In het onderzoek komt de vraag aan bod of de Algemene Inlichtingen en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) zich aan de wet houden bij de inzet en toepassing van hacks waarbij grote hoeveelheden gegevens verzameld kunnen worden.

De diensten mogen zogeheten bulkdatasets verzamelen, bijvoorbeeld door deze te kopen, maar ook door te hacken. De bevoegdheid werd uitgebreid toen de Wet inlichtingen- en veiligheidsdiensten (Wiv) in mei 2018 van kracht werd.

Door de uitbreiding mogen de veiligheidsdiensten grote hoeveelheden data verzamelen en verwerken die zijn verkregen uit hacks. Het principe wordt daarom ook wel bulkhacks genoemd. De gegevens uit deze grote databases moeten de diensten helpen dreigingen op te sporen en te onderzoeken.

De bulkdatasets bestaan grotendeels uit data van organisaties en personen die geen deel uitmaken van een onderzoek, omdat zij niet in het vizier van de inlichtingendienst zijn. De wet stelt dat deze gegevens, die niet relevant zijn voor het onderzoek, zo snel mogelijk vernietigd moeten worden.

De Toetsing Inzet Bevoegdheden (TIB), een nieuwe, tweede toezichthouder voor de inlichtingendiensten, maakte in april in zijn jaarverslag bekend dat een van de geheime diensten een miljoenenhack wilde uitvoeren.

Daarbij wilde de inlichtingendienst de gegevens van miljoenen klanten van een bedrijf downloaden om bij de specifieke details van een klein aantal doelwitten te komen. De TIB, die de bevoegdheden vooraf toetst, vond dat in deze situatie te ver gaan en stak er een stokje voor.

Het onderzoek naar de uitgebreide hackbevoegdheid van de CTIVD - die in tegenstelling tot de TIB achteraf een oordeel velt - is onderdeel van de evaluatie van de Wiv. De toezichthouder wil in mei 2020 een rapport met conclusies over de implementatie van de Wiv uitbrengen.