Vragen van de leden Schouw en Koolmees (beiden D66) aan de staatssecretaris van Veiligheid en Justitie over het bericht «Banken verkopen pingedrag klanten» (ingezonden 27 mei 2013).

Antwoord van staatssecretaris Teeven (Veiligheid en Justitie), mede namens de minister van Financiën (ontvangen 21 juni 2013) Zie ook Aanhangsel Handelingen, vergaderjaar 2012–2013, nr. 2606

Vraag 1

Heeft u kennisgenomen van het bericht «Banken verkopen pingedrag klanten»¹ Wat is uw reactie hierop?

Antwoord 1

Ja. Voor een reactie verwijzen wij naar de antwoorden hierna.

Vraag 2

Kunt u bevestigen dat het dataverwerkingsbedrijf Equens reeds dergelijke «pinsporen» heeft verkocht?

Antwoord 2

Nee. Equens heeft in een persbericht van 24 mei 2013 aangegeven dat het voorgenomen activiteiten betreft en dat die tot nader order zijn gestaakt. ²

Vraag 4

Deelt u de mening dat het weghalen van een naam en vervangen door een wijknummer als een postcode volstrekt niet betekent dat data geanonimiseerd zijn?³ ⁴

Antwoord 4

In zijn algemeenheid kan worden aangegeven dat anonimisering op vele manieren kan plaatsvinden en dat alleen anonimisering die onomkeerbaar is volledige anonimiteit kan garanderen.

Vraag 5

Klopt het dat er van niemand verwacht mag worden dat hij bij het aangaan van een PIN-transactie toestemming geeft voor het verwerken (en doorverkopen) van zijn persoonsgegevens en dat er dus per definitie geen sprake is van een gerechtvaardigd belang zoals in artikel 8 f van de Wbp?

Antwoord 5

Bij het aangaan van een PIN-transactie worden persoonsgegevens verwerkt. De rechtsgrondslag van deze verwerking is in de regel de overeenkomst die de cliënt met zijn bank heeft gesloten. Op de verwerking van persoonsgegevens benodigd voor de uitvoering van deze overeenkomst zijn in Nederland de Algemene Bankvoorwaarden, vastgesteld door de Nederlandse Vereniging van Banken, en de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen van toepassing. Daarin zijn de doeleinden voor gegevensverwerking nader uitgewerkt. Wanneer er sprake is van een overeenkomst als rechtvaardigingsgrond voor gegevensverwerking, sluit dit niet per definitie gegevensverwerking gebaseerd op één van de andere in artikel 8 van de Wet bescherming persoonsgegevens (Wbp) genoemde rechtvaardigingsgronden uit.

Vraag 3 en 6

Deelt de onze mening dat bij zulke «pinsporen» sprake is van persoonsgegevens zoals in de Wet bescherming Persoonsgegevens (Wbp)?

Betekent dit dat hetgeen Equens voorstelt een overtreding is van de Wbp?

Antwoord 3 en 6

Of er in het geval van de gegevens waar de voornemens van Equens op zagen sprake is van persoonsgegevens is afhankelijk van het antwoord op de vraag of er sprake is van gegevens die een geïdentificeerde of identificeerbare natuurlijke persoon betreffen. Verder is ten aanzien van Equens in paragraaf 2 van de toelichting op de in antwoord 5 genoemde Gedragscode onomwonden aangegeven dat dit bedrijf als bewerker in de zin van de Wbp moet worden aangemerkt, en dat het haar in die hoedanigheid niet vrijstaat om de haar bij de afwikkeling van het betalingsverkeer toevertrouwde persoonsgegevens voor andere doeleinden te gebruiken.

Equens heeft zich op het standpunt gesteld dat de wijze waarop zij analyses en afleidingen maakt van de door haar als bewerker gebruikte gegevens neerkomt op het verwerken van gegevens die niet of niet langer zijn aan te merken als persoonsgegevens. Het past ons niet een uitspraak te doen over de vragen of de gegevens persoonsgegevens betreffen en of sprake is van verenigbaarheid met de Wbp. Het onafhankelijke College bescherming persoonsgegevens (CBP) is belast met de het toezicht op de naleving en de handhaving van de Wbp. Het CBP kan, als het daar aanleiding toe ziet, in een concreet geval de Wbp interpreteren.

Vraag 7

Weet u of het College bescherming persoonsgegevens (CBP) al een onderzoek heeft gestart? Bent u bereid dit aan het CBP aan te dragen?

Antwoord 7

Het CBP heeft mij meegedeeld, naar aanleiding van de bekendmaking door Equens dat het tot nader order alle voorgenomen activiteiten heeft gestaakt, nu geen aanleiding te zien voor het instellen van een onderzoek. Het CBP bepaalt als onafhankelijke toezichthouder zelf in welke gevallen het een onderzoek instelt.

Vraag 8

Bent u bereid om niet te wachten op een eventueel onderzoek van het CBP en reeds het gesprek aan te gaan met Equens om het bedrijf te overreden te stoppen met het verkopen van «pinsporen»?

Antwoord 8

Zoals hiervoor aangegeven, heeft Equens in een persbericht verklaard de desbetreffende plannen voorlopig niet door te zetten. Verschillende banken en ook de Consumentenbond hebben vraagtekens gezet bij dit plan. Wij delen de zorgen van deze partijen en vinden het dan ook verstandig dat Equens het plan heeft opgeschort en heeft erkend dat het bestaan van een breed maatschappelijk draagvlak ook een belangrijke factor is. Het ligt voor de hand dat het door Equens aangekondigde nadere overleg wordt gevoerd tussen Equens en het bankwezen en eventuele andere stakeholders. Zij kunnen een zienswijze vragen aan het CBP.

---

1 Nos.nl

2 http://www.equens.com/Images/Persbericht%20Equens%2024%20mei%202013.pdf

3 Koot 2012, Measuring and Predicting Anonymity http://staff.science.uva.nl/~delaat/pubs/2012-t-1.pdf

4 Unique in the Crowd: The privacy bounds of human mobility? http://www.nature.com/srep/2013/130325/srep01376/full/srep01376.html