Tijdens discussies in de EU-ministerraad over chatcontrole en grensoverschrijdende toegang door strafrechtelijke aanklagers tot “evidence in the cloud” (elektronisch bewijsmateriaal) is dataopslag weer een feit. Zowel de onlangs afgeronde E-Evidence-regelgeving voor “veilig bewijsmateriaal in de cloud” als de aanstaande EU-regelgeving voor chatcontrole, die nog in de kinderschoenen staan, zijn gebaseerd op het feit dat de benodigde datasets ook beschikbaar zijn.

Donderdag bekrachtigde het Federale Grondwettelijk Hof het besluit van het Hof van Justitie tegen de Duitse databewaarplaats (VDS) van september. Aangezien deze wetten in strijd zijn met de statuten van de Unie, mogen ze niet langer worden toegepast. Dit betekent dat de tweede versie van de VDS in Duitsland niet leverbaar is, maar ook niet de laatste zal zijn.

Een nieuwe editie is al in de maak

Sinds september domineert het onderwerp gegevensbewaring opnieuw de vergaderingen van de relevante comités van de Raad (COSI en COPEN), vooral omdat geen twee landen in de EU direct vergelijkbare gegevensbewaringsregels voor strafrechtelijke aanklagers hebben. Na acht negatieve uitspraken van het Europese Hof van Justitie (HvJ) over dataretentie, wordt nu een “High Level Expert Group” gevormd. Binnen deze groep moest niet alleen nieuwe vormen van dataopslag worden ontdekt, maar moest ook het moeizame “encryptieprobleem” worden opgelost.

De laatste lekken van de COSI-Raadscommissie van 20 maart onthullen een zorgwekkend beeld voor de Raad van Ministers. Hooggeplaatste politieadvocaten bespreken hoe de uitspraak van het Hooggerechtshof van de Europese Unie kan worden omzeild en documenteren overigens dat ze nog steeds niet begrijpen hoe end-to-end encryptie werkt.

Estland eist grondwetswijzigingen

Deze discussie is nu aangewakkerd door een onderzoek door de Raad van het Zweedse voorzitterschap in alle lidstaten over de meest urgente problemen waarmee wetshandhaving in de digitale ruimte wordt geconfronteerd. Van de negen antwoorden van de EU-landen sprongen er twee in het bijzonder uit: de delegatie uit Estland, algemeen beschouwd als een Europese pionier op het gebied van digitalisering, toonde een serieus begrip van IT-beveiliging (zie hierboven) en is helaas mogelijk ook typerend voor het niveau van technische kennis van de meeste deelnemersonderzoek.

Dit gaat gepaard met een houding ten opzichte van de EU-grondwet die absoluut roekeloos is voor advocaten. Zo deed de Estse delegatie een beroep op andere afgevaardigden om de denkwijze van het voorzitterschap van de Raad van Zweden te volgen en benadrukte ze tijdens vergaderingen steeds dat er ook andere basisrechten zijn die beschermd moeten worden, zoals het recht op veiligheid. Op zich is de beslissing van het HvJ heel begrijpelijk, vooral omdat het Hof naast het EU-Handvest geen ander recht heeft waarop het zijn beslissing moet baseren. Dit is een onhoudbare situatie totdat “de EU een oplossing biedt waarmee het HvJ zijn beginselen en aanpak opnieuw kan beoordelen”.

Daarom pleit Estland voor de intrekking van het EU-handvest en het Europees Verdrag voor de Rechten van de Mens met betrekking tot digitaal toezicht. De Tsjechische delegatie daarentegen spaarde juridische beraadslagingen niet, maar presenteerde de meest uitgebreide catalogus van eisen van welke delegatie dan ook (zie afbeelding).

Technische experts, maar welke?

België houdt weliswaar vast aan een gemeenschappelijke lijn, maar waarschuwt ervoor niet te veel problemen tegelijk aan te pakken en stelt, net als Polen, voor om technische experts op te nemen in de op te richten “expertgroep op hoog niveau”. Reden: “We weten uit ervaring dat dit diepgaande kennis van de relevante technologie vereist.” Het Europees Bureau voor de grondrechten, dat ook aan het onderzoek deelnam, vond het “belangrijk en passend dat een dergelijke groep deskundigen ook niet-institutionele actoren omvat”.

Het mogen echter niet alleen “experts zijn die bewakingsapparatuur ontwikkelen en verkopen aan wetshandhavers”. Er is ook behoefte aan experts die tools en software onafhankelijk kunnen auditen en hun impact op de grondrechten kunnen beoordelen. In het licht van andere meningen is het veilig om aan te nemen dat dit voorstel van de politieadvocaten niet in goede aarde zal vallen bij het Bureau van de Europese Unie voor de grondrechten.

Uit de overige negen stellingen zijn grofweg twee prioriteitseisen af ​​te leiden: Dataretentie staat bovenaan, gevolgd door het doorbreken of vermijden van encryptie.

België al met de vierde versie

De gematigde Belgische tone of voice is bedrieglijk. De kernlanden van de EU zijn Europese kampioenen op het gebied van het consequent omzeilen van jurisprudentie van nationale hooggerechtshoven en het Hof van Justitie als het gaat om gegevensbewaring. Bovenstaande grafiek, getiteld “The Belgian data retentie saga”, laat zien dat dataretentie drie keer onwettig is verklaard door het Belgische Grondwettelijk Hof of HvJ. In alle gevallen duurde het ongeveer een jaar voordat de nieuwe wetten voor het bewaren van gegevens werden afgerond.

Versie nummer drie kwam pas in april 2021 binnen en versie vier ging in juli 2022 in. Daarin probeert België een tweedelige versie uit. In naam van de “nationale veiligheid” worden IP-adressen, geodata enz. volledig en zonder reden opgeslagen voor geheime diensten. Daarom imiteerde België hiervoor de Franse methode, d.w.z. verlegde het bewaren van gegevens naar het gebied van “nationale veiligheid” en ontsnapte daarmee aan de jurisdictie van het HvJ.

Het verzamelen van gegevens voor openbare aanklagers is beperkt tot gebieden met zeer hoge misdaadcijfers, gezien de zeer negatieve uitspraken van rechtbanken met betrekking tot het bewaren van gegevens in geografisch beperkte gebieden. Frankrijk introduceerde de redenen voor het onderzoek kort na het eerste en baanbrekende besluit van het Hof van Justitie tegen de relevante EU-richtlijn uit 2014 en handhaaft het – ononderbroken door rechtszaken – tot op de dag van vandaag.

Wat nu

Zelfs als slechts negen van de 27 lidstaten van de EU deelnemen aan de eerste verkenning van de huidige officiële wensen, is de kans groot dat de dataopslag wordt herhaald. Behalve Oostenrijk heeft tot nu toe alleen Duitsland zich hiertegen verzet en zich gecommitteerd aan de “Quick Freeze”-methode, waarbij communicatiemetagegevens alleen worden verzameld en opgeslagen in geval van strafrechtelijk onderzoek. De resterende 14 staten moeten zich nog uitspreken, en er bestaat al een brede consensus in de Raad dat een “expertgroep op hoog niveau” de technische en juridische velden moet doorzoeken op een mogelijke nieuwe editie.

(twee)