OV-bedrijven bewaren gegevens reisgedrag in strijd met de wet

Uit onderzoek van het College bescherming persoonsgegevens (CBP) blijkt dat de vervoersbedrijven RET, GVB en NS zich niet aan de wet houden bij de verwerking van de persoonsgegevens van studenten. Ook de uitgever van de kaart, Trans Link Sustems (TLS) wordt op de vingers getikt. De bedrijven hebben volgens het CBP geen verantwoord beleid voor bewaartermeinen.

Verwijderen
"Er moeten voorzieningen worden getroffen om onnodige gegevensverwerkingen en misbruik te voorkomen, onder meer door gegevens te verwijderen zodra zij niet meer nodig zijn voor het gestelde doel" zo stelt het CBP.

Eerdere waarschuwing
De bedrijven RET, GVB en TLS bewaren herleidbare reisgegevens langer dan noodzakelijk, zegt het CBP. Het is niet de eerste keer dat het CBP heeft gewezen op de wettelijke eisen met betrekking tot bewaartermijnen in het kader van de OV-chipkaart. Zo heeft het CBP al in 2005 – vóórdat het OV-chipkaartsysteem in de lucht was – gewaarschuwd dat OV-bedrijven voorzieningen moeten treffen om onnodige verwerkingen van persoonsgegevens en misbruik te voorkomen.

Geen werk gemaakt
Ondanks de eerdere waarschuwing, blijkt dat de gegevens nog steeds te lang bewaard worden. "Het blijkt nu dat sinds de inwerkingtreding van de OV-chipkaart – in januari en augustus 2009 – bedrijven niet de benodigde voorziening hebben getroffen, en daarmee wordt de Wet bescherming persoonsgegevens overtreden" schrijft de CBP in een persbericht.

GVB en RET: wij houden ons aan privacyregels
De Amsterdamse vervoersbedrijf GVB en het Rotterdamse RET trekken echter een hele andere conclusie uit het rapport.  "Uit het rapport blijkt dat wij ons houden aan de Wet Bescherming Persoonsgegevens. Wij hebben alleen de transactiegegevens van studenten, niet de persoonsgegevens (NAW). Die zijn alleen bekend bij TLS, en daar hebben wij geen toegang toe. De enige kritiek van het CBP is dat bij GVB en RET de persoonsgegevens studenten-OV-chipkaart langer worden bewaard dan noodzakelijk" stellen de GVB en RET in een gezamenlijk persbericht.

Belastingdienst
Volgens het GVB en de RET worden gegevens langer bewaard vanuit fiscaal oogpunt. "Dit beleid is met het Ministerie van Financiën en de Belastingdienst afgestemd en goedgekeurd in september 2010" schrijven de bedrijven. Opmerkelijk, want volgens het CBP heeft de belastingdienst er geen bezwaar tegen als de gegevens niet langer dan twee jaar worden bewaard. 

Beleid bewaartermijnen
Volgens de bedrijven hebben zij wel een beleid op het gebeid van bewaartermijnen, maar is dat nog niet ten uitvoer gebracht. Tot die conclusie komt ook het CBP. "De bewaartermijnen zijn alleen langer dan noodzakelijk en zijn niet geïmplementeerd in de interne bedrijfsprocessen. Daarom is er weliswaar sprake van beleid, maar niet van een verantwoord beleid".

Kritiek op NS
Ook de Nederlandse Spoorwegen krijgen van het CBP kritiek. "NS informeert studenten niet voldoende over het feit dat in- en uitchecken niet verplicht is bij treinreizen met een studenten OV-chipkaart. Op de stations en in de treinen worden alle reizigers opgeroepen om niet te vergeten in- en uit te checken. Studenten worden hierdoor mogelijk op het verkeerde been gezet. NS geeft vervolgens onvoldoende informatie over wat er gebeurt met de reisgegevens" zo schrijft het CBP.

Handhavingsfase
De afgelopen jaren heeft het CBP vier rapporten gepubliceerd omtrent de OV-chipkaart. "De onderzoeksfase sluiten we nu af. Nu start de handhavingsfase. We kunnen een last onder dwangsom opleggen. Maar we zullen hen eerst voor een hoorzitting uitnodigen om nogmaals hun zienswijze te geven" aldus het CPB.

Klacht van studenten
Het onderzoek werd uitgevoerd nadat een aantal studenten zich had gemeld bij het College van bescherming persoonsgegevens. "Naar aanleiding van dit signaal is het CBP een onderzoek gestart naar de verwerking van persoonsgegevens bij de studenten OV-chipkaart".

Foto´s: Kialna Photography.