Het College Bescherming Persoonsgegevens (CBP) dwingt TLS en de vervoersbedrijven NS, GVB (Amsterdam) en RET (Rotterdam) tot kortere bewaartermijnen voor de opslag van persoonsgegevens van studenten met een ov-chipkaart. De partijen hebben dit toegezegd na overleg met het CBP, wat volgde op onderzoek door die privacywaakhond en constatering van misstanden.

Wetschending

De nu afgedwongen bewaarperiode is maximaal achttien maanden, in plaats van de door TLS, NS, GVB en RET gehanteerde 24 maanden. Door de data korter te bewaren schenden die bedrijven niet langer de Wet beschermings persoonsgegevens (Wbp).

Vervoersbedrijven NS, GVB en RET moeten vóór 1 januari 2012 hun bewaartermijn inkorten, TLS heeft langer nodig. Het krijgt tot 1 juni volgend jaar om aan de wet te gehoorzamen. Overschrijding van de deadlines leidt tot dwangsommen.

Het bedrijf achter de OV-chipkaart meldt dat die langere implementatietermijn nodig is om aanpassingen door te voeren in de eigen “complexe systemen". Eerder overgaan tot korter bewaren, is volgens de kaartverstrekker niet mogelijk. In het dwangsombesluit (pdf) van het CBP is een toelichting van TLS hierover te vinden.

Releaseschema

Wijzigingen in de ict-systemen voor de OV-chipkaart worden via 3 tot 4 releases per jaar doorgevoerd. TLS heeft het CPB een planning overlegd waarin “wordt vermeld dat de testfase van release vier gepland staat vanaf december 2011 en afronding op zijn vroegst maart/april 2012 plaatsvindt". Deze implementatie is eind 2010 al gestart, blijkt uit de planning van TLS.

“De bewaartermijnen zijn volgens TLS al in verschillende systemen doorgevoerd maar nog niet in de back-ups en archieven van TLS. Dit vereist ict-aanpassingen", schrijft het CBP. Die veranderingen zijn tijdrovend omdat “er sprake is van een complex ict-systeem dat in verbinding staat met systemen van andere bedrijven waaronder OV-bedrijven", aldus TLS. Dat geheel moet wel stabiel blijven, benadrukt het OV-chipkaartbedrijf.

Het CBP concludeert dat de implementatieplanning van TLS, en de onderbouwing daarvan, redelijk is. Het bedrijf krijgt dus tot 1 juni volgend jaar de tijd om aan de wet te voldoen. Overigens is er expliciet gemeld dat verdere aanpassingen meer werk vereisen en dus nog meer tijd kosten. Een deel daarvan zit in het vereiste overleg met zowel de OV-bedrijven en het ministerie van Financiën, als consumentenorganisaties en branchevereniging VNO/NCW. “TLS merkt op dat in het geval het CBP deze bewaartermijnen toch te lang vindt een nieuwe afstemming dient plaats te vinden en hiervoor zeker vier maanden nodig is."

Twee tot drie jaar

Overigens presenteert TLS de opgelegde inkorting van de bewaartermijn met de mededeling dat het CBP akkoord is gegaan met de bewaartermijnen van TLS. Dat is echter niet het geval. TLS hanteert van zichzelf namelijk veel langere periodes voor het bewaren van informatie over OV-gebruikers en hun reizen. Het CBP heeft het bedrijf daarvoor al op de vingers getikt. TLS slaat persoonsgegevens van reizigers, zoals studenten met een OV-chipkaart, op en bewaart die twee tot drie jaar.

De eerste termijn (24 maanden) geldt voor service-doeleinden, de tweede periode (36 maanden) dient voor “het bewaken van de integriteit van het OV-chipsysteem". Laatstgenoemde betreft het analyseren van reispatronen en de opsporing van fraudeurs, aldus TLS. Die lange periodes voor het opslaan van privégegevens gaat het CBP veel te ver.

De privacybeschermer heeft TLS gesommeerd dit in te korten tot anderhalf jaar (18 maanden). Aanvankelijk heeft het OV-chipkaartbedrijf daartegen geprotesteerd. De bewaartermijnen waren conform afspraken met de Belastingdienst, reageerde TLS toen.

Eerst zelfs zeven jaar

De transactiegegevens, die niet herleidbaar zijn naar personen, worden zelfs zeven jaar lang bewaard. Dat is vanwege fiscale verplichtingen, aldus TLS. Toch vindt het CPB dat ook die termijn langer is dan noodzakelijk. Deze kwestie is oorspronkelijk aangekaart door vijf rechtenstudenten, die protesteerden tegen de opslag van zeven jaar.

In september vorig jaar heeft TLS besloten de zeven jaar terug te brengen tot twee jaar. Dat is gedaan in overleg met consumentenorganisaties en het ministerie van Financiën. Die kortere periode is in januari dit jaar al van kracht geworden, dus wel vlot doorgevoerd in de 'complexe systemen' van TLS. Volgens het CBP kan ook die kortere termijn niet door de beugel. TLS heeft inmiddels een principeakkoord gesloten met het ministerie van Financiën om dit te verkorten tot 2 maanden.

Update: Verduidelijkt (onder meer in intro) dat het hier om de studenten OV-chipkaart gaat. De kwestie is ook aangekaart door rechtenstudenten die protesteerden tegen opslag van hun reisgegevens, aangezien zij met de studenten OV-chipkaart op bepaalde tijden vrij mogen reizen.