OVB steigert van spi­o­na­ge­tool Pegasus: komt hoogmoed voor de val?

Enkele maanden geleden kwam aan het licht dat geavanceerde Israëlische spionagesoftware was ingezet om de smartphones van journalisten, activisten en mogelijk ook politici te hacken. Het was voor velen onder ons een eerste kennismaking met Pegasus, een spionagetool vernoemd naar het gevleugelde paard uit de Griekse mythe van Bellerophon.

Met die software wordt de controle van uw smartphone overgenomen en kan men alles volgen wat u ermee doet: gesprekken meeluisteren, de gps-locatie volgen, de contactenlijst inkijken, foto’s bekijken, alle e-mails en berichten – ook versleutelde - lezen en ongemerkt de camera of microfoon activeren. Het doelwit moet zelfs nergens op klikken om geïnfecteerd te geraken door Pegasus. Het Comité I onderzoekt momenteel of onze Staatsveiligheid de tool al heeft gebruikt.

Vandaag raakte bekend dat Apple alvast de nodige software-update doet om lekken te dichten en dat zij softwarebarrières zal toevoegen in de toekomst. Het is wrang om vast te stellen dat een techgigant onze privacy wil versterken, terwijl onze overheid wel heil ziet in dit soort spyware. Recent liet minister van Justitie Vincent Van Quickenborne namelijk optekenen dat ook de Belgische inlichtingendiensten deze controversiële software moeten kunnen inzetten om smartphones te bespioneren. De minister zegt weliswaar dat de inzet van dat soort technologie altijd moet gebeuren binnen een wettelijk kader met afdoende controlemechanismen zodat de rechten en vrijheden van de burgers maximaal gevrijwaard blijven, maar stelt tegelijkertijd dat dit kader ook voor Pegasus reeds aanwezig is. Hij doelt daarmee op de wet van 30 november 1998 houdende de regeling van inlichtingen- en veiligheidsdiensten (hierna “de wet”). Maar is dat ook het geval?

De minister geeft correct aan dat de diensten onderhevig zijn aan interne en externe controles van de gegevensverzamelingsmethoden die ze toepassen. Het is echter een andere vraag of alle ingrijpende methoden die een spionagetool zoals Pegasus aanreikt worden gevat door de huidige wetgeving.

Artikel 13 van de wet bepaalt dat de inlichtingen- en veiligheidsdiensten informatie en persoonsgegevens kunnen opsporen, verzamelen, ontvangen en verwerken die nuttig kunnen zijn om hun opdrachten te vervullen. Voor het gebruik van spyware en bijgevolg Pegasus zijn vooral artikelen 18/16 en 18/17 relevant. Die laatste beschrijft dat de inlichtingendiensten communicaties kunnen onderscheppen, er kennis van kunnen nemen en ze kunnen registreren.

Communicatie wordt in art. 3, 10° van de wet omschreven als “elke overbrenging, uitzending, of ontvangst van tekens, seinen, geschriften, beelden, klanken of gegevens van alle aard, per draad, radio-elektriciteit, optische seingeving of een ander elektromagnetisch systeem; de communicatie per telefoon, gsm, mobilofoon, telex, telefax of elektronische gegevensoverdracht via computer of computernetwerk, evenals iedere andere privécommunicatie”. Die definitie vereist een actie: een telefoongesprek, een bericht of een foto die gedeeld wordt, etc.

Artikel 18/16 dekt dan weer de informatie die niet enkel als dusdanig gecommuniceerd wordt, maar ook de gegevens die zich op de smartphone bevinden. “De inlichtingendiensten kunnen, al dan niet met behulp van technische middelen (…):

• Toegang krijgen tot een informaticasysteem;
• Er elke beveiliging van opheffen;
• Er technische voorzieningen in aanbrengen teneinde de door het informaticasysteem opgeslagen, verwerkte of doorgestuurde gegevens te ontcijferen en te decoderen;
• Er de door het informaticasysteem opgeslagen, verwerkte of doorgestuurde gegevens op eender welke manier van overnemen.”

Via deze bepalingen biedt de wet een kader voor heel wat gegevens die via Pegasus verzameld kunnen worden.

Toch kan Pegasus een stuk verder gaan dan wat de huidige wetgeving voor ogen heeft. Zo kan men eveneens de microfoon en de camera van de smartphone opzetten. De tool biedt op die manier de mogelijkheid tot het vergaren van informatie waarvoor er volgens ons geen wettelijke basis bestaat. Dat kan immers onmogelijk onder de “opgeslagen, verwerkte of doorgestuurde gegevens” van het informaticasysteem zoals vermeld in artikel 18/16 ressorteren.

Het heeft de facto meer weg van een observatie, zij het via het elektronische apparaat van de persoon zelf. Uit de artikelen die gewag maken van observatie volgt duidelijk dat de wet dit niet voorziet. Zij verwijzen voor de toepassing van technische middelen louter naar de camera’s waarvan het gebruik is toegestaan in overeenstemming met de wet op het politieambt.

Het is te makkelijk om te stellen dat wetgeving sowieso evolutief geïnterpreteerd moet worden zodra er nieuwe technologieën beschikbaar zijn. Wanneer dit een inperking van de grondrechten met zich meebrengt, moet hier met bijzondere voorzichtigheid mee worden omgesprongen. Fundamentele rechten zijn uiteraard niet absoluut en de bescherming van de burger tegen terrorisme, extremisme of andere ernstige vormen van criminaliteit vormt een wettige doelstelling om een inperking te rechtvaardigen. Bovendien stipuleert de Wet Inlichtingendiensten zelf dat “ieder gebruik van een specifieke of uitzonderlijke methode voor het verzamelen van gegevens het naleven van de principes van subsidiariteit en proportionaliteit impliceert” (art. 2, §1, vierde lid) en dat “de uitzonderlijke methode moet worden gekozen in functie van de graad van de ernst van de potentiële dreiging” (art. 18/9, §3).

Maar de vragen die stilaan rijzen zijn:

• Waar ligt het eindpunt?

• Kan technologie steeds indringender (gebruikt) worden en toch proportioneel blijven, onder het mom van veiligheid?

• Wanneer geraken grondrechten uitgehold?

Het zijn vragen die steeds vaker noodgedwongen opduiken: van grootschalige DNA-onderzoeken bij personen waartegen geen aanwijzingen van schuld bestaan en die zelfs niet betrokken zijn bij het strafonderzoek, over vingerafdrukken op identiteitskaarten tot voorstellen om slimme camera’s in te zetten om de bestuurder in de wagen te controleren of om mensen langs de kant te nemen voor overtredingen die zelfs niets met het wegverkeer te maken hebben (bv. fiscale schulden).

De OVB is erg waakzaam voor de tendens dat privacy hoe langer hoe minder een verworven goed lijkt te worden. Net als de steekvlieg die Pegasus beet op de tocht van de hoogmoedige Bellerophon naar de godenberg Olympus, zullen wij als OVB bijzonder alert blijven en protesteren zodra we merken dat spionagesoftware of soortgelijke initiatieven onze grondrechten inperken.