NS en gemeente Arnhem mogen persoonsgegevens registreren

De rechtbank heeft in 2 zaken over het verzamelen van persoonsgegevens uitspraak gedaan. In 1 zaak ging het om een persoonsgegevens die opgeslagen worden op de afvalcontainers van de gemeente Arnhem. In de andere zaak speelde de anonieme OV-chipkaart en de bijbehorende verwerking van persoonsgegevens door de Nederlandse Spoorwegen (NS) een rol.

De rechtbank beslist dat de gemeente Arnhem en de NS best persoonsgegevens mogen verzamelen. Maar de bestuursrechter heeft wel getoetst of er in deze 2 gevallen een wettelijke grondslag en of er een noodzaak voor is. ‘Ja’, zegt de rechter.

Geen goede alternatieven
Daarbij is gekeken of er goede alternatieven zijn voor het verzamelen van persoonsgegevens. Volgens de bestuursrechter zijn die zijn er niet. In de wet staat ook dat je het verzamelen van persoonsgegevens tot het minimale moet beperken. Ook aan die vereiste voldoen de gemeente en NS.

Zaak Afvalpas
Op verzoek van de Arnhemmer Michiel Jonker onderzocht de Autoriteit Persoonsgegevens (AP) of de gemeente persoonsgegevens verwerkt via het afvalpassensysteem voor de ondergrondse afvalcontainers voor huishoudelijk (rest)afval. In augustus 2017 concludeerde de AP dat het niet kon, De gemeente stelde de containers toen open.

Wettelijke grondslag
Nadat de gemeente een jaar lang de containers heeft opengesteld, heeft zij bij de AP een verzoek gedaan om de containers weer te mogen sluiten. Artikel 5:34, van de Algemene wet bestuursrecht maakt dat mogelijk. De gemeente liet nieuwe software op de ondergrondse afvalcontainers plaatsen, waardoor niet langer persoonsgegevens op de cardreader worden opgeslagen. Er is daarom geen sprake meer van verboden verwerking van persoonsgegevens. De AP heft daarom de last op.

De bestuursrechter oordeelt dat de AP dat terecht heeft gedaan. Volgens de bestuursrechter biedt de wet de mogelijkheid om een last op te heffen. Van die mogelijkheid mag de AP gebruik maken, omdat er een grondslag is voor het verwerken van persoonsgegevens en hiervoor ook een noodzaak bestaat. De verwerking van persoonsgegevens via het afvalpassensysteem baseert de gemeente op de Wet Milieubeheer.

Geen goede alternatieven
Ook is er een noodzaak voor de verwerking van persoonsgegevens. De gemeente wil met sluiting van de afvalcontainers namelijk misbruik van de afvalpas en afvaltoerisme voorkomen. Dat doel weegt zwaarder dan de inbreuk op de privacy van degene die met de afvalpas de container opent. Met andere alternatieven kan dat doel niet worden bereikt.

Zaak NS-diensten
De bestuursrechter oordeelt dat de AP tot de conclusie heeft kunnen komen dat de NS persoonsgegevens mag verwerken.

De zaken gaan over drie verschillende verwerkingen van persoonsgegevens door de NS sinds de invoering van het OV-chipkaartsysteem op 9 juli 2014, namelijk de verwerking van persoonsgegevens van reizigers met een voordeelurenabonnement; bij de toepassing van de regeling geld terug bij vertraging en bij gebruik van een niet-persoonlijke OV-chipkaart.

Wettelijke grondslag
Een inwoner van de gemeente Arnhem vindt dat de NS met deze verwerkingen een inbreuk maakt op zijn privacy. Daarom vraagt hij de AP om handhavend op te treden tegen de NS. De AP heeft vervolgens onderzoek gedaan en geconcludeerd dat er een wettelijke grondslag is voor de verwerking van persoonsgegevens. Die verwerking is ook noodzakelijk, dus er hoeft niet handhavend te worden opgetreden.

Geen goede alternatieven
De rechtbank oordeelt dat verwerking van persoonsgegevens noodzakelijk is voor de uitvoering van de overeenkomst tussen de NS en de reiziger. Zonder deze gegevens kan bijvoorbeeld niet worden gecontroleerd of het abonnementsgeld is betaald, of op de juiste wijze is in- en uitgecheckt, of de juiste reissom is betaald en of sprake is van misbruik of fraude. Dit doel weegt zwaarder dan de inbreuk op de privacy van de reiziger. Er zijn geen goede alternatieven waarmee dit doel kan worden bereikt. De inbreuk op de privacy is bovendien beperkt.

Teleurgesteld
Gevraagd om commentaar, zegt Jonker: "Natuurlijk ben ik teleurgesteld. Maar ik wist dat de Nederlandse rechtsstaat niet optimaal functioneert, dus ik had hier een beetje rekening mee gehouden. Ik heb de uitspraken vandaag ontvangen en snel doorgelezen. Mijn eerste indruk is dat dit doorwuif-uitspraken zijn waarmee de rechter de AP, en daarmee ook NS en de gemeente Arnhem, groen licht geeft om zonder noodzaak door te gaan met de verwerking van persoons­gegevens van respectievelijk mensen die vuilnis wegbrengen en treinreizigers. Natuurlijk zegt de rechtbank dat niet zo. De rechtbank heeft de zaken "marginaal" getoetst, dat wil in dit geval zeggen: zeer oppervlakkig. De rechtbank heeft daarbij de gedachtengangen van NS en de gemeente Arnhem als uitgangspunt genomen, net zoals de AP dat eerder al deed. De rechtbank zegt in essentie dat het in theorie niet valt uit te sluiten dat de gedachtengangen van NS en de gemeente redelijk zouden kunnen zijn, als een aantal ideeën die door NS en de gemeente in algemene termen op papier zijn gezet, kloppen. De rechtbank toetst niet of die ideeën in de praktijk ook echt kloppen met de feiten. Dus mag het van de rechtbank. Van de bescherming van de privacy van burgers blijft op deze manier heel erg weinig over."

Gevraagd of de Algemene Verordening Gegevensbescherming (AVG) dit toestaat, zegt Jonker: "De AVG kan op verschillende manieren worden geïnterpreteerd. Ik heb steeds betoogd dat de AVG moet worden geïnterpreteerd in overeenstemming met het doel van artikel 8 van het Europese Verdrag voor de Rechten van de Mens (EVRM), en in overeenstemming met het Europees­rechtelijke vereiste van een hoog beschermingsniveau voor privacy. De rechtbank denkt daar kennelijk anders over. Op deze manier functioneert de AVG als een vergiet met tweehonderd gaatjes. Elke organi­satie die persoons­gegevens wil verwerken, plukt ergens een algemene doelstelling vandaan, bijvoorbeeld een taak van algemeen belang, zoals 'afvalinzameling', of een niet nader gespecifi­ceerd, mooi doel zoals 'veiligheid' of 'fraudepreventie'. En dan kan iedere organisatie een eigen invulling geven aan de manier waarop dat wordt nagestreefd, die dan met verwijzing naar dat vage doel wordt gerechtvaar­digd. Dit is een vrijbrief voor bijna totale willekeur bij het verwerken van persoonsgegevens. De AVG wordt op deze manier gereduceerd tot een wassen neus."