Gegevensuitwisseling door de politie binnen het Koninkrijk der Nederlanden 1 Verschenen in Privacy&Informatie, nummer 4-2006 Door: Jeroen Obdam 1 Inleiding Snelle en zorgvuldige uitwisseling van politiegegevens tussen de Nederlandse Antillen en Nederland is belangrijk voor de bestrijding van criminaliteit. Om een dergelijke gegevensuitwisseling mogelijk te maken hebben de minister van Justitie, de minister van Binnenlandse Zaken en Koninkrijksrelaties en de minister van Justitie van de Nederlandse Antillen het Protocol gegevensuitwisseling tussen de Nederlandse Antillen en Nederland (hierna: het Protocol) opgesteld en ondertekend. In dit Protocol zijn de afspraken voor gegevensuitwisseling vastgelegd. Een nadere uitwerking van het Protocol is vastgelegd in het Reglement Politieregister gegevensuitwisseling Koninkrijkscriminaliteit (hierna: het Reglement). Het Protocol en het Reglement geven de regels die moeten worden nageleefd om er voor te zorgen dat de uitwisseling van gegevens op een zorgvuldige manier plaatsvindt. De persoonsgegevens moeten zo worden verwerkt dat onbevoegden geen kennis kunnen nemen van de gegevens en dat de uit te wisselen persoonsgegevens juist zijn. De regels zijn verder bedoeld om het risico van misbruik van het systeem, en dus misbruik van de zich daarin bevindende gegevens, te minimaliseren. In het Protocol staat daarom ook dat het CBP toezicht houdt op de uitwisseling van persoonsgegevens met PDN-K. Met de ministers is de afspraak gemaakt dat het CBP te zijner tijd zou vaststellen hoe er met PDN-K wordt gewerkt en of het P rotocol wordt nageleefd. 2 Gegevensuitwisseling binnen het Koninkrijk Om de gegevensuitwisseling binnen het Koninkrijk vorm te geven, werd eerst een pilot gestart op basis van het al bestaande systeem Politie Kennis Net (PKN); dit was PDN-A. Nu kan binnen het systeem worden ingelogd in het Politie Discussie Net Koninkrijksbrede criminaliteitsbestrijding (PDN-K). Op grond van het Protocol en een machtiging ex artikel 18 lid 5 van de Wpolr kunnen de Nederlandse politiekorpsen via het PDN-K persoonsgegevens verstrekken aan de politieautoriteiten van de Nederlandse Antillen om zo daadwerkelijke opsporing te realiseren of te ondersteunen. 2 PKN is een op webtechnologie gebaseerde kennisdienst, die via het Politie Intranet (PIN) beschikbaar is voor politiemedewerkers. PKN bevat onder meer jurisprudentie, beschrijvingen van procedures, wetsartikelen, enzovoort. Het is de bedoeling dat met behulp van de webtechnologie politiemensen sneller hun weg zullen kunnen vinden in het enorme aanbod van voor hen op dat ogenblik nuttige informatie. Dit zal een grote invloed kunnen hebben op de prestaties en de kwaliteit van het politiewerk. PKN bestaat uit drie omgevingen: praktijk, leren en bedrijfsvoering: PKN, PSN en PDN. PKN is voor de gevalideerde vakkennis. Hier kan men per kennisvak informatie vinden over de functie, wetsartikelen, jurisprudentie, checklisten, compacte toelichtingen en wetenswaardigheden. Het gaat hierbij kortom om vakgerichte informatie, niet om persoonsgegevens. 1 Een bewerking van dit artikel is verschenen in Tijdschrift voor de politie nummer 4. 2 Stb. 1990, 414. 1
Onderdeel van het PKN is het besloten discussieplatform PDN-K. Geautoriseerden kunnen PDN-K gebruiken voor het uitwisselen van operationele en tactische informatie over een bepaald opsporingsonderwerp, een persoon, teneinde daadwerkelijke opsporing te kunnen realiseren. In PDN-K worden gegevens vastgelegd die informatie geven over, en herleidbaar zijn tot, personen die met kennelijk criminele bedoelingen reizen tussen de Nederlandse Antillen, Aruba en Nederland. Daarnaast heeft het Recherche Samenwerking Team (RST) de mogelijkheid om via het PDN-K gegevens uit te wisselen. Het RST is een structureel samenwerkingsverband tussen Korps Politie Nederlands Antillen, Korps Politie Aruba en Korps landelijke politiediensten. Het RST is onder andere gericht op de bestrijding van misdrijven binnen het Koninkrijk, die gezien de ernst of frequentie dan wel het georganiseerde verband waarin ze gepleegd worden, een ernstige inbreuk op de rechtsorde maken en waarvoor de inzet van kwalitatief en kwantitatief bijzondere opsporingscapaciteit noodzakelijk is. Het team heeft zijn hoofdzetel op de Nederlandse Antillen (Curaçao) en heeft vestigingen op Aruba, Sint Maarten en in Nederland. Op de Nederlandse Antillen komt de verbinding met PDN-K tot stand met behulp van door Nederland geleverde (stand-alone) laptops. Voor het uitwisselen van de gegevens moet men via een modem inbellen. Het RST heeft geen laptop voor PDN-K gekregen. Het team beschikt over de faciliteit om via een (geëncrypte) internetverbinding op PKN te komen en van daaruit (met een wachtwoord) in te loggen op PDN-K. Aan de Nederlands -Antilliaanse opsporingsambtenaren en het RST worden slechts persoonsgegevens verstrekt na tussenkomst van een daartoe aangestelde moderator. De verstrekking werkt als volgt. Een geautoriseerde ambtenaar stuurt een e-mail naar het systeem. De moderator beoordeelt of de informatie die in de mail staat, voldoet aan de voorwaarden zoals die in het Protocol en Reglement zijn vastgelegd. Indien de moderator akkoord gaat met de verstrekking, zet hij de mail over naar dat deel van het systeem waar de uitwisseling plaatsvindt. Er worden dus alleen gegevens verstrekt vanuit Nederland naar de Nederlandse Antillen en het RST die door de moderator zijn goedgekeurd. 3 Het juridische kader voor de gegevensuitwisseling De uitvoer van persoonsgegevens naar zogenaamde derde landen is alleen toegestaan indien in die landen een passend niveau van privacybescherming geldt. Basale beginselen zoals doelbinding, inzage- en correctierecht moeten zijn gewaarborgd. Er moet sprake zijn van onafhankelijk toezicht op de wijze waarop met de gegevens word t omgegaan. Het CBP is ingevolge de Wpolr toezichthouder op de gegevensverwerking door de Nederlandse politie en derhalve ook op het verstrekken van persoonsgegevens uit Nederlandse politieregisters aan politieambtenaren van de Nederlandse Antillen. De verstrekking wordt mogelijk gemaakt middels een beschikking op grond van artikel 18 lid 5 Wpolr jo artikel 13 lid 7 Besluit politieregisters (Bpolr). 3 Artikel 18 lid 5 Wpolr voorziet in een oplossing voor gevallen waarin het gesloten verstrekkingenregime te knellend mocht blijken. De Wpolr is, kort gezegd, de privacywet voor de uitvoering van de politietaak. In de Wpolr is gekozen voor een gesloten verstrekkingenregime. Dit betekent dat politiegegevens niet zomaar aan iedereen verstrekt mogen worden maar slechts aan bepaalde, bij Wet en Besluit politieregisters 3 Stb. 1991, 56. 2
aangewezen categorieën ontvangers en dan nog alleen in de gevallen en onder de voorwaarden die bij wet en besluit worden aangegeven. Op grond van artikel 14, onder c en d, Wpolr mogen gegevens worden verstrekt voorzover deze gegevens nodig zijn voor de opsporing van strafbare feiten. Problemen met betrekking tot dit punt kunnen zich met name voordoen in het begintraject van een onderzoek, waarin (nog) niet duidelijk is of sprake zal zijn van een opsporings- of een zuiver administratiefrechtelijk onderzoek. In de praktijk dient dit aan de hand van de bevindingen in de loop van het onderzoek soms nog duidelijk te worden. Van belang hierbij is dat in alle gevallen sprake moet zijn van een vermoeden van een gepleegd of nog te plegen strafbaar feit. Het verstrekken kan dan toelaatbaar zijn. Hierbij hoeft niet altijd sprake te zijn van een verdachte in de zin van artikel 27 Wetboek van Strafvordering. Wel moet het gaan om de uitoefening van een opsporingstaak: een verstrekking alleen ten behoeve van administratief toezicht is op basis van artikel 14 onder c en d Wpolr niet toegestaan. Een dergelijke verstrekking kan wel op andere gronden toelaatbaar zijn: bijvoorbeeld in het kader van artikel 18 lid 5 of artikel 30 lid 1 Wpolr. Artikel 30 lid 1 Wpolr voorziet voor de tot geheimhouding verplichte in een legitieme opening voor verstrekking: 'behoudens voor zover ( ) de uitvoering van de taak met het oog waarop de gegevens zijn verstrekt tot het ter kennis brengen daarvan noodzaakt.' Een geautomatiseerd gevoerde collectie van persoonsgegevens zoals PDN-K, voldoet aan de omschrijving van het begrip politieregister in artikel 1 Wpolr. Dat PDN-K een politieregister is, heeft tot consequentie dat op grond van de Wpolr de beheerder van het politieregister PDN-K het Reglement dient vast te stellen en dit bij het CBP dient te melden. Het korps Haaglanden heeft namens de andere korpsen het Reglement vastgesteld en bij het CBP gemeld. Het Bpolr bepaalt dat rechtstreekse gegevensverstrekking langs geautomatiseerde weg (on-line toegang tot een politieregister) is voorbehouden aan vaste, geautoriseerde, gebruikers. Buitenlandse opsporingsambtenaren, en hiermee worden ook opsporingsambtenaren van de Nederlandse Antillen en Aruba bedoeld, vallen hier niet onder. Van iedere verstrekking die rechtstreeks langs geautomatiseerde weg geschiedt en van iedere verstrekking die niet rechtstreeks langs geautomatiseerde weg geschiedt, wordt aantekening gehouden. Daarbij worden de identiteit van degene aan wie is verstrekt, de datum en het doel van de verstrekking en een omschrijving van de vers trekte gegevens vastgelegd. Voor Nederlandse politieambtenaren geldt wat betreft het Protocol artikel 17 lid 5 Bpolr. Op grond van de hierboven genoemde situatie, waarbij aan hen via geautomatiseerde weg wordt verstrekt, en waarbij derhalve geen aantekening hoeft te worden gehouden op grond van een vrijstelling (artikel 17 lid 6 Bpolr) voorzag en voorziet het CBP geen verwikkelingen. Verstrekking aan opsporingsambtenaren van de Nederlandse Antillen en Aruba, zoals nu is mogelijk gemaakt op grond van artikel 18 lid 5 Wpolr jo artikel 13 lid 7 Bpolr mag dus niet (live) online op het PDN-K, maar zal altijd moeten plaatsvinden door tussenkomst en onder verantwoordelijkheid van een Nederlandse politieambtenaar (de moderator). 4 Onderzoek door het CBP De Nederlandse Antillen kennen geen specifieke privacywetgeving. Het CBP hecht daarom grote waarde aan waarborgen die dit compenseren, vooral nu er sprake is van een structurele uitwisseling van politiegegevens tussen rijks-delen. Het CBP heeft officieel geen toezichthoudende taak op de Nederlandse Antillen en Aruba; de Wet bescherming persoonsgegevens (WBP) en de Wpolr zijn 3
immers geen rijkswetten. Wel kan het CBP adviseren over het inbouwen van waarborgen ten aanzien van verstrekking en gebruik van politiegegevens krachtens de Wpolr. De door de gebruikers gekozen pragmatische oplossing om op een efficiënte wijze gegevens binnen het Koninkrijk uit te wisselen, voldeed op een aantal punten niet aan de wet- en regelgeving. Zo was PDN-K niet bij het CBP gemeld, terwijl het wel voldoet aan de omschrijving van het begrip politieregister van de Wpolr. Daarnaast hadden opsporingsambtenaren van de Nederlandse Antillen en Aruba online toegang tot het PDN-K, terwijl dat alleen mag door tussenkomst en onder verantwoordelijkheid van een Nederlandse politie-ambtenaar. Daarin is na de pilot fase voorzien. Naar aanleiding van deze constateringen vond gedurende ruim een jaar een inhoudelijke discussie plaats met medewerkers van het ministerie van BZK en vertegenwoordigers van de Nederlandse politie. Die hebben vervolgens de opmerkingen van het CBP verwerkt in het definitieve Protocol. Een jaar na inwerkingtreding hiervan (eind 2005), onderzocht het CBP in welke mate de getroffen waarborgen worden nageleefd. Het CBP is het onderzoek gestart bij het politiekorps Haaglanden (de moderator). Tijdens het gesprek heeft het CBP een demonstratie gekregen van het systeem en de werkwijze. Tevens is er een aantal controlevragen gesteld. Daarna hebben er controles plaatsgevonden bij het recherchebureau Rio Canario te Willemstad, Curaçao, het bureau Kralenberg, Bonaire en bij het RST, locatie Willemstad. Het CBP heeft voor het onderzoek met diverse politiefunctionarissen in Den Haag en op Curaçao en Bonaire gesproken en verder de technische faciliteiten onderzocht. Tijdens het onderzoek bleek dat het RST nog geen gebruik gemaakt had van het PDN-K. Verder kwam uit het onderzoek naar voren dat de politiekorpsen de gegevensuitwisseling als zeer waardevol ervaren. Er zijn diverse zaken opgelost met input van informatie uit PDN-K. Het blijft natuurlijk lastig om de effectiviteit van het systeem in harde cijfers uit te drukken. Dit maakt de vraag of de investering de moeite loont, moeilijk. Kortgezegd kan geconcludeerd worden dat de motivatie om met PDN-K te werken goed is. De bekendheid met de wetgeving en de daarbij behorende verplichtingen, is echter minder. De bekendheid zou er in de ogen van het CBP wel moeten zijn bij die partijen die de uitwisseling van gegevens feitelijk mogelijk maken. Het CBP ziet dan ook voor hen de taak weggelegd om er zorg voor te dragen dat aan alle wettelijke vereisten wordt voldaan. De resultaten van het onderzoek zijn aangeboden aan de verantwoordelijke ministers, aan de korpschef van het KPNA, aan de korpsbeheerder van de regiopolitie Haaglanden en aan de Politie Academie (PA). Naar aanleiding van de prompte wijze waarop de aanbevelingen uit het onderzoek zijn opgepakt door de medewerkers van het Ministerie van BZK, de Politieacademie en het politieregiokorps Haaglanden is het CBP benieuwd welke vruchten deze in het komende jaar zullen gaan afwerpen. ONDERSTAANDE TEKST IN EEN KADER PLAATSEN Bevindingen 1. De regels, die door het Protocol en het Reglement worden voorgeschreven, waarborgen onvoldoende dat het systeem op een zorgvuldige wijze wordt gebruikt. 4
2. In het bijzonder de fysieke- en logische toegangsbeveiliging tot het systeem, evenals de maatregelen op het organisatorisch vlak, zijn niet voldoende om het gestelde doel (zorgvuldige gegevensuitwisseling) te realiseren. 3. Het beveiligingbewustzijn (ruimer: het privacybewustzijn) is van groot belang voor het naleven van de gestelde regels. Het privacybewustzijn schiet, ondanks de goede intentie van de medewerkers, tekort. 4. Gedurende de tijd dat het systeem in gebruik is, heeft er geen controle op de werking van het systeem plaatsgevonden. De lokale overheid heeft hierdoor geen zicht op de huidige werkwijze en kan haar verantwoordelijkheid niet waarmaken. Dit betekent dat er minder waarborgen zijn voor een steeds zorgvuldige gegevensuitwisseling en dat er een afbreukrisico bestaat voor de verantwoordelijke minister. Aanbevelingen 1. Wanneer het gebruik van het systeem wordt voortgezet, dienen de in dit rapport beschreven tekortkomingen op korte termijn opgelost te worden. 2. Het CBP beveelt de Politie Academie (PA) aan om het privacybewustzijn bij de medewerkers die met Politie Discussie Net Koninkrijksbrede criminaliteitsbestrijding (PDN-K) werken te stimuleren. Wanneer de medewerkers die werken met persoonsgegevens zich niet bewust zijn van de risico s, zal het systeem voor gegevensuitwisseling niet naar behoren kunnen functioneren. 3. De rol van moderator moet beter worden vormgegeven. De beschrijving van de rol van de moderator en de afspraken rondom het gebruik van PDN-K dienen duidelijk te zijn en houvast te geven aan de moderatoren. De moderator heeft een controlefunctie en vervult in het besloten discussieplatform een cruciale rol. 4. De rol van de moderator en de afspraken rond het gebruik van PDN-K dienen op gezette tijden door de moderator onder de aandacht van de gebruikers te worden gebracht. Er moet geïnvesteerd worden in kennisoverdracht en bewustwording. Een juiste naleving van de regels binnen het systeem vergt een debat (met mogelijke tegenspraak) tussen actieve gebruikers waardoor de kwaliteit van de gegevens en van het gebruik van het systeem wordt bewaakt. 5. De Korpsen moeten de beveiliging van de uitgewisselde persoonsgegevens beter vormgeven en de gegevens tijdig verwijderen. Het spreekt vanzelf dat hierop toezicht gehouden dient te worden. 6. De Minister van Justitie van de Nederlandse Antillen dient de uitvoering van het Protocol door een onafhankelijke persoon of instantie daadwerkelijk te laten controleren. Het volledige onderzoek en de volledige tekst van het Protocol en het Reglement zijn te vinden op www.cbpweb.nl: Uitwisseling van politiegegevens tussen de Nederlandse Antillen en Nederland. Controle op de naleving van Protocol en Reglement voor het Politie Discussie Net Koninkrijksbrede criminaliteitsbestrijding. CBP, april 2006. 5
6