De KNVB wil Persoonlijke Digitale Toegang (PDT) vanaf seizoen 2028/2029 verplicht stellen voor profclubs om onder andere ticketmisbruik en het omzeilen van stadionverboden tegen te gaan. Uit onderzoek dat ethisch hacker Sijmen Ruwhof in opdracht van Kassa uitvoerde naar de PSV-app blijkt echter dat tijdens het identificatieproces meer persoonsgegevens worden verwerkt dan voor de uiteindelijke identificatie nodig zijn.

Naast naam, geboortedatum en pasfoto kunnen gegevens over het identiteitsdocument zelf, het type rijbewijs en in sommige gevallen zelfs het burgerservicenummer (BSN) worden verwerkt. Deze informatie wordt voor een echtheidscontrole naar een externe server gestuurd. Leverancier Siip stelt dat de extra gegevens daar niet worden opgeslagen.

Privacy experts plaatsen vraagtekens bij deze manier van werken. Volgens privacy advocaat Elise Troll zegt de AVG dat er niet meer persoonsgegevens mogen worden verwerkt dan noodzakelijk is voor het doel waarvoor de gegevens worden verzameld.

Vooral het verwerken van het BSN ligt juridisch heel gevoelig. Organisaties mogen dat alleen als er een specifieke wettelijke grondslag bestaat. Volgens Troll ontbreekt dit doel bij een professionele voetbalclub. PSV stelt dat hun app aan de wet voldoet en dat PSV zelf geen BSN ontvangt of opslaat.