Het College bescherming persoonsgegevens (CBP) heeft de NS en andere openbaar vervoerbedrijven gewaarschuwd dat de opslag en het gebruik van reisgegevens van houders van de OV-chipkaart in een aantal gevallen niet rechtmatig zijn.

De gezamenlijke vervoersbedrijven gaan met de OV-chipkaart de strippenkaart en het treinkaartje vervangen. Volgens de planning wordt in 2007 de chipkaart overal in Nederland gebruikt. De reiziger moet de chipkaart met RFID zowel bij het in- als uitstappen langs een kaartlezer halen. Aan de hand van de berekende route wordt een bedrag van de kaart afgeschreven.

Het CBP kan zich niet in alle opzichten vinden in de voorgenomen implementatie van het OV-chipkaartsysteem. In een brief aan de NS en andere betrokken partijen wijst het CBP erop dat in het huidige plan de gegevens over individuele gebruikers en over hun reisgedrag ter beschikking komen van de vervoerders, ook in gevallen waarin het door de vervoerders beoogde gebruik van deze gegevens niet is toegestaan.

De bezwaren van het CBP spitsen zich toe op twee punten: het gebruik van reisgegevens bij op naam gestelde OV-chipkaarten voor serviceverlening en voor marketingdoeleinden. Het CBP wijst op de noodzaak het systeem z? in te richten dat het functioneert in overeenstemming met de eisen van de Wet bescherming persoonsgegevens (WBP).

In de brief schrijft het CBP dat er op voorhand geen reden bestaat om van iedereen alle reisgegevens voor langere tijd vast te leggen. “Uitgangspunt moet zijn dat niet meer gegevens worden verwerkt dan strikt noodzakelijk is voor onderkende doelen. Daarbij is maatvoering essentieel: per doel moet vastgesteld worden of en onder welke omstandigheden het gerechtvaardigd is om een koppeling te kunnen leggen tussen reisgegevens en identificerende gegevens van een persoon.” Wanneer de vervoerbedrijven de reisgegevens willen gebruiken voor het verbeteren van de service kan volgens het CBP volstaan worden met geanonimiseerde gegevens. “Voor het verkrijgen van informatie voor algemene verbeteringen of bij vormen van dienstverlening die niet direct aan de kaart gerelateerd zijn, kan worden volstaan met gegevens op geaggregeerd niveau, dat wil zeggen met niet tot personen herleidbare gegevens.”

Het CBP stelt dat de vervoerbedrijven de reisgegevens alleen voor direct marketing mogen gebruiken wanneer de reiziger daarmee instemt. “Naar het oordeel van het CBP is de noodzaak voor het op persoonsniveau verwerken van detailgegevens over het reisgedrag niet aangetoond. Bovendien heeft NS niet duidelijk kunnen maken waarom het gerechtvaardigd bedrijfsbelang prevaleert boven de privacybelangen van reizigers. Daarom dient voor reizigers die voor gebruik van hun reisgegevens geen toestemming hebben gegeven, de persoonlijke levenssfeer te prevaleren. Daarmee is het gebruik van gedetailleerde persoonsgegevens voor marktbewerking alleen mogelijk na toestemming van de betrokkene (de opt-in variant).”

In een paper met de titel ‘Privacy en de ov-chipkaart, de visie van het College bescherming persoonsgegevens’ scherpt het College haar standpunt verder aan. “Uitgangspunt moet zijn dat men van het openbaar vervoer gebruik maakt zonder dat daarbij persoonsgegevens worden geregistreerd.” Het CBP vind dat anonieme OV-chipkaarten “onder faire voorwaarden” aangeboden moeten worden. “Er mag geen situatie ontstaan waarin reizigers zich, bijvoorbeeld door prijsdruk, gedwongen zien om met gepersonaliseerde kaarten te reizen waar zij dit niet willen.” Ook wijst het CBP op de nadelen voor reizigers van een direct marketing benadering. “Marketing op basis van te gedetailleerde gegevens over reisgedrag brengt voor degenen die voor een dergelijk gegevensgebruik geen toestemming hebben verleend, het risico mee van een al te persoonsgerichte benadering of van unfaire behandeling.”

De NS laten in een reactie in de Volkskrant weten het niet eens te zijn met het CBP. Volgens de NS is een opt-out mogelijkheid voor direct marketing voldoende. “Wij kennen onze klanten goed. We doen er regelmatig onderzoek naar. Wij weten dat ze geen bezwaar zullen maken tegen het opnemen van hun gegevens”, aldus een woordvoerder van de NS.

Het CBP sprak voor het advies over de OV-chipkaart met veel partijen zoals de Consumentenbond, de ANWB, reizigersorganisatie Rover en Bits of Freedom. De bezorgdheid wordt door al deze organisaties breed gedeeld.

Een initiatief van het Noorderdierenpark in Emmen toont aan dat de problematiek niet beperkt is tot openbaar vervoerbedrijven. Dit voorjaar neemt het Dierenpark Emmen een nieuw biometrisch toegangssysteem in gebruik. Abonnementshouders worden geregistreerd met behulp van camera’s en gezichtsherkenning. “Doordat wij nu kunnen bijhouden hoe vaak u komt en hoe lang u blijft, krijgen we een beter beeld van de wensen van onze abonnementhouders en zullen we daar zo veel mogelijk op proberen in te spelen”, aldus de website van de dierentuin. “De nieuwe pas is vooral ook mooi! We hebben maar liefst twintig verschillende voorkanten, natuurlijk met afbeeldingen van dieren. En ze zijn allemaal even leuk.”

• Uitspraak CBP over de OV-chipkaart (20.02.2006) http://www.cbpweb.nl/downloads_uit/z2004-0850.pdf
• Privacy en de ov-chipkaart, de visie van het College bescherming persoonsgegevens (16.11.2005) http://www.cbpweb.nl/downloads_overig/z2004-0850_ov_chipkrt_visie_CBP.pdf
• ‘NS schendt privacy van reizigers’ (20.02.2006) http://www.volkskrant.nl/binnenland/article224707.ece
• Noorderdierenpark: een nieuw abonnementen- en toegangssysteem http://www.noorderdierenpark.nl/nl/praktischeinfo/abonnementen_nieuw_systeem.htm

Dit artikel is automatisch geconverteerd uit het oude archief van nieuwsbrieven van Bits of Freedom.