Grondslag voor verwerking met Chipkaart en Afvalpas?

Grondslag voor verwerking noodzakelijkheidstoets OV-chipkaart en afvalpas
Grondslag voor verwerking noodzakelijkheidstoets OV-chipkaart en afvalpas

OV-Chipkaart en Afvalpas

Twee uitspraken over de grondslag van verwerking: de rechtbank Gelderland heeft op 5 september 2019 twee uitspraken gedaan in geschillen met de Autoriteit Persoonsgegevens. Het ging om het gebruik van de omstreden OV-chipkaart door de NS en het gebruik van een afvalpas door de gemeente Arnhem. Volgens de eisers in deze zaken was er geen wettelijke grondslag om persoonsgegevens te verwerken. De rechtbank is het daar niet mee eens. Zowel de NS en de gemeente Arnhem hebben een goede reden om persoonsgegevens te verwerken. De gekozen middelen zijn ook goed.

Grondslag voor verwerking en noodzakelijkheid

Op grond van de AVG (en de voorganger van deze wet) moet er een geldige reden zijn om persoonsgegevens te verwerken.  Deze reden wordt een wettelijke grondslag genoemd. Dat is een van de grondbeginselen van de AVG. De grondslag kan bestaan in de uitvoering van een overeenkomst, zoals in het geval van de NS. De grondslag kan ook worden gevonden in een verwerking die noodzakelijk is voor ‘de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag‘. Denk bij deze grondslag aan de afvalpas van de gemeente Arnhem. In beide uitspraken beoordeelde de rechtbank dat er een geldige grondslag was om persoonsgegevens te verzamelen.

Als er een geldige grondslag is, moet nog een toets worden uitgevoerd. Er moet worden gekeken of de verwerking noodzakelijk is. Zonder heel juridisch te worden betekent dit de privacyinbreuk in redelijke verhouding moet zijn met het doel (proportionaliteit) én dat er geen minder nadelig middel beschikbaar moet zijn (subsidiariteit). Met andere woorden: is het middel niet te zwaar en is er geen alternatief beschikbaar. De rechtbank voerde de toets in beide zaken uit en achtte de middelen passend. Hierna  gaan we kort op beide uitspraken in.

Oordeel OV-Chipkaart (grondslag voor verwerking)

De rechtbank onderstreept dat persoonsgegevens mogen worden verwerkt als dat noodzakelijk is voor de uitvoering van een overeenkomst. De rechtbank oordeelt over drie gevallen van persoonsgegevensverwerking door de NS: een voordeelurenabonnement, de geld terug bij vertragingsregeling en bij gebruik van de anonieme OV-chipkaart. In alle drie de gevallen is een overeenkomst aanwezig die de grondslag vormt voor de verwerking.

Dan moet worden getoetst of de verwerking noodzakelijk is. Dat is volgens Autoriteit Persoonsgegevens (en de rechtbank) het geval. Als de NS de persoonsgegevens voor het voordeelurenabonnement niet verwerkt, kan niet worden gecontroleerd of de reiziger op de juiste wijze heeft in- en uitgecheckt, of de reissom juist is bepaald en het juiste saldo is afgeboekt en of er misbruik wordt gemaakt en/of fraude wordt gepleegd. Daarbij helpt dat de NS reisgegevens technisch en organisatorisch scheidt van de overige persoonsgegevens van een reiziger.

Het alternatief van een ‘zichtkaart’ wordt nog wel overwogen. Het gebruik hiervan leidt voornamelijk tot allerlei praktische bezwaren: controles moeten weer in de trein worden gedaan, zijn minder volledig (de conducteur kan niet alles controleren) en kunnen aanleiding zijn voor misverstanden, onenigheid en soms agressief gedrag tegen conducteurs en reizigers.

Nu het alternatief niet passend is, lijkt de verwerking noodzakelijk en daarmee toegestaan. Tot een soortgelijk oordeel komt de rechtbank ook voor de anonieme OV-chipkaart en de geld terug bij vertragingsregeling.

Oordeel Afvalpas Arnhem

De gemeente Arnhem heeft op grond van de Wet milieubeheer een zorgplicht voor het inzamelen van huishoudelijk afval. Deze wet biedt een wettelijke grondslag om persoonsgegevens te verzamelen. Niet nodig is dat met zoveel woorden in deze wet is vastgelegd dat persoonsgegevens mogen worden verzameld.

De afvalpas werkt technisch als volgt: als een burger zijn afvalpas voor de cardreader houdt, wordt de interne chipcode vergeleken met een op de cardreader opgeslagen autorisatielijst. Komt de burger op de lijst voor, dan zal de container open gaan en kan het afval worden gedeponeerd. De interne chipcode van de afvalpas van een burger wordt vervolgens direct omgezet in een generiek 9999-nummer. Dat geanonimiseerde nummer (en dus niet de naam) wordt op de cardreader opgeslagen met daarbij het tijdstip waarop de container is geopend en een aantal technische aspecten van de container.

Volgens de rechtbank heeft de Autoriteit  Persoonsgegevens terecht geoordeeld dat de afvalpas een passend middel is. “De afvalpas functioneert als een sleutel om de container te openen en dat komt
tegemoet aan het primaire doel waartoe de afvalpas dient: het voorkomen van misbruik (…) van afvaltoerisme en (…) illegaal gebruik (…) voor bedrijfsafval.

Lessen voor de praktijk

  • Uit de Afvalpas uitspraak volgt dat een wettelijke bevoegdheid (grondslag voor verwerking) snel wordt aangenomen. In de wet hoeft niet letterlijk te staan dat persoonsgegevens mogen worden verwerkt (en welke).
  • Uit de NS-uitspraak volgt dat de noodzakelijkheidstoets redelijk makkelijk kan worden doorstaan. Daarbij speelt misschien wel mee dat de eisende partij de alternatieven niet uitvoeriger heeft onderbouwd, waardoor de rechtbank alleen oppervlakkig kan toetsen. Toch lijkt het als verantwoordelijke partij verstandig om zo duidelijk mogelijk te onderbouwen waarom de verwerking noodzakelijk is en aan te tonen dat alternatieven zijn onderzocht. Dat laatste kwam ook naar voren in de Manfield uitspraak (hier de hele uitspraak).
  • Uit de NS-uitspraak lijkt ook te volgen dat effectiviteit en efficiëntie zwaarwegende redenen zijn om gegevens automatisch te mogen verwerken.

Uitspraken bekijken?

Afvalpas uitspraak

NS-uitspraak

2 Trackbacks / Pingbacks

  1. Waslabels: toegestaan of inbreuk op privacy? - PrivacyPortaal.nl
  2. AVG bij aanbesteding: personeelslijsten toegestaan? - PrivacyPortaal.nl

Laat een reactie achter

Het e-mailadres wordt niet gepubliceerd.


*