Privacy en de OV-chipkaart
  • by mr. Hanne van Buren
  • 22 Sep 2017

Privacy en de OV-chipkaart

Een voordeelurenabonnement kan alleen gebruikt worden in combinatie met een gepersonaliseerde OV-chipkaart. Is dat strijdig met de Wet bescherming persoonsgegevens (Wbp)?

Daarover gaat de uitspraak van 20 september 2017 van de Afdeling Bestuursrechtspraak van de Raad van State (ABRvS).

Een reiziger heeft de Autoriteit Persoonsgegevens (AP) gevraagd om onderzoek te doen met als doel handhavend op te treden tegen de NS, omdat hij sinds 9 juli 2014 zijn voordeelurenabonnement alleen nog kan combineren met een persoonlijke OV-chipkaart. Daardoor worden zijn reisgegevens verwerkt. De reiziger acht dit in strijd met de Wbp, omdat hij het niet noodzakelijk acht dat zijn reisgegevens worden geregistreerd.

De AP ziet onvoldoende aanleiding om onderzoek te doen. Een persoonsgebonden product zoals het voordeelurenabonnement leent zich niet voor een gecombineerd gebruik met een anonieme OV-chipkaart.

Ingevolge artikel 8, aanhef en onder b van de Wbp, mogen persoonsgegevens alleen worden verwerkt als de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is. Bij elke verwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokken persoon niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verstrekt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon minder nadelige wijze kunnen worden verwezenlijkt.

De rechtbank oordeelde in de uitspraak van 16 augustus 2016 dat de AP onvoldoende heeft onderzocht of de gegevensverwerking voldoet aan het proportionaliteits- en subsidiariteitsbeginsel. De reiziger heeft gewezen op de mogelijkheid van combinatie tussen een persoonlijk voordeelurenabonnement en een anonieme OV-chipkaart waarop voor elke reis een voordeelurenkorting kan worden geladen. Zo worden de reisbewegingen alleen verwerkt op de anonieme kaart terwijl aan de hand van de persoonlijke kaart met voordeelurenabonnement kan worden geverifieerd of de reiziger recht heeft op voordeelurenkorting. De rechtbank vond dat het op de weg van de AP had gelegen om te onderbouwen of met het door de reiziger beschreven alternatief de doelstellingen van de NS behaald konden worden. Ook diende de AP te onderbouwen waarom van de NS niet verlangd kon worden om het beschreven alternatief mogelijk te maken.

In hoger beroep stelt de AP dat niet van belang is of de verwerking van de persoonsgegevens op een minder nadelige wijze kan worden verwezenlijkt, omdat de huidige manier van verwerken niet onrechtmatig is. De AP voert aan dat zij zich kon beperken tot een toetsing binnen het door de NS gekozen bedrijfsmodel en dat zij bij de beoordeling niet de vraag hoefde te betrekken of alternatieven minder verwerking van persoonsgegevens tot gevolg zouden hebben.

De Afdeling wijst op de Privacyrichtlijn en artikel 7 en 8 van het Handvest van de grondrechten van de Europese Unie. Bij de beoordeling van de vraag of de verwerking van persoonsgegevens noodzakelijk is voor het sluiten en de uitvoering van de overeenkomst inzake een voordeelurenabonnement is wel degelijk van belang of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon minder nadelige wijze kan worden verwezenlijkt.

De Afdeling oordeelt dat op grond van het uitgevoerde globale onderzoek niet is vastgesteld dat zich geen mogelijke overtreding heeft voorgedaan. Het aangedragen alternatief (het inchecken met een anonieme OV-chipkaart met daarop voordeelurenkorting en het als zichtkaart tonen van een voordeelurenabonnement aan de conducteur in de trein) moet, zoals de rechtbank al concludeerde, bij de beoordeling in het onderzoek worden betrokken.

Het hoger beroep wordt overigens gegrond verklaard, omdat de rechtbank bepaalde dat de AP een uitgebreid onderzoek in de zin van artikel 60 Wbp dient uit te voeren. De Afdeling oordeelt echter dat de keuze om al dan niet een dergelijk onderzoek in te stellen een beleidskeuze is die aan de AP is voorbehouden.

Conclusie: Het verwerken van persoonsgegevens dient altijd op de voor de betrokkene minst nadelige wijze te gebeuren.

Vragen over privacy? Neem contact met ons op!