Toezichtsrapport 71 over het verzamelen en verder verwerken van passagiersgegevens van luchtvaartmaatschappijen door de AIVD en de MIVD (2020)

Het toezichtsrapport gaat over het verzamelen en verder verwerken van Advance Passenger Information (API-gegevens) door de AIVD en de MIVD. API-gegevens zijn gegevens die worden opgeslagen door luchtvaartmaatschappijen over de passagiers van een vlucht en gegevens over de vlucht, zoals naam, geboortedatum, nationaliteit, de luchthaven van vertrek en aankomst. De gegevens worden structureel en geautomatiseerd verzameld. Het merendeel van deze gegevens heeft betrekking op organisaties en/of personen die geen onderwerp van onderzoek van de diensten zijn en dat ook nooit zullen worden. Om deze reden is sprake van het verzamelen en verder verwerken van een bulkdataset. De gegevens zijn verzameld met een algemene bevoegdheid (in casu de informantenbevoegdheid) Bij de inzet van een algemene bevoegdheid is geen ministeriele toestemming en rechtmatigheidstoets van die toestemming door de TIB vereist.

De CTIVD heeft in de onderzoeksperiode (januari 2019 - september 2019) onderzocht of de AIVD en de MIVD de passagiersgegevens rechtmatig hebben verzameld en hebben verwerkt.

De CTIVD concludeert dat de inzet van de informantenbevoegdheid voor het verzamelen van API-gegevens rechtmatig is. Ook wordt voldaan aan de vereisten van doelbinding en noodzakelijkheid. De AIVD en de MIVD hebben de gegevens echter niet gekwalificeerd als een bulkdataset conform eigen beleid. Hierdoor zijn de waarborgen die de wet en het interne beleid stelt, niet of niet voldoende toegepast. Dit is onrechtmatig. Daarbij heeft de CTIVD een onrechtmatigheid vastgesteld bij een specifieke data-analyse doordat sprake was van onvoldoende verslaglegging. Als laatste zijn bepaalde gegevensverwerkingen door de afdeling Veiligheidsonderzoeken als onrechtmatig beoordeelt. Reden hiervoor is dat deze verwerkingen niet passen binnen de taakstelling van deze afdeling.

Het onderzoek laat zien dat de wet bij het verzamelen en verder verwerken van bulkdatasets via de inzet van een algemene bevoegdheid onvoldoende recht doet aan de bescherming van de fundamentele rechten van personen die geen onderwerp van onderzoek zijn en dat ook nooit zullen worden. Dit is een onderwerp dat ten minste in het kader van de evaluatie van de Wiv 2017 aandacht behoeft.

Rapport nr. 71 heeft de volgende bijlagen: toetsingskader (bijlage I), opzet en methodiek (bijlage II) en begrippenlijst (bijlage III). Het rapport is voorzien van een geheime bijlage.

De ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie hebben op 22 september 2020 CTIVD-rapport nr. 71 naar de Tweede Kamer gezonden, inclusief een aanbiedingsbrief.