft bijvoorbeeld maar 1 gebruiker tussen te zitten die erg agressief getraind heeft (bijvoorbeeld een boel niet-spam mails ook als spam heeft gemarkeerd omdat hij persoonlijk ze ongewenst vond.)
Voor ons gewone burgers staat er toch een zware straf op zoiets als hacken? Is er enige kans dat er nu AIVD-medewerkers veroordeeld kunnen worden tot een zelfde soort straf?
‘T zijn ambtenaren en ik begrijp dat dit AIVD beleid was. Je zal dus de staat moeten aanpakken voor het overtreden van de wet, de individuele ambtenaren gaan vrijuit.
Als je iets doet tijdens je werk voor je baas, is toch bijna per definitie je baas aansprakelijk? Dus dan kan de overheid hooguit een boete geven aan de overheid 😉
Er zijn toch bepaalde misdaden waarbij je je niet achter je baas kunt verschuilen? Als je baas jou de opdracht geeft om iemand te vermoorden, en je doet dat, dan kan je toch nog steeds voor moord worden veroordeeld? Geldt dit niet ook voor hacken?
Daarnaast schrijft Arnoud:
Als ik het goed begrijp is er dus iemand lager in die hiërarchie die het initiatief tot bepaalde illegale hacks heeft genomen; dit heeft hij/zij niet in opdracht van zijn/haar baas gedaan. Die persoon moet daar dan toch voor veroordeeld kunnen worden? Het is zelfs nog erger dan hacken door “gewone burgers”: dit is ook nog eens misbruik maken van zijn/haar positie binnen de AIVD.Dat geldt volgens mij voornamelijk als er ernstige nalatigheid is. Als jouw functie is om sites te hacken dan mag je er van uit gaan dat je leidinggevende heeft uitgezocht of het wettelijk mag. En als jouw leidinggevende heeft gezegd, verzamel maar zo veel mogelijk data dan valt de medewerker ook niet zo veel te verwijten.
Maar de leidinggevende wel, en die moet gewoon aangepakt kunnen worden. Ergens in de keten is het misgegaan, en die moet flink op de broek krijgen, anders is het hele verhaaltje een farce.
(Ik ben er al een tijdje van overtuigd dat het een farce is, overigens.)
Dat is inderdaad het idee, maar er is nauwelijks een spoor van onderbouwing met feitelijkheden: het is helemaal geen bewezen effectieve methode.
Voorts: strafbaarstelling en opsporingsbevoegdheden zien op individuen, niet op heterogene groepen van specifiek verdachte, potentieel verdachte en op geen enkele wijze verdachte personen. En dat is goed.
–
Over twee maanden vieren we 25 jaar ‘Mauerfall’. Nog steeds kijken we met afschuw naar de wijze waarop de DDR als Überwachungsstaat opereerde. Iedereen heeft een beeld bij een term als ‘Stasi-praktijken’ en spionage zoals verbeeld in films als Das Leben der Anderen’ is voor velen een hel-op-aarde-achtig doembeeld
— en toch levert het nauwelijks maatschappelijke onrust op als, telkens opnieuw, blijkt dat private partijen en zelfs onze eigen overheden zich inlaten met operaties waar Erich Mielke en de zijnen nog een puntje aan konden zuigen. Onbegrijpelijk.
Ik denk dat het de AIVD helemaal niks uitmaakt of iets al dan niet mag. Wat wil je er tegen doen? Een klacht indienen? Een zaak aanspannen?