EU-rapport: 'Europa schiet zwaar tekort bij aanpak spionagesoftware'

Het gebruik van spionagesoftware zoals het omstreden Pegasus loopt in Europa de spuigaten uit, oordeelt een onderzoekscommissie van het Europees Parlement. De groep pleit voor Europese spyware-regels en een betere aanpak.

De onderzoekscommissie onder leiding van D66'er Sophie in 't Veld presenteerde vandaag haar voorlopige conclusies, na maanden van onderzoek. Dat moest duidelijk maken welke landen spionagesoftware gebruiken, en hoe veel. Dat is volgens de onderzoekers niet makkelijk: Europese landen en de Europese Raad zouden er "een omerta" op nahouden: een zwijgcultuur. En ook de Europese Commissie deelde slechts "terughoudend en mondjesmaat" informatie over spyware-aanvallen op haar eigen personeel. Toch stellen de onderzoekers dat aannemelijk is dat elke Europese lidstaat spyware zoals Pegasus heeft gekocht.

Pegasus al jaren omstreden

Pegasus is commerciële spionagesoftware, gemaakt door het Israëlische bedrijf NSO Group. De spyware misbruikt enkele onbekende kwetsbaarheden in bijvoorbeeld iOS en Android. Daardoor kan de software ongemerkt op smartphones van doelwitten worden geïnstalleerd. Vervolgens is zo'n smartphone volledig lek: alle bestanden en foto's kunnen worden doorgegeven, de locatie is bekend en de microfoon en camera kunnen constant worden afgeluisterd. Onder meer Apple en WhatsApp zijn al rechtszaken gestart tegen NSO Group vanwege Pegasus.

Weelderige handel zonder toezicht

"Er is geen noemenswaardig Europees toezicht", zei In 't Veld bij de presentatie van het rapport. "Niet om het illegaal gebruik van krachtige spyware tegen individuen te beteugelen en geen toezicht op de handel in deze digitale goederen." Veel Europese landen zouden een rol spelen in de verspreiding van de spionagesoftware binnen de Unie. Cyprus en Bulgarije zouden fungeren als exportcentra, Ierland zorgt voor een aantrekkelijke fiscale regeling terwijl Luxemburg alle banken bij elkaar heeft. Landen kunnen naar nieuwe spyware shoppen tijdens het jaarlijkse ISS World in de Tsjechische hoofdstad Praag, ook wel bekend als "het afluister-bal".

"Overheden van lidstaten hebben grotendeels de uitnodiging tot medewerking met de onderzoekscommissie geweigerd", zeggen de onderzoekers. "Sommige overheden weigerden medewerking, anderen waren vriendelijk en meewerkend maar deelden niet echt nuttige informatie." Toch heeft de commissie met openbare informatie een vrij compleet beeld kunnen vormen van de verspreiding en het gebruik van spionagesoftware in Europa.

EU-landen willen niet meer regels

De onderzoeksgroep is nu vooral boos over het gebrek aan aanpak van autoriteiten. Want de spyware zou niet alleen ingezet worden om criminelen op te sporen, zoals de AIVD zou hebben gedaan in de zaak rond Ridouan Taghi. Ook burgers, politici en activisten zouden worden afgeluisterd door hun eigen regering. "Dit is een aanval op de Europese democratie", zegt In 't Veld daarover.

De onderzoekers pleiten alsnog voor zo'n Europese aanpak, met nieuwe regels. Hoofdregel: spyware zou in Europa niet meer verkocht en gekocht mogen worden tot de lidstaten zelf regels en toezicht instellen. Het onderzoek zal de komende maanden besproken worden in het Europees Parlement, waarna er nog amendementen toegevoegd kunnen worden. Volgend jaar zal een uiteindelijke stemming over de bevindingen en aanbevelingen van de commissie worden gehouden. Veel wordt daar niet van verwacht: de Europese lidstaten willen geen Europese bemoeienis rond spionagesoftware, en zullen de aanbevelingen van de onderzoekscommissie waarschijnlijk wegstemmen.