Rb. Midden-Nederland, 30-08-2019, nr. UTR 18/1556

Bij besluit van 19 oktober 2017 (het primaire besluit) heeft verweerder het handhavingsverzoek van eiser afgewezen.

Bij besluit van 19 maart 2018 (het bestreden besluit) heeft verweerder het bezwaar van eiser ongegrond verklaard.

Eiser heeft tegen het bestreden besluit beroep ingesteld.

Verweerder heeft een verweerschrift ingediend.

Het onderzoek ter zitting heeft plaatsgevonden op 14 december 2018. Eiser is verschenen. Verweerder heeft zich laten vertegenwoordigen door zijn gemachtigden en mr. E.S. van der Deijl. Derde-partij heeft zich laten vertegenwoordigen door zijn gemachtigde en mr. [A] .

De rechtbank heeft het onderzoek ter zitting geschorst om verweerder in de gelegenheid te stellen het rapport van bevindingen in te dienen dat gaat over het onderzoek dat is uitgevoerd naar aanleiding van de uitspraak van de rechtbank Gelderland, zittingsplaats Arnhem, van 16 augustus 2016.1.

Verweerder heeft het rapport van bevindingen ingediend.

Eiser heeft een reactie ingediend naar aanleiding van het rapport van bevindingen. Verweerder en derde-partij hebben hierop gereageerd.

Op 7 juni 2019 is het onderzoek ter zitting voortgezet. Eiser is verschenen. Verweerder en derde-partij hebben zich laten vertegenwoordigen door hun gemachtigden.

Vervolgens heeft de rechtbank het onderzoek gesloten.

Aanleiding voor deze procedure

1. Eiser heeft verweerder op 14 februari 2017 verzocht om handhavend op te treden tegen de Nederlandse Spoorwegen (NS). Aan zijn verzoek heeft eiser ten grondslag gelegd dat de NS in strijd handelt met de Wet bescherming persoonsgegevens (Wbp). Eiser is verplicht om met zijn Traject Vrij-abonnement, een persoonlijke ov-chipkaart, in- en uit te checken waarmee de NS zijn persoonsgegevens verwerkt terwijl dit niet noodzakelijk is. Omdat hij niet anoniem kan reizen met zijn abonnement, wordt zijn recht op privacy geschonden. Hetzelfde geldt voor het reizen met het voordeelurenabonnement dat aan het Traject Vrij-abonnement is verbonden buiten het traject van dat abonnement. Dat kan óók alleen met een persoonlijke ov-chipkaart en niet met een anonieme ov-chipkaart. Verder heeft eiser aan zijn verzoek ten grondslag gelegd dat hij niet anoniem grote bedragen op zijn anonieme ov-chipkaart kan laden omdat de mogelijkheid om de ov-chipkaart met contant geld op te laten beperkt is; dat kan namelijk alleen met muntgeld. Hij wordt in feite gedwongen om door middel van een (tot eiser herleidbare) pinbetaling de ov-chipkaart op te laden.

2. Verweerder heeft het verzoek om handhavend op te treden afgewezen. Daaraan heeft verweerder ten grondslag gelegd dat het niet aannemelijk is dat de NS zich mogelijkerwijs schuldig maakt aan een overtreding van de Wbp of daaraan gerelateerde wet- en regelgeving. De verwerking van gegevens bij het in- en uitchecken is noodzakelijk voor de uitvoering van de overeenkomst die eiser heeft met de NS (artikel 8, aanhef en onder b, van de Wbp). In het verweerschrift heeft verweerder daar subsidiair aan toegevoegd dat de gegevensverwerking ook noodzakelijk is voor het belang van verweerder om misbruik en fraude tegen te gaan (artikel 8, aanhef en onder f, van de Wbp).

Verder heeft verweerder aan de afwijzing ten grondslag gelegd dat bij het opladen van een ov-chipkaart door middel van pinbetaling geen sprake is van een verwerking van betaalgegevens.

Afbakening van het te beoordelen geschil

3. Allereerst stelt de rechtbank de grenzen van de beroepsprocedure vast. Eisers handhavingsverzoek staat centraal en bepaalt de reikwijdte van verweerders besluit en daarmee ook van de beroepsprocedure. Zoals onder 1 is weergegeven, heeft eisers handhavingsverzoek betrekking op de gegevensverwerking bij het in- en uitchecken met zijn Traject Vrij-abonnement, de onmogelijkheid tot anoniem reizen met het voordeelurenabonnement van zijn Traject Vrij-abonnement en het niet anoniem kunnen opladen van een anonieme ov-chipkaart. Binnen die grenzen zal de rechtbank de beroepsprocedure beoordelen. Wat eiser in beroep heeft aangevoerd over de opt-out regeling, valt hier buiten. De rechtbank zal zich hierover dan ook niet uitlaten. Ook zal de rechtbank niet toetsen aan de Algemene verordening gegevensbescherming (AVG). De AVG is op 25 mei 2018 in werking getreden. Omdat de procedure is gestart met het maken van bezwaar op 27 november 2017 en dus voorafgaand aan de inwerkingtreding van de AVG, is het recht van toepassing zoals het op dat moment gold (artikel 48, achtste lid, van de Uitvoeringswet AVG). Dat is dus de Wbp en de rechtbank zal daaraan toetsen.

4. Verder stelt de rechtbank vast dat ervan uit moet worden gegaan dat eiser een verzoek heeft ingediend op grond van artikel 60 van de Wbp. Op grond van dit artikel kan verweerder – voordat hij overgaat tot handhavend optreden – op verzoek een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan de Wbp. Dat heeft verweerder ook in dit geval gedaan. Verweerder heeft een vaste handelwijze voor dergelijke onderzoeken, die is onderverdeeld in vier fasen. In fase I vindt een globaal onderzoek plaats en wordt beoordeeld of uit de voorliggende en/of opgevraagde informatie blijkt dat zich mogelijkerwijs een overtreding van de Wbp of daaraan gerelateerde wet- en regelgeving voordoet of heeft voorgedaan. De hoogste bestuursrechter in dit soort zaken, de Afdeling bestuursrechtspraak van de Raad van State (ABRvS), heeft deze handelwijze niet onredelijk gevonden.2.Eisers verzoek is in deze fase afgewezen. Verweerder vindt het op grond van de voorliggende en/of opgevraagde informatie niet aannemelijk dat zich mogelijkerwijs een overtreding van de Wbp of daaraan gerelateerde wet- en regelgeving voordoet. Daarom zijn de fasen II tot en met IV niet doorlopen en is er geen nader onderzoek gedaan. De beroepsprocedure beperkt zich dan ook tot dit globale onderzoek en de vraag of verweerder hiermee heeft kunnen volstaan.

Standpunten van partijen

5. Eiser is als abonnementhouder verplicht om met zijn persoonlijke ov-chipkaart in- en uit te checken. Volgens eiser verwerkt de NS hiermee meer gegevens dan noodzakelijk, namelijk zijn reis- en/of reizigersgegevens. Hiermee handelt de NS in strijd met zijn recht op privacy. Dat de verwerking noodzakelijk is voor de uitvoering van de overeenkomst, volgt eiser niet. Eiser stelt dat het doel ook op een andere minder ingrijpende manier kan worden bereikt. Volgens eiser zou het mogelijk moeten zijn om anoniem met een trajectkaart te kunnen in- en uitchecken en zo anoniem te kunnen reizen. Ook zou het reizen met twee kaarten een optie kunnen zijn (een (zicht)kaart in combinatie met een anonieme ov-chipkaart). Daarbij merkt eiser op dat niet is gebleken dat onderzoek is gedaan naar alternatieven om zijn anonimiteit te waarborgen. Verder voert eiser aan dat het praktisch onmogelijk is om anoniem te reizen bij de NS. Het anoniem reizen door middel van contante betalingen is beperkt. Grote bedragen kunnen bijna alleen via pinbetalingen worden voldaan en pinbetalingen zijn altijd traceerbaar.

6. Verweerder stelt zich hierover op het standpunt dat de gegevensverwerking bij het in- en uitchecken noodzakelijk is. De NS moet controleren of is betaald voor het abonnement én of binnen het traject van het abonnement wordt gereisd. Verder is verwerking noodzakelijk om aanvragen op grond van de ‘Regeling geld terug bij vertraging’ te behandelen, te controleren en uit te keren. Ook is het nodig om te kunnen controleren op fraude of misbruik, zowel tijdens als na de reis. Verweerder stelt dat het doel waarvoor de reisgegevens worden verwerkt niet op een andere minder nadelige wijze kunnen worden verwezenlijkt. De door eiser genoemde alternatieven bieden niet dezelfde waarborgen als het huidige systeem. Verder stelt verweerder dat bij het opladen van een anonieme ov-chipkaart geen sprake is van verwerking van betaalgegevens door de NS of Trans Link Systems B.V., dat deze chipkaart uitgeeft. Daarbij merkt verweerder op dat de mogelijkheid bestaat om met contant geld de anonieme ov-chipkaart op te laden.

Beoordelingskader

7. Persoonsgegevens mogen op grond van artikel 7 van de Wbp alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Doeleinden zijn alleen gerechtvaardigd als zij met inachtneming van artikel 8 van de Wbp kunnen worden bereikt. Met andere woorden: de gegevensverwerking moet in beginsel zijn toegestaan op een van de in artikel 8 van de Wbp limitatief opgesomde gronden.3.Ook moet gegevensverwerking noodzakelijk zijn met het oog op het omschreven doel van de verwerking. In dit geval is van belang of de gegevensverwerking noodzakelijk is voor de uitvoering van de overeenkomst waarbij eiser partij is (artikel 8, aanhef en onder b, van de Wbp) en of het noodzakelijk is voor de behartiging van het belang van de NS, te weten het belang om misbruik en fraude tegen te gaan (artikel 8, aanhef en onder f, van de Wbp). Verder moet bij elke gegevensverwerking zijn voldaan aan de beginselen van proportionaliteit (het doel van de verwerking van de persoonsgegevens staat in verhouding tot de inbreuk op de privacy) en subsidiariteit (het beoogde doel kan niet op een minder ingrijpende manier worden bereikt). Bij de beoordeling van de vereiste noodzakelijkheid, door beoordeling van proportionaliteit en subsidiariteit van de verwerking, zal de rechtbank minder indringend toetsen, omdat verweerder als toezichthoudster op dat vlak beoordelingsruimte heeft. Bij de beoordeling van de alternatieven die de aanvrager heeft aangedragen (subsidiariteit) hanteert de rechtbank het uitgangspunt dat verweerder deze dient te onderzoeken. De intensiteit waarmee dit dient te gebeuren wordt mede bepaald door de specificiteit van de aangedragen alternatieven. Met andere woorden: hoe gedetailleerder de aanvrager het alternatief beschrijft, hoe indringender verweerders onderzoek moet zijn. Alternatieven die in wezen de gerechtvaardigdheid van een verwerkingsdoel betwisten hoeven niet in dit kader beoordeeld te worden; deze beoordeling (gegrond op artikel 7 van de Wbp) gaat immers aan de subsidiariteitsvraag vooraf.

Welbepaalde, uitdrukkelijk omschreven doeleinden

8. Het is aan de NS om het doel vast te stellen voor de verwerking van de persoonsgegevens die van een kaarthouder worden verkregen bij gebruik van een persoonlijke ov-chipkaart met een abonnement. Uit de stukken en wat ter zitting is besproken, is het voor de rechtbank voldoende duidelijk geworden wat die doelen zijn. Zo worden de persoonsgegevens verwerkt voor onder andere:

- het nakomen van verplichtingen die voortvloeien uit de aan NS verleende concessie 2015-2025 voor het Hoofdrailnet. Artikel 55 van deze concessie regelt de wijze waarop NS tariefdifferentiatie mag toepassen, gericht op een betere benutting van de spoorcapaciteit.

Tussen partijen is niet in geschil dat deze doeleinden welbepaald en uitdrukkelijk omschreven zijn als bedoeld in artikel 7 van de Wbp. De volgende vraag die beantwoord moet worden, is of deze doelen met inachtneming van artikel 8 van de Wbp kunnen worden bereikt. Met andere woorden: is de gegevensverwerking noodzakelijk op grond van artikel 8 van de Wbp.

Evenredigheid verwerking persoonsgegevens

9. De rechtbank is van oordeel dat verweerder voldoende heeft gemotiveerd dat de verwerking van persoonsgegevens door middel van in- en uitchecken met een persoonlijke ov-chipkaart niet onevenredig is voor de uitvoering van de overeenkomst betreffende het Traject Vrij-abonnement en het voordeelurenabonnement.

Verweerder heeft daarvoor van belang mogen vinden dat de houder van deze abonnementen met de NS is overeengekomen dat reisgegevens door de NS kunnen worden vastgelegd om het rechtmatige gebruik van de producten te controleren voor, tijdens en na afloop van de reis. De NS moet voor aanvang van de reis kunnen nagaan of de reiziger zijn verplichtingen die voortvloeien uit de overeenkomst heeft nageleefd. Door middel van het inchecken kan de NS controleren of is betaald voor het abonnement. Als het abonnementsgeld niet is voldaan, komt dit naar voren bij het inchecken. Verder kan bij het verwerken van de in- en uitcheckgegevens de controle plaatsvinden of de reiziger binnen het traject van zijn abonnement of binnen de voordeeluren heeft gereisd. Als dit niet het geval is, is namelijk een reissom verschuldigd voor het deel van de reis dat niet binnen het traject valt of een hoger reistarief als buiten de voordeeluren wordt gereisd. De NS kan daarvoor de verschuldigde reissom berekenen en afboeken van het saldo op de ov-chipkaart.

Daarnaast heeft verweerder van belang mogen vinden dat verwerking van de reisgegevens door de NS noodzakelijk is voor de ‘Regeling geld terug bij vertraging’. Deze regeling maakt onderdeel uit van de overeenkomst betreffende het Traject Vrij-abonnement. Om te kunnen controleren of de indiener van een claim daadwerkelijk zodanige vertraging heeft opgelopen dat hij recht heeft op compensatie, is het noodzakelijk om in- en uitcheckgegevens enige tijd te bewaren.

Met het voorgaande heeft verweerder voldoende gemotiveerd dat de verwerking van persoonsgegevens door middel van een persoonlijke ov-chipkaart noodzakelijk is op grond van artikel 8, aanhef en onder b, van de Wbp. De rechtbank ziet geen aanleiding voor het oordeel dat de inbreuk op de persoonlijke levenssfeer van eiser (zijn recht op privacy) onevenredig is in verhouding tot het met de verwerking te dienen doel (de uitvoering van de overeenkomst). Daarbij merkt de rechtbank op dat verweerder heeft toegelicht dat reisgegevens technisch en organisatorisch gescheiden worden opgeslagen van de overige persoonsgegevens van een reiziger. Verweerder verwijst daarvoor naar artikel 10, eerste lid, van de Gedragscode verwerking persoonsgegevens ov-chipkaart door ov-bedrijven. Volgens verweerder houdt de NS zich strikt aan de Gedragscode. De rechtbank ziet geen aanleiding om hieraan te twijfelen.

Alternatieven

10. Verder is de rechtbank van oordeel dat verweerder voldoende heeft gemotiveerd dat het doel waarvoor de persoonsgegevens worden verwerkt (de uitvoering van de overeenkomst) in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon minder nadelige wijze kan worden verwezenlijkt. Daarbij heeft verweerder de door eiser aangedragen alternatieven op de juiste wijze betrokken en voldoende onderzoek hiernaar gedaan.

Eiser heeft in bezwaar een alternatief aangedragen om zijn privacy beter te beschermen terwijl hij toch in- en uitcheckt met zijn abonnement, namelijk door de persoonsgegevens direct na in- en uitchecken te anonimiseren. Verweerder heeft voldoende gemotiveerd dat door directe anonimisering van reisgegevens van houders van een Traject Vrij-abonnement, na in- en uitchecken, adequate controle achteraf op misbruik en controle op claims in het kader van de regeling “Geld Terug bij Vertraging” niet mogelijk zou zijn. Daarbij heeft verweerder van belang mogen vinden dat de keuze van de NS om de ov-chipkaart in te voeren verband houdt met het streven naar efficiënte controle op misbruik en fraude. Niet alleen tijdens de treinreis, maar ook daarvoor en daarna.

Verweerder heeft in de beroepsprocedure het onderzoeksrapport ‘Nederlandse Spoorwegen. De verwerking van persoonsgegevens bij het Voordeelurenabonnement en de Regeling geld terug bij vertraging’ van augustus 2017 overgelegd. Dit rapport tot stand gekomen naar aanleiding van de uitspraak van de rechtbank Gelderland van 16 augustus 2016. In dat rapport bespreekt verweerder onder andere het alternatief van reizen met twee ov-chipkaarten dat in die zaak was aangevoerd. Eiser is in zijn reactie op dat rapport op dit alternatief ingegaan en verweerder en NS hebben daarop gereageerd. De rechtbank zal dat alternatief daarom ook in deze uitspraak bespreken.

Verweerder heeft in het onderzoeksrapport en in zijn reactie van 27 mei 2019 voldoende gemotiveerd dat het reizen met twee ov-chipkaarten, te weten een (zicht)kaart in combinatie met een anonieme ov-chipkaart, minder waarborgen biedt dan het bestaande systeem. Daarbij heeft verweerder van belang mogen vinden dat door middel van het inchecken een instaptarief in mindering wordt gebracht op het saldo. Dit is voor de reiziger een financiële prikkel om te voldoen aan zijn verplichting om uit te checken. Een los kaartje dat voorafgaand aan de reis wordt afgerekend aan de hand van een opgegeven traject, biedt de NS minder waarborgen dat ook binnen dat betaalde traject daadwerkelijk wordt gereisd. Daarnaast kan met het door eiser voorgestelde alternatief een vervoersbewijs meerdere keren worden gebruikt. Verder heeft verweerder van belang mogen vinden dat, zoals volgt uit het rapport van bevindingen van augustus 2017, bij het gebruik van twee ov-chipkaarten het nodig is dat de conducteur in de trein twee ov-chipkaarten moet controleren. Hij is dus meer tijd kwijt aan controles en door het gebruik van twee kaarten is de controle minder effectief dan bij het gebruik van één kaart. Ook heeft verweerder van belang mogen vinden dat de controles door dit alternatief gecompliceerder worden door extra controlehandelingen, die weer aanleiding kunnen zijn voor misverstanden en onenigheid in de trein. Dit wordt met het huidige systeem ondervangen op het moment dat een reiziger incheckt voorafgaand aan de treinreis. Verder heeft verweerder van belang mogen vinden dat het ov-chipkaartsysteem zo is ingericht dat de gepersonaliseerde ov-chipkaart, waarop abonnementen zijn geplaatst, regelmatig contact maakt met het systeem. Dit maakt het mogelijk om de ov-chipkaarten van een onbetaald of verlopen abonnement te blokkeren. Bij de door eiser aangedragen methode worden gepersonaliseerde ov-chipkaarten niet gebruikt om in te checken en kunnen onbetaald of verlopen abonnementen pas worden opgemerkt bij een controle in de trein. Op grond hiervan heeft verweerder het aannemelijk mogen vinden dat met de alternatieve methode het ov-chipkaartsysteem minder goed zal werken.

Gelet op het voorgaande heeft verweerder voldoende gemotiveerd dat de gegevens die de NS verwerkt bij een Traject Vrij-trajectabonnement in redelijkheid niet op een andere minder nadelige wijze kunnen worden verwezenlijkt.

Pinbetalingen

11. Wat eiser heeft aangevoerd over de praktische onmogelijkheid om grote bedragen op de ov-chipkaart te laden, maakt wat hiervoor is overwogen niet anders. Zoals verweerder heeft toegelicht, zijn er mogelijkheden om met contant geld losse anonieme ov-chip kaartjes te kopen en de anonieme ov-chipkaart op te laden. Dit kan bij de automaat (met muntgeld) en aan het loket (met munt- en briefgeld). Dat dit volgens eiser niet werkbaar is, betekent niet dat die mogelijkheden er niet zijn. Hierin heeft verweerder dan ook geen aanleiding hoeven zien om nader onderzoek te doen naar het anoniem aanschaffen en opladen van een ov-chipkaart.

Artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM)

12. Eiser heeft aangevoerd dat de gegevensverwerking van verweerder in strijd is met artikel 8 van het EVRM. Deze beroepsgrond treft geen doel. De rechtbank licht die conclusie als volgt toe. Met de totstandkoming van Wbp heeft de wetgever de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (de Privacyrichtlijn)4.geïmplementeerd. De grondslag van de Privacyrichtlijn is onder andere het EVRM. In de memorie van toelichting van de Wbp5.is verder ingegaan op de verhouding tussen het grondwettelijke recht op bescherming van het privéleven van artikel 8 van het EVRM en de Wbp. Artikel 8 van het EVRM eist dat als inbreuken op het privéleven plaatsvinden, deze voorzien moeten zijn in de wet en noodzakelijk moeten zijn op grond van een aantal nader aangegeven gronden. Bij de toepassing van in grondrechtenbepalingen opgenomen beperkingsclausules, zoals artikel 8 van het EVRM (en het later inwerking getreden artikel 8 van het Handvest van de grondrechten

van de Europese Unie, hierna: Handvest), spelen het proportionaliteits- en subsidiariteitsbeginsel een belangrijke rol. Het evenredigheids- of proportionaliteitsbeginsel geldt rechtstreeks op grond van artikel 8 van het EVRM. Deze mede op de grondrechten gebaseerde beginselen nemen, zo blijkt verder uit de memorie van toelichting, in de Wbp een centrale positie in. Op veel plaatsen in deze wet wordt de verwerking van gegevens gebonden aan het noodzakelijkheidscriterium. De Wbp heeft hiermee onmiskenbaar een Europeesrechtelijke grondslag. De rechtbank ziet geen aanleiding om te oordelen dat de implementatie van de Privacyrichtlijn en artikel 8 van het EVRM in de Wbp onjuist is en oordeelt dat verweerder door vast te stellen dat NS de Wbp niet heeft overtreden, zij ook artikel 8 van het EVRM en het later in werking getreden artikel 8 van het Handvest niet heeft overtreden. Het betoog van eiser slaagt dus niet.

Eindconclusie

13. Gelet op alles wat hiervoor is overwogen, is de rechtbank van oordeel dat verweerder het handhavingsverzoek van eiser heeft kunnen afwijzen in fase I. Er bestond voor verweerder dan ook geen aanleiding om nader of meer uitgebreider onderzoek te doen naar aanleiding van het verzoek van eiser. Het beroep is ongegrond. Voor een proceskostenveroordeling bestaat geen aanleiding.

De rechtbank verklaart het beroep ongegrond.

Deze uitspraak is gedaan door mr. J.J. Catsburg, voorzitter, en mr. O. Veldman en mr. H.H.L. Krans, leden, in aanwezigheid van mr. S. Westerhof, griffier. De beslissing is in het openbaar uitgesproken op 30 augustus 2019.

griffier voorzitter

Afschrift verzonden aan partijen op:

Tegen deze uitspraak kan binnen zes weken na de dag van verzending daarvan hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State.