Anderhalf jaar nadat het arrest nr. 57/2021 van 22 april 2021 van het Grondwettelijk Hof (RABG 2021/11, 1004, met noot Julie Petersen, Lang verwacht en zoals gedacht, het Grondwettelijk Hof, RABG 2021/11, 1007) dat de dataretentiewet vernietigde, heeft de regering in samenspraak met alle partners – magistratuur, politie, operatoren, inspectiediensten – een nieuw en coherent kader voor dataretentie voorgelegd aan de wetgever dat een evenwicht biedt tussen enerzijds de bekommernissen voor het privéleven, en anderzijds de maatschappelijke belangen van veiligheid en rechtsbescherming.

De wet van 20 juli 2022 betreffende het verzamelen en het bewaren van de identificatiegegevens en van metagegevens in de sector van de elektronische communicatie en de verstrekking ervan aan de autoriteiten stapt af van een algemene ongedifferentieerde dataretentie en voert een nieuw perspectief in, in alle transparantie en in lijn met de Europese rechtspraak.

Zonder in detail in te gaan op deze omvangrijke wet, volgen hieronder alvast enkele hoofdlijnen.

De wet gaat vooreerst in op de realiteit zoals reeds uiteengezet dat communicatieverstrekkers reeds zeer veel metagegevens verwerken en bijhouden voor eigen doelstellingen, gegevens die zij nodig hebben om hun diensten überhaupt aan de klant te kunnen verstrekken. Denk aan de locatiegegevens noodzakelijk om de GPS aan te sturen of om een restaurant te kunnen voorstellen bij een citytrip.

Ook houden zij gegevens bij voor de goede werking en de veiligheid van het netwerk of van de dienst of om fraude of kwaadwillig gebruik van het netwerk op te sporen of te analyseren, namelijk om ervoor te zorgen dat hun diensten veilig aangeboden kunnen worden. Ook gebruikt men gegevens om ervoor te zorgen dat hun facturatie correct is en dat deze kan nagekeken worden wanneer de klant plots een gepeperde rekening krijgt voor buitenlands dataverkeer.

Dit alles onder de vereisten en persoonlijke instemming inzake de GDPR. Belangrijk uitgangspunt is dat enkel voor zover dienstverstrekkers gegevens verwerken, zij verplicht zullen zijn deze gegevens voor bepaalde minimumtermijnen bij te houden. Dit gaat dus enkel voor gegevens die de dienstverstrekkers zelf al verwerkten en omvat dus geen verplichting om deze gegevens nu plots wel te verwerken waar dit eerder niet gebeurde. Elke dienstverstrekker hanteert echter thans eigen termijnen gedurende de welke deze gegevens bijgehouden worden.

De nieuwe wet wil hierin transparantie brengen en rechtszekerheid. Die minimumtermijn kan van 4 maanden gaan tot 12 maanden, voor de meest rudimentaire gegevens. Zo creëert de wetgever ook een gelijk speelveld voor al deze dienstverstrekkers. Daarnaast verplicht de wetgever ook dat bepaalde gegevens bijgehouden worden, los van voormelde eigen doelstellingen, doch opnieuw enkel voor zover die verwerkt of gegenereerd worden in het kader van de verstrekking van die netwerken of diensten. Het doel van deze bewaringsplicht is het verzekeren van de nationale veiligheid en de strijd tegen de zware criminaliteit.

De eerste soort gegevens zijn de identificatiegegevens , zoals reeds eerder vermeld werd. Dit zijn de antwoorden op volgende vragen: “Wie is de gebruiker van een bepaald GSM-nummer, diens naam, adres, wanneer werd deze klant aangemeld, vanop welk IP-adres werd de account aangemaakt, op welk adres wordt de modem geïnstalleerd, welk abonnement heeft deze klant, welk IMSI nummer krijgt de klant”. Deze gegevens moeten worden bijgehouden tot zolang de elektronische communicatiedienst gebruikt wordt en tot twaalf maanden na het einde van de dienst of het einde van de sessie.

Telkens het internet betreden wordt, krijgt de gebruiker immers van Telenet, Proximus, etc. (de internet access provider) een nieuw IP-adres geldig voor die sessie. Dynamische IP-adressen wisselen dus tussen gebruikers en sessies. Bij het opsporen van criminelen is het derhalve zeer belangrijk te weten wanneer precies de relevante communicaties gebeurden. Deze verplichting geldt algemeen en ongedifferentieerd voor alle gebruikers in België, geheel in lijn met de Europese rechtspraak en verschilt niet zoveel van het oude regime. Het verschil ligt erin dat de verschillende identificatiegegevens die moeten worden bewaard indien ze verwerkt worden, nu letterlijk in de wet zelf worden opgesomd en niet langer in een Koninklijk besluit worden opgelijst.

Dit komt de transparantie en rechtszekerheid ten goede.

De tweede soort gegevens betreffen de metagegevens, verkeers- en locatiegegevens. Waar en wanneer werd er gecommuniceerd? Hoe lang werd er gebeld? Deze gegevens mochten niet algemeen en ongedifferentieerd bijgehouden worden.

Men moest differentiëren. Zowel naar de doelstelling die de bewaring zou rechtvaardigen, namelijk dat deze gegevens enkel worden bewaard ten behoeve van de vrijwaring van de nationale veiligheid, de strijd tegen zware criminaliteit, de preventie van ernstige dreigingen van de openbare veiligheid, en de bescherming van de vitale belangen van een natuurlijk persoon. Maar er moest ook gedifferentieerd worden naar het voorwerp van de bewaring, namelijk dat men bv. persoonlijke of geografische criteria zou gebruiken om deze retentie te beperken tot hetgeen noodzakelijk en derhalve gerechtvaardigd is. Hier voert de wetgever een geheel nieuw kader in.

Ook hier worden de verschillende soorten van metagegevens opgelijst in de wet3 zelf. Ook hier betreft het enkel gegevens die reeds door de dienstverstrekker gegenereerd of verwerkt zijn in het kader van zijn dienstverlening. Er wordt niet met persoonlijke criteria gewerkt. Niet elke veroordeelde of bepaalde bevolkingsgroepen die bovenmatig in de criminaliteitscijfers opduiken worden preventief op een dataretentielijst gezet.

Dit zou al snel de deur open zetten voor profiling en discriminatie. Zolang er geen sluitend systeem is om SIM-kaarten aan de effectieve identiteiten te koppelen, zou dergelijk systeem bovendien al te vatbaar zijn voor omzeiling. Voor de eerste keer worden er geografische zones ingevoerd, zones waarbinnen op basis van objectieve en niet-discriminerende elementen kan worden vastgesteld dat er een situatie bestaat die wordt gekenmerkt door een hoog risico voor de nationale veiligheid of op het voorbereiden of plegen van feiten van zware criminaliteit. De verschillende types van zones worden opgelijst in de wet, maar de juiste vertaling ervan in exacte locaties zal bij Koninklijk besluit gebeuren op basis van een nauwkeurig omschreven procedure, die elke 3 jaar opnieuw gevolgd moet worden opdat de zones nog actueel relevant zouden zijn. Over welke zones gaat het nu concreet?

Voor de bedreiging van de nationale veiligheid, terrorisme met andere woorden, zal er ook met zones gewerkt worden waarbinnen er een bewaarplicht geldt zolang het dreigingsniveau 3 of hoger is. Denk hierbij aan bv. kerncentrales of andere kritieke infrastructuren.

Indien het dreigingsniveau 3 of hoger is voor het gehele grondgebied, zal de bewaarplicht voor het gehele grondgebied gelden. De wet voorziet ook in waarborgen om dergelijke beslissing zo snel mogelijk door het politieke niveau te laten bevestigen. Het is logisch dat we inzake terrorismebestrijding zo veel mogelijk garanties willen dat er geen informatie verloren gaat. Maar wat met de bestrijding van de criminaliteit?

De wet voorziet ook een bewaarplicht voor zones waar veel criminaliteit gepleegd wordt. Niet zomaar kleine overlast, maar misdrijven die ernstig genoeg geacht worden om opgenomen te worden in de taplijst van artikel 90ter Sv. Zo worden er concreet gerechtelijke arrondissementen en politiezones aangeduid waar afhankelijk van het aantal van dergelijke feiten een bewaartermijn van 6, 9 of 12 maanden zal gelden.

De statistieken die hiervoor moeten dienen, zullen uit de Algemene Nationale Gegevensbank (ANG) komen en zullen moeten worden gevalideerd door het Controleorgaan op de politionele informatie. Daarnaast zijn er gebieden die in het bijzonder blootgesteld zijn aan bedreigingen tegen de nationale veiligheid of aan zware criminaliteit, met name havens, spoorwegstations, luchthavens, gevangenissen, wapenhandel.

De wetgever vermeldt ook zones waar er een mogelijke ernstige bedreiging is voor de vitale belangen van het land of de essentiële behoeften van de bevolking, zoals de gebouwen waarin de staatsmachten huizen, maar ook politieburelen, grensgemeenten, internationale instellingen, etc.

Ook hier is voorzien in een procedure om deze lijsten actueel en relevant te houden met een belangrijke rol voor het Controleorgaan op de politionele informatie en het Vast Comité I. Teneinde te vermijden dat deze zones openbaar gekend zouden zijn en de mogelijke risico’s voor de dataretentie, stelt de wetgever een geheimhoudingsplicht in. Het is immers niet wenselijk dat criminelen of terroristen aan de hand van een eenvoudig appje zouden kunnen vaststellen of ze al dan niet in een zone van bewaarplicht bevinden. Elke operator moet ook een Coördinatiecel oprichten belast met het verstrekken van de elektronische-communicatiegegevens op verzoek van de wettelijk bevoegde autoriteiten. De wet biedt ook de mogelijkheid om een gemeenschappelijke Coördinatiecel op te richten.

Dit zal ervoor zorgen dat er bij elke operator, dus ook de nieuwe OTT’s, een single point of contact zal zijn waar politie en justitie terecht kunnen met hun vorderingen. Naast dit nieuwe kader voor gerichte dataretentie, brengt de wet ook een duidelijk kader aan voor gebeurlijke bewaring van gegevens en het gebruik ervan door andere diensten dan politie en justitie, denk aan de administratieve inspectiediensten.

De uiteindelijk praktische uitwerking ervan zal moeten gebeuren in de diverse respectievelijke organieke wetten van deze diensten en valt verder buiten bestek van deze mercuriale. Het is echter een goede zaak dat deze wet ook hieraan gedacht heeft en zo tot een algemeen kader komt, zodat Justitie niet als doorgeefluik overladen wordt met aanvragen van dergelijke diensten in het kader van hun eigen bevoegdheden.

Een bijzondere vermelding verdient het Centrum voor Cybersecurity Belgium, dat met deze nieuwe wetgeving zelf de bevoegdheid zal krijgen om o.a. IPadressen te identificeren in het kader van hun bevoegdheden, hetgeen zal toelaten om sneller te schakelen en meer cybercriminaliteit te voorkomen.

Er wordt ook nog een nieuw instrument ingevoerd in het kader van het strafrechtelijk onderzoek. In het wetboek van strafvordering wordt in artikel 39quinquies Sv. namelijk een future freeze ingevoerd.

Dit houdt een bevel in gericht aan operatoren om verkeers- en locatiegegevens die ze verwerken vanaf het moment van de vordering die ook mondeling gegeven kan worden, te bewaren en niet meer te verwijderen, in afwachting van een vordering om toegang te krijgen tot deze gegevens. Dergelijk bevel geldt voor 2 maanden en kan verlengd worden, met een maximale looptijd van 6 maanden.

Dit precisie-instrument zal toelaten om in individuele strafrechtelijke onderzoeken tegemoet te komen aan gebeurlijke lacunes in de dataretentie. Zo kan een welbepaald toestel geviseerd worden, ongeacht in welke zones dit zich zou begeven. Men zou ook bepaalde locaties kunnen bevragen, die misschien onder het algemene kader geen retentie toelaten voor de bestrijding van zware criminaliteit. Dit nieuwe kader zal wellicht leiden tot een verschuiving in de manier waarop vandaag de dag de onderzoeken gevoerd worden.

Men zal er niet meer van kunnen uitgaan dat gegevens sowieso bewaard worden of beschikbaar zijn, maar in elk dossier zal moeten nagegaan worden wat er mogelijk, voorradig en proportioneel is, welke toestellen of locaties interessant zijn en dan vervolgens zo snel mogelijk het nodige te doen om te verzekeren dat deze gegevens niet verloren gaan. Daarmee zal het bewaren in grote mate de logica volgen die nu al gehanteerd wordt voor het opvragen van gegevens, namelijk dat steeds wordt nagegaan of de gegevens nodig zijn voor het onderzoek, het opvragen van de gegevens proportioneel is voor het op te sporen of op te lossen misdrijf, en of ze voorradig zijn. Dit alles zal uiteraard niet van vandaag op morgen mogelijk zijn, maar zal een proces worden waarover een ieder betrokken bij de wet zich zal moeten buigen. De wet voorziet dan ook in een ruime overgangsbepaling en stelt de inwerkingtreding van dit nieuwe kader uit tot uiterlijk 1 september 2027.

Dit geeft niet alleen de ruimte om de werkprocessen bij te werken, maar werd vooral ingegeven in het belang van de operatoren.

Die operatoren zullen immers hun handen vol hebben aan het technisch vertalen van dit wettelijk kader. Sommige verplichtingen zullen echter al sneller gelden voor de dienstenverstrekkers binnen de 24 maanden na bekendmaking van de wet.

Wat echter nu al zeker lijkt, is dat het een waar huzarenstuk zal worden om voor al deze verschillende soorten gegevens de verschillende dataretentieregimes technisch te vertalen in een robuuste en werkbare architectuur die zal toelaten om in real-time op mondelinge vorderingen te schakelen en gegevens veilig te stellen.

Uittreksel uit de Mercuriale september 2022 Dataretentie: de zoektocht naar een veilige haven, Robrecht De Keersmaecker, substituut -procureur-generaal bij het hof van beroep en mevrouw Catherine Van den Heyning, substituut procureur des Konings bij de rechtbank van eerste aanleg en uitgesproken door de heer procureur-generaal Patrick Vandenbruwaene.