Vragen van de leden Jetten en Verhoeven (beiden D66) aan de Staatssecretarissen van Infrastructuur en Milieu en van Veiligheid en Justitie over ov-chipkaartbedrijf Translink dat de reisgegevens van honderden studenten heeft doorgegeven aan de Dienst Uitvoering Onderwijs (ingezonden 24 augustus 2017).

Antwoord van Staatssecretaris Dijksma (Infrastructuur en Milieu) mede namens de Minister van Onderwijs, Cultuur en Wetenschap (ontvangen 26 september 2017). Zie ook Aanhangsel Handelingen, vergaderjaar 2016–2017, nr. 2710.

Vraag 1

Is er een wettelijke grondslag op grond waarvan de Dienst Uitvoering Onderwijs (DUO) dan wel andere overheidsdiensten, reisgegevens rechtstreeks mogen opvragen en Translink verplicht is die gegevens af te staan?¹ Zo ja, wat is die wettelijke grondslag precies en aan welke regels en voorwaarden is ov-chipkaartbedrijf Translink, maar ook de overheidsdienst in kwestie in die gevallen gehouden?

Antwoord 1

DUO is op grond van artikel 9.1a van de Wet studiefinanciering 2000 aangewezen als toezichthouder voor de naleving van de uitwonendenregeling. Op basis van het toezichthouderschap in de zin van titel 5.2 van de Awb, mag een toezichthouder inlichtingen vorderen alsmede inzage van zakelijke gegevens en bescheiden (artikelen 5:16 en 5:17 van de Awb). Daarnaast mogen persoonsgegevens op basis van artikel 8 onder c dan wel e van de Wet bescherming persoonsgegevens (Wbp) worden verwerkt als dat noodzakelijk is voor het naleven van een wettelijke verplichting (de c-grond) of voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan (de e-grond). De voorgenoemde artikelen vormen de grondslag op basis waarvan DUO bij een ernstig vermoeden van misbruik met de uitwonendenbeurs reisgegevens opvroeg bij Translink. DUO en Translink hebben, met het oog op de toezichthoudende taak van DUO, op 28 augustus 2015 een overeenkomst gesloten in verband met de gegevensverstrekking ten behoeve van de controle en het toezicht door DUO. Translink heeft op basis van bovengenoemde grondslag en de overeenkomst gehandeld.

De rechtbank Den Haag heeft echter in haar uitspraak van 8 mei jl. geoordeeld dat de artikelen 5:16 en 5:17 van de Awb als zodanig geen voldoende specifieke wettelijke grondslag bieden voor de gegevensverwerking en dat het op deze wijze gebruiken van reisgegevens van een student in strijd is met artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM). DUO heeft tegen deze uitspraak van de rechtbank Den Haag hoger beroep aangetekend bij Centrale Raad van Beroep. Naar aanleiding van de uitspraak is het verstrekken van reisgegevens gestaakt en heeft Translink de overeenkomst met DUO beëindigd.

Ook loopt er nog hoger beroep in ten minste één zaak² waarin de rechtbank het gebruik van de reisgegevens van Translink wel toelaatbaar achtte, waarna de betreffende student in hoger beroep is gegaan.

Vraag 2

Welke reisgegevens heeft Translink precies gedeeld met DUO?

Antwoord 2

Translink leverde gegevens aan DUO over identiteit en reisgedrag van een beperkte groep kaarthouders, namelijk over wie na onderzoek gerede twijfel bestond over de rechtmatigheid van de toegekende uitwonendenbeurs. Conform de hierboven genoemde overeenkomst tussen Translink en DUO leverde Translink ter afhandeling van het verzoek de onderstaande gegevens aan DUO:

• Identificerende gegevens van de kaarthouder (voornaam, achternaam, geboortedatum en kaartnummer).

• De in- en uitcheckgegevens van de studerende over de gevraagde periode, gespecificeerd naar datum, tijdstip en locatiecode.

De gevraagde periode is afhankelijk van de specifieke situatie, waarbij rekening wordt gehouden met de maximale bewaartermijn van 18 maanden van de reisgegevens door Translink.

Vraag 3

Heeft Translink de reisgegevens van alle studenten doorgegeven aan DUO of alleen van studenten waarbij al sprake was van een fraude-indicatie? Indien dat laatste het geval is, om hoeveel studenten gaat het?

Antwoord 3

Translink heeft alleen reisgegevens aan DUO geleverd in geval van een vermoeden bij DUO van misbruik met betrekking tot de toegekende uitwonendenbeurs. Dit was ook zo vastgelegd in de overeenkomst van 2015.

Als het misbruik met de uitwonendenbeurs door een ander, minder vergaand onderzoek, aangetoond kan worden, vraagt DUO in het kader van het vereiste van subsidiariteit geen reisgegevens op. Alleen indien na een algemeen onderzoek en een huisbezoek gerede twijfels bestaan over de woonsituatie van de studerende en er voldoende aanwijzingen zijn dat hij niet op het adres woont waar hij staat ingeschreven, wordt een specifiek, nader onderzoek ingesteld. Daartoe wordt uitsluitend besloten wanneer de andere onderzoeken onvoldoende bewijs opleveren.

DUO heeft vanaf 28 augustus 2015 in 377 gevallen informatie over het reisgedrag van een student opgevraagd. In 307 van die gevallen heeft DUO misbruik met de uitwonendenbeurs vastgesteld.

Vraag 4

Gebeurt het vaker dat Translink reisgegevens deelt met derden? Zo ja, met wie, in welke gevallen en hoe vaak komt het voor en worden reizigers daarvan op de hoogte gesteld?

Antwoord 4

Ja. Translink voldoet aan vorderingen op basis van een wettelijke grondslag. Naast DUO vorderden ook de Sociale Verzekeringsbank (SVB) en een aantal gemeenten reisgegevens. Sinds de uitspraak van de rechtbank Den Haag van 8 mei jl. verstrekt Translink geen gegevens meer aan toezichthouders die enkel op basis van de toezichthoudende bevoegdheden in de zin van de artikelen 5:16 en 5:17 Awb gegevens vorderen. Wel voldoet Translink aan vorderingen van politie en justitie op grond van het Wetboek van Strafvordering en aan verzoeken van politie en justitie tot het verstrekken van informatie over vermiste personen (bijv. vermiste kinderen, dementerende ouderen en personen in geestelijk verwarde toestand). In het laatste geval is de rechtsgrondslag gelegen in artikel 8, onderdeel d, van de Wbp (vrijwaring van een vitaal belang van de betrokkene) in samenhang gelezen met artikel 43 onderdeel e van de Wbp (de bescherming van de betrokkene of van de rechten en vrijheden van anderen).

Translink heeft aangegeven geen aantallen bij te houden van de vorderingen, en reizigers waarvan reisgegevens worden gevorderd worden hiervan niet door Translink op de hoogte gesteld.

Vraag 5

Welke afspraken zijn er gemaakt tussen Translink, vervoerders, concessieverleners en de overheid over toegang tot en het delen van reisgegevens?

Antwoord 5

Op het niveau van toegang tot de reisgegevens heeft Translink alleen afspraken met vervoerders, niet met concessie verlenende overheden. Elke vervoerder die deelneemt aan het OV-chipkaartsysteem van Translink dient de Raamovereenkomst Deelname OV-chipkaartsysteem te ondertekenen. Deze Raamovereenkomst regelt onderwerpen tussen de vervoerder en Translink waaronder de verwerking van persoonsgegevens, conform Wet bescherming persoonsgegevens (Wbp).

Het delen van persoonlijke reisgegevens voor service doeleinden kan alleen met expliciete instemming van de reiziger. Service doeleinden zijn bijvoorbeeld dat de reiziger de afgeschreven bedragen niet herkent, een gemiste check out heeft of bijvoorbeeld op saldo reist terwijl de klant denkt op een product te reizen. Zonder toestemming van de reiziger kan een vervoerder alleen de ritten zien die reizigers met hun voertuigen hebben gemaakt. Niet de overstappen naar andere vervoerders.

Op 7 september hebben de concessieverlenende overheden en concessiehoudende vervoerders uit het Nationaal OV Beraad (NOVB) een intentieverklaring getekend om tot een open informatiehuishouding te komen waarmee geanonimiseerd reisgegevens beschikbaar komen voor onder meer analyse doeleinden. Met deze informatiehuishouding wordt invulling gegeven aan de motie De Boer/Van Veldhoven (TK 23 645, nr. 630) die de regering opriep om informatie over reizigersaantallen en -stromen in een speciale databank openbaar beschikbaar te maken. Privacy is hierbij een belangrijk aandachtspunt omdat voorkomen moet worden dat bijvoorbeeld kleine vervoerstromen tot op persoonsniveau herleid kunnen worden. De afspraken over de informatiehuishouding tussen concessieverleners en concessiehouders staan overigens los van de uitwisseling van reisgegevens zoals dat heeft plaatsgevonden tussen DUO en Translink. Translink is geen partij bij de intentieverklaring.

Vraag 6

Welke rechten hebben reizigers als het gaat om bescherming van hun gepersonaliseerde reisgegevens?

Antwoord 6

Reizigers kunnen hun rechten uitoefenen op basis van de Wbp, met name de artikelen 35 en 36. Zo kunnen reizigers vragen of, en zo ja welke, persoonsgegevens van hen verwerkt worden en daarvan een overzicht ontvangen. Daarnaast mogen reizigers erop rekenen dat hun persoonsgegevens op een behoorlijke en zorgvuldige wijze verwerkt worden, dat er niet meer gegevens worden verwerkt dan noodzakelijk voor het te dienen doel en dat de persoonsgegevens niet langer bewaard worden dan noodzakelijk is voor het doel dat de verwerking van de gegevens dient.

Op de websites van Translink en van de vervoerders is het privacybeleid van deze organisaties gepubliceerd. Daar is onder meer te lezen op welke wijze de privacy van reizigers is geborgd en welke rechten reizigers hebben zoals het inzien van transactie- en persoonsgegevens.

Vraag 7

Hoe verhoudt de opsporingswerkwijze van DUO (reisgegevens rechtstreeks opvragen bij Translink) zich tot de Wet bescherming persoonsgegevens?

Antwoord 7

Zie het antwoord op vraag 1. Aangezien DUO tegen de uitspraak van de rechtbank hoger beroep heeft aangetekend bij Centrale Raad van Beroep, doen we hierover op dit moment geen nadere uitspraken.

Vraag 8

Bent u ook van mening dat reizigers met een gepersonaliseerde ov-chipkaart altijd een melding moeten krijgen wanneer hun reisgedrag door derden wordt opgevraagd bij Translink dan wel worden verschaft aan derden? Zo ja, op welke wijze wordt daar in voorzien? Zo nee, waarom niet en op welke andere wijze ziet u dan mogelijkheden voor reizigers om grip te houden op hun persoonlijke informatie die door Translink wordt verzameld en gedeeld?

Antwoord 8

Een uitgangspunt van de Wbp is dat personen moeten weten wat er met hun persoonsgegevens gebeurt. Daarom bepalen de artikelen 33 en 34 van de Wbp dat degene die persoonsgegevens verkrijgt aan de betrokkene onder meer laat weten wie hij is, en met welk doel hij de desbetreffende persoonsgegevens verwerkt. Dat geldt dus ook voor de verwerking van persoonsgegevens van reizigers. Op dit uitgangspunt bestaan in de Wbp verschillende uitzonderingen. Zo kan de verantwoordelijke de informatieverplichting buiten toepassing laten als dat noodzakelijk is in het belang van, bijvoorbeeld, de staatsveiligheid of de opsporing van strafbare feiten.

Vraag 9

Bent u voornemens de Autoriteit Persoonsgegevens om advies te vragen over de toegang tot en het delen van reisgegevens?

Antwoord 9

De Autoriteit Persoonsgegevens heeft hierover reeds een handhavingsverzoek ontvangen en heeft laten weten daar op te zullen reageren.

---

1 Volkskrant, 22 augustus 2017

2 Rechtbank Zeeland-West-Brabant, uitspraak van 24 oktober 2016, zaaknummer BRE 16/1138 WSFBSF.