De Volkskrant berichtte op 22 augustus 2017 dat Trans Link Systems (“Translink”), het bedrijf achter de OV-chipkaart, veelvuldig reisgegevens van studenten verstrekte aan en op verzoek van de Dienst Uitvoering Onderwijs (“DUO”), verantwoordelijk voor de uitkering van studiefinanciering. DUO zou deze gegevens nodig hebben voor onderzoek naar frauderende studenten. Volgens DUO gebeurde dit de afgelopen jaren 377 keer.

DUO-uitspraak (8 mei 2017)
Eerder dit jaar deed de Rechtbank Den Haag uitspraak in een zaak die was aangespannen door een student wiens gegevens door Translink aan DUO waren verstrekt. In deze zaak had een student zijn woonsituatie gewijzigd van thuiswonend naar uitwonend, waardoor hij een hogere studiefinanciering ontving. DUO stelde vast dat de student niet op het nieuwe adres woonde, onder andere op basis van de OV-reisgegevens van de student die via Translink waren verkregen. Uit deze gegevens bleek dat de student voornamelijk in- en uitcheckte in de buurt van het oude adres en eigenlijk nooit in de buurt van het nieuwe adres. DUO besloot de teveel ontvangen studiefinanciering te verrekenen en het voornemen te hebben een boete op te leggen. De student verzette zich tegen het besluit van DUO en kwam terecht bij de Rechtbank Den Haag. De vraag die centraal stond, was of er een afdoende wettelijke grondslag bestond voor de gegevensuitwisseling.

Inmenging op het privéleven
Volgens de rechtbank is de gegevensuitwisseling een inmenging op het privéleven van de student, met name omdat bepaalde aspecten van het persoonlijke leven van de student worden blootgelegd door het dagelijks vastleggen van de in- en uitcheckgegevens. De rechtbank neemt daarbij in aanmerking dat de gegevens tot een persoon herleidbaar zijn, nu zij gedurende langere tijd systematisch worden verzameld, vastgelegd en bewaard:

“Naar het oordeel van de rechtbank is in het onderhavige geval sprake is van inmenging van het openbaar gezag (verweerder) in eisers privéleven. Door het vastleggen en bewaren van eisers reisgegevens door Trans Link Systems en de opvraging van deze gegevens door verweerder, wordt het privéleven van eiser geraakt. Immers door het dagelijks vastleggen van de in- en uitcheckgegevens worden bepaalde aspecten van het persoonlijke leven van eiser blootgelegd. Daarbij dient in aanmerking te worden genomen dat het kennelijk gaat om het gedurende langere tijd systematisch verzamelen, vastleggen en bewaren van reisgegevens op een zodanige wijze dat die gegevens aan de hand van het nummer van zijn ov-chipkaart tot eiser persoonlijk kunnen worden herleid. (vgl. EHRM 2 september 2010, Uzun vs. Germany, nr. 35623/05 en Centrale Raad van Beroep, 13 september 2016; ECLI:NL: CRVB:2016:3479).”

Rechtvaardiging
Een inmenging op het privéleven kan onder omstandigheden worden gerechtvaardigd. Dit is het geval als de inmenging (1) is voorzien bij wet, (2) bepaalde doeleinden nastreeft, en (3) noodzakelijk is in een democratische samenleving. In deze zaak ging het mis bij de eerste voorwaarde.

Wettelijke grondslag
Volgens de rechtbank moet er een voor de burger duidelijke wettelijke grondslag bestaan:

“Uit de eis dat een inmenging in de uitoefening van het recht op respect voor het privéleven moet zijn voorzien bij wet (“in accordance with the law”) vloeit voort dat die inmenging moet berusten op een naar behoren bekend gemaakt wettelijk voorschrift waaruit de burger met voldoende precisie kan opmaken welke op zijn privéleven betrekking hebbende gegevens met het oog op de vervulling van een bepaalde overheidstaak kunnen worden verzameld en vastgelegd, en onder welke voorwaarden die gegevens met dat doel kunnen worden bewerkt, bewaard en gebruikt. De woorden “behoudens bij of krachtens de wet te stellen beperkingen” in artikel 10 van de Grondwet brengen bovendien mee dat beperkingen op het recht op eerbiediging van de persoonlijke levenssfeer slechts kunnen worden gerechtvaardigd door of krachtens een wet in formele zin (vgl. HR 19 december 1995; ECLI:NL:HR:1995:ZD0328).”

DUO meende dat zij de OV-reisgegevens van Translink kon krijgen op basis van de algemeen geformuleerde artikelen 5:16 en 5:17 Algemene wet bestuursrecht (“Awb”). Op grond hiervan is een toezichthouder bevoegd inlichtingen te vorderen. Ook verwees DUO naar de Wet studiefinanciering 2000. De rechtbank was het hier niet mee eens. Volgens haar gelden de door DUO genoemde artikelen namelijk slechts voor zakelijke maar niet voor persoonlijke gegevens:

“Naar het oordeel van de rechtbank voldoen de artikelen 5:16 en 5:17 van de Awb niet aan dit vereiste. Deze artikelen bepalen dat een toezichthouder bevoegd is inlichtingen te vorderen en bevoegd is inzage te vorderen van zakelijke gegevens en bescheiden. Uit de memorie van toelichting volgt dat onder zakelijke gegevens moet worden verstaan ‘gegevens die gebruikt worden ten dienste van het maatschappelijk verkeer’. Zoals hierboven al is overwogen zijn de door verweerder opgevraagde Trans Link gegevens op de persoon van eiser herleidbaar. Deze gegevens zijn daarmee niet langer zakelijk in de zin van artikel 5:17 Awb. De opgevraagde gegevens zijn van persoonlijke aard en vallen daarmee buiten de reikwijdte van artikel 5:17 Awb.

De vereiste wettelijke grondslag kan evenmin worden gevonden in de artikelen in de Wsf 2000 die gaan over het toezicht. Ook daarin is geen voldoende precieze grondslag voor het verzamelen, vastleggen, bewaren en gebruiken van reisgegevens van ov-chipkaarthouders gelegen.”

Onrechtmatig verkregen bewijs
De rechtbank beschouwt de OV-reisgegevens als onrechtmatig verkregen bewijs. DUO heeft de OV-reisgegevens dus niet mogen gebruiken. Hierdoor blijft er onvoldoende bewijs over voor het besluit tot verrekening.

Reacties
DUO heeft aan De Volkskrant laten weten dat zij in hoger beroep is gegaan bij het Centrale Raad van Beroep. Volgens DUO zou er namelijk wel een afdoende wettelijke grondslag bestaan. DUO heeft ook aangegeven dat zij niet willekeurig te werk ging, maar op grond van “risicoprofielen”. Het is niet duidelijk hoe DUO deze risicoprofielen vaststelt. Voorlopig, in afwachting van het hoger beroep, ziet DUO af van het opvragen van OV-reisgegevens.

Translink liet eerder via een persbericht op haar website (27 juli 2017) weten dat zij altijd in lijn met de geldende wet- en regelgeving handelt. Translink zou een juridische toets hebben gedaan voorafgaand aan de gegevensverstrekking, en van DUO hebben begrepen dat er een wettelijke grondslag bestond. Niettemin heeft Translink besloten om direct na de uitspraak te stoppen met het uitwisselen van gegevens die op basis van artikel 5:16 en 5:17 Awb bij hen worden gevorderd.

Tweede Kamerleden Kees Verhoeven (D66) en Rob Jetten (D66) reageerden verontwaardigd via Twitter. Zij noemden dit “niet in de haak” en “niet OK” en kondigden aan schriftelijke vragen te stellen. Rob Jetten liet later via Twitter weten dat ook buitengewoon opsporingsambtenaren, de Sociale Verzekeringsbank en de Koninklijke Marechaussee gegevens opvroegen bij Translink.

Ook reizigersorganisatie Maatschappij Voor Beter OV is bezorgd. DUO zou hun jarenlang hebben voorgehouden dat reisgegevens van passagiers uitsluitend aan derden worden afgegeven op last van een Officier van Justitie of een rechter. Nu blijkt dat dus niet waar te zijn. Maatschappij Voor Beter OV heeft inmiddels geklaagd bij staatssecretaris Dijksma en bij de Autoriteit Persoonsgegevens.

Burgerrechtenorganisatie Bits of Freedom biedt op haar website studenten hulp aan bij het indienen van een inzageverzoek bij DUO en Translink. DUO en Translink zijn namelijk verplicht inzage te geven in de gegevens die ze hebben over degene die daarom verzoekt.

Vergelijkbare uitspraken
Eerder dit jaar (24 februari 2017) werd de Belastingdienst op haar vingers getikt door de Hoge Raad in een vergelijkbare zaak. Daar ging het om het onrechtmatig gebruik van gegevens die zij verkreeg met behulp van snelwegcamera’s die waren voorzien van ANPR-technologie.[1] Volgens de Hoge Raad was er geen voldoende precieze wettelijke grondslag voor dit gebruik. Eerder is hier op de website van bureau Brandeis een korte analyse over gepubliceerd.

De Raad van State kwam recent (26 juli 2017) tot dezelfde conclusie in een zaak die ook ging over het gebruik van ANPR-gegevens.

Conclusie
De uitspraak van de Rechtbank Den Haag past in de lijn van recente rechtspraak over de uitwisseling van persoonsgegevens tussen of op verzoek van bestuursorganen. Het moet voor de burger voldoende duidelijk zijn wat er met zijn of haar persoonsgegevens gebeurt, onder welke voorwaarden en met wie ze worden gedeeld.

In de uitspraken van de Hoge Raad en de Rechtbank Den Haag is geen aandacht besteed aan de Wet bescherming persoonsgegevens (“Wbp”). De ANPR-zaak bij de Hoge Raad vond haar oorsprong in een naheffingsaanslag van de Belastingdienst en de DUO-zaak een besluit tot verrekening van DUO. In beide zaken werd gesteld dat bepaald bewijs onrechtmatig was verkregen. Onrechtmatig, omdat er een ongerechtvaardigde inmenging op artikel 8 EVRM was wegens het ontbreken van een afdoende wettelijke grondslag. De ANPR-zaak bij de Raad van State vond daarentegen haar oorsprong in een verzoek op grond van artikel 35 Wbp. Hierdoor werd de Wbp in deze zaak wel toegepast. De Raad van State stelde bijvoorbeeld expliciet vast dat de ANPR-gegevens “persoonsgegevens” in de zin van de Wbp zijn.

Ook blijkt te meer dat het gedurende langere tijd systematisch verzamelen, vastleggen, bewerken en bewaren van reis- of locatiegegevens op een zodanige manier dat die gegevens tot een bepaalde persoon kunnen worden herleid een inmenging vormt op het privéleven van de individu. Dit betekent dat in zulke gevallen de inmenging moet worden gerechtvaardigd, waaronder door een voldoende specifieke wettelijke regeling.

Mocht u vragen hebben, neemt u dan gerust op met een van de privacy-experts van bureau Brandeis.

[1] De Belastingdienst vergeleek de door de automobilisten overlegde rittenadministratie met foto’s van snelwegcamera’s die beschikken over technologie voor herkenning van nummerborden, ook wel Automatic Number Plate Recognition- of ANPR-technologie.