De politie mag sinds 2019 apparaten van verdachten binnendringen, maar ook in 2022 werd er niet voldaan aan diverse regels die gelden voor de inzet van de hackbevoegdheid, zo stelt de Inspectie Justitie en Veiligheid. Het gaat onder andere om het gebruik van commerciële hacksoftware, waardoor politie niet kan uitsluiten dat de leverancier toegang heeft tot verzamelde gegevens. De Inspectie adviseert de minister van Justitie en Veiligheid om te bepalen of en hoe de wet die de hackbevoegdheid van de politie regelt, moet worden aangepast.

De Wet Computercriminaliteit III geeft politie de bevoegdheid om heimelijk een geautomatiseerd werk zoals een laptop of een smartphone van een verdachte binnen te dringen. De Inspectie Justitie en Veiligheid houdt toezicht op de inzet van deze hackbevoegdheid. Vorig jaar heeft een speciaal team van de politie in 31 zaken de hackbevoegdheid ingezet op bevel van de officier van justitie. In 2020 en 2021 ging het nog om respectievelijk 14 en 28 zaken. De Inspectie heeft alle zaken onderzocht.

Vorig jaar werd in 25 zaken commerciële 'binnendringsoftware' ingezet en werd er in drie zaken 'door de politie aangetroffen onbekende kwetsbaarheden' ingezet. De Inspectie stelt vast dat de politie in het overgrote deel van de zaken binnen de reikwijdte van de afgegeven bevelen heeft gehandeld. Een onderdeel waar de politie niet aan de regels voldoet betreft de inzet van commerciële software.

Net als de afgelopen jaren heeft de politie ook in 2022 in het merendeel van de zaken (25) gebruikgemaakt van commerciële software. Bij deze software is de functionaliteit voor het binnendringen gecombineerd met een technisch hulpmiddel voor het uitvoeren van onderzoekshandelingen. Voor zowel de politie als de Inspectie is deze software een ‘black box’. De politie kan daardoor niet uitsluiten dat de leverancier toegang heeft tot verzamelde gegevens, terwijl volgens wettelijke regels alleen speciaal aangewezen politiemedewerkers toegang mogen hebben.

Evenals in voorgaande jaren stelt de Inspectie vast dat in het merendeel van de zaken een commercieel technisch hulpmiddel is ingezet, dat niet vooraf goedgekeurd is. Het gaat dan om software voor het binnendringen van mobiele telefoons. "Dit is niet in lijn met het door de wetgever gestelde uitgangspunt dat technische hulpmiddelen in beginsel vooraf goedgekeurd zijn als deze worden ingezet", aldus de Inspectie.

Daarnaast is tijdens de parlementaire behandeling van het wetsvoorstel toegezegd dat de markt voor onbekende kwetsbaarheden (zerodays) zo min mogelijk moet worden gestimuleerd. De Inspectie signaleert, evenals over de drie afgelopen jaren, dat in de praktijk het voorgeschreven licentiemodel juist leidt tot extra kosten voor de politie en daarmee mogelijk tot een extra stimulans van voor deze markt.

Logging

Een ander punt waar de politie opnieuw niet aan de regels voldeed betreft logging. De Inspectie constateert dat voor de inrichting en toepassing van de logging de politie vooral als uitgangspunt heeft genomen wat technisch standaard voorhanden is binnen de gebruikte toepassingen, in plaats van wat op basis van een risicoanalyse nodig is en wat door het Besluit onderzoek in een geautomatiseerd werk (Bogw) wordt vereist. De politie beschikt dan wel over logging, maar kan niet aantonen dat die voldoende effectief is.

Verder stelt de Inspectie dat beschikbare logging door de politie veelal op ad-hocbasis gebruikt wordt om zowel tijdens de uitvoering van het bevel als achteraf toe te zien en eventuele afwijkingen of onregelmatigheden te signaleren. Zoals ook in eerdere jaren door de Inspectie is gerapporteerd, is niet door de politie uitgewerkt op welke wijze, door wie en wanneer het structureel monitoren vanuit een interne verantwoordelijkheid plaatsvindt.

Informatiebeveiliging

De Inspectie komt ook tot het oordeel dat de informatiebeveiliging nog steeds niet op niveau is. Zo blijkt onder andere dat het autorisatiebeheerproces voor de eigen systemen en toepassingen van het speciale politieteam og niet goed is ingericht. Het proces voor het aanvragen, accorderen, uitvoeren, controleren en intrekken van autorisaties en het beleggen daarvan is nog in ontwikkeling.

Conclusie

De Inspectie concludeert dat de politie na vier jaar nog onvoldoende inhoud en opvolging geeft aan de regels en uitgangspunten voor het toepassen van de hackbevoegdheid. Veel van de bevindingen die vorig jaar werden gedaan zijn gelijk aan de eerdere drie verslagen die zijn gepubliceerd. Dit betekent volgens de Inspectie dat de afgelopen vier jaar, ondanks de inspanningen die daartoe zijn geleverd, te weinig vooruitgang is geboekt door het politieteam.

Het gaat dan om het verbeteren van het proces en de technische inrichting om te kunnen voldoen aan de wettelijke vereisten en de toezeggingen die zijn gedaan door de (toenmalige) minister van Justitie en Veiligheid. De minister wordt dan opgeroepen om een standpunt in te nemen of de wet moet worden aangepast, om zo mogelijke knelpunten die de politie ervaart weg te nemen.