CBP: opslag reisgedrag OV-chipkaart illegaal
De opslag van reisgegevens door het Amsterdamse vervoerbedrijf GVB, het Rotterdamse vervoerbedrijf RET en OV-chipkaartuitgever Trans Link Systems (TLS) is in strijd met de wet, zo concludeert het College Bescherming Persoonsgegevens (CBP) na onderzoek. Het CBP onderzocht de verwerking van persoonsgegevens bij het in- en uitchecken met de studenten OV-chipkaart.
De bedrijven bewaren de reisgegevens te lang en beschikken niet over een verantwoord beleid voor bewaartermijnen. Volgens het CBP moeten er voorzieningen worden getroffen om onnodige gegevensverwerkingen en misbruik te voorkomen, onder meer door gegevens te verwijderen zodra zij niet meer nodig zijn voor het gestelde doel. Verder informatie de NS studenten niet goed over het in- en uitchecken met een studenten OV-chipkaart. "NS verwerkt nu zonder noodzaak reisgegevens van studenten die in- en uitchecken en dat is in strijd met de wet", aldus de toezichthouder. Studenten zouden onvoldoende informatie krijgen over wat er met hun reisgegevens gebeurt als zij wel in- en uitchecken.
Waarschuwing
Het is niet de eerste keer dat het CBP heeft gewezen op de wettelijke eisen met betrekking tot bewaartermijnen in het kader van de OV-chipkaart. Zo heeft het CBP al in 2005 - vóórdat het OV-chipkaartsysteem in de lucht was – gewaarschuwd dat OV-bedrijven voorzieningen moeten treffen om onnodige verwerkingen van persoonsgegevens en misbruik te voorkomen.
Een van die voorzieningen bestaat eruit dat bedrijven ervoor zorgen dat gegevens worden vernietigd op het moment dat zij niet meer noodzakelijk zijn voor het gestelde doel. Nu blijkt – sinds de inwerkingtreding van de OV-chipkaart in januari en augustus 2009 – dat de bedrijven hiervan geen werk hebben gemaakt waardoor zij de Wet bescherming persoonsgegevens overtreden. Het CBP kan de vervoersbedrijven en TLS een dwangsom opleggen. Het onderzoek kwam aan het rollen toen verschillende studenten bij de toezichthouder over de OV-chipkaart hadden geklaagd.
Update 12:45
Het GVB en RET laten in een reactie aan Security.nl weten dat ze zich wel aan de privacyregels houden. De vervoerbedrijven zeggen dat ze alleen over de transactiegegevens van de studentenkaarten beschikken. "Een database met persoonsgegevens (NAW) studenten OV-chipkaart is alleen bekend bij TLS en daar hebben vervoerbedrijven geen toegang toe."
Wat betreft het bewaren van de persoonsgegevens zouden de vervoerbedrijven al langere tijd in gesprek met het Ministerie van Financiën en de Belastingdienst zijn. Het gaat dan over bewaartermijnen vanuit fiscaal oogpunt enerzijds en vanuit privacy oogpunt anderzijds. Beide vervoersbedrijven willen naar aanleiding van het rapport in gesprek met het CBP gaan. "Na overeenstemming van de bewaartermijnen kan gestart worden met implementatie van het beleid."
Een student heeft 'recht' op OV. Nu moeten ze ineens gaan inchecken van het "systeem"... Daar zit best een verschil!
Die staan aangemeld bij het CPB met een doel ..... teminste, de meeste dan..... officieel moetje elke manier verwerking van persoonsgegevens aanmelden bij het CPB.
Het probleem is dus niet zo zeer dat zij de gegevens verzamelen maar dat zij geen vooraf aangegeven doel hebben om te gegevens te verzamelen. Wat dus impliceert dat zij de gegevens verzamelen omdat ze voor hun beschikbaar zijn en dan later nog maar eens gaan kijken wat ze met die gegevens gaan doen. Precies waar menig persoon op security.nl toen gewaarschuwd heeft.
Het kan dus zijn dat zij de gegevens gebruiken om reclame mee te maken, maar ook om bijv, te delen met politie en justitie of andere belang hebbende partijen. Sja en wat je nu, we zijn namelijk weer op een punt beland waar iedereen van te voren voor gewaarschuwd is....... Het is nog even wachten tot dat bekend wordt dat verzekeringsmaatschappijen toegang krijgen tot het EPD..... zeker is dat het gebeurt, alleen reist de vraag: wanneer?
De code van de lob in de cel waarin je je met je GSM bevindt wordt ook opgeslagen.
Als er een aanlag wordt gepleegd en je bent verdachte dan wordt aan de Politie zo doorgegeven waar je op dat ogenblik was (althans je GSM).
Ik bedoel maar te zeggen, het is niet juist dat de gegevens van de OV chipkaart worden opgeslagen maar als je daartegen protesteert om in de anonimiteit te blijven dan zijn er nog wel andere zaken die je op de kaart zetten
Ik krijg nu de indruk dat de studenten OV-chip gegevens en de gegevens voor de 'gewone' OV-chip verschillend worden behandeld. Gelden daar verschillende regels voor? Naar mijn idee zijn die privacywetten voor iedereen en zouden die gegevens dus ook hetzelfde behandeld moeten worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
