Het functioneren van het CIOT

Afbeelding: 0518 - Paginanummer - Gravenhage ('s-) - Telefoonnummers + Naamlijst - Jaar 1927 van Genealogiedomein.nl - Genealogie in de Achterhoek | Licentie: CC BY-NC-SA 2.0

Het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) is, simpel gezegd, het systeem dat (Bijzondere) Opsporings-, Inlichtingen- en Veiligheidsdiensten voorziet van klantgegevens van telecom operators en internet providers. Hoe werkt het precies?

Centraal Informatiepunt Onderzoek Telecommunicatie

Van de website van het Ministerie van Justitie over het CIOT:

De (Bijzondere) Opsporings-, Inlichtingen- en Veiligheidsdiensten zijn bevoegd deze gegevens op te vragen als dat nodig is voor strafvordering, inlichtingenverzameling of hulpverlening in noodsituaties. Het gaat om persoonlijke informatie: adresgegevens behorende bij telefoonnummers, IP-adressen en e-mailadressen.

Het CIOT fungeert als intermediair tussen aanvragers en aanbieders. Daartoe beheert het informatiepunt het volledig geautomatiseerde CIOT-informatiesysteem (CIS), waarin het vraag- en antwoordverkeer zorgvuldig en snel wordt afgehandeld. Zelf heeft het CIOT geen inzage in de gegevens. De organisatie zorgt wel voor verantwoorde opslag en gebruik. [...] Het is de missie van het CIOT om een bijdrage te leveren aan een rechtvaardige en veilige samenleving. [...]

Het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) is, simpel gezegd, het systeem dat (Bijzondere) Opsporings-, Inlichtingen- en Veiligheidsdiensten voorziet van klantgegevens van telecom operators en internet providers. Het is geclassificeerd als staatsgeheim.

Beschikbaar stellen van de gegevens

De operators en providers moeten elke 24 uur een tekstbestand naar het CIOT sturen. Dat bestand bevat de koppeling van bijvoorbeeld een telefoonnummer naar de naam en adresgegevens van de accounthouder. Het gaat onder meer om alle vaste, mobiele en VOIP telefoonnummers, IP adressen, e-mailadressen en de username van hosting accounts. De politie en anderen met een opsporingsbevoegdheid kunnen op die manier heel snel inzien welke persoonsgegevens bij een bepaald IP adres of telefoonnummer horen. Zij hoeven daarvoor niet meer bij de desbetreffende provider langs, een verzoek bij het CIOT voldoet.

De bestanden worden naar het CIOT verstuurd via een versleutelde FTP verbinding. De bestanden zelf zijn bovendien ook versleuteld, waarbij gebruik wordt gemaakt van GPG encryptie. De bestanden zijn opgemaakt in een door het CIOT bepaald XML formaat. Er zijn ongeveer 110 aanbieders die hun gegevens naar het CIOT sturen.

Voor het beschikbaar stellen van de gegevens krijgen de providers een vergoeding. Deze vergoeding is een vast bedrag en dus niet afhankelijk van de grootte van de bestanden. In 2009 bedraagt deze vergoeding ruim 27 euro per dag.

Verzoeken van behoeftestellers

De behoeftestellers worden BOID’s genoemd, de (bijzondere) opsporings- en inlichtingendiensten. Er zijn 42 opsporingsdiensten geauthoriseerd. Dit zijn 25 politieregio’s, zes afdelingen van de Nationale Recherche, de Rijksrecherche, de KMAR, de KLPD, het Landelijk Parker van het Openbaar Ministerie, 112, de FIOD-ECD, de AID-DI, de VROM-IOD, de SIOD, de AIVD en de MIVD.

De opsporingsdiensten mogen alleen op grond van artikelen 126n, 126na, 126u, 126ua, 126zi, 126zh, 126ii van het Wetboek van strafvordering (Ws), artikel 29 van Wet inlichtingen- en Veiligheidsdiensten en artikel 11.10 van de Telecommunicatiewet (Tw) bevragingen doen. Voor een beroep op de artikelen 126na, 126ua en 126zi Sv is geen toestemming van de Officier van Justitie nodig, voor de overige artikelen wel. De vorderingen door inlichtingendiensten moeten gedaan worden namens het hoofd van de dienst. Alleen voor vorderingen op basis van de Telecommunicatiewet is er geen extra controle omdat dit vorderingen zijn die gebruikt worden om misbruik van het bellen naar het alarmnummer tegen te gaan. In de praktijk worden de meeste bevragingen op basis van artikelen 126n en 126na Ws gedaan.

De BOID’s kunnen bij het CIOT 24 uur per dag de database bevragen. Behalve de vraag zelf, maken ook de naam van het onderzoek, de naam van de autoriteit, de wetsgrond en en een verwijzing naar het bevel onderdeel uit van het verzoek. Via een web interface, het CIOT Informatie Systeem (CIS), kan de vraagsteller het verzoek indienen bij de server van het CIOT.

CIOT Informatie Systeem (CIOT)

Het CIS systeem slaat de gegevens van het verzoek, zoals het kermerk, de rechtsgrondslag en de bevoegde authoriteit, voor de duur van drie jaar op. Daarnaast zoekt het systeem de gevraagde gegevens op. De gevonden antwoorden worden via de web interface teruggegeven aan de vraagsteller. Dit hele proces duurt alles bij elkaar een paar minuten.

Er zijn maar twee vragen mogelijk:

  1. een identificerend gegeven met als antwoord naam, adres, woonplaats, en netwerk- en dienstaanbieder
  2. postcode en huisnummer met als antwoord de identificerende gegevens, naam, adres, woonplaats, en netwerk- en dienstaanbieders.

Het antwoord bevat ook altijd het timestamp van de laatste update van de gegevens (door de aanbieder).

Door de inrichting van het systeem heeft een aanbieder geen zicht op de personen naar wie door BOID’s (mogelijk) onderzoek wordt gedaan. Dat heeft als voordeel dat lopende onderzoeken beter beschermd zijn, omdat aanbieders hier niet van op de hoogte zijn.

In mei 2009 gaf het CIOT aan dat er maandelijks 250.000 verzoeken gedaan worden. Voor 94% van die verzoeken is een of meer antwoorden van een of meer aanbieders voorhanden. Zie ook de jaarverslagen die openbaar werden door mijn beroep op de Wet openbaarheid van bestuur.

Opgeslagen gegevens

De werkzaamheden die het CIOT uitvoert, komen voort uit een aantal artikelen in de Telecommunicatiewet en het Wetboek van Strafrecht en zijn vastgelegd in de regeling Besluit verstrekking gegevens telecommunicatie. In de regeling is onder meer vastgelegd welke gegevens in de database opgenomen moeten worden.

Een aanbieder van diensten op het gebied van telefonie moet de volgende gegevens van haar gebruikers vastleggen:

  • de naam, het adres, de postcode en de woonplaats;
  • de afgenomen dienst (vast, prepaid, mobiel abonnement, etc),
  • het toegewezen telefoonnummer en
  • de naam van de aanbieder van de dienst.

Een internet provider moet van elke gebruiker de volgende gegevens vastleggen:

  • de naam, het adres, de postcode en de woonplaats,
  • de afgenomen dienst en type (adsl, inbellen, e-mail, hosting, etc),
  • de toegewezen gebruikersnaam en/of inlognaam
  • de toegewezen e-mailadressen,
  • de toegewezen identificatienummers van randapparaten (MAC adres etc),
  • de toegewezen IPv4 en/of IPv6 adressen en
  • de naam van de aanbieder van de dienst.

Voor al deze gegevens geldt dat de operator of provider deze gegevens alleen aan het CIOT hoeft te sturen indien de operator of provider die gegevens zelf al beschikbaar heeft in het kader van de normale bedrijfsvoering. Als de operator of provider niet over deze gegevens beschikt of (op een redelijke manier) kan beschikken, dan hoeven die gegevens niet overlegt te worden.

Gewoonlijk geldt dat als een partij persoonsgegevens van een andere partij ontvangt, de ontvangende partij de bewerker van de gegevens en daarmee verantwoordelijke in de zin van de Wbp is. In het geval van het CIOT is dat anders geregeld. In de regeling in artikel 3 lid 6 is bepaald:

Een aanbieder en het informatiepunt komen overeen dat het informatiepunt optreedt als bewerker van het bestand, bedoeld in artikel 4, indien de apparatuur waarin het bestand is opgeslagen in beheer is bij het informatiepunt.

Dat betekent dat als een aanbieder het tekstbestand naar het CIOT stuurt, deze aanbieder zelf verantwoordelijk (in de zin van de Wbp) blijft.

De gegevens die door een aanbieder worden beschikbaar gesteld, worden niet bewaard. De gegevens worden elke 24 uur aangepast (en niet aangevuld) aan de meest actuele gegevens die de aanbieder heeft. De gegevensset die bij het CIOT beschikbaar is, is dus slechts een snapshot van de situatie op een gegeven moment in de laatste 24 uur bij een aanbieder.

Dit betekent ook dat de antwoorden die een BOID terugkrijgt via het CIOT slechts met zekerheid kloppen voor het moment van actualisatie van het bestand (de timestamp van actualisatie maakt onderdeel uit van het antwoord). Dat is een belangrijk punt voor gegevens die meer dan eens per 24 uur kunnen veranderen, zoals bijvoorbeeld dynamisch uitgegeven IP addressen. De BOID mag voor dat soort gegevens er niet blindelings vanuit gaan dat het IP adres ook echt aan een klant is toegewezen en zal dit moet verifiëren (door bijvoorbeeld alsnog contact op te nemen met de aanbieder).

Om dit probleem te schetsen: stel dat om 11:00 uur een bepaald IP adres door een aanbieder aan klant is toegewezen, de aanbieder om 11:05 een update van de gegevens bij het CIOT doet, de aanbieder om 12:00 uur het IP adres aan een andere klant toewijst en een BOID om 22:00 uur een IP adres onderzoekt inzake een incident van 13:00 uur. De BOID krijgt dan dus de gegevens van “de verkeerde klant”. Andersom kan ook: een incident om 12:00 uur, een update van de gegevens door aanbieder om 13:00 uur, een gegevensverzoek van BOID om 23:00 uur. Ook hier krijgt de BOID mogelijk de gegevens van een andere klant.

In mei 2009 gaf het CIOT aan dat er rond de 50 miljoen telefoonnumers en 31 miljoen internet gerelateerde gegevens in het CIOT systeem beschikbaar zijn. Uit het audit 2009 rapport wordt het aantal bevragingen duidelijk.

Functioneren van het CIOT

In artikel 8 van de regeling is vastgelegd dat de minister jaarlijks een verslag opstelt over het functioneren van het systeem:

Onze Minister van Justitie stelt jaarlijks een verslag op waarin voor wat betreft de opsporing van strafbare feiten melding wordt gemaakt van het aantal malen waarin door tussenkomst van het informatiepunt aan een bevoegde autoriteit informatie is verstrekt. Deze vermelding is in ieder geval uitgesplitst naar: de rechtsgrondslag van het verzoek van de bevoegde autoriteit, de arrondissementsparketten en de politiekorpsen, of andere opsporingsdiensten.

Onze Minister van Justitie stelt jaarlijks een verslag op van een audit naar de goede uitvoering van dit besluit door de aanbieders van openbare telecommunicatiediensten of van openbare telecommunicatienetwerken, het informatiepunt, de arrondissementsparketten en de politiekorpsen, of andere opsporingsdiensten. Daarbij worden ten minste de volgende onderwerpen behandeld: de werking van het systeem; de kwaliteit van de verstrekking van gegevens; de bevraging van gegevens.

Omdat met name de rapporten van de audits niet gepubliceerd zijn, deed ik begin juli 2009 een verzoek op grond van de Wet openbaarheid van bestuur. Op 11 september kreeg ik een reactie. Wat ik in de verslagen heb gelezen staat in Vertrouwen in de integiteit van de ambtenaar.

Meer informatie

Verder lezen kan onder meer hier:

Neem gerust contact met mij op als iets onduidelijk is.