Vervoersbedrijven bewaren reisgegevens te lang

De bedrijven RET, GVB en TLS bewaren herleidbare reisgegevens langer dan noodzakelijk en hebben geen verantwoord beleid voor bewaartermijnen. NS informeert studenten niet voldoende over het feit dat in- en uitchecken niet verplicht is bij treinreizen met een studenten OV-chipkaart.

In het persbericht OV-bedrijven bewaren gegevens reisgedrag in strijd met de wet schrijft het CBP:

Het College bescherming persoonsgegevens (CBP) heeft onderzoek gedaan naar de verwerking van persoonsgegevens bij het in- en uitchecken met de studenten OV-chipkaart bij drie grote vervoerbedrijven en de uitgever van de OV-chipkaart.

De bedrijven RET, GVB en TLS bewaren herleidbare reisgegevens langer dan noodzakelijk en hebben geen verantwoord beleid voor bewaartermijnen. Het is niet de eerste keer dat het CBP heeft gewezen op de wettelijke eisen met betrekking tot bewaartermijnen in het kader van de OV-chipkaart. 

NS informeert studenten niet voldoende over het feit dat in- en uitchecken niet verplicht is bij treinreizen met een studenten OV-chipkaart. Die informatie wordt bijvoorbeeld niet gegeven bij de uitgifte van de kaart. 

Het CBP sluit met de vier rapporten van definitieve bevindingen de onderzoeksfase af. Nu start de handhavingsfase.

In het rapport over de NS schrijft het CBP:

Artikel 8, onder a, Wbp bepaalt dat persoonsgegevens mogen worden verwerkt indien de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend. Op dit moment is het in- en uitchecken met de studenten OV-chipkaart bij NS niet verplicht. NS steltdat hierdoor sprake is van vrijwillig in- en uitchecken en volgens NS duidt dat op toestemming.

Op grond van het bovenstaande geldt artikel 8, respectievelijk onder a, b, c, e en f, Wbp niet alsrechtmatige grondslag voor de verwerking van NS in het kader van de studenten OV-chipkaart. Artikel 8, onder d, Wbp bepaalt dat […]. Deze bepaling kan in dit kader evenmin een grondslag vormen. NS heeft derhalve geen grondslag voor de verwerking van transactiegegevens van studenten. Door toch, zonder grondslag, transactiegegevens van studenten die hebben in- en/of uitgecheckt te verwerken, handelt NS in strijd met artikel 8 Wbp.

In het rapport over TLS schrijft het CBP:

TLS heeft in de brief van 15 april 2010 verklaard dat de bewaartermijn voor het bewaken van deintegriteit van het systeem 36 maanden is en dat de bewaartermijn voor servicedoeleinden 24 maanden is. TLS heeft daarbij niet onderbouwd waarom deze termijnen noodzakelijk zijn. Voorts verklaarde TLS in deze brief dat zij de transactiegegevens 7 jaar bewaart op grond van de fiscale wettelijke bewaarverplichting. TLS heeft aangegeven dat de termijn van 7 jaar zal worden teruggebracht tot 18 maanden zodra de resultaten van het overleg met de belastingdienst en het ministerie van Financiën definitief zijn vastgelegd. TLS heeft in de brief van 15 april 2010 niet beargumenteerd waarom het noodzakelijk is om hiervoor tot op de persoon herleidbare transactiegegevens te bewaren. TLS noemde in de brief van 15 april 2010 geen bewaartermijnen voor de overige door TLS genoemde doeleinden.

Uit het voorgaande blijkt dat TLS na aanvang van het onderzoek, in de brief van 27 augustus 2010, per verwerkingsdoel bewaartermijnen heeft aangegeven. Echter, de voorgenomen bewaartermijnen voor de doelen ‘fiscale verplichtingen van de reiziger’, ‘afhandelen van de geldstromen tussen partijen (clearing ensettlement), debiteurenbeheer, tegoedbeheer op de elektronische beurs en intern beheer’, blokkeren van de kaart bij verlies, diefstal, reconstructie van de kaart, restitutie van het saldo aan de rechthebbende, automatisch opladen en het verstrekken van transactieoverzichten’, zijn langer dan noodzakelijk. Voor het doel ‘fiscale verplichtingen van TLS’ is het bewaren van tot op de persoon herleidbare reisgegevens niet noodzakelijk. Voorts zijn de bewaartermijnen niet geïmplementeerd in de interne bedrijfsprocessen.