Privacy First en privacyactivist Michiel Jonker uiten hun zorgen over het Electronic Ticket Control Database systeem (ETCD). Het ETCD systeem is ontwikkeld door Europese spoorwegmaatschappijen en legt persoonlijke reisgegevens, zoals naam, soms geboortedatum, reisdatum en -tijd, reisroute, ticketspecificaties en klantgeschiedenis vast van treinreizigers die een e-ticket kopen. Jonker noemt het systeem ondemocratisch en spreekt van een surveillancesysteem.

Het ETCD-systeem lijkt de afgelopen jaren in stilte te zijn opgebouwd, meldt Privacy First. Het bestaan en de reikwijdte van het systeem kwam onlangs naar voren in een zienswijze die NS deelde in een juridische procedure die sinds 2018 wordt gevoerd door privacy-activist Michiel Jonker. Hij diende bij de Autoriteit Persoonsgegevens tweemaal een verzoek tot handhaving in. In augustus 2024 werd het verzoek voor de tweede maal afgewezen, waartegen Jonker in beroep is gegaan. De NS stuurde in oktober 2025 als onderdeel van deze procedure een zienswijze waarin meer informatie wordt verschaft.

Jonker zegt geschokt te zijn door de informatie die NS in de zienswijze deelt. "Dit betekent dat het de bedoeling van deze bedrijven is om de locatiegegevens van iedereen die met het openbaar vervoer in de EU rondreist, continu voor zichzelf en eventuele belangstellende overheidsdiensten beschikbaar te hebben", aldus Jonker.

Jonker vergelijkt het ETCD met het European Health Data Space (EHDS), waarin de Europese Unie (EU) persoonlijke medische gegevens wil opslaan van iedereen die binnen de EU medische zorg krijgt of nodig heeft. In tegenstelling tot de EHDS wordt het ETCD echter buiten de overheid om en zonder democratische controle ingevoerd, stelt Jonker.

De NS stelt de gegevens die in het ETCD worden vastgelegd nodig te hebben met het oog op onder meer fraudepreventie. Jonker is hierover kritisch en stelt dit met traditionele tickets ook niet nodig was. Deze tickets zijn in Nederland voor treinreizen naar het buitenland inmiddels nagenoeg uitgefaseerd.

Privacy First noemt het zorgwekkend dat NS ticketverkopers een nieuwe rol wil geven als zelfstandige verwerkingsverantwoordelijken, die eigen doelen mogen vaststellen voor gegevensverwerking. Met deze werkwijze zou de NS de in de AVG vastgelegde vereiste van 'doelbinding' omzeilen. NS lijkt daarbij volgens Privacy First een nieuwe rol te willen creëren voor zichzelf als 'uitgever' van tickets, waarbij het als tussenschakel fungeert tussen een vervoersbedrijf en een ticketverkoper. Jonker spreekt van een 'soort wonderbaarlijke vermenigvuldiging van verwerkingsverantwoordelijken die allemaal hun eigen doelen mogen vaststellen'.

Jonker hoopt dat de AP na het door hem ingediende bezwaarschrift alsnog bereid is handhavend op te treden tegen betrokken vervoersbedrijven. De AP heeft al aangegeven te willen wachten op een uitspraak van de Nederlandse Afdeling bestuursrechtspraak van de Raad van State in een andere, eveneens door Jonker gevoerde procedure. Deze zaak draait om de acceptatie van contante betalingen voor bioscooptickets in bioscopen.