Besluit coördinatie terrorismebestrijding en nationale veiligheid.

Bij Kabinetsmissive van 13 februari 2025, no.2025000321, heeft Uwe Majesteit, op voordracht van de Minister van Justitie en Veiligheid, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het ontwerpbesluit houdende regeling van technische, personele en organisatorische maatregelen en nadere regels omtrent gegevensbeschermingsaudits ter uitvoering van de Wet coördinatie terrorismebestrijding en nationale veiligheid en tot wijziging van het Besluit politiegegevens (Besluit coördinatie terrorismebestrijding en nationale veiligheid), met nota van toelichting.

Het ontwerpbesluit werkt de Wet coördinatie terrorismebestrijding en nationale veiligheid uit. De wet voorziet in een grondslag voor de coördinatie ten aanzien van terrorismebestrijding en de bescherming van de nationale veiligheid en creëert waarborgen voor de bescherming van de persoonlijke levenssfeer. Het is de Nationaal Coördinator Terrorismebestrijding en Veiligheid (hierna: NCTV) die deze taak uitvoert. Het ontwerpbesluit stelt nadere regels ten aanzien van de beveiliging van gegevens, de gegevensbeschermingsaudit en de verstrekking van politiegegevens aan de NCTV.

De Afdeling advisering van de Raad van State merkt op dat het creëren van een  grondslag voor het rechtstreeks verstrekken van politiegegevens aan de NCTV een separate motivering van de noodzaak van deze grondslag behoeft. In de toelichting ontbreekt deze motivering. Daarnaast wordt in de toelichting niet ingegaan op hoe de regeling voor informatiebeveiliging zich verhoudt tot de conclusies en aanbevelingen in het recent uitgebrachte rapport van de Auditdienst Rijk over de beveiliging van bijzondere informatie door de NCTV en de politie. In verband daarmee is aanpassing van de toelichting en zo nodig het ontwerpbesluit wenselijk.

1. Verstrekking politiegegevens aan de NCTV

De Wet politiegegevens vormt het kader voor de externe verstrekking van politiegegevens. In het Besluit politiegegevens (Bpg) staan de instanties opgesomd aan wie politiegegevens verstrekt mogen worden. Het ontwerpbesluit wijzigt het Bpg door twee grondslagen te creëren voor het verstrekken van politiegegevens aan de NCTV. Het gaat hier om een algemene grondslag voor verstrekking van politiegegevens en een grondslag voor het rechtstreeks verstrekken van politiegegevens. (zie noot 1)

In de nota van toelichting wordt uitgelegd dat de noodzaak voor de verstrekking is gelegen in het belang van de nationale veiligheid. De NCTV heeft politiegegevens nodig om uitvoering te geven aan de coördinatietaak, bijvoorbeeld bij terroristisch gemotiveerde geweldsincidenten of dreigingen. Daarmee is de noodzaak voor een algemene verstrekkingsgrondslag gegeven, maar uit de nota van toelichting blijkt niet in hoeverre ook rechtstreekse verstrekking noodzakelijk is. Bij rechtstreekse verstrekking wordt een hit/no hit bevraging gedaan in politiesystemen zonder dat daarbij sprake is van een menselijke tussenkomst. (zie noot 2) De noodzaak voor het creëren van de grondslag voor een dergelijke verstrekking behoeft, naast de gegeven motivering van een algemene verstrekkingsgrondslag, een separate motivering op grond van het zwaarwegend algemeen belang.

De Afdeling adviseert de noodzaak van de grondslag voor rechtstreekse verstrekking alsnog dragend te motiveren, en anders te schrappen.

2. Regeling voor de beveiliging van gegevens en uitkomst ADR rapport

In december 2024 heeft de Auditdienst Rijk (ADR) een onderzoeksrapport gepubliceerd over het beveiligingsproces van staatsgeheime vertrouwelijke informatie bij NCTV en politie. (zie noot 3) De conclusie van het rapport is dat de informatiebeveiliging van bijzondere informatie in de onderzochte periode (tot 1 oktober 2023) niet op orde was. Allerlei maatregelen zijn nodig om de informatiebeveiliging te verbeteren. De minister onderschrijft de conclusie en aanbevelingen, waaronder ook de aanbeveling om de ADR een vervolgonderzoek te laten uitvoeren. (zie noot 4)

Het ontwerpbesluit bevat organisatorische beschermingsmaatregelen bij de verwerking van persoonsgegevens. (zie noot 5) Dit omvat ook de beveiliging van staatsgeheime informatie. De nota van toelichting gaat niet in op de conclusies en aanbevelingen uit het ADR rapport. Aangezien het deels om hetzelfde proces gaat, is het van belang in de toelichting tot uitdrukking te brengen wat de betekenis is van dit rapport en de kabinetsreactie voor de voorgestelde regeling. In het bijzonder dient daarbij verduidelijkt te worden hoe het toezicht van de Inspectie Justitie en Veiligheid op de informatiebeveiliging zich verhoudt tot het toegezegde vervolgonderzoek door de ADR.

Gelet hierop adviseert de Afdeling de toelichting aan te vullen.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het ontwerpbesluit en adviseert daarmee rekening te houden voordat een besluit wordt genomen.

De vice-president van de Raad van State

Nader rapport (reactie op het advies) van 27 mei 2025

1. Verstrekking politiegegevens aan de NCTV

Het advies van de Afdeling heeft ertoe geleid dat de noodzaak voor de rechtstreekse verstrekking nog eens kritisch tegen het licht is gehouden. Deze kritische blik heeft ertoe geleid dat de algemene verstrekkingsgrondslag door wijziging van artikel 4:3 van het Besluit politiegegevens ten behoeve van de uitvoering van de wettelijke taak afdoende is en er geen zwaarwegende noodzaak is om in aanvulling op die verstrekking te voorzien in een rechtstreekse verstrekking. De voorgestelde wijziging van artikel 4:6 van het Bpg is om die reden dan ook geschrapt.

2. Regeling voor de beveiliging van gegevens en uitkomst ADR rapport

In reactie op dit punt van het advies van de Afdeling is aan de nota van toelichting een paragraaf toegevoegd (paragraaf 3) waarin wordt ingegaan op de verhouding van de beschermingsmaatregelen in het besluit tot de aanbevelingen ADR-rapport inzake beveiligingsproces. Het onderhavige besluit en de reikwijdte van het ADR-onderzoek hebben betrekking op verschillende kaders en processen met een verschillende invalshoek. In het ADR-rapport wordt toegelicht dat de maatregelen die naar aanleiding van dat rapport zijn genomen een specifiek toepassingsbereik hebben waar het gaat om informatiebeveiliging, namelijk staatsgeheime informatie. Daarmee zijn deze maatregelen zowel breder dan de beveiligingsmaatregelen opgenomen in het voorgestelde besluit, maar ook specifieker, vanwege het type informatie. De Wet coördinatie terrorismebestrijding en nationale veiligheid en het voorgestelde besluit zijn immers specifiek gericht op de coördinatietaak en de bescherming van persoonsgegevens. In de bovengenoemde kabinetsreactie is aangekondigd dat de ADR na 12 maanden een aanvullend onderzoek zal verrichten naar de opvolging van de aanbevelingen in het rapport en waar nodig aanvullende aanbevelingen zal doen. Deze aanbevelingen kunnen mogelijk ook betrekking hebben op onderdelen waar de wet op van toepassing is, waarvoor geldt dat de Inspectie Justitie en Veiligheid (IJenV) een structurele taak heeft. Benadrukt wordt dat, wanneer daarvan sprake zou zijn, dat aan de inzichten van beide partijen belang wordt gehecht en aanbevelingen zo goed mogelijk worden opgevolgd. Deze mogelijke samenloop zal bij beide partijen onder de aandacht worden gebracht.

3. Ambtshalve wijzigingen

Van de gelegenheid is gebruik gemaakt om enkele technische en redactionele verbeteringen aan te brengen.

In artikel 3, tweede lid, van het ontwerpbesluit is de bewaartermijn aangepast ten behoeve van de werkzaamheden van de IJenV. In dat artikellid is de bewaartermijn opgenomen voor persoonsgegevens die worden vastgelegd voor controledoeleinden in verband met het loggen van zoekopdrachten van de in de wet bedoelde publiek toegankelijke online bronnen. Dit voor zover deze bronnen kunnen worden aangemerkt als sociale media, ten behoeve van het signaleren, analyseren en duiden van trends en fenomenen als bedoeld in artikel 2, derde lid, van de wet. In de aan de Afdeling opgenomen versie van het ontwerpbesluit was de bewaartermijn van deze gegevens gesteld op ten minste de datum waarop de laatste externe gegevensbeschermingsaudit heeft plaatsgevonden. De IJenV heeft aangegeven dat deze termijn mogelijk te kort is voor een goede uitvoering van hun taken. Om die reden is in overleg met de IJenV de bewaartermijn aangepast naar minimaal een jaar na het genereren van de logregel en ten minste tot de datum waarop de laatste externe gegevensbeschermingsaudit heeft plaatsgevonden.

In paragraaf 4 zijn met betrekking tot de uitvoering en gevolgen mede op verzoek van de IJenV enkele passages aangevuld en verduidelijkt die op de IJenV betrekking hebben. Tot slot is in artikel 3 en in paragraaf 2.1 van de toelichting nog verduidelijkt dat de normering betrekking heeft op persoonsgegevens.

Ik bied U hierbij het gewijzigde ontwerpbesluit en de gewijzigde nota van toelichting aan en verzoek U overeenkomstig dit ontwerp te besluiten.

De Minister van Justitie en Veiligheid

Voetnoten

(1) Voorgesteld artikel 5, wijziging van artikelen 4:3 en 4:6 Bpg.
(2) Artikel 23 Wet politiegegevens.
(3) Auditdienst Rijk, Onderzoeksrapport Beveiligingsproces van staatsgeheime/vertrouwelijke informatie bij NCTV en politie, Kamerstukken II 2024/25,  36600-VI, nr. 123, bijlage.
(4) Kabinetsreactie rapport ADR, Kamerstukken II 2024/25,  36600-VI, nr. 123.
(5) Voorgesteld artikel 3.