In gesprek met de AIVD over het ‘sleepnet’

ACHTERGROND - Wouter Moraal raakte met enkele medewerkers van de AIVD in gesprek over de nieuwe Wet op de Inlichtingen- en Veiligheidsdiensten (WIV). Hij verbaasde zich er over dat zij de schadelijke gevolgen van de massale gegevensverzameling, het ‘sleepnet’, zo licht opnamen. Aan de hand van enkele van hun reacties legt hij uit wat de bezwaren zijn van de verruiming van de bevoegdheden die de nieuwe wet moet bieden. 

Wat is dat ‘sleepnet’ dat in het nieuwe voorstel voor de Wet op de inlichtingen- en veiligheidsdiensten staat eigenlijk?

In de de nieuwe versie van de Wiv staat onder andere dat de internetstroom in Nederlandse kabels door de AIVD en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) mogen worden onderschept en substantiële porties door hen mogen worden geanalyseerd en bewaard. Zo mogen ze bijvoorbeeld als ze daar reden toe zien al het verkeer naar een land als Syrië of alle WhatsAppjes vanuit een stad als Amersfoort monitoren. Deze nieuwe bevoegdheid wordt ook wel het ‘sleepnet’ genoemd, vanwege het grootschalige karakter. Want ook internetverkeer van massa’s onschuldige mensen wordt op deze manier ‘gevangen’. Meer over wat er in het wetsvoorstel staat vind je in het dossier van Bits of Freedom of je kunt het wetsvoorstel zelf lezen. De enigen die vooraf goedkeuring moeten verlenen voor de inzet van deze bevoegdheid zijn de minister van Binnenlandse Zaken (voor de AIVD) of de minister van Defensie (voor de MIVD) en een nog op te richten toetsingcommissie (de toetsingscommissie inzet bevoegdheden) die de rechtmatigheid van het besluit van de minister toetst.

Wat vinden AIVD-medewerkers, die de wet moeten gaan uitvoeren, hiervan? Enkele reacties van mijn gesprekspartners:

1. We kunnen technisch gezien niet eens het internetverkeer van de hele AMS-IX binnenhalen, dus een sleepnet zou ik het niet noemen.

De AIVD vindt een sleepnet geen passende metafoor. Laat ik de analogie even wat verder uitwerken. De AMS-IX – het internet knooppunt in Amsterdam – is het op een na grootste internetknooppunt ter wereld en dus een bottleneck van gigantisch veel data. Met een sleepnet dat vissers gebruiken kun je niet in een keer de hele Atlantische oceaan leegvissen. Wel vis je met zo’n sleepnet grote delen van de zee in een strook leeg. Ook vis je veel verschillende soorten op, ongeacht je eventuele wens om maar één soort te vangen. Vanwege die bijvangst is het schadelijk voor heel veel soorten zeedieren om met sleepnetten te vissen. De metafoor van het sleepnet voor de Wiv had niet treffender gekund.

Dit stellen ook de onderzoekers van het PI.Lab – een samenwerkingsverband van TNO, de Radboud Universiteit en Tilburg University – dat als onafhankelijke partij werd aangezocht om een Privacy Impact Assessment (PIA) uit te voeren op de Wiv(pdf). Helaas maakt PI.Lab uiteindelijk de keuze om de term sleepnetinterceptie toch niet te gebruiken en in plaats daarvan te kiezen voor de term bulkinterceptie, omdat in hun ogen het woord sleepnet in praktijk teveel negatieve connotaties met zich meebrengt voor gebruik in een inhoudelijk en genuanceerd debat. “Hoewel de connotaties van de term sleepnet (gericht op een bepaald gebied en bepaald type vissen, grootschalig, bijvangst, risico van ecologische schade) bij elkaar genomen wel een goede aanduiding geven van het type bevoegdheid,” aldus PI.Lab. Met andere woorden kiezen ze ervoor om een perfect passende metafoor (sleepnet) voor de interceptie in de Wiv links te laten liggen. In plaats daarvan kiezen ze ervoor om de indieners van het wetsvoorstel politiek in de hand te spelen door het gebruik van een te gelimiteerde en dus minder goed passende metafoor (bulk) in hun PIA. Deze gekozen metafoor heeft dan ook een “neutraler karakter”, maar dit wordt door de onderzoekers onterecht als positieve eigenschap gepresenteerd.

Overigens zou het kunnen zijn dat de AIVD en MIVD op dit moment niet al het dataverkeer van de AMS-IX kunnen verwerken en opslaan. Maar met de snelheid waarop de technische ontwikkelingen gaan en data-opslag die steeds beter en goedkoper wordt, is het zeker mogelijk dat de AIVD dat over een paar jaar wel kan betalen. Net als jullie/hun Amerikaanse tegenhanger – de National Security Agency (NSA) – die in 2014 al een nieuw datacentrum in Utah in gebruik nam dat volgens schattingen op basis van de plattegrond minstens meerdere exabytes (1 exabyte = 1 miljard gigabytes) kon huizen. Een capaciteit die met de jaren alleen maar kan toenemen. Bovendien kunnen er door de AIVD en MIVD wellicht specifieke kabels die met bepaalde doelwitlanden in verbinding staan worden getapt bij Internet Service Providers (ISPs). Zo kan het aftappen handzamer zijn dan het proberen binnen te halen van het hele AMS-IX internetverkeer. Dit zou nog steeds betekenen dat er ontzettend veel bijvangst is.

2. We kijken toch niet naar al het verkeer dat we binnenhalen. We filteren het meteen met de computer, dus die ‘bijvangst’ is niet erg.

De AIVD is niet de eerste om dat te claimen. De NSA en Google deden vergelijkbare uitspraken. Ook de NSA vond dat niet gezegd kon worden dat ze data van mensen ‘verzamelden’ als ze het niet persoonlijk lazen. En een Google leidinggevende stelde: “Je zorgen maken over een computer die je email leest is als je zorgen maken over een hond die jou naakt ziet.” Deze analogie gaat volgens Bruce Schneier – expert op het gebied van digitale veiligheid – niet op. Een hond kan namelijk niets begrijpen, verwerken en opslaan op een voor mensen begrijpelijke manier. Daarnaast kan een hond geen gemaakte keuzes en labels onhouden en deze ook niet met anderen communiceren.

Bovendien kan ik als burger onmogelijk zeker weten dat de AIVD-computer mijn data die voorbij komt nooit een keer toch op een bepaalde manier interpreteert en voorlegt aan een persoon. Ik kan als burger ook onmogelijk zeker weten dat ik nooit anders dan anderen behandeld zal worden door de staat omdat de computer bepaalde keuzes heeft gemaakt. Bijvoorbeeld wanneer ik gescreend zou worden omdat ik luchtverkeersleider, onderzoeker of politieagent wil worden en er komt opeens een verdacht label op basis van een nieuwsgierig en misinterpretabel stel zoekopdrachten in het verleden van mij naar voren. Ik kan als burger ook niet weten of er ooit toch iets over mij wordt opgeslagen.

Daarbij kleeft aan opgeslagen data het risico dat het vroeg of laat in verkeerde handen kan vallen. Wetten kunnen worden aangepast die ander gebruik van opgeslagen data of keuzes door de overheid mogelijk maken – ook wel function creep genoemd. En buitenlandse diensten en criminelen zouden de opgeslagen gegevens in handen kunnen krijgen. Geen enkele overheidsorganisatie of crimineel kan daarentegen een beschrijving van mijn naakte lichaam uit mijn hond krijgen.

Algoritmes worden geschreven door mensen en wat eruit rolt wordt gebruikt door mensen. Of er iemand uiteindelijk naar kijkt of niet is irrelevant. Feit blijft dat mensen ernaar kunnen kijken en mensen richting geven aan de algoritmes. Veel mensen zouden het daarom ook niet prettig vinden als er standaard een overheidscamera in hun slaapkamer hing. Ook al werden de beelden binnen een wettelijk kader met waarborgen en eerst met computers verwerkt voordat ze door mensen bekeken zouden worden.

3. Wij zijn gewoon gezonde Hollandse jongens en meisjes, die in de gaten willen houden of mensen dingen aan het doen zijn die de normale politieke en economische gang van zaken mogelijk zouden kunnen gaan ontwrichten. Voor onze eventuele blik hoef je echt niet bang te zijn.

Allereerst, het internet faciliteert fantastische technologie die iedereen met een connectie in staat stelt om informatie te vinden en te delen en om te communiceren. Het is een technologie die de mens uiteindelijk in staat kan stellen om sociale netwerken te vergroten, de (collectieve) intelligentie te verhogen en innovatie te versnellen. Dan ga je er wel vanuit dat mensen het internet willen gebruiken als extensie van zichzelf. Dat ze het aandurven om hun vragen, gedachten en verlangens – en nu het Internet of Things opkomt ook hun fysieke handelingen – door het internet te laten medieëren.

Wanneer het internet verandert in een panopticon, dan wordt het heel moeilijk voor met name mensen in de samenleving die met gevoelige informatie werken om efficient hun ding te doen met behulp van het internet. Het sleepnet betekent namelijk dat ieders internetverkeer op elk moment kan worden onderschept en opgeslagen. Het kan. Zoals Schneier al stelde: je weet als internetgebruiker niet of en wanneer het gebeurt, of, wanneer en door wie het wordt bekeken, wie het uiteindelijk bewaart en wie een kopie krijgt. Dit is hoe het panopticisme werkt: je weet nooit zeker of je niet toch een keer bekeken zal worden, al is het maar per ongeluk. Daarom zul je altijd de druk voelen om je aan de strengste normen van de status quo te houden, mocht het misschien in je opkomen om van de norm af te wijken. Hans de Zwart noemde dat het gevoel alsof je altijd een politieauto naast je hebt rijden.

Zowel de politie en de AIVD zijn apparaten die worden gestuurd door de overheid. Al zegt de AIVD onafhankelijk te opereren, ze krijgen opdrachten van ministers en zijn afhankelijk van de pot geld die ze elk jaar overhandigd krijgen. Dat betekent dat ook de AIVD haar nut moeten blijven bewijzen voor de overheid. Ze staan daarmee in dienst van de status quo: het politieke en economische systeem zoals dat er op dat moment uitziet. Iedereen die een mogelijke verandering kan veroorzaken in deze status quo – en die niet direct door de status quo wordt erkend – kan door de AIVD onder de loep worden genomen. Van de mensen die Nederland met behulp van het internet ten goede willen veranderen is bekend dat benaderingen door AIVDers als onterend en bedreigend worden ervaren. Dit kan paranoia tot gevolg hebben en ervoor zorgen dat deze actievelingen bang worden om zich volledig in te zetten voor constructieve verandering in de maatschappij. Dat je dit met behulp van het sleepnet de gehele samenleving aandoet, is totaal onwenselijk in een ‘vrije democratie’ als Nederland.

4. Ik en mijn collega’s weten heel goed wat ethisch is en wat niet.

Dat betekent dus dat wij – Nederlandse burgers – op het ethisch kompas van de AIVDers moeten vertrouwen. Hoe kunnen wij op hun (veranderlijke) moraal vertrouwen, als we de meesten van hen nooit zullen en mogen kennen? We hebben liever in de wet staan dat sleepnetinterceptie van kabelgebonden internet gewoon niet mag. De wet is immers wel het uitgelezen middel om te proberen de AIVD te allen tijde in toom te houden. Ook nadat de AIVDers die een goed ethisch kompas zeggen te hebben met pensioen zijn gegaan en zijn vervangen voor nieuwe mensen met wellicht een andere moraal.

5. Ik weet ook niet alles van de politieke dimensies van de Wiv. Ik doe tenslotte maar gewoon m’n werk.

Dat is niet echt een verantwoordelijke houding van een AIVDer tegenover kritiek op een vergaand wetsvoorstel. Volgens mij ligt zo het gevaar op de loer dat AIVDers niet kritisch naar het handelen van hun eigen organisatie blijft kijken en klakkeloos doen wat ze wordt opgedragen door hun baas en de politieke status quo. Zo is de kans groter dat foute praktijken binnen de AIVD blijven voortduren.

Stel dat we op een dag een ander kabinet krijgen met een stuk extremere en minder vooruitstrevende idealen. De AIVD staat dan in dienst van die status quo. Als ze toch kritisch blijven op hun eigen organisatie, wat zijn dan hun mogelijkheden? Ze zouden een interne klacht kunnen indienen of vervolgens proberen om de klok te luiden. Vooral de klok luiden is makkelijker gezegd dan gedaan. Daarvoor is vertrouwen nodig in het klokkenluidersorgaan. En dat vertrouwen is er nu door toedoen van de AIVD niet. Ze zouden natuurlijk ook hun ontslag kunnen indienen als ze herhaaldelijk achter dingen zouden komen die de AIVD doet waarvan ze vinden dat die écht niet door de beugel kunnen. Deze AIVDers kunnen in dat geval simpelweg vervangen worden door mensen met een ethisch kompas dat het nieuwe kabinet meer zint. Zo kunnen ethisch discutabele praktijken blijven voortbestaan.

Begin dit jaar stemde de Tweede Kamer al in met de nieuwe Wiv. De Eerste Kamer zal het voorstel op 11 juli plenair gaan behandelen voor een laatste keuring. Spreek je uit tegen het sleepnet, mocht je hebben ingezien wat voor destructieve gevolgen het heeft voor onze democratische samenleving. Ben je lid van de Eerste Kamer en heb je meegelezen? Ik kan je dan nog één advies meegeven: kies verstandig.