VIERKANT BESCHOUWD
De AVG: Slaan we door of slaan we ons er doorheen?
Op 27 december 2003 kwam tijdens inzet in Irak, bij het lossen van een waarschuwingsschot door Eric O. een Irakese burger om het leven. Eric O. werd na het incident onmiddellijk door de KMar als verdachte gehoord. Na een lange rechtszaak werd hij uiteindelijk vrijgesproken. Dat vonnis werd door het Gerechtshof in Arnhem in 2005 bekrachtigd en Eric O ontving een schadevergoeding. Het feit dat hij meteen als verdachte werd aangemerkt, leidde echter tot verbazing en verontwaardiging, maar bracht ook onzekerheid met zich mee over de (rechts)positie van militairen bij het handelen tijdens inzet.
Uiteindelijk kwam daar nog iets goeds uit voort. Men kwam namelijk tot de conclusie dat het bijzonder ingrijpend is om militairen bij wapengebruik tijdens inzet automatisch als verdachte te horen. Het gevolg van de uitspraak is dat betrokkenen tegenwoordig in eerste aanleg als getuige worden gehoord en niet meer automatisch als verdachte. Het was een langslepende kwestie die de gemoederen binnen Defensie lange tijd bezig heeft gehouden.
Bijna twintig jaar later is er een aardige parallel te trekken met een onderwerp dat ook leidt tot onzekerheid en verminderd vertrouwen in de eigen organisatie. Dat onderwerp is de toepassing van de Algemene Verordening Gegevensbescherming (AVG) en de Nederlandse uitvoeringswet AVG op activiteiten van de krijgsmacht.
Militairen worden geselecteerd en getraind om vaak in een split-second beslissingen te nemen die potentieel grote gevolgen met zich meebrengen. In die training wordt ook ruim aandacht besteed aan waar, wanneer en met welke middelen zij ingrijpen, of juist besluiten om niet in te grijpen. Noodzakelijkheid, proportionaliteit en subsidiariteit zijn beginselen die daarbij een belangrijke rol spelen. Dat werkt echter alleen maar goed als militairen weten dat het mandaat en juridisch kader waarbinnen zij opereren glashelder is, zodat zij zich tijdens de uitvoering van hun taken geen zorgen hoeven te maken over de rechtmatigheid van hun handelen. En juist daar wringt de schoen. De AVG vereist rechtmatig handelen en toetst hierop en die rechtmatigheid van handelen door Defensie wordt betwist. Duidelijkheid over de reikwijdte en toepassing van de AVG is er echter niet. Het is niet voor niets dat de commissie-Brouwer constateerde dat Defensie klem zit tussen bestaande kaders en nieuwe dreigingen, maar op het eerste oog lijkt er na het rapport-Brouwer nog weinig actie te zijn genomen.
Tijd voor de redactie om zich eens te verdiepen in de wondere wereld van de informatieomgeving en de AVG in het bijzonder. In dit VB verkennen we de AVG en de manier waarop die AVG invloed heeft op het functioneren van Defensie met een focus op gereedstelling en inzet. Ook zoeken we naar manieren waarop Defensie ervoor kan zorgen dat die verlammende werking, terecht of niet, kan worden omgezet in mogelijkheden en voldoende manoeuvreruimte om de door de regering opgedragen taken op de beste manier uit te voeren.
Alleen tijdens inzet is de AVG niet van toepassing
Wat is de AVG en hoe is deze tot stand gekomen?
De oorsprong van de wijze waarop Nederland omgaat met persoonsgegevens gaat terug tot 1981, maar in de Europese Algemene Verordening Gegevensbescherming (General Data Protection Regulation, GDPR, hier verder AVG genoemd), die in april 2016 van kracht is geworden, ligt de basis voor de huidige situatie. Het is goed om te weten dat de AVG alleen iets zegt over de verwerking van persoonsgegevens en zogenaamde bijzondere persoonsgegevens. Een persoonsgegeven is door de AVG gedefinieerd als ‘Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Men moet hierbij denken aan naam- en adresgegevens, burgerservicenummer (BSN), locatiegegevens, maar bijvoorbeeld ook e-mailadressen, internetidentiteiten of IP-adressen. Ook is het goed om te weten dat de AVG alleen van toepassing is op particuliere bedrijven en overheidsinstanties; op de laatste met een aantal uitzonderingen (o.a. de politie en inlichtingendiensten). Hij geldt dus niet voor activiteiten die in de persoonlijke sfeer worden uitgevoerd.
De AVG is voor de Nederlandse situatie verbijzonderd in de Uitvoeringswet AVG (uAVG), die op 25 mei 2018 van kracht werd en daarmee de oude Wet Bescherming Persoonsgegevens (WBP) heeft vervangen. De Autoriteit Persoonsgegevens is aangewezen om toezicht te houden op de uitvoering van deze wet. De uAVG is op een aantal vlakken strikter geformuleerd dan de ruimte die de AVG biedt. Ten aanzien van Defensie heeft de Nederlandse regering ervoor gekozen om de uitsluiting voor krijgsmachten, die de Europese verordening wel biedt, niet geheel over te nemen. De formulering is echter vaag (artikel 3), en de huidige interpretatie is dat alleen tijdens inzet een deel van de AVG niet van toepassing is.
De Nederlandse wetgever heeft er in de uAVG dus voor gekozen de AVG wel op de krijgsmacht van toepassing te laten zijn. Dat was een bewuste keuze en het is aannemelijk dat er in de periode 2016 - 2018 onvoldoende zicht was op de consequenties van de huidige formulering. We zijn inmiddels ruim zes jaar verder en de informatieomgeving heeft een steeds prominentere plek gekregen in het gereedstellen en inzetten van de krijgsmacht. Hoewel het op korte termijn geen invloed heeft op de huidige situatie is terugkijken toch zinvol. Allereerst laat het zien dat Defensie scherper moet zijn op haar rol in toekomstige wetgevingstrajecten. Daarnaast is het belangrijk dat die toegenomen rol van informatie wordt meegewogen in het verkennen van oplossingsrichtingen voor de huidige beperkingen.
Feit is in ieder geval dat het Ministerie op dit moment niet in staat is de krijgsmacht te voorzien van heldere kaders. Dit heeft tot gevolg dat de krijgsmacht op dit moment zich niet kan bekwamen in het opereren in die informatieomgeving. Daarmee heeft dit dus direct invloed op het gereedstellen van eenheden.
Beperkingen
Op het uitvoerende niveau vraagt men zich bij zowat elke activiteit af of men mogelijk onrechtmatig handelt. Nu is dat op zichzelf een goede vraag om te stellen, maar door verschillende oorzaken leidt dat tot veel extra werk, frustratie en in sommige gevallen slaat dit door in risicomijdend gedrag en dat is een gevaarlijke ontwikkeling. Dit wordt met name zichtbaar bij de gereedstelling en de voorbereiding op inzet. Het is daarom goed om hier beeld bij te krijgen. De beperkingen zijn grofweg in te delen in drie thema’s, namelijk gereedstelling en inzetvoorbereiding, kennisproductie en bedrijfsvoering, waarbij we de laatste hier buiten beschouwing laten.
Gereedstelling en inzetvoorbereiding
Zoals de oorlog in de Oekraïne laat zien, is de tijd van staal-op-staal nog niet voorbij. Ook duidelijk is, dat informatie in dat conflict een steeds belangrijkere rol speelt. Het vermogen om op elk gewenst moment over de juiste informatie te beschikken is van cruciaal belang. Daarnaast is informatie ook een wapen in zichzelf. Het manipuleren van informatie, of het vermogen om jouw tegenstander informatie te ontzeggen of hem te misleiden is een grote force multiplier voor militaire eenheden. De meest succesvolle partij is echter niet degene die over de beste en meeste informatie beschikt, maar wie in staat is om daarmee te opereren, oftewel de informatie gebruiken in de planning en uitvoering van de operatie. Daarvoor is het echter van groot belang om dit op een goede manier te integreren in de besluitvorming en bevelvoering en dat gebeurt door dit te oefenen en te trainen tijdens realistische oefenmomenten. Op dit moment is dat echter nauwelijks mogelijk.
Vliegen met een drone, hier de Scan Eagle (foto: Wikimedia Commons)
Vliegen met een drone waarbij mogelijk ook de openbare weg (en dus wellicht kentekens of burgers) wordt gefilmd mag niet zomaar. Dat moet beperkt blijven tot een hermetisch afgesloten oefenterrein en als je wel burgers wilt spreken en fotograferen (om een HUMINT-team te trainen of voor bijvoorbeeld een sociale patrouille) dan moeten acteurs worden ingehuurd. Los van de enorme complexiteit die dit met zich meebrengt, leidt dit ook tot hoge kosten. Ook zijn de meeste oefenterreinen niet hermetisch af te sluiten. Kortom: voorlopig zijn er nog geen werkbare oplossingen gevonden, waardoor dit soort activiteiten vaak niet kan worden uitgevoerd.
Kennisproductie
Kennis van militair optreden, maar ook kennis van de wijze waarop potentiële tegenstanders opereren is van groot belang. Dat gaat zowel over de gehanteerde operatieconcepten, maar ook over welke systemen een tegenstander gebruikt en welke kwetsbaarheden die systemen hebben. Die kennis stelt je in staat je opleidings- en trainingsinspanning nog effectiever te maken. De noodzaak om deze kennis te verzamelen en te verwerken in kennisproducten is cruciaal om individuele militairen en eenheden te kunnen voorbereiden op inzet. Een voorbeeld hiervan is het verzamelen van lessons identified via open bronnen op het internet. Met die lessen zijn we in staat om de huidige kennis te vergroten en de doctrine en voorschriften actueel te houden. Er is een actieve community op internet die deze gegevens verzamelt en uitwisselt. Door in deze community deel te nemen, maakt men dus gebruik van de kennis van anderen en worden daarmee – als bijvangst - persoonsgegevens verwerkt. De AVG staat dit echter niet zomaar toe, waardoor de kennisproductie stokt. Dit heeft direct impact op de kwaliteit van de opleidingen waarbij deze kennis moet worden gebruikt om mensen veilig te houden.
Dit zijn slechts enkele voorbeelden uit een veel langere lijst. Als drones niet meer kunnen vliegen boven oefenterreinen omdat ze – als bijvangst – mogelijk kentekens van auto’s registreren die zich in de naastgelegen openbare ruimte bewegen en het raadplegen en verwerken van bronnen op internet in voorschriften, aanwijzingen en oefen- en trainingshandboeken niet is toegestaan, is de krijgsmacht dus niet meer in staat om adequaat te oefenen en trainen. En wij hoeven natuurlijk niet uit te leggen wat het risico is van een niet goed getrainde eenheid.
Het verzamelen van Lessons Identified op internet
Oorzaken
Hoe komt het dan dat Defensie zo worstelt met de AVG? Daarvoor kunnen een aantal oorzaken worden genoemd.
Allereerst ontbreekt voor Defensie een specifieke wettelijke basis. De rol van de krijgsmacht wordt in de Grondwet genoemd, maar dit biedt geen bevoegdheden. Dit is anders voor bijvoorbeeld politietaken, waarvoor de Wet Politiegegevens (WPG) die basis biedt en de inlichtingendiensten, die hun activiteiten uitvoeren onder de Wet op de Inlichtingen- en Veiligheidsdiensten (WIV) uit 2017. Het mandaat en dus de grondslag voor militaire inzet reikt niet verder dan de daadwerkelijke inzet en dekt daarmee niet de gereedstellingsactiviteiten die nodig zijn om effectief ingezet te kunnen worden. Er wordt al langer gediscussieerd over een eigen krijgsmachtwet, maar dat is een langdurig proces, wat zeker voor de korte termijn geen oplossing biedt. Het gevolg daarvan is dat Defensie vooral naar mogelijkheden zoekt om van bestaande wetgeving gebruik te kunnen maken. Een voorbeeld daarvan is het tijdelijk tewerkstellen van militairen bij de KMar of de MIVD, die voor hun taken gebruik kunnen maken van een ander wettelijk kader. Hierdoor kunnen militairen kennis opdoen en activiteiten uitvoeren die voor de rest van de krijgsmacht niet mogelijk zijn. Dit zijn natuurlijk prima constructies voor specifieke behoeftes, maar deze constructies zijn slecht in te passen in de strakke gereedstellingscyclus van de krijgsmacht. Vraag en aanbod matchen vaak niet, waardoor dit slechts in hele specifieke gevallen effectief is en daarmee dus geen structurele oplossing is. Ook is het wettelijk kader waaronder zij dan opereren vaak niet bedoeld voor het oplossen van de opleidings- en trainingsproblemen van de krijgsmacht, waardoor toezichthouders hier kritisch op kunnen zijn, zeker als dit instrument met enige regelmaat wordt gebruikt.
De AVG biedt ruimte om belemmeringen voor de krijgsmacht weg te nemen
Een tweede element is het wettelijke kader waarbinnen de krijgsmacht opereert. Zoals hierboven vermeld heeft de Nederlandse wetgever ervoor gekozen om de AVG onverkort van toepassing te verklaren op de krijgsmacht, terwijl de AVG wel degelijk de ruimte biedt om belemmeringen voor de krijgsmacht weg te nemen. Hierin wijken wij ook af van een aantal andere landen. Zo heeft o.a. Frankrijk ervoor gekozen de AVG niet van toepassing te laten zijn op de krijgsmacht. Naast de keuze van de wetgever is er ook nog iets te zeggen over de interpretatie van het gestelde in artikel 3 van de uAVG. Dit artikel beschrijft in lid 1 en 2 dat de AVG onverkort van kracht is op de krijgsmacht. Lid 3 beschrijft dat de uitzondering op de AVG alleen tijdens inzet geldt.
Uit de tekst van uAVG Art. 3 blijkt dat de minister daarover beslissingsbevoegdheid heeft ‘met het oog op inzet…’. Daar staat dus niet ‘tijdens inzet’, de formulering biedt dus wel degelijk meer ruimte. Wat ook in de uAVG staat (lid 4) is dat de minister, indien zij afwijkt van de AVG, dat moet melden aan de Autoriteit Persoonsgegevens. Daar zou ze dus actief gebruik van kunnen maken, ook om dilemma’s en grensgevallen bespreekbaar te maken. Dit past overigens prima in een van de aanbevelingen van de commissie-Brouwer die stelt dat een heroriëntatie op de formulering van de taken van de krijgsmacht en de begrippen inzet en gereedstelling noodzakelijk is om uit de klem tussen wetgeving en taakuitvoering te komen.
Artikel 3. Schakelbepaling verwerkingen buiten werkingssfeer verordening
1. Deze wet en de daarop berustende bepalingen zijn mede van toepassing op de verwerking van persoonsgegevens:
a. In het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;
b. Door de krijgsmacht bij de uitvoering van activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2, van het Verdrag betreffende de Europese Unie vallen.
2. De verordening is van overeenkomstige toepassing op de verwerking van persoonsgegevens, bedoeld in het eerste lid.
3. Het eerste en het tweede lid zijn niet van toepassing op:
a. De verwerking van persoonsgegevens door de krijgsmacht, voor zover Onze minister van Defensie daartoe beslist met het oog op de inzet of het ter beschikking stellen van de krijgsmacht ter uitvoering van de in artikel 97 van de Grondwet omschreven taken;
b. De verwerking van persoonsgegevens voor zover daarop de Wet op de inlichtingen- en veiligheidsdiensten 2017 van toepassing is.
4. Van een besluit als bedoeld in het derde lid, onderdeel a, wordt zo spoedig mogelijk mededeling gedaan aan de Autoriteit Persoonsgegevens.
Een laatste punt is de onduidelijkheid die binnen de defensieorganisatie bestaat over wet- en regelgeving. Hoewel de juristen zullen zeggen dat er van alles kan binnen deze bestaande wet- en regelgeving, is de praktijk dat de werkvloer hiermee worstelt. Er doen vele spookverhalen de ronde over wat allemaal niet mag. Vaak gebaseerd op eenzijdige en onvolledige informatie, maar genoeg om de twijfel te doen toeslaan. Mag ik nu wel of niet internet raadplegen voor mijn werk, mag ik op defensiesystemen cursussen OSINT geven, waarbij Open Source software wordt gebruikt en openbare bronnen worden geraadpleegd en geanalyseerd? Er is voldoende casuïstiek die in ieder geval laat zien dat er op de werkvloer serieuze beperkingen worden ervaren.
Het gevolg is in alle gevallen hetzelfde: de krijgsmacht kan niet tijdig, niet efficiënt en niet effectief de activiteiten uitvoeren die noodzakelijk zijn om eenheden gereed te stellen en in te zetten.
Privacy versus veiligheid
In de kern gaat dit natuurlijk over de balans tussen de privacy van individuele burgers en de veiligheid van de staat, inclusief diezelfde burger. Die discussie lijkt steeds meer te polariseren en te ontaarden in een verplichte keuze voor het één of het ander. Voorstanders van privacy benadrukken in de discussie vooral de honger van de overheid naar steeds meer data en dus persoonsgegevens, terwijl de veiligheidssector vaak privacy voorvechters verwijt de deur wagenwijd open te zetten voor terroristen, doordat zij niet goed in staat worden gesteld om de veiligheid te garanderen. Daarmee is veiligheid een beperking voor de privacy en is privacy een rem op de veiligheid. De realiteit is natuurlijk dat beide aspecten keerzijden zijn van dezelfde medaille.
Ook zijn privacy en veiligheid geen absolute grondrechten, het zijn cruciale grondrechten die bijdragen aan een goed functionerende democratische rechtsstaat. Die democratische rechtsstaat is erbij gebaat als er een gebalanceerde discussie mogelijk is, waar voor beide kanten ruimte is. Wat dat betreft werkt de huidige tijdgeest niet mee. Aan voorvechters voor privacy geen gebrek (Open State Foundation, Bits of Freedom, etc), maar dat geldt nauwelijks voor de veiligheid. Die voorvechtersrol wordt voornamelijk ingevuld door de overheid en het vertrouwen in die overheid is de laatste jaren niet hoog, een gegeven waar privacyvoorvechters weer graag gebruik van maken. Het gevolg hiervan is dat er op dit moment geen gebalanceerde discussie plaatsvindt over dit onderwerp. Dat is overigens niet uitsluitend een probleem van Defensie, meerdere departementen worstelen hiermee. Recent kwam er een brief uit van de Algemene Rekenkamer met de titel ‘Omgang met de AVG in relatie tot het uitvoeren van overheidstaken’. De brief schetst een aantal cases waar het toepassen van de AVG effectief uitvoeren van overheidstaken belemmert, waar burgers uiteindelijk ook de dupe van worden. Hieruit blijkt dat andere departementen tegen dezelfde problemen aanlopen. Dit versterkt het beeld dat we hier met een structureel en potentieel verstrekkend probleem te maken hebben. Het is daarom verbazingwekkend dat na alle rapporten en onderzoeken er blijkbaar nog steeds geen urgentie is ontstaan om dit op te lossen.
Er is blijkbaar geen urgentie om dit op te lossen
Hoe nu verder?
Inmiddels is het bijna een half jaar geleden dat de commissie-Brouwer haar eindrapport publiceerde. De conclusie was duidelijk: Defensie zit klem tussen bestaande wettelijke kaders en nieuwe dreigingen. In het debat met de Kamer over dit rapport heeft de staatssecretaris toegezegd met een reactie te komen, die voor de zomer aan de Tweede Kamer zal worden gestuurd. Er is echter weinig concrete voortgang te bespeuren. Wat ook bijzonder is: het gaat hier voornamelijk over de gereedstelling en inzet van onze eigen krijgsmacht. Je zou dus denken dat de CDS hier slapeloze nachten van heeft. In het debat hierover zien we echter voornamelijk de ambtelijke kant van Defensie.
Het rapport-Brouwer lezende, wordt een aantal oplossingsrichtingen aangedragen. Allereerst acht de commissie het zinvol om de huidige wettelijke kaders nog eens goed te onderzoeken. De indruk bestaat dat er binnen de huidige kaders meer mogelijkheden zijn, maar dat Defensie structureel aan de veilige kant blijft. Daarnaast is eerder al genoemd dat het gebruiken van andere wettelijke kaders als WIV en WPG mogelijk ruimte biedt. Een tweede oplossingsrichting is volgens de commissie het inrichten van een trainingsomgeving, waarin onder gecontroleerde omstandigheden kan worden geoefend. Als laatste raadt de commissie aan om te onderzoeken welke mogelijkheden er zijn om bestaande wettelijke kaders aan te passen of te kijken naar het ontwikkelen van een eigen krijgsmachtwet. Dit zijn allemaal waardevolle adviezen waar Defensie onmiddellijk mee aan de slag moet, maar ze hebben één ding gemeen: het biedt voor de korte termijn geen enkel houvast voor onze krijgsmacht, die daardoor nog verder op achterstand komt.
Het is daarom van groot belang dat er ook voor de korte termijn concrete zichtbare stappen worden genomen om de bewegingsruimte van de krijgsmacht te vergroten. De tijd van praten, nadenken en meer informatie inwinnen is voorbij. Met het rapport-Brouwer in de achterzak, de alom aanwezige voorbeelden en de recente ARK-brief als ondersteunend bewijs zou een gesprek van de minister met de Autoriteit Persoonsgegevens (AP) hierover voor de hand liggen. Het zou niet moeilijk moeten zijn om te onderbouwen waarom de krijgsmacht iets meer manoeuvreruimte nodig heeft op dit gebied. En als de AP niet wil meedenken, is er altijd nog de gang naar de rechter. Als laatste is Defensie het ook aan zichzelf verplicht om intern klare taal te bezigen. Neem de onduidelijkheid bij het eigen personeel weg en daar waar dat niet mogelijk is, zorg voor een sterke keten van AVG-specialisten en juristen, die op elk niveau toegankelijk is. Die keten moet, naast voldoende kennis van wet- en regelgeving, juist ook begrijpen wat de specifieke implicaties van operationeel optreden zijn. Zo kan adequaat worden begonnen met het wegnemen van de onduidelijkheid en onzekerheid.
Afsluitend
Militairen zijn gewend te opereren in onzekerheid, daar worden ze uitgebreid op geselecteerd en getraind, maar ze zijn afhankelijk van een duidelijk mandaat met bijbehorend helder juridisch kader. Dat is tijdens inzet over het algemeen prima geregeld, maar om militaire capaciteiten goed te kunnen inzetten is een adequaat gereedstellingstraject noodzakelijk. Daarin speelt het kunnen gebruiken van en opereren in de informatieomgeving een steeds belangrijkere rol. Als je niet in staat bent personeel daarin op te leiden en te trainen en militaire eenheden daarmee te laten oefenen, gaat dat ten koste van de operationele gereedheid, die zich vertaalt in beperkingen bij daadwerkelijke inzet.
Intern het departement van Defensie is er blijkbaar nog veel discussie over de impact van het moeten opereren onder de AVG onder ‘niet-inzet’ omstandigheden. Zonneklaar is evenwel dat dit een negatieve invloed heeft op het moreel en het gedrag van defensiepersoneel, zowel burger als militair. De onrust en onzekerheid en vooral het vooruitzicht dat eigen handelen kan leiden tot handelen in strijd met de AVG, werkt risicomijdend gedrag in de hand. Voor een organisatie die onder extreme omstandigheden moet kunnen opereren is dat funest.
Redactie