De AIVD en MIVD verzamelen bulkgegevens met als doel kleine hoeveelheden relevante informatie te verkrijgen die essentieel zijn voor hun onderzoeken. Deze werkwijze maakt het mogelijk om gerichter dreigingen te identificeren. De niet-relevante gegevens moeten volgens de wet echter zo snel mogelijk worden vernietigd. Oorspronkelijk mochten deze datasets slechts anderhalf jaar worden bewaard voordat vernietiging verplicht was, maar in de praktijk gebeurde dit vaak niet.

Met de nieuwe 'Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma', die eerder dit jaar werd aangenomen, is de verplichting om bulkdatasets na anderhalf jaar te vernietigen geschrapt. De bewaartermijn kan nu jaarlijks worden verlengd door de betrokken minister, mits er een beargumenteerd verzoek van de diensten ligt.

Hoewel de inlichtingendiensten het belang van bulkdatasets benadrukken, maakt de CTIVD zich zorgen over de impact van deze massale gegevensverzameling op de privacy van burgers. "De verwerking van bulkdatasets brengt een grote inbreuk op de privacy met zich mee," waarschuwt de CTIVD. Het toezichtorgaan wil daarom controleren of de AIVD en MIVD zich houden aan de regels bij het verzamelen, verwerken en vernietigen van deze gegevens. Het onderzoek moet duidelijk maken of de diensten rechtmatig handelen en zal resulteren in een openbaar toezichtsrapport.