Het gaat om gegevens die niet door de diensten zelf zijn verzameld, maar afkomstig zijn van bijvoorbeeld diefstal of hacken. De CTIVD stelt dat de informatie door derden publiekelijk, al dan niet tegen betaling, werd aangeboden en dat de diensten deze mochten verwerven. Hiervoor gelden namelijk minder regels dan voor bijvoorbeeld het tappen dat de inlichtingendiensten zelf doen.

Volgens de toezichthouder staat het overgrote deel van de mensen die voorkomen in de datasets niet in de belangstelling van de diensten. Minister Kajsa Ollongren (Binnenlandse Zaken) en minister Ank Bijleveld (Defensie) schrijven hierover in een brief aan de Tweede Kamer dat de datasets wel „voorzien in een duidelijke inlichtingenbehoefte en noodzakelijk waren om onder meer targets van de diensten te identificeren”.

De grootste dataset, met gegevens van meer dan 100 miljoen mensen, bevat ook „relatief veel” informatie over Nederlanders.

Bij het verkrijgen van één van de datasets was niet op ministersniveau om toestemming gevraagd, terwijl dit wel had gemoeten. De CTIVD noemt dit „onrechtmatig”. De toezichthouder stelt dat, zoals de bedoeling is, maar een beperkt aantal mensen van de AIVD en MIVD bij de gegevens kan komen.

Ollongren en Bijleveld nemen de aanbevelingen die de CTIVD doet over. Eén daarvan is dat meteen na het verkrijgen ervan moet worden gekeken of alle typen gegevens in de datasets wel echt nodig zijn voor het werk van de diensten. Zo niet, dan moeten deze volgens de CTIVD alsnog worden vernietigd.