Je ziet het niet, maar het is er wel: de spionagesoftware van de Israëlische NSO Group. Die spyware, Pegasus geheten, bleek in de afgelopen jaren een probaat middel voor autoriteiten en opsporingsdiensten. Zij konden politici, mensenrechtenactivisten en dissidenten afluisteren en bespioneren door stiekem software te installeren. Door geavanceerde technieken hoefden slachtoffers daarvoor zelfs niet op een link te klikken – de gebruikelijke manier om computers en smartphones te infecteren.

Onthullingen over de software, die jarenlang onopgemerkt kon worden ingezet, leidden wereldwijd tot ophef. Zelfs bondgenoten van Israël toonden zich verbaasd over de grote schaal waarop Pegasus werd gebruikt. De VS, grootafnemers van de spyware, plaatsten leverancier NSO Group op een sanctielijst. Het bedrijf zou hebben gehandeld „in strijd met het buitenlandbeleid en de nationale veiligheidsbelangen van de VS.”

Lijntje met Nederland

Het nieuws over Pegasus leidde in diverse Westerse landen tot debatten en onderzoeken. Het Europees Parlement benoemde zelfs een commissie die onder leiding van CDA-Europarlementariër Jeroen Lenaers onderzoekt of spionagesoftware in strijd is met Europese grondrechten.

In Nederland bleef het echter stil, ook al had The Citizen Lab, een onderzoeksgroep van de universiteit van Toronto, Pegasus al in 2018 in verband gebracht met het netwerk van telecomprovider KPN. Kamervragen van SP-Kamerlid Van Dijk in 2021 leverden ook weinig concrete informatie op. Want, zo antwoordden de toenmalige ministers Ollongren (Binnenlandse Zaken) en Kaag (Buitenlandse Zaken), over het werk van inlichtingendiensten kunnen ze geen mededelingen doen. Verzoeken aan politie en overheid om op grond van de wet openbaarheid bestuur informatie over Pegasus te delen, werden getraineerd.

Daardoor bleef de vraag of Pegasus door de Nederlandse veiligheidsdiensten werd gebruikt onbeantwoord. Tot de Volkskrant donderdag onthulde dat de spyware wel degelijk werd ingezet: de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) gebruikte Pegasus in 2019 om de voortvluchtige crimineel Ridouan T. op te sporen.

Zwarte doos

Heel verrassend is dat nieuws niet, opmerkelijk is het wel. Het gebruik van Pegasus is namelijk in strijd met het regeerakkoord van het kabinet-Rutte III. Daarin werd verboden software in te kopen bij leveranciers die hun software ook aan dubieuze regimes leveren. Maar NSO Group levert zijn software ook aan landen waarin mensenrechten met voeten worden getreden.

Daar komt nog bij dat Pegasus commerciële software is. Overheden en opsporingsinstanties doen dus zaken met een bedrijf, waardoor gevaar bestaat dat verzamelde gegevens in handen komen van dat bedrijf. Eerder bleek al dat NSO Group precies aangeeft wie wel en niet slachtoffer van de spyware waren geworden. Dat bevestigt het vermoeden dat medewerkers nauwkeurig inzicht hebben in het gebruik van de software.

Nog vorige week uitte de Inspectie Justitie en Veiligheid zijn zorgen over het gebruik van commerciële software. In het ”Verslag toezicht wettelijke hackbevoegdheid 2021” noemde de toezichthouder commerciële software een „zwarte doos.” Niemand kan uitsluiten dat er níét via een achterdeurtje wordt meegekeken. Dat kan gevolgen hebben voor de slachtoffers van de spionagesoftware en voor internationale betrekkingen.

Over Pegasus is het laatste woord dan ook nog niet gezegd. Begin deze week vroeg Kamerlid Omtzigt, speciaal rapporteur voor Pegasus bij de Raad van Europa, de regering al duidelijkheid te verschaffen over het gebruik van de spyware. De bewindslieden moeten onder meer duidelijk maken welke diensten van dergelijke software gebruikmaken en of de spyware is ingezet tegen advocaten, protestgroepen zonder terroristisch oogmerk of politieke groepen.

De eerste vraag is nu beantwoord, de andere antwoorden kunnen nog even op zich laten wachten.