OV-chipkaarthouders kregen de afgelopen jaren ongevraagd aanbiedingen voor dagjes uit of kortingsacties aangeboden via hun email. De NS overtrad daarmee art.8 van de Wet bescherming persoonsgegevens.
Het vervoersbedrijf krijgt geen boete opgelegd, omdat: ‘verzamelde e-mailadressen van “anonieme” OV-chipkaarthouders inmiddels zijn vernietigd.’ Maar een reiziger kan nog wel schade verhalen op de NS indien het voormalig staatsbedrijf de persoonsgegevens van die reiziger op een onrechtmatige wijze heeft misbruikt.
‘De reiziger kan onder andere op grond van artikel 49 Wet bescherming persoonsgegevens (WBP) zowel vermogensschade als immateriële schade verhalen,’ aldus specialist in privacyrecht mr.dr. Eric Verhelst (advocatenkantoor Verhelst in Markelo). ‘Via de OV-chipkaart worden immers veel persoonsgegevens verzameld waaronder het reisgedrag. Het College Bescherming Persoonsgegevens (CBP) heeft ter bescherming van de privacy, voorwaarden geformuleerd die de NS in acht dient te nemen indien zij persoonsgegevens uit het OV-chipkaartsysteem wil gebruiken en waarmee wordt voldaan aan artikel 8 WBP.’
Uit onderzoek van het CBP is gebleken dat het vervoersbedrijf zich aan geen van de voorwaarden heeft gehouden. Volgens Verhelst heeft de reiziger op grond van artikel 35 WBP het recht zich tot de NS te wenden met het verzoek hem mede te delen of zijn/haar persoonsgegevens worden of zijn verwerkt. ‘Het zogenaamde inzagerecht,’ licht Verhelst toe. ‘De NS dient binnen vier weken de reiziger te informeren welke persoonsgegevens er precies worden of zijn verwerkt.’
Vanaf nu moet de NS op grond van artikel 33 WBP de reiziger bij de aanschaf (dus voordat de reiziger zijn persoonsgegevens daadwerkelijk verstrekt) van de OV-chipkaart te informeren voor welk doeleinden zij de persoonsgegevens verzamelt. Voorts dient de NS op grond van dit artikel de reiziger overige relevante informatie te verstrekken zodat een behoorlijke en zorgvuldige verwerking is gewaarborgd.
Maar ook hier kan de reiziger, op grond van artikel 41 WBP, verzet aantekenen tegen het opslaan van persoonsgegevens, aldus Verhelst. ‘Indien iemand niet wil dat in het kader van marketingactiviteiten hem betreffende persoonsgegevens door een bedrijf worden verwerkt, kan hij gebruik maken van het zogenaamde recht van verzet. De organisatie mag, nadat verzet is aangetekend, de persoonsgegevens van de betreffende persoon niet meer verwerken ten behoeve van marketingactiviteiten. Dit geldt voor alle soorten sectoren waar opslag van persoonsgegevens plaatsvindt.’
Tekst: Annemarie van de Weert