CBP vordert dwangsom NS

UTRECHT – Het CBP heeft de NS voor 125.000 euro aan dwangsommen opgelegd voor het niet tijdig vernietigen van gegevens van studenten.

De Nederlandse Spoorwegen ontkennen persoonsgegevens te bezitten, maar hebben de dwangsom wel betaald om verdere stijging van het bedrag te voorkomen.

Eerder had het College Bescherming Persoonsgegevens (CBP) de NS opgedragen de reisbewegingen van studenten na 18 maanden te vernietigen. In de ogen van het college heeft de NS daaraan niet voldaan met een dwangsom tot gevolg. Deze was inmiddels opgelopen tot 125.000 euro.

Met het in- en uitchecken met een OV-chipkaart laten reizigers hun reisgegevens bij de Nederlandse Spoorwegen achter. De NS stuurt deze gegevens weer door naar OV-chipkaartproducent Trans Link Systems (TLS) die weet welke student er bij welke kaart hoort.

De NS laat weten niet over deze specifieke gegevens te beschikken. "Wij hebben geen toegang tot NAW-gegevens, maar kunnen wel het unieke chip-id zien", vertelt Boukje Bügel, directeur NS Reizigers in een interview met NU.nl.

Analyseren

"Waar het ons om gaat is dat wij reizigersstromen kunnen analyseren en dan hoeven we niet te weten om wie het gaat", stelt Bügel dan ook.

De NS heeft de reisinformatie zo laten versleutelen dat ze wel beschikking hebben over een unieke code, maar niet welk kaartnummer bij de gegevens hoort. Volgens het CBP is in theorie de informatie te achterhalen en is daarom overgegaan tot het opleggen van een dwangsom.

Vernietigen

Pricewaterhousecoopers heeft een onderzoek uit laten voeren naar oude transacties die wel door de NS zijn vernietigd. Daaruit bleek dat op backups ook nog oude reisgegevens stonden. Deze zijn inmiddels verwijderd. Volgens de NS wordt sinds 1 juni alles na 18 maanden weggegooid en voorkomt het bedrijf verdere dwangsommen.

Bügel laat weten dat de NS niet tevreden is. "Je wilt op termijn geanonimiseerd blijven. Analyseren of maatregelen werken", meent de directeur dan ook. Als voorbeeld haalt ze aan dat er in de drukke winterperiodes is geëxperimenteerd door studenten met een weekkaart toch gratis te laten rijden op zondagmiddag om zo de maandagochtendspits te ontzien. "Het succes hiervan moet je over meerdere jaren kunnen bekijken."

Procederen

De NS heeft inmiddels aan de eisen van het CBP voldaan, maar gaat wel procederen tegen het besluit. "Om reizigers goed te kunnen bedienen, moet je ook analyses van je reizigersstromen kunnen doen. De analyse-omgeving is echt anoniem. De discussie gaat wat ons betreft over de wijze waarop je anonimiseert", stelt Bügel dan ook.

Ondertussen is NS samen met de TU Delft op zoek naar mogelijkheden om toch reizigersstromen te analyseren zonder dat dit tot discussie met de toezichthouder leidt. Ze willen een of meerdere voorstellen doen om dit te regelen, waarbij ze dan het CBP om een zienswijze vragen om problemen voor te blijven.

Weerstand

De zaak kwam aan het rollen, omdat een aantal studenten zich bij het CBP beklaagden over de opslag van alle reisgegevens. Uit onderzoek bleek vervolgens dat zowel OV-chipkaartproducent TLS als vervoersbedrijven NS, RET en GVB gegevens te lang bewaarden.

Het bewaren van alle reisgegevens rond het gebruik van de OV-chipkaart ligt gevoelig. Initieel bewaarde TLS alle reisbewegingen van klanten zeven jaar lang. Daarna werd dat teruggebracht tot twee jaar en wordt nu een periode van 18 maanden aangehouden.

Vorig jaar won TLS twee Big Brother Awards als grootste privacyschender van Nederland. De eerste was in de categorie bedrijven en de tweede was na een verkiezing de publieksprijs.

Lees meer over:
Tip de redactie