De Belgische privacytoezichthouder GBA heeft een fietsverhuurder berispt voor de online identiteitscontrole die klanten moesten ondergaan (pdf). Klanten die een elektrische fiets wilden huren moesten eerst een kopie van hun identiteitsbewijs laten controleren door een derde partij. Pas na de identiteitscontrole kon er een afspraak worden gemaakt voor het ophalen van de fiets. Bij het ophalen van de fiets moesten klanten nogmaals hun identiteitsbewijs laten zien.

Begin vorig jaar stapte een klant naar de GBA. Ze had een inzageverzoek gedaan, maar geen reactie gekregen. Daarnaast stelde de klant dat het maken van een foto van de achterkant van haar identiteitsbewijs niet noodzakelijk was. Tevens vond ze het verwerken van de foto van haar identiteitskaart onrechtmatig. Ook stelde ze dat ze niet van tevoren was ingelicht over het verwerken van haar identiteitsfoto, burgerservicenummer en locatiegegevens van het verhuurbedrijf.

De fietsverhuurder claimde dat de gegevensverwerking noodzakelijk was om aan contractuele verplichtingen te voldoen. Daarnaast was het nodig om fraude tegen te gaan. Volgens de GBA had de fietsverhuurder geen reden om persoonlijke data op de identiteitskaart, naast naam en geboortedatum, te verwerken. Daarnaast was er een alternatieve methode beschikbaar. De fietsverhuurder had dan ook geen gerechtvaardigd belang om de gegevens van de identiteitskaart te verwerken, oordeelt de toezichthouder.

De fietsverhuurder schond ook de AVG door het verwerken van het identiteitsbewijs niet in het privacybeleid te vermelden. Verder stelde de GBA dat het bedrijf ook de privacywet had overtreden door niet op het inzageverzoek te reageren. De toezichthouder gaf de fietsverhuurder een berisping voor het verwerken van persoonlijke data op identiteitsbewijzen zonder geldige grondslag, het niet reageren op het inzageverzoek en een gebrek aan transparantie. Verder kreeg het bedrijf ook een waarschuwing wegens het verwerken van locatiegegevens met betrekking tot verhuurde fietsen. Toen de klacht werd ingediend besloot de fietsverhuurder al met de identificatie te stoppen en bij het proces verzamelde gegevens te verwijderen.