3.3.2 Toetsing van strafrechtelijke Big Data-analyses aan de EHRM-criteria: 'duidelijke, gedetailleerde regels ter compensatie inbreuk 8 EVRM'

4. Stelt de toepasselijke wetgeving duidelijke, gedetailleerde regels om de inmenging in de uitoefening van het recht op eerbiediging van het privéleven van de burger te compenseren?

Compenserende factoren in het geval van geheime surveillancemethoden

Als uit de hiervoor bedoelde afweging van de stikte noodzakelijkheid blijkt dat het belang van de democratische samenleving is gediend met inmenging in het privéleven van de betrokkene door toepassing van geheime surveillancemethoden, dient deze inmenging te worden gecompenseerd.[1] In de wet dienen waarborgen te zijn opgenomen, die op adequate wijze dienen te garanderen dat misbruik van de inzet van geheime surveillancemethoden door de overheid wordt voorkomen.[2] In de wet van een lidstaat moeten duidelijke, gedetailleerde regels worden gesteld aan de toepassing van geheime surveillancemethoden, zodat de betrokkene weet onder welke omstandigheden en onder welke voorwaarden de overheid bevoegd is om geheime surveillancemethoden in te zetten en gegevens van de betrokkene te verzamelen, waarbij rekening moet worden gehouden met nieuwe technische ontwikkelingen.[3]
 

Concreet stelt het EHRM de volgende minimumeisen: de wet moet vermelden op grond van welke overtredingen geheime surveillancemethoden kunnen worden ingezet en ten aanzien van welke categorieën van personen geheime surveillancemethoden kunnen worden toegepast; de aard, en maximale duur van de geheime surveillancemethoden moeten in geschreven wetten worden neergelegd; de wet moet vermelden welke procedures overheidsinstanties moeten volgen om persoonsgegevens te onderzoeken, te gebruiken en op te slaan;[4] ten slotte moet de wet melding maken van de middelen die kunnen worden ingesteld tegen de inzet van de geheime surveillancemethoden.[5] In de zaak-Big Brother Watch/Verenigd Koninkrijk onderstreept het EHRM nogmaals dat strikte regels moeten worden gesteld aan de bevoegdheid van overheidsinstanties met betrekking tot de analyse van gegevens die door enige vorm van dataveillance zijn verkregen.[6]   

De maximale duur van de inzet van iColumbo is mij thans niet bekend. Niet zozeer de duur van de inzet van iColumbo, als wel de duur van de opslag van de persoonsgegevens ten behoeve van de verwerking, wordt door artikel 14 Wpg op maximaal 5 jaar bepaald, met de mogelijkheid van verlenging. Wat betreft de grond voor de inzet van een instrument voor Big Data-analyse als iColumbo, is mij niet gebleken welke wettelijke grond als onderbouwing van de inzet van iColumbo geldt, anders dan dat de bevoegdheid wordt aangewend in het kader van de algemene politietaak bij de handhaving van de rechtsorde (artikel 3 Polw). Daarmee wordt niet duidelijk gemaakt onder welke omstandigheden en onder welke voorwaarden de betrokkene aan iColumbo kan worden onderworpen. 

Betoogd kan worden dat datamining en -analyse met iRN en iColumbo vanwege het real-time-karakter van de toepassing en het gedetailleerde beeld dat met deze instrumenten wordt verkregen, grondslagen zouden kunnen vinden in de artikelen 126g en 126j Sv. Die grondslagen komen echter alleen in beeld indien betrokkene wordt verdacht van een misdrijf. 

Het toezicht op de naleving van de verwerking van persoonsgegevens op grond van de Wpg is neergelegd bij het College Bescherming Persoonsgegevens, thans de Autoriteit Persoonsgegevens (artikel 35 Wpg). De AP blijft onder de nieuwe Wpg toezichthouder op de naleving van de Wpg.[7] Bij de vergaande automatische analyse van persoonsgegevens in de Fietstas van iColumbo bestaat het risico op ontoereikend toezicht, zoals onderkend is door het EHRM.[8] Dat risico hangt nauw samen met het gebrek aan inzicht in de geautomatiseerde processen die plaatsvinden na de menselijke interventie, die ‘verdwijnt’ na het invoeren van de zoekopdracht in het netwerk iRN en pas weer terugkeert in de fase van de beoordeling van de resultaten van een volledig automatische analyse van de data van betrokkene.

Het risico op ontoereikend toezicht bij automatische data-analyses wordt volgens het EHRM vergroot, indien de wet er niet toe verplicht om zoektermen op te nemen alvorens een bevoegdheid tot het uitvoeren van data-analyse te gebruiken.[9] Bij gebreke van voldoende normering is de mogelijkheid tot het uitoefenen van voldoende toezicht te zeer afhankelijk van de professionaliteit van ervaren data-analisten, terwijl een derde, onafhankelijke partij het proces van data-analyse moet kunnen controleren.[10]

Het recht op kennisneming van verwerking van politiegegevens is neergelegd in artikel 25 Wpg. De toepassing van Big Data-analyses kan betekenen dat betrokkene er geen weet van heeft dat hij het onderzoeksobject is en dus geen beroep zal doen op artikel 25 Wpg. De nieuwe Wpg dient daarin verandering te brengen door de introductie van een actieve informatieplicht. Zo wordt de verplichting voor de verwerkende instantie opgenomen om betrokkene te informeren over de verwerking van zijn persoonsgegevens (artikel 24b Wpg).

Er is geen specifieke regelgeving inzake de omstandigheden waaronder de betrokkene aan de data-analyse in iColumbo en de inzet van het iRN-netwerk kan worden onderworpen; ook ontbreekt regelgeving ten aanzien van de categorieën van personen die in iColumbo aan  datasurveillance kunnen worden onderworpen. Bovendien kan een burger onderwerp van datasurveillance zijn in iColumbo, zonder dat sprake is van een (concrete) overtreding door de burger. Aan de voorwaarde, dat de wet duidelijk maakt op grond van welke overtredingen jegens een burger geheime surveillancemethoden kunnen worden toegepast, wordt niet voldaan. Op grond van het vorenstaande overweeg ik dat er onder het huidige nationale recht onvoldoende waarborgen zijn om de inmenging die de inzet van iRN en iColumbo oplevert in het recht op eerbiediging van het privéleven van de betrokkene te compenseren.

---

---

[1] EHRM 6 september 1978, 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 36.

[2] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 231 en 236.

[3] EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland), r.o. 68.

[4] EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 95.

[5] EHRM 28 juni 2007, 62540/00 (Association for European Integration and Human Rights en Ekimdzhiev/Bulgarije), r.o. 71-77.

[6] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 329.

[7] Conceptartikel 35 van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens ter implementatie van Richtlijn (EU) 2016/680, Kamerstukken I 2017/18, 34 889, nr. A.

[8] Vgl. EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 340, 346-347.

[9] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 340.

[10] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 344 en 346.

[11] Kamerstukken II 2017/18, 35 889, nr. 3, p. 40-42.

3.3.2 Toetsing van strafrechtelijke Big Data-analyses aan de EHRM-criteria: 'strikt noodzakelijk in een democratische samenleving' (3)

3. Proportionaliteits- en subsidiariteitstoets: is de overheidsinmenging in het privéleven van de betrokkene (strikt) noodzakelijk voor het bereiken van één van de gerechtvaardigde doeleinden in de zin van artikel 8 lid 2 EVRM?      

Gerechtvaardigde doeleinden

De overheidsinmenging in het privéleven van de betrokkene moet voldoen aan de eisen dat het overheidsoptreden gerechtvaardigde doeleinden dient (artikel 8 lid 2 EVRM en artikel 8 leden 2 en 3 van het EU-Handvest) en noodzakelijk is (artikel 8 lid 2 EVRM en artikel 52 lid 1 van het EU-Handvest). De overheid van een lidstaat heeft discretionaire bevoegdheid ten aanzien van de invulling van de gerechtvaardigde doeleinden; het beschermen van de openbare orde en veiligheid is een voorbeeld van een gerechtvaardigd doel.[1] Ten aanzien van het gebruik van iRN en de inzet van iColumbo kan de handhaving van de openbare orde in het kader van de algemene politietaak (artikel 3 Polw) en in het bijzonder ten aanzien van de verwerking van persoonsgegevens in iColumbo kan de handhaving van de rechtsorde in een bepaald geval (artikel 9 Wpg) als rechtvaardiging worden gebruikt. De strafrechtelijke handhaving van de openbare orde is een gerechtvaardigd doel in de zin van artikel 8 lid 2 EVRM. Daarmee is nog niet aan het proportionaliteits- en subsidiariteitsvereiste voldaan.  

Als het overheidsoptreden geheime surveillancemethoden betreft, is de kans op willekeur groter.[2] Inherent aan geheime surveillance is dat betrokkenen onbekend zijn met het feit dat op hen controlebevoegdheden worden uitgeoefend, maar dit mag niet tot effect hebben dat het recht op eerbiediging van het privéleven illusoir wordt.[3] Het EHRM is erop bedacht dat nationale overheden bij de invulling van hun discretionaire bevoegdheid gerechtvaardigde doeleinden kunnen misbruiken: ‘..a system of secret surveillance, set up to protect national security, may undermine democracy or even destroy it under the cloak of defending it.’[4] Daarvoor moet de inmenging in het privéleven van betrokkene aan het criterium van strikte noodzakelijkheid in een democratische samenleving worden getoetst.

(Strikt) noodzakelijk in een democratische samenleving

De noodzakelijkheidseis vormt een waarborg tegen misbruik van het gerechtvaardigde doel. Het EHRM oordeelt of de inmenging in het recht op eerbiediging van het privéleven van de burger noodzakelijk is in een democratische samenleving (dit is de belangenafweging die per geval plaatsvindt).[5] Het criterium ‘noodzakelijk in een democratische samenleving’ in de zin van artikel 8 lid 2 EVRM houdt in dat sprake moet zijn van een dringende maatschappelijke behoefte (‘pressing social need’) die de inmenging vereist en dat de inmenging in het privéleven van een burger proportioneel is om de gerechtvaardigde doeleinden te bereiken.[6] Daarbij houdt het EHRM strak de hand aan de subsidiariteit: indien mogelijk, moeten de minst ingrijpende methoden worden ingezet.[7]

Voor de nadere invulling van de proportionaliteitstoets heeft het EHRM (niet-uitputtende) handvatten aangereikt. In de zaak-Wypych/Polen is de positie van de betrokkene een doorslaggevende factor in de beoordeling van de proportionaliteit van de inmenging in het privéleven van betrokkene.[8] Enerzijds heeft de betrokkene, door zich in te zetten voor een publieke functie als overheidsfunctionaris en politicus, redelijkerwijs te verwachten dat zijn handelen in zekere zin kenbaar gemaakt wordt aan het publiek. Anderzijds dient het publiceren van declaraties van lokale politici in een daarvoor bestemd bulletin de controle op het overheidshandelen in een democratische samenleving te bevorderen. De afweging van de privacyverwachting die redelijkerwijs van een politicus mag worden verwacht tegen het belang van de samenleving bij overheidstransparantie inzake financiële bestedingen (‘pressing social need’), leidt tot de conclusie dat de inmenging in het privéleven van de betrokkene proportioneel moet worden geacht. 

Het is bij de behandeling van criterium 1.b (beoordeling inmenging in het privéleven) kort ter sprake gekomen dat DNA-materiaal onder privacygevoelige gegevens kan worden geschaard. De mogelijkheid om met behulp van DNA-profilering conclusies te trekken over etniciteit, maakt de opslag van DNA vatbaar voor een inmenging in het privéleven van de burger. Persoonsgegevens die de etniciteit van de burger kunnen onthullen, vallen onder privacygevoelige data waaraan een hoog beschermingsniveau wordt toegekend door Conventie 108. In de zaak-S. en Marper/Verenigd Koninkrijk kent het EHRM aan dat gegeven een doorslaggevend gewicht toe bij de uitvoering van de ‘fair balance’-test, de afweging van het recht op eerbiediging van het privéleven van de betrokkene tegen het belang van de samenleving dat met DNA-profilering gediend zou zijn.[9]

 

De ‘fair balance’-test van het EHRM in S. en Marper/Verenigd Koninkrijk bevat meerdere belangrijke vingerwijzingen voor het beoordelen van de proportionaliteit van de inmenging in het privéleven van de burger. De aard en ernst van de overtreding of misdrijf waarvan de betrokkene wordt verdacht, de duur van de bewaring van de persoonsgegevens, de mogelijkheden voor de betrokkene om zijn persoonsgegevens te laten verwijderen en de mogelijkheid tot onafhankelijk toezicht op de opslag van de persoonsgegevens zijn factoren die ertoe kunnen leiden dat de inmenging in het privéleven van de burger de proportionaliteitstoets niet doorstaat.[10]

Wanneer het om geheime surveillance gaat, wordt de discretionaire bevoegdheid van de nationale overheid ten aanzien van de invulling van de noodzakelijkheid ingeperkt: geheime surveillancemethoden zijn alleen toelaatbaar, indien de inmenging in het privéleven van de betrokkene strikt noodzakelijk is.[11] Diezelfde eis van ‘strikte noodzakelijkheid’ wordt door het Hof van Justitie van de Europese Unie bevestigd.[12] De strikte noodzakelijkheid geldt ook ten aanzien van geheime surveillancemethoden die worden ingezet binnen het strafrechtelijke kader.[13] In Szabó en Vissy/Hongarije wordt de eis van strikte noodzakelijkheid verder verzwaard door de toevoeging dat deze niet alleen in het algemeen geldt ter bescherming van de democratische samenleving, maar ook in het individuele geval ter vergaring van essentiële gegevens over de betrokkene.[14]

 

Het niet duidelijk in hoeverre de inzet van iRN en iColumbo voldoet aan de eis van strikte noodzakelijkheid in de lezing van het EHRM. Eén van de genoemde doelen van iRN is het verzamelen van gegevens van betrokkene die eventueel als strafvorderlijk bewijs kunnen dienen. Het is mij niet gebleken dat de ontwerpers en gebruikers van het iRN-netwerk (opsporingsambtenaren) in overweging hebben genomen dat het stelselmatig verzamelen, opslaan en analyseren van persoonsgegevens, zonder dat sprake is van een verdenking in de zin van artikel 27 Sv, noodzakelijk is om de veiligheid in de samenleving te waarborgen, anders dan dat de mogelijkheid om de democratische rechtsorde te beveiligen, kan worden vergroot met de uitvoering van stelselmatige data-analyses aan de hand van iColumbo. De afweging van de subsidiariteit zou kunnen betekenen dat iColumbo slechts wordt ingezet als geen ander middel voorhanden is om de waarheid aan het licht te brengen; een dergelijke afweging wordt in de regel echter pas gemaakt als de betrokkene wordt verdacht van een misdrijf (artikel 27 Sv), of wanneer er bijvoorbeeld uit omstandigheden een redelijk vermoeden voortvloeit dat in georganiseerd verband misdrijven worden beraamd die gezien hun aard een ernstige inbreuk op de rechtsorde opleveren (vgl. artikel 126o Sv).         

  

Deze argumentatie is niet houdbaar bij het gebruik van iRN en iColumbo om betrokkene real-time te monitoren zonder een vermoeden dat deze een strafbaar feit heeft begaan of aan het beramen is. In het bijzonder kan worden betwijfeld of het real-time via internet monitoren van privacygevoelige aspecten, waaronder de communicatie van de betrokkene met zijn sociale netwerk met als doel het eventueel voorkomen van strafbare feiten of het verzamelen van bewijs voor een eventuele strafzaak, proportioneel is aan het voorkomen van een mogelijke inbreuk op de rechtsorde die zelfs nog niet de vorm heeft aangenomen van een ‘redelijk vermoeden’ dat een misdrijf gepleegd zal worden.

---

[1] EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 57.

[2] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 229;    

[3] EHRM 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 36.

[4] EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 57.

[5] EHRM 9 juni 2009, 72094/01 (Kvasnica/Slovenië), r.o. 80.

[6] EHRM 2 september 2010, 35623 (Uzun/Duitsland), r.o. 78; EHRM 26 maart 1978, 9248/81 (Leander/Zweden), r.o. 58.

[7] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 232.

[8] EHRM 25 oktober 2005, Vierde Sectie ontvankelijkheidsbeoordeling, 2428/05 (Wypych/Polen).

[9] EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 125.

[10] EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 119 en 125.

[11] EHRM 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 42; EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 54.

[12] HvJ EU 8 april 2014, 239/12 en 594/12 (Digital Rights Ireland/Seitlinger), r.o. 52; HvJ EU 6 oktober 2015, 362/14 (Schrems/Data Protection Commissioner), r.o. 92.

[13] EHRM 2 november 2006, 23543/02 (Volokhy/Oekraïne), r.o. 43.

[14] EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 73.