Translink (en anderen): bescherm de persoonsgegevens die wij jullie toevertrouwen.

Duo (die de studiefinanciering afhandelt) blijkt aan Translink (de beheerder van het OV chipkaart systeem) reisgegevens van studenten met een OV chipkaart opgevraagd en gekregen te hebben om fraude met studiebeurzen te controleren. Zo wilde Duo controleren of studenten die zeggen uitwonend te zijn niet stiekem toch thuis wonen (en dus geen recht hebben op de hogere beurs voor uitwonenden, zoals die tot een paar jaar geleden nog bestond). Een student die gecontroleerd werd en op basis van zijn reisgegevens werd beschuldigd van fraude stapte naar de rechter. De rechter was het met de student eens dat Duo met deze vorm van fraudeonderzoek zijn privacy was geschonden.

Wat kunnen we hier van leren?

Artikel 8 van het Europese Verdrag van de Rechten van de Mens (EVRM) stelt dat de privacy van een burger alleen geschonden mag worden om een ander maatschappelijk belang (zoals veiligheid, economisch welzijn, etc.) te beschermen, als dat bij wet verplicht dan wel toegestaan is. Weliswaar mag een toezichthouder (zoals Duo dat is voor de uitvoering van de Wet of de Studiefinanciering) in bepaalde gevallen informatie opvragen voor het opsporen van fraude, maar nergens staat expliciet bij wet bepaald dat dat ook mag als het gaat om persoonsgegevens bij willekeurige derde partijen (zoals Translink).

De voorwaarden waaronder iemands privacy geschonden mag worden moeten dus duidelijk in een wet beschreven staan. En de processen die gebruikt worden om persoonsgegevens op te vragen en te verstrekken dienen deze voorwaarden te controleren.

Duo gaat buiten haar boekje door te proberen reisgegevens van studenten te verkrijgen. Maar in mijn ogen gaat vooral Translink hier volstrekt over de schreef. Translink zegt

Onze juristen hebben van Duo begrepen dat er een wettelijke grondslag is om bij ons gegevens op te vragen

Dat moeten ze niet aannemen, maar controleren! En een verzoek dat niet voldoende onderbouwd is moeten ze weigeren. Dat geldt helemaal voor een bedrijf als Translink dat de extreem gevoelige reisgegevens van miljoenen Nederlanders bewaard, voor maximaal achttien maanden.

Translink zou een voorbeeld moeten nemen aan de telecom aanbieders in Nederland. Voor het zetten van een telefoontap (en tot voor kort ook voor het beantwoorden van een verzoek om belgegevens zoals die bewaard moesten worden vanwege de Wet Bewaarplicht Telecommunicatiegegevens) controleren deze bedrijven de verzoeken nauwkeurig, voordat de gevraagde tap geplaatst wordt. Een informeel verzoekje wordt per kerende post geweigerd.

En dat zou een voorbeeld moeten zijn voor alle bedrijven die persoonsgegevens verwerken. Die persoonsgegevens zijn je toevertrouwd door je klanten. Daar moet je dus zorgvuldig mee omgaan. Het feit dat een vragende partij toezichthouder is betekent dus niet automatisch dat je verplicht bent om aan een verzoek om persoonsgegevens hoeft te voldoen. Soms moet dat wel, soms niet. Zorg er daarom voor dat er een duidelijk proces is, met een duidelijke procesverantwoordelijke, om met dergelijke verzoeken om te gaan. En informeer je uitgebreid over de voorwaarden waaronder je aan verzoeken tot inzage moet voldoen. En heb het lef om voor je klanten op te komen en niet valide of onduidelijke verzoeken te weigeren. Zoals SMSParking bijvoorbeeld, die weigerde aan de Belastingdienst de kentekens van alle geparkeerde auto's te geven.

Eigenlijk zouden we nog een stap verder moeten gaan, en veel meer dan nu het geval is het verzamelen en bewaren van persoonsgegevens moeten beperken. Door het toepassen van privacy by design is het mogelijk om dit te doen zonder de functionaliteit van het systeem te beperken. Zo is het prima mogelijk om een OV chipkaart, een parkeergarage, een afvalpasssysteem, etc. te maken zonder persoonsgegevens te verzamelen. Zo worden de privacyrisico's voor de burger kleiner. Dat is ook in het belang van de aanbieder: persoonsgegevens die je niet hebt kunnen ook niet opgevraagd worden. En als er niet om gevraagd wordt, hoef je er ook niet over na te denken, hoef je er geen proces voor in te richten, en kun je ook geen fouten maken.

Het wordt hoog tijd hier werk van te maken!

Naschrift: Translink heeft ook, zonder duidelijke juridische noodzaak, reisgegevens aan de Sociale Verzekeringsbank verstrekt.

En zoals Sheila Sitalsing terecht opmerkt: een studenten OV kaart is een abonnement waar het helemaal niet voor nodig is om reisgegevens van te administreren: je hebt immers toch al betaald! Daar was destijds bij de invoering van de OV chipkaart veel discussie over. Nu zien we helaas weer wie er gelijk had.…