blog

    Korting en privacy bij de NS: het hoger beroep

    Monique Hennekens
    Monique HennekensPublicatiedatum: 13 oktober 2017
    Korting en privacy bij de NS: het hoger beroep

    Een treinreiziger kan alleen met korting reizen door met een kortingskaart in te checken en uit te checken. Daarbij worden de reisgegevens van deze treinreiziger opgeslagen door de NS. De Autoriteit Persoonsgegevens heeft onvoldoende onderzocht of deze verwerking niet in strijd is met de privacyregels. Dat oordeelde de Raad van State op 20 september 2017.

    Handhavingsverzoek treinreiziger

    Zoals ik in augustus 2016 schreef in mijn eerdere blogpost had een treinreiziger de Autoriteit Persoonsgegevens verzocht om een handhavend onderzoek wegens schending van de privacyregels door de NS. De Autoriteit Persoonsgegevens had dat verzoek afgewezen. De Rechtbank Gelderland oordeelde echter op 16 augustus 2016 dat de Autoriteit Persoongegevens alsnog een onderzoek moest instellen en moet onderzoeken of de NS de reizigers die met korting willen reizen kan verplichten om dit met een persoonlijke OV-chipkaart te doen, waarbij alle incheck- en uitcheckgegevens worden verwerkt. Daarbij gaf de rechtbank aan dat de Autoriteit Persoonsgegevens de alternatieve methode die de treinreiziger had voorgesteld had moeten onderzoeken. Dat alternatief houdt in dat een kortingsabonnement gekoppeld kan worden aan een anonieme OV-chipkaart. De reiziger kan dan in- en uitchecken met de anonieme OV-chipkaart en aantonen dat hij recht heeft op korting door het tonen van zijn persoonlijke OV-chipkaart, waar alleen het kortingsabonnement op staat. Op die manier kan met korting worden gereisd zonder dat concrete reisgegevens worden geregistreerd.

    Uitspraak Raad van State 

    Zowel de Autoriteit Persoonsgegevens als de NS-reiziger zijn in hoger beroep gegaan bij de Raad van State. De Autoriteit Persoonsgegevens had betoogd dat de rechtbank ten onrechte had geoordeeld dat zij de alternatieve methode die de treinreiziger had aangedragen had moeten meenemen in haar onderzoek. De Raad van State gaat daar niet in mee en oordeelt (onderstrepingen zijn door mij toegevoegd):

     “Teneinde na te gaan of sprake is van een mogelijke overtreding diende beoordeeld te worden of het voor de uitvoering van de overeenkomst betreffende een voordeelurenabonnement noodzakelijk is dat de persoonsgegevens worden verwerkt door het verplicht stellen van een persoonlijke OV-chipkaart. Ook diende te worden beoordeeld of als gevolg van het verplicht stellen van de persoonlijke OV-chipkaart die verwerking van persoonsgegevens toereikend, ter zake dienend en niet bovenmatig is.”

    De Raad van State oordeelt vervolgens dat bij de beoordeling van de vraag of de verwerking van persoonsgegevens noodzakelijk is voor het sluiten en de uitvoering van de overeenkomst voor een kortingskaart van belang is of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon minder nadelige wijze kan worden verwezenlijkt.

    Dus net zoals de rechtbank is ook de Raad van State van oordeel dat de Autoriteit Persoonsgegevens onvoldoende  de noodzakelijkheid en subsidiariteit van de verwerking van persoonsgegevens bij gebruik van een NS kortingskaart had onderzocht. Inmiddels heeft de Autoriteit Persoonsgegevens een nader onderzoek ingesteld, waarvan het besluit begin november wordt verwacht.

    Noodzakelijkheid

    Bij iedere verwerking van persoonsgegevens geldt het noodzakelijkheidsvereiste. Een organisatie mag niet meer persoonsgegevens verwerken dan noodzakelijk is om het doel van die verwerking te bereiken. Daarnaast geldt het subsidiariteitsvereiste. Als een doel bereikt kan worden met de verwerking van minder persoonsgegevens, dan zal dat ook moeten worden gedaan. 

    Als je persoonsgegevens verwerkt, dien je ook rekening te houden met deze beginselen. Om te beoordelen of je hieraan voldoet, kun je nagaan of je bepaalde persoonsgegevens verwerkt die eigenlijk niet worden gebruikt. In dat geval kun je ervan uitgaan dat deze verwerking van persoonsgegevens in strijd is met het noodzakelijkheidsvereiste.

    Wil je weten of je de persoonsgegevens in overeenstemming met de privacyregels verwerkt, neem dan contact op met Monique Hennekens