Europese digitale wetten zeggen vaak hetzelfde. Ze gelden niet voor wat buiten het recht van de Europese Unie valt, en ze laten de bevoegdheden van de lidstaten op het gebied van nationale veiligheid ongemoeid.
De AI-verordening (Verordening (EU) 2024/1689), de Europese wet voor kunstmatige intelligentie, is niet van toepassing op systemen die uitsluitend voor militaire, defensie- of nationale veiligheidsdoeleinden worden gebruikt[6]. De Algemene verordening gegevensbescherming (AVG) geldt niet voor de politie wanneer die persoonsgegevens verwerkt om strafbare feiten te voorkomen of te onderzoeken. Daarvoor geldt een eigen regime[7]. Geheime diensten vallen onder geen van beide.
In Nederland zegt de Uitvoeringswet AVG dat de AVG niet geldt voor de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD). Voor hen geldt de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017)[8]. Die wet geeft de diensten de bevoegdheid tot onderzoeksopdrachtgerichte interceptie, in de volksmond het sleepnet, inclusief het ongedaan maken van versleuteling[9]. Artikel 60 laat hen gegevens uit eigen, open, gekoppelde en door derden verstrekte bestanden onderling vergelijken, doorzoeken aan de hand van profielen en zoeken naar bepaalde patronen[10]. Artikel 89 laat hen ongeëvalueerde gegevens aan buitenlandse partnerdiensten geven, met toestemming van de minister, tot twaalf maanden[11].
Vooraf toetst de Toetsingscommissie Inzet Bevoegdheden (TIB) de toestemming van de minister. Haar oordeel is bindend[12]. Achteraf kijkt de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD). Die commissie vond dat de diensten bij het verstrekken van ongeëvalueerde gegevens aan buitenlandse diensten tekortschoten[13], en dat waarborgen bij bulkdatasets niet op orde waren[14]. Zulke datasets bevatten vooral mensen die geen onderwerp van onderzoek zijn[15]. De Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma geldt sinds 1 juli 2024 en vervalt van rechtswege op 1 juli 2028[16].
Hetzelfde patroon staat in andere digitale wetten. De ePrivacy-richtlijn, de Europese privacyregel voor telefonie en internet, geldt onder meer niet voor staatsveiligheid[17]. De Dataverordening laat opsporing en nationale veiligheid ongemoeid[18]. In het voorstel voor een permanente chatcontrolewet staat de uitzondering voor de staat alleen in een Raadspositie, geen wet[19]. Die uitzonderingen rusten op artikel 4, lid 2, van het Verdrag betreffende de Europese Unie: de nationale veiligheid blijft uitsluitend de verantwoordelijkheid van elke lidstaat[20].