De CTIVD nam alle hacks onder de loep die de diensten tussen 1 januari 2015 en 17 maart 2016 uitvoerden. De commissie concludeert dat de AIVD en MIVD „doorgaans weloverwogen te werk gaan”, maar ze somt ook de manieren op waarop de inlichtingendiensten in strijd met de regels handelen.

Een daarvan is het niet-wissen van gegevens hoewel dit volgens de regels wel zou moeten. Daarnaast hanteren de diensten nog steeds geen bewaartermijnen voor gegevens die nog moeten worden geëvalueerd, hoewel hier eerder wel toezeggingen over zijn gedaan aan de Tweede Kamer. „Hiermee handelen de diensten onrechtmatig”, concludeert de commissie. Ze raadt een maximale bewaartermijn van een jaar aan voor ongeëvalueerde gegevens.

De AIVD heeft een aantal keer operaties uitgebreid zonder daar opnieuw toestemming voor te vragen. „Een voorbeeld daarvan was een operatie waarbij op een toestemming voor het hacken van een laptop een daarvan losstaand internetaccount van hetzelfde target werd bijgeschreven”, schrijft de commissie. Vaak werd na afloop door de minister wel toestemming gegeven voor de uitbreiding, maar dat gebeurde pas nadat de diensten al in hun doelwit waren binnengedrongen.

Voor hacks op afstand moeten beide diensten de verantwoordelijke minister om toestemming vragen. Bij fysieke hacks, zoals een in beslag genomen computer, is bij de AIVD toestemming van de directeur van de dienst nu nog voldoende. De redenering daarvoor - dat een fysieke hack tijdelijker van aard is en daardoor een minder ernstige inbreuk op privacy - vindt de CTIVD allesbehalve overtuigend. De commissie adviseert daarom om ook voor fysieke hacks toestemming van de minister verplicht te stellen.

De commissie gaat ook in op het gebruik door de diensten van kwetsbaarheden in digitale beveiliging. De CTIVD wijst vooral op het belang van kwetsbaarheden die nog niet algemeen bekend zijn bij gebruikers of softwareontwikkelaars: de zogenoemde zero days. De diensten hebben geen regels om dit soort lacunes aan te kaarten bij ontwikkelaars, ook niet als het beveiligingslek niet meer hoeft te worden stilgehouden voor het onderzoek. Hier moet verandering in komen, vindt de CTIVD.