De opslag van reisgegevens door het Amsterdamse vervoerbedrijf GVB, het Rotterdamse vervoerbedrijf RET en OV-chipkaartuitgever Trans Link Systems (TLS) is in strijd met de wet, zo concludeert het College Bescherming Persoonsgegevens (CBP) na onderzoek. Het CBP onderzocht de verwerking van persoonsgegevens bij het in- en uitchecken met de studenten OV-chipkaart.

De bedrijven bewaren de reisgegevens te lang en beschikken niet over een verantwoord beleid voor bewaartermijnen. Volgens het CBP moeten er voorzieningen worden getroffen om onnodige gegevensverwerkingen en misbruik te voorkomen, onder meer door gegevens te verwijderen zodra zij niet meer nodig zijn voor het gestelde doel. Verder informatie de NS studenten niet goed over het in- en uitchecken met een studenten OV-chipkaart. "NS verwerkt nu zonder noodzaak reisgegevens van studenten die in- en uitchecken en dat is in strijd met de wet", aldus de toezichthouder. Studenten zouden onvoldoende informatie krijgen over wat er met hun reisgegevens gebeurt als zij wel in- en uitchecken.

Waarschuwing
Het is niet de eerste keer dat het CBP heeft gewezen op de wettelijke eisen met betrekking tot bewaartermijnen in het kader van de OV-chipkaart. Zo heeft het CBP al in 2005 - vóórdat het OV-chipkaartsysteem in de lucht was – gewaarschuwd dat OV-bedrijven voorzieningen moeten treffen om onnodige verwerkingen van persoonsgegevens en misbruik te voorkomen.

Een van die voorzieningen bestaat eruit dat bedrijven ervoor zorgen dat gegevens worden vernietigd op het moment dat zij niet meer noodzakelijk zijn voor het gestelde doel. Nu blijkt – sinds de inwerkingtreding van de OV-chipkaart in januari en augustus 2009 – dat de bedrijven hiervan geen werk hebben gemaakt waardoor zij de Wet bescherming persoonsgegevens overtreden. Het CBP kan de vervoersbedrijven en TLS een dwangsom opleggen. Het onderzoek kwam aan het rollen toen verschillende studenten bij de toezichthouder over de OV-chipkaart hadden geklaagd.

Update 12:45
Het GVB en RET laten in een reactie aan Security.nl weten dat ze zich wel aan de privacyregels houden. De vervoerbedrijven zeggen dat ze alleen over de transactiegegevens van de studentenkaarten beschikken. "Een database met persoonsgegevens (NAW) studenten OV-chipkaart is alleen bekend bij TLS en daar hebben vervoerbedrijven geen toegang toe."

Wat betreft het bewaren van de persoonsgegevens zouden de vervoerbedrijven al langere tijd in gesprek met het Ministerie van Financiën en de Belastingdienst zijn. Het gaat dan over bewaartermijnen vanuit fiscaal oogpunt enerzijds en vanuit privacy oogpunt anderzijds. Beide vervoersbedrijven willen naar aanleiding van het rapport in gesprek met het CBP gaan. "Na overeenstemming van de bewaartermijnen kan gestart worden met implementatie van het beleid."