3.3.2 Toetsing van strafrechtelijke Big Data-analyses aan de EHRM-criteria: 'duidelijke, gedetailleerde regels ter compensatie inbreuk 8 EVRM'

4. Stelt de toepasselijke wetgeving duidelijke, gedetailleerde regels om de inmenging in de uitoefening van het recht op eerbiediging van het privéleven van de burger te compenseren?

Compenserende factoren in het geval van geheime surveillancemethoden

Als uit de hiervoor bedoelde afweging van de stikte noodzakelijkheid blijkt dat het belang van de democratische samenleving is gediend met inmenging in het privéleven van de betrokkene door toepassing van geheime surveillancemethoden, dient deze inmenging te worden gecompenseerd.[1] In de wet dienen waarborgen te zijn opgenomen, die op adequate wijze dienen te garanderen dat misbruik van de inzet van geheime surveillancemethoden door de overheid wordt voorkomen.[2] In de wet van een lidstaat moeten duidelijke, gedetailleerde regels worden gesteld aan de toepassing van geheime surveillancemethoden, zodat de betrokkene weet onder welke omstandigheden en onder welke voorwaarden de overheid bevoegd is om geheime surveillancemethoden in te zetten en gegevens van de betrokkene te verzamelen, waarbij rekening moet worden gehouden met nieuwe technische ontwikkelingen.[3]
 

Concreet stelt het EHRM de volgende minimumeisen: de wet moet vermelden op grond van welke overtredingen geheime surveillancemethoden kunnen worden ingezet en ten aanzien van welke categorieën van personen geheime surveillancemethoden kunnen worden toegepast; de aard, en maximale duur van de geheime surveillancemethoden moeten in geschreven wetten worden neergelegd; de wet moet vermelden welke procedures overheidsinstanties moeten volgen om persoonsgegevens te onderzoeken, te gebruiken en op te slaan;[4] ten slotte moet de wet melding maken van de middelen die kunnen worden ingesteld tegen de inzet van de geheime surveillancemethoden.[5] In de zaak-Big Brother Watch/Verenigd Koninkrijk onderstreept het EHRM nogmaals dat strikte regels moeten worden gesteld aan de bevoegdheid van overheidsinstanties met betrekking tot de analyse van gegevens die door enige vorm van dataveillance zijn verkregen.[6]   

De maximale duur van de inzet van iColumbo is mij thans niet bekend. Niet zozeer de duur van de inzet van iColumbo, als wel de duur van de opslag van de persoonsgegevens ten behoeve van de verwerking, wordt door artikel 14 Wpg op maximaal 5 jaar bepaald, met de mogelijkheid van verlenging. Wat betreft de grond voor de inzet van een instrument voor Big Data-analyse als iColumbo, is mij niet gebleken welke wettelijke grond als onderbouwing van de inzet van iColumbo geldt, anders dan dat de bevoegdheid wordt aangewend in het kader van de algemene politietaak bij de handhaving van de rechtsorde (artikel 3 Polw). Daarmee wordt niet duidelijk gemaakt onder welke omstandigheden en onder welke voorwaarden de betrokkene aan iColumbo kan worden onderworpen. 

Betoogd kan worden dat datamining en -analyse met iRN en iColumbo vanwege het real-time-karakter van de toepassing en het gedetailleerde beeld dat met deze instrumenten wordt verkregen, grondslagen zouden kunnen vinden in de artikelen 126g en 126j Sv. Die grondslagen komen echter alleen in beeld indien betrokkene wordt verdacht van een misdrijf. 

Het toezicht op de naleving van de verwerking van persoonsgegevens op grond van de Wpg is neergelegd bij het College Bescherming Persoonsgegevens, thans de Autoriteit Persoonsgegevens (artikel 35 Wpg). De AP blijft onder de nieuwe Wpg toezichthouder op de naleving van de Wpg.[7] Bij de vergaande automatische analyse van persoonsgegevens in de Fietstas van iColumbo bestaat het risico op ontoereikend toezicht, zoals onderkend is door het EHRM.[8] Dat risico hangt nauw samen met het gebrek aan inzicht in de geautomatiseerde processen die plaatsvinden na de menselijke interventie, die ‘verdwijnt’ na het invoeren van de zoekopdracht in het netwerk iRN en pas weer terugkeert in de fase van de beoordeling van de resultaten van een volledig automatische analyse van de data van betrokkene.

Het risico op ontoereikend toezicht bij automatische data-analyses wordt volgens het EHRM vergroot, indien de wet er niet toe verplicht om zoektermen op te nemen alvorens een bevoegdheid tot het uitvoeren van data-analyse te gebruiken.[9] Bij gebreke van voldoende normering is de mogelijkheid tot het uitoefenen van voldoende toezicht te zeer afhankelijk van de professionaliteit van ervaren data-analisten, terwijl een derde, onafhankelijke partij het proces van data-analyse moet kunnen controleren.[10]

Het recht op kennisneming van verwerking van politiegegevens is neergelegd in artikel 25 Wpg. De toepassing van Big Data-analyses kan betekenen dat betrokkene er geen weet van heeft dat hij het onderzoeksobject is en dus geen beroep zal doen op artikel 25 Wpg. De nieuwe Wpg dient daarin verandering te brengen door de introductie van een actieve informatieplicht. Zo wordt de verplichting voor de verwerkende instantie opgenomen om betrokkene te informeren over de verwerking van zijn persoonsgegevens (artikel 24b Wpg).

Er is geen specifieke regelgeving inzake de omstandigheden waaronder de betrokkene aan de data-analyse in iColumbo en de inzet van het iRN-netwerk kan worden onderworpen; ook ontbreekt regelgeving ten aanzien van de categorieën van personen die in iColumbo aan  datasurveillance kunnen worden onderworpen. Bovendien kan een burger onderwerp van datasurveillance zijn in iColumbo, zonder dat sprake is van een (concrete) overtreding door de burger. Aan de voorwaarde, dat de wet duidelijk maakt op grond van welke overtredingen jegens een burger geheime surveillancemethoden kunnen worden toegepast, wordt niet voldaan. Op grond van het vorenstaande overweeg ik dat er onder het huidige nationale recht onvoldoende waarborgen zijn om de inmenging die de inzet van iRN en iColumbo oplevert in het recht op eerbiediging van het privéleven van de betrokkene te compenseren.

---

---

[1] EHRM 6 september 1978, 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 36.

[2] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 231 en 236.

[3] EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland), r.o. 68.

[4] EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 95.

[5] EHRM 28 juni 2007, 62540/00 (Association for European Integration and Human Rights en Ekimdzhiev/Bulgarije), r.o. 71-77.

[6] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 329.

[7] Conceptartikel 35 van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens ter implementatie van Richtlijn (EU) 2016/680, Kamerstukken I 2017/18, 34 889, nr. A.

[8] Vgl. EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 340, 346-347.

[9] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 340.

[10] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 344 en 346.

[11] Kamerstukken II 2017/18, 35 889, nr. 3, p. 40-42.

2. Big Data in het strafrecht: de invloed van de nieuwe Wpg en Boek 2 Modernisering Strafvordering

Een analyse op hoofdlijnen van de nieuwe Wpg en het gemoderniseerde Boek 2 van het Wetboek van Strafvordering in relatie tot Big Data-analyses 

Beleidsuitgangspunt kabinet: menselijke interventie en transparantie  
   

De ‘traditionele’ wijze om bevoegdheidsoverschrijding te adresseren kan worden gevonden in de sanctionering van vormverzuimen (artikel 359a Sv). Het nadeel is dat de toetsing van bevoegdheidsoverschrijding of function creep door de zittingsrechter en daarmee achteraf geschiedt. Een toetsing achteraf is een minder sterke rechtswaarborg tegen bevoegdheidsoverschrijding en de function creep dan een concrete normstelling voorafgaand aan de toepassing van een instrument voor Big Data-analyse. Een kanttekening die daarnaast kan worden geplaatst bij de sanctionering van vormverzuimen, is dat de betrokkene er meestal niet bekend mee is dat hij onderwerp van onderzoek is in bijvoorbeeld iColumbo’s Fietstas en dus een function creep niet ter toetsing zal kunnen voorleggen aan de rechter. 

Om deze knelpunten (deels) op te lossen, formuleert de wetgever een beleidsuitgangspunt van menselijke interventie.[1] Volgens de actiepunten dienen de aanbieders van software waarin de voor Big Data-analyses te gebruiken algoritmen zijn ingebouwd, voor de toezichthouder en rechter voldoende duidelijkheid over de algoritmen te verschaffen; de Autoriteit Persoonsgegevens wordt aangewezen als toezichthouder op de verwerking van gegevens in het Big Data-proces;[2] transparantie inzake het gebruik van Big Data-analyses dient te worden bereikt door de gebruiker te verplichten om de doelstelling van data-analyse en de te gebruiken methoden op de eigen webpagina te plaatsen.[3] In dit meerjarige ICT-beleid zijn vooralsnog geen actiepunten opgenomen die normstellingen bevatten om het risico op bevoegdheidsoverschrijding of function creep voorafgaand aan de inzet van data-analyse te voorkomen of beperken. Achteraf ingrijpen lijkt de norm, aangezien de rechterlijke interventie ná het gebruik van data-analyses wordt gefaciliteerd.[4]

De Commissie-Koops onderkent de genoemde uitdagingen die geautomatiseerde Big Data-analyse in het kader van predictive policing als ‘ongerichte of pro-actieve opsporingsmethode’ met zich brengt,[5] maar adresseert deze niet. De Commissie merkt in dit verband op dat de normering van gegevensverzameling het regime van Strafvordering volgt en het gebruik van verzamelde gegevens dat van de Wet politiegegevens, waarbij alleen Strafvordering de bescherming van betrokkenen tegen de overheid voorop zou stellen. De Commissie betwijfelt of de Wet politiegegevens voldoende waarborgen biedt voor toekomstige opsporingsmethoden zonder menselijke interventie. Verwezen wordt naar het criterium dat de toegepaste geautomatiseerde data-analyse aan de betrokkene wordt uitgelegd, opdat deze de op grond van de data-analyse genomen beslissingen kan aanvechten; ook de Commissie lijkt kansen te zien in de hiervoor besproken transparantie-eis.[6]
 

Een herbezinning op de rol van de rechter-commissaris als bewaker van het opsporingsonderzoek

Met betrekking tot het risico op bevoegdheidsoverschrijding, aangeduid als ‘cumulatie van bevoegdheden’, ziet de Commissie binnen de Moderniseringsoperatie van Boek 2 van het Wetboek van Strafvordering een rol weggelegd voor de rechter-commissaris als bewaker van het opsporingsonderzoek. De rechter-commissaris zou moeten worden belast met de verlening van een machtiging van opsporingsautoriteiten tot de bevoegdheid om stelselmatig onderzoek uit te voeren. Het voordeel is dat de rechter-commissaris in dit voorstel vooraf over de proportionaliteit (noodzaak in relatie tot de doelstelling van de opsporingsmethode) en subsidiariteit (eerst de minst ingrijpende methode beproeven) van de in te zetten opsporingsmethode oordeelt, maar de beperking is dat de rechter-commissaris pas in beeld komt als de opsporingsautoriteit oordeelt dat een ‘ingrijpend beeld van het privéleven van betrokkene wordt verwacht’.[7]
 

De Commissie geeft aan dat een herbezinning op de rol van de rechter-commissaris als onderzoeksrechter wenselijk is om bij voortschrijdende technologische ontwikkelingen in het opsporingsonderzoek het toezicht op de naleving van de normering te houden. De aanbeveling die hieruit volgt, is dat door de wetgever ‘gezien de centrale toetsing vooraf in de normeringssystematiek, tijdig nagedacht dient te worden over aanpassingen op de lange termijn’.[8] Een nadere concretisering van ‘aandacht besteden aan de houdbaarheid van het toezicht’ verdient wat mij betreft aanbeveling. ‘Aandacht besteden aan’ bevat immers geen duidelijke normstelling.

‘Ingrijpende stelselmatigheid’ als criterium voor het bepalen van de bevoegdheidsgrondslag voor (Big) datasurveillance

Voor een geschikt criterium om te bepalen aan welk wettelijk kader de surveillerende autoriteit bevoegdheid ontleent, kan worden aangesloten bij de Commissie-Koops: geoordeeld zal moeten worden in welke mate de ingezette methode ‘ingrijpend stelselmatig’ is.[9] Dit zal per fase van het Big Data-proces moeten gebeuren. Het voordeel van het criterium ‘ingrijpende stelselmatigheid’ is dat dit criterium reeds een belangrijk toetsingscriterium is in de rechtspraak van de Hoge Raad.[10] ‘Ingrijpend’ is in de opvatting de Commissie het verkrijgen van inzicht in een wezenlijk deel (bijvoorbeeld seksualiteit, religie en etniciteit) en een aanzienlijk deel (meerdere facetten) van het privéleven van betrokkene.[11] Die uitleg vindt ook steun in de jurisprudentie van het EHRM, zo zijn met de opvatting van de Commissie-Koops vergelijkbare overwegingen te vinden in het oordeel van het EHRM ten aanzien van ‘bulkinterceptie’, het vastleggen van grote hoeveelheden metadata over facetten van het privéleven van een persoon.[12] In de opvatting van de Commissie is een bevoegdheid ingrijpend stelselmatig, als ‘op voorhand redelijkerwijs voorzienbaar een ingrijpend beeld van iemands privéleven kan ontstaan’. De redelijke voorzienbaarheid is een normatief begrip dat ingevuld zal moeten worden aan de hand van de algemene ervaring van een opsporingsambtenaar. Ik meen dat, met het oog op de bevordering van rechtseenheid, de Officier van Justitie zou kunnen worden betrokken bij de invulling van de geobjectiveerde voorzienbaarheid van de mate waarin de inzet van Big Data-verzameling en -analyse een ingrijpend beeld van het privéleven zal opleveren.

Een verbod op strafvorderlijke besluitvorming op basis van uitsluitend geautomatiseerde gegevensverwerking, tenzij..

Het voorgestelde artikel 7a van de wijziging van de Wet politiegegevens verbiedt strafvorderlijke besluitvorming op basis van uitsluitend geautomatiseerde gegevensverwerking, waaronder profilering, tenzij wordt voorzien in voorafgaande menselijke interventie en specifiek voorlichting aan de betrokkene wordt gegeven over (algoritmische) besluitvorming.[13] Terecht wijst de Commissie erop dat zelflerende algoritmen steeds ondoorgrondelijker zullen blijken voor de gebruiker;[14] de Commissie stelt daarom voor om in het Wetboek van Strafvordering de eis op te nemen dat de strafvorderlijke beslissing op grond van geautomatiseerde data-analyse expliciet moet worden uitgelegd.[15] Het voordeel van een dergelijke expliciteringseis is dat de gebruiker, de opsporingsinstantie, wordt gedwongen om de toepassing van bepaalde technologieën ter ondersteuning van het nemen van strafvorderlijke beslissingen, voorafgaand aan de inzet van de technologie wordt gedwongen om een afweging te maken.

---

[1] Kamerstukken II 2016/17, 26 643, nr. 426, p. 8.

[2] Conceptartikel 35 van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens ter implementatie van Richtlijn (EU) 2016/680, Kamerstukken I 2017/18, 34 889, nr. A.

[3] Kamerstukken II 2016/17, 26 643, nr. 426, p. 9-10.

[4] Kamerstukken II 2016/17, 26 643, nr. 426, p. 8.

[5] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 25.

[6] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 27.

[7] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 55.

[8] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 29 en 31.

[9] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 36-40.

[10] HR 4 juni 2017, ECLI:NL:HR:2017:584 (Onderzoek smartphone), r.o. 2.6.

[11] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 39.

[12] EHRM 13 september 2018, ECLI:EC:ECHR:2018:0913JUD005817013, Computerrecht 2018/252, m.nt. J.J. Oerlemans (Big Brother Watch/Verenigd Koninkrijk), r.o. 353-355.

[13] Kamerstukken II 2017/18, 34 889, nr. 2.

[14] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 27.

[15] Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, rapport van de Commissie-Koops 2018, p. 28.