Op 16 augustus 2016 heeft de rechtbank Gelderland uitspraak gedaan in de zaak van Michiel Jonker uit Arnhem tegen de Autoriteit Persoonsgegevens (hierna: “AP”). De rechtbank bepaalde dat de AP meer onderzoek moet doen naar de manier waarop de NS de persoonsgegevens van haar reizigers verwerkt.
Dit ging aan de rechtszaak vooraf
Sinds de afschaffing van de papieren treinkaartjes, 9 juli 2014, is een NS-voordeelurenabonnement alleen te combineren met een persoonlijke OV-chipkaart. Daarvoor was het gewoon mogelijk om met korting te reizen, zonder dat je reisgegevens door de NS werden opgeslagen. Veel treinreizigers, die omwille van hun privacy voor een anonieme OV-chipkaart konden daardoor geen voordeelurenabonnement meer van de NS krijgen, ook al hadden ze dat voorheen wel.
Terwijl veel mensen zich hierbij neerlegden, bedacht Michiel Jonker, een fervente treinreiziger die tot 9 juli 2014 gebruikmaakte van een voordeelurenabonnement in combinatie met een anonieme OV-chipkaart, een alternatief. Met de afschaffing van de papieren treinkaartjes, introduceerde de NS namelijk ook voor anonieme OV-chipkaarten de samenreiskorting. Mensen met een NS-abonnement kunnen op basis daarvan maximaal drie personene met korting met zich mee laten reizen. Dit kan tegenwoordig door de meereiskorting als “product” op je anonieme OV-chipkaart te zetten. Jonker kocht daarom een voordeelurenabonnement bij de NS die hij op een persoonlijke OV-chipkaart zette en op een anonieme OV-chipkaart zette hij de meereiskorting waarmee hij ook in- en uitcheckt. Als hij werd gecontroleerd door een NS-conducteur dan kon hij met zijn persoonlijke OV-chipkaart zijn recht op korting aantonen, en zijn anonieme OV-chipkaart was zijn vervoersbewijs. Dat ging een hele tijd goed, totdat hij door een (slechtgezinde?) conducteur werd beboet. Jonker is van mening dit alternatief ook nu voor de NS te realiseren is om zo treinreizigers die anoniem willen reizen maar wel een abonnement willen, tegemoet te komen.
Jonker heeft meerdere brieven gestuurd naar de NS om zijn ongenoegen te uiten, maar dit mocht niet baten. De zaak is vervolgens voorgelegd aan de Geschillencommissie die de klachten en bezwaren van Jonker heeft afgewezen. Maar daar liet hij het niet bij zitten. Jonker stapte naar de AP om te vragen of de NS de Wet bescherming persoonsgegevens (hierna: “Wbp”) heeft overtreden en zo ja, om hiertegen handhavend op te treden. Maar ook de AP wees het verzoek tot handhaving af. Daarop is Jonker naar de rechter gestapt die op 16 augustus 2016 uitspraak heeft gedaan.
Autoriteit Persoonsgegevens moet onderzoek doen
De AP stelt dat zij naar aanleiding van het verzoek van Jonker een verkennend onderzoek heeft verricht, waarbij onder meer is gekeken naar eerdere onderzoeken van de AP naar de OV-chipkaart. Op basis daarvan kwam de AP tot de conclusie dat de Wbp een grondslag geeft voor de verwerking van de reisgegevens door de NS. De NS gaat namelijk een overeenkomst aan met de reiziger en deze overeenkomst kan niet worden uitgevoerd zonder dat persoonsgegevens van de reiziger verwerkt worden, aldus de AP. Op grond van artikel 8 onder b van de Wbp, mogen persoonsgegevens slechts worden verwerkt indien de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is.
Volgens de AP leent een persoonlijke OV-chipkaart zich niet voor gecombineerd gebruik met een anonieme OV-chipkaart: “Wanneer sprake is van een vervoersovereenkomst tussen de vervoerder en de reiziger die gebruik wenst te maken van het (kortings)abonnement, veronderstelt dit dat de contractspartijen over en weer verplichtingen aangaan en deze contractspartijen elkaar hierop kunnen aanspreken in het geval de verplichtingen niet worden nagekomen. Een overeenkomst kan daarom niet worden gesloten met een anonieme partij. Het niet combineren van een vervoersabonnement met een anonieme OV-chipkaart is geen overtreding van de Wbp, omdat artikel 8, aanheft en onder b, van de Wbp een grondslag biedt voor deze verwerking.”
Artikel 8 van de Wbp bepaalt bovendien dat bij elke verwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokken persoon niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verstrekt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon minder nadelige wijze kunnen worden verwezenlijkt. En op dit punt gaat het volgens de rechtbank mis: de rechtbank overweegt dat de AP onvoldoende onderzoek heeft gedaan naar de proportionaliteit en subsidiariteit van de gegevensverwerking door de NS:
“Eiser heeft reeds in de aanvraagfase en in de bezwaarfase gewezen op de mogelijkheid van een persoonlijk voordeelurenabonnement, en daarnaast een anonieme OV-chipkaart waarop voor elke reis een voordeelurenkorting kan worden geladen. Zo worden de reisbewegingen alleen verwerkt op de anonieme kaart terwijl aan de hand van de persoonlijke kaart met voordeelurenabonnement kan worden geverifieerd of de reiziger recht heeft op voordeelurenkorting. Dit idee sluit volgens eiser aan bij de samenreiskorting waarbij ook een korting kan worden geladen op een anonieme kaart die dan geldig is in combinatie met een persoonlijke kaart van diegene met wie wordt samengereisd. Voor het kunnen vragen van vergoeding bij bijvoorbeeld vertraging heeft eiser ook een methode bedacht.”
De AP had gezien het bovenstaande meer onderzoek moeten doen naar andere, minder ingrijpende, mogelijkheden om de reisgegevens te registreren. De rechtbank draagt de AP dan ook op dit alsnog te doen. We wachten het onderzoek met smart af.
