Bemiddeling door het CBP inzage persoonsgegevens bij Telfort

Halverwege 2009 vroeg mijn vriendin de aanbieder van haar mobiele telefoon om de persoonsgegevens die van haar worden verwerkt. Telfort gaf welliswaar inzage in de abonnementsgegevens, maar weigerde inzage in de locatiegegevens om verschillende redenen. Uiteindelijk schreef Telfort niet meer te zullen ingaan op brieven en verzoeken over dit onderwerp. Om uit deze impasse te geraken heb ik, namens mijn vriendin, het College Bescherming Persoonsgegevens gevraagd te bemiddelen.

Een bemiddelingsverzoek

Deze mogelijkheid wordt geregeld in artikel 47 in de Wet bescherming persoonsgegevens. De tekst luidt:

De belanghebbende kan zich ook binnen de termijn bepaald voor het beroep op grond van de Algemene wet bestuursrecht, dan wel die, bedoeld in artikel 46, tweede lid, tot het College wenden met het verzoek te bemiddelen of te adviseren in zijn geschil met de verantwoordelijke, […].”

En aldus geschiedde…

Telfort’s reactie op het verzoek van het CBP

In november 2009 ontving het CBP een bemiddelingsverzoek van mijn vriendin. Begin februari informeerde het CBP bij Telfort naar de reden voor het weigeren van inzage in de gegevens. Telfort reageerde in de tweede helft van februari.

[Mijn vriendin], dan wel de heer Zenger in naam van [mijn vriendin], verzoekt inzage in locatiegegevens van de gesprekken die gevoerd zijn met het mobiele telefoonnummer […]. […] Telfort heeft inhoudelijk gereageerd per brief van 11 augustus 2009 en per brief van 17 november 2009, zie bijlagen.

Voor inhoudelijk op ons standpunt in te gaan, wijst Telfort erop dat [mijn vriendin] een onjuiste voorstelling van de feiten heeft, nu zij stelt dat locatiegegevens van een mobiele telefoon door Telfort worden opgeslagen. Telfort slaat de locaties van de zendmast via welke een gesprek wordt afgewikkeld op. Wij melden voor de volledigheid dat de mastlocatie en de locatie van de simkaart / mobiele telefoon ver, zelfs kilometers van elkaar verwijderd kunnen zijn. Ervan uitgaande dat het recht op inzage zich vervolgens richt op zendmastlocaties, treft u hieronder ons standpunt.

Soms verwart men de locatiegegevens die via een toegevoegde waarde dienst worden verzameld met de locatiegegevens van gewone mobiele telefoon gesprekken. Bij toegevoegde waarde diensten (art 11.5a Telecommunicatie Wet) kunnen na voorafgaande specifieke klanttoestemming in het mobiele telefonienetwerk voorzieningen worden getroffen waardoor plaatsbepaling nauwkeuriger is dan bij de normale dienstverlening van doorgifte van gesprekken. Telfort levert echter géén toegevoegde waarde diensten. Het verzoek van [mijn vriendin] betreft dan ook locatiegegevens die tevens verkeersgegevens zijn (art 11.5 Telecommunicatie Wet).

De verzochte gegevens zijn geen persoonsgegevens maar verkeersgegevens die vanuit technisch oogpunt nodig zijn om de communicatie over te brengen. Verstrekken van de gevraagde gegevens is volgens ons dan ook geen onderdeel van het recht op inzage van artikel 35 Wbp.

Mocht om welke reden dan ook worden geoordeeld dat het verzoek wel persoonsgegevens betreft, doet Telfort een beroep op artikel 43 Wbp sub e. Telfort heeft al aan [mijn vriendin] laten weten dat de door haar gevraagde locatiegegevens noodzakelijk zijn voor het overbrengen van communicatie maar niet voor het opstellen van de factuur. Telfort bewaart deze zendmast locatiegegevens niet voor haar standaard bedrijfsdoeleinden. De zendmastlocatie gegevens zijn in theorie te achterhalen doordat zij enkele maanden worden bewaard voor technische doeleinden. Het achterhalen vna deze gegevens is zodanig disproportioneel dat Telfort in haar rechten zou worden aangetast als Telfort zendmast locatiegegevens zou moeten verstrekken.

Telfort beroept zich tevens op artikel 43 Wbp sub e wegens de bescherming van de rechten en vrijheden van derden. Indien klanten locatiegegevens kunnen opvragen, wordt de mobiele telefoon een opsporingsmechanisme. Door je mobiele telefoon aan een ander te geven of bij een ander -al dan niet ongemerkt- in bijvoorbeeld een auto achter te laten zou middels een inzageverzoek een zendmastlocatie worden bepaald. Dit vormt een bedreiging voor de persoonlijke levenssfeer van de derde.

Indien dit verzoek locatiegegevens betreft van langere tijd geleden, kan Telfort om een praktische reden niet voldoen aan het verzoek nu locatiegegevens na enkele maanden conform bewaartermijnenplicht worden vernietigd.

Wij hebben [mijn vriendin] erop gewezen dat indien het verzoek verband houdt met een strafbaar feit aangifte bij de politie uitkomst kan bieden. Een officier van justitie kan, ook voor gesprekken die in de toekomst worden gevoerd, bepaalde gegevens vorderen bij Telfort onder een streng gereguleerde procedure.

Beoordeling argumenten door CBP

Het College Bescherming Persoonsgegevens stuurde een paar weken later een brief aan Telfort. Hierin gaf het CBP beargumenteerd aan waarom, in haar opinie, Telfort wel tot verstrekking zou moeten overgaan.

Het CBP heeft kennis genomen van uw afwijzing van het inzageverzoek. U noemt in uw brief drie argumenten. Prima facie oordeelt het CBP dat de door u aangevoerde argumenten niet opgaan om de navolgende redenen.

1. Mastgegevens vallen niet onder het inzagerecht

U stelt dat de locatiegegevens niet onder het inzagerecht vallen, omdat ze niet zijn verkregen in het kader van een toegevoegde waardienst. Het inzagerecht uit de Wbp ziet echter op alle verkeersgegevens, ongeacht of zij verkregen zijn uit toegevoegde waardediensten, aangezien het gegevens zijn die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Het feit dat zendmasten kilometers van elkaar verwijderd kunnen zijn, doet niet af aan het feit dat de gegevens een beeld geven van de locatie van een natuurlijk persoon en daarmee persoonsgegevens zijn.

2. Inzage veroorzaakt disproportionele lasten

U stelt, zonder nadere onderbouwing, dat het achterhalen van de zendmastlocaties disproportionele lasten meebrengt, omdat de gegevens niet noodzakelijk zijn voor het opstellen van een factuur. Op grond van de Wet bewaarplicht telecommunicatiegegevens dient u deze gegevens echter al in toegankelijke vorm te bewaren.

De te bewaren gegevens zijn gedefinieerd in de bijlage bij de genoemde wet. In de bijlage, onder A, e, vierde en vijfde gedachtenstreepje is bepaald dat bij mobiele telefonie moeten worden bewaard:

  • de locatieaanduiding bij het begin van de verbinding;
  • gegevens voor het identificeren van de geografische locatie van cells middels referentie aan hun locatieaanduidingen gedurende de periode dat communicatie gegevens worden bewaard.

Uit de definities die in de bijlage worden gegeven blijkt dat onder gegevens wordt verstaan:

gegevens: de verkeers- en locatiegegevens, bedoeld in artikel 11.1, onderdeel b respectievelijk onderdeel d, alsmede de daarmee verband houdende gegevens die nodig zijn om de abonnee of gebruiker te identificeren;

waarbij 11.1, onderdeel b en d, respectievelijk luiden:

  • b. verkeersgegevens: gegevens die worden verwerkt voor het overbrengen van communicatie over een elektronisch communicatienetwerk of voor de facturering ervan;
  • d. locatiegegevens: gegevens die worden verwerkt in een elektronisch communicatienetwerk waarmee de geografische positie van de randapparatuur van een gebruiker van een openbare elektronische communicatiedienst wordt aangegeven.

Uit de Memorie van Toelichting bij de genoemde wet blijkt dat het inzagerecht onverkort van toepassing is op de aldus bewaarde locatiegegevens. Het CBP wil u daarbij de volgende citaten meegeven (Kamerstukken II 2006-2007, 31145, nr 3, blz 27):

Dit recht is onverkort van toepassing op gegevens die ingevolge dit wetsvoorstel door de aanbieders worden bewaard. Indien zodanige gegevens daadwerkelijk worden bewaard, dan moet de mededeling van de aanbieder daaromtrent een volledig overzicht van de bewaarde gegevens in begrijpelijke vorm bevatten naast andere informatie, zoals een omschrijving van het doel of de doeleinden van de bewaring, de categorieën van gegevens waarop de bewaring betrekking heeft, de ontvangers of categorieën van ontvangers en de herkomst van de gegevens. Weliswaar biedt de WBP de aanbieder de mogelijkheid om artikel 35 buiten toepassing te laten voorzover dit noodzakelijk is in het belang van – onder meer – de veiligheid van de staat of de voorkoming en opsporing van strafbare feiten, maar een redelijke wetstoepassing strekt ertoe dat aangenomen moet worden dat een dergelijk belang nog niet aan de orde is zolang de gegevens bij de aanbieder worden bewaard en er geen sprake is van overdracht van de gegevens aan politie of justitie ten behoeve van het daadwerkelijke gebruik in een concreet opsporingsonderzoek of een strafzaak.

en:

Voorts kan een verzoek om inzage in de bewaarde gegevens worden geweigerd als de lasten daarvan niet opwegen tegen het belang van betrokkenen. Indien een verzoek om inzage bijvoorbeeld disproportionele administratieve lasten met zich mee zou brengen kan de aanbieder dit verzoek weigeren ter bescherming van het belang van een goede bedrijfsvoering. Het enkele feit dat een verzoek om inzage administratieve lasten met zich meebrengt is echter op zichzelf niet voldoende grond om het verzoek te weigeren. Bij de afweging of de aanbieder deze plichten niet kan nakomen dient hij het belang van de betrokkene uitdrukkelijk mee te wegen. Gelet op het feit dat de betrokkene doorgaans door middel van een gespecificeerde factuur op de hoogte is van de verwerking van de betreffende gegevens door de aanbieder, zal dit voor de laatste reden kunnen vormen om inzage te weigeren indien dit voor hem een disproportionele administratieve belasting met zich mee zou brengen.

Aangezien de betrokkene geen gespecificeerde locatiegegevens ontvangt via [zijn] factuur, acht het CBP uw weigering op dit punt onvoldoende gemotiveerd.

3. Inzage bedreigt de persoonlijke levenssfeer van derden

U stelt dat een mobiele telefoon via een inzageverzoek zou kunnen worden misbruikt als opsporingsmechanisme. Onverlet de praktische relevantie van een dergelijk scenario kan uw argument niet dienen als grond voor weigering van inzage. Een betrokkene heeft volgens artikel 35 Wbp het recht om met redelijke tussenpozen om inzage te vragen. In het door u geschetste scenario zou een kwaadwillende derde dus ook slechts met tussenpozen achteraf inzage kunnen krijgen in de locatiegegevens van een betrokkene. Het is daarbij niet ondenkbaar dat de betrokkene het mobieltje na enige tijd ontdekt. In dat geval is er waarschijnlijk sprake van een strafrechtelijke overtreding, bijvoorbeeld op het gebied van stalking, waarvan de betrokkene aangifte kan doen bij het OM.

Het CBP komt dan ook tot een niet-verrassende conclusie:

Het CBP verzoekt u op grond van het bovenstaande het inzageverzoek in te willigen.

Indien u het inzageverzoek alsnog niet honoreert, staakt het CBP de bemiddeling en verwijst het CBP [mijn vriendin] naar de rechter.

Geografische locatie koppelen is disproportionele last

Of Telfort hierop zijn standpunt verandert, weet ik niet. Wel weet ik dat, bij een eventuele nieuwe weigering van Telfort, nog maar zes weken resten voor de gang naar de rechter. Ik stuur namens mijn vriendin op 21 maart de volgende brief naar Telfort:

[…] Graag verneem ik van u of u het verzoek tot inzage zult honoreren.

Mocht u het verzoek honoreren, dan ontvang ik graag een volledig overzicht van de gevraagde persoonsgegevens. Mocht u het verzoek niet honoreren, dan verzoek ik u vriendelijke deze beslissing te motiveren.

Indien u voor 2 april 2010 niet gereageerd heeft, beschouw ik dit als een hernieuwde weigering van het verzoek tot inzage.

Op 6 april reageert Telfort inhoudelijk met een duidelijke brief:

Telfort identificeert de zendmast waarover wordt gecommuniceerd bij de start van een gesprek in de vorm van een code. De code geeft geen inzicht in een locatie. Naast deze codes hebben wij bestanden met de geografische positie van zendmasten. Indien een daartoe bevoegde opsporingsinstantie de locatie van een zendmast wil bepalen, wordt een koppeling tussen de code en geografische positie gemaakt. Deze koppeling vindt plaats door de opsporingsinstantie. Telfort (en haar moederbedrijf KPN) koppelen de gegevens zelf niet nu deze niet structureel nodig zijn voor haar bedrijfsvoering.

Zonder hier nader in te gaan op de vraag of genoemde codes zelfstandig aangemerkt kunnen worden als locatiegegevens, is inzage in locatiegegevens zoals het CBP deze stelt niet mogelijk. CBP stelt namelijk dat de locatiegegevens reeds in toegankelijke vorm aanwezig zijn nu Telfort verplicht is deze te bewaren op grond van de Wet bewaarplicht telecommunicatiegegevens . Zoals hierboven is toegelicht, zijn deze gegevens niet in toegankelijke vorm aanwezig.

Teneinde aan u locatiegegevens in een begrijpelijke vorm te verstrekken, zou zeer veel handmatig werk uitgevoerd moeten worden. Ten eerste wijzigen de overzichten met geografische posities van de zendmasten met grote regelmaat. Voor ieder (mobiel) gesprek […] zal handmatig moeten worden nagegaan welk historisch overzicht met geografische posities bij een gesprek behoort. Vervolgens dient over een periode van in beginsel 12 maanden voor ieder […] gevoerd gesprek boven omschreven koppeling tussen de code en geografische positie worden gemaakt. Een beroep op een uitzondering van het recht op inzage wegens disproportionele belasting is ons inziens dan ook gerechtvaardigd.

Uit coulance kunnen wij u wellicht helpen indien u een specifieke datum of een gesprek aangeeft. Wij kunnen handmatig de locatie van de mast voor dat specifieke gesprek nagaan. We benadrukken dat dit geen verplichting van ons is en u kunt ook geen rechten hieraan ontlenen.

Graag had ik namens mijn vriendin deze brief direct beantwoord. Probleem is, als mijn vriendin naar de rechter wil, dan moet dat binnen zes weken na het staken van de bemiddeling door het CBP. Op 14 mei 2010 dien ik, namens mijn vriendin, een verzoekschrift in bij de rechtbank.