De politie heeft vorig jaar beter gedocumenteerd wat ze deed als ze één of meerdere apparaten van verdachten hackte. In de meeste gevallen maakten agenten gebruik van hackingsoftware van commerciële partijen. Dat brengt risico’s met zich mee.
Dat schrijft de Inspectie Justitie en Veiligheid (JenV) in haar Verslag wettelijke hackbevoegdheid 2021.
Logging was beter en accurater in 2021
Net als de inlichtingen- en veiligheidsdiensten heeft de politie de bevoegdheid om apparaten als mobiele telefoons en laptops te hacken om bewijsmateriaal te verzamelen. Dit mag echter niet zomaar: alleen als het om zware criminele activiteiten gaat, zoals moord, mag deze hackbevoegdheid worden ingezet. Dat deed de politie afgelopen jaar in totaal 28 keer.
Als agenten toestemming krijgen om apparatuur te hacken, moet alles wat zij doen nauwkeurig worden vastgelegd. Door video-opnames te maken van beeldschermen bijvoorbeeld. Wat de politie niet digitaal kan vastleggen, dient handmatig te gebeuren door een soort van dagboek bij te houden.
De logging was in 2021 niet compleet, maar wel een stuk accurater en vollediger. Dat is enerzijds te danken aan de inzet van het politieteam, dat zijn verantwoordelijkheid serieuzer nam. Anderzijds hebben verbeteringen in de techniek ervoor gezorgd dat logging beter gebeurde.
‘Spanning met het rechtskader’
In 23 van de 28 zaken maakte de politie gebruik van software van commerciële partijen om mobiele telefoons en laptops te hacken. Volgens de Inspectie JenV is dit niet zonder risico’s. Om te beginnen is de software een ‘black box’, zowel voor de politie als de Inspectie. Zij weten immers niet hoe het programma zijn werk doet.
Tegelijkertijd is het denkbaar dat de leverancier van de hackingsoftware toegang krijgt tot alle informatie die de politie binnenhaalt. De politie heeft hierover weliswaar afspraken gemaakt met de softwareleverancier, maar het is technisch onmogelijk om dit te controleren of beperken.
“De Inspectie JenV constateert dat hierdoor spanning ontstaat met het rechtskader wat voorschrijft dat alleen specifiek aangewezen politiemensen bij die gegevens mogen komen”, zo schrijft de Inspectie JenV in zijn jaarverslag.
Inspectie ziet te weinig verbeteringen
Dit is het derde jaar op rij dat de Inspectie aan de bel trekt om problemen met de hackbevoegdheid van de politie aan de kaak te stellen. Ze zegt dat de politie er afgelopen jaar niet in geslaagd is om de informatiebeveiliging van buitgemaakte gegevens te verbeteren en de kwaliteit van het werk te waarborgen. Zo is het autorisatiebeheer nog altijd niet goed geregeld.
“Evenals in 2020 concludeert de Inspectie dat in 2021 nog geen sprake was van een samenhangend kwaliteitssysteem om de kwaliteit van de inzet van de hackbevoegdheid tijdens alle fasen van de uitvoering te borgen”, zo concludeert de Inspectie. “Tevens is geen vooruitgang geboekt in het aantoonbaar waarborgen van de informatiebeveiliging. Interne borging van deze beveiliging en kwaliteit zijn voorwaarden voor een professionele taakuitvoering door de politie en vermindering van het toezicht door de Inspectie.”
Politie wil niets kwijt over hackingsoftware
De politie weigert al jaren om openheid van zaken te geven over de hackingsoftware die ze gebruikt. De Volkskrant heeft sinds 2019 al meerdere Wob-verzoeken hierover ingediend. Toen de politie meldde geen documenten te delen over “de afwegingen en het beleid van de politie” over de selectie van hackingsoftware, besloot het dagblad de zaak voor de rechter te brengen. In de zomer van 2021 stelde de rechtbank de krant in het gelijk.
Afgelopen maart kreeg de Volkskrant een reactie. De politie zei alle aanwezige documenten “integraal worden geweigerd”. Dat zette kwaad bloed, niet alleen bij het dagblad, maar ook bij experts, burgerrechtenbeweging Bits of Freedom en de Tweede Kamer. Marc van Breda, hoofd juridische zaken bij uitgeverij DPG Media, waar de Volkskrant onderdeel van is, kondigde daarop aan naar de bestuursrechter te stappen.
