CBP int voor 125.000 euro aan dwangsommen bij NS wegens te lang bewaren reisgegevens studenten

Het College Bescherming Persoonsgegevens (CBP) heeft op 24 mei 2012 voor een totaalbedrag van 125.000 euro aan verbeurde dwangsommen bij de Nederlandse Spoorwegen (NS) opgeeist wegens het te lang bewaren van reisgegevens van studenten met een OV-studentenjaarkaart.

Gegevens te lang bewaard door vervoersbedrijven

Het CBP heeft eerder onderzoek gepleegd naar het gebruik van reisgegevens van studenten met een OV-studentenjaarkaart door diverse vervoerders (waaronder de NS). Daaruit bleek dat de reisgegevens van studenten te lang werden bewaard.

Dwangsom opgelegd

Vervolgens heeft het CBP de diverse vervoersbedrijven op 9 juni 2011 een dwangsom opgelegd. In de verschillende dwangsombesluiten is bepaald dat de vervoersbedrijven de reisgegevens ten hoogste voor 18 maanden mogen bewaren voor de opbrengstenadministratie en 24 maanden voor de overige doeleinden. In het dwangsombesluit van de NS staat dat de dwangsom 5.000 euro per week bedraagt en dat tot 1 december 2011 geen dwangsommen worden verbeurd.

NS heeft niet voldaan aan dwangsombesluit

Uit nieuw onderzoek van het CBP blijkt dat de NS niet aan het dwangsombesluit heeft voldaan. De gegevens worden namelijk langer bewaard dan de maximale bewaartermijn. Hoe dat precies zit is niet te beoordelen, want het CBP heeft alle relevante passages uit het invorderingsbesluit zwart gemaakt. Het CBP concludeert dan ook dat de NS tot op heden voor 125.000 euro aan dwangsommen heeft verbeurd en vordert nu betaling van dit bedrag.

Anoniem of niet?

Uit de informatie op de website van het CBP begrijp ik dat de kerndiscussie is de of de gegevens die langer dan de maximale bewaartermijn worden bewaard, in voldoende mate geanonimiseerd zijn. Kennelijk is het CBP de mening toegedaan dat de methode die de NS gebruikt om de gegevens te anonimiseren hiervoor onvoldoende is. Wat die methode behelst is, juist vanwege alle zwart gemaakte passages in het invorderingsbesluit, niet te beoordelen. Dat een bepaalde methode wordt gebruikt is echter wel duidelijk.

Juridisch gezien is de vraag vermoedelijk of de door NS bewaarde (en kennelijk in ieder geval deels geanonimiseerde) gegevens (nog wel) als persoonsgegevens aan te merken zijn. Die vraag is ook buiten het spoorvervoer van belang (bijvoorbeeld op Internet). Ik vermoed dan ook dat de discussie (bij bezwaar of beroep door de NS) straks zal gaan over de vraag:  wat is de minimale moeite die het moet kosten om bepaalde data aan personen te kunnen koppelen, zodat je kunt stellen dat die data geen persoonsgegevens (meer) zijn? Voor de opvatting van de toezichthouders op dit punt kan in feite gekeken worden naar de eerdere opinie over het begrip persoonsgegevens. Ik ben erg benieuwd hoe een rechter hierover zou denken. Het is afwachten hoe dit geschil zich verder ontwikkelt.