Rechter geeft de Autoriteit Persoonsgegevens gelijk: geen privacyschending door NS

Een reiziger van de NS had een verzoek ingediend bij de Autoriteit Persoonsgegevens (“AP”) om de NS op het matje te roepen. De NS zou namelijk de privacy van reizigers schenden. De AP heeft echter besloten om niet handhavend op te treden tegen de NS. De reiziger is uiteindelijk tegen deze beslissing van de AP in beroep gegaan bij de rechtbank. In deze blog leest u hoe de rechter heeft geoordeeld.

Aanleiding van de rechtszaak

De reiziger die de AP heeft benaderd stelt dat de NS zijn privacy schendt doordat er geen mogelijkheid is om anoniem te reizen met een abonnement. Ook de mogelijkheid om de ov-chipkaart met behulp van muntgeld op te laden schendt volgens de reiziger zijn privacy, omdat reizigers hiermee feitelijk worden gedwongen grote bedragen met pin af te rekenen, hetgeen niet anoniem is. De AP heeft het verzoek van de reiziger echter afgewezen, omdat het volgens de AP niet aannemelijk is dat de NS de privacywetgeving overtreedt. De AP acht de gegevensverwerking door de NS namelijk noodzakelijk voor de uitvoering van de overeenkomst die de NS heeft met haar reizigers. Ook is het verwerken van de gegevens door de NS noodzakelijk om misbruik en fraude tegen te gaan.

Wet bescherming persoonsgegevens

Voor het beoordelingskader van dit geschil is van belang dat de rechter de verwerking toetst aan de Wet bescherming persoonsgegevens (Wbp), de voorganger van de Algemene Verordening Gegevensbescherming (AVG). De reiziger heeft namelijk in 2017 bezwaar gemaakt tegen het oordeel van de AP. Op dat moment was de AVG nog niet van toepassing. Derhalve vormt haar voorganger, de Wbp, het beoordelingskader.

Beoordeling door de rechter

De rechter benoemt voor de rechtmatigheid van de verwerking allereerst dat er altijd voldaan moet worden aan de beginselen van proportionaliteit en subsidiariteit. Proportionaliteit betekent dat de verwerking in verhouding staat tot de privacyinbreuk. Subsidiariteit betekent dat het doel van de verwerking niet op een minder ingrijpende manier kan worden bereikt. In deze beginselen zit het vereiste van noodzakelijkheid van de verwerking besloten.

De AP heeft naar aanleiding van de klacht van de reiziger onder andere moeten onderzoeken of wordt voldaan aan de bovengenoemde beginselen. De rechter toetst op haar beurt deze beoordeling van de AP terughoudend, omdat de AP hierin een bepaalde mate van beoordelingsruimte heeft. Voor de vraag hoe diepgaand dit onderzoek van de AP moet plaatsvinden, acht de rechter van belang hoe gedetailleerd de voorgestelde alternatieven worden beschreven door degene die de klacht indient. Hoe gedetailleerder het alternatief is beschreven, hoe indringender het onderzoek van de AP moet zijn naar de werkbaarheid van dit alternatief.

De rechter oordeelt in onderhavig geval dat het verwerken van de gegevens door de NS noodzakelijk is om te controleren of de reiziger geen betalingsachterstand heeft en of de reis binnen het abonnement valt. De verwerking is daarnaast noodzakelijkheid vanwege de mogelijkheid die de reiziger moet hebben om geld van de reis terug te kunnen vragen bij vertraging. De rechter acht verder van belang dat de NS de reisgegevens die zij voor deze doelen gebruikt, voldoende gescheiden houdt met overige persoonsgegevens van de reiziger. Dit beperkt immers de inbreuk op de privacy van de reiziger.

Vervolgens oordeelt de rechter dat de door de reiziger voorgestelde alternatieven ontoereikend zijn. Met de alternatieven kunnen de doelen die de NS nastreeft met de verwerking minder goed worden bereikt. Het doel waarvoor de gegevens door de NS worden verwerkt kan derhalve niet in redelijkheid op een andere manier worden gerealiseerd, aldus de rechter.

Ook het beroep van de reiziger op de privacyschending bij het opladen van de ov-chipkaart wijst de rechter af. Het is namelijk mogelijk om aan het loket met briefgeld de ov-chipkaart op te laden. Dat deze mogelijkheid minder handig is voor de reiziger, brengt volgens de rechter niet met zich mee dat dit een ongerechtvaardigde inbreuk op de privacy is.

Conclusie

De rechter heeft de AP dus in het gelijk gesteld. De AP had geen nader onderzoek hoeven doen naar de (on)rechtmatigheid van de verwerkingen door de NS. Het handhavingsverzoek is door de AP derhalve terecht afgewezen. De uitspraak geeft daarnaast een mooi voorbeeld van het onderzoek dat moet worden verricht naar alternatieve methoden die minder inbreuk maken op de privacy. Zodra deze alternatieven redelijkerwijs mogelijk zijn, dient hier namelijk voor te worden gekozen.

Heeft u vragen naar aanleiding van dit artikel, bijvoorbeeld over de rechtmatigheid van uw verwerkingen? Neem dan vrijblijvend contact op met Floortje Eijdems of met één van de andere leden van het Privacy-team.